[Diritto Penale del Lavoro]  [Cybercrime]  [Art. 615-ter c.p.]

L’accesso abusivo a un sistema informatico è uno dei reati più frequentemente contestati nei rapporti di lavoro. Eppure il suo perimetro applicativo è spesso frainteso anche da chi gestisce risorse umane e sistemi IT.

1. Il testo della norma e la sua ratio

L’articolo 615-ter del Codice penale punisce chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza, ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo. La pena base è la reclusione fino a tre anni, con aggravanti che possono portare fino a cinque anni se il fatto è commesso da un pubblico ufficiale, da un incaricato di pubblico servizio con abuso dei poteri, con violenza sulle persone o con minaccia, o se il danno al sistema o ai dati è grave.

La norma tutela il c.d. ‘domicilio informatico’: così come nessuno può introdursi fisicamente nell’abitazione altrui senza consenso, nessuno può fare ingresso nei sistemi altrui senza titolo legittimante e soprattutto senza rispettare i confini entro cui tale titolo è stato concesso.

2. Quando l’accesso è ‘abusivo’? La nozione chiave

La giurisprudenza delle Sezioni Unite ha progressivamente elaborato una definizione ampia di ‘abusività’, che prescinde dalla presenza fisica o dalla rottura di barriere tecniche. La sentenza cardine è Cass. pen., SS.UU., n. 4694/2011:

Integra la fattispecie criminosa di accesso abusivo ad un sistema informatico o telematico protetto, prevista dall’art. 615-ter cod. pen., la condotta di accesso o di mantenimento nel sistema posta in essere da soggetto che, pure essendo abilitato, violi le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso. Non hanno rilievo, invece, per la configurazione del reato, gli scopi e le finalità che soggettivamente hanno motivato l’ingresso al sistema.

Cass. pen., SS.UU., n. 4694/2011

Il principio è dunque bidirezionale: il reato si consuma sia quando il soggetto non è abilitato, sia quando, pur essendo formalmente autorizzato, utilizza le credenziali per scopi o con modalità ontologicamente diverse da quelle per cui l’accesso è stato consentito.

3. Il requisito delle ‘misure di sicurezza’

La norma si applica ai sistemi ‘protetti da misure di sicurezza’. La giurisprudenza ha interpretato questo requisito in modo non restrittivo: non è necessario che le misure siano sofisticate o inviolabili. È sufficiente che vi siano credenziali di accesso, password, PIN, sistemi di autenticazione (anche elementari) che segnalino al potenziale accedente che il sistema è riservato. La protezione non deve essere assoluta: deve solo rendere riconoscibile che l’accesso è condizionato al possesso di un titolo legittimante.

4. Il ‘mantenersi’ nel sistema: condotta autonoma

La norma punisce non solo chi si introduce abusivamente, ma anche chi si mantiene nel sistema contro la volontà del titolare. Questo significa che anche chi accede legittimamente con le proprie credenziali e per scopi autorizzati può commettere il reato se, successivamente, si trattiene nel sistema o vi compie operazioni che fuoriescono dall’ambito del suo mandato. La condotta di ‘mantenimento’ ha rilevanza autonoma: si consuma nel momento in cui l’agente, consapevole del sopravvenuto difetto di titolo, continua a permanere nel sistema.

5. Profili di interesse lavoristico

Nel contesto del rapporto di lavoro, l’art. 615-ter è rilevante sotto almeno tre profili distinti, che saranno approfonditi nei post successivi:

• il dipendente che accede con le credenziali di un collega, anche con il suo consenso;
• l’ex dipendente che, dopo la cessazione del rapporto, continua a utilizzare le credenziali aziendali non disattivate;
• il dipendente che, pur dotato di accesso regolare, compie operazioni ontologicamente estranee alle sue mansioni.

La condanna per accesso abusivo, ove accertata prima della cessazione del rapporto, costituisce di norma giusta causa di licenziamento, ai sensi dell’art. 2119 c.c. La Cassazione civile (sez. lav., n. 7272/2024) ha confermato che accessi non autorizzati a banche dati aziendali integrano condotte di gravità tale da legittimare il recesso datoriale in tronco, stante l’irrimediabile lesione del vincolo fiduciario.