[Diritto Penale del Lavoro]  [Accesso Abusivo]  [Credenziali Condivise]

Un dipendente accede al sistema usando le credenziali del collega. Un fatto apparentemente banale che, secondo la giurisprudenza di legittimità, integra il delitto di accesso abusivo indipendentemente dalla finalità perseguita e dal consenso del titolare delle credenziali.

1. Il quadro: la questione delle credenziali condivise

Nelle organizzazioni aziendali è frequente la prassi spesso tollerata, a volte incoraggiata, di condividere le credenziali di accesso tra colleghi. Le motivazioni sono varie: emergenze operative, assenze improvvise, necessità di continuità del servizio. Tuttavia, questa prassi espone sia il dipendente che la condivide, sia quello che la utilizza, a rischi giuridici di primario rilievo.

2. La posizione univoca della Cassazione

La Corte di Cassazione ha chiarito, in modo ormai consolidato, che l’accesso a un sistema informatico mediante l’utilizzo di credenziali altrui integra la fattispecie di cui all’art. 615-ter c.p. La condotta è abusiva a prescindere da tre elementi che si potrebbe ingenuamente ritenere rilevanti:

• la qualità soggettiva dell’agente (dipendente, dirigente, consulente);
• la finalità perseguita (lavorativa, personale, difensiva);
• il consenso del titolare delle credenziali.

Il caso della dipendente del Ministero della Giustizia

La sentenza Cass. pen., sez. V, n. 44403/2015 è particolarmente istruttiva. Una dipendente del Ministero della Giustizia, non più abilitata ad accedere al sistema informatico della Procura, aveva utilizzato un codice di accesso rimasto attivo per mera dimenticanza. La Corte ha affermato con chiarezza:

L’accesso di soggetto abilitato ad un sistema informatico è abusivo solo quando l’agente viola i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema ovvero pone in essere operazioni di natura ontologicamente diversa da quelle di cui egli è incaricato ed in relazione alle quali l’accesso è a lui consentito.

Cass. pen., sez. V, n. 44403/2015

La Corte ha altresì precisato che, anche se si fosse voluta ritenere ancora valida l’abilitazione, l’accesso sarebbe stato comunque abusivo perché la dipendente aveva compiuto un’operazione ontologicamente diversa da quella per cui le credenziali erano state originariamente attribuite.

3. L’irrilevanza del consenso del titolare delle credenziali

Un profilo particolarmente delicato riguarda i casi in cui il titolare delle credenziali le abbia comunicato spontaneamente al collega. La Corte (Cass. pen., sez. V, n. 72/2020) ha stabilito che:

Non rileva la circostanza che le chiavi di accesso al sistema informatico protetto siano state comunicate all’autore del reato, in epoca antecedente rispetto all’accesso abusivo, dallo stesso titolare delle credenziali, qualora la condotta incriminata abbia portato ad un risultato certamente in contrasto con la volontà della persona offesa ed esorbitante l’eventuale ambito autorizzatorio.

Cass. pen., sez. V, n. 72/2020

La comunicazione delle credenziali non è, di per sé, una ‘delega’ di accesso al sistema. Perché l’accesso sia legittimo, occorre che il titolare del sistema cioè il datore di lavoro o l’amministratore abbia espressamente autorizzato l’utilizzo condiviso.

4. Il criterio dell”ontologica incompatibilità’

La giurisprudenza ha elaborato il concetto di ‘ontologica incompatibilità’ dell’accesso: anche il dipendente formalmente abilitato commette il reato se utilizza il sistema per finalità che si pongono in radicale contrasto con i doveri di fedeltà e lealtà che connotano il rapporto di lavoro (Cass. pen., sez. V, n. 18284/2019). Questo principio è di estrema rilevanza pratica: non è necessario che vi sia una norma interna che vieti espressamente la condotta, è sufficiente che la condotta sia manifestamente incompatibile con il ruolo e le mansioni del dipendente.

5. Le conseguenze disciplinari

Sul piano del diritto del lavoro, l’accesso con credenziali altrui, ove accertato, integra in linea di principio una condotta idonea a integrare la giusta causa di licenziamento. La valutazione della proporzionalità va condotta secondo i criteri ordinari: gravità della condotta, entità del danno, posizione del dipendente, presenza di precedenti disciplinari, contesto organizzativo. Tuttavia, ove la condotta si inserisca in un sistema di prassi aziendali consolidate e tollerate, la responsabilità disciplinare individuale può essere esclusa o attenuata, come si vedrà nei prossimi post.