[Diritto Penale del Lavoro]  [Elemento Soggettivo]  [Difesa del Lavoratore]

Non ogni accesso formalmente irregolare è penalmente rilevante. La Cassazione ha elaborato criteri precisi per individuare quando l’assenza di dolo o l’errore scusabile escludono la responsabilità penale del dipendente ma le condizioni sono stringenti.

1. Il dolo richiesto dall’art. 615-ter c.p.

Il reato di accesso abusivo richiede il dolo generico: la coscienza e la volontà di introdursi (o mantenersi) nel sistema informatico consapevolmente e in modo contrario alla volontà del titolare. Non è richiesto un dolo specifico orientato a un fine determinato. È questo il significato della clausola giurisprudenziale per cui ‘gli scopi e le finalità che soggettivamente hanno motivato l’ingresso al sistema’ sono irrilevanti ai fini della configurabilità del reato (Cass. pen., SS.UU., n. 4694/2011).

Tuttavia, ove manchi la consapevolezza dell’illiceità dell’accesso, per ragioni oggettivamente giustificabili, il reato non è configurabile. La Cassazione ha affermato che l’assenza di dolo può essere riconosciuta in presenza di specifici elementi concreti.

2. I quattro presupposti per l’errore scusabile

La giurisprudenza (Cass. pen., sez. V, n. 72/2020; Cass. pen., sez. V, n. 27900/2023) ha individuato quattro scenari in cui l’errore scusabile, con conseguente esclusione del dolo, può essere riconosciuto:

a) Autorizzazione espressa o tacita

Se il titolare del sistema ha espressamente autorizzato l’accesso, o ha tollerato in modo sistematico una prassi consolidata di utilizzo condiviso delle credenziali, il dipendente può aver maturato la convinzione, in buona fede, di essere legittimato. La tolleranza deve essere chiara, reiterata e tale da ingenerare un ragionevole affidamento.

b) Assenza di atti univoci di revoca

Se non vi sono stati atti univoci di revoca dell’autorizzazione (modifica della password, comunicazione formale della cessazione dell’incarico, disattivazione tecnica delle credenziali) il dipendente può ragionevolmente ritenere di essere ancora autorizzato. La mera scadenza formale di un incarico, senza comunicazione esplicita, non è automaticamente equiparabile a un atto di revoca.

c) Ambiguità organizzativa

In presenza di un’organizzazione aziendale ambigua, di istruzioni non chiare o contraddittorie circa l’uso delle credenziali, o di deleghe non formalmente revocate, può configurarsi un errore scusabile sull’illiceità della condotta. L’ambiguità deve però essere oggettiva e non autoindotta.

d) Buona fede soggettiva

La buona fede può essere riconosciuta quando l’agente abbia agito nella convinzione, fondata su elementi oggettivi verificabili, di essere legittimato all’accesso: ad esempio, per prassi aziendale consolidata, per delega non revocata, per mancata comunicazione della cessazione dell’incarico.

3. I limiti: la conoscenza della volontà contraria esclude ogni buona fede

La Corte ha tuttavia fissato un limite invalicabile: la buona fede non può essere invocata quando il dipendente era consapevole  (o avrebbe dovuto esserlo con ordinaria diligenza) della volontà contraria del titolare. Un caso illuminante riguarda l’accesso al ‘cassetto fiscale’ di una sorella (Cass. civ., sez. V trib., n. 15899/2021):

Anche qualora volesse parzialmente accedersi alla tesi difensiva, secondo cui la ricorrente si è introdotta nel cassetto fiscale della sorella in virtù della concessione in passato, da parte sua, delle password di ingresso, configurerebbe comunque reato accedervi abusivamente, in un tempo successivo, in contrasto con la volontà della vittima, ad esempio perché l’imputata ben sapeva di aver interrotto con costei i rapporti in seguito ad intense dispute personali.

Cass. civ., sez. V trib., n. 15899/2021

Nel contesto lavorativo, questo significa che il dipendente che abbia ricevuto comunicazione, anche informale, della cessazione del proprio accesso, o che si trovi in una situazione conflittuale con il datore di lavoro, non può invocare la buona fede per giustificare accessi successivi.

4. Prassi aziendale consolidata vs. tolleranza episodica

Nella difesa del dipendente accusato di accesso abusivo, la distinzione tra prassi aziendale consolidata e mera tolleranza episodica è fondamentale. Come si vedrà nel Post 5, solo la prassi consolidata (caratterizzata da reiterazione, generalizzazione e accettazione diffusa) può fondare una difesa credibile sul piano del dolo. La tolleranza occasionale, invece, non è sufficiente a escludere la responsabilità.