In un’indagine per accesso abusivo, un indirizzo IP può collegare un evento a una connessione. L’account registrato dal servizio e il dispositivo esaminato possono aggiungere altri elementi. Il passaggio alla responsabilità di una persona richiede però una ricostruzione: connessione, utenza, apparecchio e autore dell’operazione non sono sinonimi.
Per chi è indagato, la difesa deve individuare quali passaggi di questa catena siano documentati e quali siano ancora ipotizzati. La questione non si risolve né attribuendo all’IP un valore conclusivo universale né dichiarando che sia sempre irrilevante. Il suo significato dipende dalla rete concreta e dagli altri dati acquisiti.
Che cosa deve essere attribuito nell’art. 615-ter
L’art. 615-ter c.p. riguarda l’introduzione abusiva in un sistema protetto o la permanenza contro la volontà di chi ha il diritto di escludere l’utilizzatore. L’accertamento deve riferire a una persona la condotta contestata e il suo elemento soggettivo. Identificare il contratto di accesso a internet è una questione diversa dall’identificare chi abbia effettuato quella condotta.
Prima di discutere l’autore, va compreso l’evento registrato. Una richiesta respinta, un’autenticazione riuscita e un’operazione compiuta nella sessione descrivono fatti differenti. La relazione investigativa dovrebbe permettere di capire a quale evento corrisponda l’indirizzo e quale risultato il servizio abbia registrato. Un generico elenco di collegamenti può lasciare aperta proprio questa verifica.
Dall’indirizzo pubblico alla connessione
Un indirizzo pubblico può essere utilizzato da più dispositivi della stessa rete; in alcuni assetti può essere condiviso anche da più abbonati. I documenti tecnici IETF RFC 6269 e RFC 6302 spiegano perché, nei sistemi di condivisione degli indirizzi, siano rilevanti anche porta di origine e tempo preciso dell’evento. Non ogni rete presenta però lo stesso funzionamento.
La difesa verifica quindi la risposta del fornitore e i dati su cui si fonda l’associazione. Deve essere chiarito se l’indirizzo fosse assegnato a un solo abbonato nel periodo rilevante o se servissero ulteriori informazioni per distinguerlo. L’eventuale carenza va descritta rispetto a quella rete: citare genericamente la possibilità di condivisione non dimostra che si sia verificata nel caso.
Dalla connessione al dispositivo utilizzato
Anche quando l’associazione con una connessione è attendibile, rimane da ricostruire quale dispositivo abbia generato l’operazione. Una rete domestica o aziendale può essere utilizzata da persone e apparecchi diversi. Il nome dell’intestatario non descrive automaticamente ogni utilizzatore, mentre l’esistenza di una rete condivisa non prova che l’indagato fosse estraneo all’episodio.
Possono essere confrontati registri del servizio, dati dei dispositivi e documentazione sull’utilizzo della rete. Ogni acquisizione deve indicare da dove provenga l’informazione. Un’identificazione ricavata dal servizio remoto ha un significato diverso da un dato rinvenuto direttamente sull’apparecchio; il collegamento fra i due richiede una spiegazione tecnica verificabile.
Dall’account alla persona che lo ha usato
Un account può risultare intestato a una persona senza che questa abbia compiuto ogni operazione associata all’utenza. Nel fascicolo va esaminata l’attribuzione dello specifico episodio: chi disponeva delle credenziali, quali apparecchi risultavano collegati e quali ulteriori elementi riferissero l’azione all’indagato. Le affermazioni su utilizzatori diversi devono essere confrontate con dati concreti.
Anche una credenziale personale non elimina la necessità di leggere le evidenze. Eventuali sessioni già attive o impieghi condivisi vanno verificati nella loro effettiva esistenza e rilevanza. La difesa può documentare la disponibilità del dispositivo o l’organizzazione degli accessi, evitando di trasformare la semplice possibilità di un uso altrui in una spiegazione completa dell’accaduto.
Localizzazione e identificazione sono verifiche diverse
Un’indicazione geografica associata a un indirizzo non equivale necessariamente alla posizione fisica dell’autore. Il suo significato dipende dal metodo utilizzato e dall’assetto della rete. Occorre conoscere se il dato provenga dal servizio, dal fornitore della connessione o da una stima fondata su altre informazioni. Una città indicata in una segnalazione non identifica, da sola, una persona.
La difesa confronta quella localizzazione con ciò che si vuole dimostrare. Se viene usata per sostenere la presenza dell’indagato in un luogo, devono essere esplicitati il passaggio inferenziale e i suoi limiti. Non basta contrapporre una diversa città senza chiarire l’origine dei dati: la verifica riguarda la relazione fra informazione tecnica e conclusione investigativa.
Chiedere dati completi e verificabili
Può essere utile acquisire la risposta integrale del provider, la richiesta cui risponde, il periodo considerato e i campi effettivamente registrati. Una tabella riportata nella relazione può non rendere visibili le condizioni indicate dal fornitore. Se mancano porta, precisione temporale o descrizione dell’evento, occorre stabilire quale conseguenza concreta abbia quella mancanza sull’associazione proposta.
L’art. 254-bis c.p.p. disciplina il sequestro di dati presso fornitori e, per le esigenze di regolare fornitura dei servizi, consente l’acquisizione mediante copie con garanzie di conformità e immodificabilità. La difesa può esaminare come siano stati ottenuti i dati utilizzati per l’attribuzione, distinguendo il contenuto originale dalle elaborazioni compiute successivamente. Le richieste devono riguardare informazioni pertinenti alla verifica, non una raccolta indifferenziata di attività altrui.
Il titolo dell’acquisizione dipende anche dalla natura del dato. L’art. 132 del codice privacy distingue i dati di traffico dai dati relativi agli abbonati: i commi 3 e 3-bis regolano autorizzazione e acquisizione urgente dei primi, mentre i commi 3-bis.2 e 3-bis.3 disciplinano separatamente i secondi. Il collegamento fra indirizzo ed episodio richiede quindi di leggere quali informazioni siano state richieste e attraverso quale procedimento.
Il significato processuale delle ipotesi alternative
La ricostruzione va valutata nel suo insieme. L’art. 533 c.p.p. richiede, per la condanna, la prova della colpevolezza oltre ogni ragionevole dubbio. Una questione tecnica può incidere su tale valutazione quando riguarda un collegamento necessario; non determina automaticamente archiviazione o assoluzione solo perché esiste un limite astratto della tecnologia.
Una memoria difensiva può separare i passaggi dimostrati da quelli da approfondire e indicare i documenti utili a verificarli. Il consulente tecnico chiarisce il funzionamento della rete e l’affidabilità delle associazioni; il giudice valuta la responsabilità. Il compito della difesa è rendere controllabile il percorso dall’evento alla persona, mantenendo distinti i dati tecnici e le conclusioni giuridiche.
Per il quadro generale della materia, il sito contiene anche la guida sull’accesso abusivo a un sistema informatico.
Fonti normative e istituzionali
Codice penale, articolo 615-ter — testo vigente all’11 ottobre 2026; Codice di procedura penale, articolo 254-bis — testo vigente all’11 ottobre 2026; Codice di procedura penale, articolo 533 — testo vigente all’11 ottobre 2026; IETF, RFC 6269, sezioni 2, 7 e 12: condivisione degli indirizzi e tracciabilità; IETF, RFC 6302, sezioni 1–4: IP, porta e tempo nei registri dei server; Codice in materia di protezione dei dati personali, articolo 132 — testo vigente all’11 ottobre 2026. Fonti consultate il 10 ottobre 2026.
Il contenuto ha finalità informativa. La valutazione della singola posizione richiede l’esame degli atti e delle circostanze concrete.
Informazioni e recapiti dello Studio
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania. Per informazioni sull’assistenza difensiva nei procedimenti penali: 095 9991325, 392 3838383 · davide@tutino.sicilia.it. Sede e informazioni professionali nella pagina dello Studio a Catania.
Revisione giuridica ed editoriale: 11 ottobre 2026.
