Una password può essere comunicata a un familiare, a un collega o a un collaboratore per un’esigenza precisa. Se successivamente viene contestato un accesso abusivo, la difesa deve ricostruire che cosa fosse stato consentito. Dire «conoscevo la password» descrive una possibilità tecnica; dire «potevo svolgere questa operazione» richiede elementi sul contenuto dell’autorizzazione. La differenza diventa decisiva quando il medesimo account contiene materiali o funzioni diversi.
L’approfondimento riguarda proprio le credenziali condivise. Non esiste una soluzione automatica basata sulla consegna della password: occorre confrontare l’episodio contestato con chi poteva consentire l’accesso, le operazioni ammesse e le circostanze conosciute dall’indagato.
La password funzionante e il diritto di entrare
L’art. 615-ter c.p. punisce chi si introduce abusivamente in un sistema informatico o telematico protetto da misure di sicurezza oppure vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo. Il primo comma prevede la reclusione fino a tre anni. Il fatto che il sistema accetti le credenziali non risolve quindi la verifica dell’abusività.
La stessa formulazione distingue ingresso e permanenza. Un’autorizzazione iniziale può dover essere esaminata rispetto a quanto avviene durante la sessione. La contestazione deve chiarire quale condotta venga attribuita alla persona: entrare senza titolo, restare oltre il permesso oppure effettuare operazioni che l’accusa considera esterne ai limiti consentiti. Non tutte queste ricostruzioni richiedono gli stessi documenti.
Chi ha comunicato le credenziali e con quali poteri
La provenienza della password è un primo punto di verifica. Il titolare dell’account che incarica un collaboratore di effettuare un’operazione e il collega che inoltra credenziali senza poterne autorizzare l’uso pongono problemi differenti. Nel secondo caso, la sola ricezione non dimostra un permesso proveniente da chi può disporre dell’accesso.
Negli ambienti organizzati bisogna ricostruire ruoli, deleghe e competenze. Un responsabile può autorizzare alcune attività senza avere il potere di consentire l’esame di ogni archivio aziendale. La difesa confronta l’incarico effettivamente impartito con le regole applicabili e con la posizione di chi lo ha impartito. Una firma in calce a un messaggio è un dato da valutare insieme a questi elementi.
Il contenuto del permesso: attività, cartelle e durata
Un’autorizzazione può delimitare gli archivi accessibili, le operazioni consentite o la durata dell’accesso. Va però distinta una restrizione oggettiva all’ingresso o alla permanenza nel sistema dal motivo personale per cui viene svolta un’operazione consentita. Per esempio, il fatto di aver comunicato una password in occasione dell’invio di una fattura non dimostra, da solo, né un permesso illimitato né il divieto penalmente rilevante di consultare ogni altro messaggio: occorre ricostruire le regole effettive dell’accesso.
Le limitazioni possono risultare da istruzioni, comunicazioni, regolamenti o dalla concreta organizzazione del lavoro. Devono però essere individuate nella vicenda specifica. Un documento predisposto dopo l’episodio non dimostra, da solo, quali condizioni fossero state comunicate prima. Anche un’istruzione generica, come «gestisci la posta», richiede di essere letta nel contesto dell’incarico e dei rapporti fra le persone.
Accesso autorizzato e scopo personale: la distinzione della Cassazione
Le Sezioni Unite, nella sentenza n. 4694 del 2012, Casani, distinguono la violazione delle condizioni oggettive dell’accesso dalle finalità soggettive perseguite da chi rispetta tali condizioni. Un motivo estraneo all’incarico non rende automaticamente abusivo un accesso altrimenti consentito. Il principio è illustrato nella Rassegna penale 2012 della Corte di cassazione.
Una precisazione riguarda il pubblico ufficiale o l’incaricato di pubblico servizio che utilizza il sistema per ragioni del tutto estranee a quelle per le quali la facoltà di accesso gli è attribuita. Le Sezioni Unite n. 41210 del 2017, Savarese, hanno riconosciuto rilievo allo sviamento delle funzioni, come riportato nella relazione istituzionale della Cassazione del gennaio 2018. I due principi vanno applicati tenendo conto del ruolo del soggetto e delle regole del sistema: non ogni uso improprio di una password integra l’art. 615-ter.
Consapevolezza e uso della password
L’accertamento comprende l’elemento soggettivo. Il dolo non si ricava soltanto dal fatto materiale di aver digitato credenziali corrette. Sono rilevanti le istruzioni ricevute, le eventuali restrizioni conosciute e le modalità dell’operazione. La difesa deve collegare la ricostruzione della consapevolezza all’accesso concretamente contestato.
L’art. 47 c.p. disciplina l’errore sul fatto che costituisce reato. La sua applicazione non discende dalla semplice dichiarazione di avere frainteso un messaggio. Occorre individuare l’errore allegato e i dati che lo sostengono, distinguendolo dalla convinzione che qualsiasi accesso tecnicamente possibile sia anche consentito. Una spiegazione verificabile dell’incarico ha un significato diverso da una giustificazione formulata soltanto dopo l’accusa.
Che cosa documentare sulla condivisione
Possono essere utili le conversazioni complete in cui sono state trasmesse le credenziali, gli allegati con le istruzioni, gli accordi sul lavoro da svolgere e i documenti sulle deleghe. La sequenza conta: un’autorizzazione, una precisazione e una successiva contestazione non vanno estratte come frasi indipendenti. Il confronto permette di capire a quale operazione si riferisse ogni comunicazione.
La prova dell’utilizzo dell’account va inoltre distinta dalla prova del suo utilizzatore. Se la password era conosciuta da più persone, un registro associato al nome dell’account deve essere esaminato con gli elementi che attribuiscono la singola operazione. La condivisione non esclude la responsabilità, ma neppure permette di assegnare automaticamente tutti gli accessi a un solo soggetto.
Danno, aggravanti e iniziative difensive
Il primo comma non richiede che l’accesso abbia provocato un danno patrimoniale o distrutto dati. Perciò «non ho modificato nulla» non risponde, da solo, alla contestazione di ingresso abusivo. Le eventuali aggravanti richiedono un esame separato: l’abuso della qualità di operatore del sistema non deriva automaticamente dall’essere un normale utilizzatore di credenziali.
Il testo vigente prevede, nel secondo comma, pene da due a dieci anni e comprende anche determinate conseguenze sui dati, fra cui sottrazione mediante riproduzione o trasmissione. La difesa verifica se siano contestati questi elementi oltre all’accesso. Nel caso base occorre la querela della persona offesa; negli altri casi previsti dall’articolo si procede d’ufficio.
La ricostruzione può essere esposta attraverso documenti e richieste di approfondimento quando gli atti sono conoscibili. I materiali vanno conservati senza alterazioni. Un nuovo accesso eseguito per «dimostrare come funzionava» non sostituisce la documentazione dell’episodio precedente e richiede a sua volta un titolo. Il confronto fra permesso e operazione consente di discutere un punto preciso dell’accusa, senza anticipare l’esito del procedimento.
Per il quadro generale della materia, il sito contiene anche la guida sull’accesso abusivo a un sistema informatico.
Fonti normative e istituzionali
Codice penale, articolo 615-ter — testo vigente all’11 ottobre 2026; Codice penale, articolo 43 — testo vigente all’11 ottobre 2026; Codice penale, articolo 47 — testo vigente all’11 ottobre 2026. Fonti consultate il 10 ottobre 2026.
Corte di cassazione, Rassegna penale 2012: Sezioni Unite n. 4694/2012, Casani.
Corte di cassazione, relazione del gennaio 2018: Sezioni Unite n. 41210/2017, Savarese.
Il contenuto ha finalità informativa. La valutazione della singola posizione richiede l’esame degli atti e delle circostanze concrete.
Informazioni e recapiti dello Studio
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania. Per informazioni sull’assistenza difensiva nei procedimenti penali: 095 9991325, 392 3838383 · davide@tutino.sicilia.it. Sede e informazioni professionali nella pagina dello Studio a Catania.
Revisione giuridica ed editoriale: 11 ottobre 2026.
