Essere indagati per accesso abusivo a un sistema informatico significa che viene svolta un’indagine su una possibile violazione dell’art. 615-ter c.p.; non significa che la responsabilità sia già stata accertata. Per valutare l’accusa occorre ricostruire il sistema interessato, le sue protezioni, i limiti dell’autorizzazione, la condotta effettiva e gli elementi che permettono di attribuirla a una persona.
La questione non riguarda soltanto chi forza una password. Può interessare anche l’utilizzo di credenziali conosciute, l’accesso a un account personale o la consultazione di una banca dati aziendale. La legge n. 90/2024 ha inoltre modificato sensibilmente le pene delle ipotesi aggravate.
Che cosa punisce l’art. 615-ter c.p.
La disposizione prevede due condotte: l’introduzione abusiva in un sistema informatico o telematico protetto da misure di sicurezza e il mantenimento nel sistema contro la volontà, espressa o tacita, di chi ha il diritto di escludere l’accesso.
Può quindi assumere rilievo anche una permanenza divenuta abusiva dopo un ingresso inizialmente consentito. Nell’ipotesi base non è necessario che siano cancellati file, danneggiato il computer o sottratto denaro: questi eventi non sono elementi indispensabili del reato.
Computer, server e servizi accessibili tramite account possono essere coinvolti, ma occorre individuare concretamente il sistema e le sue misure di sicurezza. Queste non si esauriscono nella password: possono rilevare anche protezioni fisiche e organizzative. Non serve dimostrare un attacco informatico particolarmente sofisticato.
Conoscere la password significa essere autorizzati?
La possibilità tecnica di entrare e il diritto di farlo sono due questioni diverse. Le credenziali possono funzionare anche quando l’autorizzazione è cessata o quando vengono impiegate oltre i limiti consentiti.
Una password comunicata per un’attività determinata non attribuisce necessariamente un permesso generale. Allo stesso modo, la mancata disattivazione di un account dopo la cessazione del rapporto di lavoro non dimostra, da sola, che l’ex dipendente sia ancora autorizzato.
Occorre però evitare automatismi anche in senso accusatorio. La sola intestazione dell’account a un’altra persona non descrive l’intero contesto: vanno esaminati eventuali consensi, deleghe, prescrizioni e prassi, verificando chi potesse validamente autorizzare l’accesso e per quali operazioni.
Accesso aziendale: che cosa hanno chiarito le Sezioni Unite
La sentenza Casani, Sezioni Unite n. 4694/2012, distingue i motivi personali dell’accesso dalla violazione dei limiti oggettivi dell’autorizzazione. Per il soggetto abilitato assumono rilievo le condizioni poste dal titolare del sistema e le operazioni effettivamente consentite.
La sentenza Savarese, Sezioni Unite n. 41210/2017, ha precisato che il pubblico ufficiale o l’incaricato di pubblico servizio può commettere il reato anche con credenziali valide e senza violare uno specifico divieto formale, quando utilizza il sistema per ragioni radicalmente estranee a quelle che giustificano il potere di accesso.
La successiva Cassazione, sezione V, n. 565/2019, ha applicato tale impostazione anche a un rapporto di lavoro privato, valorizzando i doveri di fedeltà e lealtà e i limiti alla circolazione dei dati bancari. Non sarebbe quindi corretto affermare che nel settore privato qualsiasi utilizzo delle proprie credenziali sia lecito.
Per la difesa diventano centrali mansioni, incarichi, regolamenti, comunicazioni ricevute e attività concretamente svolte. L’accertamento deve riguardare il contenuto dell’autorizzazione e la condotta contestata, senza ridursi alla verifica del funzionamento della password.
Quale consapevolezza deve essere provata
Il reato richiede il dolo: devono essere accertate la volontà della condotta e la consapevolezza del suo carattere abusivo. Per l’ipotesi base non occorre dimostrare una specifica finalità di guadagno o di danneggiamento.
Un eventuale errore sul consenso o sui limiti dell’incarico deve essere valutato attraverso le circostanze concrete e le regole sull’errore. Dichiarare di ritenersi autorizzati non risolve da solo la questione; sono rilevanti, ad esempio, istruzioni ricevute, comunicazioni e precedenti modalità di lavoro.
Quali pene prevede l’art. 615-ter dopo la riforma del 2024
Il quadro introdotto dalla legge n. 90/2024, entrata in vigore il 17 luglio 2024, distingue le seguenti ipotesi:
| Ipotesi | Reclusione prevista | Procedibilità |
|---|---|---|
| Fatto previsto dal primo comma | Fino a 3 anni | A querela |
| Ipotesi aggravate del secondo comma | Da 2 a 10 anni | D’ufficio |
| Fatto del primo comma relativo ai sistemi di interesse pubblico indicati dal terzo comma | Da 3 a 10 anni | D’ufficio |
| Fatto del secondo comma relativo ai medesimi sistemi | Da 4 a 12 anni | D’ufficio |
Il secondo comma comprende l’abuso dei poteri o la violazione dei doveri del pubblico ufficiale o dell’incaricato di pubblico servizio, il fatto commesso da chi esercita anche abusivamente la professione di investigatore privato e l’abuso della qualità di operatore del sistema. Comprende inoltre l’impiego di minaccia o violenza, oppure l’essere palesemente armati, e determinati eventi dannosi.
Tra questi ultimi la riforma ha inserito anche la sottrazione dei dati mediante riproduzione o trasmissione e la loro inaccessibilità al titolare. Copiare dati può dunque avere rilievo anche se gli originali non sono cancellati, quando ricorrono gli elementi della disposizione.
Il terzo comma riguarda sistemi di interesse militare, relativi all’ordine o alla sicurezza pubblica, alla sanità, alla protezione civile o comunque di interesse pubblico. Tale qualificazione richiede un esame delle caratteristiche e della funzione del sistema.
Le pene indicate sono quelle stabilite dalla legge, non una previsione della sanzione del singolo caso. Le modifiche sfavorevoli non si applicano retroattivamente: per fatti anteriori al 17 luglio 2024 occorre confrontare le discipline succedutesi secondo l’art. 2 c.p.
Le attenuanti dell’art. 623-quater c.p.
La stessa riforma ha introdotto una diminuzione di pena quando il fatto risulti di lieve entità, valutando le caratteristiche dell’azione oppure la particolare tenuità del danno o del pericolo.
È prevista inoltre una diminuzione dalla metà a due terzi per chi si adopera per impedire ulteriori conseguenze dell’attività delittuosa, anche fornendo un aiuto concreto alle autorità nella raccolta delle prove o nel recupero dei proventi o degli strumenti utilizzati.
Si tratta di attenuanti con presupposti da verificare. La mancanza di un danno economico o una generica disponibilità a collaborare non garantiscono la loro applicazione; il riconoscimento di un’attenuante non equivale a un’archiviazione.
È necessaria la querela?
Per il primo comma dell’art. 615-ter è necessaria la querela della persona offesa. Il termine ordinario è di tre mesi dalla notizia del fatto che costituisce reato, ai sensi dell’art. 124 c.p.: non va confuso automaticamente con la data dell’accesso informatico.
Per le ipotesi dei commi secondo e terzo si procede d’ufficio. La qualificazione del fatto è quindi decisiva anche per verificare se siano necessarie una querela valida e tempestiva. Una contestazione aggravata richiede l’accertamento dei suoi presupposti, non la sola indicazione del numero del comma.
Indagato e imputato: quale differenza
Nelle indagini preliminari il pubblico ministero e la polizia giudiziaria raccolgono elementi sul fatto e sulla sua attribuzione. L’assunzione della qualità di imputato dipende dall’esercizio dell’azione penale nelle forme previste dal codice: non presuppone sempre un provvedimento di rinvio a giudizio.
La persona può conoscere il procedimento attraverso atti diversi, ad esempio una perquisizione, un sequestro, un invito a presentarsi o un avviso previsto dalla legge. L’informazione di garanzia non è una dichiarazione di colpevolezza. Occorre leggere l’atto effettivamente ricevuto per comprenderne funzione, termini e garanzie.
Quali prove contano in un’indagine per accesso abusivo
La prova digitale richiede di distinguere l’avvenuto accesso, l’identità di chi lo ha eseguito e l’assenza o il superamento dell’autorizzazione. La difesa può verificare, anche con un consulente tecnico:
- quali registri di accesso siano disponibili, che cosa documentino e a quali date e orari si riferiscano;
- come siano collegati account, connessione, dispositivo e persona indicata nell’accusa;
- chi potesse utilizzare le credenziali e quali autorizzazioni fossero effettivamente vigenti;
- come siano stati acquisiti e conservati i dati e se siano completi rispetto alle conclusioni tratte;
- quali operazioni siano state compiute e se risultino gli eventi indicati nelle aggravanti.
Il collegamento tra una traccia informatica e il suo autore va motivato attraverso gli elementi del caso. Anche le contestazioni sull’acquisizione devono essere specifiche: non è corretto affermare che ogni irregolarità tecnica renda automaticamente inutilizzabili tutti i dati.
In presenza di un sequestro occorre esaminare il provvedimento, la sua finalità e le operazioni effettuate. Il sequestro di un dispositivo non dimostra, di per sé, che il proprietario abbia commesso l’accesso contestato.
Quanto possono durare le indagini preliminari
Nel regime vigente il termine ordinario per le indagini relative a un delitto è di un anno dall’iscrizione del nome della persona nel registro delle notizie di reato. Se è necessaria la querela, rileva anche la regola dell’art. 405, comma 3, c.p.p. sul momento in cui essa perviene al pubblico ministero.
Nei casi indicati dall’art. 407, comma 2, il termine iniziale è di un anno e sei mesi. Tra questi rientrano, alle condizioni del numero 7-ter della lettera a), gli accessi abusivi in danno dei sistemi di interesse pubblico individuati dalla norma.
Per indagini complesse è prevista una sola proroga, non superiore a sei mesi. Il limite massimo è normalmente di diciotto mesi, elevato a due anni nei casi dell’art. 407, comma 2. Per alcune ipotesi, comprese quelle del numero 7-ter, la procedura di proroga presenta regole particolari: la mancata notifica della richiesta all’indagato non dimostra da sola che una proroga non esista.
Questi sono termini delle indagini, non dell’intero procedimento. La loro scadenza non produce un’archiviazione automatica. L’art. 407, comma 3, disciplina l’inutilizzabilità degli atti tardivi, facendo salvo quanto previsto dall’art. 415-bis; l’art. 407-bis regola forme e termini delle successive determinazioni del pubblico ministero. Per i procedimenti più risalenti va verificata anche la disciplina transitoria.
Si rischiano arresto, fermo o misure cautelari?
Per la sola ipotesi base, punita fino a tre anni, non è previsto l’arresto in flagranza e non ricorrono i limiti di pena per il fermo. Nelle ipotesi aggravate l’arresto in flagranza è facoltativo: richiede anche la valutazione della gravità del fatto o della pericolosità del soggetto prevista dall’art. 381 c.p.p.
Le attuali pene dei commi secondo e terzo raggiungono le soglie dell’art. 384 c.p.p. per il fermo. Ciò non lo rende automatico: occorrono gravi indizi e specifici elementi che fondino il pericolo di fuga.
Anche le misure cautelari personali richiedono una verifica autonoma dei presupposti, comprese le condizioni degli artt. 273 e 274 c.p.p. Per la sola ipotesi base non sono superate le soglie ordinarie degli artt. 280 e 287 c.p.p. per le misure coercitive e interdittive. La mera iscrizione per un’ipotesi aggravata non comporta l’applicazione di una misura.
Non è corretto neppure indicare sempre il Tribunale monocratico: l’ipotesi consumata punita da quattro a dodici anni rientra nelle attribuzioni del Tribunale collegiale, secondo gli artt. 4 e 33-bis c.p.p.
Che cosa fare dopo aver ricevuto un atto
È utile consegnare al difensore l’atto completo, la documentazione sulla notifica e gli elementi già legittimamente disponibili sul rapporto con il titolare del sistema. Contratti, incarichi, deleghe, autorizzazioni e comunicazioni possono aiutare a ricostruire il contesto.
I dati potenzialmente rilevanti vanno preservati, evitando cancellazioni, modifiche o nuovi accessi privi di autorizzazione per cercare prove. L’eventuale acquisizione tecnica deve essere organizzata in modo da tutelarne integrità e utilizzabilità.
La decisione di rendere dichiarazioni richiede la conoscenza dell’atto e delle garanzie applicabili. Nell’interrogatorio l’indagato ha la facoltà di non rispondere nei termini dell’art. 64 c.p.p.
Quando viene notificato l’avviso di conclusione delle indagini ex art. 415-bis c.p.p., la difesa può esaminare gli atti depositati. Entro venti giorni l’indagato può esercitare le facoltà indicate dalla norma, tra cui presentare memorie e documenti, chiedere atti di indagine e richiedere l’interrogatorio. Se l’interrogatorio è richiesto, il pubblico ministero deve procedervi.
Accesso abusivo e altri reati informatici
Accesso abusivo, frode informatica, danneggiamento di dati e condotte riguardanti strumenti informatici non sono espressioni equivalenti. Un malware o la distruzione di file non dimostrano automaticamente un accesso abusivo: occorre accertare gli elementi delle singole disposizioni e il loro eventuale concorso.
La corretta qualificazione incide su pene, procedibilità e scelte processuali. L’esame deve partire dalla condotta descritta negli atti, senza ricondurre indistintamente ogni episodio digitale all’art. 615-ter.
Assistenza per un procedimento relativo all’art. 615-ter
La valutazione della posizione dell’indagato richiede l’esame degli atti disponibili e, quando necessario, dei dati informatici. Per richiedere un colloquio con l’Avv. Davide Tutino, del Foro di Catania, è possibile utilizzare l’indirizzo davide@tutino.sicilia.it o il numero 095 9991325.
Fonti normative e giurisprudenziali
- Art. 615-ter c.p.; artt. 2, 43, 47, 124 e 623-quater c.p.
- Legge 28 giugno 2024, n. 90, in particolare artt. 16 e 17.
- Codice di procedura penale: artt. 4, 33-bis, 60, 61, 64, 253, 254-bis, 273, 274, 280, 287, 381, 384, 405, 406, 407, 407-bis e 415-bis. Si vedano il testo sul fermo e quello sui termini delle indagini.
- Cassazione, Sezioni Unite, 27 ottobre 2011, depositata il 7 febbraio 2012, n. 4694, Casani: principi riportati nella Rassegna penale 2012 dell’Ufficio del Massimario.
- Cassazione, Sezioni Unite, 18 maggio 2017, depositata l’8 settembre 2017, n. 41210, Savarese: testo della sentenza.
- Cassazione, sezione V, 29 novembre 2018, depositata l’8 gennaio 2019, n. 565: riproduzione del provvedimento.
Verifica normativa e revisione: 11 ottobre 2026. Il contenuto ha finalità informativa e richiede di essere rapportato ai fatti e agli atti del singolo procedimento.
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania
