Chi riceve una password può utilizzare un account quando ha il consenso di chi dispone del sistema e rispetta i limiti dell’autorizzazione accordata. Un’accusa di accesso abusivo richiede quindi di ricostruire chi poteva entrare, quali operazioni erano consentite e quando il permesso era vigente. La difesa riguarda sia le condizioni dell’accesso sia la consapevolezza dell’utilizzatore di agire oltre quei limiti.
Ingresso abusivo e permanenza nel sistema
L’art. 615-ter c.p. punisce due condotte: introdursi abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, oppure mantenervisi contro la volontà espressa o tacita di chi ha il diritto di escludere l’utilizzatore. Una casella di posta o un account protetto da password possono rientrare nella tutela della norma.
L’introduzione riguarda l’ingresso privo di un valido titolo; la permanenza può seguire un ingresso inizialmente consentito, quando l’utilizzatore continua ad accedere ai dati contro la volontà del titolare. Anche credenziali autentiche possono essere impiegate in violazione delle condizioni accordate. La questione giuridica è l’abusività della condotta riferita al sistema protetto.
Come si delimitano le autorizzazioni
Per un soggetto autorizzato, le Sezioni Unite n. 4694/2012 hanno individuato il criterio nelle prescrizioni del titolare che delimitano oggettivamente l’accesso. Occorre ricostruire, per esempio, quali aree fossero consultabili, quali operazioni fossero ammesse e se il permesso fosse temporaneo. La destinazione successiva dei dati richiede una qualificazione distinta dalla legittimità dell’ingresso o della permanenza.
In un rapporto personale, una richiesta di recuperare un determinato documento può circoscrivere il consenso a quell’operazione. In un rapporto di lavoro, istruzioni, profili assegnati e regole interne possono delimitare le consultazioni. Le autorizzazioni vanno ricostruite dal loro contenuto effettivo: comunicazioni, configurazione degli accessi e prassi documentate.
La giurisprudenza sugli accessi dei pubblici ufficiali a banche dati di servizio affronta anche i doveri funzionali legati a quelle attività. Per un account privato, l’accertamento deve concentrarsi sulle condizioni concretamente poste da chi dispone del sistema.
Revoca del permesso e prova della consapevolezza
Una revoca comunicata, la cessazione di un incarico o il mutamento delle condizioni di utilizzo possono assumere rilievo per gli accessi successivi. Occorre individuare il momento in cui il consenso è cessato e le circostanze dalle quali risulta che l’utilizzatore ne fosse consapevole. La password può continuare a funzionare anche dopo una revoca: la disponibilità tecnica va confrontata con il permesso esistente.
Il delitto richiede dolo generico: coscienza e volontà dell’accesso o della permanenza abusivi. Un effettivo errore di fatto sull’esistenza del consenso esclude il dolo. Tale questione si accerta attraverso le comunicazioni e le condizioni conosciute dall’utilizzatore al momento della condotta. L’affermazione di aver creduto nel permesso deve trovare riscontro nella concreta vicenda.
Quali dati possono sostenere o smentire l’accusa
La ricostruzione può utilizzare messaggi di autorizzazione, istruzioni aziendali, comunicazioni di revoca, restituzione dei dispositivi e registri degli accessi. Vanno confrontati orari, sessioni e apparecchi impiegati per attribuire le singole operazioni alla persona accusata.
Le comunicazioni già lecitamente disponibili devono essere conservate nella loro sequenza originale. Gli accessi controversi vanno ricostruiti attraverso il materiale esistente e gli accertamenti consentiti nel procedimento. Entrare nuovamente nell’account altrui per procurarsi prove può costituire una condotta ulteriore da valutare separatamente.
Pene, procedibilità e rito
La fattispecie di base del primo comma prevede la reclusione fino a tre anni e procede a querela della persona offesa. Rientra ordinariamente nella citazione diretta al Tribunale ai sensi dell’art. 550, comma 1, c.p.p.
La legge n. 90/2024 ha modificato le forme aggravate. Il secondo comma prevede la reclusione da due a dieci anni, nei casi indicati dalla norma: fra questi vi sono l’abuso della qualità di operatore del sistema e, alle condizioni del numero 3, la distruzione, il danneggiamento o la sottrazione dei dati, anche mediante riproduzione o trasmissione. Per i sistemi di interesse pubblico individuati dal terzo comma sono previste le cornici da tre a dieci o da quattro a dodici anni. Queste ipotesi procedono d’ufficio. La data del fatto determina quali disposizioni sanzionatorie siano applicabili.
Domande frequenti
Che cosa prova un messaggio con la password?
Può documentare la consegna delle credenziali. Il testo e il contesto della comunicazione permettono di ricostruire le operazioni autorizzate e la durata del consenso.
Quale rilievo ha la revoca del permesso?
Incide sugli accessi successivi. Occorre accertarne contenuto, momento e conoscenza da parte dell’utilizzatore.
Conta l’uso condiviso del dispositivo?
Conta per attribuire l’operazione alla persona accusata. Tempi, disponibilità e sessioni devono essere ricostruiti attraverso elementi verificabili.
Lo Studio Legale Avv. Davide Tutino, del Foro di Catania, assiste indagati e imputati nei procedimenti per reati informatici. Per concordare un colloquio è possibile utilizzare i contatti dello studio oppure chiamare 095 9991325 o 392 3838383.
