Il reato di accesso abusivo ad un sistema informatico si concretizza solo se è protetto da misure di sicurezza

Il Nuovo Regolamento Europeo 2016/679 all’art. 32 dispone che il Titolare del trattamento abbia l’onere di predisporre misure tecniche e organizzative idonee a garantire un adeguato livello di sicurezza in grado di mitigare il rischio derivante dal trattamento dati personali.

La finalità di tali misure corrisponde alla necessità di assicurare la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e degli archivi.

La riservatezza richiede l’adozione di un sistema di monitoraggio degli accessi (autenticazione) ai propri sistemi informatici con credenziali e privilegi di accesso differenziati, facendo riferimento alle responsabilità e alla mansione svolta da ciascun soggetto autorizzato ad accedere ai dati aziendali.

Anche il Codice penale all’articolo 615-ter affronta questa necessità e recita: “Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.”

L’obbligo di garantire la riservatezza riguarda due tipologie di condotte:

1. a) l’introduzione abusiva in un sistema informatico o telematico protetto da misure di sicurezza;
2. b) il mantenimento nel sistema informatico o telematico contro la volontà espressa o tacita di chi ha il diritto di escluderlo (ius excludendi).

Affinché l’elemento soggettivo del reato si realizzi è sufficiente la coscienza e volontà di introdursi ovvero mantenersi abusivamente nel sistema informatico o telematico (Dolo generico).

Per “sistema informatico” si intende secondo la convenzione Europea di Budapest del 23.11.2001 “qualsiasi apparecchiatura o gruppo di apparecchiature interconnesse o collegate, una o più delle quali, in base ad un programma, compiono l’elaborazione automatica dei dati”. Mentre, per “sistema telematico” si intendono un insieme di apparecchiature che consentono la trasmissione di dati a distanza.

Si tratta di un reato di pericolo, che si consuma nel momento in cui il soggetto si introduce nel sistema informatico o telematico. Il reato, pertanto, si consuma con il semplice accesso ad un sistema informatico o telematico, a prescindere dal fine, purché il sistema sia protetto da misure di sicurezza. Nella nozione di misure di sicurezza possono farsi rientrare tutte quelle misure di protezione, al cui superamento è possibile subordinare l’accesso ai dati e ai programmi contenuti nel sistema.

La Corte di Cassazione ha avuto modo di precisare (Cass. Pen. 36721/2008) che è certamente necessario che il sistema non sia aperto a tutti, ma assume rilevanza qualsiasi meccanismo di selezione abilitati all’accesso. Ne consegue che anche l’adozione di una protezione semplice, costituita da una parola chiave (password) rappresenta pur sempre un’esplicitazione del divieto di accesso al sistema e legittima la tutela in sede penale.

Si tratta di un aspetto criticato da una parte della dottrina secondo la quale: “L’adozione di chiavi di accesso come “pippo” o “ciao” non può essere considerata idonea allo scopo, perché oggettivamente insicura. Né dovrebbe ragionevolmente essere perseguito penalmente il soggetto colpevole di aver ottenuto così facilmente l’accesso all’elaboratore”. (Gianluca Pomante, op. cit., pag. 74.). Su questa linea anche Tribunale di Roma, Uff. GIP, Sez. 8a, sentenza del 4 aprile 2000, n. 6677/99 R.G.G.I.P.

In conclusione, il legislatore con l’introduzione della norma incriminatrice di cui all´art. 615 ter ha inteso tutelare non la privacy di qualsiasi “domicilio informatico”, ma soltanto quella di sistemi “protetti” contro il pericolo di accessi da parte di persone non autorizzate.

L’accesso, invece, ad un sistema non protetto, sebbene penalmente lecito, può comportare civilisticamente un danno ingiusto risarcibile ex articolo 2043 c.c.

Rif: https://www.federprivacy.org/informazione/primo-piano/il-reato-di-accesso-abusivo-ad-un-sistema-informatico-si-concretizza-solo-se-e-protetto-da-misure-di-sicurezza