Il reato informatico commesso dal dipendente pubblico

La legge n. 547 del 1993 ha introdotto, nel nostro codice penale, tra i delitti contro la inviolabilità del domicilio, il reato di “accesso abusivo ad un sistema informatico o telematico”.

Con la legge sopra citata, il Legislatore ha previsto una nuova categoria di illeciti penali, ossia i reati informatici. Questa novità è stata chiaramente dettata dall’evoluzione dei tempi. L’evoluzione della tecnologia ha, infatti, notevolmente modificato anche il “modus operandi” del criminale.

A tal proposito, si parla di “cyber-criminalità”, ossia di crimini commessi attraverso il mezzo informatico e telematico.

Sommario

• 1. Un richiamo disciplinare sull’art. 615-ter c.p.
• 2. I conflitti giurisprudenziali sulla nozione di abusività e l’intervento delle SS.UU. del 2011
• 3. Caso concreto che ha posto l’accento sulla condotta che si concretizza in “sviamento di potere”
• 4. Riflessioni conclusive sul reato di accesso abusivo ex art. 615-ter c.p. commesso dal dipendente pubblico

1. Un richiamo disciplinare sull’art. 615-ter c.p.

Ebbene, anche un dipendente pubblico può commettere un reato di tipo informatico.

Sul punto, giova preliminarmente sottolineare che il più noto tra i reati informatici è quello previsto e disciplinato dall’art. 615-ter c.p. che testualmente recita: <>.

Brevemente ricordiamo che i reati informatici, al pari dei delitti comuni, vengono classificati in: reati necessariamente informatici o “propri” e reati eventualmente informatici o “impropri”.

I primi sono elencati dalle leggi n. 547 del 1993 e n. 48 del 2008, e sono il reato di frode informatica, accesso abusivo ed intercettazioni delle comunicazioni.

I secondi, invece, sono delitti comuni che vengono commessi attraverso l’ausilio del sistema informatico, si pensi per esempio al reato di cyberstalking in cui la condotta penalmente rilevante ai fini dell'art. 612-bis del codice penale si realizza per mezzo dell’uso di internet (facebook, whatsapp, etc..).

Con il secondo comma, al n. 1, dell’art. 615-ter c.p., il Legislatore ha previsto un’aggravante ad effetto speciale con una reclusione da uno a cinque anni.:<< se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri, o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema>>.

Ebbene, l’aggravante speciale prevista delinea i contorni del reato informatico commesso dal dipendente pubblico.

È utile ai nostri fini ricordare che le nozioni di pubblico ufficiale ed incaricato di un pubblico servizio sono definite rispettivamente agli artt. 357 c.p. e 358 c.p.

Secondo la legge penale, sono pubblici ufficiali coloro i quali esercitano una pubblica funzione amministrativa, legislativa e giudiziaria, mentre per incaricati di pubblico servizio debbono intendersi coloro i quali prestano un pubblico servizio ossia un’attività disciplinata nelle stesse forme della pubblica funzione, ma caratterizzata dalla mancanza dei poteri tipici di quest’ultima.

2. I conflitti giurisprudenziali sulla nozione di abusività e l’intervento delle SS.UU. del 2011

Dal testo dell’art. 615-ter c.p., emerge che il Legislatore ha previsto una duplice tipologia di condotta penalmente rilevante: la prima consiste nell’accedere abusivamente al sistema informatico o telematico, mentre la seconda consiste nel mantenersi all’interno del sistema contro la volontà espressa o tacita di chi ha il diritto di escluderlo.

Ebbene, la giurisprudenza si è lungamente dibattuta sul concetto di . La parola “abusivo” se riferita a delle persone significa “persona che esercita un’attività senza averne titolo o diritto”. Pertanto, secondo un primo orientamento giurisprudenziale, il reato non sarebbe configurabile allorché il soggetto che ne abbia titolo per accedere al sistema se ne avvalga per finalità estranee a quelle di ufficio, ferma la responsabilità per eventuali altri reati configurabili.

Un secondo orientamento, invece, sostiene che il reato è configurabile con la semplice condotta del soggetto che, pur abilitato ad accedere al sistema informatico e telematico, vi si introduca con la password di servizio per raccogliere dati protetti per fini estranei alle ragioni di istituto e agli scopi insiti nella protezione dell’archivio informatico, utilizzando così il sistema per fini diversi da quelli consentiti.

Nel 2011, le Sezioni unite sono intervenute per comporre il contrasto giurisprudenziale venuto alla luce con una pronuncia nella quale hanno chiaramente stabilito che, ai fini dell’integrazione del reato cui all’art. 615-ter c.p., non rilevano le finalità perseguite dal soggetto agente che accede o si mantiene all’interno del sistema, ma “Integra la fattispecie criminosa di accesso abusivo ad un sistema informatico o telematico protetto, prevista dall'art. 615-ter cod. pen., la condotta di accesso o di mantenimento nel sistema posta in essere da soggetto che, pure essendo abilitato, violi le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l'accesso” (1). Dunque, ciò che rileva è il profilo oggettivo dell’accesso e del trattenimento nel sistema che non è più lecito quando questo avviene in violazione dei limiti oppure per eseguire operazioni di natura diversa da quelle per le quali è stato riconosciuto l’accesso al sistema informatico.

Dopo la sentenza delle SS.UU. del 2011 (nota come “sentenza Casani”), alcune pronunce giurisprudenziali hanno posto il quesito, in seguito rimesso alle SS.UU, se il reato cui all’art. 615-ter comma 2, n.1, sia integrato anche quando il pubblico ufficiale o l’incaricato di un pubblico servizio, pur essendo formalmente autorizzato all’accesso al sistema, ponga in essere una condotta che concreti uno sviamento di potere, in quanto mirante al perseguimento di una finalità non istituzionale e se, quindi, detta condotta, pur in assenza di violazione di specifiche disposizioni, possa integrare l’abuso di poteri o la violazione di doveri previsti dall’art. 615-ter comma secondo, n.1, del codice penale.

3. Caso concreto che ha posto l’accento sulla condotta che si concretizza in “sviamento di potere”

Singolare è il caso di un cancelliere della Procura di Busto Arsizio il quale veniva condannato dalla Corte d’Appello di Milano per aver fatto accesso al R.E.G.E. (registro informatico notizie di reato) e aver preso visione dei dati relativi ad un procedimento penale di un suo conoscente.

È chiaro che in tal caso il cancelliere era indubbiamente autorizzato ad accedere al sistema, ma viene accusato di aver violato i doveri inerenti alle sue funzioni per aver acquisito delle informazioni che dovevano rimanere segrete.

Nell’ordinanza di rimessione alle SS.UU., (2) la Corte mette in evidenza come il cancelliere aveva lecitamente effettuato l’accesso al sistema, essendone autorizzato, ma aveva eseguito tale accesso non in esecuzione di un’attività d’ufficio.

La questione va ad intrecciarsi con quelli che sono i principi regolatori dell’azione amministrativa disciplinati dalla l. 241 del 1990.

Ancor più, giova ricordare che ogni potere pubblico è conferito per il raggiungimento di finalità ed obbiettivi istituzionali, come recita l’art. 97 della nostra Carta fondamentale.

L’amministrazione pubblica costituisce il complesso di soggetti pubblici che svolgono attività amministrativa, preordinata alla concreta realizzazione di interessi pubblici, o “un’attività funzionale agli interessi dell’insieme dei cittadini, al loro servizio” (3) disciplinata, di regola, da norme proprie del diritto pubblico.

Nel caso in esame il cancelliere aveva consultato il R.E.G.E. per acquisite notizie relative ad un suo conoscente.

Ebbene, il programma R.E.G.E. operativo presso ogni Procura delle Repubblica, prevede fino al provvedimento di chiusura delle indagini preliminari, la sua diretta gestione dalla segreteria del Pubblico Ministero; infatti, ai sensi dell’art. 335 c.p.p. il pubblico ministero è tenuto ad iscrivere immediatamente nel registro delle notizie di reato, le notizie di reato pervenutegli o acquisite di propria iniziativa ai sensi dell'articolo 330, nonché ad indicare, se possibile, il nome della persona cui il reato è attribuito.

Dunque, l’importanza e la delicatezza dell’insieme dell’iscrizioni del R.E.G.E. giustificano la necessità che il sistema informatico sia posto sotto il diretto controllo del procuratore della Repubblica, capo dell’ufficio, ai sensi del D.L. 196 del 2003.

Ora, le numerose disposizioni sopra richiamate delineano lo status della persona dotata di funzioni pubbliche, il cui agire deve essere indirizzato alle finalità istituzionali in vista delle quali il rapporto istituzionale è instaurato: doveri a cui sono correlati i necessari poteri e l’utilizzo di pubbliche risorse, traducendosi in abuso della funzione, nell’eccesso e nello sviamento di potere la condotta che si ponga in contrasto con le predette finalità istituzionali.

In particolare, si ha sviamento di potere quando nella sua attività concreta il pubblico funzionario persegue una finalità diversa da quella che gli assegna in astratto la legge sul procedimento amministrativo. (4)

Il caso, dunque, rimesso alle SS.UU, si è concluso con la pronuncia n. 41210 del 2017 che ha affermato il seguente principio di diritto : «Integra il delitto previsto dall’art. 615-ter comma 2 n. 1 c.p. la condotta del pubblico ufficiale o dell’incaricato di pubblico servizio che, pur essendo abilitato e pur non violando le prescrizioni formali impartite dal titolare di un servizio informatico o telematico protetto per delimitarne l’accesso, acceda o si mantenga nel sistema per ragioni ontologicamente estranee e comunque diverse rispetto a quelle per le quali, soltanto, la facoltà di accesso gli è attribuita».

4. Riflessioni conclusive sul reato di accesso abusivo ex art. 615-ter c.p. commesso dal dipendente pubblico

Orbene, il caso concreto che sin qui è stato esposto ha certamente messo in evidenza il fatto che la continua e rapidissima evoluzione dei sistemi informatici ha un impatto fortissimo anche nel mondo della giustizia.

È cambiato il modus operandi sia del criminale “comune” sia del dipendente pubblico, sicché al Legislatore non rimane che tenere sempre attive le sentinelle d’allarme, perché al momento il reato di accesso abusivo ex art. 615-ter c.p. pare ben delineato e definito nei suoi contorni, ma nulla esclude che i sistemi di controllo dell’attività svolta dai dipendenti pubblici possano essere hackerati o comunque violati da persone che potremmo definire “maghi” del web.

A parer di scrive, chi può realmente dare la certezza che, per esempio, durante un blocco del sistema, causato da una qualsivoglia ragione, o durante delle operazioni di manutenzione del pc presente all’interno dell’ufficio, non siano state acquisite dal dipendente delle informazioni che dovevano rimanere segrete.

Le notizie oggi possono trapelare in diversi modi, via e-mail, sms, whatsapp, telegram, screenshot, messanger e via discorrendo. Un dipendente pubblico, esperto nell’uso del sistema informatico, potrebbe infatti “sviare” il potere pubblico affidatogli in diversi modi.

Il mondo muta rapidamente ma il problema è sempre lo stesso, chi controlla il controllore?

In conclusione, se si verificano queste situazioni di “sviamento” significa che non è stato fatto abbastanza dal Legislatore che, probabilmente, dovrà rivalutare le modalità esecutive delle condotte che possono integrare l’illecito penale ed inasprire il quantum di pena nei confronti dei dipendenti pubblici che “tradiscono” la funzione pubblica della quale sono investiti.

1. SS.UU. N. 4694 del 2011
2. Corte Cassazione, Sez. V Penale, ordinanza 2017 n. 12264
3. SORACE D., Diritto delle amministrazioni pubbliche. Una introduzione, Padova 2007
4. Art. 1 legge 241 del 1990