Locus commissi delicti e accesso abusivo ad un sistema informatico alla luce della sentenza della Corte di Cassazione n. 40303/2013

Inserito nel corpus normativo del codice penale con la legge n. 547 del 23 dicembre 1993, l’art. 615-ter c.p. ha rappresentato la reazione del legislatore al dilagante fenomeno degli hackers, tentando di fornire una tutela nei confronti del “domicilio informatico” quale spazio ideale della sfera individuale. Tale elemento non costituisce l’unico bene giuridico tutelato dalla norma penale in esame, in quanto tale tutela si estende anche nei confronti del cd. ius excludendi alios: in questo senso, il legislatore ha voluto sanzionare anche la condotta di quel soggetto che si trattiene in un sistema informatico contro la volontà – esplicita o tacita – di colui che ha il diritto ad escluderlo.

E’ quindi evidente che la finalità della norma in questione è quella di proteggere la riservatezza dei dati o dei programmi contenuti in un dato sistema informatico, provvisto di idonei dispositivi di sicurezza contro gli accessi indesiderati.

Da un punto di vista applicativo, dal momento della sua entrata in vigore, i maggiori problemi si sono determinati con riferimento al luogo di consumazione del reato. E’ infatti agevolmente comprensibile che, dato il flusso transfrontaliero di dati nonché la stessa interconnessione delle reti di computer, si possono porre enormi problematiche con riferimento al luogo di consumazione e, conseguentemente, dell’individuazione dell’organo giurisdizionale competente.

Secondo un primo orientamento di legittimità, affermatosi in diverse pronunce della Corte di Cassazione nel corso degli anni, la consumazione del delitto si ha nel momento in cui il soggetto agente, interagendo con il sistema informatico protetto, ne abbia oltrepassato le cautele protettive; oppure ancora, introducendosi con un legittimo titolo abilitativo, vi permanga oltre i limiti di validità del titolo medesimo (tra le altre, Cassazione Penale, sez. V, n. 11689/2007). Per determinare il locus commissi delicti, ci si deve quindi riferire al luogo dove è stata realizzata l’ultima attività umana intesa da un punto di vista strettamente fisico, ossia l’accesso al terminale: conseguentemente, il luogo di consumazione del reato si individua nel luogo della collocazione del terminale attivato per l’accesso.

Tale interpretazione è stata però smentita dalla sentenza pronunciata dalla Prima Sezione Penale della Corte di Cassazione il 27.9.2013, n. 40303.

Tale pronuncia, da un punto di vista fattuale, si riferisce ad una serie di accessi illegittimi effettuati a Firenze nei confronti dello S.D.I. della Polizia di Stato.

Chiarito in via preliminare che tale sistema è chiuso, ed è quindi accessibile soltanto da postazioni di lavoro certificate che consentono l’acquisizione delle informazioni in sede locale utilizzando una rete intranet, senza esporsi ad interazioni con la rete pubblica, la Cassazione ha stabilito che il luogo di consumazione del reato non coincide con quello in cui vengono inseriti i dati per accedere al sistema: la Suprema Corte ha infatti affermato che il luogo di riferimento corrisponde al luogo in cui viene effettivamente superata la protezione informatica, e, quindi, là dove è materialmente situato il server violato.

La Suprema Corte ha affermato che, ai fini dell’individuazione del locus, non hanno rilevanza condotte successive di acquisizione ed uso dei dati, né il luogo in cui l’accesso al sistema è iniziato attraverso i terminali, che costituiscono meri strumenti di accesso. Le attività prodromiche non possono quindi costituire il riferimento per la determinazione del luogo in cui si è consumato il reato, in quanto sono funzionali ad un accesso nel sistema che si andrà effettivamente a verificare soltanto nel momento in cui il server avrà validato le credenziali di accesso: è in questa fase che si verifica la consumazione del reato e – di conseguenza – è in tale momento che si determinerà il luogo in cui il reato stesso si consuma.