I confini del reato di accesso abusivo ad un sistema informatico

Con sentenza n. 22017 depositata in data 11 giugno 2025, la Corte di Cassazione è tornata ad affrontare un tema particolarmente dibattuto già portato all’attenzione delle Sezioni Unite ovvero i confini del reato di accesso abusivo al sistema informatico disciplinato dall’art. 615 ter c.p.

Nello specifico, la vicenda riguardava l’accesso ai sistemi informatici della Procura di Terni eseguito da parte di un Pubblico Ufficiale della Sezione della Polizia Giudiziaria e finalizzato – in questo è stata riconosciuta l’abusività nei primi gradi di giudizio – al monitoraggio di un procedimento penale iscritto contro ignoti che riguardava un Dirigente del medesimo ufficio.

Alla base delle statuizioni dei giudici del gravame era stato posto il principio di diritto affermato dalla pronuncia delle Sezioni Unite “Savarese” n. 41210 del maggio 2017.

Ha proposto ricorso per Cassazione la difesa ritenendo che, all’epoca dei fatti (giugno 2016), l’interpretazione giurisprudenziale del reato di cui all’art. 615 ter c.p. fosse ben differente da quanto statuito dalle Sezioni Unite del 2017 che dunque sono espressione di un mutamento giurisprudenziale imprevedibile al momento della commissione del fatto e il cui recepimento nel caso di specie costituirebbe un’applicazione retroattiva in malam partem del tutto illegittima.

Ciò premesso, la Corte di Cassazione, al fine di accertare la prevedibilità all’epoca dei fatti del mutamento giurisprudenziale realizzatosi con le Sezioni Unite Savarese, ha ripercorso lo stato dell’arte della giurisprudenza relativa al reato di cui all’art. 615 ter c.p.

In primo luogo, la Corte ha evidenziato il contrasto giurisprudenziale vigente all’epoca dei fatti che vedeva contrapposti due principali orientamenti.

Secondo un primo orientamento, l’integrazione del reato di cui all’art. 615 ter c.p. si configurava non solo nel momento in cui l’agente si introduceva abusivamente nel sistema informatico ma altresì nei casi in cui lo stesso, pur essendo legittimato all’accesso, vi permaneva al suo interno contro la volontà espressa o tacita di chi aveva il diritto di escluderlo.

In tal senso, l’accesso si riteneva abusivo nel momento in cui la permanenza nel sistema informatico era sorretta da fini estranei alla ratio del titolo abilitante.

Al contrario, un secondo orientamento limitava l’integrazione del reato de quo agli accessi abusivi ritenuti tali in forza della mancanza di un titolo abilitante. Secondo tale concezione dunque, i fini per i quali un soggetto si introduceva o permaneva in un sistema informatico erano del tutto irrilevanti nel giudizio di accertamento dell’integrazione del reato.

A fronte di tale contrasto giurisprudenziale, sono intervenute le Sezioni Unite “Casani” del 2011 secondo cui il reato di cui all’art. 615 ter c.p. si deve ritenere integrato quando il soggetto agente, pur essendo abilitato all’accesso, acceda o si mantenendo all’interno dello stesso violando le condizioni e i limiti indicati dal titolare del sistema, rimanendo irrilevanti le ragioni soggettive sottese a tale condotta.

Tuttavia, il contrasto giurisprudenziale sopra citato non è andato risolvendosi dopo la pronuncia delle Sezioni Unite, di talché si sono succedute diverse pronunce che, pur aderendo al principio di diritto sopra indicato, ne hanno ampliato i confini fornendo interpretazioni che permettevano di ritenere penalmente rilevanti anche condotte di per sé estranee al reato di cui all’art. 615 ter c.p. in quando non rientranti nel perimetro interpretativo indicato dalle Sezioni Unite.

Sul punto, si riporta la pronuncia “Carnevale” del 2013 secondo cui i fini e le ragioni sottese all’accesso o alla permanenza in un sistema informatico, per quanto, come specificato dalle Sezioni Unite, irrilevanti nel giudizio di accertamento dell’integrazione del reato, “rappresentano un valore sintomatico utile a chiarire se il soggetto agente abbia utilizzato il potere entro il perimetro o al di fuori dell’ambito di azioni istituzionalmente conferitegli” e dunque abbia rispettato – come richiesto dalla Sezioni Unite – i limiti e condizioni posta dal titolare del sistema informatico.

Preso atto dello stato dell’arte della giurisprudenza, ancora divisa nell’interpretazione della norma, sono intervenute le citate Sezioni Unite “Savarese” del 2017 aderendo nei fatti al primo orientamento sopra riportato.

Secondo le Sezioni Unite del 2017 infatti, la valutazione dei fini e della ragioni per le quali un soggetto accede o si mantiene all’interno di un sistema informatico sono rilevanti nel giudizio di accertamento dell’integrazione del reato al punto che il reato è da ritenersi integrato “laddove l’agente pur essendo abilitato, pur non violando le prescrizioni impartite dal titolare del sistema informatico, vi si mantenga per ragioni ontologicamente estranee rispetto a quelle per le quali la facoltà di accesso gli è attribuita”.

Ora, al fine di comprendere se le doglianze difensive colgono nel segno, è necessario accertare se il principio di diritto affermato dalle Sezioni Unite Savarese – posto alla base della condanna del caso in esame – fosse prevedibile nel giugno 2016 ovvero all’epoca dei fatti. 

A tal proposito, la Corte ha ritenuto che la condivisione del principio di diritto delle Sezioni Unite Savarese non debba essere qualificato quale interpretazione giurisprudenziale in malam partem quanto più “rappresenti una naturale risposta all’esigenza di specificazioni e precisazioni del principio affermato dalla Sezioni Unite Casani del 2011”.

La rilevanza delle ragioni per le quali l’agente accede o si mantiene all’interno del sistema informatico per il quale è abilitato – salva ovviamente la rilevanza penale dell’accesso abusivo del soggetto privo del titolo abilitante – non è altro che, secondo la Corte, un approfondimento dell’orientamento già introdotto dalla pronuncia Casani che aveva evidenziato la rilevanza penale e dunque l’integrazione della fattispecie nel caso di travalicamento dei limiti e delle prescrizioni impartite dal titolo abilitante “nel caso di compimento di operazioni ontologicamente diverse da quelle di cui egli era incaricato di svolgere”.

Sulla scorta di tali considerazioni, qualificando nel caso di specie le ragioni sottese all’accesso del Pubblico Ufficiale nei termini sopra specificati, la Corte ha rigettato il ricorso ritenendo che il principio di diritto della pronuncia Savarese non fosse “imprevedibile” all’epoca dei fatti quando peraltro vigeva già un accesso contrasto giurisprudenziale.