Articolo 615 ter Codice Penale

La questione consiste, in sostanza, nello stabilire se la conversazione mail intercorsa tra la tutor ed il suo legale possa esser utilizzata – sotto il profilo della violazione della privacy, specialmente con riguardo all’uso delle credenziali di accesso alla posta elettronica - ai fini di un’eventuale denuncia all’autorità giudiziaria.

Va correttamente osservato che le credenziali di accesso alla posta elettronica erano state fornite dalla tutor stessa, che ne aveva autorizzato l’utilizzo: questo, evidentemente, per motivi professionali, ovvero solo (così si presume, perché pare che non ci sia nulla di scritto in tal senso) limitatamente alla durata del rapporto di stage.
Tali credenziali sono state sempre correttamente utilizzate dallo stagista, fino alla chiusura del rapporto, quando è stata inviata formale comunicazione di interruzione dello stesso.
La lettura della conversazione di cui al quesito è stata del tutto casuale: subito dopo l’account è stato eliminato dal pc e la conversazione stessa non è stata oggetto di diffusione alcuna presso terzi soggetti, né altro tipo di trattamento.
Lo screenshoot effettuato ha avuto la finalità, risulta evidente dal quesito, unicamente di precostituire una prova da far valere in caso di eventuale denuncia per calunnia.

Ciò detto e premesso, è essenziale distinguere due profili, quello civile e quello penale.

Sotto il profilo civile, non si ravvisa violazione alcuna nell’utilizzo delle informazioni apprese dalla lettura della e-mail; vengono infatti in considerazione i seguenti articoli del codice della privacy:
- art. 3: “1. Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto all'applicazione della presente legge, sempreché i dati non siano destinati ad una comunicazione sistematica o alla diffusione.”: nel caso di specie il trattamento (inteso come semplice lettura del contenuto della mail ed utilizzo temporaneo delle credenziali di accesso all’account di posta) è avvenuto “per fini personali” e non è stato oggetto di comunicazione e/o diffusione alcuna.
- Art. 12: “1. Il consenso non è richiesto quando il trattamento: (…) h) è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento”: pertanto, nel caso di specie, la conversazione tra la tutor ed il legale, che doveva rimanere forse privata nelle intenzioni dei due corrispondenti, potrebbe essere teoricamente utilizzata anche in difetto di loro avviso o consenso al fine (e solo quello) di difendere il proprio diritto alla dignità e quindi per sporgere denuncia all’autorità giudiziaria per calunnia o comunque per qualsiasi altro tipo di reato possa essere configurabile.

Tuttavia, sotto il profilo penale, la conclusione è completamente diversa, perché potrebbe essere configurabile il reato di “accesso abusivo a sistemi informatici o telematici” di cui all’art. 615 ter c.p.: “Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni. (…)”.
La giurisprudenza, infatti, sostiene che tale reato è integrato non solo quando si accede al sistema senza autorizzazione ma altresì (come si potrebbe ipotizzare nel nostro caso) quando, pur essendo autorizzati – perché il titolare ha fornito le credenziali di accesso – ci si “mantiene” dentro al sistema per finalità che non sono quelle per cui si è ricevuta l’autorizzazione: “Integra il delitto previsto dall'art. 615 ter cod. pen., la condotta di accesso o di mantenimento nel sistema informatico da parte di un soggetto, che, pure essendo abilitato, violi le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l'accesso” (Cassazione penale, sez. V, 26/06/2015, n. 44403).

Nel caso di specie non è, per la verità, molto chiara la dinamica dei fatti: da quel che si è compreso e ad avviso di chi scrive, se si è ricevuta (perché esisteva ancora l’account della tutor sul pc) la notifica di una email proveniente dalla casella di posta di un terzo soggetto, personalmente indirizzata alla titolare della casella, essa non avrebbe dovuto essere aperta e letta: più in particolare, nel caso in esame, avendo lo stagista già inviato formale comunicazione di recesso dal rapporto di stage, avrebbe dovuto immediatamente eliminare l’account (tra l’altro lui stesso ha scritto “Comunico, (…) la volontà che ogni condivisione di password e tutti i contenuti inerenti, e non inerenti, allo stage vengono immediatamente interrotti e cessati”).
L’effettuazione di uno screenshot potrebbe poi essere visto come un accesso al sistema per fini non autorizzati.

In effetti, per valutare la sussistenza o meno del reato, occorre verificare se la condotta dello stagista abbia violato o meno i limiti posti dalla titolare all’uso del sistema stesso: “Nel caso in cui l'agente sia in possesso delle credenziali per accedere al sistema informatico, occorre verificare se la condotta sia agita in violazione delle condizioni e dei limiti risultanti dal complesso delle prescrizioni impartite dal titolare dello jus excludendi per delimitare oggettivamente l'accesso, essendo irrilevanti, per la configurabilità del reato di cui all'art. 615 ter c.p., gli scopi e le finalità soggettivamente perseguiti dall'agente così come l'impiego successivo dei dati eventualmente ottenuti.” (Cassazione penale, sez. V, 31/10/2014, n. 10083); invece: “Non sussiste il reato di cui all'art. 615 ter c.p. (accesso abusivo ad un sistema informatico o telematica) qualora l'accesso, quale che sia la finalità perseguita dall'agente, venga effettuato da soggetto in possesso delle richieste credenziali e non risultino violate le prescrizioni del titolare del sistema né risultino poste in essere operazioni di natura ontologicamente diversa da quelle per le quali l'accesso è consentito.” (Cassazione penale, sez. V, 15/01/2015, n. 15950; conforme Cassazione penale, sez. V, 20/06/2014, n. 44390).

Nel caso di specie siamo un po’ al limite: la tutor non ha posto particolari prescrizioni e/o divieti all’uso dell’account, anche se si può ragionevolmente presumere, come già detto, che quest’ultimo dovesse essere utilizzato per finalità connesse esclusivamente alla frequentazione dello stage, il che pare escludersi nel caso in esame.

Non esiste poi, purtroppo, in relazione a questo reato, la scriminante dell’esercizio di un diritto, come avviene invece – lo si è già evidenziato sopra – nell’ambito civile, in cui un’eventuale utilizzo dei dati personali senza consenso può essere consentito se ciò serva alla difesa di un altro diritto garantito dalla legge.
Afferma in merito la Cassazione penale: “Non sussiste la scriminante di cui all'art. 51 c.p.” – il quale recita “L'esercizio di un diritto o l'adempimento di un dovere imposto da una norma giuridica o da un ordine legittimo della pubblica Autorità, esclude la punibilità” - nella condotta della parte che, per carpire dati utili alla sua difesa in giudizio, accede abusivamente alla casella di posta di un collega di studio, prendendo cognizione di alcune e-mail inviate a tale collega o da questi spedite, integrandosi, pertanto, l'ipotesi del reato di accesso abusivo ad un sistema informatico” (Cassazione penale, sez. V, 29/10/2014, n. 52075).

Se l’intenzione è quindi quella di sporgere denuncia querela, il rischio concreto è quello di subire una controquerela per violazione dell’art. 615-ter c.p.; ugualmente tale rischio sussiste se la conversazione “fotografata” venga utilizzata per richiedere delle scuse.
Al momento, sarebbe forse più opportuno limitarsi a richiedere queste ultime in forza delle conversazioni udite e/o valutare se sussistono gli elementi e le prove per sporgere denuncia in ordine ad un’eventuale utilizzo delle registrazioni delle conversazioni effettuate tra tutor e stagista (in ordine a questo, si consiglia un consulto con un legale specialista in diritto penale).

L'art. 615 ter del c.p. sanziona il reato di accesso abusivo ad un sistema informatico o telematico, stabilendo al comma 1 che "Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni". Stabilisce il co. 2 che "La pena è della reclusione da uno a cinque anni: 1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema". Ulteriore aggravante è prevista dal co. 3.

Il bene giuridico protetto è individuato nella tutela del domicilio informatico, quale spazio sia ideale che fisico di pertinenza della persona, al quale viene estesa la tutela di quel bene che è la riservatezza della sfera individuale (Cass. 3067/1999).
Soggetto attivo può essere chiunque (trattasi di reato comune). Possono integrare l'illecito due diverse condotte: l'introduzione abusiva e il trattenersi contro la volontà del titolare del diritto di esclusione, entrambe esercitate nei confronti di un sistema informatico o telematico protetto da misure di sicurezza. Sul piano soggettivo è richiesto il dolo generico.

La questione sottoposta all'esame si incentra su una condotta consistente nell'accedere (da parte di un carabiniere) al sistema informatico "SDI" (Sistema D'Indagine), stampare ciò che ha consultato, e trasmetterlo quindi a terzi.

Sembra pertanto che la problematica debba essere affrontata esaminando la questione, già sottoposta alla Cassazione, se il reato ex 615ter c.p. sussista anche quando il soggetto sia acceduto legittimamente al sistema ma vi abbia poi operato per scopi non leciti.

In tema si potevano rinvenire due diversi orientamenti, poi composti da una pronuncia a Sezioni Unite.
Un primo orientamento giurisprudenziale riteneva che l'introduzione nel sistema, pur se effettuata in base ad un valido titolo, potesse integrare il reato se serviva a raccogliere dati protetti per scopi estranei alle ragioni di impiego ed ai connessi scopi di protezione dell'archivio informatico (tra le altre Cass. 2987/2009, Cass. 37322/2008). La conclusione cui si giungeva valorizzava non la condotta di accesso abusivo bensì quella di trattenersi contro la volontà dell'avente diritto all'esclusione.
Un diverso orientamento, invece, sosteneva che l'introduzione legittima ma per scopi estranei non potesse integrare l'illecito in esame ma, eventualmente, altri reati (si vedano, tra le altre, Cass. 40078/2009, Cass. 26797/2008). Tale ricostruzione faceva leva sul fatto che la sussistenza della volontà contraria del titolare del diritto di esclusione doveva essere verificata nel momento dell'accesso e non in un momento successivo.

Le Sezioni Unite hanno assunto una prospettiva diversa (Cass. 7/02/2012, n. 4696), per cui non vanno ritenute decisive le finalità perseguite dal soggetto che accede legittimamente al sistema perché ciò che rileva è l'elemento oggettivo dell'introdursi e del trattenersi: in tal senso, secondo la Corte, sono condotte illeciti sia quella del soggetto che viola i limiti che il titolare del sistema ha imposto (ad esempio prassi aziendali, disposizioni organizzative interne) sia quella del soggetto che compie operazioni diverse da quelle per cui è incaricato e può accedere. Quindi, se vengono violate le "condizioni" di accesso (tra cui rientrano quelle regolano quali attività e per quale tempo si possono compiere) è violato il titolo di accesso e la permanenza nel sistema.
In sostanza, non contano tanto le successive condotte quanto l'uso illegittimo del diritto di accesso, come si desume chiaramente dalla pronuncia, secondo cui "Il dissenso tacito del dominus loci non viene desunto dalla finalità (quale che sia) che anima la condotta dell'agente, bensì dall'oggettiva violazione delle disposizioni del titolare in ordine all'uso del sistema. Irrilevanti devono considerarsi gli eventuali fatti successivi: questi, se seguiranno, saranno frutto di nuovi atti volitivi e pertanto, se illeciti, saranno sanzionati con riguardo ad altro titolo di reato (rientrando, ad esempio, nelle previsioni di cui agli artt. 326, 618, 621 e 622 cod. pen.)" (Cass. S.U. 4696/2012).