Dipendenti infedeli e cyber crime interno: come la giurisprudenza italiana protegge le aziende

Accesso Abusivo a Sistemi Informatici

La giurisprudenza italiana ha chiarito che il reato di accesso abusivo a sistemi informatici (Art. 615-ter c.p.) non si limita agli attacchi esterni, ma include anche i casi in cui soggetti autorizzati violano i limiti del proprio accesso. La sentenza delle Sezioni Unite della Cassazione n. 4694 del 2011 ha stabilito che un dipendente o collaboratore può essere perseguito se accede a un sistema informatico per scopi diversi da quelli autorizzati, anche in assenza di regole scritte.

La Cassazione, con la sentenza n. 41210 del 2017, ha introdotto il concetto di "ontologica incompatibilità", affermando che qualsiasi comportamento in contrasto con i doveri d'ufficio o con le finalità del mandato ricevuto è abusivo, indipendentemente dall'esistenza di un regolamento scritto. Questo principio è stato ribadito nella sentenza n. 565 del 2019, che ha condannato per concorso nel reato di accesso abusivo sia chi materialmente accede al sistema sia chi ne è il beneficiario o il mandante.

La sentenza n. 1957 del 2020 ha esteso questo principio a casi più complessi, coinvolgenti intermediari esterni e catene di istigazione. La recente sentenza n. 40295 del 2024 ha confermato che l'accesso abusivo si configura anche quando un superiore gerarchico ottiene le credenziali di accesso da un subordinato per consultare dati sensibili.

di mercato/sicurezza

Le violazioni informatiche interne rappresentano una quota significativa degli incidenti più gravi e costosi per le organizzazioni, con dati che evidenziano un trend in crescita. Secondo recenti analisi giurisprudenziali, una parte rilevante di questi attacchi proviene da dipendenti, collaboratori o ex soci che abusano dei propri privilegi di accesso.

Il dipendente infedele, figura giuridica nota, ha visto evolvere le proprie modalità di azione nel contesto digitale. Se in passato il furto di documenti cartacei era la norma, oggi assistiamo a copie massicce di file su dispositivi personali, accessi abusivi a database riservati, esfiltrazione di segreti industriali e sabotaggi dei sistemi informativi aziendali.

La giurisprudenza italiana ha affrontato queste nuove sfide attraverso un percorso evolutivo, elaborando principi capaci di intercettare condotte che il legislatore del 1993 non poteva immaginare. L'art. 615-ter del codice penale, introdotto con la Legge 547/1993, punisce chi abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza.

La Cassazione, con la sentenza n. 4694 del 2011, ha stabilito che il reato si configura quando un soggetto abilitato accede o permane in un sistema informatico violando le condizioni e i limiti impartiti dal titolare del sistema. Questo principio è stato ulteriormente rafforzato dalla sentenza n. 41210 del 2017, che ha introdotto il concetto di «ontologica incompatibilità», ovvero qualsiasi comportamento che si ponga in diretto contrasto con i propri doveri d’ufficio o con le finalità del mandato ricevuto.

La sentenza della Cassazione n. 565 del 2019 ha chiarito che anche chi non compie materialmente l’accesso abusivo, ma ne è il beneficiario o il mandante, può essere condannato per concorso nel reato di accesso abusivo. Questo principio è stato ribadito dalla Cassazione n. 1957 del 2020 in un caso che coinvolgeva una catena di istigazione.

La sentenza n. 40295 del 2024 della Cassazione, Sezione V penale, ha confermato che l'ottenimento di credenziali di accesso da parte di un superiore gerarchico per consultare un database riservato costituisce accesso abusivo.

Per gli amministratori delegati e i responsabili di impresa, conoscere queste pronunce non è un esercizio accademico, ma una leva strategica per prevenire il rischio, strutturare i controlli e proteggere il patrimonio informativo aziendale.

consigli pratici per l'utente/investitore

Le violazioni informatiche interne rappresentano una minaccia concreta, con dipendenti o ex collaboratori che abusano dei privilegi di accesso. La giurisprudenza italiana ha sviluppato principi per contrastare queste condotte, offrendo strumenti strategici per prevenire il rischio.

L'art. 615-ter del codice penale punisce l'accesso abusivo a sistemi informatici protetti. La giurisprudenza ha chiarito che il reato si configura anche quando l'accesso è effettuato da chi ha le credenziali, ma per scopi diversi da quelli autorizzati (Cassazione, Sezioni Unite, sentenza n. 4694/2011).

La sentenza n. 41210/2017 delle Sezioni Unite ha stabilito che l'accesso abusivo si configura anche in assenza di regole scritte, se le finalità sono ontologicamente incompatibili con i doveri d'ufficio. Questo principio è cruciale per le aziende, che devono monitorare l'uso dei sistemi anche in assenza di policy esplicite.

La Cassazione, con sentenza n. 565/2019, ha ribadito che chi istiga o beneficia di un accesso abusivo è penalmente responsabile. Questo vale anche per chi non interagisce direttamente con il sistema, ma ne richiede l'accesso a un collega (Cassazione, sentenza n. 1957/2020).

La sentenza n. 40295/2024 della Cassazione ha confermato la responsabilità penale per chi ottiene credenziali di accesso da un subordinato per consultare database aziendali. Questo principio vale per qualsiasi contesto lavorativo, non solo per i pubblici ufficiali.

Per gli amministratori delegati e i responsabili di impresa, conoscere queste pronunce è essenziale per strutturare controlli efficaci. Dotarsi di policy chiare e monitorare l'uso dei sistemi informatici sono passi fondamentali per proteggere il patrimonio informativo aziendale.

Previsione futura

La giurisprudenza italiana ha già tracciato una strada chiara: il concetto di "ontologica incompatibilità" renderà sempre più rilevanti le policy aziendali, ma non basteranno più regolamenti scritti per prevenire condotte illecite. Le aziende dovranno adottare sistemi di monitoraggio avanzato, come l'analisi del comportamento degli utenti (UEBA) e l'autenticazione a più fattori (MFA), per rilevare accessi anomali in tempo reale.

L'evoluzione normativa punterà su due fronti: da un lato, chiarirà ulteriormente le responsabilità dei beneficiari di dati ottenuti illegalmente; dall'altro, estenderà le sanzioni a chi istiga all'accesso abusivo, anche se esterno all'organizzazione. Le sentenze future potrebbero riconoscere come reato autonomo il "furto di dati attraverso intermediari", con pene proporzionali al danno causato.

Infine, l'adozione diffusa di tecnologie come la blockchain per la tracciabilità degli accessi e l'intelligenza artificiale per l'analisi predittiva degli insider threat renderà più difficile per i dipendenti infedeli operare nell'ombra. Le aziende che investiranno in queste soluzioni avranno un vantaggio competitivo non solo in termini di sicurezza, ma anche di compliance normativa.