Nemmeno il superiore puo’ accedere d’ autorita’ a un sistema informatico gestito da un sottoposto (Cass. sez V n. 40295 depositata il 31 ottobre 2024). Viene commesso un reato per violazione dell’ articolo 615 ter del Cp (“Accesso abusivo ad un sistema informatico”). L’ argomento per le sue implicazioni generali, puo’ rivestire un particolare interesse per i sanitari, anche in rapporto di dipendenza, operanti in strutture complesse.

Un impiegato di una struttura ricettivo-alberghiera, pretendeva (e otteneva) le credenziali di accesso al sistema informatico aziendale, protetto, da un’ altra dipendente, gerarchicamente a lui subordinata. Il sistema comprendeva migliaia di schede individuali e l’ impiegato effettuava abusivamente l’ accesso per scopi estranei al mandato ricevuto

Denunciato, in Tribunale l’ impiegato sosteneva la liceità del suo operato in ragione della sua posizione apicale rispetto a quella ricoperta dall’ impiegata titolare del diritto all’uso delle credenziali. Come tale, sosteneva, era legittimato a chiedere le credenziali alla lavoratrice subordinata, ed a farne uso.

L’ impiegato veniva condannato sia in primo grado che in appello, per cui ricorreva in Cassazione.

La Suprema Corte respingeva le tesi difensive affermando importanti questioni di principio collegate al trattamento dei dati informatici e alla loro protezione.
Secondo la Corte, “viola le direttive del datore di lavoro il dipendente che, pur in posizione gerarchicamente sovraordinata rispetto al titolare delle credenziali di accesso ad un sistema informatico aziendale, se le faccia rivelare per farvi ingresso senza averne specifica autorizzazione: essendo sufficiente a rendere manifeste tali direttive la stessa protezione dei dati mediante credenziali di accesso”.

In sostanza quindi commette il reato previsto dall’ chiunque entri in un sistema informatico protetto da password senza averne espresso diritto.
Questo perche’ nel caso di un sistema informatico protetto da credenziali è evidente che “ogni soggetto abilitato ha la sua ‘chiave’ personale. Ciò perché si tratta di dati che, semplicemente, il titolare reputa debbano essere protetti, sia limitando l’accesso a chi venga dotato delle dette credenziali, sia, nel contempo, facendo sì che sia lasciata, in tal modo, traccia digitale dei singoli accessi e di chi li esegua”. È perciò errato ritenere che l’imputato “sol per le sue mansioni, avesse automaticamente il potere di accedere a dati che, per contro, secondo la discrezionale valutazione del datore di lavoro, dovevano restare nella disponibilità di solo alcuni dipendenti (per quanto subordinati al ricorrente)…
Deve, in definitiva, affermarsi che viola le direttive (quand’anche implicite, ma chiare) del datore di lavoro il dipendente che, pur in posizione gerarchicamente sovraordinata rispetto al titolare delle credenziali di accesso ad un sistema informatico aziendale, se le faccia rivelare per farvi ingresso senza averne specifica autorizzazione: essendo sufficiente a rendere manifeste tali direttive la stessa protezione dei dati mediante credenziali di accesso (su tale ultima parte, vedasi Sez. 2, n. 36721 del 21/02/2008, Rv. 242084-01)”.

Art. 615 ter Codice Penale
Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.
La pena è della reclusione da due a dieci anni se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri, o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema.

Daniele Zamperini