Perché nei reati informatici il luogo non è sempre evidente
Nei reati commessi attraverso la rete, stabilire quale tribunale debba procedere può essere complesso. Una sola operazione può coinvolgere la città in cui si trova la persona offesa, il luogo dal quale agisce l’autore, la sede della banca, una piattaforma gestita altrove e server ospitati anche all’estero.
Questi riferimenti geografici non hanno però lo stesso valore. La competenza cambia a seconda del reato contestato e delle modalità con cui il fatto si è realizzato.
L’accesso abusivo a un sistema informatico, la frode informatica, il danneggiamento di dati e la diffamazione online presentano elementi differenti e non possono essere trattati come un’unica categoria.
Per attribuire il procedimento al giudice corretto occorre ricostruire la sequenza delle operazioni: da quale dispositivo sono state eseguite, dove si trovava l’autore, quale risultato hanno prodotto e in quale momento si sono verificati il profitto o il danno previsti dalla norma.
La natura digitale del fatto non elimina il collegamento con un luogo fisico. Lo rende più difficile da individuare, perché le tracce informatiche possono attraversare sistemi e territori diversi prima di produrre l’evento penalmente rilevante.
La regola generale e i criteri suppletivi
L’articolo 8 del codice di procedura penale stabilisce che la competenza per territorio è determinata, in via generale, dal luogo in cui il reato è stato consumato. Nei procedimenti informatici bisogna quindi identificare il punto nel quale si completa la fattispecie prevista dalla legge.
A seconda del caso, può rilevare il luogo dell’ingresso illecito in un sistema, quello in cui viene conseguito un profitto, il territorio nel quale sono danneggiati i dati oppure il punto da cui un contenuto viene immesso nella rete. Non assume necessariamente rilievo il luogo in cui il fatto viene scoperto.
Quando il luogo di consumazione non può essere accertato, si applicano i criteri suppletivi previsti dall’articolo 9 del codice di procedura penale. Si considera anzitutto l’ultimo luogo nel quale è avvenuta una parte dell’azione o dell’omissione. Se anche questo dato è sconosciuto, rilevano la residenza, la dimora o il domicilio dell’imputato. In ulteriore subordine, la competenza viene determinata in base alla sede dell’ufficio del pubblico ministero che ha iscritto per primo la notizia di reato.
L’applicazione di queste regole dipende spesso dagli accertamenti tecnici. Indirizzi IP, registri degli accessi, orari delle connessioni, dati di traffico, dispositivi sequestrati e movimenti bancari possono aiutare a localizzare le operazioni, ma devono essere letti nel loro insieme. Un indirizzo IP può riferirsi a una rete condivisa, una connessione può essere mascherata e uno stesso account può essere utilizzato da più dispositivi.
Accesso abusivo: conta il luogo della postazione utilizzata
Per l’accesso abusivo a un sistema informatico o telematico, previsto dall’articolo 615-ter del codice penale, la giurisprudenza individua il luogo di consumazione dove si trova l’utente che entra nel sistema o vi si mantiene senza averne diritto.
Se una persona opera da Bologna utilizzando credenziali sottratte per accedere a una banca dati installata su un server di Milano, il riferimento territoriale è normalmente Bologna. È da quella postazione che viene compiuta l’operazione idonea a superare le protezioni del sistema.
Il reato può configurarsi anche quando le credenziali utilizzate sono autentiche. Può accadere, ad esempio, che un dipendente disponga di un accesso per ragioni professionali, ma consulti aree o informazioni escluse dalla propria autorizzazione.
Non qualsiasi utilizzo improprio assume rilievo penale. Occorre verificare il contenuto dell’abilitazione, le operazioni consentite e gli eventuali limiti imposti dal titolare del sistema. Una semplice violazione delle regole interne non coincide automaticamente con il delitto di accesso abusivo.
La localizzazione può risultare difficile quando vengono impiegati dispositivi mobili, reti private virtuali o connessioni intestate ad altre persone. Se non è possibile stabilire da dove sia partito l’accesso, la competenza viene determinata applicando i criteri suppletivi previsti dal codice.
Frode informatica, phishing e trasferimenti di denaro
La frode informatica disciplinata dall’articolo 640-ter del codice penale si consuma quando l’autore consegue un ingiusto profitto provocando un danno patrimoniale ad altri. Il luogo dal quale vengono inseriti i dati o impartiti i comandi non è quindi sempre sufficiente per stabilire la competenza.
Il problema emerge spesso nei casi di phishing. La persona offesa può essere indotta a comunicare password, codici temporanei o dati bancari attraverso messaggi ingannevoli, siti contraffatti o contatti con falsi operatori. Le informazioni vengono poi utilizzate per effettuare bonifici, acquisti o trasferimenti non autorizzati.
Per individuare il giudice occorre stabilire dove il vantaggio economico sia entrato nella disponibilità dell’autore. Se il denaro confluisce su un conto collegato a una filiale fisica, la sede del rapporto bancario può contribuire a localizzare il profitto. La ricostruzione è più complessa quando vengono utilizzati conti online, carte digitali, banche estere o passaggi tra più strumenti di pagamento.
La Corte di cassazione, con la sentenza n. 34362 del 2024, ha esaminato un procedimento nel quale non erano identificabili né il luogo della condotta né quello del conseguimento del profitto, poiché l’operazione era stata eseguita interamente via internet. La competenza è stata determinata in base alla residenza, alla dimora o al domicilio dell’imputato.
Va inoltre distinta la frode informatica dalla truffa comune. Nella prima, l’intervento illecito incide sul funzionamento di un sistema o sui dati in esso contenuti. Nella truffa, invece, una persona viene indotta in errore mediante artifici o raggiri. La qualificazione giuridica può quindi condurre all’applicazione di criteri territoriali differenti.
Procura distrettuale e tutela difensiva
Per alcuni delitti informatici, l’articolo 51, comma 3-quinquies, del codice di procedura penale attribuisce le funzioni del pubblico ministero alla procura della Repubblica presso il tribunale del capoluogo del distretto. La legge n. 90 del 28 giugno 2024, dedicata alla cybersicurezza nazionale e al contrasto dei reati informatici, è intervenuta anche su questa disciplina.
La competenza distrettuale non riguarda qualsiasi illecito commesso mediante un computer o uno smartphone. È necessario verificare che la fattispecie contestata rientri tra quelle espressamente indicate dalla legge.
Uno stesso episodio può comprendere più reati. All’accesso abusivo possono accompagnarsi una frode informatica, la ricettazione di credenziali, il riciclaggio delle somme ottenute o il danneggiamento dei dati. Quando i fatti sono collegati, le regole sulla connessione possono attribuire l’intero procedimento a un unico giudice.
La competenza territoriale deve essere valutata tempestivamente, perché la relativa eccezione è sottoposta a termini e modalità precise. Non basta indicare un tribunale diverso: occorre spiegare quale condotta si sia verificata in quel territorio, quale evento abbia completato il reato e quali elementi sostengano tale ricostruzione.
Chi è coinvolto in un’indagine o in un processo per reati informatici può richiedere una valutazione del proprio caso attraverso la pagina Contatti dell’avvocato Nicola Pasinelli.