Reati informatici e cybercrime: la difesa

Sì, ed è la fattispecie più contestata di tutta la materia. L'art. 615-ter del codice penale punisce chi abusivamente si introduce in un sistema informatico protetto da misure di sicurezza, ma anche chi vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo. La seconda condotta sposta il baricentro dall'atto tecnico dell'ingresso al perimetro dell'autorizzazione: possedere credenziali valide non significa essere autorizzati a qualunque uso, perché l'autorizzazione ha un contenuto definito da mansioni, policy e istruzioni ricevute. Il caso tipico è il dipendente che consulta dati non pertinenti alle proprie funzioni o che estrae informazioni per finalità estranee. La difesa si costruisce sui documenti che definiscono quel perimetro, non su argomenti tecnici.

È un argomento reale e spesso trascurato. L'art. 615-ter richiede che il sistema sia protetto da misure di sicurezza: non è una descrizione ma un elemento costitutivo, la cui funzione è manifestare la volontà del titolare di riservare a sé l'accesso. Dove quella volontà non si è espressa in alcun modo — una cartella condivisa senza autenticazione, una risorsa raggiungibile pubblicamente, credenziali uniche note a tutto l'ufficio, un account mai disattivato dopo la cessazione del rapporto — il presupposto è discutibile. Va detto con onestà che il livello di protezione richiesto è generalmente considerato modesto: basta una barriera che renda riconoscibile la riserva. L'argomento quindi non è risolutivo sempre, ma quando nessuna barriera esisteva merita di essere svolto con riscontri sulla configurazione effettiva.

No. Un indirizzo IP identifica al più una linea di connessione in un dato momento, e fra quel dato e l'individuazione di chi ha materialmente compiuto una condotta si interpone una catena di passaggi che vanno dimostrati e non presunti: l'affidabilità e la sincronizzazione oraria dei registri; l'assegnazione dinamica, per cui lo stesso indirizzo cambia titolare nel tempo; le tecnologie che assegnano un solo indirizzo pubblico a molti utenti insieme; la condivisione della rete in uffici, condomìni ed esercizi pubblici; la pluralità di dispositivi sulla stessa linea; l'uso familiare o aziendale condiviso di quei dispositivi. In molti procedimenti l'attribuzione riposa integralmente sulla titolarità formale della linea: è un punto di partenza legittimo per un'indagine, non un punto di arrivo per una condanna.

Sì, ed è l'attività che in questa materia produce più risultati. La L. 18 marzo 2008, n. 48, di ratifica della Convenzione di Budapest, ha modificato il codice di procedura penale imponendo che l'acquisizione dei dati informatici avvenga con misure tecniche dirette ad assicurarne la conservazione e a impedirne l'alterazione, con procedure che ne garantiscano la conformità all'originale. I controlli riguardano quindi: se sia stata prodotta una copia integrale e documentata; se il dato sia stato acquisito impedendone l'alterazione in modo verificabile da un terzo; la continuità della catena di custodia fra sequestro, conservazione e analisi; la ripetibilità dell'operazione; il perimetro di ciò che è stato acquisito; e la completezza, cioè se siano stati estratti anche gli elementi favorevoli.

È l'accertamento tecnico che riguarda cose o luoghi soggetti a modificazione, e conta perché fa scattare le garanzie difensive dell'art. 360 del codice di procedura penale: il pubblico ministero deve avvisare l'indagato e il difensore, che hanno diritto di nominare un consulente tecnico e di partecipare alle operazioni. Nelle attività su supporti digitali la questione della ripetibilità si pone con frequenza, perché alcune operazioni di estrazione incidono sullo stato del dispositivo. Se l'accertamento era non ripetibile e le garanzie non sono state osservate, i risultati sono attaccabili sotto il profilo dell'utilizzabilità. È un controllo che va fatto sulla documentazione delle operazioni, non sulla loro descrizione sintetica negli atti.

L'oggetto dell'inganno. Nella truffa (art. 640) si inganna una persona, indotta in errore da artifizi o raggiri, che compie un atto di disposizione patrimoniale. Nella frode informatica (art. 640-ter) si altera il funzionamento di un sistema, oppure si interviene senza diritto su dati, informazioni o programmi, procurandosi un ingiusto profitto con altrui danno: non è richiesta l'induzione in errore di una persona. La conseguenza pratica è che la difesa non può appoggiarsi agli argomenti tipici della truffa sulla diligenza della vittima, ma deve verificare se vi sia stata effettivamente un'alterazione o un intervento senza diritto. L'art. 640-ter prevede inoltre un'aggravante specifica per il furto o indebito utilizzo dell'identità digitale.

Entro limiti precisi, e superarli espone il datore a rischi penali propri: è la ragione per cui in questi procedimenti chi denuncia si ritrova talvolta indagato. Sull'accesso operano insieme le norme sui controlli a distanza dello Statuto dei lavoratori, la disciplina sulla protezione dei dati personali e, sul piano penale, gli stessi artt. 615-ter e 617-quater. Le condizioni che rendono difendibile un controllo sono: un'informativa preventiva che renda noti l'uso degli strumenti e la possibilità di verifiche; la gradualità, cioè controlli mirati e proporzionati e non esplorativi; l'esistenza di un sospetto già formato di condotta illecita; il rispetto dell'area della corrispondenza personale, particolarmente protetta; e la documentazione tracciabile di modalità e tempi dell'attività svolta.

Sì, con il riesame reale da proporre nei termini di legge, e gli argomenti sono due. Il primo riguarda i presupposti del sequestro. Il secondo, spesso più fecondo, riguarda il perimetro: è prassi diffusa acquisire l'intero dispositivo, che contiene una massa di dati enormemente eccedente il fatto per cui si procede — corrispondenza personale, dati sanitari, materiale coperto da segreto professionale, informazioni relative a terzi estranei. La contestazione sulla proporzionalità e sulla necessaria selezione dei dati pertinenti è legittima e va svolta. Va inoltre chiesta la restituzione dei supporti una volta effettuata la copia, poiché l'esigenza probatoria è di regola soddisfatta dalla copia conforme e non richiede la permanente indisponibilità del dispositivo.

È una decisione da prendere con il difensore e mai d'istinto. L'indagato ha facoltà di non rispondere e non ha un obbligo generale di collaborare alla raccolta di prove a proprio carico; il silenzio non può essere valutato come elemento a carico. Ciò detto, la questione va valutata nel concreto: in alcune situazioni l'accesso agevolato consente di delimitare l'acquisizione a ciò che è pertinente, evitando estrazioni massive; in altre la consegna amplia il perimetro di ciò che entra nel procedimento ben oltre il fatto contestato. Il punto pratico è che questa valutazione richiede di sapere che cosa contiene il dispositivo e che cosa si sta cercando: entrambe informazioni che l'interessato ha e che il difensore deve conoscere prima di consigliare. Consegnare un dispositivo sbloccato senza averne parlato è l'errore più frequente.

No, e peggiora la posizione su due fronti. Sul piano tecnico, la cancellazione ordinaria non garantisce l'irrecuperabilità del dato e lascia tracce dell'operazione stessa, spesso più eloquenti del contenuto rimosso. Sul piano giuridico, condotte poste in essere dopo aver appreso dell'accertamento possono integrare reati autonomi e alimentano l'esigenza cautelare di inquinamento probatorio, incidendo su eventuali misure. Lo stesso vale per il ripristino dei dispositivi, la disattivazione di account e la sostituzione di supporti. La regola pratica è semplice e vale dal primo momento: non si tocca nulla. Ciò che va fatto, invece, è raccogliere e conservare la documentazione utile alla difesa — contratti, policy aziendali, comunicazioni — che nessuno conserverà al posto dell'interessato.

Variano in misura considerevole a seconda della fattispecie e delle circostanze. L'accesso abusivo dell'art. 615-ter è punito nell'ipotesi base con la reclusione fino a tre anni, ma sono previste ipotesi aggravate di rilievo — fra l'altro per il pubblico ufficiale, per l'operatore di sistema e per i sistemi di interesse pubblico — che innalzano sensibilmente la cornice. Il danneggiamento di dati e sistemi degli artt. 635-bis e seguenti conosce a sua volta regimi differenziati a seconda della natura del sistema colpito. La frode informatica dell'art. 640-ter è aggravata dal furto o indebito utilizzo dell'identità digitale. Va inoltre considerato che l'assetto sanzionatorio di diverse di queste fattispecie è stato inasprito da interventi recenti in materia di cybersicurezza: per fatti risalenti occorre individuare la disciplina vigente all'epoca e quella più favorevole.

Quattro cose, e le prime ore contano più di quanto sembri. Primo: chiamare un difensore e non rendere dichiarazioni tecniche su cosa si è fatto e quando prima di aver visto la documentazione dell'accertamento. Secondo: far verbalizzare le modalità dell'acquisizione — quali supporti, con quali procedure, se sia stata prodotta copia e come ne sia stata documentata la conformità — perché quella verbalizzazione sarà la base di ogni contestazione successiva. Terzo: non cancellare, ripristinare o modificare nulla, né sui dispositivi sequestrati né su altri. Quarto: raccogliere subito la documentazione difensiva, in particolare, nei casi aziendali, mansionario, regolamento informatico, informativa e profili di accesso: sono i documenti che definiscono il perimetro dell'autorizzazione e diventano più difficili da ottenere col passare del tempo.