Danneggiamento informatico: dal 2024 fino a 6 anni
La legge 90 del 2024 ha riformulato la fattispecie, spostandola fra i delitti contro il patrimonio e portando la pena da sei mesi-tre anni a due-sei anni: il minimo è quadruplicato. Per i fatti anteriori si applica la disciplina previgente, molto più favorevole.
L’angolo di questa norma: il minimo è quadruplicato
Chi consulta materiale anche solo di due anni fa trova una cornice edittale che non esiste più.
Prima della riforma l’art. 635-bis puniva il danneggiamento di informazioni, dati e programmi informatici con la reclusione da sei mesi a tre anni. La legge 28 giugno 2024 n. 90 — pubblicata in Gazzetta Ufficiale il 2 luglio 2024 — ha portato la pena a due-sei anni.
Il minimo è passato da sei mesi a due anni: quadruplicato. Il massimo è raddoppiato.
La data del fatto vale più di ogni altro argomento
La riforma è sfavorevole, e quindi non retroagisce: per i fatti anteriori al luglio 2024 si applica la disciplina previgente.
| Periodo | Cornice edittale |
|---|---|
| Fino al 1° luglio 2024 | Reclusione 6 mesi – 3 anni |
| Dal 2 luglio 2024 | Reclusione 2 – 6 anni |
La differenza non è solo sanzionatoria. Una cornice con minimo di due anni incide su:
- l’accesso alla sospensione condizionale;
- i presupposti delle misure cautelari;
- i termini di prescrizione;
- l’ambito dei riti alternativi praticabili.
Ne discende che la prima lettura del capo di imputazione riguarda la data, e la seconda la norma richiamata: un’imputazione che applichi la cornice nuova a un fatto anteriore va contestata subito.
Le altre novità della riforma
L’intervento del 2024 non si è limitato alle pene. La norma è stata significativamente riformulata:
- collocazione trasferita fra i delitti contro il patrimonio — con quanto ne consegue sull’individuazione del bene giuridico tutelato;
- nuove aggravanti;
- conferma dell’applicabilità delle attenuanti dell’art. 639-ter nei casi in cui il fatto risulti di lieve entità ovvero l’autore collabori con l’autorità per evitare conseguenze ulteriori.
L’ultimo punto merita attenzione perché è l’unico strumento che riduce la pena dall’interno della fattispecie, e opera su due presupposti alternativi: la tenuità oggettiva del fatto, oppure la condotta collaborativa successiva.
Le cinque condotte
Art. 635-bis c.p. — testo vigente
«Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da due a sei anni.»
Aggravanti, fra le principali:
- se il fatto è commesso da un pubblico ufficiale o da un incaricato di pubblico servizio, con abuso dei poteri o violazione dei doveri, o da chi esercita — anche abusivamente — la professione di investigatore privato, o con abuso della qualità di operatore del sistema;
- se il colpevole usa minaccia o violenza, ovvero se è palesemente armato.
Le singole condotte hanno portata autonoma e devono essere interpretate in base alla loro effettiva incidenza sui dati.
Due elementi vanno isolati.
L’altruità. La norma punisce il danneggiamento di dati altrui. È un presupposto, e va verificato: chi era titolare dei dati, a che titolo, e se sussistessero diritti di accesso o disposizione in capo all’agente.
La clausola di riserva. «Salvo che il fatto costituisca più grave reato»: la fattispecie cede davanti a titoli più gravi, e la verifica del concorso apparente va condotta prima di accettare la qualificazione.
Il nodo dei software «dual-use»
È il profilo che riguarda chi lavora nella sicurezza informatica, e la soluzione normativa è delicata.
L’articolo ricomprende i cosiddetti dual-use software: programmi suscettibili di impiego sia lecito sia illecito, che possono cioè essere impiegati per un danneggiamento informatico oppure per finalità di testing di sicurezza.
La punibilità dipende dall’uso concreto che l’agente intende farne.
L’abusività è l’elemento che separa il lavoro dal reato
L’elemento dell’abusività della condotta diviene decisivo per distinguere l’attività lecita — la ricerca informatica, il testing etico — da quella penalmente rilevante.
Ne discende che, per chi opera nel settore, la difesa si costruisce su documentazione preesistente al fatto:
- il contratto o l’incarico che autorizzava l’attività;
- il perimetro concordato: quali sistemi, quali test, quali limiti;
- l’autorizzazione del titolare dei sistemi, e la sua estensione;
- i protocolli seguiti e la reportistica prodotta;
- la finalità dichiarata prima dell’inizio dell’attività.
È materiale che va predisposto prima, non ricostruito dopo. Chi svolge attività di sicurezza senza un mandato scritto che delimiti il perimetro si espone a una fattispecie con minimo di due anni.
Le tre fattispecie a confronto
La riforma ha lasciato intatta l’architettura, che distingue secondo oggetto e struttura.
| Norma | Oggetto | Struttura |
|---|---|---|
| 635-bis | Dati, informazioni, programmi altrui | Reato di danno |
| 635-ter | Dati di interesse pubblico, militare, sanitario, di ordine pubblico | Condotte prodromiche, schema del tentativo |
| 635-quater | Sistemi informatici o telematici | Danneggiamento del sistema |
| 635-quinquies | Sistemi di pubblico interesse | Atti diretti a danneggiare o ostacolare |
Perché il 635-ter anticipa la punibilità. A differenza del 635-bis, la norma punisce anche condotte prodromiche al danneggiamento di dati o programmi in uso a un organo statale: la disposizione ricalca essenzialmente lo schema del tentativo dell’art. 56.
Viene sanzionata una condotta diretta e idonea a produrre un effetto lesivo, anticipando la soglia di punibilità al momento in cui si verifica il pericolo concreto per il bene tutelato, secondo la logica propria dei reati di attentato. Se il danneggiamento poi si realizza, la pena è aumentata.
Il 635-quater punisce chi, mediante le condotte dell’art. 635-bis ovvero attraverso l’introduzione o la trasmissione di dati, informazioni o programmi, distrugge o rende inservibile un sistema.
Ne discende una verifica sull’oggetto materiale: la contestazione riguarda i dati o il funzionamento del sistema? Sono fattispecie diverse, e la qualificazione incide su cornice edittale e regime.
La successione di leggi in questa materia
Un precedente delle Sezioni Unite illumina il metodo, e resta attuale.
Fra l’art. 635 e la fattispecie speciale introdotta dall’art. 9 della legge 547 del 1993 — che introdusse l’art. 635-bis sul danneggiamento di sistemi informatici e telematici — esiste un rapporto di successione di leggi nel tempo, disciplinato dall’art. 2 c.p.
È lo stesso schema che si ripropone oggi con la riforma del 2024: quando una materia viene riscritta, il confronto fra le discipline si conduce sull’art. 2, e la disciplina più favorevole si applica ai fatti anteriori.
La posizione dell’ente
I delitti di danneggiamento informatico sono reati presupposto della responsabilità degli enti ai sensi dell’art. 24-bis del d.lgs. 231/2001, dedicato ai delitti informatici e al trattamento illecito di dati.
La legge 90 del 2024 è intervenuta anche su quel versante, nell’ambito di un disegno complessivo di rafforzamento della sicurezza informatica nazionale.
Ne discende che, quando i fatti avvengano nell’ambito di un’attività d’impresa — un dipendente che cancella archivi, un consulente che altera dati, un ex collaboratore che sopprime backup — va esaminata anche la posizione dell’ente e l’idoneità del modello di organizzazione rispetto al rischio informatico specifico.
È un profilo che va aperto subito, perché la difesa dell’ente e quella della persona fisica possono divergere: all’ente conviene dimostrare l’estraneità all’interesse, alla persona fisica dimostrare l’assenza di abusività.
Il criterio che separa il danneggiamento dalla frode informatica
È la distinzione che decide la qualificazione, e non passa dalla gravità dell’intrusione né dal danno economico. Passa da una sola domanda: dopo la condotta, il sistema funziona?
Il reato di frode informatica — art. 640-ter — si differenzia dai delitti di danneggiamento perché, nel primo, il sistema informatico continua a funzionare, benché in modo alterato rispetto a quello programmato; mentre nel secondo l’elemento materiale è costituito dal mero danneggiamento, cioè da una condotta finalizzata a impedire che il sistema funzioni.
Per alterazione deve intendersi ogni attività o omissione che, attraverso la manipolazione dei dati informatici, incida sul regolare svolgimento del processo di elaborazione o trasmissione dei dati — e quindi sia sull’hardware sia sul software.
Vi si aggiunge un secondo criterio: nei delitti di danneggiamento informatico è assente ogni riferimento all’ingiusto profitto, che è invece elemento costitutivo della frode informatica.
Le domande da porre al consulente tecnico
- il sistema è rimasto operativo dopo la condotta?
- l’effetto è stato una modifica del comportamento o un arresto?
- il ripristino ha richiesto riparazione o solo correzione dei dati?
- la compromissione era irreversibile o rimediabile?
- la condotta era diretta a un ingiusto profitto?
Se il sistema ha continuato a funzionare e la condotta mirava a un profitto, il danneggiamento non è la norma applicabile.
Il blocco degli articoli sul danneggiamento
Le quattro fattispecie si distinguono per oggetto e struttura, con un’alternanza precisa fra beni privati e beni pubblici.
| Norma | Oggetto | Struttura |
|---|---|---|
| 635-bis | Dati, informazioni, programmi | Danno |
| 635-ter | Dati di interesse pubblico | Prodromica, schema del tentativo |
| 635-quater | Sistemi altrui | Danno |
| 635-quinquies | Sistemi di pubblico interesse | Prodromica, atti diretti a |
Il 635-quater si applica qualora derivi una compromissione irreversibile di un sistema informatico, e non di semplici dati. Per «sistema informatico o telematico» deve intendersi un complesso di dispositivi interconnessi o collegati con unità periferiche mediante l’installazione di un software che ne consente il funzionamento: si individua quindi anche in un oggetto fisico.
Il 635-quinquies punisce chi compie atti diretti a distruggere o rendere inservibili sistemi di pubblico interesse, con la reclusione da due a sei anni; se il danno si realizza la pena è aumentata, e arriva da quattro a dodici anni quando le circostanze dei numeri 1) e 2) concorrono con quella del numero 3).
Le conseguenze processuali della riforma 2024
Oltre alle pene, la legge 90 del 2024 ha introdotto il nuovo art. 635-quater.1, che punisce la detenzione e l’installazione di apparecchiature informatiche atte a danneggiare sistemi.
E ha inciso sul processo:
- competenza distrettuale estesa ai nuovi reati informatici — artt. 635-quater.1 e 635-quinquies;
- inserimento di diversi delitti nel catalogo dell’art. 407 c.p.p., con termini di durata massima delle indagini più ampi.
La prima modifica sposta il procedimento presso la procura distrettuale; la seconda allunga sensibilmente i tempi della fase, ed è un dato da rappresentare subito all’assistito.
Casi pratici
Caso 1 — successione di leggi
Situazione. Capo di imputazione che richiama la cornice edittale introdotta dalla legge 90 del 2024 per un fatto anteriore.
Attività svolta. Verifica della data del fatto rispetto all’entrata in vigore della riforma e deduzione dell’applicabilità della disciplina previgente, più favorevole.
Esito. Cornice edittale ricalcolata sulla disciplina vigente al momento del fatto.
Caso 2 — abusività e testing
Situazione. Contestazione a soggetto operante nel settore della sicurezza informatica.
Attività svolta. Produzione dell’incarico, del perimetro concordato e delle autorizzazioni del titolare dei sistemi, ai fini della verifica dell’abusività della condotta.
Esito. Elemento dell’abusività esaminato sulla documentazione preesistente al fatto.
Caso 3 — oggetto materiale
Situazione. Contestazione formulata ai sensi dell’art. 635-quater.
Attività svolta. Verifica se la condotta avesse inciso sui dati ovvero sul funzionamento del sistema informatico, ai fini della distinzione fra le fattispecie.
Esito. Qualificazione esaminata sull’oggetto materiale del danneggiamento.
Caso 4 — esito sfavorevole
Situazione. Difesa fondata sulla natura di ricerca dell’attività svolta.
Attività svolta. Nessuna produzione di incarico scritto né di autorizzazione del titolare dei sistemi.
Esito. L’abusività della condotta è l’elemento che distingue il testing etico dal reato. La lezione: la finalità dichiarata dopo non sostituisce il mandato documentato prima.
I casi sono resi anonimi e descrivono attività svolte, non risultati promessi: l’esito dipende dagli atti del singolo procedimento.
Dove si costruisce la difesa
- Data del fatto: prima o dopo il 2 luglio 2024? Cambia il minimo di quattro volte.
- Altruità: i dati erano altrui, e a che titolo?
- Condotta: quale delle cinque, e con quale incidenza effettiva?
- Oggetto: dati (635-bis) o sistema (635-quater)? Interesse pubblico (635-ter)?
- Abusività: esisteva un mandato che autorizzava l’attività?
- Aggravanti: qualità di operatore del sistema, pubblico ufficiale, investigatore.
- Attenuanti ex art. 639-ter: lieve entità o collaborazione con l’autorità.
Il primo punto va verificato prima di ogni altro, e si risolve leggendo due date. Il quinto è quello che, per chi lavora nella sicurezza, va predisposto molto prima che un procedimento esista.
Domande frequenti
Che cosa punisce l'art. 635-bis?
«Salvo che il fatto costituisca più grave reato, chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da due a sei anni.» Le cinque condotte hanno portata autonoma e vanno interpretate secondo la loro effettiva incidenza.
Le pene sono cambiate?
Sì, in modo netto. Prima della riforma il reato era punito con la reclusione da sei mesi a tre anni. La legge 28 giugno 2024 n. 90, pubblicata in Gazzetta Ufficiale il 2 luglio 2024, ha portato la cornice a due-sei anni: il minimo è quadruplicato.
Che cos'altro ha cambiato la riforma?
Tre cose. Ha trasferito la collocazione della norma fra i delitti contro il patrimonio; ha introdotto nuove aggravanti; e ha confermato l'applicabilità delle attenuanti dell'art. 639-ter nei casi in cui il fatto risulti di lieve entità o l'autore collabori con l'autorità per evitare conseguenze ulteriori.
Quali sono le aggravanti?
Fra le principali: il fatto commesso da pubblico ufficiale o incaricato di pubblico servizio con abuso dei poteri, da chi esercita — anche abusivamente — la professione di investigatore privato, o con abuso della qualità di operatore del sistema. E il fatto commesso con minaccia o violenza, ovvero da persona palesemente armata.
Vale anche per i software «dual-use»?
Sì. L'articolo ricomprende i cosiddetti dual-use software, cioè i programmi suscettibili di impiego sia lecito sia illecito — utilizzabili per un danneggiamento informatico oppure per finalità di testing di sicurezza. La punibilità dipende dall'uso concreto che l'agente intende farne.
Come si distingue il testing dal reato?
Attraverso l'abusività della condotta, che diviene l'elemento decisivo per distinguere l'attività lecita — ricerca informatica o testing etico — da quella penalmente rilevante. È il terreno difensivo principale per chi opera nel settore della sicurezza.
Che differenza c'è con l'art. 635-ter?
L'oggetto e la struttura. L'art. 635-ter riguarda dati di interesse militare o relativi all'ordine pubblico, alla sicurezza pubblica, alla sanità, alla protezione civile o comunque di interesse pubblico. E punisce condotte prodromiche: ricalca lo schema del tentativo, anticipando la soglia di punibilità.
E con l'art. 635-quater?
Il 635-quater riguarda il danneggiamento di sistemi, non dei dati: punisce chi, mediante le condotte dell'art. 635-bis ovvero attraverso l'introduzione o la trasmissione di dati, informazioni o programmi, distrugge o rende inservibile un sistema informatico o telematico.
Perché il 635-ter anticipa la punibilità?
Perché sanziona una condotta diretta e idonea a produrre l'effetto lesivo, anticipando la soglia al momento in cui si verifica il pericolo concreto per il bene tutelato, secondo la logica propria dei reati di attentato. Se poi il danneggiamento si realizza, la pena è aumentata.
Il reato è procedibile a querela?
Sì, l'ipotesi base è procedibile a querela della persona offesa. Le ipotesi aggravate seguono un regime diverso, e la verifica va compiuta sul capo di imputazione: dalla procedibilità dipende la possibilità di definire la vicenda con la remissione.
Che cosa succede ai fatti anteriori al luglio 2024?
Si applica la disciplina previgente, molto più favorevole: reclusione da sei mesi a tre anni anziché da due a sei. La riforma è sfavorevole e non retroagisce. È la prima verifica da compiere sul capo di imputazione.
Su che cosa si imposta la difesa?
Su quattro verifiche. La data del fatto, che decide fra due cornici edittali molto diverse. L'altruità dei dati, presupposto della fattispecie. L'abusività, decisiva quando si opera nel settore della sicurezza. E le attenuanti dell'art. 639-ter, per lieve entità o collaborazione.
Domande di approfondimento
- Che cos'altro ha cambiato la riforma?
- Che cosa punisce l'art. 635-bis?
- Che cosa succede ai fatti anteriori al luglio 2024?
- Che differenza c'è con l'art. 635-ter?
- Come si distingue il testing dal reato?
- E con l'art. 635-quater?
- Perché il 635-ter anticipa la punibilità?
- Quali sono le aggravanti?
- Vale anche per i software «dual-use»?
Guide correlate
- Minore portato all'estero: chi giudica, e come La giurisdizione italiana dipende dalla residenza abituale del minore, non dalla cittadinanza. Ed è reato d'evento: conta l'impedimento, non il viaggio.
- Art. 635: quando il danneggiamento non è reato Il danneggiamento semplice è depenalizzato dal 2016. Ma con violenza o minaccia resta reato d'ufficio, e la remissione non vale nulla.
- Reati informatici e cybercrime: la difesa Reati informatici: si accede abusivamente anche con credenziali valide, e un indirizzo IP da solo non identifica una persona.
- Art. 615-bis: conta il luogo, non il contenuto Riprendere è reato solo nei luoghi di privata dimora: l'auto no, il parcheggio condominiale no, lo spogliatoio sì. È la nozione di luogo a decidere.
- Telefono sequestrato: cosa hanno preso davvero Restituito il telefono, la copia resta all'autorita': l'interesse concreto e attuale alla esclusiva disponibilita' dei dati va dedotto.
- Rivelare un segreto: quattro reati, quattro regimi Artt. 621, 622, 623 e 326 puniscono cose diverse. E acquisire le informazioni è atto preparatorio: il reato sta nel rivelarle.