Metaverso, NFT e responsabilità provider: il penale digitale
Nel metaverso si applicano le norme penali ordinarie reinterpretate: molestie e stalking operano se rivolti alla persona reale, non all'avatar. Le frodi NFT seguono la natura del token. Il DSA 2024 ha riformato la responsabilità dei provider imponendo obblighi di rimozione la cui omissione può fondare responsabilità penale per concorso.
L’angolo: non esiste un codice penale del metaverso
Il metaverso non dispone di un sistema normativo penale autonomo: si applicano le corrispondenti fattispecie criminose della realtà reale, interpretando il concetto di “virtuale” come modalità di estrinsecazione della condotta.
L’approccio giurisprudenziale è pragmatico: si prende la norma esistente e si valuta se la condotta virtuale ne integri gli elementi costitutivi. Questo produce risultati coerenti in molti casi, ma crea lacune dove il reato presuppone un contatto fisico che nel metaverso non avviene.
Reati applicabili nel metaverso
| Condotta virtuale | Norma applicabile | Condizione |
|---|---|---|
| Insulti all’utente via avatar | Art. 595 (diffamazione) | Se rivolti alla persona reale |
| Minacce all’utente | Art. 612 (minaccia) | Se rivolti alla persona reale |
| Stalking tramite piattaforma | Art. 612-bis c.2 | Strumenti informatici |
| Molestie nell’ambiente VR | Art. 660 | Se turbano la quiete dell’utente |
| Furto identità digitale | Art. 494 | Attribuzione false generalità |
| Truffa NFT | Art. 640 o 640-ter | Con artifici o sistema informatico |
| Pornografia virtuale minorile | Art. 600-quater.1 | Con verosimiglianza |
I reati esclusi: lesioni, violenza sessuale, maltrattamenti — richiedono contatto fisico assente nel metaverso attuale. Con l’avanzamento dei visori aptic (tatto), questo perimetro potrebbe espandersi.
Il caso delle molestie sessuali sull’avatar
Il caso più discusso nella letteratura penalistica è quello della ricercatrice americana Nina Jane Patel, che nell’Horizon Worlds di Meta ha denunciato una molestia di gruppo al suo avatar. Nell’ordinamento italiano la condotta non integrerebbe la violenza sessuale (540/609-bis) perché manca il contatto fisico. Può integrare la molestia ex art. 660 — se i messaggi o le azioni virtuali erano idonee a turbare la quiete dell’utente reale — o lo stalking se si è ripetuta con effetti persecutori.
La giurisprudenza ha già equiparato la “piazza immateriale” dei social network ai luoghi pubblici ai fini dell’art. 660: la condotta di inserimento di messaggi sgradevoli sulla pagina social della vittima è stata ritenuta idonea a integrare la molestia.
NFT, insider trading e frodi digitali
Gli NFT (Non-Fungible Token) presentano profili penali che variano con la loro natura:
NFT come bene digitale collezionabile: lo scambio di NFT d’arte o di gaming non è soggetto al TUF. Le frodi integrano la truffa ordinaria o la frode informatica se commesse tramite smart contract alterato.
NFT come security token: se l’NFT conferisce diritti patrimoniali o di partecipazione agli utili, è uno strumento finanziario. Si applica il TUF: insider trading (184), manipolazione (185), abusivismo finanziario (166).
Chiunque offra servizi di investimento in criptovalute senza registrazione OAM e abilitazione risponde del reato di abusivismo finanziario ex art. 166 TUF — come stabilito dalla Cassazione n. 29649/2024.
La frontiera pratica è che molti NFT si collocano in una zona grigia tra le due categorie: la classificazione richiede un’analisi caso per caso che precede la definizione della strategia difensiva.
Il Digital Services Act e la responsabilità dei provider
Il DSA (Reg. UE 2022/2065), applicabile dal febbraio 2024, ha riscritto le regole della responsabilità delle piattaforme online.
Obblighi principali per le grandi piattaforme (VLOP):
- sistemi di segnalazione e rimozione dei contenuti illeciti accessibili e facilmente utilizzabili;
- risposta tempestiva alle segnalazioni (notice-and-action);
- cooperazione con le autorità degli Stati membri;
- relazioni di trasparenza sulle decisioni di moderazione.
Responsabilità penale: il DSA non crea autonomamente responsabilità penale. Ma le violazioni degli obblighi DSA possono:
- rimuovere la protezione del safe harbour della direttiva e-commerce;
- fondare il concorso penale del provider nei reati facilitati (se la piattaforma era a conoscenza e non ha rimosso);
- esporre il provider a responsabilità amministrative significative (fino al 6% del fatturato globale).
L’exchanger e la responsabilità penale
L’exchanger che svolge attività di cambio tra valuta legale e criptovalute può rispondere di riciclaggio se non rispetta gli obblighi AML. La Cassazione ha riconosciuto la sussistenza del reato di autoriciclaggio in capo all’autore del reato-matrice laddove i profitti di un’attività illecita vengono convertiti in criptovaluta da una società terza.
Dal 2022 tutti i provider di servizi su valute virtuali (exchanger, wallet provider, VASP) devono registrarsi al registro OAM. Chi opera senza registrazione risponde di abusivismo finanziario ex art. 166 TUF.
Casi pratici
Caso 1 — molestia nel metaverso
Situazione. Utente che denuncia molestie ripetute nel metaverso attraverso avatar aggressivi.
Attività svolta. Verifica della qualificazione della condotta — molestia (660), stalking (612-bis), diffamazione (595) — sulla base della direzione verso la persona reale e della reiterazione.
Esito. Norma applicabile individuata sull’elemento diretto alla persona reale e sulla reiterazione.
Caso 2 — frode NFT
Situazione. Vendita di NFT con false dichiarazioni sull’autore o sull’autenticità.
Attività svolta. Verifica della natura finanziaria o non dell’NFT e della qualificazione come truffa ordinaria, frode informatica o manipolazione del mercato.
Esito. Norma applicabile individuata sulla natura dell’NFT e sulle caratteristiche della condotta.
Caso 3 — provider e contenuto diffamatorio
Situazione. Provider citato come responsabile per aver mantenuto online un contenuto diffamatorio dopo la segnalazione.
Attività svolta. Verifica del timing della segnalazione, della risposta del provider, e dell’eventuale ruolo attivo nella distribuzione del contenuto.
Esito. Safe harbour esaminato sulla condotta del provider dopo la segnalazione.
Dove si costruisce la difesa
- Metaverso: la condotta era diretta alla persona reale o solo al personaggio?
- NFT: strumento finanziario o bene digitale? Cambia tutto.
- Insider trading cripto: quale tipo di token e quale mercato?
- Provider: ruolo attivo o passivo? Segnalazione ricevuta e gestita?
- DSA: obblighi rispettati? La compliance DSA è la prima difesa del provider.
- Exchanger: iscritto all’OAM? Obblighi AML rispettati?
Il ruolo dell’AI nella moderazione dei contenuti
Il DSA impone alle VLOP di usare sistemi di moderazione efficaci. Molte piattaforme usano AI per identificare contenuti illeciti. La responsabilità penale del provider che dipende da AI per la moderazione presenta profili nuovi: se il sistema AI non rileva un contenuto illecito specifico dopo una segnalazione umana, il provider può comunque rispondere per non aver dato seguito alla segnalazione con verifica umana.
La difesa del provider in questi casi lavora sul processo interno di escalation: la segnalazione è arrivata al livello umano competente? È stata valutata effettivamente? La decisione di non rimuovere era supportata da una ragione legittima?
Il gaming e la responsabilità del gestore
I videogiochi online ospitano comunità di milioni di utenti e spesso producono condotte che integrano reati — dal cyberbullismo alla truffa in-game, dalla diffamazione alle estorsioni per ottenere oggetti virtuali.
La responsabilità del gestore della piattaforma segue il regime del provider. Ma quando il gestore monetizza direttamente attraverso le interazioni tra utenti — marketplace in-game, loot box, trading di oggetti virtuali — il suo ruolo diventa più attivo e la protezione del safe harbour più incerta.
In Italia la questione delle loot box e del gioco d’azzardo online non è ancora definitivamente risolta: alcuni meccanismi di loot box possono integrare il gioco d’azzardo ex artt. 721-722 c.p. se offrono premi con valore monetario reale e l’elemento aleatorio è dominante.
Il diritto all’oblio digitale
Gli utenti hanno diritto alla rimozione di contenuti che li riguardano — il cosiddetto “diritto all’oblio” ex art. 17 GDPR. La piattaforma che non rimuove contenuti su richiesta dell’utente avente diritto alla cancellazione può rispondere di violazione del GDPR. In Italia il Garante può imporre sanzioni e la violazione reiterata può assumere rilevanza penale ex D.lgs. 196/2003.
La difesa del provider sulla richiesta di cancellazione lavora sull’esistenza di una base giuridica per il mantenimento del contenuto: interesse pubblico, obbligo di legge, libertà di espressione possono giustificare il rifiuto della cancellazione.
La frontiera tra diritto all’oblio e libertà di espressione è tracciata caso per caso dalla giurisprudenza e dal Garante. Per i soggetti che operano come persone giuridiche, il diritto all’oblio è più limitato rispetto alle persone fisiche private: le notizie su condotte aziendali passate possono restare online anche contro la volontà dell’azienda, se mantengono rilevanza per il pubblico. Per i privati la valutazione è diversa e dipende da: attualità dell’interesse pubblico, gravità della notizia originale, lasso di tempo trascorso, comportamento successivo dell’interessato. Il penalista che difende nel digital law deve quindi conoscere sia il diritto penale sostanziale sia il framework regolatorio europeo — DSA, GDPR, MiCA — che ne costituisce il contesto normativo sempre più rilevante. Separare i due livelli — il fatto penale e il quadro regolatorio — è il primo errore da non fare.
Domande frequenti
Si può commettere un reato nel metaverso?
Sì, ma con limitazioni. Nel metaverso possono essere commessi tutti i reati che non presuppongono il contatto fisico tra vittima e reo: diffamazione aggravata (595 c.3), stalking tramite strumenti informatici (612-bis c.2), molestie (660), frode informatica (640-ter). Sono invece esclusi i reati che richiedono il contatto fisico: lesioni, violenza sessuale.
Le molestie sull'avatar nel metaverso sono reato?
Molestare con palpeggiamenti l'avatar di altri non costituisce reato, poiché non è possibile toccare materialmente un'altra persona nell'attuale esperienza del metaverso. La condotta può tuttavia integrare la molestia ex art. 660 se rivolta alla persona reale dietro l'avatar, ovvero la diffamazione se sono dirette offese all'utente e non al personaggio virtuale.
Le minacce nel metaverso sono punibili?
Sì se rivolte alla persona reale. La minaccia nel metaverso costituisce reato se l'espressione offensiva è rivolta non all'avatar in quanto tale, bensì al soggetto reale che si nasconde dietro di esso. Se in un videogioco di guerra si minaccia l'avversario nell'ambito della narrativa di gioco, non si incorre in illecito; se la minaccia è rivolta all'utente reale, è reato.
L'insider trading si applica agli NFT?
Dipende dalla natura dell'NFT. Se l'NFT è classificabile come strumento finanziario ai sensi del TUF, l'abuso di informazioni privilegiate su di esso integra l'art. 184 TUF. Se l'NFT è un bene digitale collezionabile senza natura finanziaria, l'uso di informazioni privilegiate non integra il 184 TUF ma può integrare la truffa (640) se le informazioni sono state usate per ingannare acquirenti.
L'insider trading su cripto: Cassazione 22651/2025?
La Cassazione con la sentenza n. 22651/2025 ha affrontato la responsabilità penale per abusivismo finanziario e operazioni in criptovalute, stabilendo che chiunque offra servizi di investimento in criptovalute senza registrazione OAM e abilitazione risponde del reato di abusivismo finanziario ex art. 166 TUF.
Le frodi con NFT come si qualificano?
La frode su NFT rientra tipicamente nell'art. 640 c.p. (truffa) se vi sono artifici e raggiri che inducono in errore l'acquirente sul valore o sull'autenticità del token. Se la frode coinvolge un sistema informatico si applica il 640-ter. Se l'NFT era strumento finanziario e la frode ha distorto il mercato, può applicarsi il 185 TUF.
Che cos'è il Digital Services Act (DSA) e come impatta la responsabilità dei provider?
Il Regolamento UE 2022/2065 (DSA), applicabile dal 2024, impone ai provider di piattaforme online obblighi precisi di rimozione dei contenuti illeciti e di cooperazione con le autorità. Il DSA non crea direttamente responsabilità penale, ma rafforza gli obblighi di compliance il cui mancato rispetto può fondare responsabilità civile e amministrativa — e in Italia, nelle forme più gravi, anche penale.
Il provider che non rimuove un contenuto diffamatorio risponde penalmente?
In Italia la responsabilità penale del provider è limitata dalla direttiva e-commerce (d.lgs. 70/2003): il provider hosting non risponde se non era a conoscenza dell'illiceità e, quando informato, ha agito per rimuoverlo. Il DSA ha rafforzato gli obblighi di notice-and-action. Se il provider è a conoscenza del contenuto illecito e non lo rimuove, può emergere la responsabilità per concorso nei reati facilitati (diffamazione, pornografia, ecc.).
Come funziona la responsabilità del provider per contenuti pedopornografici?
Per la pornografia minorile il regime è più severo. Il D.lgs. 131/2021 impone agli ISP obblighi specifici di oscuramento e segnalazione. Il provider che non adempie agli obblighi di oscuramento notificati dall'autorità risponde di responsabilità amministrativa; in presenza di dolo può configurarsi il concorso nei reati di cui agli artt. 600-ter e 600-quater.
Qual è la differenza tra safe harbour e responsabilità attiva?
Il safe harbour (porto sicuro) protegge il provider che non ha ruolo attivo nella selezione dei contenuti. La responsabilità attiva emerge quando il provider: raccomanda contenuti, li promuove, ottimizza la distribuzione, o ottiene profitti direttamente dalla loro diffusione. Il provider che ha ruolo attivo perde la protezione del safe harbour e risponde come qualunque editore.
I social network rispondono per i post dei loro utenti?
In linea generale no, se operano come intermediari passivi. Ma se hanno ricevuto segnalazione dell'illiceità e non hanno rimosso, o se ottimizzano attivamente la distribuzione di contenuti illeciti, la responsabilità diventa più concreta. Il DSA ha rafforzato i meccanismi di notice-and-action che attivano l'obbligo di rimozione.
Su che cosa si imposta la difesa del provider?
Sul safe harbour: il provider aveva ruolo attivo o passivo? Ha ricevuto la segnalazione? Ha rimosso tempestivamente? Sull'elemento soggettivo: conosceva effettivamente il contenuto illecito specifico? Sul DSA: ha rispettato gli obblighi di compliance previsti dal regolamento?
Domande di approfondimento
Guide correlate
- Credenziali e malware: che cosa resta dopo il 2024 L'art. 615-quinquies è stato abrogato e ricollocato nel 635-quater.1. Chi consulta materiale non aggiornato lavora su una norma che non esiste più.
- Diffamazione: la chat chiusa non è mezzo di pubblicità La bacheca Facebook è aggravata, il gruppo WhatsApp chiuso no. Tre scriminanti, tre requisiti ciascuna. E la querela scade a tre mesi dal fatto.
- Ransomware, IPTV e bot AI: qualificazioni penali 2025 Ransomware è estorsione informatica ex art. 629 c.3. Pagare il riscatto espone a rischi penali. Bot autonomi e pirateria IPTV hanno profili distinti.
- Wash trading cripto e smart contract: il market abuse 2025 Wash trading su token e pump&dump integrano l'art. 185 TUF se i token sono strumenti finanziari. L'aggravante AI 2025 porta la pena a 2-7 anni.
- Pornografia minorile: produzione e detenzione non concorrono 600-ter e 600-quater concorrono solo se il materiale è diverso. I fumetti integrano reato se fanno apparire vere situazioni non reali. Cass. 22579/2025.
- Immagini diffuse senza consenso: due reati, non uno Il fine di nocumento e' richiesto solo dal secondo comma dell'art. 612-ter. E dal 10 ottobre 2025 opera il nuovo art. 612-quater.