{"id":1480,"date":"2026-11-09T17:35:34","date_gmt":"2026-11-09T16:35:34","guid":{"rendered":"https:\/\/sites.unica.it\/ict4lawforensics\/?p=1480"},"modified":"2026-11-09T17:35:35","modified_gmt":"2026-11-09T16:35:35","slug":"la-cassazione-torna-sul-cd-overruling-giurisprudenziale-per-il-reato-di-accesso-abusivo","status":"publish","type":"post","link":"https:\/\/sites.unica.it\/ict4lawforensics\/2026\/11\/09\/la-cassazione-torna-sul-cd-overruling-giurisprudenziale-per-il-reato-di-accesso-abusivo\/","title":{"rendered":"La Cassazione torna sul cd. “overruling” giurisprudenziale per il reato di accesso abusivo"},"content":{"rendered":"\n

Il diritto penale dell’informatica conosce, nell’ordinamento italiano, una stagione di profonda rielaborazione, che si dispiega lungo due direttrici distinte ma convergenti. Sul versante giurisprudenziale, la Corte di cassazione prosegue l’opera di perimetrazione della fattispecie di accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.): in particolare, con la sentenza n. 22017 dell’11 giugno 2025, la Quinta Sezione penale ha escluso che la successione tra le Sezioni Unite Casani<\/em> (2011) e Savarese<\/em> (2017) integri un overruling<\/em> imprevedibile, ritenendo pertanto conforme all’art. 7 CEDU l’applicazione retroattiva dell’esegesi pi\u00f9 sfavorevole. Muovendo da una ricognizione del quadro delle fonti, il contributo esamina criticamente la pronuncia del 2025 alla luce della giurisprudenza della Corte europea dei diritti dell’uomo in tema di prevedibilit\u00e0 del diritto di formazione giurisprudenziale, per poi analizzare struttura e collocazione sistematica delle nuove fattispecie.<\/p>\n\n\n\n

Sommario. 1. Introduzione.<\/a> \u2013 2. Ricognizione delle fonti.<\/a> \u2013 3. L’art. 615-ter c.p.: la fattispecie e il problema del soggetto abilitato. <\/a>\u2013 3.1. Origini e tecnica di incriminazione. <\/a>\u2013 3.2. Il testo vigente dopo la L. n. 90\/2024. <\/a>\u2013 3.3. Il bene giuridico tutelato. <\/a>\u2013 3.4. Gli elementi costitutivi. <\/a>\u2013 3.5. Il criterio oggettivo: Casani<\/em> (2011). <\/a>\u2013 3.6. Il riemergere del contrasto (2012-2016). <\/a>\u2013 3.7. Il criterio funzionale: Savarese<\/em> (2017). <\/a>\u2013 3.8. Le ragioni dell’attualit\u00e0 della questione. <\/a>\u2013 4. Cass. pen., Sez. V, 11 giugno 2025, n. 22017: la prevedibilit\u00e0 della svolta Savarese<\/em>. <\/a>\u2013 4.1. Il fatto e lo svolgimento del processo. <\/a>\u2013 4.2. La motivazione.<\/a> \u2013 4.3. Il parametro convenzionale.<\/a> \u2013 4.4. Rilievi critici. <\/a>\u2013 5. Considerazioni critiche e conclusioni. <\/a><\/p>\n\n\n\n

1. Introduzione<\/h2>\n\n\n\n

La criminalit\u00e0 informatica, a lungo relegata ai margini della riflessione penalistica come fenomeno settoriale e di interesse prevalentemente tecnico, si \u00e8 progressivamente imposta quale capitolo strutturale della parte speciale, investendo categorie dogmatiche consolidate e sollecitando una costante opera di adeguamento tanto del legislatore quanto dell’interprete.<\/p>\n\n\n\n

In questo percorso l’ordinamento italiano occupa una posizione di rilievo. Con la L. 23 dicembre 1993, n. 547<\/strong>, esso \u00e8 stato tra i primi ordinamenti europei a dotarsi di un corpus organico di fattispecie in materia di criminalit\u00e0 informatica, recependo pressoch\u00e9 integralmente le indicazioni della Raccomandazione <\/strong>del Comitato dei Ministri del Consiglio d’Europa n. R (89) 9 del 13 settembre 1989, tanto con riguardo alla c.d. lista minima quanto, in larga parte, alla c.d. lista facoltativa, e anticipando di otto anni la Convenzione di Budapest<\/strong> del 2001. <\/p>\n\n\n\n

Non si tratta, a rigore, di un primato in senso assoluto, giacch\u00e9 discipline specifiche erano gi\u00e0 state adottate negli Stati Uniti (1984), nella Repubblica federale tedesca (1986), in Francia (1988) e nel Regno Unito (1990). L’originalit\u00e0 del modello italiano risiede piuttosto nell’ampiezza dell’intervento e nella scelta di politica criminale che lo ha ispirato: rifiutata l’opzione della legislazione speciale, il legislatore ha seguito la tecnica della c.d. integrazione evolutiva, inserendo le nuove figure criminose all’interno del codice, accanto alle fattispecie poste a presidio dei beni giuridici ritenuti pi\u00f9 affini, dall’inviolabilit\u00e0 del domicilio al patrimonio, dalla fede pubblica all’ordine pubblico. A distanza di oltre un trentennio, quell’impostazione precoce e marcatamente codicistica continua a condizionare in modo significativo le categorie attraverso le quali la giurisprudenza legge i fenomeni tecnologici.<\/p>\n\n\n\n

Due sviluppi intervenuti nell’ultimo biennio rendono l’esperienza italiana particolarmente significativa nella prospettiva comparata.<\/p>\n\n\n\n

Il primo attiene al diritto vivente<\/strong>. L’art. 615-ter c.p. si \u00e8 affermato come lo strumento elettivo attraverso il quale la giurisprudenza sanziona l’utilizzo distorto di banche dati pubbliche e private da parte di soggetti formalmente abilitati: appartenenti alle forze di polizia, pubblici dipendenti, dipendenti di istituti di credito. Il discrimine tra uso consentito e uso abusivo del titolo di legittimazione \u00e8 stato tracciato, in misura determinante, dalle Sezioni Unite, e ogni ridefinizione di quel confine pone il problema della sua conoscibilit\u00e0 da parte dei destinatari del precetto. La sentenza n. 22017\/2025 affronta tale problema con riferimento al pi\u00f9 rilevante di questi passaggi, la successione tra Casani<\/em> e Savarese<\/em>.<\/p>\n\n\n\n

Il secondo sviluppo \u00e8 di ordine legislativo<\/strong>. Con la L. n. 132\/2025 e con il D.lgs. n. 160\/2026, l’Italia \u00e8 divenuta uno dei primi Stati membri dell’Unione ad affiancare al Regolamento (UE) 2024\/1689 (c.d. AI Act) un apparato di fattispecie incriminatrici specificamente dedicate all’intelligenza artificiale. La locuzione AI crimes<\/em> cessa cos\u00ec di designare una mera categoria descrittiva, di matrice criminologica, per acquisire una precisa consistenza di diritto positivo.<\/p>\n\n\n\n

Il contributo intende rispondere al seguente interrogativo:<\/p>\n\n\n\n

secondo quali criteri la sentenza n. 22017\/2025 declini il canone di prevedibilit\u00e0 di cui all’art. 7 CEDU rispetto a un mutamento giurisprudenziale in malam partem, e se il percorso argomentativo seguito risulti persuasivo?<\/em><\/p>\n\n\n\n

    <\/ol>\n\n\n\n

    L’indagine si articola come segue. Il \u00a7 2 \u00e8 dedicato alla ricognizione del sistema delle fonti. Il \u00a7 3 delinea la struttura della fattispecie di accesso abusivo, il bene giuridico tutelato e gli elementi costitutivi, ricostruendo l’evoluzione della giurisprudenza di legittimit\u00e0. Il \u00a7 4 analizza la sentenza n. 22017\/2025. Il \u00a7 5 propone alcune considerazioni critiche conclusive.<\/p>\n\n\n\n

    2. Ricognizione delle fonti<\/h2>\n\n\n\n

    Il diritto penale dell’informatica si colloca, nell’ordinamento italiano, all’intersezione di tre livelli normativi: il sistema convenzionale del Consiglio d’Europa, gli strumenti di armonizzazione e regolazione dell’Unione europea e il diritto penale interno, codicistico e complementare.<\/p>\n\n\n\n

    Sul piano del Consiglio d’Europa, il punto di riferimento resta la Convenzione sulla criminalit\u00e0 informatica, aperta alla firma a Budapest il 23 novembre 2001 (STE n. 185) e ratificata con L. 18 marzo 2008, n. 48, il cui art. 2 impone agli Stati parte di incriminare l’accesso intenzionale e senza diritto (without right<\/em>) a un sistema informatico. Accanto a essa assume rilievo centrale l’art. 7 CEDU, nell’interpretazione della Corte di Strasburgo che, a partire almeno da Contrada c. Italia (n. 3)<\/em> del 2015, estende la garanzia della prevedibilit\u00e0 al diritto di formazione giurisprudenziale. Pi\u00f9 di recente, il Comitato europeo per i problemi criminali (CDPC) ha avviato l’elaborazione di una raccomandazione sulle risposte penali ai deepfake<\/em>, destinata a operare come parametro di soft law<\/em> per le fattispecie connesse all’IA (profilo, questo, che richiede ulteriore verifica sul testo definitivo).<\/p>\n\n\n\n

    Sul piano dell’Unione europea, la Direttiva 2013\/40\/UE relativa agli attacchi contro i sistemi di informazione (art. 3) ha fissato norme minime in materia di accesso illecito. Ben pi\u00f9 incisivo, per le questioni qui esaminate, \u00e8 il Regolamento (UE) 2024\/1689 sull’intelligenza artificiale, che delinea un sistema di obblighi graduato in ragione del rischio, prevede all’art. 50 specifici obblighi di trasparenza per i deepfake<\/em> e i cui termini di applicazione per i sistemi ad alto rischio sono stati differiti al biennio 2027-2028 dal Regolamento (UE) 2026\/1744 (c.d. Digital Omnibus). Va infine richiamata la Direttiva (UE) 2024\/1385 sulla lotta alla violenza contro le donne, il cui art. 5 impone agli Stati membri di incriminare la condivisione non consensuale di materiale intimo, inclusi i contenuti artificialmente generati, con termine di recepimento fissato al 14 giugno 2027.<\/p>\n\n\n\n

    Sul piano interno, la stratificazione normativa muove dalla L. n. 547\/1993, che ha introdotto l’art. 615-ter c.p. e le prime fattispecie informatiche nel codice; prosegue con la L. n. 48\/2008, che, nel ratificare la Convenzione di Budapest, ha riformato i delitti di danneggiamento informatico; e trova un significativo momento di inasprimento sanzionatorio nella L. 28 giugno 2024, n. 90, in materia di rafforzamento della cybersicurezza nazionale e di reati informatici. Ad essa si sono da ultimo aggiunte la L. 23 settembre 2025, n. 132, recante disposizioni e deleghe al Governo in materia di intelligenza artificiale, che ha introdotto l’art. 612-quater c.p. e la nuova aggravante comune, e il D.lgs. 9 settembre 2026, n. 160, attuativo della delega, che ha introdotto l’art. 437-bis c.p. e l’art. 25-vicies D.lgs. n. 231\/2001.<\/p>\n\n\n\n

    Due profili di questo quadro meritano di essere sottolineati sin d’ora. Il primo \u00e8 che l’art. 615-ter c.p. precede cronologicamente tanto la Convenzione di Budapest quanto la Direttiva 2013\/40\/UE: la sua formulazione, ampia e debitrice del modello della violazione di domicilio (“contro la volont\u00e0 espressa o tacita di chi ha il diritto di escluderlo”), ha di fatto rimesso alla giurisprudenza il compito di delimitarne il perimetro applicativo. Il secondo \u00e8 che le fattispecie in materia di IA costituiscono le prime figure di reato informatico, nell’ordinamento interno, costruite in rapporto di integrazione con un regolamento dell’Unione anzich\u00e9 con una direttiva. Il loro contenuto precettivo dipende, dunque, da una fonte direttamente applicabile, i cui obblighi acquistano efficacia secondo una scansione temporale differenziata: circostanza, questa, gravida di implicazioni sul piano della determinatezza.<\/p>\n\n\n\n

    3. L’art. 615-ter c.p.: la fattispecie e il problema del soggetto abilitato<\/h2>\n\n\n\n

    Le ipotesi che pi\u00f9 hanno impegnato l’elaborazione giurisprudenziale in tema di accesso abusivo non riguardano l’intrusione dall’esterno dell’hacker<\/em>, per la quale la fattispecie era stata originariamente concepita, bens\u00ec la condotta del soggetto interno che, titolare di credenziali valide, se ne avvalga per finalit\u00e0 che il titolare del sistema non avrebbe mai inteso autorizzare. Il quesito \u00e8 se, e a quali condizioni, una simile condotta integri un’introduzione o un mantenimento nel sistema “contro la volont\u00e0 espressa o tacita” di chi ha il diritto di escludere.<\/p>\n\n\n\n

    3.1 Origini e tecnica di incriminazione<\/h3>\n\n\n\n

    Anteriormente alla L. n. 547\/1993, il codice penale non conteneva alcuna disposizione idonea a sanzionare l’accesso non autorizzato ai sistemi informatici. Non mancarono, in giurisprudenza come in dottrina, tentativi di ricondurre le intrusioni informatiche a fattispecie preesistenti, quali la violazione di domicilio (art. 614 c.p.), la sostituzione di persona (art. 494 c.p.) o la cognizione e interruzione illecita di comunicazioni telefoniche e telegrafiche (art. 617 c.p.). Si tratt\u00f2, tuttavia, di orientamenti isolati, fondati su operazioni ermeneutiche che finivano per tradursi in un’applicazione analogica in malam partem<\/em>, e che la giurisprudenza maggioritaria e la dottrina prevalente respinsero come incompatibili con i principi di legalit\u00e0 e di tassativit\u00e0, auspicando un intervento chiarificatore del legislatore.<\/p>\n\n\n\n

    Il legislatore del 1993 ha accolto tale sollecitazione, muovendo da una precisa opzione sistematica. Le condotte di criminalit\u00e0 informatica non sono state concepite<\/strong> come espressione di un bene giuridico autonomo<\/strong>, tale da giustificare la creazione di un titolo apposito del codice, bens\u00ec come nuove forme di aggressione<\/strong>, connotate dal mezzo o dall’oggetto materiale, a beni giuridici gi\u00e0 presidiati nelle diverse parti del codice.<\/p>\n\n\n\n

    Nella relazione al disegno di legge n. 2773,<\/strong> infatti, i sistemi informatici sono stati qualificati come un’espansione ideale dell’area di rispetto pertinente al soggetto, garantita dall’art. 14 Cost. e penalmente tutelata, nei suoi aspetti pi\u00f9 essenziali, dagli artt. 614 e 615 c.p. Ne \u00e8 conseguita la collocazione dell’art. 615-ter nella Sezione IV del Capo III del Titolo XII del Libro II, tra i delitti contro l’inviolabilit\u00e0 del domicilio, nell’ambito dei delitti contro la libert\u00e0 individuale.<\/p>\n\n\n\n

    3.2 Il testo vigente dopo la L. n. 90\/2024<\/h3>\n\n\n\n

    Nella formulazione vigente, il primo comma dell’art. 615-ter c.p. punisce con la reclusione fino a tre anni chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volont\u00e0 espressa o tacita di chi ha il diritto di escluderlo. L’ipotesi base \u00e8 procedibile a querela della persona offesa.<\/p>\n\n\n\n

    Il secondo comma, nel testo risultante dall’art. 16 L. n. 90\/2024, in vigore dal 17 luglio 2024, eleva la pena alla reclusione da due a dieci anni (in luogo della precedente cornice da uno a cinque anni) in presenza di tre ordini di circostanze:<\/p>\n\n\n\n

      \n
    • la qualifica soggettiva dell’agente, ove il fatto sia commesso da un pubblico ufficiale o da un incaricato di pubblico servizio con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, da chi esercita anche abusivamente la professione di investigatore privato o con abuso della qualit\u00e0 di operatore del sistema (n. 1);<\/li>\n\n\n\n
    • le modalit\u00e0 della condotta, ove il colpevole usi minaccia o violenza sulle cose o alle persone ovvero sia palesemente armato (n. 2);<\/li>\n\n\n\n
    • le conseguenze del fatto, ove da esso derivino la distruzione o il danneggiamento del sistema o l’interruzione totale o parziale del suo funzionamento, ovvero la distruzione, il danneggiamento, la sottrazione, anche mediante riproduzione o trasmissione, o l’inaccessibilit\u00e0 al titolare dei dati, delle informazioni o dei programmi in esso contenuti (n. 3).<\/li>\n<\/ul>\n\n\n\n

      La riforma del 2024 ha inoltre arricchito la seconda ipotesi con il riferimento alla minaccia e la terza con la sottrazione e l’inaccessibilit\u00e0 dei dati. Il terzo comma prevede, infine, la reclusione da tre a dieci anni e da quattro a dodici anni, rispettivamente per l’ipotesi base e per quelle aggravate, qualora i fatti riguardino sistemi di interesse militare o relativi all’ordine pubblico, alla sicurezza pubblica, alla sanit\u00e0, alla protezione civile o comunque di interesse pubblico. In tutte le ipotesi diverse da quella del primo comma si procede d’ufficio. Sul versante della responsabilit\u00e0 degli enti, l’art. 24-bis D.lgs. n. 231\/2001 commina ora la sanzione pecuniaria da duecento a settecento quote, in luogo della precedente forbice da cento a cinquecento.<\/p>\n\n\n\n

      Ai fini della presente indagine merita particolare attenzione l’inquadramento dell’ipotesi di cui al secondo comma, n. 1. Secondo un orientamento della giurisprudenza di legittimit\u00e0, essa non integra una mera circostanza aggravante, ma un’autonoma figura di reato, legata alla fattispecie base da un rapporto di specialit\u00e0: il primo comma attiene all’intrusione di chi non sia in alcun modo abilitato, mentre il secondo comma, n. 1, disciplina l’abuso dell’abilitazione da parte di chi ne sia titolare (Cass., Sez. V, n. 1727\/2009). La questione dei soggetti interni si colloca, pertanto, prevalentemente su questo terreno.<\/p>\n\n\n\n

      3.3 Il bene giuridico tutelato<\/h3>\n\n\n\n

      L’individuazione dell’oggettivit\u00e0 giuridica dell’art. 615-ter c.p. costituisce uno dei profili pi\u00f9 controversi della fattispecie, anche in ragione della sua peculiare collocazione sistematica.<\/p>\n\n\n\n

        \n
      • Secondo una prima impostazione<\/strong>, che valorizza l’argomento topografico, la norma tutelerebbe il c.d. domicilio informatico, concepito come proiezione spaziale della persona ed espansione ideale dell’area di rispetto a essa pertinente; il legislatore avrebbe esteso al luogo informatico lo ius excludendi<\/em> che caratterizza il domicilio fisico, sicch\u00e9 la tutela opererebbe indipendentemente dalla natura e dal contenuto dei dati custoditi (Pica, Borruso, Galdieri). A tale costruzione si \u00e8 obiettato che essa dilata impropriamente la sfera della riservatezza e mal si attaglia ai sistemi informatici impiegati in ambito industriale, bancario e pubblico, cui pure il terzo comma fa espresso riferimento, i quali poco o nulla hanno in comune con gli spazi di libera esplicazione della personalit\u00e0 tutelati dall’art. 614 c.p.; il sistema informatico, \u00e8 stato osservato, presenta semmai maggiori affinit\u00e0 con il tradizionale cassetto che con il domicilio (Pecorella).<\/li>\n\n\n\n
      • Una seconda impostazione<\/strong> riconduce il bene protetto all’indisturbata fruizione del sistema da parte del titolare, in un rapporto di analogia con la tutela della propriet\u00e0 fondiaria offerta dall’art. 637 c.p. avverso l’ingresso abusivo nel fondo altrui (Berghella, Blaiotta). La tesi \u00e8 stata criticata per l’eterogeneit\u00e0 degli interessi assimilati, l’uno di natura patrimoniale, l’altro di natura personale, e per la manifesta sproporzione delle rispettive cornici edittali.<\/li>\n\n\n\n
      • Una terza impostazione<\/strong> individua l’oggetto della tutela nell’integrit\u00e0 del sistema e dei dati e programmi in esso contenuti, esposti a pericolo dall’accesso non autorizzato (M. Mantovani, Picotti). Le si \u00e8 tuttavia rimproverato di introdurre un requisito di fattispecie, la messa in pericolo dell’integrit\u00e0, privo di riscontro testuale e di determinare una sovrapposizione con le fattispecie specificamente preposte a tale tutela, quali gli artt. 635-bis e 615-quinquies c.p.<\/li>\n\n\n\n
      • Una quarta<\/strong> opinione ravvisa, infine, il bene giuridico nella riservatezza dei dati e dei programmi, ritenendo che l’intervento penale si giustifichi in ragione del contenuto e non del contenitore; ne discende, in chiave di offensivit\u00e0, l’esclusione del reato ove il sistema violato sia privo di dati ovvero contenga soltanto dati di pubblico dominio (Pecorella, F. Mantovani).<\/li>\n<\/ul>\n\n\n\n

        La giurisprudenza di legittimit\u00e0 ha accolto, nella sostanza, la tesi del domicilio informatico. Pronunciandosi per la prima volta sull’oggetto giuridico della norma, la Sesta Sezione ha affermato che essa non mira soltanto a garantire la riservatezza delle informazioni, ma l’intera sfera della personalit\u00e0 del titolare, ivi compresi i profili di carattere economico-patrimoniale, risultando irrilevanti tanto il contenuto dei dati quanto le finalit\u00e0 perseguite dall’agente (Cass., Sez. VI, 4 ottobre 1999, n. 3067). La scelta non \u00e8 priva di conseguenze sul problema che ci occupa: se oggetto della tutela \u00e8 lo ius excludendi<\/em> del titolare, la questione decisiva diviene quella dell’estensione di tale volont\u00e0 escludente nei confronti di chi al sistema sia stato legittimamente ammesso.<\/p>\n\n\n\n

        3.4 Gli elementi costitutivi<\/h3>\n\n\n\n

        La condotta tipica si articola in due modalit\u00e0 alternative, entrambe ricalcate sullo schema della violazione di domicilio. L’introduzione richiede, secondo l’orientamento prevalente, un accesso c.d. logico, ossia il superamento delle barriere poste a presidio della memoria interna del sistema e l’instaurazione di un dialogo con il software<\/em>; non \u00e8 sufficiente il mero accesso fisico all’elaboratore, n\u00e9 \u00e8 richiesta l’effettiva presa di conoscenza dei dati, collocandosi la soglia di punibilit\u00e0 in uno stadio anteriore. Il mantenimento investe, invece, la condotta di chi, introdottosi lecitamente o casualmente, permanga nel sistema nonostante il dissenso del titolare ovvero oltre i limiti modali e temporali dell’autorizzazione ricevuta. \u00c8 in questa seconda modalit\u00e0 che si radica, sul piano strutturale, la problematica dei soggetti abilitati (Meloni, Lombardo, \u00a7\u00a7 14-15).<\/p>\n\n\n\n

        Il requisito della protezione mediante misure di sicurezza \u00e8 inteso in senso ampio. Secondo la dottrina prevalente e la giurisprudenza consolidata, \u00e8 sufficiente qualsiasi misura, anche agevolmente superabile, poich\u00e9 la sua funzione non \u00e8 quella di opporre un ostacolo effettivo, bens\u00ec di rendere inequivoca la volont\u00e0 del titolare di riservare l’accesso a determinati soggetti, al pari del cartello di divieto apposto all’ingresso di un fondo aperto. In tale prospettiva la giurisprudenza pi\u00f9 recente ha riconosciuto rilevanza anche a misure di carattere meramente organizzativo, quali le prescrizioni che individuano i soggetti abilitati all’utilizzo di un sistema ad accesso tracciato (Cass., Sez. V, n. 2905\/2025), e ha escluso che la legittima acquisizione delle credenziali, o la loro comunicazione volontaria all’agente, valga a elidere il carattere abusivo dell’accesso (Cass., Sez. V, n. 3025\/2025) (Meloni, Lombardo, \u00a7 12).<\/p>\n\n\n\n

        Sotto il profilo soggettivo \u00e8 richiesto il dolo generico, consistente nella coscienza e volont\u00e0 di introdursi o mantenersi nel sistema altrui in assenza del consenso del titolare e nella consapevolezza della predisposizione di misure di protezione (Meloni, Lombardo, \u00a7 18). Il reato \u00e8 prevalentemente qualificato come di pericolo astratto. Quanto al locus commissi delicti<\/em>, le Sezioni Unite hanno chiarito che il delitto si consuma nel luogo in cui l’agente digita le credenziali di accesso o esegue la procedura di login<\/em>, e non in quello in cui \u00e8 collocato il server<\/em> (Cass., Sez. U, n. 17325\/2015, Rocco<\/em>) (Meloni, Lombardo, \u00a7 19).<\/p>\n\n\n\n

        Il nodo interpretativo di maggiore delicatezza \u00e8 rappresentato dal requisito dell’abusivit\u00e0. La disposizione impiega, infatti, tanto l’avverbio “abusivamente” quanto l’inciso “contro la volont\u00e0 espressa o tacita” del titolare. Secondo una prima lettura, le due espressioni si risolverebbero in un’unica qualifica di illiceit\u00e0 speciale, coincidente con l’assenza del consenso del titolare; secondo un’altra, l’avverbio assumerebbe un significato autonomo, aprendo il varco a ipotesi scriminanti ulteriori rispetto alle cause di giustificazione codificate (Meloni, Lombardo, \u00a7 16). La giurisprudenza in materia di soggetti abilitati, cui si rivolge ora l’attenzione, costituisce in definitiva una risposta a tale interrogativo.<\/p>\n\n\n\n

        3.5 Il criterio oggettivo: Casani<\/em> (2011)<\/h3>\n\n\n\n

        Chiamate a comporre il contrasto insorto tra le Sezioni semplici, le Sezioni Unite, con la sentenza Casani<\/em> (Cass., Sez. U, 27 ottobre 2011, n. 4694, dep. 2012), hanno affermato che integra la fattispecie la condotta di accesso o di mantenimento posta in essere da un soggetto che, pur essendo abilitato, violi le condizioni e i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso, ovvero ponga in essere operazioni di natura ontologicamente diversa da quelle di cui \u00e8 incaricato. Restano invece irrilevanti, ai fini della configurabilit\u00e0 del reato, gli scopi e le finalit\u00e0 che soggettivamente hanno motivato l’ingresso nel sistema. Il dissenso tacito del dominus loci<\/em> non si desume, dunque, dalla direzione finalistica della condotta, ma dall’oggettiva violazione delle disposizioni del titolare circa l’uso del sistema. L’opzione ermeneutica rispondeva a una evidente esigenza di certezza: l’abusivit\u00e0 veniva ancorata a parametri esterni e verificabili, sottratti all’indagine sull’atteggiamento interiore dell’agente.<\/p>\n\n\n\n

        3.6 Il riemergere del contrasto (2012-2016)<\/h3>\n\n\n\n

        L’equilibrio raggiunto si \u00e8 rivelato precario. Il contrasto si \u00e8 presto riproposto con riferimento ai pubblici ufficiali e agli incaricati di pubblico servizio, il cui accesso ai sistemi \u00e8 disciplinato non tanto da prescrizioni tecniche puntuali, quanto dalle finalit\u00e0 istituzionali dell’ufficio. Secondo la ricostruzione operata dalla stessa sentenza n. 22017\/2025, un primo indirizzo, espresso da Sez. 5, n. 22024\/2013 (Carnevale<\/em>), valorizzava il fine perseguito dall’agente quale indice dello sviamento dal perimetro istituzionale; un indirizzo opposto, espresso da Sez. 5, n. 44390\/2014 (Mecca<\/em>), negava invece che l’abusivit\u00e0 potesse essere desunta dalla violazione dei principi che presiedono all’azione amministrativa di cui alla L. n. 241\/1990.<\/p>\n\n\n\n

        3.7 Il criterio funzionale: Savarese<\/em> (2017)<\/h3>\n\n\n\n

        Il contrasto \u00e8 stato composto dalle Sezioni Unite Savarese<\/em> (Cass., Sez. U, 18 maggio 2017, n. 41210), secondo le quali integra il delitto, nella forma di cui al secondo comma, n. 1, la condotta del pubblico ufficiale o dell’incaricato di pubblico servizio che, pur essendo abilitato e pur non violando le prescrizioni formali impartite dal titolare del sistema, acceda o si mantenga in esso per ragioni ontologicamente estranee e comunque diverse rispetto a quelle per le quali soltanto gli \u00e8 attribuita la facolt\u00e0 di accesso. Con tale pronuncia viene recepita in ambito penale la categoria amministrativistica dello sviamento di potere, e la finalit\u00e0 dell’accesso, espunta dal giudizio di tipicit\u00e0 da Casani<\/em>, vi rientra quale elemento qualificante della condotta, quantomeno con riguardo ai soggetti pubblici.<\/p>\n\n\n\n

        3.8 Le ragioni dell’attualit\u00e0 della questione<\/h3>\n\n\n\n

        La rilevanza pratica del problema si \u00e8 ulteriormente accentuata. Le recenti indagini concernenti la consultazione massiva di banche dati di polizia e di informazione finanziaria da parte di pubblici ufficiali hanno collocato l’accesso abusivo dei soggetti interni al centro del dibattito pubblico (sul punto potrebbe utilmente farsi riferimento a specifici procedimenti), mentre la L. n. 90\/2024 ha sensibilmente inasprito il trattamento sanzionatorio. Ogni giudizio avente a oggetto fatti anteriori al maggio 2017 ripropone, cos\u00ec, il medesimo interrogativo: era l’esito interpretativo accolto da Savarese<\/em> ragionevolmente prevedibile per l’agente al momento della condotta? Sul punto la giurisprudenza di legittimit\u00e0 ha fornito risposte divergenti, e la sentenza n. 22017\/2025 prende posizione, seguita a breve distanza da Cass., Sez. V, n. 30516\/2025, a conferma del progressivo consolidarsi dell’indirizzo della Quinta Sezione.<\/p>\n\n\n\n

        4. Cass. pen., Sez. V, 11 giugno 2025, n. 22017: la prevedibilit\u00e0 della svolta Savarese<\/em><\/h2>\n\n\n\n

        Con la sentenza in commento, la Quinta Sezione ha enunciato il principio secondo cui la successione tra le Sezioni Unite Casani<\/em> e Savarese<\/em> non integra un overruling<\/em> imprevedibile e, pertanto, l’applicazione della seconda a fatti commessi nel 2016, anteriormente alla sua pronuncia, non si pone in contrasto con l’art. 7 CEDU.<\/p>\n\n\n\n

        4.1 Il fatto e lo svolgimento del processo<\/h3>\n\n\n\n

        La vicenda riguarda un pubblico ufficiale in servizio presso la sezione di polizia giudiziaria di una Procura della Repubblica, imputato del delitto di cui all’art. 615-ter c.p. per essersi introdotto nel sistema informatico dell’ufficio al fine di monitorare l’andamento di un procedimento iscritto a carico di ignoti e concernente un dirigente del medesimo ufficio. I fatti risalivano al giugno 2016. Assolto in primo grado, l’imputato veniva condannato dalla Corte d’appello, in accoglimento dell’impugnazione del pubblico ministero, alla pena di sei mesi di reclusione, oltre al risarcimento del danno in favore della parte civile costituita. Con il ricorso per cassazione la difesa lamentava l’applicazione retroattiva di un orientamento giurisprudenziale sopravvenuto e pi\u00f9 sfavorevole, formatosi successivamente alla commissione del fatto: la decisione impugnata si fonderebbe sul principio di diritto enunciato da Savarese<\/em>, laddove all’epoca dei fatti il diritto vivente era rappresentato da Casani<\/em>, che non attribuiva rilievo alle finalit\u00e0 dell’accesso del soggetto abilitato.<\/p>\n\n\n\n

        4.2 La motivazione<\/h3>\n\n\n\n

        Il percorso argomentativo della Corte pu\u00f2 essere scandito in quattro passaggi.<\/p>\n\n\n\n

        In primo luogo, il Collegio richiama il consolidato orientamento in tema di prevedibilit\u00e0 del mutamento giurisprudenziale: in ossequio agli artt. 2 c.p., 25 Cost. e 7 CEDU, l’applicazione retroattiva dell’interpretazione pi\u00f9 sfavorevole \u00e8 consentita soltanto qualora il relativo esito fosse ragionevolmente prefigurabile al momento del fatto.<\/p>\n\n\n\n

        In secondo luogo, la Corte afferma che la non prevedibilit\u00e0 deve essere esclusa ove, all’epoca della condotta, sussistesse un contrasto giurisprudenziale, giacch\u00e9 in tal caso l’esito interpretativo sfavorevole, per quanto controverso, era gi\u00e0 presente nel panorama applicativo.<\/p>\n\n\n\n

        In terzo luogo, il Collegio rileva che, nel periodo compreso tra Casani<\/em> e i fatti di causa, le Sezioni semplici avevano reso numerose pronunce che, pur aderendo al principio del 2011, ritenevano punibili le operazioni eccedenti sul piano oggettivo le regole stabilite per l’accesso (sono richiamate le sentenze Crescenzi<\/em>, Gorziglia<\/em>, Russo<\/em>, Papa<\/em>, Leo<\/em> e Provenzano<\/em>). Savarese<\/em> non avrebbe dunque ribaltato un indirizzo consolidato e pacifico, ma costituirebbe la naturale risposta a un’esigenza di specificazione e integrazione del principio Casani<\/em>, gi\u00e0 avvertita dalla giurisprudenza; del resto, le stesse Sezioni Unite del 2011 avevano ricompreso nella condotta vietata le operazioni ontologicamente diverse da quelle per le quali l’accesso era consentito.<\/p>\n\n\n\n

        In quarto luogo, la Corte aderisce espressamente a Sez. 5, n. 47510\/2018 (Dilaghi<\/em>), che in una vicenda analoga aveva escluso la configurabilit\u00e0 di un overruling<\/em> ad opera di Savarese<\/em>, e prende invece le distanze da Sez. 6, n. 28594\/2024 (Boezi<\/em>), che aveva qualificato il mutamento giurisprudenziale in malam partem<\/em> come causa di esclusione della colpevolezza ai sensi dell’art. 5 c.p. Ne consegue il rigetto del ricorso, con condanna del ricorrente al pagamento delle spese processuali e alla rifusione di quelle sostenute dalla parte civile.<\/p>\n\n\n\n

        4.3 Il parametro convenzionale<\/h3>\n\n\n\n

        La pronuncia deve essere letta alla luce della giurisprudenza della Corte europea dei diritti dell’uomo, la quale, com’\u00e8 noto, ricomprende nella nozione di “legge” di cui all’art. 7 CEDU anche il diritto di formazione giurisprudenziale, esigendo che la norma, come interpretata dai giudici, sia accessibile e ragionevolmente prevedibile per il destinatario, se del caso con l’ausilio di un consulente legale. In Contrada c. Italia (n. 3)<\/em> (Corte EDU, 14 aprile 2015), la Corte ha ravvisato la violazione dell’art. 7 proprio perch\u00e9 il concorso esterno in associazione di tipo mafioso, all’epoca dei fatti, non costituiva una figura sufficientemente chiara e prevedibile, essendo stata stabilizzata soltanto dal successivo intervento delle Sezioni Unite; analogo rilievo ha assunto la prevedibilit\u00e0 dei mutamenti giurisprudenziali in Del R\u00edo Prada c. Spagna<\/em> (Grande Camera, 21 ottobre 2013). Ebbene, la Corte di cassazione offre di Contrada<\/em> una lettura sensibilmente restrittiva, ritenendo che la mera preesistenza di un contrasto basti a rendere prevedibile l’esito pi\u00f9 sfavorevole. Il precedente di Strasburgo sembra, tuttavia, deporre in senso opposto: \u00e8 proprio l’esistenza, al momento del fatto, di orientamenti giurisprudenziali contrastanti ad aver fondato il giudizio di imprevedibilit\u00e0.<\/p>\n\n\n\n

        4.4 Rilievi critici<\/h3>\n\n\n\n

        Tre ordini di considerazioni inducono a dubitare della persuasivit\u00e0 dell’impianto motivazionale.<\/p>\n\n\n\n

        Il criterio del contrasto prova troppo.<\/strong> Se qualsiasi divergenza pregressa fosse sufficiente a fondare la prevedibilit\u00e0 dell’esito sfavorevole, la garanzia dell’art. 7 CEDU risulterebbe sistematicamente neutralizzata proprio rispetto agli interventi delle Sezioni Unite, che sono di regola sollecitati dall’esistenza di un contrasto (artt. 610, comma 2, e 618 c.p.p.) e che rappresentano, nella prassi, le pronunce maggiormente idonee a modificare il diritto vivente. L’argomento appare tanto pi\u00f9 problematico ove si consideri il rafforzamento della funzione nomofilattica delle Sezioni Unite operato dall’art. 618, comma 1-bis, c.p.p., introdotto dalla L. n. 103\/2017, che ne accentua la vocazione a fissare, e non semplicemente a registrare, il significato del precetto.<\/p>\n\n\n\n

        La Corte sovrappone piani distinti.<\/strong> Le pronunce Boezi<\/em> e Dilaghi<\/em> non divergono soltanto nell’esito, ma collocano il problema su livelli diversi della teoria del reato. Dilaghi<\/em> e la sentenza n. 22017\/2025 configurano la prevedibilit\u00e0 come attributo oggettivo dell’ordinamento, riconducibile al principio di legalit\u00e0 (art. 25, comma 2, Cost. e art. 7 CEDU); Boezi<\/em> la colloca invece sul piano della colpevolezza, nel solco tracciato da Corte cost. n. 364\/1988 in tema di ignoranza inevitabile della legge penale (art. 5 c.p.). Le due prospettive non si escludono reciprocamente: un’interpretazione ben pu\u00f2 risultare oggettivamente prevedibile per la comunit\u00e0 dei giuristi e, nondimeno, inevitabilmente ignota al singolo agente. Il netto rifiuto dell’impostazione di Boezi<\/em> lascia cos\u00ec inesplorato il secondo livello di verifica.<\/p>\n\n\n\n

        La qualifica soggettiva dell’imputato avrebbe offerto un fondamento pi\u00f9 solido.<\/strong> L’argomento di maggiore pregnanza a sostegno della decisione non risiede nel criterio del contrasto, bens\u00ec nella posizione funzionale dell’agente. Un ufficiale di polizia giudiziaria che consulti un procedimento riguardante i vertici del proprio ufficio si trova nella condizione pi\u00f9 favorevole per avvedersi che l’accesso \u00e8 privo di qualsiasi giustificazione istituzionale; e, alla stregua dello stesso criterio enunciato da Casani<\/em>, un simile accesso ben potrebbe qualificarsi come operazione ontologicamente diversa da quelle consentite. Ancorare la decisione a tale profilo avrebbe consentito di pervenire al medesimo esito senza svilire lo standard convenzionale della prevedibilit\u00e0.<\/p>\n\n\n\n

        La sentenza consolida, in definitiva, l’indirizzo inaugurato da Dilaghi<\/em> ed \u00e8 destinata verosimilmente a orientare la definizione dei giudizi pendenti per fatti anteriori al 2017. La divergenza tra la Quinta e la Sesta Sezione permane, tuttavia, irrisolta, e non pu\u00f2 escludersi n\u00e9 una rimessione della questione alle Sezioni Unite n\u00e9 un nuovo vaglio da parte della Corte di Strasburgo.<\/p>\n\n\n\n

        <\/p>\n\n\n\n

        5. Considerazioni critiche e conclusioni<\/h2>\n\n\n\n

        La sentenza n. 22017\/2025 abbassa sensibilmente la soglia di prevedibilit\u00e0 dei mutamenti giurisprudenziali sfavorevoli. <\/p>\n\n\n\n

        Alla stregua del criterio del contrasto, un’interpretazione in malam partem<\/em> deve ritenersi prevedibile sol che una precedente pronuncia l’abbia accolta. Una simile lettura si concilia con difficolt\u00e0 con la giurisprudenza di Strasburgo, che in Contrada<\/em> ha individuato proprio nel contrasto interpretativo esistente al momento del fatto la ragione della violazione dell’art. 7 CEDU. <\/p>\n\n\n\n

        L’esito decisorio risulta, peraltro, difendibile su basi pi\u00f9 circoscritte, quali la posizione funzionale dell’imputato e il riferimento, gi\u00e0 contenuto in Casani<\/em>, alle operazioni ontologicamente diverse da quelle consentite. Pi\u00f9 persuasivo sarebbe un modello di verifica articolato su due livelli: il primo, attinente alla prevedibilit\u00e0 oggettiva della regola per la comunit\u00e0 degli interpreti; il secondo, attinente all’evitabilit\u00e0 soggettiva dell’errore per il singolo agente ex art. 5 c.p., nella lettura offerta da Corte cost. n. 364\/1988. <\/p>\n\n\n\n

        La persistente divergenza tra la Quinta Sezione (Dilaghi<\/em>, n. 22017\/2025, n. 30516\/2025) e la Sesta Sezione (Boezi<\/em>) sembra, in ogni caso, sollecitare un intervento chiarificatore delle Sezioni Unite.<\/p>\n\n\n\n

        Di Alessia Palladino<\/strong> Assegnista di ricerca e Cultore della Materia in \u00abInformatica giuridica\u00bb e \u00abComputer Law\u00bb\u00a0 presso l\u2019Universit\u00e0 degli Studi di Cagliari.<\/p>\n","protected":false},"excerpt":{"rendered":"

        Il diritto penale dell’informatica conosce, nell’ordinamento italiano, una stagione di profonda rielaborazione, che si dispiega lungo due direttrici distinte ma convergenti. Sul versante giurisprudenziale, la Corte di cassazione prosegue l’opera di perimetrazione della fattispecie di accesso […]<\/p>\n","protected":false},"author":9973,"featured_media":1481,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[50],"tags":[157,161,163,167,159,165],"class_list":["post-1480","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-approfondimenti","tag-accesso-abusivo","tag-computercrimes","tag-crimes","tag-criminal-law","tag-cybercrimes","tag-reatiinformatici"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1480","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/9973"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1480"}],"version-history":[{"count":1,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1480\/revisions"}],"predecessor-version":[{"id":1482,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1480\/revisions\/1482"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1481"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1480"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1480"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1480"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}