Indice
Testo dell'articoloVigente
Art. 615-ter c.p. – Accesso abusivo ad un sistema informatico o telematico
Testo vigente – R.D. 1398/1930 (aggiornato da Normattiva)
Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.
La pena è della reclusione da due a dieci anni :
1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema;
2) se il colpevole per commettere il fatto usa minaccia o violenza sulle cose o alle persone, ovvero se è palesemente armato;
3) se dal fatto deriva la distruzione o il danneggiamento del sistema o l’interruzione totale o parziale del suo funzionamento, ovvero la distruzione o il danneggiamento ovvero la sottrazione, anche mediante riproduzione o trasmissione, o l’inaccessibilità al titolare dei dati, delle informazioni o dei programmi in esso contenuti.
Qualora i fatti di cui ai commi primo e secondo riguardino sistemi informatici o telematici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, la pena è, rispettivamente, della reclusione da tre a dieci anni e da quattro a dodici anni .
Nel caso previsto dal primo comma il delitto è punibile a querela della persona offesa; negli altri casi si procede d’ufficio.
In sintesi
Indice dei contenuti
Accesso abusivo a sistema informatico o telematico protetto da misure di sicurezza senza autorità. Reclusione fino a tre anni; uno-cinque se pubblico ufficiale, violenza, danneggiamento. Hacking punito.
Ratio
L'articolo 615-ter tutela l'integrità dei sistemi informatici e telematici dalla penetrazione abusiva (hacking). È norma fondamentale nell'era digitale, poiché un sistema informatico è equiparabile al domicilio elettronico, contiene dati privati, informazioni sensibili, beni virtuali. La penetrazione senza autorità lede la riservatezza dell'utente e la sicurezza nazionale se sistema critico (ospedali, banche, infrastrutture).
Analisi
Primo comma: chiunque abusivamente s'introduce o si mantiene in sistema informatico/telematico protetto da misure di sicurezza, è punito fino a tre anni. Elemento cruciale: 'misure di sicurezza', password, firewall, crittografia. Sistema aperto non è tutelato. Secondo comma (aggravanti): (1) se pubblico ufficiale che abusa poteri, investigatore privato che esercita abusivamente, operatore del sistema che abusa, pena uno-cinque anni; (2) se uso di violenza su cose/persone o palesemente armato, uno-cinque anni; (3) se deriva distruzione/danneggiamento del sistema, dati, programmi, uno-cinque anni. Terzo comma: aggravante ulteriore se sistema di interesse militare, ordine pubblico, sicurezza pubblica, sanità, protezione civile, pena uno-cinque anni (ordinario); tre-otto se con danno. Procedibilità: querela se ordinario; d'ufficio negli altri casi.
Quando si applica
Esempi: hacker che penetra database bancario; dipendente che accede abusivamente a file confidenziali aziendali; ex dipendente che mantiene accesso al sistema pur licenziato; criminale che penetra server ospedaliero causando interruzione servizio. È delitto moderna, frequente nel cybercrime, ransomware, spionaggio industriale.
Connessioni
Correlati: art. 615-quater c.p. (detenzione abusiva di codici accesso), art. 615-quinquies c.p. (diffusione malware), art. 589-591 c.p. (lesioni/morti da danno sistema informatico), L. 289/2004 (sicurezza informatica critica), direttive UE su cybersecurity. Norma in evoluzione costante per nuove minacce (AI attack, IoT botnet).
Pronunce della Corte Costituzionale
Corte Cost., sent. n. 233/2018
Prassi dell'Agenzia delle Entrate
Ministero della Giustizia
Casi pratici
Caso 1: Caso 1
Tizio, appassionato di cybersecurity, accede abusivamente al server universitario di Caio (università dove Caio lavora) usando password rubata, explorando database di studenti. Non copia/modifica dati; accede solo. Commette accesso abusivo (art. 615-ter, comma 1), reclusione fino a tre anni. Se Tizio è dipendente e mantiene accesso dopo licenziamento, l'aggravante del comma 2 (operatore che abusa) sale la pena a uno-cinque anni.
Caso 2: Caso 2
Sempronio, hacker, penetra il sistema informatico dell'Ospedale Maggiore di Roma e disattiva la rete per riscatto (ransomware). Dati di pazienti sono corrotti, alcune cartelle cliniche diventano inaccessibili, sistema è paralizzato per ore. Sempronio commette accesso abusivo aggravato (art. 615-ter, comma 3, sistema sanità) + danneggiamento aggravato (comma 2, numero 3), pena tre-otto anni. Se morte di paziente in conseguenza, ulteriori capi di imputazione (art. 589/590 c.p.).
Domande frequenti
Se dimentico di logout da un computer pubblico e qualcuno accede ai miei dati, chi commette reato?
Chi accede abusivamente al tuo account commette accesso abusivo (art. 615-ter). Tu non sei colpevole della dimenticanza. Se la persona che accede sa che il sistema è protetto (password, login) e accede comunque senza tuo consenso, è hacking anche se il computer è fisicamente pubblico.
Che cos'è una 'misura di sicurezza'? Un accesso password semplice è sufficiente?
Sì, password anche semplice è misura di sicurezza se richiesta per accesso. Anche firewall, autenticazione a due fattori, PIN, crittografia. Se il sistema è completamente aperto (nessun login), non è tutelato dall'art. 615-ter. La 'misura' deve essere effettiva, anche se non sofisticata.
Se accedo abusivamente a un sistema, anche se non copio/cancello nulla, è reato?
Sì, la sola introduzione non autorizzata è reato (art. 615-ter, comma 1), fino a tre anni. Non è necessario danno o furto di dati. Il 'mantenersi' nel sistema senza autorità è sufficiente. Aggravanti entrano in gioco solo con danno/violenza.
Se sono amministratore di sistema e accedo per diagnosticare un problema, commetto reato?
No, se hai autorità del proprietario/titolare del sistema. L'accesso 'abusivo' presuppone mancanza di titolo. Se sei incaricato legittimamente, non è reato. Però se eccedi i limiti del tuo incarico (accedi a dati che non dovresti), potrebbe configurarsi abuso di ufficio (art. 328 c.p.) oltre che accesso abusivo.
Se penetro sistema per denudare una vulnerabilità (bug bounty), è comunque reato?
Sì, tecnicamente. Però se agisci su autorizzazione esplicita della società (programma bug bounty formale), sei esonerato dalla responsabilità. Senza autorizzazione preventiva scritta, è accesso abusivo anche se scopo è bene. Consigliato ottenere autorizzazione scritta prima di ogni test di penetrazione.
Fonti consultate: 2 fontei verificate