Crimini informatici: un passo avanti con la ratifica della Convenzione

di Paolo Galdieri* – 20.03.08

Con l’approvazione in via definitiva da parte del Senato del disegno di legge di Ratifica ed esecuzione della Convenzione del Consiglio d' Europa sulla criminalità informatica, stilata a Budapest il 23 novembre 2001, si aggiungono nuovi tasselli a quel mosaico la cui composizione era iniziata nel lontano 1993.
All’epoca, infatti, in ossequio alle indicazioni contenute nella raccomandazione del Consiglio d’Europa, la n.R(89)9, sulla criminalità correlata all’elaboratore, si erano inserite, attraverso la legge 23 dicembre 1993 n. 547, numerose nuove fattispecie di reato all’interno del codice penale, con l’intento di arginare l’emergente fenomeno della criminalità informatica. La stessa legge prevedeva, inoltre, modifiche nell’ambito della procedura penale, tali da offrire agli organi inquirenti validi strumenti in sede di accertamento del reato.

Esigenza questa ribadita successivamente nella raccomandazione del Consiglio d’Europa, la n. R(95)13, espressamente dedicata ai profili della procedura penale collegati alle tecnologie dell’informazione.
Successivamente, con la Convention on Cybercrime, si è stilato un documento ispirato dalla convinzione che i nuovi fenomeni possono essere ben contrastati solo attraverso un’armonizzazione delle legislazioni che tenesse conto della dimensione transnazionale dei crimini informatici.

In questa prospettiva si è ribadita l’esigenza di prevedere nelle legislazioni interne norme penali idonee a sanzionare determinate condotte, disposizioni processuali capaci di rendere effettivamente punibili i reati previsti, previsioni normative che contemplassero finalmente una responsabilità delle aziende per reati informatici commessi al loro interno.
Nel recepire tali indicazioni la legge di ratifica opera sostanzialmente su tre piani: quello del diritto sostanziale, processuale e della rilevanza penale di alcune condotte in ambito aziendale.

Quanto a tale ultimo profilo, che approfondiremo nel prossimo numero di InterLex, si estende alle aziende la responsabilità amministrativa, già prevista per numerosi reati dal decreto legislativo 231, a praticamente tutti i delitti informatici commessi dai vertici o dai dipendenti, sempre che siano realizzati nell’interesse dell’ente o per l’ipotesi che lo stesso ne abbia tratto un vantaggio.

Importanti novità si registrano anche nell’ambito del diritto sostanziale.
L’art. 615 quinquies, originariamente volto a sanzionare la diffusione di programmi diretti a danneggiare o interrompere un sistema informatico, reprime oggi la diffusione di apparecchiature, dispositivi o programmi informatici diretti danneggiare o interrompere un sistema informatico. La norma, così come novellata, punisce, quindi, chiunque , al fine di procurare a sé o ad altri un profitto o di arrecare ad altri un danno , si procura, riproduce , importa, diffonde, comunica consegna o , comunque mette a disposizione di altri apparecchiature, dispositivi o programmi informatici aventi per scopo o per effetto il danneggiamento di un sistema informatico o telematico, delle informazioni, dei dati o dei programmi in esso contenuti o ad esso pertinenti, ovvero l’interruzione, totale o parziale , o l’alterazione del suo funzionamento.

Si prevedono poi più ipotesi di danneggiamento informatico e segnatamente:
- il danneggiamento di informazioni, dati e programmi informatici (art.635 bis);
- il danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità (635 ter);
- il danneggiamento di sistemi informatici e telematici (635 quater).

Le maggiori novità attengono, tuttavia, alla disciplina penale del documento informatico e della firma digitale. In tale direzione si registra l’eliminazione della definizione di documento informatico introdotta dalla legge 547 del 93, per dar spazio a quella più corretta, già contenuta nel regolamento di cui al decreto del Presidente del Repubblica 10 novembre 1997, n. 513 e ripresa dal Codice dell’amministrazione digitale. Anche ai fini penalistici, quindi, per documento informatico non si intenderà più “il supporto informatico contenente dati o informazioni aventi efficacia probatoria”, bensì “la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti”.
Opportuna risulta poi l’introduzione dei reati di falsa dichiarazione o attestazione al certificatore sull’identità o su qualità personali proprie o di altri (art.495 bis) e di truffa del certificatore di firma elettronica (art.640 quinquies).

Interessanti novità si registrano, infine, in ambito processuale, atteso che sino ad oggi i maggiori problemi applicativi delle norme sulla criminalità informatica dipendevano proprio dalla poca chiarezza in ordine a ciò che gli organi inquirenti potevano fare nella delicata fase dell’accertamento del reato.
Si prevede oggi espressamente la possibilità per l’autorità giudiziaria di disporre, in sede di ispezione, rilievi e altre operazioni tecniche sui sistemi, di perquisire gli stessi anche se protetti da misure di sicurezza, di esaminare presso le banche anche i dati, le informazioni ed i programmi informatici.

E’ contemplata altresì una disciplina sulle modalità di acquisizione dei dati oggetto di sequestro presso i fornitori di servizi informatici e telematici o di telecomunicazioni, nonché un provvedimento che permetta il congelamento temporaneo ed urgente dei dati personali. Viene prevista, infine, la concentrazione della competenza per i reati informatici presso gli uffici di procura distrettuali al fine di facilitare il coordinamento delle indagini e la formazione di gruppi di lavoro specializzati in materia.

Non vi è dubbio che l’intervento del legislatore rappresenti un ulteriore passo in avanti nella lotta contro la criminalità informatica.
La legislazione penale dell’informatica, già di buon livello, colma le residuali lacune attinenti principalmente l’ambito del documento informatico e della firma digitale. Da questo punto di vista si può affermare che tutte le condotte correlate all’uso delle tecnologie dell’informazione sono oggi disciplinate, considerando che oltre alle norme già previste dalla legge 547 ve ne sono altre inserite nel tempo attraverso le leggi riferite alla tutela di programmi e della riservatezza ed in quelle volte a contrastare la pedofilia ed il terrorismo internazionale.

Anche il codice di procedura penale, da molti considerato ancora inadeguato, si arricchisce di contenuti, sino a prevedere, in ossequio ad un’esigenza avvertita dai più, la costituzione di veri e propri pool di magistrati con competenze specifiche in grado di cogliere non solo le novità delle nuove condotte, ma anche e soprattutto dei contesti in cui vengono maturate.
Rimangono, tuttavia, alcuni problemi di non facile soluzione.

Vi è da risolvere in primo luogo la questione relativa alla figura del provider , che se da un lato va responsabilizzata, dall’altra non può essere sottoposta ad obblighi non sempre esigibili. Parimenti necessitano regole chiare ed univoche in relazione alle metodologie di acquisizione dei dati digitali ed in merito ad i requisiti perché gli stessi abbiano valore probatorio.
Da questo punto di vista, un valido contributo può essere fornito proprio da alcune disposizioni inserite dalla legge in commento.

Vi è anche da risolvere una spinosa questione, che non riguarda solo i reati informatici, relativa al rapporto tra indagini e mezzi di comunicazione, onde evitare inutili criminalizzazioni in tale materia e consentire una seria celebrazione del processo penale nel rispetto delle garanzie degli indagati e degli imputati.
Si pensi, a titolo di esempio, alle continue notizie fornite dai media su indagini in corso in materia di pedofilia telematica, la cui risonanza ha spinto, purtroppo, in alcuni casi l’indagato ha gesti estremi.

Posto che qualunque fatto di cronaca trovi legittimo accesso nei canali dell’informazione, perché grave sarebbe il contrario, è altresì necessario procedere con estrema prudenza allorquando si forniscono informazioni su procedimenti dall’esito ancora incerto.
Il problema, di carattere generale, perché riferibile a qualsiasi tipo di indagine, assume connotati peculiari in tema di criminalità informatica.
È agevole constatare come i reati commessi attraverso le tecnologie suscitino nell’opinione pubblica interesse e, talvolta, addirittura simpatia, così da divenire argomento ben gradito dai fruitori dell’informazione e, quindi, da coloro che dalla diffusione delle informazioni traggono utili economici.

Problema differente è quello relativo alla eterogeneità delle decisioni dei giudici.
L’interpretazione delle norme penali informatiche è, infatti, ancora sensibilmente condizionata da un diverso modo di leggere il significato di termini tecnici utilizzati dalle norme, un diverso modo di interpretare le tecnologie, un diverso modo di interpretare il contesto ove la norma trova applicazione.

Le norme penali informatiche utilizzano termini sino a poco tempo fa non presenti nell’ordinamento penale. Pensiamo a parole quali “programma informatico”, “sistema informatico e telematico”, “dati e informazioni”, “misure di sicurezza”. Si tratta di termini dei quali il legislatore non fornisce una spiegazione, ma che comunque vengono presi da un mondo, quello informatico, sensibilmente diverso da quello giuridico. Può quindi accadere, e di fatto accade, che alcune decisioni divergano tra loro poiché mentre alcuni giudici interpretano quel determinato termine secondo l’accezione tipicamente informatica, altri lo interpretano secondo un’impostazione più propriamente giuridica.

Si aggiunga che il legislatore in molti casi usa termini diversi, e a volte non appropriati, per indicare determinati aspetti tecnologici (si pensi alle definizioni delle firme elettroniche), alimentando così le difficoltà interpretative.
La lettura delle sentenze in materia consente anche di distinguere tra decisioni che presuppongono un’approfondita conoscenza della realtà informatica ed altre che non sono perfettamente rispettose della realtà sottoposta alla loro attenzione.

A titolo di esempio, si ricordano alcune sentenze di legittimità che hanno chiarito come non si possa parlare di divulgazione di materiale pedopornografico ogni qualvolta lo stesso è semplicemente veicolato attraverso la Rete, occorrendo verificare se lo specifico servizio utilizzato consenta effettivamente la fruizione del materiale suddetto ad un numero indeterminato di destinatari.

L’interpretazione dei reati commessi attraverso le tecnologie può, talvolta essere condizionata anche dall’idea che l’organo giudicante ha della società basata sull’impiego delle risorse informatiche.
Emblematica in tal senso la decisione del Tribunale di Roma (Giudice Francione, 15 febbraio 2001) con la quale è stato assolto un cittadino extracomunitario sorpreso a vendere compact disc contraffatti, ritenendosi operante lo stato di necessità di cui all’art. 54 c.p.

In tale decisione si legge tra l’altro che “Quello di proprietà privata è un concetto troppo ingombrante per questa nuova fase storica dominata dall’ipercapitalismo e dal commercio elettronico, nella quale le attività economiche sono talmente rapide che il possesso diventa una realtà ormai superata. Anche la New Economy depone, dunque, nel senso dell’arte a diffusione gratuita o a bassissimo prezzo, per rendere effettivo il principio costituzionale dell’arte e la scienza libere (art. 33 Cost.) e quindi usufruibili da tutti, cosa non assicurata dalle attuali oligarchie produttive d’arte che impongono prezzi alti, contrari a un’economia umanistica, con economia, anzi, diseducativa per i giovani spesso privi del denaro necessario per acquistare i loro prodotti preferiti e spinti, quindi, a ricorrere in Rete e fuori a forme diffuse di “pirateria” riequilibratrice”.

E’ evidente nel caso di specie che il giudice, chiamato a far rispettare le leggi, proprio in virtù di una propria visione dell’attuale società, ammette che un fatto costituente reato, appunto la “pirateria”, possa avere addirittura una funzione riequilibratrice, ovvero in sostanza sostituirsi a delle norme vigenti, ma ritenute ingiuste.

Lo scenario, così come sinteticamente descritto, dimostra che l’efficacia delle norme non dipende solo dalla loro formulazione letterale, ma anche, e soprattutto, dall’interpretazione fornita in concreto alle stesse.
Piuttosto di continuare a fare leggi a seconda dell’ “emergenza” del momento, occorre allora attendere con pazienza il consolidarsi di indirizzi giurisprudenziali, nella speranza che gli stessi siano ispirati da un’effettiva conoscenza dei contesti in cui le norme sono chiamate ad operare.

(Continua sul prossimo numero)
 

* Avvocato in Roma – Docente di informatica giuridica