La pronuncia che oggi si segnala brevemente (Cass. pen., sez. V, 20 giugno 2025, n. 23158, pronunciata all’udienza del 29 aprile 2025) affronta il tema dell’accesso abusivo ai sistemi informatici aziendali da parte dell’amministratore di sistema, soffermandosi in particolare sui limiti dei controlli difensivi e sul rapporto tra poteri tecnici di accesso e tutela della riservatezza dei lavoratori.

La Corte di Cassazione è stata chiamata a valutare il ricorso proposto dall’imputato avverso la sentenza della Corte d’appello di Milano che, pur rideterminando la pena e assolvendo per uno dei capi di imputazione, aveva confermato la responsabilità per i reati di accesso abusivo a sistema informatico e violazione di corrispondenza.

Secondo l’accertamento dei giudici di merito, l’imputato, in qualità di amministratore e operatore di sistema della piattaforma informatica aziendale, aveva effettuato accessi alla casella di posta elettronica di un dirigente della società, acquisendo e consultando numerosi messaggi, anche relativi a comunicazioni riservate e a strategie societarie, e aveva inoltre disattivato la funzione di controllo degli accessi, ostacolando la tracciabilità delle operazioni compiute. La difesa aveva sostenuto la legittimità delle condotte, ritenute espressione di controlli difensivi finalizzati alla tutela degli interessi societari, nonché l’assenza di abuso in considerazione della qualità dell’imputato quale amministratore di sistema autorizzato all’accesso.

La Corte di cassazione ha rigettato il ricorso, ritenendo infondati tutti i motivi proposti. In primo luogo, la Corte ha ribadito il principio, già affermato dalle Sezioni Unite, secondo cui integra il reato di accesso abusivo anche la condotta del soggetto formalmente autorizzato quando l’accesso avvenga per finalità ontologicamente estranee a quelle per cui la facoltà è stata attribuita. In tale prospettiva, la Corte ha ritenuto corretta la valutazione dei giudici di merito che avevano escluso la natura difensiva dei controlli, evidenziando la loro estensione, la mancanza di proporzionalità e l’assenza di un fondato sospetto di illeciti, nonché il carattere personale delle finalità perseguite dall’imputato.

La pronuncia si sofferma, poi, sui limiti dei controlli difensivi tecnologici, richiamando la necessità di un bilanciamento tra le esigenze di tutela del patrimonio e dell’organizzazione aziendale e la protezione della dignità e della riservatezza dei lavoratori. In tale quadro, la Corte ha ritenuto che l’acquisizione massiva di messaggi di posta elettronica, estesa anche a soggetti terzi e non adeguatamente circoscritta nel tempo e nell’oggetto, eccedesse i limiti di ragionevolezza e proporzionalità richiesti dalla giurisprudenza.

È stata inoltre confermata la configurabilità del concorso tra il delitto di accesso abusivo e quello di violazione di corrispondenza, sul presupposto che l’introduzione illegittima nella casella di posta elettronica e la successiva acquisizione del contenuto delle comunicazioni integrino condotte autonome e cumulativamente rilevanti. La Corte ha poi ritenuto corretta l’applicazione dell’aggravante relativa all’alterazione del sistema informatico, osservando che la disattivazione della funzione di controllo, pur reversibile, aveva determinato una temporanea inidoneità del sistema e impedito agli altri utenti l’utilizzo dell’applicativo per un periodo significativo.

La Corte ha infine escluso la particolare tenuità del fatto, valorizzando la quantità e la qualità delle informazioni riservate acquisite, le modalità invasive della condotta e l’incidenza sulla riservatezza delle comunicazioni, confermando altresì la sussistenza del danno patrimoniale derivante dai costi sostenuti dalla società per l’attività di consulenza tecnica volta a verificare l’intrusione informatica.

La decisione si inserisce nel consolidato orientamento giurisprudenziale volto ad ampliare la nozione di abusività dell’accesso ai sistemi informatici, valorizzando il profilo funzionale dell’autorizzazione e rafforzando la tutela della riservatezza in ambito lavorativo.

In particolare, la pronuncia ribadisce che la posizione di amministratore di sistema non comporta una generalizzata legittimazione all’accesso ai dati aziendali, ma richiede che l’utilizzo dei poteri tecnici avvenga nel rispetto dei limiti di finalità, proporzionalità e necessità, la cui violazione può determinare responsabilità penale anche in presenza di credenziali legittimamente detenute.

Antonino Ripepi, procuratore dello Stato in Reggio Calabria

Visualizza il documento: Cass. pen., sez. Vª, 20 giugno 2025, n. 23158

Scarica il commento in PDF

L'articolo Accesso abusivo alla posta aziendale e controlli difensivi: limiti di proporzionalità e responsabilità dell’amministratore di sistema sembra essere il primo su Rivista Labor - Pacini Giuridica.