Codice Penale art. 615 quinquies - 1[Detenzione, diffusione e installazione abusiva 2 di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico 3.]

Materialità

La condotta incriminata consiste nel “procurare, produrre, riprodurre, importare, diffondere, comunicare, consegnare o, comunque, mettere a disposizione di altri apparecchiature, dispositivi o programmi informatici, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti o ad esso pertinenti ovvero di favorire l'interruzione, totale o parziale, o l'alterazione del suo funzionamento”.

Oggetto materiale della condotta possono essere a differenza di quanto previsto nel vecchio testo che si riferiva soltanto ai software sia programmi informatici (cosiddetti software) sia apparecchiature che dispositivi informatici (hardware) che si prestano a danneggiare o alterare il funzionamento dei sistemi informali, o dei programmi in esso contenuti.

È stato sottolineato che nonostante il silenzio della norma, si deve ritenere in ossequi al principio di offensività che devono essere considerate rilevanti solo le condotte avente ad oggetto strumenti dotati di un'effettiva potenzialità offensiva (Pecorella in Pulitanò PtS II,291), vale a dire strumenti che possono essere effettivamente utilizzati al fine di compiere un reato di danneggiamento di dati.

L'ipotesi tipica è quella di diffusione di virus, ossia di programmi che, una volta che si inseriscono nel sistema informatico, si diffondono e si riproducono minando la funzionalità dello stesso. La diffusione dei virus può avvenire tramite posta elettronica, tramite l'attività di navigazione in Internet (in particolare, quando si scaricano dei files), ma anche tramite inserimento nel PC di supporti esterni quali chiavi Usb, cd-rom, dvd, floppy disk, ecc.

I virus vengono poi distinti, a seconda del loro funzionamento, in varie tipologie, tra cui ricordiamo, a titolo meramente esemplificativo, i trojan horses, i worm, i virus, le logic bombs, i malaware e gli Mcc (malicious mobile code).

In dottrina si reputano richiamati dalla norma in esame esclusivamente i c.d. programmi eseguibili, che, cioè, sono elaborati in un linguaggio comprensibile per la macchina e sono suscettibili di immediato utilizzo in un sistema informatico, mentre si escludono i c.d. programmi-sorgente, che necessitano di una previa conversione in linguaggio-macchina per poter essere utilizzati in un sistema informatico (De Ponti, 6002), tuttavia la soluzione appare discutibile in quanto non fornita di fondamento normativo ed a maggior ragione a seguito dell'ampliamento dell'oggetto della condotta (Cocco, 419).

È controverso se nella nozione di programma informatico rilevante in argomento rientrino anche le istruzioni sul modo di creare un programma infetto, in senso affermativo si ricomprende tale forma di diffusione nella nozione di comunicazione (D'Aietti, 89), in senso contrario va evidenziato che le condotte, comunque le si interpretino, hanno ad oggetto specifici strumenti materiali ed immateriali (software), non dunque mere informazioni, pertanto viene sottolineato l'eccessivo arretramento della tutela penale che ne deriverebbe (Cocco, 419; De Ponti, 6003; Pica, 101).

Di rilievo in materia è anche la distinzione tra l'istruzione automatica di danneggiamento del sistema e l'azione di danneggiamento commessa direttamente dall'agente in quanto solo nel primo caso si è dinanzi ad un programma virus, rilevante per il reato in esame, mentre la seconda ipotesi si connota come azione isolata di disturbo eventualmente rilevante ex art. 635-bis (danneggiamento di sistemi informatici e telematici) (cfr. Pica, 108; D'Aietti, 89).

Diverse possono essere le motivazioni sottese alla creazione e diffusione di virus, dal comportamento semplicemente vandalico, al gesto di sfida, alla volontà effettivamente estorsiva, all'intenzionalità di danneggiare un concorrente. Per contrastare tale fenomeno si utilizzano appositi programmi (c.d. anti-virus) che individuano i programmi nocivi nel sistema e li eliminano, ovvero programmi «di sbarramento» (c.d. firewall) all'ingresso degli stessi nel sistema informatico o nella rete. Tuttavia, anche in considerazione del fatto che tali programmi debbono costantemente essere aggiornati per contrastare la continua evoluzione nella creazione e diffusione dei virus, questa attività di contrasto costituisce un costo e uno sforzo non indifferente per enti, imprese e privati.

Va precisato che rientrano nell'ambito di applicazione della norma non solo i programmi in grado di danneggiare il sistema informatico o di alterarne il funzionamento, ma anche quelli che ne causano l'interruzione anche temporanea, anche quando cioè il sistema viene ripristinato senza particolari interventi e senza che permangano conseguenze negative (c.d. virus benigni).

Rispetto alla formulazione precedente alla ratifica della convenzione di Budapest, oggi la norma sanziona, oltre alla diffusione (nel caso in cui la comunicazione abbia per destinatari un numero potenzialmente indeterminato di oggetti, come può avvenire con l'immissione di tali programmi su siti Internet) e alla trasmissione (il «mettere a disposizione di altri» sostanzialmente riconducibile alla condotta di «comunicazione» o «consegna» antecedente alla novella, riguardante invece destinatari specifici), anche la produzione, la riproduzione, l'importazione e la condotta atta a procurarsi tali programmi, con ciò implicando una significativa estensione di tutela.

In particolare la diffusione implica la messa in circolazione di programmi infetti attuata attraverso le reti telematiche ma anche con la materiale introduzione degli stessi nei sistemi informatici ovvero con la vendita di dischi o nastri magnetici che li contengano o, ancora, con l'incorporazione degli stessi in un adeguato supporto informatico (ad es. un nastro o disco magnetico) (cfr. Pica, 100).

È controverso che costituisca un'ipotesi di diffusione rilevante ai sensi della norma in esame l'inserimento del programma nella memoria o nel sistema operativo di un elaboratore collegato in rete con un numero indeterminato di altri sistemi, i quali possano essere a loro volta contagiati per effetto della capacità di trasmigrazione del codice «infetto».

Chi nega la rilevanza di tale condotta ritiene che la sola presenza di un programma infetto all'interno di un elaboratore determini, a seconda dei casi, il deterioramento o l'inservibilità del programma o del sistema, con ciò integrando gli estremi del diverso e più grave reato di danneggiamento informatico ex art. 635-bis, o eventualmente ex art. 420 (così De Ponti, 6004; conforme Sarzana, 375; contra, Cuomo, Razzante, 130; Pica, 423, che ritiene sussistere anche in questo caso un'ipotesi di diffusione).

La consegna è la cessione del supporto fisico sul quale è registrato il programma che viene così posto nella disponibilità altrui (De Ponti, 6004; Pica, 100). Si tratta di condotta la cui previsione suscita perplessità in quanto teoricamente può indicare una attività neutra e, comunque, non sorretta da motivazioni illecite, come nel caso della consegna di un dischetto infetto ad un tecnico perché ne individui e ne rimuova le anomalie, con la conseguenza che di per sé sola non ha un significato univoco e diventa essenziale, ai fini dell'accertamento della sussistenza del reato l'indagine sull'elemento psicologico (cfr. Pica, 101).

La comunicazione secondo taluni implica un contatto tra soggetti conferenti e riceventi e si può specificare come comunicazione telematica oppure, più estensivamente, come qualsiasi forma di esternazione preordinata alla realizzazione dei programmi in oggetto (Parodi-Calice, 88). Secondo altri, invece, essa ha ad oggetto esclusivamente entità immateriali quali i segnali elettronici da cui i dati e i programmi sono rappresentati, cosicché è integrata solo dalla cessione del programma per via telematica, ossia con l'invio del programma attraverso le linee telefoniche cui siano collegati i sistemi informatici, rispettivamente, di chi cede il programma e di chi lo riceve (De Ponti, 6004). Per altri ancora, la comunicazione costituisce il mezzo attraverso il quale si realizza la diffusione, cosicché la sua autonoma previsione consente «di sanzionare altresì il singolo atto iniziale, diretto alla diffusione, prima che il programma nocivo sia effettivamente diffuso fra più sistemi» (Pica, 101).

Comunque mettere a disposizione appare una clausola di chiusura e onnicomprensiva volta a includere nella sfera di rilevanza penale qualsiasi modalità con cui gli oggetti in questione vengano messi nella disponibilità di terzi da parte dell'agente.

Vengono, inoltre, incriminate con la riforma del 2008 le condotte di procurarsi, produrre, riprodurre, importare, chiaramente orientate a colpire il mercato dei programmi o dispositivi illeciti alimentato dalle condotte sanzionate. Se le ultime tre ipotesi non presentano particolari problemi interpretativi, precisato che per produzione ovviamente non si intende la mera progettazione (De Ponti, 6004), mentre come già detto si ritiene rilevante anche la «produzione» o scrittura di un codice sorgente (contra De Ponti, 6004). Sul procurarsi può discutersi se comprenda anche la mera detenzione, la risposta positiva pare possa evincersi dalla circostanza che la previsione colpisce tutte le condotte da cui può derivare la detenzione, vale a dire la importazione, produzione (in proprio) o riproduzione e il procurarsi (o acquisire consapevolmente) i detti oggetti.

Inoltre, sempre per effetto della citata novella, vengono punite espressamente le medesime condotte aventi ad oggetto «apparecchiature» e «dispositivi», che — con ogni probabilità — coincidono con i supporti materiali (chiavi Usb, cd-rom, dvd, floppy disk, hard disk esterni, ecc.) contenenti tali programmi. In questo senso, si tratta di condotte che dovevano ritenersi penalmente sanzionabili anche nel precedente regime sanzionatorio, visto che il contenuto (il programma, per l'appunto) era comune illecito. La modifica normativa, comunque, elimina ogni residuo dubbio circa la rilevanza penale di tali condotte.

A segnare con chiarezza i contorni dell'illecito anche sul piano oggettivo è lo scopo specifico che deve caratterizzare le condotte in questione, oltre alla natura degli oggetti acquisiti o prodotti. In particolare, elemento significativo, quanto meno sul piano probatorio (la Convenzione di Budapest, art. 6 1.b, consentiva alle parti di incriminare le condotte in questione solo se aventi ad oggetto un certo numero di programmi o dispositivi illeciti), sarà il numero degli oggetti detenuti (prodotti o acquisiti) (Amato, 58).

Consumazione e tentativo

Il reato si consuma, già con la mera detenzione consapevole degli oggetti in questione, che derivi da riproduzione, produzione, acquisizione o importazione (ovviamente in presenza del dolo specifico); nel caso della consegna, con la traditio del supporto contenente il virus ad altra persona, oppure con il primo atto di diffusione e, quindi, con l'introduzione «da vicino» nell'altrui sistema informatico o per via telematica con la comunicazione del virus ad altro sistema.

Si tratta di reato di mera condotta poiché la norma non richiede che alla circolazione di programmi atti a danneggiare ne consegua effettivamente il danneggiamento di uno o più sistemi informatici.

Nel complesso, pare quindi trattarsi di una tutela molto «avanzata» proprio per l'insidiosità delle condotte in oggetto che tanti sforzi (ed elevati costi) richiede per essere fronteggiata.

La norma non contiene una «soglia numerica» come limite di punibilità, sicché anche un singolo episodio concernente un solo programma — teoricamente — potrebbe integrare il reato, tuttavia il dato numerico può ben essere preso in considerazione per escludere o dimostrare la finalità illecita della condotta.

Poiché la condotta in oggetto viene presa in considerazione indipendentemente dalla causazione di un danno, si è in presenza di un reato di pericolo e come tale l'ammissibilità del tentativo dipende dal giudizio di compatibilità che viene dato per tale tipo di reati con la fattispecie tentata La dottrina è divisa tra chi ritiene che si debba accogliere la soluzione positiva poiché la legge non pone preclusioni di sorta (in senso affermativo Pica, 109), e chi, invece, ritiene che vi sia una sostanziale incompatibilità poiché altrimenti si finirebbe per punire «il pericolo di un pericolo» (è pacifico, infatti, che tutti i reati tentati sono reati di pericolo) in cui l'offesa è troppo remota (cfr., Pecorella, 6005; Mantovani,579).

In giurisprudenza pare prevalere la tesi dell'ammissibilità (cfr., ad es., Cass. V, n. 214/1995) anche se non mancano le pronunce in senso contrario (specie in tema di reati di attentato).

Elemento soggettivo

Sotto il profilo dell'elemento soggettivo, va evidenziato che la legge di ratifica della Convenzione di Budapest ha trasformato il delitto in questione in reato a dolo specifico, richiedendosi lo scopo (alternativo) di danneggiare illecitamente un sistema informatico o telematico o i dati ivi contenuti ovvero di favorire l'interruzione, totale o parziale, o l'alterazione del funzionamento del sistema, mentre in precedenza si trattava di reato a dolo generico. La modifica appare particolarmente opportuna perché contribuisce ad escludere dal penalmente rilevante tutte quelle condotte «dubbie», rispetto alle quali non appariva facile individuare una motivazione illecita.

Rapporti con altre figure di reato

Per quanto riguarda il rapporto con altri reati, va evidenziato che vi sono casi in cui non è facile stabilire se ricorra la norma penale in esame oppure il reato di danneggiamento consumato.

Si pensi all'ipotesi dell'inserimento del programma nella memoria o nel sistema operativo di un elaboratore collegato in rete con un numero indeterminato di altri pc, i quali possono essere a loro volta «contagiati» per effetto della capacità di trasmigrazione del file infetto. Infatti, chi nega l'applicabilità della norma in oggetto lo fa ritenendo che si tratti di una vera e propria compromissione dell'elaboratore e che, quindi, si sia in presenza di un'ipotesi di danneggiamento (Destito).

Responsabilità da reato degli enti

In relazione alla commissione del delitto in esame, l'art. 24-bis, comma 2, prevede l'applicazione all'ente della sanzione pecuniaria fino a trecento quote.

Profili processuali

Deve segnalarsi anche che il reato in esame (a differenza di quello previsto dall'art. 635, procedibile anche in assenza di querela di parte solo nel caso sussistano le circostanze aggravanti menzionate dal comma 2 della norma) è perseguibile d'ufficio. Tale scelta è determinata dal fatto che l'esigenza di contrastare tali fenomeni criminali ha un indubbio interesse sociale relativamente all'affidamento della collettività a scambiarsi dati ed informazioni e ad utilizzare i sistemi informatici liberamente, senza intralci. A tale proposito deve anche tenersi conto del fatto che spesso le P.O. non denunciano reati di questo tipo (quindi, tantomeno, sporgono querela) nella convinzione che comunque i responsabili non verranno identificati, ma anche per il timore di eventuali ritorsioni o di danni che potrebbero discendere dall'eco negativo derivante dall'aver reso pubblici eventuali «attacchi» (si pensi alla «fuga» di clienti da una banca che è stata soggetto di un «attacco» informatico).

L'Autorità giudiziaria competente è il Tribunale monocratico

L'Arresto: non è consentito. Il fermo di indiziato di delitto non è consentito

Le misure Cautelari personali non sono consentite

Sequestro e confisca

La l. n. 12/2012, pubblicata in G.U. il 23 febbraio 2012 ed entrata in vigore il 9 marzo 2012, prevede, introducendo nell'art. 240, comma 2, il n. 1 bis, la confisca obbligatoria per gli strumenti informatici utilizzati per la commissione, tra gli altri, dei reati di cui agli artt. 615-ter,  615-quater e 615-quinquies. Inoltre, la stessa legge, inserendo l'art. 86-bis  disp. att., destina alla polizia l'uso dei beni informatici sequestrati o confiscati perché utilizzati per la commissione, tra gli altri, dei reati summenzionati. In attuazione della Dir. n. 2014/42/UE, in materia di confisca e di congelamento dei beni strumentali e dei proventi da reato nell'Unione europea ed in forza della delega di cui alla l. n. 154/2014, il d.lgs. n. 202/2016, introducendo un secondo periodo al disposto dell'art. 240, comma 2, n. 1 bis, ha esteso la confisca obbligatoria anche al profitto ed al prodotto dei delitti ivi indicati ed ha previsto, in via sussidiaria, la confisca per equivalente di beni di valore pari al profitto o al prodotto di tali reati.