Il caso delle credenziali sanitarie e l’accesso abusivo a un sistema informatico
I sistemi digitali della pubblica amministrazione custodiscono dati sensibili e risorse economiche rilevanti. L’utilizzo scorretto delle chiavi informatiche può configurare il reato di accesso abusivo a un sistema informatico anche quando l’utente riceve le password dal legittimo titolare.
Una complessa indagine ha coinvolto una ditta di trasporti incaricata della consegna di bombole per l’ossigenoterapia. L’Amministratore dell’impresa ha concordato con medici e farmacisti compiacenti la cessione delle loro credenziali riservate. I lavoratori della società di trasporto hanno utilizzato queste chiavi di accesso per inserire nel database sanitario regionale centinaia di prescrizioni mediche false. Il meccanismo ha generato rimborsi illeciti a carico del servizio sanitario per forniture destinate a pazienti sani o persino deceduti. Il Giudice per le indagini preliminari ha applicato la misura degli arresti domiciliari nei confronti dell’imprenditore per associazione a delinquere, truffa, falso e reati informatici.
La configurabilità del reato di accesso abusivo a un sistema informatico
La difesa dell’indagato ha sostenuto la piena liceità dell’accesso telematico. Secondo la tesi difensiva, i medici avevano consegnato volontariamente le credenziali ai dipendenti della ditta. L’operatore non avrebbe quindi forzato alcuna barriera digitale di sicurezza.
I Giudici di legittimità hanno respinto questa ricostruzione. I medici e i farmacisti non possono delegare a terzi le proprie funzioni di autenticazione nei sistemi sanitari protetti. L’impiego di una password legittima per inserire dati palesemente falsi viola lo scopo del sistema stesso. L’ingresso nella banca dati per finalità illecite trasforma l’accesso in una condotta penalmente perseguibile. Chi inserisce documenti non veritieri agisce al di fuori di ogni autorizzazione e commette un illecito informatico.
La responsabilità dell’amministratore e il concorso morale
L’Amministratore ha sostenuto di non aver mai eseguito personalmente gli accessi informatici e di ignorare le condotte dei dipendenti. La Corte ha ritenuto non credibile questa versione dei fatti.
L’imprenditore ha fornito ai lavoratori i computer, le connessioni e le sedi aziendali per compiere le operazioni. Inoltre, la società di trasporti incassava compensi maggiori per ogni viaggio registrato nel sistema regionale. Chi agevola l’opera materiale altrui e mette a disposizione gli strumenti necessari fornisce un contributo consapevole. Questo apporto realizza un concorso pieno nei delitti contestati, confermando la solidità del quadro indiziario a carico del gestore aziendale.
Le motivazioni: i presupposti dell’accesso abusivo a un sistema informatico e le esigenze cautelari
I Magistrati hanno distinto la valutazione della colpevolezza dall’esigenza di limitare la libertà personale dell’accusato. La Corte ha confermato la gravità del quadro indiziario per tutti i reati contestati, ribadendo la configurabilità del reato di accesso abusivo a un sistema informatico anche in presenza di deleghe abusive.
Tuttavia, i Giudici hanno riscontrato un vizio nella motivazione relativa alla misura cautelare. Il pericolo di reiterazione del reato deve essere concreto e attuale. Il giudice non può limitarsi a descrivere la gravità dei fatti passati. La decisione cautelare impone una prognosi temporale precisa sulla personalità dell’indagato e sul rischio effettivo di nuove condotte criminose.
Le conclusioni: la decisione definitiva sull’accesso abusivo a un sistema informatico e la libertà personale
La Corte di Cassazione ha accolto parzialmente il ricorso dell’indagato. I Supremi Giudici hanno annullato l’ordinanza con rinvio al Tribunale del Riesame limitatamente alle esigenze cautelari. Il giudice di merito dovrà riesaminare la sussistenza dell’attualità del pericolo di recidiva per decidere se mantenere gli arresti domiciliari.
La decisione fissa un principio fondamentale: la cessione spontanea delle credenziali di servizio non scusa chi accede a un portale pubblico per commettere frodi, confermando l’illiceità di ogni utilizzo deviato degli archivi informatici protetti.
L’uso di password fornite dal titolare può costituire un accesso abusivo a un sistema informatico?
Sì, l’accesso a un sistema informatico protetto con credenziali altrui cedute senza valida autorizzazione integra il reato, soprattutto se finalizzato a inserire dati falsi ed estranei alle finalità del servizio.
Il titolare di un’azienda risponde dei reati informatici commessi dai propri dipendenti?
Il titolare risponde a titolo di concorso se fornisce gli strumenti tecnici per compiere gli accessi illeciti e trae un diretto vantaggio economico dall’incremento delle attività fraudolente.
Cosa richiede la legge per applicare una misura cautelare per pericolo di reiterazione del reato?
Il pericolo di reiterazione del reato deve essere non solo concreto ma anche attuale, basato su una valutazione specifica della personalità dell’indagato e delle sue effettive condizioni di vita al momento della decisione.