Accesso abusivo a sistema informatico: bancomat e prescrizione

Il caso dello skimmer al bancomat e l’accesso abusivo a sistema informatico

Un cittadino installa un dispositivo fraudolento, chiamato skimmer, e una microcamera su uno sportello bancomat di una banca privata. Lo scopo è chiaro: copiare i dati delle carte dei clienti e catturare i codici PIN per poi clonarle. Questo comportamento fa scattare l’accusa di accesso abusivo a sistema informatico. Ma cosa succede se il sistema colpito appartiene a una banca privata? Si può applicare l’aggravante dell’interesse pubblico? La Corte di Cassazione ha affrontato questo tema delicato, stabilendo un confine netto tra ciò che è pubblico e ciò che è privato.

Il primo punto analizzato dai giudici riguarda la natura dello sportello automatico. La difesa sosteneva che l’apparecchio installato non si fosse introdotto nel sistema della banca, configurando solo un tentativo. La Cassazione ha respinto questa tesi. Richiamando la Convenzione di Budapest del 2001, i giudici hanno confermato che le carte di pagamento e i lettori formano un vero sistema informatico. Chi installa uno skimmer per intercettare e scaricare dati compie un accesso abusivo a sistema informatico a tutti gli effetti. Non rileva che il colpevole non sia entrato nei server centrali. La violazione avviene quando il dispositivo abusivo si connette e interagisce con lo strumento di pagamento del cliente. L’intercettazione dei dati della banda magnetica consuma il reato in via definitiva.

Le motivazioni: perché il bancomat privato non è di interesse pubblico

La vera svolta del processo riguarda l’applicazione dell’aggravante legata all’interesse pubblico. La legge prevede pene severe se l’accesso abusivo colpisce sistemi di interesse militare, sanitario o comunque pubblico. I giudici di merito avevano applicato questa aggravante, considerando il bancomat un servizio per la collettività. La Cassazione ha ribaltato questa decisione. Un bancomat di un istituto di credito privato non è un sistema di interesse pubblico. La natura pubblica non dipende dal numero di utenti, ma dalla funzione istituzionale del soggetto. Una banca privata persegue scopi commerciali. I suoi sportelli non svolgono una funzione pubblica o amministrativa. Questa interpretazione rispetta il principio di tassatività (il divieto di applicare sanzioni oltre i casi espressamente previsti) delle norme penali. L’interesse pubblico non va confuso con la semplice utilità per la clientela. Se bastasse la fruibilità da parte dei cittadini per rendere pubblico un sistema, qualsiasi servizio commerciale diventerebbe di interesse pubblico.

Le conclusioni: la prescrizione cancella la condanna per accesso abusivo a sistema informatico

L’esclusione dell’aggravante ha prodotto un effetto decisivo sul destino del processo. Senza la contestazione dell’interesse pubblico, la pena massima si riduce. Di riflesso, si accorciano i tempi necessari perché il reato cada in prescrizione (cioè si estingua per il troppo tempo trascorso). La Cassazione ha calcolato che il termine di prescrizione per il reato base era già decorso prima della decisione finale. Per questo motivo, i giudici hanno annullato senza rinvio la sentenza di condanna. L’imputato ha così ottenuto la cancellazione della pena grazie al decorso del tempo. Questa sentenza stabilisce un principio fondamentale: la tutela penale rafforzata è riservata solo ai sistemi che gestiscono veri interessi pubblici dello Stato, escludendo le infrastrutture puramente private, anche se aperte al pubblico. Chi subisce un danno da questi dispositivi può comunque chiedere il risarcimento, ma la sanzione penale segue regole rigorose.