La Corte di Cassazione, con la recente sentenza n. 13559 del 2024, è tornata a pronunciarsi su un tema di grande attualità: la definizione e la tutela della identità digitale. La pronuncia chiarisce che l’utilizzo non autorizzato di credenziali private, come quelle per l’accesso all’home banking, configura la circostanza aggravante del furto di identità digitale, prevista per il reato di frode informatica. Questa decisione estende significativamente l’ambito di applicazione della norma, rafforzando la protezione degli utenti nel mondo digitale.
I Fatti di Causa
Il caso nasce da una condanna per riciclaggio emessa dal Tribunale di Napoli. L’imputato aveva messo a disposizione il proprio conto corrente per ricevere somme di denaro provenienti da delitti di accesso abusivo a sistema informatico e frode informatica. La Corte di Appello di Napoli, in un secondo momento, ha parzialmente riformato la sentenza, riqualificando il reato in frode informatica ai sensi dell’art. 640-ter del codice penale. Tuttavia, ha confermato la sussistenza della circostanza aggravante speciale legata all’indebito utilizzo dell’identità digitale della vittima.
Il Ricorso in Cassazione: il Nodo dell’Identità Digitale
L’imputato ha presentato ricorso in Cassazione contestando proprio l’applicazione dell’aggravante. La difesa sosteneva che il concetto di identità digitale dovesse essere interpretato in senso restrittivo, riferendosi esclusivamente a procedure di validazione certificate dalla Pubblica Amministrazione (come SPID, CIE o firma digitale). Secondo questa tesi, l’utilizzo di una semplice chiavetta elettronica per generare codici di accesso al conto corrente della vittima non rientrerebbe in tale definizione. Il ricorso mirava quindi a escludere l’aggravante, sostenendo che le risultanze processuali non provavano un vero e proprio furto di identità digitale.
Le Motivazioni della Cassazione sull’Identità Digitale
La Suprema Corte ha respinto il ricorso, ritenendolo infondato e cogliendo l’occasione per consolidare un principio giuridico di fondamentale importanza. I giudici hanno affermato che la nozione di “identità digitale” contenuta nell’art. 640-ter, comma terzo, cod. pen., non presuppone necessariamente una procedura di validazione adottata dalla Pubblica Amministrazione. Al contrario, trova piena applicazione anche nel caso di utilizzo di credenziali di accesso a sistemi informatici gestiti da privati, come i servizi di home banking.
Il Collegio ha spiegato che il legislatore, introducendo questa aggravante, non ha fornito una definizione specifica, lasciando spazio a un’interpretazione evolutiva. Limitare il concetto alle sole identità certificate dallo Stato (SPID, CIE) sarebbe in contrasto con la realtà empirica, che vede l’esistenza di molteplici tipologie di identità digitali con diversi livelli di sicurezza.
La ratio legis, ovvero lo scopo della norma, è quella di rafforzare la fiducia dei cittadini nell’uso dei servizi online e di arginare il crescente fenomeno delle frodi realizzate tramite il furto di identità, specialmente nel settore del credito al consumo. Di conseguenza, per “identità digitale” si deve intendere “l’insieme delle informazioni e delle risorse concesse da un sistema informatico ad un particolare utilizzatore”. Questo include qualsiasi dato (numeri, lettere, sequenze uniche) che, anche attraverso dispositivi elettronici come i token, individua in modo esclusivo e univoco una persona, sostituendone di fatto le generalità tradizionali nello spazio virtuale.
Le Conclusioni
La Cassazione conclude che l’aver utilizzato, sottraendola senza autorizzazione, la chiavetta elettronica del titolare del conto per effettuare operazioni bancarie integra pienamente l’aggravante contestata. Tale condotta, infatti, presuppone a monte un uso non autorizzato delle credenziali di accesso inerenti alla persona del titolare. Questa sentenza stabilisce in modo chiaro che qualsiasi strumento di autenticazione personale utilizzato per accedere a servizi online (PIN, password, token) costituisce parte integrante dell’identità digitale di un individuo. La sua violazione, nell’ambito di una frode informatica, comporta un’applicazione più severa della pena, in linea con l’esigenza di tutelare efficacemente i cittadini nell’era digitale.
L’uso non autorizzato delle credenziali di home banking di un’altra persona integra l’aggravante del furto di identità digitale?
Sì, secondo la Corte di Cassazione, l’utilizzo di credenziali di accesso a servizi di home banking, come PIN o token elettronici, integra pienamente la circostanza aggravante del furto o indebito utilizzo di identità digitale prevista per il reato di frode informatica.
La nozione di “identità digitale” ai fini penali si limita ai sistemi pubblici come lo SPID?
No. La sentenza chiarisce che la nozione di “identità digitale” non è ristretta alle procedure di validazione della Pubblica Amministrazione (come SPID o CIE), ma si estende a qualsiasi credenziale di accesso a sistemi informatici gestiti da privati che identifichi in modo univoco un utente.
Utilizzare una “chiavetta elettronica” che genera codici per accedere a un conto corrente è considerato un uso indebito di identità digitale?
Sì, l’aver utilizzato senza autorizzazione la chiavetta elettronica appartenente al titolare del conto per effettuare operazioni di bonifico integra l’aggravante, poiché presuppone un uso non autorizzato delle credenziali di accesso che sono strettamente personali e identificano il titolare.