Furto ed utilizzo indebito di identità digitale

E ciò è indiscutibile tanto con riferimento ai reati informatici veri e propri, ovvero quelli disciplinati come tali dal codice penali, sia con riferimento a quelli che vengono commessi, in tutto o in parte, attraverso strumenti informatici.

In questa seconda categoria, possono rientrare, ad esempio, la diffamazione a mezzo internet e/o social, la sottrazione di corrispondenza informatica, violazioni e/o rivelazioni di dati sensibili perpetrate attraverso strumenti informatici, la duplicazione di programmi informatici, la diffusione di contenuti protetti da marchi registrati, la diffusione di dati sensibili, etc.

In questi casi la struttura del reato e, ovviamente, della norma, è ovviamente la stessa in quanto cambia esclusivamente lo strumento, il mezzo attraverso il quale determinate condotte vengono consumate.

Diverso è, invece, il discorso dei reati informatici “puri” in quanto il mezzo informatico è inscindibilmente parte della struttura e della natura stessa della singola figura criminosa.

Ed è proprio con riferimento a tali figure che l'intervento del legislatore diventa sempre più rilevante.

E ciò in quanto, ovviamente, con l'evolversi della tecnologia e di tutti quegli strumenti che, ormai, non percepiamo più come un mezzo, ma come una vera e propria nostra estensione che ci consente di compiere attività che, in passato, avrebbero richiesto molto più tempo e, soprattutto, la nostra presenza “fisica” in determinati luoghi (uffici postali, banche, archivi, etc), si sono proporzionalmente evoluti anche i rischi collegati all'uso di determinati strumenti.

In questo ambito i nostri “dati sensibili” e quelli che vanno a comporre la nostra “identità digitale” possono essere oggetto di condotte dolose e possono essere sottratti e indebitamente utilizzati per le più disparate finalità.

Pur non essendo stata introdotta una vera e propria fattispecie di “furto di identità digitale”, il legislatore e la giurisprudenza di legittimità hanno comunque fornito una tutela concreta alle vittime di tali condotte che, a seconda del loro contenuto e del danno cagionato, possono integrare il delitto di cui all'art. 494 c.p. (sostituzione di persona), oppure la circostanza aggravante prevista dal comma terzo dell'art. 640-ter c.p. (frode informatica).

L'inquadramento di una determinata condotta all'interno di una delle fattispecie può essere, in alcuni casi, particolarmente complessa, soprattutto nel caso in cui vi sia la sostituzione e l'utilizzo/furto dell'identità digitale, come nel caso di chi accede nel sistema informatico di un servizio di home banking utilizzando le credenziali di altro soggetto inconsapevole, assumendone l'identità, così conseguendo un ingiusto profitto attraverso operazioni patrimoniali.

La frode informatica è una delle fattispecie più importanti tra i reati informatici tra quelle introdotte nel nostro ordinamento dalla L. n. 547/1993.

E ciò in quanto si tratta di una fattispecie decisamente aperta che ricomprende molte condotte astrattamente configurabili ed estremamente rilevanti i danni che possono essere arrecati attraverso le condotte punite dalla norma.

La frode informatica punisce l'alterazione, in qualsiasi modo, del funzionamento di un sistema informatico o telematico o l'intervento senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, che procuri a sé o ad altri un ingiusto profitto con altrui danno.

Dall'analisi della norma, possiamo distinguere due diverse modalità che vengono punite dal legislatore che si pongono come paradigma per moltissime potenziali condotte criminose.

La prima riguarda il caso di “alterazione” del funzionamento del sistema informatico o telematico. Ciò si traduce in una modifica del regolare svolgimento di un processo di elaborazione o di trasmissione dati. In poche parole, la prima condotta comporta una vera e propria modifica di un programma, di un database, di un sistema informatico; una alterazione che provoca i suoi effetti materiali sul sistema informatico o telematico.

La seconda modalità è invece quello dell'“intervento, senza diritto, con qualsiasi modalità, su dati, informazioni o programmi contenuti nel sistema” e pertanto ogni forma di interferenza diversa dall'alterazione del funzionamento del sistema che comporti una modifica, una sottrazione, un deterioramento dei dati e delle informazioni contenute nel sistema informatico.

L'oggetto della condotta potrà riguardare, pertanto:

– un programma, alterato modificandone funzioni e operazioni del sistema informatico: ad esempio, ipotizzando un accesso ed una modifica ad un software di una banca, la modifica degli aggiornamenti relativi ai prelievi, oppure, sempre in ambito bancario, una modifica finalizzata a modificare le operazioni di addebitamento in accreditamento;

– le informazioni e i dati contenute in un determinato programma informatico che possono essere sottratte, modificate, alterate, etc.

Elemento costituivo della fattispecie è che la condotta sia volta a procurare all'agente o a terzi un indebito vantaggio patrimoniale con altrui danno e, sotto il profilo soggettivo, la coscienza e la volontà di ottenere tale indebito vantaggio (dolo generico).

Sotto un profilo strutturale, è stata, invece, sancita dalla Suprema Corte l'autonomia della predetta fattispecie da quella di truffa punita e prevista dall'art. 640 c.p.

Una precisazione assolutamente rilevante, in quanto, oltre al riferimento esplicito alla fattispecie prevista dall'art. 640 c.p., è evidente che la novella tracciata ex art. 640-ter c.p. (c.d. Frode informatica) (cfr. l. n. 547 del 1993) ha la medesima struttura e quindi i medesimi elementi costitutivi della truffa dalla quale si differenzia solamente perché l'attività fraudolenta dell'agente investe non la persona (soggetto passivo), di cui difetta l'induzione in errore, bensì il 'sistema informatico' di pertinenza della medesima, attraverso la manipolazione di detto sistema (Cass. VI, n. 8755/2009).

Tanto premesso, la Suprema Corte ha sostenuto che, in considerazione delle diverse forme di tutela accordate dalle due norme e dei diversi valori tutelati dalla norma dell'art. 640-ter c.p., il legislatore ha inteso tracciare una figura di reato del tutto peculiare ed è indubbio che essa integri un'autonoma figura di reato, a differenza di quanto si è invece ritenuto in giurisprudenza a proposito della ipotesi di truffa aggravata per il conseguimento di erogazioni pubbliche, prevista dall'art. 640-bis c.p., ormai pacificamente ricondotta nel novero delle circostanze aggravanti rispetto al reato “base” di truffa ex art. 640 c.p. (Cass. II, 17748/2011).

Una volta ricostruita, nei suoi elementi fondamentali, la fattispecie base di cui all'art. 640-ter c.p., venendo al caso di specie, è prevista una circostanza aggravante dal comma terzo – introdotta dall'art 9, comma 1, lett. a) del d.l. n. 93/2013 – che si configura quando le condotte del comma 1 sono realizzate con furto o indebito utilizzo dell'identità digitale di uno o più soggetti.

Il furto di identità digitale può prendere forma attraverso molteplici condotte illecite. Possono essere utilizzate copie di documenti di identità per aprire account o per accedere a servizi di internet banking accedendo alle credenziali personali per poter svolgere le più disparate attività illecite, come ad esempio la clonazione di carte di credito, l'acquisizione fraudolenta di preziose informazioni fiscali, estratti conto, bollette o altri documenti con informazioni personali.

Molto simile è la seconda condotta contestata, quella dell'uso indebita di identità digitale.

In assenza di una definizione specifica di tale condotta, si può fare riferimento proprio alla rubrica dell'articolo dell'art. 9 summenzionato decreto che ha introdotto la fattispecie e che menziona la “sostituzione dell'identità digitale»”.

Partendo dal concetto di sostituzione, si può ritenere che le due condotte sanzionate dall'art. 640-ter comma 3 siano produttive del medesimo evento, ma il presupposto è diverso: nel caso del furto, vengono sottratti elementi propri dell'identità digitale di una persona – documenti di identità, account protetti, Spid, etc.-, nel secondo caso, essendo sanzionato l'utilizzo “indebito”, si tratta di dati che sono legittimamente in possesso dell'agente e che li utilizza in modo non conforme agli accordi (come ad esempio, in ambito familiare, le password dell'internet banking possono essere custodite, d'intesa, da uno dei coniugi che può, successivamente, utilizzarle indebitamente per ottenere un vantaggio patrimoniale con altrui danno).

In ogni caso, essendo un reato contro il patrimonio, è comunque necessario che le condotte abbiano cagionato (o siano volte a cagionare) un “ingiusto profitto con altrui danno”.

La seconda fattispecie che tutela forme illecite di utilizzo dell'identità digitale altrui, è quella di sostituzione di persona, prevista dall'art. 494 c.p.

La norma punisce con la reclusione fino ad un anno, salvo che il fatto non costituisca altro delitto contro la fede pubblica, chiunque, al fine di procurare a sé o ad altri un vantaggio, o di recare ad altri un danno, induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato, ovvero una qualità a cui la legge attribuisce effetti giuridici.

È di tutta evidenza come questa fattispecie non sia posta a tutela dei soli furti di identità digitale, ma, facendo riferimento a quanto rilevato in sede di inquadramento, si tratta di una fattispecie preesistente che, con l'evoluzione dei mezzi di comunicazione e tecnologici, è stata adattata anche a questo tipo di condotte (in contrapposizione ai reati informatici cd. “puri”).

Si tratta di una fattispecie che facilmente può realizzarsi attraverso internet, ad esempio attribuendosi falsamente le generalità di un altro soggetto, inducendo in errore gli altri fruitori della rete, come può accadere in caso di un falso profilo social, magari sfruttando il nome, o il marchio altrui per ottenere vantaggi di varia natura, o, al contrario, per minare l'immagine e la reputazione altrui.

La norma in esame, pur essendo posta a tutela della fede pubblica, ha una natura plurioffensiva, in quanto viene ad essere salvaguardata anche l'interesse del privato nella cui sfera giuridica l'atto sia destinato ad incidere concretamente.

Come si evince in modo pacifico dalla mera analisi della norma, pur essendo necessaria una “induzione in errore” attraverso una condotta a forma vincolata di tipo commissiva, il vantaggio e il danno menzionato nella norma, non devono avere contenuto patrimoniale.

In tal senso, infatti, la giurisprudenza di merito ha chiarito che ai fini dell'integrazione del reato, i concetti di vantaggio e danno presenti nell'art. 494 c.p. non si esauriscono in finalità di natura economica e nemmeno si richiede siano ingiusti, ben potendo sussistere il delitto se l'agente ha l'obiettivo di ottenere dalla vittima vantaggi di natura sessuale (Trib. Trieste, 24 maggio 2021).