Appunti di Diritto penale dell'informatica

Appunti di criminologia applicata

Criminalità informatica e rapporto Clusit

In questo corso si parla principalmente di criminalità informatica → rapporto Clusit (riguarda avvenimenti riguardanti la criminalità informatica). Tale rapporto vale come dato fenomenologico. Se lo si scorre, si ha un quadro sui numeri degli attacchi informatici e dei reati commessi in tal senso, le loro modalità, i destinatari. Nell’ultimo rapporto si è messo in evidenza che sempre più frequentemente la dimensione del crimine informatico non riguarda il privato o più in generale la dimensione privatistica (informazioni industriali, credenziali ecc.), bensì riguarda interessi collettivi, interessi che riguardano la collettività e il funzionamento delle infrastrutture critiche.

Danneggiamento informatico

Nell’ambito del danneggiamento informatico si è distinto tra sistemi informatici privati e ad uso pubblico → perché si ha un interesse maggiore a tutelare sistemi informatici pubblici (traffico aereo), rispetto all’interesse privato di tutelare il proprio computer → quindi lo stesso legislatore ha graduato la pena a seconda che un reato sia commesso contro diversi sistemi informatici (SI).

Rivoluzione digitale

In questa materia si parla di rivoluzione digitale per indicare l’avvento delle nuove tecnologie digitali. Ciò ha portato alla nascita di nuovi comportamenti e nuovi diritti. Nella legislazione di origine comunitaria ci si preoccupa di andare a bilanciare interessi degni di tutela, ma che comportano una contrazione di altri diritti come il diritto alla riservatezza → controllo della rete per contrasto al terrorismo → far venir meno il diritto alla riservatezza a favore della sicurezza pubblica. Devono essere effettuati bilanciamenti molto delicati quindi.

Nuovi comportamenti criminali

Ciò ha creato nuovi comportamenti criminali e quindi nuove tipologie di controversie. Nasce quindi un interesse al controllo della rete che porta però a molti effetti negativi → restrizione di alcuni diritti costituzionalmente sanciti (diritto alla riservatezza, diritto d’autore, diritto all’oblio ecc.).

Controllo del traffico telematico

Posso controllare il traffico telematico e telefonico per individuare la possibile commissione di reati? La regola di base è quella per cui il PM prima ottiene la notitia criminis e poi può far partire le indagini. Quindi nell’ambito del controllo della rete per ottenere la notitia criminis (reati di terrorismo) è un’eccezione → controllo delle reti telematiche costante nell’ambito di una moschea → può portare anche al razzismo (ulteriore effetto negativo).

Internet e regolamentazioni

Internet deve avere delle regole? Sembrerebbe uno spazio privo di regole e anarchico, ma non è così. C’è un diritto di accesso a internet e alle informazioni online? Regolamento 2015/2120 e la dichiarazione dei diritti di internet (14-7-2015) prevedono che l’accesso a internet è un diritto fondamentale dell’individuo e che la Repubblica si impegna alla sua promozione → sono previsti pur sempre strumenti di soft law e quindi non vincolanti. Anche la CEDU si è preoccupata di questo problema in varie sentenze. Diritto a internet inteso come diritto all’accesso all’informazione. Ciò vale anche per i detenuti? Se sono in isolamento? CEDU Janokovskis vs Lithuania → la corte prevede un diritto all’accesso a internet, ma non condanna lo Stato. Il caso prevedeva un accesso solo limitato a internet → quindi il detenuto adisce la corte.

Regolamenti europei

Il suddetto regolamento europeo evidenzia il fattore di fornire i mezzi per l’accesso a internet nei confronti di chiunque → obbligo soprattutto riferito agli ISP. Favorire lo strumento tecnico di accesso alla rete. Il regolamento è indirizzato ai fornitori di rete → non può discriminare il prezzo a seconda della posizione dell’utente ecc. Si intende sempre di favorire lo sviluppo tecnologico in tal senso e garantire a chiunque l’accesso ad internet, ma non di comprare a tutti i cittadini i computer o i telefoni per connettersi ad internet. A livello nazionale questo diritto è previsto solo da strumenti di soft law. Si parla più di principio che di effettivo diritto e quindi regola.

Neutralità tecnologica

Inoltre si è andato ad affermare il principio della neutralità tecnologica → non imposizione da parte dello Stato l’utilizzo di una certa tecnologia rispetto ad un'altra → non può essere un minus.

Modifiche legislative

Tutto ciò ha generato delle modifiche legislative, di utilizzo dell’applicazione analogica e soprattutto ha generato dei fenomeni funzionali all’autotutela e all’uscita del diritto → autotutela tecnologica → contesti in cui la tutela del diritto non è affidata all’ordinamento statale, bensì a strumenti del privato di natura tecnologica → digital rights management (strumenti che impediscono la copia dell’opera → automazione del contratto).

Applicazione analogica e vuoti di tutela

Utilizzo dell’applicazione analogica è spesso nell’ambito penale un’analogia in malam partem che contrasta con il principio di legalità (25 cost.), ma ciò si rende necessario per colmare importanti vuoti di tutela. Le tecnologie digitali hanno portato alla possibilità di commettere reati già previsti, ma con nuovi mezzi → in questo ambito si è utilizzato molto l’analogia e si parla di reato informatici in senso lato.

Informatica e automazione

L’elemento caratteristico dell’informatica è legato all’automazione dei processi. Si parla di informatica quando ci si trova davanti a processi automatizzati, processi che hanno uno sviluppo automatico e che in parte prescinde dall’intervento dell’uomo. 2 fonti molto importanti sono:

• La convenzione cybercrime
• La direttiva 40/2013 sugli attacchi informatici

Sistemi informatici automatizzati

Quando si parla di sistema informatico, si intende un sistema che svolge processi in maniera automatica → così come previsto dall’art 1 della convenzione cybercrime. Questo porta a molti problemi penali che porta all’intervento del legislatore. Se ci sono delle automazioni qual è l’elemento del fatto che deve ricadere sotto il dominio dell’uomo e nell’elemento soggettivo → l’individuo nell’ambito penale risponde delle azioni da lui dominabili → azioni coscienti e volontarie → colpa e dolo. Il nostro diritto penale è un diritto penale del fatto che deve essere gestibile dall’uomo, sul quale l’uomo ha un dominio effettiva o perlomeno potenziale (rispettivamente dolo e colpa). Questo è il nostro punto di vista tradizionale. Come gestisco quindi questa nuova automazione? Dove arriva il limite della condotta umana e dove si tratta invece di una condotta automatica?

Problemi legati ai reati informatici

Inoltre vi sono problemi nell’individuazione del dove e quando è stato consumato il reato → spesso si tratta di reati i cui effetti si protraggono nel tempo. Inoltre se io per commettere il reato mi connetto ad un server che sta lontano da me dove si consuma il reato? Ancor più problemi si pongono con sistemi esperti, ovvero SI che hanno capacità cognitive, ovvero riescono ad apprendere dal mondo esterno, o ancora con le intelligenze artificiali, ovvero SI che sono capaci di autodeterminarsi, ovvero di assumere scelte operative e decisioni.

Strumenti normativi di riferimento

Nell’evoluzione del dato normativo abbiamo 2 momenti importanti per quanto riguarda il nostro ordinamento interno il 1993 e il 2008. Sono i 2 momenti in cui il legislatore si occupa dei reati informatici e lo fa in maniera sistematica → poi ci sono stati ovviamente una serie di novelle e aggiornamenti qua e là. Nel 1993 il legislatore nazionale recepisce nel nostro ordinamento una raccomandazione dell’UE (soft law) per quanto riguarda i computer crimes → nel 93 i problemi maggiori stavano nella duplicazione dei supporti informatici e generalmente nelle frodi informatiche, infatti esse stavano nei primi articoli della raccomandazione. La raccomandazione era del 89.

Legislazione 2008 e reati informatici

Nel 2008 gli aspetti principali stanno nell’accesso abusivo ai SI → ottica è diversa → c’è internet → il problema sono gli attacchi sui SI da lontano e non al computer. Nel 2008 l’ottica cambia, le frodi informatiche sono il problema minimo e calano di importanza, invece molto più importanti sono i reati informatici commessi da remoto tramite internet.

La convenzione di Budapest

La convenzione di Budapest del 2001 (convenzione internazionale) pone l’attenzione sui reati informatici commessi da remoto → parla fin da subito dell’aspetto dell’intervento da remoto → le frodi informatiche sono poste alla fine, mentre nel 89 era il punto principale su cui si basava la suddetta raccomandazione. La convenzione di Budapest è ancora oggi il dato normativo a livello internazionale di riferimento, nonostante la sua età. La convenzione traccia la linea sulle sanzioni penali per la persona fisica e giuridica → uniformare quindi anche gli strumenti processuali → portando alla uniformazione dei processi nei confronti dei reati informatici e della dottrina delle computer forensics (dato digitale come mezzo di prova nel processo penale).

Un ulteriore profilo di importanza sta nel fatto che l’hanno sottoscritta i membri del consiglio d’Europa e molti altri Stati che non fanno parte del consiglio → USA, Giappone e Canada. Si parla di una convenzione che nasce in Europa, influenzata dai suoi particolari aspetti culturali (si pensi al trattamento dei dati personali → in Europa si ha una disciplina molto più garantista rispetto alla disciplina USA che la demanda quasi interamente alla contrattazione tra privati), ma che viene firmata da grandi Paesi esteri. Questo rappresenta un indice di novità e assoluto rilievo e che si nota nell’ambito del bilanciamento in alcune norme della convenzione.

Interventi legislativi del 1993 e 2008

Nel 1993 vengono introdotti una serie di reati informatici. Nel 2008 ratificando la convenzione di Budapest si va a modificare i precedenti reati introdotti, alcuni vengono completamente rivisti (danneggiamento informatico), mentre altri nemmeno toccati (frodi informatiche). Aspetto caratteristico della convenzione sta nella disciplina delle responsabilità degli ISP. Necessità quindi di introdurre la possibilità di incriminare gli enti e le società. Necessario perché si affacciano nel sistema nuovi volti. Gli ISP partecipano al mondo informatico ed è un soggetto organizzato (persona giuridica) e non una persona fisica. Egli può collaborare alla commissione dei reati commessi dalle persone fisiche in molti modi.

Modifiche al codice penale

Il legislatore nazionale è intervenuto andando ad inserire nuove fattispecie penali all’interno di corpi normativi già esistenti, sia nel 1993 che nel 2008 → intervenendo nel codice penale, modificando la legge sul diritto d’autore ecc. è andando a collocare le fattispecie del diritto penale dell’informatica con altre fattispecie che trovava simili → collocazione sistematica.

Esempi di reati informatici

• Accanto alla truffa (art. 640 cp): la frode informatica (art. 640ter cp);
• Accanto alla violazione di domicilio (art.614 cp): l’accesso abusivo a sistema informatico (art. 615 ter cp) e le condotte prodromiche (artt. 615 quater e 615 quinquies cp);
• Fra i delitti di falsità in atti (artt. 476 e segg. cp): le falsità nei documenti informatici (art.491bis cp);
• Accanto al danneggiamento di cose (art. 635 cp): il danneggiamento di dati e sistemi informatici (artt. 635bis, 635ter, 635quater e 635quinquies cp).

Interpretazione sistematica delle norme

Questa collocazione comporta una interpretazione sistematica della norma → se si affianca la frode informatica alla truffa comporta un’interpretazione simile → se la truffa è un reato contro il patrimonio lo sarà anche la frode informatica, ma questo porta a molti problemi interpretativi. L’individuazione del bene giuridico tutelato mi dice qual è la persona offesa → quindi la sua individuazione è molto importante dal punto di vista processuale (per i reati perseguibili a querela in questo caso, ed è così per molti reati informatici).

Estensione delle fattispecie per analogia

Oppure il legislatore ha esteso l’applicabilità di norme pregresse → estensione per analogia di fattispecie esistenti → attraverso l’introduzione di nuove fattispecie ad hoc o attraverso l’analogia → c’è un fenomeno già individuato e lo estendo al mondo informatico → per esempio il reato di intercettazione della corrispondenza c’è dal 1930 → nel 93 il legislatore ha esteso tale reato anche alla corrispondenza telematica e informatica.

Modalità di intervento legislativo

La prima modalità di intervento (introduzione di nuove fattispecie penali) è più vicina al rispetto dei principi di tassatività e determinatezza. Con il secondo metodo (intervento sulle definizioni/analogia) si innescano dei meccanismi difficilmente governabili → ogni interpretazione diversa diventa pericolosa → ciò a causa anche del veloce progresso tecnologico → una definizione specifica oggi potrebbe essere già obsoleta tra un paio d’anni, ma una definizione troppo generica potrebbe urtare con i suddetti principi. L’intervento sull’apparato definitorio può portare anche a delle storture e difficoltà interpretative.

Divisione tra reati informatici

Vi è una divisione tra reati informatici in senso stretto e in senso ampio → si tratta di un’impostazione dottrinale necessaria per capire il sistema. I reati informatici in senso stretto sono quelle fattispecie sanzionatorie che hanno un elemento informatico che sia il sistema informatico, una rete telematica ecc che diventa caratteristico della fattispecie/del fatto tipico. Ci sono una serie di fattispecie dove l’elemento informatico sta dentro il fatto tipico in diverse declinazioni e modalità, tendenzialmente lo fa individuando l’oggetto materiale della condotta → la frode informatica sanziona l’alterazione del SI. Ci sono altri contesti nella frode informatica stessa, dove l’elemento informatico riguarda la condotta come l’accesso abusivo a sistema informatico commesso attraverso uno strumento informatico (strumento informatico per porre in essere la condotta). I reati informatici in senso lato sono quei reati che possono essere commessi con mezzi informatici, ma non essenzialmente. Il fatto tipico non prevede specificatamente un elemento informatico → come per esempio la diffamazione è un reato che non prevede l’utilizzo di uno strumento informatico, ma può essere commesso online (anche per quanto riguarda l’aggravante a mezzo stampa o altro mezzo di diffusione della notizia) → l’informatica non rientra nel mezzo tipico, è una possibilità.

Svolta del 2001: responsabilità amministrativa degli enti

Nel 2001 nel nostro ordinamento c’è stata una svolta epocale. Il nostro legislatore introduce un profilo di responsabilità amministrativa per gli enti giuridici per fatti costituenti reato. Il legislatore parla di responsabilità amministrativa, ma per alcuni reati si aprono 2 procedimenti penali a carico della persona fisica e carico dell’ente. La stragrande maggioranza dei casi ha come soggetti le società di capitali o di persone, ma non sono escluse dall’ambito di applicazione le associazioni o le imprese individuali, che possono non avere personalità giuridica. Abbiamo quindi un soggetto organizzato (persona giuridica) → in tale ambito vengono irrogate sanzioni para-penali, ma che sono afflittive e hanno una portata general- preventiva e sono applicate dal giudice penale → sono molto vicini alle pene.

Limitazioni della responsabilità degli enti

La cosa particolare è che le persone giuridiche non rispondo di tutti i reati previsti dal nostro ordinamento, a differenza delle persone fisiche. La responsabilità degli enti si ha solo se il legislatore la prevede espressamente → reato presupposto → l’ente non risponde di tutti i reati che può commettere la persona fisica, a differenza del sistema francese. La responsabilità degli enti si basa sul sistema chiuso → agli art 24 e 25 del d.lgs. 231/2001 indica una serie di reati presupposto (200 rispetto ai 2000 che prevede il nostro ordinamento circa).

Criminalità informatica e responsabilità degli enti

Nell’ambito della criminalità informatica la responsabilità degli enti è molto pervasiva. Una stragrande maggioranza dei reati informatici possono dar luogo anche a responsabilità della persona giuridica.

Rivoluzione digitale e sanzioni

La rivoluzione digitale ha portato anche a nuove formulazioni sanzionatorie. L’apparato sanzionatorio del nostro ordinamento affianca alla sanzione detentiva degli altri presidi sanzionatori → forme di confisca, di inabilitazione, interdizione ecc (pena accessoria o misura di sicurezza). Essi rappresentano il carico afflittivo della sanzione penale. Nel nostro ordinamento infatti vi sono una serie di istituti che fanno venir meno la pena detentiva (sospensione condizionale della pena, oblazione, mutuazione in pena pecuniaria ecc.), quindi la necessità di altre modalità sanzionatorie (interdizione da una professione o un’arte, di contrarre con la PA, della capacità di agire, della responsabilità genitoriale ecc → le pene accessorie). Anche nell’ambito del diritto penale dell’informatica c’è questa tendenza. Nell’ambito dei reati informatici c’è questa previsione molto particolare (art 240 c.p.), dove viene disciplinata la confisca come misura di sicurezza, dove gli strumenti informatici utilizzati per commettere crimini vengono, su richiesta dell’organo di polizia, destinati agli organi di polizia stessi che ne possono usufruire per contrastare appunto i crimini informatici o comunque per finalità di giustizia (art 86 bis cpp) → utilizzo degli stessi strumenti utilizzati dai criminali.

Previsioni simili nell'ordinamento

Ci sono anche altre previsioni nel nostro ordinamento che prevedono delle situazioni simili come nel caso del contrabbando.

Art 240 c.p.

Art 240 c.p.: 1-bis) dei beni e degli strumenti informatici o telematici che risultino esse...