Accesso alla banca dati SDI (Sistema di indagine) da parte delle Forze dell’ordine

La banca dati SDI è stata istituita per consentire agli appartenenti di più forze armate di immettervi dati e fruire reciprocamente di documenti o notizie utili nello svolgere indagini ed attività di pubblica sicurezza. Il singolo operatore ha accesso al sistema al solo fine d’ufficio ed è per ciò tenuto a seguire le regole di utilizzo previste dalla L. n. 121/1981 e dal D.P.R. 3/05/1982, n. 378. L’utilizzo improprio del sistema, per scopi non istituzionali, ma personali, integra senz’altro una condotta illecita, ma il percorso giurisprudenziale intrapreso per inquadrare la normativa applicabile ai vari casi verificatisi è stato caratterizzato da diversi orientamenti, in merito ai quali le S.U. della Corte di Cassazione si sono pronunciate due volte, con le sentenze nn. 41210/2017 e 694/2012, le argomentazioni delle quali verranno trattate in questo scritto, anche alla luce del più recente intervento della Cassazione con la sentenza n. 5390 del 2022.

Per avere un quadro unitario delle varie riforme che si sono susseguite nel diritto e nella procedura penale e, quindi, della complessiva normativa vigente, si consiglia il seguente volume: Le riforme della giustizia penale

1. Sintesi delle recenti applicazioni del principio di specialità

Spesso una condotta illecita e rilevante dal punto di vista penale ricade nell’ambito di applicabilità di due o più norme incriminatrici. Come è noto, vi sono quindi casi nei quali l’azione illecita comporta l’operatività contemporanea di più norme penali e casi nei quali l’applicazione di una norma penale esclude l’altra.
Questi fenomeni sono regolati dal principio di specialità di cui all’art. 15 c.p. secondo il quale “quando più leggi penali o più disposizioni della medesima legge penale regolano la stessa materia, la legge o la disposizione di legge speciale deroga alla legge o alla disposizione di legge generale, salvo che sia altrimenti stabilito“. La dottrina ha spesso fatto ricorso ad ulteriori criteri, quali quello di consunzione e/o di assorbimento, che tuttavia non hanno mostrato il favore della giurisprudenza.
Nel concreto l’adozione del principio di specialità implica che, quando una condotta ricade nell’ambito di operatività di più norme incriminatrici, occorre applicare quella che descrive la condotta più specifica. Così, per esempio, il reato di associazione a delinquere ex art. 416 c.p. prevede una fattispecie più ampia rispetto al reato di associazione a delinquere di stampo mafioso ex art. 416bis c.p. Per tale ragione, qualora il reato associativo venga commesso con il metodo mafioso, verrà applicato soltanto l’art. 416bis c.p., in luogo dell’art. 416 c.p.
Quindi, più generica è la norma tanto più vasto è il cerchio di sua applicabilità. Cosicché, quando viene valutata una condotta, se questa rientra – in tutti i suoi elementi – in due reati, si applicherà soltanto una norma incriminatrice, ovvero quella più specifica, ed il concorso dei reati sarà solo apparente. Se invece, la condotta rientra in parte in un reato ed in parte in altro, si applicheranno entrambe le norme incriminatrici e, quindi, si avrà concorso di reati.
Questi princìpi vengono riportati dalla recente sentenza della Cassazione penale del 15/02/2022, n. 5390, ove si legge che “in dettaglio, escluso l’impiego di altri criteri, quali quelli della consunzione o dell’assorbimento, caratterizzati dalla impiego di giudizi di valore capaci di mettere in crisi il principio costituzionale di determinatezza, le Sezioni Unite hanno chiarito che la norma speciale è “quella che contiene tutti gli elementi costitutivi della norma generale e che presenta uno o più requisiti propri e caratteristici, che hanno appunto funzione specializzante, sicchè l’ipotesi di cui alla norma speciale, qualora la stessa mancasse, ricadrebbe nell’ambito operativo della norma generale; è necessario, cioè, che le due disposizioni appaiano come due cerchi concentrici, di diametro diverso, per cui quello più ampio contenga in sè quello minore, ed abbia, inoltre, un settore residuo, destinato ad accogliere i requisiti aggiuntivi della specialità” (così Sez. U, n. 1235 del 28/10/2010, Giordano, cit., in motivazione)”.
Al criterio generale di specialità di cui all’art. 15 c.p. si affianca il criterio di sussidiarietà. Quest’ultimo è previsto da singole norme incriminatrici che contengono la c.d. clausola di riserva (es. “salvo che la legge non disponga altrimenti”; “salvo che il fatto non costituisca più grave reato”; “fuori dei casi di…”), che subordina l’applicabilità del reato all’inapplicabilità di un altro. Come esposto nel paragrafo successivo, un esempio del principio di sussidiarietà è dato dall’art. 12 della L. n. 121/81.

2. L’improprio utilizzo del sistema SDI interforze e le possibili conseguenze, alla luce del principio di specialità

L’art. 8 della legge n. 121/81 ha previsto l’istituzione di una banca dati ove far confluire le informazioni risultanti da documenti della pubblica amministrazione, i dati delle sentenze e dei provvedimenti dell’autorità giudiziaria, nonché le informazioni acquisite nel corso di attività amministrative o di prevenzione o repressione dei reati. L’art. 6 della legge citata prevede peraltro che possano essere ivi acquisite informazioni relative ad operazioni o posizioni bancarie nei limiti richiesti da indagini di polizia giudiziaria e su espresso mandato dell’autorità giudiziaria.
Questo sistema informatico è utile per tutti i comparti che lavorano nell’ambito della sicurezza, che possono consultare la banca dati per espletare le proprie funzioni, accedendovi tramite loro postazione e password individuali. L’art. 9 della citata legge n. 121 prevede che l’accesso ai dati e alle informazioni siano consentiti agli ufficiali di polizia giudiziaria appartenenti alle forze di polizia, agli ufficiali di pubblica sicurezza e ai funzionari dei servizi di sicurezza, nonché agli agenti di polizia giudiziaria delle forze di polizia debitamente autorizzati ed all’autorità giudiziaria ai fini degli accertamenti necessari per i procedimenti in corso. Ovviamente la consultazione viene tracciata dal sistema ed i dati devono essere esclusivamente utilizzati per le ragioni di servizio indicate dalla stessa legge.
Nella pratica giudiziaria si è reso spesso necessario approfondire le conseguenze dell’illecito utilizzo del sistema SDI, e ciò anche per differenziare le condotte che rientrano nell’ambito di applicazione dell’art. 615ter c.p., dell’art. 326 c.p. e dell’art. 12 L. 121/1981.
Per avere un quadro unitario delle varie riforme che si sono susseguite nel diritto e nella procedura penale e, quindi, della complessiva normativa vigente, si consiglia il seguente volume:

3. La struttura del reato di cui all’art. 12 l.n. 121/1981 e la sua applicazione all’accesso al SDI

L’art. 12 L. n. 121/1981 prevede che “il pubblico ufficiale che comunica o fa uso di dati ed informazioni in violazione delle disposizioni della presente legge, o al di fuori dei fini previsti dalla stessa, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da uno a tre anni”.
Si tratta di un reato proprio, in quanto destinato a perseguire la condotta del pubblico ufficiale. La norma punisce chiaramente chi utilizzi impropriamente i dati acquisiti dal sistema informatico, ma non chi si immetta illecitamente nel SDI.
L’illecito disciplinato dalla norma è quindi quello che può verificarsi successivamente all’accesso ed all’estrazione dei dati, perché il segmento della condotta che viene valorizzato e perseguito riguarda l’utilizzo delle informazioni, non le modalità con le quali sono state carpite.   
Ciò che è vietato è l’uso dei dati in violazione delle prescrizioni impartite dalla stessa legge n. 121/81, nonché la comunicazione degli stessi a terzi non autorizzati.
La norma come anticipato contiene una clausola di riserva, disponendo l’applicazione del reato più grave eventualmente applicabile alla fattispecie concreta.

4. La struttura del reato ex art. 615-ter c.p. e la sua applicazione all’accesso al SDI

L’art. 615ter c.p. punisce chi si introduca abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, ovvero chi vi si mantenga contro la volontà espressa o tacita di chi ha il diritto di escluderlo. È prioritario evidenziare come la norma disciplini un momento antecedente rispetto a quello trattato dall’art. 12 L. n. 121/81. In questo caso si tende a punire l’accesso illecito al sistema.
L’illecito accesso alla banca dati non si verifica soltanto quando vi si immetta un soggetto non autorizzato, ma anche quando il soggetto, pur debitamente munito di personali password e credenziali, vi abbia fatto accesso per ragioni non legate al proprio servizio. Le Sezioni Unite della Corte di Cassazione hanno specificato questa circostanza nella sentenza n. 4694 del 07/02/2012, chiarendo che “integra la fattispecie criminosa di accesso abusivo ad un sistema informatico o telematico protetto, prevista dall’art. 615-ter c.p., la condotta di accesso o di mantenimento nel sistema posta in essere da soggetto che, pure essendo abilitato, violi le condizioni e i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso“.
Nello specifico la sentenza ha trattato il caso di un maresciallo dei Carabinieri condannato per aver fatto uso del sistema informatico S.D.I., violando le direttive concernenti l’accesso, in quanto questo era stato effettuato fuori dal servizio e per verificare un nominativo per il quale non doveva svolgersi alcuna indagine. L’autorizzazione gli era stata peraltro rilasciata soltanto per ragioni “di tutela dell’ordine e della sicurezza pubblica e di prevenzione e repressione dei reati”, con espresso divieto di stampare il risultato delle interrogazioni “se non nei casi di effettiva necessità e comunque previa autorizzazione da parte del comandante diretto”.
Ed in effetti la Cassazione muove il proprio ragionamento sul dato letterale dell’art. 615ter c.p. che punisce non solo chi si introduce abusivamente in un sistema informatico, ma anche chi vi si mantiene contro la volontà di chi ha diritto ad escluderlo. Quindi laddove l’agente permanga nel sistema per un tempo eccedente il necessario o per motivi estranei al proprio compito vìola la norma. I soggetti normalmente muniti di password trovano nel sistema di controllo ed autorizzazioni previsto dalla L. n. 121/81 e nel regolamento attuativo di cui al D.P.R. 3/05/1982, n. 378 le condizioni per l’utilizzo del sistema, condizioni da non travalicare per rimanere nell’ambito di liceità della condotta.
Nella sentenza delle Sezioni Unite del 2012 n. 4694 si precisa che l’art. 615ter c.p., nel configurare il reato di “accesso abusivo”, sanziona non solo la condotta del cosiddetto hacker o “pirata informatico”, cioè di quell’agente che, non essendo abilitato ad accedere al sistema protetto, riesca tuttavia ad entrarvi scavalcando la protezione costituita da una chiave di accesso (password), ma anche quella del soggetto abilitato all’accesso, e perciò titolare di un codice d’ingresso, che s’introduca nel sistema, violando però le regole oggettivamente impartitegli per utilizzarlo. In quest’ultima ipotesi, la trasgressione delle regole del sistema informatico è accostata alla violazione di domicilio, ove l’ingresso nell’altrui dimora è lecito solo se consentito da chi vi abita. Allo stesso modo, la permanenza in un sistema informatico, ove sono presenti dati personali, è lecita solo se consentita da chi ha il diritto di negare l’accesso, consenso che deve presumersi qualora l’accesso avvenga secondo le regole oggettive del sistema, perché la privacy della persona cede dinanzi all’esigenze di sicurezza e di ordine pubblico, nel bilanciamento dei relativi interessi in gioco.
Tale principio è rinvenibile nella motivazione della sentenza delle SS.UU., ove si precisa che “in questi casi è proprio il titolo legittimante l’accesso e la permanenza nel sistema che risulta violato: il soggetto agente opera illegittimamente, in quanto il titolare del sistema medesimo lo ha ammesso solo a ben determinate condizioni, in assenza o attraverso la violazione delle quali le operazioni compiute non possono ritenersi assentite dall’autorizzazione ricevuta”.
Ciò che in questa pronuncia viene specificato è che l’abusività dell’accesso si verifica in caso di violazione delle istruzioni e dei limiti oggettivi che sono stati dati all’operatore. Lo scopo che questi si è prefigurato nell’accedere ai dati non sarebbe invece rilevante ai fini dell’art. 615ter c.p.
La condotta del maresciallo sottoposto al vaglio delle Sezioni Unite è stata quindi ritenuta integrativa del reato di cui all’art 615ter c.p., perché egli aveva effettuato l’accesso fuori dal servizio, perché sul soggetto ricercato non doveva svolgersi alcuna indagine, e perché gli era stato espressamente vietato di stampare il risultato delle interrogazioni se non autorizzato dal comandante. L’agente aveva quindi perpetrato la propria condotta violando precise istruzioni oggettivamente conferitegli.
Le Sezioni Unite sono poi tornate a pronunciarsi in argomento, con la sentenza dell’08/09/2017 n. 41210, secondo la quale il delitto previsto dall’art. 615ter, secondo comma, n. 1, c.p. sussiste anche quando il pubblico ufficiale o l’incaricato di pubblico servizio, pur essendo abilitato e pur non violando le prescrizioni formali, acceda o si mantenga nel sistema “per ragioni ontologicamente estranee rispetto a quelle per le quali la facoltà di accesso gli è attribuita”.
Se nel 2012 le Sezioni Unite della Corte di Cassazione avevano valutato come decisiva la violazione di regole oggettivamente esistenti e poste a presupposto dell’autorizzazione, nel 2017 la configurabilità del reato ex art 615ter c.p. viene estesa anche al caso in cui l’agente abbia fatto accesso al sistema – nei limiti della delega – ma per scopi soggettivi estranei a ragioni d’ufficio.
Il tratto caratterizzante della condotta preso in esame è evidenziato nella parte della motivazione ove la Cassazione espone che “viene, di conseguenza, sottoposta ora alle Sezioni Unite la valutazione del non infrequente caso del soggetto, in specie pubblico ufficiale o equiparato, che, abilitato e senza precisazione di limiti espressi alle possibilità di accesso e trattenimento nel sistema pubblico, acquisisca da questo notizie e dati, in violazione dei doveri insiti nello statuto del pubblico dipendente, nel complesso degli obblighi e dei doveri di lealtà a lui incombenti”.
Nello specifico era stato tratto a giudizio un cancelliere della Procura della Repubblica per aver fatto accesso a notizie relative ad un soggetto coinvolto in un procedimento in carico a un Pubblico Ministero diverso da quello presso cui il cancelliere prestava servizio. Nel caso le regole di accesso non risultavano violate perché, in base a diposizioni organizzative interne, i dati predetti erano resi accessibili per tutte le situazioni nelle quali i diretti titolari di cancelleria non potessero per un qualsiasi motivo accedervi.
La Cassazione ha quindi chiarito che l’illiceità della condotta si verifica anche quando l’accesso nel sistema sia avvenuto per ragioni soggettivamente estranee ai compiti d’ufficio. Quindi non solo quando siano state violate specifiche istruzioni oggettive, ma anche quando la ragione che ha determinato l’operatore ad accedere al sistema non sia aderente alle finalità perseguite dall’Ufficio pubblico per il quale egli presta servizio, ma ineriscano piuttosto a ragioni private e quindi soggettive.
Tale interpretazione è fondata sull’art. 1 della L. n. 241/90, in base al quale il pubblico dipendente è preposto a perseguire i fini determinati dalla legge, sicché l’accesso concessogli ad un sistema informatico deve essere esercitato per i soli fini d’ufficio e non per ragioni private, poiché in quest’ultimo caso si avrebbe uno “sviamento di potere”. Ed in effetti “il vizio di eccesso di potere per sviamento costituisce una effettiva e comprovata divergenza fra l’atto e la sua funzione tipica, ovvero nell’esercizio del potere per finalità diverse da quelle enunciate dal Legislatore con la norma attributiva dello stesso, in particolare quando l’atto sia stato determinato da un interesse diverso da quello pubblico” (Cons. Stato, Sez. IV, 08/05/2023, n. 4597).
Nell’armonizzare i principi affermati dalle Sezioni Unite nelle sentenze nn. 41210/2017 e 694/2012, può quindi dirsi che – ai sensi dell’art. 615ter c.p. – l’abusività dell’accesso si verifica in caso di violazione delle istruzioni e dei limiti oggettivi che sono stati dati all’operatore, nonché quando questi abbia interrogato il sistema per scopi propri e non d’ufficio. In merito a tale ultimo aspetto, d’altronde, il pubblico dipendente è autorizzato ad entrare nel detto sistema, non per interessi privati, bensì in ragione del proprio vincolo di immedesimazione organica con l’ente pubblico ex art. 28 Cost.; sicché, qualora gli scopi che hanno dato luogo al sistema informatico non trovino coincidenza con il fine perseguito dall’operatore, è ingiustificata la presenza di questi nella piattaforma, anche se l’operatore stesso abbia solo consultato i dati in essa contenuti.

5. La struttura del reato ex art. 326 c.p. e la sua applicazione all’accesso al SDI

L’art. 326 c.p. è finalizzato a tutelare la segretezza delle informazioni detenute dalla Pubblica Amministrazione, che è una delle prerogative del buon andamento degli Uffici Pubblici quale interesse generalmente perseguito dall’art. 97 Cost.  
Il reato è integrato dalla condotta del Pubblico Ufficiale od incaricato di pubblico servizio che riveli o renda comunque accessibili notizie che devono rimanere segrete, violando i propri doveri o abusando della propria qualità.
Uno dei più recenti casi giudiziari sul tema è stato trattato dalla sentenza della Cassazione penale n. 8911 del 04/03/2021. Tale pronuncia ha riguardato l’accesso da parte di un militare della Guardia di finanza alla banca dati SDI, a seguito del quale lo stesso informava un terzo circa l’inesistenza di iscrizioni pregiudizievoli a suo carico. Le argomentazioni della detta pronuncia della Cassazione danno modo di trattare temi già chiariti dalle SS.UU., e di tracciare il rapporto dell’art. 326 c.p. con gli artt. 615ter c.p. e 12 L. n. 121/1981.
Sotto un primo profilo, la sentenza richiama vari precedenti, ove è pacificamente affermato che il divieto imposto dalla norma riguarda la comunicazione di notizie segrete, tali essendo quelle regolate dall’art. 28 della L. n. 241/90 ovvero informazioni riguardanti “provvedimenti od operazioni amministrative, in corso o concluse, ovvero notizie di cui sia venuto a conoscenza a causa delle sue funzioni, al di fuori delle ipotesi e delle modalità previste dalle norme sul diritto di accesso”. Il diritto di accesso viene in vario modo regolato a seconda del tipo di informazione cui si vuole accedere. Ad esempio, atti e provvedimenti del procedimento amministrativo sono oggetto di regolamentazione specifica ad opera dell’art. 22 L. n. 241/90, che consente all’Amministrazione di valutare l’interesse ad accedervi ed ai terzi interessati di opporsi motivatamente alla trasmissione di propri dati. Allo stesso modo la legge istitutiva del SDI, la n. 121/1981, prevede all’art. 9 le modalità di accesso ai dati in esso presenti da parte del soggetto interessato, con annessa facoltà di chiedere la rettifica, l’integrazione, la cancellazione o la trasformazione in forma anonima dei dati medesimi, mentre l’art. 335 c.p.p. regola l’accesso ai dati presenti nel casellario giudiziale.  
L’operatore pubblico è quindi tenuto al rispetto delle regole che comunque disciplinano l’accesso all’atto in questione, sicché il sistema informatico – messogli a disposizione per ragioni d’ufficio – non può essere utilizzato indiscriminatamente per ragioni private; pertanto è vietata sia la rivelazione di notizie coperte dal segreto d’ufficio, sia quelle indebitamente svelate a chi non è titolare del diritto di accesso agli atti o senza il rispetto delle modalità previste dalla procedura in concreto applicabile (Cassazione penale Sez. 1, n. 8201 del 18/02/2010).
Ne consegue che il reato di cui all’art. 326 c.p. è configurabile quando l’operatore abbia divulgato notizie che ha acquisito violando la procedura.

6. Conclusioni

Il principio di specialità ex art. 15 c.p. consente quindi di individuare, rispetto all’accesso illecito ai dati presenti nel SDI, i tratti differenzianti tra il reato di rivelazione di segreto d’ufficio ex art. 326 c.p. e il reato di cui all’art. 12 L. n. 378/1981. Entrambi riguardano la condotta di rivelazione delle informazioni acquisite e, quindi, entrambi possono dirsi integrati solo quando l’agente abbia comunicato i dati a terzi che non ne avevano diritto. Si applicherà l’art. 12 della L. n. 378/1981 nel caso in cui i dati siano stati acquisiti nel rispetto della procedura, mentre verrà integrato il più grave reato di cui all’art. 326 c.p. qualora i dati siano stati carpiti illegittimamente.
È ad esempio possibile che l’operatore acquisisca legittimamente informazioni su un soggetto coinvolto in una indagine, e quindi acceda al SDI secondo la procedura, ma di tali dati ne informi un terzo soggetto senza che questi ne abbia diritto. In tale circostanza si applicherà l’art. 12 della L. n. 378/1981. Qualora invece l’accesso sia avvenuto senza alcuna ragion d’ufficio e quindi per interesse privato, si avrà accesso illecito e quindi la divulgazione della notizia acquisita darà luogo al reato di rivelazione di segreto d’ufficio ex art. 326 c.p., e ciò anche per il principio di sussidiarietà contenuto nell’art. 12 cit., secondo il quale, qualora la condotta rientri in una fattispecie di reato più grave, quale è quella di cui all’art. 326 c.p., sarà quest’ultimo ad applicarsi.
Beninteso, l’alternatività tra l’applicazione delle due norme indicate non interferisce con la fattispecie prevista dall’art. 615ter c.p., che attiene ad un momento diverso, cioè alla sola fase di acquisizione dei dati, acquisizione che, se illecita, comporterà la sanzione prevista dalla norma da ultimo citata, a prescindere dalla divulgazione dei dati acquisiti. La successiva diffusione darà quindi luogo ad un concorso di reati tra l’art. 615ter c.p. e l’art. 326 c.p.