Accesso abusivo alle mail dei dipendenti e violazione della corrispondenza: condannato l’amministratore IT

Accesso abusivo alle mail dei dipendenti e violazione della corrispondenza: condannato l’amministratore IT

Integra delitto l'accesso di colui che, pur essendo abilitato e pur non violando le prescrizioni impartite dal titolare di un sistema informatico o telematico protetto per delimitarne l'accesso, acceda o si mantenga nel sistema per ragioni estranee a quelle per cui la facoltà di accesso gli è attribuita (Cassazione – sentenza 20 giugno 2025 n. 23158, sez. V pen.).

La Corte di Cassazione ha confermato la condanna di un lavoratore che, nella sua qualità di amministratore del sistema informatico impiegato dalla società datrice di lavoro, si era introdotto abusivamente nel sistema, al fine di prendere cognizione del contenuto della corrispondenza riservata di un collega in relazione alle trattative della società per la nomina di questi come amministratore delegato.
La Corte territoriale aveva rilevato che l’imputato avesse agito per ragioni ontologicamente estranee all'interesse della società, disattivando la funzione di controllo di un applicativo, al fine di nascondere il proprio agire a terzi.
In particolare, ad avviso dei giudici di merito, le attività informatiche poste in essere dall'imputato non costituivano generici controlli volti a verificare la diligenza del collega nell'espletamento della sua attività lavorativa, ma costituivano un "controllo difensivo in senso stretto", peculiare tipologia di controllo che intanto può essere svolta in quanto siano rispettati i principi di proporzionalità e ragionevolezza del trattamento dei dati personali dei lavoratori.
A riguardo il Collegio ha ricordato che sono consentiti i controlli anche tecnologici posti in essere dal datore di lavoro finalizzati alla tutela di beni estranei al rapporto di lavoro o ad evitare comportamenti illeciti, in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto.

Tanto premesso, i giudici di legittimità hanno ritenuto condivisibili le conclusioni della sentenza impugnata che aveva indicato le circostanze di fatto che permettevano di ritenere l'accesso privo dei requisiti di ragionevolezza e proporzionalità e precisamente: l'accesso alla posta elettronica aziendale aveva riguardato anche un ex dipendente della società, per visualizzare la corrispondenza tra quest'ultimo e il collega, dalla cui casella erano stati scaricati 1542 messaggi e visualizzati 97.
Quanto, poi, alla sussistenza della fattispecie di violazione e sottrazione della corrispondenza, nel caso di accesso abusivo ad una casella di posta elettronica protetta da "password", come avvenuto nel caso in esame, è configurabile il delitto di accesso abusivo ad un sistema informatico che concorre con quello di violazione di corrispondenza, in relazione all'acquisizione del contenuto delle "mail" custodite nell'archivio ed è, altresì, configurabile l'aggravante di cui all'art. 615-ter, co. 2, n. 3, cod. pen. nel caso di modifica della "password" d'accesso alla casella di posta elettronica e delle credenziali di recupero della medesima, determinandosi l'alterazione di una componente essenziale del sistema informatico che lo rende temporaneamente inidoneo al funzionamento.
In casi come quello in esame la modifica della password non impedisce, tramite un procedimento di recupero delle credenziali, di accedere nuovamente alla casella di posta elettronica bloccata da tale modifica, ma è oggettivamente idonea per un lasso di tempo più o meno breve a seconda delle competenze informatiche della persona offesa ad impedire all'utente titolare della casella di farvi nuovamente accesso nella immediatezza del reato. Nel caso di specie la modifica apportata al sistema, pur se reversibile, aveva egualmente impedito l'utilizzo dell'applicativo agli altri utenti attivi sulla piattaforma aziendale per un lungo periodo fino alla data in cui la disabilitazione era stata scoperta ed invertita ad opera di tecnici esterni, incaricati dalla società con conseguenti ingenti costi a carico della stessa.

Di Chiara Ranaudo

Fonte normativa

• Cassazione - sentenza 20 giugno 2025 n. 23158, sez. V pen.