Politiche aziendali chiare per la tutela dei domicili digitali

Sentenza n. 40295/2004: Riservatezza dei "domicili digitali" - Politiche interne aziendali chiare e rigide

Con la sentenza n. ​40295 del 31 ottobre 2024, la Corte di Cassazione ha fornito una importante interpretazione dell'art. 615 ter del codice penale, che tutela la riservatezza dei "domicili digitali".

Il caso riguardava un direttore di hotel che, pur utilizzando credenziali valide, aveva abusato dell'accesso a un sistema aziendale per scopi estranei al proprio incarico.

La Corte ha confermato che l'accesso, anche se effettuato con credenziali lecite, è abusivo se compiuto per finalità non autorizzate, ampliando così il concetto di "accesso disfunzionale". La sentenza sottolinea che, seppur non sia necessario  dimostrare un danno concreto o un intento fraudolento, l'accesso non autorizzato a dati protetti è sufficiente per configurare il reato.

Per la Corte, la protezione di un sistema mediante credenziali uniche, implica un divieto implicito per tutti gli altri, anche in posizione gerarchica superiore, di accedere senza autorizzazione.

Questo principio impone alle aziende di adottare politiche interne di sicurezza più rigorose e regolamentare l'accesso ai propri sistemi informatici secondo regole ben definite ed esplicite, in assenza di ambiguità che possano comportare il rischio di violazioni delle direttive aziendali; per contro tutti i dipendenti, anche quelli con ruoli apicali, devono rispettare le regole aziendali.

Le aziende, quindi, sono chiamate non solo a garantire la sicurezza dei dati, ma anche a monitorare e prevenire l'accesso non autorizzato, che potrebbe configurarsi come un reato informatico.

In quest'ottica, è essenziale che le imprese implementino un Modello di Organizzazione, Gestione e Controllo in conformità con il D. Lgs. 231/01, che responsabilizza l'ente per i reati commessi dai propri dipendenti nell'esercizio delle loro funzioni.

Le misure preventive devono essere idonee a evitare il compimento di reati, inclusi quelli informatici; le società devono garantire che ogni accesso sia giustificato e strettamente conforme alle policy aziendali e anche sensibilizzare i propri dipendenti riguardo le implicazioni giuridiche legate all'accesso abusivo.

Il rispetto delle regole aziendali non solo tutela  l'organizzazione, ma contribuisce anche a prevenire danni significativi a livello civile e penale.