L'accesso abusivo ad un sistema informatico o telematico

In conclusione va esaminata la responsabilità penale del provider sotto un ultimo punto di vista: quello dell’eventuale obbligo di cooperazione con le autorità a seguito della scoperta di un crimine già consumato. Ci si chiede cioè se l’ISP debba rivestire il ruolo di “tutore dell’ordine” in rete, volto alla repressione dei reati realizzati online piuttosto che alla loro prevenzione.

Qui non si può escludere un dovere dell’ISP finalizzato allo svolgimento di un’attività di assistenza al fine di ridurre gli effetti dannosi dell’illecito e di individuarne i responsabili. Va però preliminarmente operata una bipartizione fra gli obblighi di denuncia dei reati di cui abbia avuto conoscenza e di comunicazione (ove richieste) delle informazioni utili all’identificazione degli autori, da un lato, e dall’altro quelli di rimozione dei dati illeciti contenuti nei propri server o di inibizione all’accesso a tali dati.

Per ciò che concerne la prima serie di doveri si potrebbe ipotizzare che il loro inadempimento possa configurare l’imputazione al provider del reato di favoreggiamento personale ex art. 378 c.p., che punisce chiunque, dopo la commissione di un delitto per il quale è prevista la reclusione (fra i quali anche quello di accesso abusivo ad un sistema informatico), e con esclusione dei casi di concorso nel medesimo, aiuti taluno ad eludere le attività investigative o a sottrarsi alle ricerche delle autorità. La giurisprudenza di legittimità ha infatti ammesso la possibilità che il reato in oggetto possa essere realizzato anche mediante una condotta omissiva, e allora questa potrebbe essere rinvenuta nelle mancata effettuazione delle comunicazioni previste dalla legge, su tutte quella indicata nel comma 2 dell’art. 17 del d.lgs. n. 70 del 2003 e dall’art. 14-ter della l. n. 269 del 1998.

Senonché, per quanto attiene al primo articolo (che obbliga il provider ad informare le autorità competenti qualora sia a conoscenza di presunte attività o informazioni illecite riguardanti un suo destinatario del servizio, nonché a fornire, a richiesta delle medesime autorità, i dati in suo possesso che consentano l'identificazione del destinatario dei suoi servizi al fine di individuare e prevenire attività illegali), sembra che venga a determinarsi solo una responsabilità di tipo civilistico. Ciò può desumersi dal fatto che il comma 3 dell’art. 17 prevede, per l’omessa comunicazione di un illecito di cui il provider sia venuto a conoscenza, una sanzione esclusivamente civile; in aggiunta anche dal fatto che l’art. 21 del decreto legislativo non prevede la violazione dell’art. 17 fra quelle sanzionate in via amministrativa.

Il tutto senza considerare che non avrebbe senso altrimenti l’introduzione dell’art. 14-ter della l. n. 269 del 1998 (risalente al 2006), che è norma speciale rispetto all’art. 17 d.lgs. n. 70 del 2003, laddove quest’ultimo avesse già previsto sanzioni, amministrative o penali, per il provider che omettesse di comunicare informazioni inerenti a illeciti penali di cui è a conoscenza.
L’art. 14-ter della l. n. 269 del 1998 sancisce infatti in capo all’ISP un obbligo di comunicazione al Centro nazionale per il contrasto della pedopornografia di quanto venga a sapere in relazione ad imprese o soggetti che diffondono, distribuiscono o commerciano materiale pedopornografico, nonché, qualora il Centro lo richieda, anche ogni informazione relative ai contratti con tali clienti. La norma però prevede una sanzione espressamente amministrativa, il che, in virtù dei principi di sussidiarietà e di specialità del diritto penale, pare escludere che l’omessa tenuta della condotta obbligatoria possa integrare il reato di favoreggiamento personale.

Per quanto riguarda invece il mancato adempimento dei doveri di rimozione e interdizione all’accesso a materiale illecito situato nei server del provider, dietro apposita richiesta dell’autorità competente, potrebbe ritenersi integrato il reato di cui all’art. 650 c.p. che punisce “chi non osserva un provvedimento legalmente dato dall’Autorità per ragioni di giustizia o di sicurezza pubblica, o d’ordine pubblico […]”.

Anche qui vengono ad oggetto essenzialmente le norme previste dal d.lgs. n. 70 del 2003, artt. 14 comma 3, 15 comma 2 e 16 comma 3 (in base ai quali l'autorità giudiziaria o quella amministrativa avente funzioni di vigilanza possono esigere che il provider impedisca o ponga fine alle violazioni commesse), nonché un articolo della l. n. 269 del 1998, ossia il 14-quater che prevede che gli ISP, al fine di impedire l’accesso ai siti segnalati dal Centro nazionale per il contrasto della pedopornografia, hanno l’obbligo di adoperare strumenti di filtraggio e soluzioni tecnologiche conformi ai requisiti individuati con decreto ministeriale.

Analoghi sono anche i dubbi: l’art. 14-quater difatti prevede una sanzione amministrativa ed è una norma speciale rispetto all’art. 650 c.p., cosa che pertanto osta all’applicazione della norma in questione; allo stesso modo gli artt. del d.lgs. n. 70 del 2003 presentano i medesimi aspetti critici già osservati in precedenza in relazione all’art. 17. Per cui, in tutte le siffatte eventualità, una responsabilità del provider è sì rinvenibile, ma non in ambito penale bensì esclusivamente civile o amministrativo.