Cassazione n. 07775/2022

a seguente: SENTENZA sul ricorso proposto da: [OSCURATO:PERSONA], [OSCURATO:IDENTITA_RESIDUA], il [OSCURATO:DATA_NASCITA]; avverso la sentenza del 17/02/2021 della Corte d'appello di Milano; visti gli atti, il provvedimento impugnato ed il ricorso; udita la relazione svolta dal Consigliere [OSCURATO:PERSONA]. [OSCURATO:PERSONA]; udito il Pubblico Ministero in persona del [OSCURATO:PERSONA] Procuratore generale [OSCURATO:PERSONA]. [OSCURATO:PERSONA], che ha concluso per il rigetto del ricorso; udita per la parte civile l'avv. [OSCURATO:PERSONA], che ha concluso chiedendo il rigetto del ricorso; udito per l'imputato l'avv. [OSCURATO:PERSONA], che ha concluso chiedendo l'accoglimento del ricorso. [OSCURATO:PERSONA] FATTO1. Con la sentenza impugnata la Corte d'appello di Milano ha confermato la condanna, anche agli effetti civili, di [OSCURATO:PERSONA] per i reati, avvinti dal vincolo della continuazione, di accesso abusivo ad un sistema informatico, commesso nella qualità di addetto alle vendite e alla commercializzazione dei tessuti della società [OSCURATO:PERSONA] s.p.a. e di rivelazione di segreto professionale ai danni della predetta società. Il primo delitto è aggravato dall'aver abusato l'imputato della propria qualità di operatore del sistema e dal nesso teleologico con altro reato, circostanza riconosciuta già in primo equivalente alle riconosciute attenuanti generiche. In particolare l'imputato si introduceva abusivamente nel sistema informatico aziendale in epoca prossima al termine del suo rapporto di lavoro con la suddetta società attraverso un'utenza di amministratore di sistema, una volta venuto a conoscenza delle relative credenziali di accesso, destinate altrimenti a rimanere segrete per espressa direttiva aziendale. Effettuato l'accesso, il Marzorati copiava su supporti informatici esterni diversi dati salvati sul server aziendale, in violazione di espresso divieto in tal senso. Successivamente, una volta cessato il rapporto di lavoro alle dipendenze della [OSCURATO:PERSONA] s.p.a., avendo in precedenza legittimamente acquisito l'elenco dei clienti e delle relative offerte della predetta società, divulgava illecitamente tali informazioni alla società concorrente presso cui era stato nel frattempo assunto. 2. Avverso la sentenza ricorre l'imputato, articolando quattro motivi. 2.1 Con il primo motivo il ricorrente eccepisce vizi di motivazione e travisamento del fatto in ordine al reato di accesso abusivo ad un sistema informatico. Nell'atto di appello era stata denunciata la violazione del principio di correlazione tra accusa e sentenza. In particolare, nel capo d'imputazione si faceva riferimento all'accesso abusivo effettuato mediante un profilo utente riservato all'amministratore del sistema informatico, l'unico dal quale si sarebbe potuto accedere a taluni dati oggetto di copia da parte dell'imputato e delle cui credenziali quest'ultimo si sarebbe impossessato illecitamente. Tuttavia il giudice di primo grado procedeva ad una ricostruzione storica diversa sulla base delle risultanze emerse nel corso del dibattimento. L'imputato veniva infatti condannato per aver effettuato, in un primo momento, l'accesso abusivo dal proprio profilo utente, da cui sarebbe stato comunque possibile prendere visione di tutti i dati salvati sul sistema informatico aziendale e per aver successivamente effettuato l'accesso, dallo stesso terminale, con le credenziali dell'amministratore di sistema nel tentativo di cancellare le tracce della precedente attività illecita. Nel rigettare le critiche mosse in sede d'impugnazione, i giudici d'appello hanno nuovamente stravolto la ricostruzione storica della vicenda oggetto del procedimento, travisando le risultanze processuali che erano state valorizzate in primo grado. Anzitutto veniva confutata l'affermazione in merito alla possibilità di accedere ai dati sensibili oggetto di copia dal profilo dell'imputato. In secondo luogo veniva riaffermato, coerentemente al capo di imputazione, che il ricorrente avesse operato l'accesso abusivo utilizzando le credenziali dell'amministratore di sistema. Tale ragionamento, tuttavia, non si confronterebbe con la relazione svolta dal consulente di parte civile, nella quale si afferma inequivocabilmente che l'accesso abusivo e la copia dei dati siano stati effettuati dall'utenza in dotazione all'imputato e non da quella dell'amministratore di sistema. 2.2 Con il secondo ed il terzo motivo la difesa eccepisce vizi della motivazione, travisamento del fatto ed erronea applicazione della legge penale in ordine alla ritenuta responsabilità per il delitto di rivelazione di segreto professionale. Anzitutto si evidenzia l'incongruità tra la motivazione del giudice di primo grado, reiterata dal giudice d'appello, e la condanna in ordine a tale reato. I giudici del merito, pur ammettendo un residuo ragionevole dubbio in merito a come il Marzorati sia venuto a conoscenza delle proposte contrattuali presentate dalla [OSCURATO:PERSONA] s.p.a. ai clienti da egli contattati, condannavano il ricorrente per aver asseritamente divulgato tali informazioni. Non solo non si sarebbe fornita prova certa di tale necessario antecedente logico della rivelazione di segreto, ma tale circostanza sarebbe inoltre sconfessata dalla testimonianza di [OSCURATO:PERSONA], dipendente della società. Dalla deposizione del medesimo si evincerebbe infatti che i tre clienti contattati dall'imputato sono stati effettivamente destinatari di una proposta contrattuale da parte della [OSCURATO:PERSONA] s.p.a., ma solo in un momento successivo alla cessazione del rapporto di lavoro dell'imputato presso la società. Periodo in cui quest'ultimo non avrebbe avuto modo di accedere al sistema informatico aziendale. Infine, il ricorrente contesta la sussistenza del carattere della segretezza delle informazioni asseritamente divulgate ai concorrenti della [OSCURATO:PERSONA] s.p.a.; l'oggetto delle comunicazioni inviate ai potenziali clienti sarebbero esclusivamente lettere di presentazione, cui hanno fatto seguito, da parte delle società contattate, richieste di invio di una proposta commerciale, trattandosi dunque di una mera pratica commerciale, neppure integrante illecito civile, atteso che il ricorrente non era vincolato da alcun patto di non concorrenza. 2.3 Con l'ultima doglianza la difesa eccepisce, riproponendo analogo motivo sollevato in appello, l'erronea applicazione della legge penale con riferimento all'aggravante di aver abusato della qualità di operatore del sistema. Tale qualità presuppone una relazione privilegiata tra l'agente ed il sistema informatico, tale per cui il soggetto rivesta la qualità di amministratore di sistema, ossia colui che sorvegli o sia responsabile del funzionamento del sistema informatico. Le risultanze istruttorie avrebbero tuttavia acclarato che detta qualifica fosse posseduta solo dall'amministratore delegato della società e dal personale della ditta incaricata della manutenzione del sistema, ma non già dal ricorrente, come avvalorato dai limiti imposti al suo profilo utente per volontà dello stesso amministratore delegato. 3. Il difensore della parte civile [OSCURATO:SOCIETA]. ha presentato memoria a confutazione dei motivi di ricorso. Il difensore dell'imputato ha trasmesso conclusioni scritte insistendo nell'accoglimento del ricorso. [OSCURATO:PERSONA] 1. Il ricorso è nel suo complesso infondato e deve conseguentemente essere rigettato. 2. Invero infondato è il primo motivo di ricorso. Occorre premettere che non viola il principio di correlazione fra accusa e sentenza qualsiasi discrasia tra la ricostruzione del fatto accolta all'esito del giudizio e quella descritta nell'imputazione. Difatti le differenze che riguardino aspetti non essenziali del fatto possono essere ricomposte in sede d'appello, sennprechè davanti al giudice di secondo grado l'imputato abbia avuto la concreta possibilità di apprestare in modo completo la sua difesa in relazione ad ogni possibile profilo dell'addebito (ex multis Sez. 4, Sentenza n. 36778 del 03/12/2020, Celli, Rv. 280084). Ciò posto, nel caso di specie la divergenza tra fatto contestato e fatto ritenuto denunziata dal ricorrente ha riguardato le specifiche modalità attraverso cui il Marzorati è entrato in possesso dei dati afferenti la clientela della [OSCURATO:PERSONA] [OSCURATO:SOCIETA] eccepita discrasia è stata correttamente affermata dai giudici dell'appello evidenziando come tanto le modalità originariamente descritte nell'imputazione, come quelle ritenute accertate dai giudici del merito, riguardino il medesimo fatto, nel suo nucleo essenziale considerato, di accesso abusivo ad un sistema informatico strumentale all'acquisizione di informazioni riservate a lui precluse. Peraltro se in primo grado viene affermato che l'imputato si è servito del proprio profilo-utente per prendere visione dei dati relativi ai clienti e di aver poi utilizzato l'utenza dell'amministratore solo per cancellare le proprie tracce telematiche, in secondo grado si è acclarato che in realtà il Marzorati ha sempre utilizzato il proprio profilo-utente, operando, al bisogno, qualora non avesse la facoltà per accedere a talune partizioni del sistema informatico aziendale o per compiere talune operazioni sul proprio terminale, la c.d. scalata d'utenza, ossia inserendo ove richiesto le credenziali che consentono l'accesso ai diritti di amministratore. Non può neppure sostenersi, come invece eccepito dal ricorrente, che la Corte territoriale, nella sua lettura del compendio probatorio parzialmente difforme da quella del giudice di primo grado, abbia travisato la relazione svolta dal consulente di parte civile con riferimento alle concrete modalità dell'accesso abusivo al sistema aziendale. Non vi è difatti incoerenza tra la consulenza, nella parte in cui si afferma che il Marzorati abbia copiato i dati afferenti la clientela su delle periferiche esterne attraverso il proprio profilo utente, e la sentenza impugnata, dove si ammette che a tal fine sono state utilizzate le credenziali dell'amministratore della società. Il ricorso omette difatti di confrontarsi con la motivazione nella parte in cui menziona come a tali dati, effettivamente preclusi al profilo del Marzorati, lo stesso abbia avuto accesso operando la c.d. scalata, ossia, come già ricordato, utilizzando, dal proprio profilo, le credenziali dell'amministratore della società, dotate dei massimi privilegi sul sistema informatico aziendale, al fine di inserire la propria utenza nel gruppo degli amministratori di sistema. 3. Con riguardo alle censure articolate in riferimento al delitto di cui all'art. 622 c.p., va anzitutto rilevata l'inammissibilità del terzo motivo di ricorso, con il quale vengono dedotte questioni che non erano state devolute alla cognizione del giudice dell'appello con il gravame di merito. Ed infatti, posto che la riqualificazione dei fatti originariamente contestati al capo 2) dell'imputazione in riferimento all'art. 621 c.p. è avvenuta in primo grado, l'imputato avrebbe dovuto contestare con i motivi d'appello anche il profilo relativo alla segretezza delle informazioni rivelate alla società concorrente della [OSCURATO:PERSONA], mentre ha invece prospettato esclusivamente il vizio ora dedotto con il secondo motivo del presente ricorso. Quanto a tale ultimo profilo, si rileva l'infondatezza delle censure avanzate dal ricorrente in merito alla responsabilità per il delitto di rivelazione di segreto professionale. La lamentata concisione, sul punto, della sentenza impugnata non è anzitutto dovuta alla genericità del corrispondente motivo d'appello, ma è comunque compensata dalla tenuta logica della motivazione della pronunzia di primo grado, non analiticamente confutata con il gravame di merito e coerente agli approdi di legittimità su caso analogo a quello per cui si procede (cfr. Sez. 4, Sentenza n. 44840, del 26/10/2010, Petrosino, in motivazione). In particolare in primo grado si è fatto riferimento, come confermato anche in appello, al fatto che oggetto della condotta di cui al capo 1) sono state informazioni relative ai clienti che intrattenevano rapporti commerciali con la società al momento in cui il Marzorati ancora era impiegato della stessa. Parte di tale clientela è poi stata contattata dall'imputato, che grazie alle informazioni indebitamente carpite ha potuto offrire condizioni più vantaggiose di quelle praticate dalla predetta società. Inammissibile è poi la deduzione del travisamento della documentazione depositata all'udienza del 29 giugno 2017, ancora una volta avvenuta per la prima volta in sede di legittimità. Va infatti ribadito il costante insegnamento di questa Corte per cui , nel caso di cosiddetta "doppia conforme", è inammissibile il motivo fondato sul travisamento della prova, per utilizzazione di un'informazione inesistente nel materiale processuale o per omessa valutazione di una prova decisiva, che sia stato dedotto per la prima volta con il ricorso per cassazione, poiché in tal modo esso viene sottratto alla cognizione del giudice di appello, con violazione dei limiti del devolutum ed improprio ampliamento del tema di cognizione in sede di legittimità (ex multis Sez. 6, Sentenza n. 21015 del 17/05/2021, Africano, Rv. 281665). 4. Meritevole di accoglimento, nel senso di seguito precisato, è invece il motivo inerente alla configurabilità dell'aggravante dell'abuso della qualità di operatore del sistema. Non può difatti condividersi l'assunto, fatto proprio dai giudici di merito, secondo cui per "operatore del sistema" debba intendersi qualunque soggetto il quale, autorizzato all'accesso al sistema informatico, abusi di detta autorizzazione. Una interpretazione così estensiva, in grado di ricomprendere nell'ambito applicativo dell'art. 615-ter, co. 2, n. 1 c.p. anche il mero utente che fruisce dei contenuti presenti nel sistema informatico, è stata effettivamente seguita in passato da una pronunzia di questa Corte (Sez. 5, Sentenza n. 1727 del 30/09/2008, dep. 2009, Romano, Rv. 242939), che è però giunta a tali conclusioni muovendo dal presupposto che quella configurata dalla disposizione da ultima citata non sia una circostanza aggravante del reato previsto dal primo comma dello stesso art. 615-ter - il quale dunque avrebbe ad oggetto esclusivamente l'intrusione informatica da parte di colui che non sia in alcun modo legittimato ad operare con il sistema - bensì un autonomo titolo di reato dedicato per l'appunto ai soggetti invece abilitati. Le conclusioni cui è pervenuta la sentenza Romano non possono essere accolte, atteso che il presupposto sistematico che le giustificherebbe è stato smentito dall'insegnamento di Sez. U, Sentenza n. 4694 del 27/10/2011, dep. 2012, Casani, Rv. 251270, che hanno chiarito come le fattispecie articolate dal secondo comma dell'art. 615-ter c.p. siano invece altrettante aggravanti del reato di cui al primo comma dello stesso articolo. In tal senso la sentenza Casani (successivamente confermata sul punto da Sez. U, Sentenza n. 41210 del 18/05/2017, Savarese, Rv. 271061) ha precisato come l'accesso abusivo di cui tratta tale ultima disposizione, non è soltanto quello compiuto dal soggetto in alcun modo legittimato ad introdursi nel sistema aggirando le sue protezioni, ma anche quella del soggetto autorizzato ad accedervi e che però lo faccia per finalità diverse da quelle per cui l'autorizzazione gli è stata concessa. Ciò considerato, l'operatore del sistema di cui tratta il secondo comma dell'art. 615-ter non può pertanto identificarsi semplicemente con colui che è legittimato ad accedere al sistema, in quanto tale figura soggettiva è già considerata nel comma precedente tra i potenziali autori del reato base, come aveva già osservato la sentenza Romano, traendone però conseguenze sul piano ricostruttivo e sistematico, come detto, non condivisibili. In altri termini, l'adozione di una definizione estesa della nozione di "operatore" finirebbe per dissolvere la specificità della fattispecie aggravante - che non è legata ad una particolare connotazione accessoria del fatto materiale, ma per l'appunto alla peculiarità della qualifica soggettiva del suo autore — facendo perdere di significato la sua stessa previsione. Ma la via segnata dalle citate pronunzie delle Sezioni Unite non porta necessariamente a concludere, come invece preteso dal ricorrente, che l'aggravante di specie si applichi al solo "amministratore del sistema", ossia soltanto al soggetto che esercita la completa sovranità su di esso, posto che tale conclusione non trova alcun ancoraggio nella lettera della norma, né ha qualche giustificazione sul piano sistematico. L'operatore del sistema non è dunque colui che semplicemente opera "nel" o "con" il sistema, come nel caso anche del mero utente abilitato ad accedere ad una banca dati, ma è colui che è autorizzato ad operare "sul" sistema. L'operatore è, in definitiva, il soggetto che viene abilitato a modificare i contenuti o la struttura del sistema ovvero di una sua parte, con esclusione dunque di chi viene semplicemente autorizzato a fruire dei suddetti contenuti. Al contempo l'attribuzione della qualifica non necessariamente comporta anche quella della titolarità di poteri decisori sulla gestione di tali contenuti o sulla configurazione del sistema, potendo invece essergli riconosciuti anche compiti meramente esecutivi. In breve, anche colui che nel gergo informatico viene definito "amministratore di sistema" è ai fini dell'art. 615-ter comma 2 c.p. un "operatore del sistema", ma, non necessariamente le due nozion u ndo quella contenuta nella legge penale più ampia. Tale conclusione appare maggiormente aderente al significato letterale del termine dispiegato dal legislatore ed alla ratio della previsione di una aggravante dedicata alla figura dell'operatore del sistema, da rinvenirsi nella maggiore riprovevolezza e gravità della condotta di chi si trova in un rapporto privilegiato con il sistema che ne agevola l'abuso, violando al contempo l'obbligo di fedeltà nei confronto del soggetto che tali privilegi ha concesso (cfr. Sez. 2, Sentenza n. 17318 del 05/04/2019, Dumitrache, Rv. 276623, relativa all'analoga aggravante prevista dall'art. 640-ter c.p.). Ciò detto, deve escludersi che il Marzorati avesse, all'epoca dei fatti, la qualifica di "operatore del sistema informatico" della [OSCURATO:PERSONA] [OSCURATO:SOCIETA] ricostruzione accolta in entrambe le sentenze di merito, infatti, risulta che l'imputato era legittimato ad entrare nel sistema informatico utilizzando un profilo con accesso limitato ai suoi contenuti, all'esecuzione di determinati programmi installati sulla macchina e all'uso di periferiche di memoria esterne, senza alcun effettivo potere di intervenire sui contenuti e sulla struttura del sistema medesimo.5. In conclusione la sentenza impugnata deve essere annullata senza rinvio limitatamente all'aggravante di cui all'articolo 615 ter comma 2 n. 1 c.p., che deve essere esclusa, e con rinvio ad altra sezione della Corte di appello di Milano per la conseguente rideterminazione del trattamento sanzionatorio. Nel resto il ricorso deve essere rigettato. Stante l'accoglimento parziale del ricorso non solo in relazione all'entità della pena si ritiene di dover disporre la compensazione integrale tra le parti delle spese del grado. P.Q.M. Annulla senza rinvio la sentenza impugnata, limitatamente all'aggravante di cui all'articolo 615 ter comma 2 n. 1 c.p. che esclude. Annulla la medesima sentenza con riguardo al trattamento sanzionatorio con rinvio sul punto ad altra sezione della Cor