I delitti informatici Marzo 2025

#PILLOLE231 E DINTORNI: Notizie ed approfondimenti sul D.lgs. 231/2001

A cura dell’Avv. Valerio Girani in collaborazione con Avv. Camilla Perani

I REATI INFORMATICI PREVISTI DAL DECRETO 231 e GLI ILLECITI PRIVACY

Tra i reati presupposto della responsabilità amministrativa degli enti, rientrano anche i “Delitti informatici e trattamento illecito di dati”.
In particolare, l’art. 24-bis del decreto 231, richiama una serie di reati informatici previsti dal codice penale, le cui condotte penalmente rilevanti posso essere così riportate: accesso abusivo a un sistema informatico o telematico; detenzione e diffusione abusiva di strumenti di accesso; installazione abusiva di apparecchiature volte a intercettare, impedire o interrompere comunicazioni; intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche; danneggiamento informatico; estorsione informatica; falsità in documenti informatici; frode informatica; violazione delle norme in materia di sicurezza nazionale cibernetica.
Il Decreto 231 non prevede, invece, gli illeciti penali privacy, sul trattamento illecito di dati, comunicazione e diffusione illecita, acquisizione fraudolenta di dati, falsità nelle dichiarazioni ed inosservanza di provvedimenti del Garante.
Al fine di ‘prevenire’ i rischi connessi al trattamento dei dati personali e alla sicurezza informatica, ogni realtà aziendale è chiamata a predisporre Modelli organizzativi privacy adeguati, che siano correttamente implementati, presidiati e integrati con altri modelli organizzativi, tra cui il Modello 231, tenendo conto dei seguenti aspetti:
1. Documentazione (tra cui Regolamento generale privacy e Policy gestione accessi, data breach e sicurezza informatica; Registro del trattamento dei dati personali; Informative privacy e consensi al trattamento dei dati personali; DPIA);
2. Ruoli e funzioni (come la nomina del DPO, ove previsto; individuazione del Titolare del trattamento e del Responsabile del trattamento; Responsabile IT);
3. Misure tecniche, operative e di sicurezza (tra cui videosorveglianza; antivirus e sistema di protezione dei dati; back-up periodici e autenticazioni, anche a più fattori);
4. Attività di verifica e controllo e di coordinamento dei soggetti responsabili (tramite audit annuale per conformità al GDPR; aggiornamento periodico della documentazione in tema di privacy; test di sicurezza es. penetration test);
5. Formazione e informazione ai destinatari;
6. Flussi informativi specifici verso l’OdV.
Lo schema riportato può rappresentare un utile strumento di lavoro nell’ottica di un risk assesment per un approccio integrato e conforme alle normative vigenti.

IN ARRIVO NUOVI REATI INFORMATICI SUL ‘DOSSIERAGGIO’

Dopo la riforma in tema di cyber sicurezza, avvenuta grazie alla Legge n. 90 del 28.6.2024, che aveva irrigidito le sanzioni in tema di criminalità informatica e aveva introdotto il nuovo reato di estorsione informatica anche nel decreto 231 (sul punto, v.si nota informativa #pillole231 n. 5 di giugno 2024), si prevedono ulteriori novità.
Di recente, è stata, infatti, affidata alla Commissione Giustizia la proposta di legge AC2134, riguardante modifiche al codice penale, al codice di procedura penale e al Decreto 231, in materia di delitti informatici e trattamento illecito di dati.
Lo scopo della proposta di legge è quello di introdurre nuovi reati per contrastare il fenomeno del c.d. “dossieraggio”, cioè lo scambio illecito di informazioni sensibili attraverso la violazione di sistemi informatici protetti. Si prevede quindi l’inserimento, nel codice penale, del reato di “diffusione non autorizzata di dati o informazioni provenienti da sistemi informatici protetti” (nuovo art. 615-quater.1) e del reato di “acquisto o detenzione di dati o informazioni provenienti da sistemi informatici protetti” (nuovo art. 615-quater.2).
L’art. 3 della proposta di legge prevede poi che il primo di tali reati venga inserito anche nell’art. 24-bis del decreto 231, sui delitti informatici.
Seguiranno aggiornamenti sul punto.