Cassazione penale, Sez. VI, sentenza n. 37343/2026, depositata il 26 ottobre 2026
Il possesso di credenziali legittime non esclude, di per sé, la configurabilità del delitto di accesso abusivo a un sistema informatico previsto dall’art. 615-ter c.p. Assume rilievo, infatti, non soltanto il rispetto dei limiti formali dell’autorizzazione, ma anche la finalità per la quale il potere di accesso viene concretamente esercitato.
Il principio è stato richiamato dalla Corte di cassazione nella sentenza n. 37343/2026, relativa alla condotta di una dipendente di una ricevitoria del Lotto che aveva utilizzato il terminale telematico per effettuare numerose giocate personali senza versarne il corrispettivo. La Corte ha confermato la responsabilità per accesso abusivo e peculato, valorizzando la destinazione del sistema alla raccolta del gioco pubblico e alla corretta contabilizzazione delle relative somme.
La decisione si colloca nel solco tracciato dalle Sezioni Unite con la sentenza n. 41210/2017, Savarese, secondo cui il pubblico ufficiale o l’incaricato di pubblico servizio può integrare il delitto di accesso abusivo anche quando utilizzi credenziali regolarmente attribuite, qualora l’accesso sia effettuato per finalità ontologicamente estranee a quelle istituzionali per le quali il potere è conferito.
La questione centrale riguarda, pertanto, il cosiddetto sviamento di potere. Non ogni violazione delle disposizioni organizzative, né qualsiasi utilizzo improprio delle informazioni acquisite, determina automaticamente la responsabilità ai sensi dell’art. 615-ter c.p. Occorre verificare se l’accesso o il mantenimento nel sistema costituiscano un esercizio del potere incompatibile con la funzione che ne giustifica l’attribuzione.
Nel caso esaminato, la Cassazione ha individuato tale incompatibilità nell’impiego del terminale per registrare sistematicamente giocate prive del corrispondente incasso, ritenendo la condotta estranea alla funzione pubblicistica di raccolta e contabilizzazione del gioco.
La pronuncia presenta un significativo interesse difensivo. La distinzione tra accesso abusivo e illecito commesso mediante un accesso legittimo impone un accertamento concreto dei limiti dell’autorizzazione, delle mansioni dell’operatore e della natura delle operazioni effettuate. Il mero perseguimento di un vantaggio personale non può sostituire la verifica degli elementi costitutivi della fattispecie.
Il punto decisivo è dunque stabilire quando l’utilizzo distorto di un sistema informatico integri uno sviamento della funzione autorizzata e quando, invece, l’accesso rimanga legittimo, pur accompagnandosi a una distinta condotta illecita.
