Blog : reati informatici

RESPONSABILITA’ AMMINISTRATIVA DEGLI ENTI E REATI INFORMATICI: TUTELARE L’AZIENDA RISPETTANDO LA NORMATIVA PRIVACY

RESPONSABILITA’ AMMINISTRATIVA DEGLI ENTI E REATI INFORMATICI: TUTELARE L’AZIENDA RISPETTANDO LA NORMATIVA PRIVACY

A decorrere dalla ratifica della Convenzione del Consiglio d’Europa sulla criminalità informatica, avvenuta con la promulgazione della Legge 18 marzo 2008, n. 48, l’impatto dei crimini informatici compiuti all’interno delle aziende, stigmatizzati nella disciplina che fa capo alla Legge 23 dicembre 1993 n. 547, non produce più solo effetti con riguardo ai profili di responsabilità penale personale dell’autore del “crimine”, ma determina un’altrettanta severa forma di responsabilità amministrativa in capo alle aziende, regolata da una norma introdotta nell’ordinamento giuridico dal 2001 e che va sotto il nome di “Decreto 231”.

Si tratta di un terzo genere di responsabilità, detta anche “para-penale”, la quale prevede che gli enti/società possano essere “imputati” in un processo penale; si tratta, in definitiva, di una responsabilità «diretta», la quale deriva da un fatto proprio dell’ente ed è autonoma rispetto a quella dell’autore materiale del delitto.

In breve, il D.lgs. 231/2001 prevede che l’ente risponda, in aggiunta alla persona fisica che ha commesso il reato, se:

  • è stato commesso uno dei reati presupposto, elencati agli articoli che vanno dal 24 al 26;

  • il reato è stato commesso nell’interesse o a vantaggio dell’ente1 da soggetti qualificati (posizione apicale o sottoposti all’altrui direzione2);

  • l’ente non ha predisposto un modello organizzativo effettivo, valido ed efficace per la prevenzione dei reati

Tra gli enti destinatari della normativa, oltre quelli dotati di personalità giuridica in forma societaria e pluripersonale, si aggiungono, secondo gli orientamenti giurisprudenziali più recenti, anche le imprese individuali3 nonché le associazioni anche prive di personalità giuridica.

L’autorità competente ad esercitare l’azione penale nei confronti dell’ente è il Pubblico Ministero, il quale, ai sensi dell’art. 59 comma 1 del D.lgs. 231/01, effettua la contestazione dell’illecito in uno degli atti indicati dall’art. 405 del Codice di Procedura Penale4.

Le sanzioni5 previste (pecuniarie, interdittive, la confisca e pubblicazione della sentenza) sono applicate dallo stesso giudice competente per il reato presupposto, il quale le irroga mediante decreto o sentenza di condanna.

Le ripercussioni per le società, qualora dovessero essere chiamate a rispondere ai sensi del citato decreto 231, sono evidentemente di grande rilevanza, rischiando di compromettere l’esistenza stessa dall’ente.

Ed è per questo che il Legislatore ha voluto, altresì, prevedere delle esimenti che si applicano qualora:

  1. La società abbia adottato, preventivamente rispetto alla commissione dell’illecito, modelli organizzativo-comportamentali e di gestione diretti ed astrattamente idonei a prevenire la commissione di detti reati;

  2. il reato sia stato commesso dall’autore materiale nel suo esclusivo interesse o di terzi (plausibile specie se ad agire sia stato un soggetto sottoposto alla direzione o alla vigilanza di soggetti in posizione apicale).

Proprio come riportato all’inizio della presente dissertazione, la Legge n. 48/2008 ha ampliato l’area dei reati presupposto in presenza dei quali scatta la responsabilità degli enti: all’art. 24-bis6, figurano alcuni dei comportamenti che rappresentano minacce alla sicurezza informatica e che, nel nostro ordinamento, sono qualificati come condotte penalmente rilevanti.

La sicurezza informatica si interfaccia con la tutela dei dati personali al punto che, lo stesso Codice Privacy (D.lgs. n.196/03), in tema di tutela dei dati personali, stabilisce obblighi specifici e generali che si sostanziano nella necessità, da parte del titolare del trattamento dei dati, di implementare una serie di misure minime di sicurezza identificate direttamente dalla normativa, oltreché misure idonee e preventive da identificare in base ad un’accurata analisi dei rischi.

Le misure minime di sicurezza, di cui all’Allegato B al Codice Privacy, stabiliscono il livello minimo di protezione dei dati e la loro adozione è conditio sine qua non per lo svolgimento delle attività di trattamento dei dati7.

All’interno dell’azienda, al giorno d’oggi, i rischi correlati al crimine informatico sono di grande rilevanza; si pensi che la maggior parte dei processi aziendali sono informatizzati e per di più esternalizzati; l’assistenza tecnica od i servizi di cloud computing ne sono un chiaro esempio.

Difatti, il d.lgs. 231 prevede che tra l’autore materiale del reato e l’ente non debba intercorrere necessariamente un rapporto di lavoro subordinato, rilevando la subordinazione alla direzione o vigilanza di uno dei soggetti in posizione apicale, la quale è rinvenibile anche nei rapporti con i collaboratori esterni/consulenti.

Questi ultimi devono essere nominati responsabili del trattamento, come nel caso dell’amministratore di sistema in outsourcing, del fornitore di servizi cloud o del manutentore del sito web aziendale e come tali devono attenersi, secondo quanto prescritto dallo stesso Codice Privacy all’art. 29, alle istruzioni loro fornite dal titolare. È rinvenibile in tali rapporti quel vincolo di subordinazione alla vigilanza e direzione dei soggetti apicali, richiesto dall’art. 5 del D.lgs. 231, per l’insorgere della responsabilità amministrativa dell’ente.

In particolare, le aziende devono valutare ex ante l’affidabilità di tali consulenti/fornitori nonché prevedere, nei contratti conclusi con gli stessi, un’apposita clausola che regoli le conseguenze della violazioni alle norme del D.lgs. 231/01.

La prevenzione dei reati informatici, al fine di evitare di incorrere nella citata responsabilità, passa attraverso la predisposizione di misure di sicurezza fisica, logica ed organizzativa. La sensibilizzazione della dirigenza e dei dipendenti, la loro formazione, le azioni di monitoraggio ed audit sono solo alcuni dei punti chiave per assicurare l’azienda dalle gravi ripercussioni previste dal D.lgs. 231/01.

Per difendersi l’azienda ha vari strumenti che riducono il rischio di commissione di reati ed illeciti, i più efficaci dei quali sono l’adozione di un valido ed efficace modello di organizzazione e gestione e di una privacy policy.

Il rispetto della normativa privacy, prevedendo l’applicazione di misure minime di sicurezza, consente appunto di prevenire la commissione dei reati presupposti previsti dal D.lgs. 231/01; le policy ed i modelli organizzativi sono efficaci ed assumono valore esimente, solamente se concretamente attuati e se portati a conoscenza di dipendenti e stakeholder.

Tutto quanto sopra esposto si può rinvenire esaminando una recentissima sentenza della Suprema Corte di Cassazione n. 22313 del 03 novembre 2016 che ha cassato, con rinvio, la sentenza della Corte d’Appello territoriale,

Il caso è stato il seguente: alcuni ispettori, durante una verifica in banca, per accertare il rispetto delle disposizioni interne in materia di uso e sicurezza del materiale informatico assegnato ai dipendenti, rilevavano files potenzialmente dannosi nel pc aziendale in uso ad un dipendente. Pertanto, i dirigenti della società provvedevano ad emettere un provvedimento disciplinare nel quale reclamavano come la condotta del dipendente avesse “esposto la banca ai rischi conseguenti l’acquisizione del proprio sistema informativo di file che potrebbero comportare un coinvolgimento e sanzioni ai sensi del Decreto Legislativo n. 231 del 2001″.

Il caso è di particolare interesse, oltre che per l’attualità e per la forte connessione con i profili di responsabilità amministrativa dell’ente rispetto alla condotta penalmente rilevante del dipendente, soprattutto perché, anche nell’adozione di provvedimenti disciplinari di contestazione di illeciti, l’organo di vertice ha dimostrato consapevolezza di un eventuale coinvolgimento dell’azienda, con conseguenti severe sanzioni a carico della stessa.

In altri termini, se finora si è assistito ad un’inspiegabile ritrosia degli organi di vertice delle aziende (e, con essi, dei dipendenti, dei collaboratori) nel dotarsi di modelli organizzativi identificati nel decreto 231, l’attuale scenario – anche grazie alla laboriosa opera di diffusione di tematiche legate alla prevenzione degli illeciti penali in comparti produttivi – fa ben sperare in un costante e consistente sviluppo della Compliance normativa nei particolari e sensibili ambiti che fanno capo, in particolar modo, ai reati informatici e alla tutela della salute dei lavoratori ritenendo, in tal guisa, “presidiate” le principali aree di responsabilità nei confronti di asset fondamentali di un’azienda.

1 L’evento “vantaggio” fa riferimento alla concreta acquisizione di un’utilità per l’Ente, l’”interesse”, invece, implica soltanto la finalizzazione della condotta illecita, integrante il reato presupposto, verso quella utilità, senza che sia necessario il suo effettivo conseguimento.

2 La nozione di soggetto apicale di un ente viene definita dall’esercizio formale di funzioni di rappresentanza, amministrazione o direzione. Quanto ai dipendenti, non v’è ragione per escludere la responsabilità dell’ente dipendente da reati compiuti da tali soggetti, quante volte essi agiscano appunto per conto dell’ente, e cioè nell’ambito dei compiti ad essi devoluti. In altre parole, con riguardo al rapporto di dipendenza, quel che sembra contare è che l’ente risulti impegnato dal compimento, da parte del sottoposto, di un’attività destinata a riversarsi nella sua sfera giuridica.

3 Sentenza Corte di Cassazione penale sez. III n°15657 /2011 secondo la quale “Poiché è indubbio che la disciplina del D.Lgs. n. 231/2001 si applica alle s.r.l. c.d. ”unipersonali” e che l’organizzazione interna di molte imprese individuali è assai articolata e complessa, una lettura costituzionalmente orientata dell’art. 1, comma 2, del predetto decreto legislativo porta a includere fra gli enti responsabili di reati commessi a loro vantaggio e nel loro interesse anche le imprese individuali onde evitare disparità di trattamento altrimenti ingiustificate.”

4 Applicazione della pena su richiesta delle parti, giudizio direttissimo, giudizio immediato, procedimento per decreto ovvero richiesta di rinvio a giudizio.

5 La sanzione pecuniaria è determinata dal giudice attraverso un sistema basato su quote: l’importo di una quota va da un minimo di 258 € ad un massimo di 1.549 €. La sanzione pecuniaria viene applicata in un numero non inferiore a 100 quote né superiore a 1000 quote.

Sono sanzioni interdittive: l’interdizione dall’esercizio dell’attività;- la sospensione o la revoca di autorizzazioni, licenze, concessioni funzionali alla commissione dell’illecito; il divieto di contrattare con la Pubblica Amministrazione; l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e l’eventuale revoca di quelli già concessi;il divieto di pubblicizzare beni o servizi

6Falsità in un documento informatico pubblico o avente efficacia probatoria (art. 491-bis c.p.)

Accesso abusivo ad un sistema informatico o telematico (art. 615-ter c.p.)

Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici (art. 615-quater c.p.)

Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 615-quinquies c.p.)

Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617-quater c.p.)

Installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche (art. 617-quinquies c.p.)

Danneggiamento di informazioni, dati e programmi informatici (art. 635-bis c.p.)

Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità (art. 635-ter c.p.)

Danneggiamento di sistemi informatici o telematici (art. 635-quater c.p.)

Danneggiamento di sistemi informatici o telematici di pubblica utilità (art. 635-quinquies c.p.)

Frode informatica del certificatore di firma elettronica (art. 640-quinquies c.p.)

7 Se le misure adottate non sono idonee ad evitare il danno, il Titolare può essere coinvolto comunque sotto un profilo di responsabilità civile, anche se non ci sono gli estremi per la responsabilità penale prevista dalla legge. Le misure minime di sicurezza sono tipizzate dal legislatore mentre quelle idonee no, in quanto devono essere scelte dal buon Titolare sulla base della natura dei dati, delle caratteristiche del trattamento e dallo stato dell’arte e della tecnica. Le misure idonee, nel caso non siano soddisfatte, non comportano sanzioni né di carattere penale né amministrativo, ma sottopongono l’azienda al rischio di azione per il risarcimento del danno in caso di danni a terzi a causa della loro mancata applicazione.

GLI ELEVATI RISCHI INFORMATICI NELLA GESTIONE DEI DATI PERSONALI TRATTATI DALLE AZIENDE: METODOLOGIE DI PREVENZIONE

GLI ELEVATI RISCHI INFORMATICI NELLA GESTIONE DEI DATI PERSONALI TRATTATI DALLE AZIENDE: METODOLOGIE DI PREVENZIONE

445 miliardi di dollari l’anno, secondo le stime della World Bank, è il costo degli attacchi informatici, pesando in maniera maggiore sulle 10 maggiori economie mondiali. Di questi attacchi il 31% è dovuto a incidenti riguardanti la sicurezza dei dati (fonte: www.bakerlaw.com), ovvero casi di phishing, attacchi hacker e malware, con forte impatto, principalmente, nel settore delle industrie farmaceutiche. A fronte di questi allarmanti dati le previsioni per il futuro non sembrano certo essere rosee; il costo del crimine informatico continuerà ad aumentare in maniera proporzionale all’aumento della connettività di aziende e privati.

Gli studi stimano che l’economia di Internet ogni anno genera tra 2.000 e 3.000 miliardi di dollari, una quota dell’economia globale che è destinata a crescere rapidamente, quota che viene ridotta circa del 15 % – 20 % dai crimini informatici. Il cybercrime produce rendimenti elevati a basso rischio e, relativamente, a basso costo per gli hacker, le violazioni rappresentano un costo sistematico per le imprese.

Ed è così che la questione della tutela della privacy in internet ha travolto tutti, dalle pubbliche amministrazione alle aziende fino ai singoli privati. L’8 giugno u.s. il sito LeakedSource ha rivelato di essere in possesso di circa 32 milioni di account twitter – ovvero indirizzi mail, username e password, in vendita nel dark web. I dati personali hackerati sui vari social e siti web vengono poi rivenduti dai pirati informatici, in un vero e proprio mercato nero dove ogni account viene venduto anche per meno di 1 dollaro.

I furti di dati personali oltre a rappresentare una perdita economica, sempre più di frequente, producono un considerevole danno d’immagine sul mercato per l’azienda “vittima”, come ad esempio accaduto alla Sony, la quale dopo aver subito un attacco hacker ha visto crollare il proprio titolo in borsa e, conseguentemente, la propria credibilità.

Il vero “dramma” per le aziende colpite o attentate è la sempre maggiore presenza di soggetti radicati nella stessa organizzazione aziendale che portano avanti indisturbati la loro opera di sottrazione di dati anche per anni. Proprio a riguardo, il report “The State of Cybersecurity and Digital Trust 2016” (scaricabile cliccando qui) realizzato per conto di Accenture da HfS Research, ha evidenziato che il 69% dei security manager intervistati ha dovuto fare i conti in azienda con furti di dati da parte di insider.

Ma oltre il danno la beffa! È così che, nel caso in cui una società subisca un furto di dati, questa potrebbe vedersi addirittura “imputata”, a norma di quanto previsto dal D.lgs. 231/01: il decreto in questione prevede la responsabilità dell’ente per un reato informatico commesso a suo vantaggio o nel suo interesse da parte di amministratori, dirigenti e/o dipendenti, noncuranti minimamente dei presidi di sicurezza assolutamente necessari per la protezione dei dati (adozione di misure minime e misure idonee, sia fisiche e sia logiche).

Nel caso, molto frequente, in cui l’autore materiale non venga individuato dalle autorità inquirenti, e quindi non potendosi dimostrare che l’autore abbia agito a suo vantaggio esclusivo, è la società stessa a vedersi attribuita la responsabilità.

L’azienda va protetta prima di tutto dall’interno, partendo da una sensibilizzazione dei dipendenti, i quali sovente incorrono in reati senza esserne pienamente coscienti, come nel caso di utilizzo di software non originali o del download di file da siti pirata: necessario rendere i propri dipendenti consapevoli dei rischi e di tutto quello che può rappresentare una minaccia alla sicurezza e alla stessa esistenza della società Occorre poi stabilire gradi di responsabilità all’interno della società in ordine al trattamento dei dati, ed adottare e portare a conoscenza di tutti i dipendenti una policy privacy che sia calata nella realtà aziendale.

il problema principale è la mancata presa di coscienza della portata del rischio in cui incorre l’azienda, da parte soprattutto degli stessi vertici: investire risorse nella sicurezza, dotarsi di un valido ed efficace Modello di Organizzazione Gestione e Controllo e formare i dipendenti appaiono essere per le aziende i mezzi più adeguati per tutelarsi sia dagli attacchi interni e sia da eventuali imputazioni per responsabilità ex D.lgs. 231/01.

Per ulteriori approfondimenti visitate un articolo molto interessante pubblicato su “altalex” cliccando qui.