tra sicurezza dell’impresa e diritti di proprietà intellettuale Microsoft Segrate, 5 maggio 2009 Servizi Online: tra sicurezza dell’impresa e diritti di proprietà intellettuale I reati informatici di maggior incidenza nella prassi giurisprudenziale e quelli oggetto delle più recenti riforme PROF. AVV. LORENZO PICOTTI Ordinario di Diritto Penale e Diritto Penale dell’Informatica Facoltà di Giurisprudenza Università degli Studi di Verona lorenzo.picotti@univr.it www.studiopicotti.com prof. Lorenzo Picotti ©

SERVIZI ONLINE E RISCHI DELLA “RETE GLOBALE” Fenomeni criminosi nuovi Reati informatici: nuovi fatti (accesso abusivo) nuove modalità (frode informatica) nuovi oggetti (danneggiamenti, falsità, violazioni di esclusiva su prodotti informatici ed opere digitali) Cyberspace come ambiente di qualsiasi crimine: Reati cibernetici (Convenzione Cybercrime 2001): nuovi fatti (attacchi di DOS, phishing, identity theft, spamming, ecc.) tradizionali (diffamazione, diffusione e creazione di materiale pedopornografico, riciclaggio, violazioni diritti d’autore, ecc.) prove elettroniche prof. Lorenzo Picotti ©

SVILUPPO STORICO DELLA NORMATIVA ITALIANA IN MATERIA DI CRIMINALITÀ INFORMATICA 1) Attentati e sabotaggi ad impianti e centri elaborazione dati ART. 420 c.p.: “attentato ad impianti di pubblica utilità” (introdotto L. 191/1978, modificato L. 547/1993; abrogati commi 2-3 L. 48/2008) 2) Comportamenti illeciti in ambito di discipline extrapenali L. 121/1980 sul CED Ministero dell’interno; L. 18/1983 registratori di cassa 3) Abusi di carte magnetiche di pagamento (Bancomat) ART. 12 L. 197/1991 4) Tutela software, banche dati, opere digitali D.lgs. 518/1992 e 169/1999; L. 248/2000; D.lgs. 68 e 70/2003; L. 248/2005 5) Riforme del codice penale in materia di reati informatici L. 547/1993 e L. 48/2008 6) Tutela della privacy e dei dati personali L. 675/96 e D.lgs. 196/2001 7) Lotta alla pedopornografia L. 269/98 e L. 38/2006 prof. Lorenzo Picotti ©

E’ punito con la reclusione da 6 mesi a 3 anni I REATI CONTRO LA RISERVATEZZA INFORMATICA. L’ACCESSO ABUSIVO AD UN SISTEMA INFORMATICO ART. 615-ter c.p.: E’ punito con la reclusione da 6 mesi a 3 anni Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo prof. Lorenzo Picotti © prof. Lorenzo Picotti © 4

L’ACCESSO ABUSIVO AD UN SISTEMA INFORMATICO Corte Cass, sent. 4 dicembre 2006, n.6459 ART. 615-ter c.p.: Il reato di accesso abusivo ad un sistema informatico o telematico richiede che il sistema sia protetto da misure di sicurezza e che l'agente, per accedervi, abbia in qualche modo neutralizzato tali misure. Non rileva penalmente la condotta di chi, successivamente a detta neutralizzazione commessa da altri al di fuori anche di ipotesi di concorso, ne approfitti avvalendosi soltanto degli strumenti e dei dati di cui sia legittimamente in possesso prof. Lorenzo Picotti © prof. Lorenzo Picotti © 5

L’ACCESSO ABUSIVO AD UN SISTEMA INFORMATICO Trib. Nola, sent. 11 dicembre /12/2007 ART. 615-ter c.p.: il dipendente dell’Agenzia delle Entrate che sfrutta la sua possibilità di accesso al sistema per effettuarvi operazioni diverse rispetto a quelle per le quali è autorizzato tiene un comportamento che equivale al mantenersi nel sistema contro la volontà tacita di chi ha il diritto di escluderlo e che, pertanto, rientra nell’ipotesi prevista e punita dalla seconda parte del comma 1 dell’art. 615/ter c.p prof. Lorenzo Picotti © prof. Lorenzo Picotti © 6

E’ punito con la reclusione sino ad 1 anno I REATI CONTRO LA RISERVATEZZA INFORMATICA. DETENZIONE ABUSIVA DI CODICI DI ACCESSO ART. 615-quater c.p.: E’ punito con la reclusione sino ad 1 anno e con la multa sino a € 5.164 Chiunque, al fine di procurare a sé o ad altri un profitto o di arrecare ad altri un danno, abusivamente si procura, riproduce diffonde, comunica o consegna codici, parole chiave o altri mezzi idonei all’accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo prof. Lorenzo Picotti © 7

E’ punito con la reclusione sino ad 2 anni LE MODIFICHE INTRODOTTE DALLA L. 48/2008 Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico ART. 615-quinquies c.p.: E’ punito con la reclusione sino ad 2 anni e con la multa sino a € 10.329 Chiunque, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati , o i programmi in esso contenuti o ad esso pertinenti ovvero di favorire l’interruzione, totale o parziale, o l’alterazione del suo funzionamento, si procura, produce, riproduce, importa, diffonde comunica, consegna o, comunque, mette a disposizione di altri apparecchiature, dispositivi o programmi informatici prof. Lorenzo Picotti © 8

DIFFUSIONE DI PROGRAMMI WORM. IL CASO CD. “WIERIKA” Trib. Bologna, sent. 22 luglio 2005: “Wierika è un worm i cui effetti derivano dalla interazione di due script differenti. Il primo è allegato come attachment ad una e-mail: una volta eseguito, il programma abbassa al livello minimo le impostazioni di protezione del browser Internet Explorer ed inserisce come home page del predetto browser una determinata pagina web. Il secondo script si attiva quando l’utente, collegandosi ad Internet, viene automaticamente indirizzato dal browser sulla nuova home page: il basso livello di protezione impostato dalla prima parte del codice, permette l’automatica esecuzione dello script contenuto nel documento html. L’effetto di questo secondo script è quello di creare nella prima partizione del primo disco rigido del computer un file contenente la prima parte del codice, e di produrre un effetto di mass-mailing, inviando agli indirizzi contenuti nella rubrica di Outlook una e-mail contenente l’attachment sopra descritto, in modo tale che il programma Vierika si autoreplichi” prof. Lorenzo Picotti © 9

Trib. Bologna, sent. 22 luglio 2005: IL CASO CD. “WIERIKA” ED IL REATO DI CUI ALL’ART. 615-QUINQUIES C.P. (art. 4 L. 547/1993) Trib. Bologna, sent. 22 luglio 2005: “Il programma Wierika ha scopo ed effetto quello di alterare una parte del funzionamento dei sistemi informatici aggrediti. Gli effetti complessivi creati dai due script di cui è composta Vierika,  integrano una modificazione dell’ordinario modo di funzionare dei programmi Internet Explorer ed Outlook, dal momento che l’invio automatico di e-mail e l’autonoma modifica dei parametri di protezione del browser, senza alcuna conoscenza da parte dell’utente ed in assenza della digitazione degli appositi comandi da parte sua, costituiscono comportamento anormale del sistema” prof. Lorenzo Picotti © 10

LE FALSITÀ INFORMATICHE E LA TUTELA DELLA FEDE PUBBLICA DOCUMENTI INFORMATICI Art. 491-bis c.p. Se alcuna delle falsità previste dal presente capo [capo III,Titolo VII] riguarda un documento informatico pubblico o privato, avente efficacia probatoria si applicano le disposizioni del capo stesso concernenti rispettivamente gli atti pubblici e le scritture private. [A tal fine per documento informatico si intende qualunque supporto informatico contenente dati o informazioni aventi efficacia probatoria o programmi specificamente destinati ad elaborarli] prof. Lorenzo Picotti © 11

LA PROTEZIONE PENALE DELLA PRIVACY. GLI ILLECITI PREVISTI DAL D. LGS ARTT. 167- 171 ART. 167: Trattamento illecito di dati ART. 168: Falsità nelle dichiarazioni e notificazioni al Garante ART. 169: Omessa adozione di misure di sicurezza ART. 170: Inosservanza di provvedimenti del Garante ART. 171: Altre fattispecie (divieto di controllo a distanza) ART. 172: Pene accessorie prof. Lorenzo Picotti © prof. Lorenzo Picotti © 12

LEGGE 22 APRILE 1941, N. 633 E SUCCESSIVE MODIFICAZIONI In Italia Fattispecie penali meramente sanzionatorie di precetti extrapenali Ipertrofia nella previsione di condotte tipiche Diversi ambiti di applicazione sulla base del tipo di opera protetta LEGGE 22 APRILE 1941, N. 633 E SUCCESSIVE MODIFICAZIONI prof. Lorenzo Picotti ©

TUTELA DEL DIRITTO D’AUTORE E REATI INFORMATICI Artt. 171, lett. A) bis e 171 ter, co. 2, lett. A) bis l.d.a. “messa a disposizione/comunicazione al pubblico attraverso l’immissione in un sistema di reti telematiche di un’opera dell’ingegno protetta” Caso “sky-calcio libero” Corte di Cassazione, III sez. penale, 4 luglio – 10 ottobre 2006, n. 33945 (sequestro preventivo di due portali web, utilizzati per trasmettere attraverso Internet, tramite sistemi peer to peer, partite del campionato di calcio italiano su cui Sky deteneva i diritti di esclusiva) Decisione della Corte: i mezzi utili per consentire la visione delle partite devono necessariamente essere stati messi a disposizione degli utenti “in epoca antecedente all´immissione della trasmissione” per via telematica per cui, “in base alle generali norme sul concorso nel reato”, gli indagati hanno posto in essere una condotta consapevole, consistente in un contributo causale o quanto meno agevolatore apprezzabile, a sostegno “dell´azione di terzi” Sarò molto rapido con riferimento ai punti 1 e 2, ai quali è però necessario dedicare due minuti per rendere l’idea della dimensione del fenomeno e della sua rapida espansione. prof. Lorenzo Picotti ©

TUTELA DEL DIRITTO D’AUTORE E REATI INFORMATICI Caso Peppermint Tribunale di Roma, in un procedimento cautelare in fase di reclamo ex art. 669 terdecies c.p.c. con oggetto l’istanza cautelare ex art. 156 bis l.d.a. e l’ostensione dei dati necessari all’identificazione dei fruitori di brani musicali in violazione dei diritti d’autore, si è trovato ad affrontare la questione relativa all’uso di software che rileva l’offerta dei file. In particolare, non ha ritenuto condivisibile l’imposizione interpretativa sul significato da attribuire alla locuzione “controparte” nel testo dell’art. 156 bis l.d.a., ritenendo applicabile l’obbligo anche a soggetti diversi (rectius: i service prodiver) dai diretti responsabili delle violazioni, riconoscendo alla norma una portata ben più ampia, dal punto di vista soggettivo, estendendo a tali soggetti diversi l’obbligo di comunicare i dati in loro possesso al soggetto leso nel diritto. [1] Tribunale di Roma, Sezione IX civile, ordinanza 9 febbraio 2007. Sarò molto rapido con riferimento ai punti 1 e 2, ai quali è però necessario dedicare due minuti per rendere l’idea della dimensione del fenomeno e della sua rapida espansione. prof. Lorenzo Picotti ©

TUTELA PENALE DEL DIRITTO D’AUTORE IN INTERNET Caso Peppermint [1] Tribunale di Roma, Sezione IX civile, ordinanza 9 febbraio 2007. Secondo il giudice di merito il bilanciamento degli interessi non sarebbe stato risolto dal legislatore comunitario in favore della tutela della privacy, in quanto lo stesso legislatore comunitario avrebbe autorizzato gli Stati membri ad adottare disposizioni finalizzate a limitare la portata degli obblighi e diritti per salvaguardare la protezione dei dati personali. Pertanto sarebbe ammissibile il “sacrificio della privacy laddove il trattamento dei dati sia necessario alla tutela di un diritto dinanzi al Giudice”. Sarò molto rapido con riferimento ai punti 1 e 2, ai quali è però necessario dedicare due minuti per rendere l’idea della dimensione del fenomeno e della sua rapida espansione. prof. Lorenzo Picotti ©

Sicurezza Online TENDENZE Non più solo interesse “privato” disponibile (ieri) Ma oggi: onere per avere tutela giuridico-penale del sistema (se “protetto da misure di sicurezza”: art. 615-ter c.p.) Per singoli settori: obbligo penalmente sanzionato (art. 33, 34 segg. e 169 Codice privacy: “misure minime”) Domani: interesse “diffuso” della collettività globale (art. 2 Convenzione Cybercrime 2001, art. 2 Decisione quadro UE 2005/ 222) prof. Lorenzo Picotti © 17

RESPONSABILITA’ PER DATI E TRATTAMENTI “ALTRUI” Posizioni “di garanzia” (art. 40, capoverso, c.p.): Obblighi di attivazione ed impedimento (oltre a responsabilità per concorso nel reato): - Titolari, Responsabili, Incaricati del trattamento di dati personali (artt. 28, 29 e 30 Codice privacy D.lgs. 196/2003) - Internet Service Providers - Commercio elettronico (art. 14-17 D.lgs. 70/2003) - Pedopornografia: segnalazioni autorità, programmi filtro (art. 19 L. 38/2006) - Identificazione utenti, conservazione dati (d.l. 155/2005) - Blogger rispetto ad ingiuria e diffamazione on-line (?) prof. Lorenzo Picotti ©

Prevenzione versus repressione Etica di impresa “Idoneità” di organizzazione e “cultura aziendale” orientate a legalità e sicurezza D.lgs. 231/2001; D.lgs. 70/2003; D.lgs. 81/2008 Codici deontologici per categorie art. 6, comma 3, D.lgs. 231/2001: modelli di organizzazione art. 12 D.lgs. 196/2003: difensori, investigatori, giornalisti, medici, genetisti, ricercatori, ecc. Misure di sicurezza “minime” Art. 33 e Allegato B) codice privacy D.lgs. 196/2003 Internet Service Providers Posizioni di garanzia ed obblighi di cooperazione prof. Lorenzo Picotti ©

GRAZIE PER L’ ATTENZIONE! PROF. AVV. LORENZO PICOTTI Microsoft Segrate, 5 maggio 2009 GRAZIE PER L’ ATTENZIONE! PROF. AVV. LORENZO PICOTTI www.studiopicotti.com lorenzo.picotti@univr.it prof. Lorenzo Picotti ©