Ubiquità e locus commissi delicti nei reati informatici commessi all’estero (Cass. pen. Sez. II n. 38244 del 25.11.2025)

Principi di diritto (Massima)
Ai fini della sussistenza della potestà punitiva e della giurisdizione italiana, l’art. 6, secondo comma, cod. pen. accoglie la teoria dell’ubiquità, considerando commesso nel territorio dello Stato il reato quando vi sia avvenuta, in tutto o in parte, l’azione o l’omissione che lo costituisce, ovvero quando ivi si sia verificato l’evento che ne è conseguenza. Ne deriva una nozione frammentata di commissione del reato, che non coincide con il solo luogo di consumazione. Per il delitto di accesso abusivo a un sistema informatico, l’azione rilevante comprende anche l’introduzione, per effetto automatizzato dell’agire sul computer remoto, nel sistema informatico protetto, che avviene nel luogo in cui il sistema si trova. Per la frode informatica, caratterizzata da una pluralità di eventi, è sufficiente che anche uno solo di essi — induzione in errore, atti di disposizione patrimoniale, danno o ingiusto profitto — si sia realizzato in Italia.

Il Fatto

Con sentenza del 17/12/2024 il Tribunale di Firenze, in composizione monocratica, all’esito dell’udienza di comparizione predibattimentale, dichiarava non doversi procedere nei confronti di un cittadino straniero in ordine ai reati di accesso abusivo a un sistema informatico e di frode informatica. Il giudice ravvisava il difetto della condizione di procedibilità di cui all’art. 10 cod. pen., ritenendo i reati commessi all’estero e mancante la presenza dell’imputato nel territorio dello Stato.

Avverso tale pronuncia ha proposto ricorso per cassazione il Procuratore generale presso la Corte d’appello di Firenze, deducendo la violazione degli artt. 6 e 9 cod. pen. e dell’art. 554-bis, comma 6, cod. proc. pen., nonché la contraddittorietà della motivazione. Il ricorrente sosteneva che i reati, quantomeno la frode informatica, fossero stati commessi in Italia, ove le persone offese erano state indotte in errore e avevano effettuato i bonifici.

La Motivazione della Corte

La Corte affronta in via preliminare la regolarità della notificazione all’imputato, assistito da difensore d’ufficio, eseguita mediante consegna al difensore ai sensi dell’art. 169 cod. proc. pen., dopo che all’interessato era stata inviata raccomandata tradotta in lingua ungherese presso l’istituto penitenziario ove è ristretto, con invito a dichiarare o eleggere domicilio nel territorio dello Stato, rimasto senza esito nel termine di trenta giorni.

Nel merito, il ricorso è fondato. Il Tribunale ha violato l’art. 6, secondo comma, cod. pen., avendo fatto erroneamente riferimento al solo luogo di consumazione dei reati. La Corte richiama le Sezioni Unite n. 17325 del 2015, secondo cui il luogo di consumazione dell’accesso abusivo coincide con quello in cui si trova l’utente che supera le misure di sicurezza, e le pronunce Sez. II n. 10354 del 2020 e Sez. I n. 36359 del 2016, secondo cui la frode informatica si consuma, come la truffa, nel momento e nel luogo in cui l’agente consegue l’ingiusto profitto con correlativo danno.

Tale impostazione trascura però che il secondo comma dell’art. 6 cod. pen. estende il locus commissi delicti ben oltre il luogo di consumazione, accogliendo la teoria dell’ubiquità e ampliando al massimo la giurisdizione italiana. La nozione frammentata di commissione attribuisce rilievo anche a semplici parti dell’azione e alla mera verificazione dell’evento, con valutazione dipendente dalla struttura di ciascuna fattispecie.

Quanto all’accesso abusivo, pur essendo l’unica condotta materiale l’agire sul computer remoto nel luogo in cui esso si trova, la dimensione anche virtuale della fattispecie — riflessa nella collocazione tra i delitti contro l’inviolabilità del domicilio — induce a ritenere che l’azione comprenda anche l’introduzione nel sistema protetto, che avviene dove il sistema si trova. Nel caso concreto il reato risulta commesso introducendosi abusivamente nel sistema informatico del provider, violando un account di posta elettronica: azione avvenuta in Italia.

Quanto alla frode informatica, essendo sufficiente che un solo evento si verifichi in Italia, la Corte rileva che nel caso di specie l’induzione in errore delle persone offese, gli atti di disposizione patrimoniale consistiti nei bonifici e il danno patrimoniale si sono tutti realizzati nel territorio nazionale. La conclusione è coerente, mutatis mutandis, con la sentenza Sez. II n. 14744 del 2017 in tema di truffa. La sentenza è pertanto annullata con rinvio, per nuovo giudizio, al medesimo Tribunale di Firenze in diversa composizione, ai sensi dell’art. 623, comma 1, lett. d), cod. proc. pen., trattandosi di ricorso del pubblico ministero avverso sentenza di proscioglimento inappellabile a norma dell’art. 593, comma 2, cod. proc. pen.