Source: https://brunosaetta.it/reati-informatici/sostituzione-di-persona/print.html
Timestamp: 2020-01-25 19:57:08+00:00
Document Index: 104848107

Matched Legal Cases: ['art. 494', 'art. 640', 'art. 31', 'art. 15', 'sentenza ', 'sentenza ']

La normativa definisce il furto di identità tramite il decreto legislativo n. 64 dell'11 aprile 2011, in materia di prevenzione di frodi nel credito al consumo, il quale modifica il decreto legislativo 141 del 2010 che, in attuazione di una direttiva comunitaria, regola i contratti di credito ai consumatori.
b) l'impersonificazione parziale: occultamento parziale della propria identità mediante l'impiego, in forma combinata, di dati relativi alla propria persona e l'utilizzo indebito di dati relativi ad un altro soggetto, nell'ambito di quelli di cui alla lettera a)
Si tratta, ovviamente, di una definizione circoscritta nell’ambito applicativo del decreto, che tra l'altro riguarda l'identità in genere e non l'identità digitale, ma che finisce inevitabilmente per orientare l’applicazione delle fattispecie penali e delle controversie civili che riguardano l’appropriazione di dati identificativi di altre persone.
A tale proposito, pur rimarcando che la definizione di “furto di identità” non è corretta perché in realtà ci si appropria dei dati identificativi di una persona al fine di usare l’identità altrui, possiamo ricordare che in essa si cumulano numerose fattispecie abbastanza simili. L’ipotesi più rilevante è il reato di sostituzione di persona previsto dall'art. 494 del codice penale. In subordine si può configurare il reato di accesso abusivo ad un sistema informatico, od altre fattispecie minori.
In campo penale dal 2013 è stata introdotta un'aggravante per la frode informatica (art. 640 ter cod. pen.): “se il fatto è commesso con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti”, al fine di rendere più efficace il contrasto del preoccupante fenomeno del furto di identità digitale.
L'articolo 494 del codice penale punisce il reato di sostituzione di persona. Quindi la condotta di "chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato, ovvero una qualità a cui la legge attribuisce effetti giuridici".
È importante evidenziare, data la facilità con la quale in rete si può creare una personalità virtuale, che un elemento essenziale, dal quale non si può prescindere, per configurare il reato di sostituzione di persona è la presenza di un dolo specifico, appunto consistente nel perseguimento di una finalità di vantaggio, proprio od altrui (che può realizzarsi chiedendo amicizie online), o di un danno altrui (il danno può realizzarsi attribuendo al profilo falso caratteristiche negative). L’accertamento del dolo è opera del giudice, è deve essere quanto mai rigoroso. Nei casi menzionati consisteva nelle diverse telefonate di uomini che chiedevano alla vittima del reato incontri sessuali.
Tutela del correntista bancario
Per quanto riguarda la tutela del correntista bancario che ha subito un furto di identità, la giurisprudenza nel tempo si è evoluta. Inizialmente, per l'assenza di clausole contrattuali volte a tenere indenne il cliente, unita alla mancata dimostrazione delle modalità di sottrazione delle credenziali di accesso al servizio di home banking, risultava difficile ottenere una pronuncia di responsabilità a carico dell'istituto di credito.
Oggi, invece, sulla base della considerazione che il correntista è la parte debole del rapporto contrattuale, cioè un consumatore, mentre l'istituto di credito opera quale professionista e quindi deve attenersi ad un livello di diligenza elevata (diligenza del buon banchiere), la situazione è alquanto mutata.
Tra l'altro dal marzo 2010 è in vigore la Payment Service Directive (PSD) europea, recepita tramite il decreto legislativo 11 del 2010, che sposta l'onere della prova sulla banca.
In base alla direttiva, il correntista ha l'obbligo di comunicare tempestivamente alla banca il disconoscimento di operazioni, mentre la banca ha l'obbligo di impedire l'accesso a terzi rispetto all'utilizzatore degli strumenti di pagamento. Se il cliente dimostra di aver adottato misure di protezione adeguate (all'utente medio), sarà la banca a dover dimostrare che la colpa della truffa dipende dal cliente. In assenza di prova di colpa grave del cliente (es. se il cliente ha fornito le credenziali di accesso a terzi), la banca deve restituire le somme truffate.
La normativa in materia di privacy impone, infatti, la custodia ed il controllo dei dati personali oggetto di trattamento “anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta” (art. 31 Codice privacy), per cui, ai sensi dell'art. 15 del medesimo Codice, il titolare del trattamento (la banca) è obbligato a risarcire il danno conseguente al trattamento medesimo.
L'apprensione da parte di terzi delle credenziali di accesso al sistema di home banking, quindi, viene considerata una conseguenza di una insufficiente diligenza da parte della banca nella custodia dei dati (tribunale di Milano, sentenza del 4 dicembre 2014).
Di contro la diligenza del correntista (consumatore) viene valutata sulla base dell'utente medio (cliente comune). Nella sentenza del tribunale di Milano citata, si evidenzia che il correntista non fosse a conoscenza del fenomeno del phishing, e che le mail ricevute non presentassero palesi evidenze di contraffazione. Tali elementi sono ritenuti sufficienti ad evitare una responsabilità del correntista, cliente comune non dotato di specifica competenza in ambito informatico.
Si tratta di una palese inversione dell'onere della prova che avvantaggia il cliente/consumatore.
In conclusione, il cliente deve dimostrare soltanto di aver adottato misure minime di protezione delle credenziali e del proprio personal computer (es. antivirus), di non aver agito in maniera fraudolenta, e deve avvisare tempestivamente l'istituto di credito in caso di operazioni non autorizzate o non correttamente eseguite, disconoscendole.
La banca, invece, per andare esente da responsabilità deve dimostrare che le credenziali d'accesso al sistema di home banking sono entrate in possesso di un terzo per una condotta colposa del cliente, in assenza di ciò si presuppone che i suoi sistemi di sicurezza non sono adeguati.