Accesso banche dati e anticorruzione

Banche dati nella PL

Principali

• CED interforze SDI (Sistema di Indagine);
• ANPR (anagrafe nazionale popolazione residente);
• PRA (pubblico registro automobilistico);
• MCTC (motorizzazione + patenti);
• Casellario giudiziale;
• ZTL/varchi;
• Anagrafe tributaria (limitato);
• Albo Gestori Ambientali.

Regimi

• GDPR: per finalità amministrative;
• LED (D.Lgs. 51/2018): per finalità di PG.

Principi anticorruzione

1. Accesso solo per ragioni di servizio

• Mai per curiosità personale;
• Mai per uso privato (es. controllare ex-coniuge);
• Mai per altri (parenti, amici, conoscenti);
• Mai a pagamento (es. info a investigatori privati).

2. Credenziali personali

• Username + password individuali;
• Non cedibili ad altri;
• Modifica periodica;
• Mai condividere (no post-it, no a colleghi).

3. Tracciamento (log)

• Sistema registra:
  • Chi accede (utente);
  • Quando (data e ora);
  • Cosa consulta (banca dati, query, risultati);
  • Da dove (postazione, IP).
• Audit trail completo;
• Conservazione lunga (anni).

4. Controlli periodici

• Audit sui log;
• Anomalie rilevate:
  • Accessi notturni o festivi sospetti;
  • Consultazioni di dati non collegate a procedimenti;
  • Volumi anomali;
• Indagini interne;
• Segnalazione RPCT + DPO.

5. Necessità e minimizzazione

• Solo dati pertinenti al caso;
• No estrazioni massive;
• No consultazioni eccedenti.

Reati: 615-ter vs 326 — distinzione fondamentale

Art. 615-ter c.p. — Accesso abusivo a sistema informatico

Condotta

"Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo."

Elementi

• Sistema informatico (banca dati);
• Protetto da misure di sicurezza (credenziali);
• Accesso abusivo:
  • Senza credenziali;
  • Con credenziali altrui;
  • CON credenziali proprie ma per finalità non previste (giurisprudenza pacifica): è abusivo se l'accesso eccede l'autorizzazione concessa.

Pena

• Reclusione fino 3 anni (caso base);
• Aggravata reclusione 1-5 anni se commesso da PU/incaricato pubblico servizio (art. 615-ter co. 2).

Art. 326 c.p. — Rivelazione di segreti d'ufficio

Condotta

"Il pubblico ufficiale o la persona incaricata di un pubblico servizio, che, violando i doveri inerenti alle funzioni o al servizio, o comunque abusando della sua qualità, rivela notizie d'ufficio, le quali debbano rimanere segrete, o ne agevola in qualsiasi modo la conoscenza."

Elementi

• PU o incaricato pubblico servizio;
• Violazione dei doveri;
• Rivelazione o agevolazione della conoscenza;
• Notizie d'ufficio segrete.

Pena

• Reclusione 6 mesi-3 anni (caso base);
• Reclusione 2-5 anni se per profitto o danno (co. 2);
• Reclusione fino 2 anni per utilizzazione (co. 3).

Differenza pratica

Possibilità di concorso

• Si applicano insieme in molti casi:
  • Accede abusivamente (615-ter);
  • Comunica a terzi le info (326);
• Più 167 D.Lgs. 196/2003 se per profitto o danno.

Art. 167 D.Lgs. 196/2003 — Trattamento illecito di dati

Condotta

• Trattamento di dati personali in violazione di artt. specifici Codice Privacy;
• Per profitto o per arrecare danno all'interessato;
• Salvo che il fatto costituisca più grave reato.

Pena

• Reclusione 6 mesi-3 anni (casi base);
• Reclusione 1-3 anni (casi gravi).

Conseguenze cumulative

Disciplinare

• Procedimento ex D.P.R. 3/57 + CCNL;
• Sanzioni:
  • Richiamo;
  • Censura;
  • Sospensione (1-10 gg fino 6 mesi);
  • Licenziamento (con o senza preavviso).

Civile

• Risarcimento all'interessato (art. 82 GDPR);
• Rivalsa del Comune sul dipendente;
• Garante: sanzione al Comune.

Penale

• 615-ter + 326 + 167 in concorso (eventualmente);
• Pene cumulate secondo regole codice;
• Confisca eventuale dei profitti.

Misure preventive (PIAO)

Tecniche

• Autenticazione forte (password complesse, eventualmente 2FA);
• VPN per accessi remoti;
• Cifratura delle connessioni;
• Aggiornamenti sistemi;
• Log completi.

Organizzative

• Designazione formale degli autorizzati;
• Istruzioni scritte per ogni banca dati;
• Formazione obbligatoria all'inserimento + aggiornamenti;
• Audit periodici dei log;
• Reportistica al RPCT.

Sanzioni interne

• Codice disciplinare specifico;
• Procedure chiare;
• Comunicazione ai dipendenti delle conseguenze.

Caso pratico

Caso: agente PL accede al CED interforze 30 volte in 1 mese senza riferimento a procedimenti aperti. Audit semestrale rileva l'anomalia.

Indagine

1. RPCT + DPO + Comandante;
2. Verifica log: nominativi consultati;
3. Confronto con fascicoli aperti dell'operatore;
4. Risultato: 25 consultazioni non collegate (parenti, conoscenti, ex-coniuge);
5. Audizione dell'operatore.

Procedimento

1. Disciplinare: sospensione 6 mesi + eventuale licenziamento;
2. CNR all'AG:
   • Art. 615-ter co. 2 (PU): rinvio a giudizio probabile;
   • Art. 326 c.p. se ha comunicato info;
   • Art. 167 Codice Privacy se per profitto;
3. Civile: risarcimento agli interessati spiati (su loro richiesta);
4. Garante: sanzione al Comune (per misure di sicurezza/audit insufficienti?).

Per il concorso

Domanda tipica

"Quali reati si applicano all'accesso abusivo a banche dati da parte della PL?"

Risposta:

• Art. 615-ter c.p. = accesso abusivo a sistema informatico;
  • Aggravato se commesso da PU: reclusione 1-5 anni;
  • Anche con credenziali proprie ma per finalità non autorizzate;
• Art. 326 c.p. = rivelazione/utilizzazione di segreti d'ufficio (fino 3 anni);
• Art. 167 D.Lgs. 196/2003 = trattamento illecito di dati personali (fino 3 anni);
• Possono concorrere (615-ter accede + 326 comunica);
• Misure anticorruzione: tracciamento log, audit, formazione, sanzioni interne, CNR all'AG;
• Triplice responsabilità: disciplinare, civile, penale.