Il caso spiegato

Inchiesta dossieraggio e banche dati: l'intervento d'urgenza del Garante Privacy

7 min di lettura · Aggiornato a novembre 2026 · Supervisione editoriale: Avv. Federico Papa

Un'inchiesta giudiziaria di ampio respiro ha recentemente interessato le istituzioni, svelando una presunta rete di esfiltrazione di informazioni dalle banche dati strategiche nazionali. In risposta a tale scenario, il Garante per la protezione dei dati personali ha adottato un provvedimento d'urgenza per mettere in sicurezza i nodi critici del sistema informativo pubblico. Secondo quanto riportato dagli organi di stampa, la vicenda mette in luce non soltanto responsabilità individuali, ma anche fragilità sistemiche nel controllo degli accessi. Il presente intervento si distingue dalle precedenti sanzioni irrogate sulla filiera del telemarketing, in quanto si focalizza sulla tenuta delle infrastrutture digitali dello Stato e sulla prevenzione di accessi abusivi compiuti da soggetti pur formalmente autorizzati. Attraverso l'analisi del caso, si esaminerà come l'adozione di misure tecniche avanzate costituisca ormai un obbligo inderogabile per prevenire fenomeni di dossieraggio, illustrando la materia mediante il consueto caso gemello.

Inchiesta dossieraggio e banche dati: l'intervento d'urgenza del Garante Privacy

In sintesi

Il contributo analizza l'intervento del Garante Privacy nell'ambito di un'inchiesta su accessi abusivi a banche dati pubbliche. L'Autorità ha imposto l'adozione di alert e sistemi di autenticazione a più fattori per tutelare gli archivi informatici della Pubblica Amministrazione. Vengono disaminate le fattispecie penali in materia di accesso abusivo e gli obblighi di sicurezza sanciti dal GDPR, concentrandosi sulla protezione dei dati strategici dello Stato.

Il fatto
La vicenda, attualmente nella fase delle indagini preliminari, è emersa recentemente con l'esecuzione di misure cautelari coordinate dall'Autorità Giudiziaria competente. Secondo quanto riportato dai principali organi di stampa, al centro dell'inchiesta figurano i consulenti ed esponenti di una società di investigazione privata, sospettata di aver creato una vera e propria centrale di dossieraggio. Gli inquirenti ipotizzano l'esistenza di un'associazione per delinquere finalizzata all'accesso abusivo a sistemi informatici protetti appartenenti all'amministrazione finanziaria e agli uffici centrali dello Stato.\n\n1. Il gruppo avrebbe utilizzato un applicativo dedicato per aggregare i dati esfiltrati illecitamente. 2. Gli accessi sarebbero avvenuti con la complicità di soggetti interni ovvero sfruttando vulnerabilità tecniche. 3. Il Garante Privacy, esaminati gli atti, ha rilevato l'assenza di idonei sistemi di monitoraggio, imponendo con provvedimento d'urgenza l'adozione di misure correttive immediate, quali l'autenticazione a più fattori e l'attivazione di alert a fronte di accessi massivi.
Le norme in gioco
Il quadro normativo di riferimento si articola tra il Codice Penale e il GDPR.\n\n1. L'art. 615-ter c.p. punisce l'accesso abusivo a un sistema informatico o telematico, fattispecie che si configura anche qualora un soggetto abilitato acceda o permanga nel sistema per finalità estranee a quelle di servizio. 2. L'art. 326 c.p. sanziona la rivelazione e l'utilizzazione di segreti d'ufficio da parte di pubblici ufficiali o incaricati di pubblico servizio. 3. Sul piano amministrativo, l'art. 32 del GDPR impone al titolare del trattamento l'obbligo di adottare misure tecniche e organizzative adeguate al rischio. La violazione di tale precetto espone la Pubblica Amministrazione a sanzioni pecuniarie e a provvedimenti inibitori o prescrittivi dell'Autorità garante.
Cosa dice la giurisprudenza
La Corte di Cassazione a Sezioni Unite ha chiarito a più riprese che la natura abusiva dell'accesso non dipende unicamente dal superamento di una barriera informatica, ma anche dalle finalità perseguite dall'agente. In particolare, si è consolidato l'orientamento giurisprudenziale secondo cui integra il reato il pubblico dipendente che, pur disponendo di credenziali legittime, interroghi le banche dati per ragioni personali o per favorire terzi, violando i doveri funzionali di fedeltà e riservatezza. Si è altresì evidenziato che la responsabilità del titolare del trattamento (la Pubblica Amministrazione) sussiste laddove manchi un controllo systematico sui log di accesso, ossia sulle tracce digitali generate durante le consultazioni, quali strumenti indispensabili per rilevare tempestivamente condotte anomale.
Il caso gemello
Nel frattempo a Roccamesta…
Il Comune di Roccamesta gestisce un'anagrafe digitale avanzata. L'On. Ottavio Perdoni, sindaco in carica, teme l'ascesa politica di una giovane sfidante e incarica informalmente la società Ditta Sempronio & Figli, affidataria della manutenzione del software, di reperire informazioni riservate sulla situazione patrimoniale della rivale. Gaio Sventura, titolare dell'impresa e tecnico volenteroso ma incauto, accede al sistema con le proprie credenziali di amministratore. Non avendo mai configurato l'autenticazione a due fattori, Gaio lascia la sessione aperta su un computer condiviso. Basim Casba, dipendente addetto all'inserimento dati, viene indotto da Gaio a estrarre i report in orario notturno, convinto che si tratti di una procedura standard di backup. L'attività viene scoperta quando il magistrato Nunzio Gavelio, nell'ambito di un'indagine parallela, rileva accessi massivi al database comunale in orari anomali. L'Avv. Prudenzia Cavillo deve ora difendere Gaio dall'accusa di concorso in accesso abusivo e rivelazione di segreto, mentre il Garante avvia un'istruttoria nei confronti del Comune per grave carenza delle misure di sicurezza.
L'analisi passo per passo
1. La prima questione concerne la qualificazione giuridica dell'accesso: sebbene Gaio e Basim disponessero delle credenziali, l'ingresso nel sistema per finalità estranee all'attività di manutenzione integra il reato di accesso abusivo.
2. L'elemento soggettivo appare evidente in capo a Gaio, avendo egli agito su sollecitazione politica; per Basim occorrerà invece valutare la sussistenza dell'errore sul fatto o dell'adempimento di un ordine apparentemente legittimo.
3. La posizione del Sindaco Perdoni rileva sotto il profilo del concorso morale ed istigazione al reato, per aver determinato altri a compiere la condotta illecita.
4. Sul piano amministrativo, il Comune di Roccamesta risponde della mancata adozione di misure adeguate, quali la pseudonimizzazione o mascheramento dei dati e il monitoraggio dei volumi di scaricamento, in violazione del principio di accountability sancito dal GDPR.
I possibili esiti
1. Condanna per accesso abusivo: ove venisse accertata la finalità estranea al servizio, Gaio e il Sindaco rischierebbero pene detentive severe, aggravate dalla natura pubblica del sistema informatico violato.
2. Proscioglimento o archiviazione per Basim: qualora emergesse che il dipendente ha agito in buona fede, eseguendo un'istruzione tecnica senza consapevolezza dell'illiceità della condotta, la sua posizione potrebbe essere archiviata o condurre all'assoluzione per difetto dell'elemento psicologico.
3. Sanzione amministrativa: a prescindere dall'esito del procedimento penale, il Garante potrebbe irrogare al Comune una sanzione pecuniaria per la riscontrata vulnerabilità sistemica, ordinando l'immediato adeguamento delle misure e dei protocolli di sicurezza.
Dal caso gemello al caso reale
La vicenda ipotetica di Roccamesta riflette plasticamente il nucleo giuridico dell'inchiesta di riferimento: la facilità con cui credenziali di accesso legittime possono essere deviate verso scopi illeciti in assenza di controlli automatizzati. Nel caso reale, il Garante ha evidenziato come la protezione dei dati non possa fondarsi esclusivamente sul senso del dovere dei singoli, ma debba poggiare su architetture informatiche resilienti. Mentre gli accertamenti penali dovranno verificare il dolo dei singoli indagati, il provvedimento dell'Autorità stabilisce un nuovo standard operativo minimo per la Pubblica Amministrazione, elevando la sicurezza informatica a pilastro fondamentale della legalità istituzionale.
Avvertenza: il caso pratico è una ricostruzione didattica ipotetica e non corrisponde alla vicenda reale né ne anticipa l'esito; ogni riferimento a persone o enti realmente esistenti è puramente casuale; l'analisi si fonda esclusivamente sulle norme e sugli orientamenti richiamati e costituisce informazione giuridica generale, non consulenza legale.
Conosci i personaggi della rubricaGaio Sventura e gli altri abitanti di Roccamesta tornano in ogni caso pratico.Leggi le loro storie
Analisi redatta e verificata con edit.legal
Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.
Prova l'AI di edit.legal
Cosa insegna ai professionisti
1. La conformità al GDPR non costituisce un adempimento formale e statico, bensì richiede un monitoraggio proattivo dei log di sistema per intercettare tempestivamente anomalie comportamentali.
2. I legali che assistono enti pubblici e privati devono sollecitare l'adozione di protocolli di autenticazione a più fattori (MFA) quale presidio preventivo a tutela della responsabilità per colpa in vigilando.
3. In sede di difesa penale contro l'accusa di accesso abusivo, è fondamentale distinguere l'abilitazione formale al sistema dal perimetro delle mansioni e delle funzioni effettivamente attribuite.
4. La consulenza in materia di data protection deve garantire la rigida segregazione delle funzioni, evitando che un singolo operatore possa esfiltrare volumi massivi di dati senza innescare blocchi automatizzati.

Riferimenti: Articolo 615-ter Codice PenaleArticolo 326 Codice PenaleRegolamento UE 2016/679 (GDPR) Articolo 32Provvedimento d'urgenza del Garante Privacy recante misure di sicurezza per l'accesso alle banche dati nazionali

Casi correlati

Stessa vicendaTelemarketing e responsabilità del titolare: il caso della sanzione record a Enel Energia 12/11/2026Il concorso del professionista nel reato di bancarotta: l'orientamento della Cassazione 09/11/2026Cassazione penale: limiti all'uso del Trojan

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 15 novembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica

Domande frequenti

Cosa rischia un dipendente pubblico che consulta dati per motivi personali?

Rischia un'imputazione per il reato di accesso abusivo a sistema informatico (art. 615-ter c.p.), che prevede pene aggravate per i pubblici ufficiali o gli incaricati di pubblico servizio, oltre a sanzioni disciplinari che possono condurre al licenziamento.

Le Pubbliche Amministrazioni possono essere multate dal Garante per queste violazioni?

Sì, il Garante può irrogare sanzioni amministrative pecuniarie rilevanti e imporre prescrizioni vincolanti laddove ritenga le misure di sicurezza adottate inadeguate a proteggere i dati personali.

Come si può dimostrare che un accesso è stato abusivo?

La prova si fonda essencialmente sull'analisi dei file di log, i quali registrano data, ora, identità dell'utente e oggetto della ricerca, incrociati con la mancanza di una specifica pratica amministrativa o motivazione di servizio.