La Convenzione ONU sul Cybercrime: guida pratica al nuovo trattato globale

A cura dello Studio Legale De Lalla

1. Perché un trattato globale: genesi e contesto politico.

Il 24 dicembre 2024 l’Assemblea Generale delle Nazioni Unite ha adottato per consenso, con la risoluzione 79/243, la prima Convenzione globale contro la criminalità informatica. È il primo trattato di giustizia penale multilaterale concluso in oltre vent’anni.

Il percorso che ha condotto a questo risultato è stato lungo e complesso. L’iniziativa fu assunta dalla Russia nel dicembre 2019, con una risoluzione all’Assemblea Generale volta a istituire un comitato intergovernativo per redigere una nuova convenzione. Molti Paesi occidentali manifestarono resistenze, temendo che un nuovo trattato potesse indebolire gli standard sui diritti umani già fissati dalla Convenzione di Budapest del 2001 o diventare uno strumento per legittimare forme di censura governativa sotto l’ombrello della lotta al crimine.

La risoluzione passò comunque, e fu istituito un Comitato ad hoc incaricato di elaborare il testo, successivamente disciplinato dalle risoluzioni 74/247 e 75/282. I lavori, rallentati dalla pandemia, si sono sviluppati nell’arco di oltre tre anni: più di 400 ore di negoziati formali e innumerevoli consultazioni informali tra Vienna e New York, con la partecipazione di rappresentanti di 155 Stati membri, centinaia di organizzazioni non governative, istituzioni accademiche e attori del settore privato.

Centrale è stato il ruolo dell’UNODC — l’Ufficio delle Nazioni Unite contro la droga e il crimine — che ha fornito supporto giuridico, tecnico e organizzativo durante i negoziati e che oggi svolge le funzioni di Segretariato della futura Conference of the Parties (COSP), l’organo chiamato a supervisionare l’attuazione del trattato.

La domanda di fondo che ha animato il negoziato non era soltanto tecnica: chi decide le regole nel cyberspazio? E come si possono fermare i criminali informatici senza comprimere i diritti di chi naviga? La risposta è stata cercata in un equilibrio — delicato e non privo di compromessi — tra efficacia repressiva e tutela delle libertà fondamentali.

2. Struttura e contenuti della Convenzione.

La Convenzione si articola in 9 capitoli e 68 articoli. Dal preambolo emerge con chiarezza la doppia anima del trattato: non solo una cornice giuridica, ma anche una dichiarazione politica e valoriale. Vi si riconosce che le tecnologie dell’informazione hanno trasformato radicalmente la società, creando opportunità straordinarie ma anche nuove forme di criminalità sempre più sofisticate. Poiché i reati informatici non conoscono frontiere, nessuno Stato può affrontarli da solo: è necessaria una risposta coordinata a livello globale.

Criminalizzazione delle condotte.

Il secondo capitolo impone agli Stati parte di criminalizzare specifiche condotte, con un’impostazione che richiede l’intenzionalità dell’azione e la commissione «senza diritto»: una clausola che distingue le attività criminali da comportamenti leciti come la ricerca accademica o i test di sicurezza autorizzati.

Viene operata una distinzione fondamentale tra:

• reati cyber-dipendenti, che colpiscono la riservatezza, l’integrità e la disponibilità dei dati e dei sistemi informatici (attacchi denial of service, malware, ransomware, spyware);
• reati cyber-abilitati, ossia reati tradizionali commessi mediante strumenti informatici, che possono assumere una portata e una velocità enormemente maggiori rispetto alla dimensione offline.

Tra le fattispecie previste figurano l’accesso illegale ai sistemi, l’intercettazione non autorizzata, la manipolazione dei dati, le interferenze nel funzionamento dei sistemi informatici. Particolare attenzione è dedicata ai reati contro la persona commessi online: lo sfruttamento sessuale dei minori, l’adescamento online, la diffusione non consensuale di immagini intime. La Convenzione affronta anche il riciclaggio dei proventi derivanti da attività illecite condotte tramite tecnologie digitali, colpendo così le fondamenta economiche della criminalità informatica.

L’articolo 6 funge da clausola di salvaguardia: esclude esplicitamente qualsiasi interpretazione che possa giustificare violazioni delle libertà fondamentali, stabilendo che ogni misura adottata deve essere conforme agli standard internazionali sui diritti umani.

Giurisdizione.

Il terzo capitolo affronta una delle criticità più rilevanti del diritto penale nell’era digitale: determinare quale Stato abbia competenza a perseguire un reato commesso nel cyberspazio. La Convenzione fissa criteri obbligatori — anzitutto quello territoriale — e altri facoltativi, che consentono agli Stati di estendere la propria giurisdizione quando siano coinvolti propri cittadini o quando il reato sia diretto contro lo Stato medesimo.

Strumenti procedurali e prove digitali.

Il quarto capitolo introduce strumenti innovativi per la raccolta e l’analisi delle prove digitali, riconoscendone le caratteristiche peculiari: volatilità, dispersione transnazionale, gestione da parte di soggetti privati. Vengono previsti poteri specifici per l’acquisizione di dati archiviati e in tempo reale, ma subordinati a rigorose garanzie: principio di proporzionalità, supervisione giudiziaria e tutela dei diritti delle persone coinvolte.

Cooperazione internazionale.

Il quinto capitolo costituisce il cuore operativo della Convenzione. Introduce un sistema articolato di assistenza reciproca che comprende lo scambio di prove, l’estradizione, le indagini congiunte e la confisca dei proventi del reato. È prevista una rete di punti di contatto operativa ininterrottamente — un meccanismo già sperimentato con successo nella Convenzione di Budapest — per facilitare una cooperazione rapida ed efficace.

La cooperazione non è però incondizionata: sono previsti meccanismi di salvaguardia che consentono agli Stati di rifiutare l’assistenza quando sussistano rischi per la sovranità nazionale, per i diritti fondamentali, quando l’attività non costituisca reato in entrambi i Paesi (doppia incriminazione), o nei casi di richieste motivate da discriminazioni fondate su sesso, razza, lingua, religione, nazionalità, origine etnica o opinioni politiche.

Un elemento di differenziazione rispetto alla Convenzione di Budapest riguarda la soglia di applicazione: la Convenzione ONU limita la cooperazione internazionale ai reati considerati gravi, ossia quelli punibili con pene detentive pari o superiori a quattro anni.

Prevenzione e assistenza tecnica.

Il sesto capitolo promuove politiche integrate di prevenzione, formazione e collaborazione tra settore pubblico e privato, con particolare attenzione alla protezione dei soggetti vulnerabili. Il settimo capitolo disciplina l’assistenza tecnica e lo scambio di informazioni, con un focus sugli Stati in via di sviluppo, nella consapevolezza che — come sottolineato dal direttore della Sezione cybercrime dell’UNODC, Glen Prichard — «una catena è forte quanto il suo anello più debole».

Meccanismo di attuazione e disposizioni finali.

L’ottavo capitolo istituisce la Conferenza degli Stati parte come organo di supervisione, mentre il nono capitolo disciplina le procedure di adesione, recesso, modifica e risoluzione delle controversie.

3. La cerimonia di Hanoi e lo stato delle firme.

Il 25 e 26 ottobre 2025 si è svolta a Hanoi, in Vietnam, la cerimonia ufficiale di apertura alla firma della Convenzione. La scelta della capitale vietnamita non è stata casuale: Hanoi è oggi un simbolo delle trasformazioni economiche e tecnologiche che stanno ridefinendo il panorama globale.

All’evento hanno partecipato delegazioni da oltre cento Paesi, con gli interventi del Segretario Generale ONU António Guterres e della Direttrice esecutiva dell’UNODC Ghada Fathy Ismail Waly. Come ricordato da Guterres, «nel cyberspazio nessuno è al sicuro finché tutti non lo sono»: una singola vulnerabilità in qualsiasi luogo può esporre persone e istituzioni ovunque. La Direttrice Waly ha evidenziato come il cybercrime «come servizio» consenta oggi a qualsiasi criminale di accedere a strumenti avanzati, mentre l’intelligenza artificiale moltiplica la sofisticazione delle minacce.

Durante le due giornate della conferenza, 71 Stati hanno firmato il trattato. A questi si è aggiunta la firma della Commissione europea, autorizzata dal Consiglio UE. A maggio 2026, secondo i dati più aggiornati, circa 75 Paesi hanno già apposto la propria firma. La Convenzione resta aperta alla firma presso la sede ONU di New York fino al 31 dicembre 2026.

4. Due convenzioni a confronto: Budapest 2001 e Hanoi 2024.

Nel panorama internazionale esistono oggi due strumenti giuridici di riferimento nella lotta al cybercrime, che non vanno considerati alternativi ma complementari.

La Convenzione di Budapest, adottata nel 2001 sotto l’egida del Consiglio d’Europa, ha costituito per oltre vent’anni il principale strumento internazionale in materia. Ha individuato una serie di reati specifici — accesso abusivo a sistemi informatici, intercettazione illegale, interferenza con dati e sistemi, reati legati alla pornografia minorile e alla violazione del diritto d’autore — e ha stabilito strumenti procedurali comuni come la conservazione rapida dei dati e la raccolta di prove elettroniche. L’Italia vi ha dato esecuzione con la legge 18 marzo 2008, n. 48, che ha introdotto nel nostro ordinamento modifiche significative al codice penale e al codice di procedura penale.

La Convenzione ONU di Hanoi si colloca in continuità con quella di Budapest, ma nasce in un contesto profondamente mutato e con una legittimazione geopolitica più ampia: 155 Paesi hanno partecipato ai negoziati, non solo gli Stati occidentali.

Le principali differenze riguardano:

• l’ambito di applicazione: la Convenzione ONU introduce nuove fattispecie come l’adescamento online di minori e la diffusione non consensuale di immagini intime, ma non riprende i reati di violazione della proprietà intellettuale previsti dalla Convenzione di Budapest;
• la soglia di cooperazione: a Budapest la cooperazione si applica tendenzialmente a tutti i reati previsti; ad Hanoi è limitata ai reati punibili con pene pari o superiori a quattro anni;
• i diritti fondamentali: la Convenzione di Budapest contiene riferimenti più stringenti agli standard del Consiglio d’Europa; quella ONU è stata oggetto di un dibattito più controverso sul punto, con il timore che disposizioni vaghe potessero essere utilizzate per giustificare restrizioni alla libertà di espressione o alla privacy.

Sul piano tecnologico, la Convenzione ONU si confronta con innovazioni come l’intelligenza artificiale, le criptovalute e l’Internet delle cose, richiedendo un approccio più flessibile e adattivo.

5. Dalla firma all’entrata in vigore: lo stato dell’arte al luglio 2026.

La firma ha un valore prevalentemente politico: indica l’intenzione dello Stato di non adottare atti contrari all’oggetto e allo scopo del trattato, ma non vincola ancora legalmente il Paese a rispettarne i precetti.

Secondo l’articolo 65 della Convenzione, il trattato entrerà in vigore il novantesimo giorno successivo al deposito del quarantesimo strumento di ratifica, accettazione o approvazione. Allo stato attuale (luglio 2026), il processo di ratifica è in corso in numerosi Stati, ma non è ancora stato raggiunto il quorum delle 40 ratifiche necessarie.

Per l’Unione Europea e i suoi Stati membri la situazione è peculiare. La Commissione europea ha firmato il trattato il 25 ottobre 2025 su autorizzazione del Consiglio UE. La Convenzione dovrà ora essere ratificata dall’Unione e firmata e ratificata dai singoli Stati membri. La doppia firma si spiega con la natura delle competenze toccate dal trattato: alcune materie — come la cooperazione giudiziaria penale — sono di competenza concorrente tra UE e Stati membri, mentre altre — come il diritto penale sostanziale — ricadono nella competenza esclusiva dei singoli Stati.

Quanto all’Italia, al momento non risulta ancora depositato lo strumento di ratifica. Il iter interno prevede, secondo il nostro ordinamento costituzionale, una legge autorizzatoria del Parlamento seguita dalla ratifica del Presidente della Repubblica.

L’impatto reale della Convenzione dipenderà dalla volontà politica degli Stati e dalla capacità di tradurre gli impegni in riforme strutturali. Alcuni Paesi dovranno affrontare modifiche significative ai propri codici penali e di procedura penale per allinearsi ai requisiti del trattato.

Dopo cinque anni dall’entrata in vigore, gli Stati potranno proporre emendamenti. Le controversie interpretative saranno risolte tramite negoziato, arbitrato o, in via sussidiaria, ricorso alla Corte Internazionale di Giustizia. Gli Stati potranno recedere con effetto decorsi dodici mesi dalla notifica.

6. L’impatto sull’ordinamento italiano: un cantiere già aperto.

L’Italia si presenta all’appuntamento con la Convenzione ONU con un quadro normativo in fase di profonda evoluzione. La legge 28 giugno 2024, n. 90 — recante «Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici» — ha già operato un significativo intervento di adeguamento del nostro ordinamento, inasprendo le pene e ampliando le fattispecie dei reati informatici nel codice penale e nel codice di procedura penale.

Tra le modifiche più rilevanti introdotte dalla legge n. 90/2024:

• inasprimento delle pene per l’accesso abusivo a sistema informatico (art. 615-ter c.p.): la pena del secondo comma passa da 1-5 anni a 2-10 anni di reclusione, e vengono introdotte come aggravanti l’uso di minaccia e la sottrazione o l’inaccessibilità dei dati al titolare;
• nuova fattispecie di detenzione e diffusione abusiva di strumenti di danneggiamento informatico (art. 635-quater.1 c.p.), che punisce con la reclusione fino a due anni chiunque si procuri, detenga, diffonda o installi dispositivi o programmi diretti a danneggiare sistemi informatici;
• introduzione di circostanze attenuanti per i delitti informatici (art. 623-quater c.p.), con diminuzione di pena per fatti di lieve entità e riduzione dalla metà a due terzi per chi collabora con l’autorità giudiziaria;
• estensione dei poteri investigativi: l’art. 17 della stessa legge ha modificato il codice di procedura penale, includendo i nuovi reati informatici tra quelli per i quali il Procuratore nazionale antimafia e antiterrorismo esercita funzioni di coordinamento investigativo;
• nuova aggravante per la truffa (art. 640, comma 2, n. 2-ter c.p.) quando il fatto è commesso a distanza attraverso strumenti informatici idonei a ostacolare la propria o altrui identificazione;
• inasprimento del danneggiamento di sistemi di pubblico interesse (art. 635-quinquies c.p.), con pene fino a dodici anni nei casi più gravi.

La legge n. 90/2024 ha anche rafforzato il coordinamento tra l’Agenzia per la cybersicurezza nazionale (ACN), il CSIRT Italia e l’autorità giudiziaria, prevedendo che la trasmissione immediata delle notifiche di incidente ricevute dal CSIRT Italia all’organo centrale del Ministero dell’interno costituisca adempimento dell’obbligo di cui all’art. 331 c.p.p. (denuncia di reato da parte di pubblici ufficiali).

Sul versante della giurisdizione, la Cassazione penale si è recentemente pronunciata in modo significativo: con la sentenza n. 38244 del 2025, la Suprema Corte ha affermato che per i reati di accesso abusivo a sistema informatico e frode informatica commessi dall’estero, sussiste la giurisdizione italiana qualora anche uno solo degli eventi del danno patrimoniale o dell’ingiusto profitto si verifichi in Italia. La Corte ha valorizzato la nozione «frammentata» di commissione del reato di cui all’art. 6, comma 2, c.p., per cui il reato si considera commesso nel territorio dello Stato quando l’azione è ivi avvenuta in tutto o in parte, ovvero si è verificato l’evento che ne è la conseguenza.

7. Il contesto europeo: NIS2, eIDAS e certificazione della cybersicurezza.

La Convenzione ONU si inserisce in un ecosistema normativo europeo già estremamente articolato. Meritano una menzione, per la loro rilevanza pratica:

La Direttiva (UE) 2022/2555 (NIS 2), che ha ampliato significativamente l’ambito di applicazione della normativa sulla cybersicurezza, includendo nuovi settori e introducendo obblighi stringenti di risk management e notifica degli incidenti per una platea molto più ampia di soggetti pubblici e privati.

Il Regolamento (UE) 2024/1183 (eIDAS 2.0), che ha riformato il quadro europeo sull’identità digitale, introducendo il Portafoglio Europeo di Identità Digitale e nuovi servizi fiduciari qualificati (attestati elettronici di attributi, archiviazione elettronica, registri elettronici). Questo regolamento è destinato ad avere un impatto profondo sulla pratica forense quotidiana: la gestione delle firme digitali, delle notifiche telematiche e della conservazione dei documenti informatici sarà progressivamente armonizzata a livello europeo.

Il Regolamento (UE) 2025/37, che ha modificato il quadro europeo di certificazione della cybersicurezza (Cybersecurity Act) estendendolo ai servizi di sicurezza gestiti.

8. L’applicazione pratica nel processo penale italiano: gli strumenti del codice di rito.

L’adeguamento dell’ordinamento italiano alla criminalità informatica non è passato soltanto attraverso l’inasprimento delle pene sostanziali. Il legislatore — prima con la legge 18 marzo 2008, n. 48 (di ratifica della Convenzione di Budapest), poi con la legge n. 90/2024 — ha costruito un articolato sistema di strumenti processuali che meritano un’analisi puntuale, perché costituiscono il modus operandi quotidiano di pubblici ministeri, polizia giudiziaria e difensori nei procedimenti per reati informatici.

8.1 La perquisizione di sistemi informatici: l’art. 247, comma 1-bis, c.p.p.

Il primo e più rilevante strumento è la perquisizione informatica, disciplinata dall’art. 247, comma 1-bis, c.p.p., introdotto dalla legge n. 48/2008. La disposizione stabilisce che «quando vi è fondato motivo di ritenere che dati, informazioni, programmi informatici o tracce comunque pertinenti al reato si trovino in un sistema informatico o telematico, ancorché protetto da misure di sicurezza, ne è disposta la perquisizione, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione».

La norma non impone protocolli tecnici specifici — come ha chiarito la Cassazione, l’art. 247 c.p.p. «non prevede protocolli specifici, né fa rinvio a norme specifiche di settore, ma dà un’indicazione generica» (Cass. pen., Sez. V, n. 27392/2011) — ma richiede che siano adottate misure tecniche idonee ad assicurare la conservazione e l’immodificabilità dei dati. Sul piano operativo, ciò si traduce nell’obbligo di effettuare una copia forense (c.d. bit-stream image) dei supporti, che consente la restituzione immediata dei dispositivi originali all’interessato.

Il punto giuridicamente più delicato è il rapporto tra perquisizione e sequestro. La giurisprudenza di legittimità ha chiarito che «non può procedersi al sequestro del computer in quanto tale»: la legge «ha distinto il singolo documento informatico dalla massa di informazioni che un sistema informatico è destinato a contenere» (Cass. pen., Sez. VI, n. 31593/2019). Di regola, il sistema deve essere sottoposto a perquisizione mirata, e solo al suo esito potrà sequestrarsi quanto di rilievo del suo contenuto.

La perquisizione informatica può essere eseguita anche dalla polizia giudiziaria in flagranza di reato, ai sensi dell’art. 352, comma 1-bis, c.p.p., con successiva convalida del pubblico ministero entro quarantotto ore.

8.2 Il sequestro probatorio di dati informatici: proporzionalità, adeguatezza e criteri di selezione

Il principio di proporzionalità e adeguatezza — ricavato dall’art. 275 c.p.p. per le misure cautelari personali ma pacificamente esteso alle misure reali — ha trovato nel sequestro informatico uno dei suoi terreni di applicazione più complessi. La giurisprudenza di legittimità è oggi consolidata nel ritenere «illegittimo, per violazione del principio di proporzionalità ed adeguatezza, il sequestro a fini probatori di un dispositivo elettronico che conduca, in difetto di specifiche ragioni, alla indiscriminata apprensione di una massa di dati informatici, senza alcuna previa selezione di essi e comunque senza l’indicazione degli eventuali criteri di selezione» (Cass. pen., Sez. VI, n. 24671/2025; Cass. pen., Sez. V, n. 15396/2026).

Il decreto di sequestro del pubblico ministero deve contenere, secondo l’elaborazione giurisprudenziale più recente: (a) le ragioni per cui è necessario disporre un sequestro esteso e onnicomprensivo ovvero, in alternativa, le specifiche informazioni oggetto di ricerca; (b) i criteri di selezione del materiale informatico archiviato nel dispositivo; (c) la giustificazione dell’eventuale perimetrazione temporale dei dati di interesse; (d) i tempi entro cui sarà effettuata la selezione, con conseguente restituzione della copia informatica dei dati non rilevanti (Cass. pen., Sez. II, n. 3765/2026).

L’estrazione della copia forense integrale dei supporti informatici costituisce una «mera modalità esecutiva dell’attività di perquisizione informatica» e «non è equiparabile al sequestro vero e proprio», che si perfeziona solo al momento dell’acquisizione in via definitiva del dato informatico di interesse investigativo (Cass. pen., Sez. V, n. 13018/2024). La copia integrale — o «copia-mezzo» — realizza uno strumento tecnico che consente la restituzione del dispositivo originale ma «non legittima il trattenimento della totalità delle informazioni apprese oltre il tempo necessario a selezionare quelle pertinenti al reato per cui si procede» (Cass. pen., Sez. V, n. 10454/2024).

Un corollario operativo di particolare rilievo: quando il Tribunale del riesame annulla il sequestro per violazione del principio di proporzionalità, la restituzione deve avere ad oggetto «non solo i supporti materiali sequestrati, ma anche i dati estrapolati dagli stessi, poiché la mera reintegrazione nella disponibilità del titolare del bene fisico oggetto di sequestro non elimina il pregiudizio determinato dal vincolo cautelare su diritti fondamentali quali la riservatezza, il segreto e la disponibilità esclusiva del patrimonio informativo» (Cass. pen., Sez. VI, n. 24671/2025).

8.3 Il sequestro presso i fornitori di servizi: l’art. 254-bis c.p.p.

L’art. 254-bis c.p.p., anch’esso introdotto dalla legge n. 48/2008, disciplina un’ipotesi specifica: il sequestro di dati informatici presso i fornitori di servizi informatici, telematici o di telecomunicazioni. La norma consente all’autorità giudiziaria di disporre che l’acquisizione avvenga mediante copia su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti a quelli originali e la loro immodificabilità, ordinando al fornitore di conservare e proteggere i dati originali.

Questa disposizione è di centrale importanza pratica: pensiamo all’acquisizione di caselle di posta elettronica, account cloud, server di messaggistica. La Cassazione ha precisato che l’art. 254-bis c.p.p. «trova applicazione esclusivamente per il sequestro presso fornitori di servizi informatici, telematici e di telecomunicazioni, e non si applica quando il sequestro è eseguito presso soggetti che non rivestono tale qualità» (Cass. pen., Sez. II, n. 11135/2009). Per i sequestri presso soggetti privati che non siano provider, si applicano le regole generali degli artt. 247 e 253 c.p.p.

8.4 Le intercettazioni telematiche: l’art. 266-bis c.p.p. e il captatore informatico.

L’art. 266-bis c.p.p. estende la disciplina delle intercettazioni al «flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi», nei procedimenti relativi ai reati di cui all’art. 266 c.p.p. (reati contro la P.A., stupefacenti, armi, etc.) e a quelli «commessi mediante l’impiego di tecnologie informatiche o telematiche».

L’art. 268, comma 3-bis, c.p.p. consente al pubblico ministero di disporre che le operazioni di intercettazione telematica siano compiute «anche mediante impianti appartenenti a privati», e — per le operazioni di avvio e cessazione delle registrazioni con captatore informatico su dispositivo elettronico portatile — autorizza l’ufficiale di polizia giudiziaria ad avvalersi di persone idonee.

Un tema cruciale, emerso nella più recente giurisprudenza, è la distinzione tra la disciplina delle intercettazioni (artt. 266 e ss. c.p.p.) e l’acquisizione di dati informatici già memorizzati. La Cassazione ha affermato che «le comunicazioni telematiche criptate recuperate ex post dalla memoria del telefono dell’interlocutore, acquisite dall’autorità giudiziaria straniera mediante ordine europeo di indagine e successivamente trasmesse all’autorità giudiziaria italiana, costituiscono dati informativi documentali conservati all’estero utilizzabili ai sensi dell’art. 234-bis cod. proc. pen., e non flussi comunicativi soggetti alla disciplina delle intercettazioni» (Cass. pen., Sez. IV, n. 15417/2024).

La distinzione operativa è netta: la captazione in tempo reale del flusso comunicativo richiede il decreto autorizzativo del giudice e soggiace alla disciplina delle intercettazioni; l’acquisizione successiva di messaggi già ricevuti e memorizzati sul dispositivo segue le regole del sequestro probatorio o, se i dati sono conservati all’estero, dell’art. 234-bis c.p.p. La Corte costituzionale, con la sentenza n. 170 del 2023, ha ulteriormente rafforzato questa impostazione, affermando che la messaggistica tramite applicazioni di comunicazione istantanea costituisce corrispondenza informatica tutelata dall’art. 15 Cost. e deve essere acquisita mediante sequestro ex art. 254 c.p.p., non come mera documentazione ex art. 234 c.p.p. (Cass. pen., Sez. VI, n. 31180/2024).

8.5 L’acquisizione transfrontaliera di prove digitali: l’art. 234-bis c.p.p. e l’ordine europeo di indagine.

L’art. 234-bis c.p.p., introdotto dal d.lgs. n. 216/2017, consente l’acquisizione di documenti e dati informatici conservati all’estero, anche diversi da quelli disponibili al pubblico, previo consenso del legittimo titolare. Questa disposizione è destinata a dialogare strettamente con la Convenzione ONU, che — come visto — prevede meccanismi di cooperazione per lo scambio transfrontaliero di prove elettroniche.

Sul piano operativo, la Cassazione ha chiarito che il trasferimento all’autorità giudiziaria italiana di dati già acquisiti e decriptati dall’autorità giudiziaria straniera in un proprio procedimento penale «costituisce espressione dell’acquisizione di atti di un procedimento penale e trae la propria base normativa nel diritto interno negli artt. 78 disp. att., 238 e 270 cod. proc. pen.» (Cass. pen., Sez. I, n. 13535/2024).

8.6 Le modifiche processuali della legge n. 90/2024: coordinamento investigativo e poteri dell’ACN

La legge n. 90/2024 ha inciso profondamente anche sul codice di procedura penale, sotto tre profili essenziali.

Competenza del Procuratore nazionale antimafia e antiterrorismo. L’art. 17, comma 1, lett. a), ha modificato l’art. 51, comma 3-quinquies, c.p.p., includendo i delitti di cui agli artt. 635-quater.1 (detenzione e diffusione abusiva di strumenti di danneggiamento), 635-quinquies (danneggiamento di sistemi di pubblico interesse) e il delitto di cui all’art. 1, comma 11, del d.l. n. 105/2019 (perimetro di sicurezza nazionale cibernetica) tra quelli per i quali il Procuratore nazionale antimafia e antiterrorismo esercita funzioni di coordinamento investigativo. Ciò significa che, per i cyber-attacchi più gravi diretti contro infrastrutture critiche, l’impulso investigativo viene coordinato centralmente, secondo un modello già collaudato per la criminalità organizzata.

Proroga dei termini delle indagini preliminari. La nuova lettera 7-ter) dell’art. 407, comma 2, c.p.p. ha inserito i principali delitti informatici (artt. 615-ter, 615-quater, 617-ter, 617-quater, 617-quinquies, 617-sexies, 635-bis, 635-ter, 635-quater, 635-quater.1, 635-quinquies c.p.) nell’elenco dei reati per i quali la durata massima delle indagini preliminari è di due anni (in luogo del termine ordinario di un anno), quando il fatto è commesso in danno di sistemi di interesse militare, ordine pubblico, sicurezza pubblica, sanità, protezione civile o comunque di interesse pubblico. L’art. 406, comma 5-bis, c.p.p., novellato, consente corrispondentemente la proroga fino a due anni anche per i delitti di criminalità informatica.

Raccordo tra ACN e autorità giudiziaria. L’art. 22 della legge n. 90/2024 ha istituito un complesso meccanismo di coordinamento: il personale dell’Agenzia per la cybersicurezza nazionale addetto al CSIRT Italia riveste la qualifica di pubblico ufficiale e la trasmissione immediata delle notifiche di incidente all’organo centrale del Ministero dell’interno «costituisce adempimento dell’obbligo di cui all’articolo 331 del codice di procedura penale» (denuncia di reato da parte di pubblici ufficiali). Nei casi di attacco a sistemi di pubblico interesse, l’ACN informa senza ritardo il Procuratore nazionale antimafia. Il pubblico ministero, dal canto suo, può disporre il differimento delle attività di resilienza dell’ACN per evitare pregiudizio alle indagini, e quando procede ad accertamenti tecnici irripetibili deve informare l’Agenzia, che può assistere al conferimento dell’incarico e partecipare agli accertamenti.

8.7 Le intercettazioni nei reati informatici e l’estensione delle misure speciali di indagine.

Un ulteriore tassello è stato aggiunto dall’art. 19 della legge n. 90/2024, che ha esteso ai delitti informatici di cui all’art. 371-bis, comma 4-bis, c.p.p. l’applicabilità delle misure speciali di indagine già previste per la criminalità organizzata dal d.l. n. 152/1991 (convertito con l. n. 203/1991), incluse le operazioni sotto copertura e le consegne controllate. L’art. 18 della stessa legge ha esteso analogamente ai reati informatici le disposizioni sulle dichiarazioni dei collaboratori di giustizia e sulle speciali misure di protezione.

8.8 La responsabilità degli enti: le modifiche al d.lgs. n. 231/2001.

Infine, non può trascurarsi il profilo della responsabilità amministrativa delle persone giuridiche. L’art. 20 della legge n. 90/2024 ha modificato l’art. 24-bis del d.lgs. n. 231/2001 (già dedicato ai delitti informatici), innalzando la sanzione pecuniaria da 100-500 a 200-700 quote e introducendo la responsabilità dell’ente anche per il delitto di estorsione informatica (art. 629, comma 3, c.p.), con sanzione pecuniaria da 300 a 800 quote e sanzioni interdittive non inferiori a due anni. È stato inoltre esteso il catalogo dei reati-presupposto includendovi il nuovo art. 635-quater.1 c.p. (detenzione e diffusione abusiva di strumenti di danneggiamento), con sanzione fino a 400 quote.

Questo inasprimento ha ricadute concrete per le imprese: la mancata adozione di modelli organizzativi idonei a prevenire i reati informatici espone oggi l’ente a sanzioni significativamente più elevate, e l’onere di dimostrare l’efficacia esimente del modello — già gravoso nella prassi — si fa ancora più stringente in un settore, come quello della cybersicurezza, dove l’evoluzione tecnologica è rapidissima e il rischio di obsolescenza dei presidi organizzativi è elevato.

9. Considerazioni operative per il professionista legale.

L’entrata in vigore della Convenzione ONU e il parallelo rafforzamento del quadro normativo interno ed europeo producono conseguenze concrete per l’avvocato penalista e per il consulente d’impresa.

Sul versante della difesa, l’innalzamento delle pene edittali per i reati informatici — con minimi che ora partono da due anni di reclusione per le ipotesi base di accesso abusivo — incide direttamente sul regime delle misure cautelari, sui termini di prescrizione e sulla procedibilità. Le nuove circostanze attenuanti introdotte dalla legge n. 90/2024 (artt. 623-quater e 639-ter c.p.) offrono tuttavia margini importanti per strategie difensive basate sulla collaborazione con l’autorità giudiziaria e sulla dimostrazione della particolare tenuità del fatto.

Sul versante della consulenza alle imprese, la convergenza tra obblighi NIS 2, disciplina della cybersicurezza nazionale e futura Convenzione ONU delinea un quadro in cui la compliance preventiva e la capacità di risposta agli incidenti diventano elementi centrali della gestione del rischio legale. Le aziende devono dotarsi di protocolli di incident response che tengano conto degli obblighi di notifica (24 ore per i servizi fiduciari, termini differenziati per i soggetti NIS 2) e della necessità di preservare la catena di custodia delle prove digitali in vista di un possibile procedimento penale.

Sul versante probatorio, la cooperazione internazionale prevista dalla Convenzione faciliterà l’acquisizione transfrontaliera di prove digitali, ma richiederà agli operatori del diritto familiarità con procedure sempre più complesse di assistenza giudiziaria e con le nuove regole sulla condivisione dei dati.

Infine, non va trascurato il potenziale impatto sul contenzioso civile e commerciale: la diffusione di attacchi ransomware, frodi informatiche e furti di dati solleva questioni di responsabilità contrattuale ed extracontrattuale, obblighi di disclosure verso i clienti e i data subject, e profili di danno reputazionale che richiedono una preparazione multidisciplinare sempre più sofisticata.

10. I reati sessuali commessi mediante la rete: evoluzione normativa e interazione con gli strumenti processuali.

10.1 Un fenomeno in continua trasformazione.

Il capitolo più insidioso — e giuridicamente più complesso — della criminalità informatica è quello dei reati a sfondo sessuale commessi attraverso la rete. Il legislatore italiano, sollecitato dagli obblighi internazionali (Convenzione di Lanzarote del 2007, Direttiva 2011/93/UE, e ora la Convenzione ONU di Hanoi), ha costruito progressivamente un sistema repressivo articolato, che merita di essere esaminato anche alla luce degli strumenti processuali analizzati nel paragrafo precedente.

L’evoluzione è stata rapida e stratificata. Si è passati dalla repressione della pornografia minorile «tradizionale» (produzione e commercio di materiale fisico) alla criminalizzazione della detenzione e del mero accesso a materiale pedopornografico online (art. 600-quater c.p.), fino alla più recente incriminazione della pornografia virtuale (art. 600-quater.1 c.p.), che punisce anche immagini non associate a situazioni reali ma generate con tecniche di elaborazione grafica. La legge n. 172 del 2012 ha introdotto il reato di adescamento di minorenni (art. 609-undecies c.p.), colmando un vuoto di tutela che lasciava impunite le condotte prodromiche al grooming online: «qualsiasi atto volto a carpire la fiducia del minore attraverso artifici, lusinghe o minacce posti in essere anche mediante l’utilizzo della rete internet». La legge n. 69 del 2019 (c.d. Codice Rosso) ha infine introdotto il reato di diffusione illecita di immagini o video sessualmente espliciti (art. 612-ter c.p.), noto come revenge porn, punito con la reclusione da uno a sei anni, con un’aggravante specifica quando il fatto è commesso «attraverso strumenti informatici o telematici».

Accanto a queste fattispecie autonome, la giurisprudenza ha progressivamente esteso l’ambito applicativo dei reati sessuali «tradizionali» al contesto digitale. La violenza sessuale (art. 609-bis c.p.) può oggi configurarsi anche in assenza di contatto fisico, quando la vittima — costretta o indotta dal soggetto attivo — compia atti sessuali su se stessa durante comunicazioni telematiche. Come ha affermato la Cassazione, «il reato di violenza sessuale non è esclusivamente caratterizzato dal contatto corporeo tra soggetto attivo e soggetto passivo del reato, ma può estrinsecarsi anche nel compimento di atti sessuali che lo stesso soggetto passivo, a ciò costretto o indotto dal soggetto attivo, compia su se stesso» (Cass. pen., Sez. III, n. 37076/2012).

10.2 I principi giurisprudenziali fondamentali.

L’elaborazione della giurisprudenza di legittimità degli ultimi vent’anni ha fissato principi di enorme rilevanza pratica.

L’adescamento online. Le «lusinghe» previste dall’art. 609-undecies c.p. non implicano necessariamente un inganno: possono consistere in «qualsiasi allettamento fatto di frasi adulatorie, parole amiche, promesse, atti esteriormente benevoli o finte attenzioni con cui si cerca di attrarre qualcuno al proprio volere» (Cass. pen., Sez. III, n. 33257/2022). Il dolo specifico — lo scopo di commettere uno dei reati-fine indicati dalla norma — si desume «da parametri oggettivi dal contesto complessivo delle conversazioni», e le richieste di immagini «in intimo» inserite in un contesto erotico sono considerate prodromiche all’acquisizione di materiale pedopornografico (Cass. pen., Sez. IV, n. 1943/2024).

La pornografia minorile come reato di danno. Con una fondamentale evoluzione interpretativa, la Cassazione ha chiarito che l’art. 600-ter c.p. «costituisce reato di danno e non di pericolo concreto», essendo la potenzialità diffusiva «connaturata all’uso degli strumenti di comunicazione informatica». Ne consegue che è configurabile il tentativo, e che quando l’agente supera la soglia delle lusinghe e passa a «richieste insistite e pressanti di materiale pornografico», si esce dall’area dell’adescamento per entrare nel tentativo o nella consumazione del reato-fine (Cass. pen., Sez. III, n. 41573/2023).

L’utilizzazione del minore. Con la sentenza n. 2221 del 2025, la Cassazione ha precisato che l’«utilizzazione» del minore di cui all’art. 600-ter, comma 1, c.p. presuppone «un differenziale di potere tra il soggetto che realizza le immagini e il minore rappresentato, tale da generare un condizionamento che rende invalido anche un eventuale consenso», e può essere esclusa solo quando le immagini siano frutto di libera scelta nell’ambito di un rapporto paritario (Cass. pen., Sez. III, n. 2221/2025).

La violenza sessuale a distanza mediante induzione. Il delitto di violenza sessuale si configura anche quando il reo induce la vittima a compiere atti sessuali senza alcun contatto fisico, utilizzando strumenti per la comunicazione a distanza, ove sia dimostrata l’opera di induzione attraverso l’abuso di una condizione di inferiorità che vizia il consenso e compromette la libertà di autodeterminazione (Cass. pen., Sez. III, n. 14218/2025).

La sostituzione di persona sui social network. Una delle frontiere più recenti riguarda l’uso di falsi profili: «integra la fattispecie di cui all’art. 609-bis, comma 2, n. 2, cod. pen. la condotta di chi, utilizzando falsi profili social e sostituendosi a soggetti minori di età, carpisce subdolamente la confidenza di vittime adolescenti inducendole a inviare materiale sessualmente esplicito, in quanto il consenso delle vittime è geneticamente invalido perché viziato dal raggiro» (Cass. pen., Sez. III, n. 1452/2024).

L’irrilevanza della mancanza di contatto fisico ai fini dell’attenuante della minore gravità. È principio costante che «la violenza sessuale perpetrata attraverso mezzi virtuali può risultare altrettanto o maggiormente lesiva rispetto a quella fisica sul piano psicologico, specialmente nei confronti di minori in tenera età, in quanto raggiunge la vittima in contesti apparentemente protetti, sottraendosi ai tradizionali strumenti di vigilanza e protezione familiare e sociale» (Cass. pen., Sez. III, n. 16616/2015).

10.3 L’interazione con gli strumenti processuali dell’era digitale.

Tutti gli strumenti processuali descritti nel precedente paragrafo — perquisizione informatica, sequestro probatorio, intercettazioni telematiche, operazioni sotto copertura — trovano nei reati sessuali online il loro terreno di applicazione più frequente e delicato.

Le indagini per pedopornografia online prendono quasi sempre avvio da attività sotto copertura ai sensi dell’art. 14 della legge n. 269/1998, che consente agli ufficiali di polizia giudiziaria specializzati, previa autorizzazione dell’autorità giudiziaria, di procedere all’acquisto simulato di materiale pornografico, all’utilizzo di identità di copertura e alla gestione di aree di comunicazione su reti telematiche. La giurisprudenza ha precisato che la legittimità di tali operazioni va valutata ex ante, «con riferimento al momento dell’autorizzazione e alla configurabilità di uno dei reati tassativamente indicati dalla norma», e che «gli elementi probatori acquisiti nel corso di tale attività sono utilizzabili anche quando successivamente emerga un reato diverso e meno grave rispetto a quello originariamente ipotizzato» (Cass. pen., Sez. III, n. 9354/2020).

L’attività dell’agente sotto copertura non viola l’art. 6 CEDU — e non determina quindi inutilizzabilità delle prove — quando «si limita a fornire l’occasione per la commissione di un reato che l’indagato avrebbe comunque commesso, senza esercitare un’influenza causale determinante tale da suscitare un intento delittuoso prima inesistente» (Cass. pen., Sez. III, n. 9354/2020).

All’esito dell’attività sotto copertura, si procede tipicamente con la perquisizione informatica ex art. 247, comma 1-bis c.p.p. e il sequestro dei dispositivi. È qui che i principi di proporzionalità e adeguatezza — già illustrati — assumono un rilievo cruciale: il sequestro indiscriminato di interi hard disk o cloud senza criteri selettivi è oggi pacificamente illegittimo.

Un profilo di particolare delicatezza riguarda l’acquisizione della messaggistica. Per le comunicazioni su piattaforme come WhatsApp o Telegram, la Cassazione — anche sulla scorta della sentenza della Corte costituzionale n. 170/2023 — ha affermato che si tratta di corrispondenza informatica tutelata dall’art. 15 Cost., acquisibile mediante sequestro ex art. 254 c.p.p. e non come mera documentazione ex art. 234 c.p.p. (Cass. pen., Sez. VI, n. 31180/2024).

10.4 L’evoluzione più recente: intelligenza artificiale generativa e nuove frontiere del rischio penale

Un cenno merita l’impatto dell’intelligenza artificiale generativa su questo settore. L’art. 600-quater.1 c.p. già punisce la pornografia virtuale realizzata con tecniche di elaborazione grafica; ma l’avvento di strumenti come i deepfake e i generatori di immagini basati su AI solleva interrogativi nuovi: la creazione di materiale pedopornografico interamente sintetico — senza alcun minore reale coinvolto — è riconducibile alla nozione di «immagini virtuali» di cui all’art. 600-quater.1 c.p., che richiede l’utilizzo di «immagini di minori degli anni diciotto o parti di esse»? La questione è aperta e destinata a impegnare la giurisprudenza nei prossimi anni, anche alla luce della Convenzione ONU di Hanoi, che non contiene disposizioni specifiche sul punto ma impone agli Stati di adeguare le proprie legislazioni all’evoluzione tecnologica.

10.5 La difesa tecnica nei procedimenti per reati sessuali online: l’esperienza dello Studio Legale De Lalla

Lo Studio Legale De Lalla vanta un’esperienza consolidata nella difesa di persone accusate di reati sessuali, anche quando commessi mediante strumenti informatici e telematici. L’approccio difensivo in questo delicatissimo ambito richiede una competenza multidisciplinare che spazia dal diritto penale sostanziale alla procedura, dall’informatica forense alla tutela della privacy.

Le linee difensive si articolano tipicamente su più livelli.

Sul piano processuale, l’attenzione si concentra sulla verifica della legittimità dell’attività investigativa: il rispetto delle condizioni per le operazioni sotto copertura (art. 14 l. 269/1998), la proporzionalità del sequestro informatico, la corretta catena di custodia della prova digitale, l’utilizzabilità dei dati acquisiti all’estero, la distinzione tra dati di traffico e dati di contenuto ai fini dell’acquisizione.

Sul piano sostanziale, l’analisi si focalizza sull’elemento soggettivo del reato: nei reati di pedopornografia, ad esempio, la consapevolezza della minore età del soggetto ritratto e la volontà di detenzione devono essere rigorosamente provate, non potendo fondarsi su meri automatismi informatici. La Cassazione ha chiarito che nelle ipotesi di detenzione mediante programmi di file-sharing, «la semplice disponibilità di programmi di condivisione di files non implica, in assenza di ulteriori specifici elementi, la volontà nel soggetto agente di divulgare materiale pedopornografico» (Cass. pen., Sez. III, n. 7505/2014).

Sul piano delle garanzie difensive, è essenziale la tempestiva attivazione di consulenti tecnici di parte per assistere alle operazioni di copia forense dei supporti sequestrati, per verificare la corrispondenza tra i file rinvenuti e quelli effettivamente attribuibili all’indagato (escludendo, ad esempio, il materiale scaricato involontariamente o generato da malware), e per analizzare i log di sistema e i metadata al fine di ricostruire l’effettiva dinamica dei fatti.

Sul piano del trattamento sanzionatorio, la legge n. 90/2024 ha introdotto — come già illustrato — nuove circostanze attenuanti (artt. 623-quater e 639-ter c.p.) per i delitti informatici, che prevedono una diminuzione di pena per i fatti di lieve entità e una riduzione dalla metà a due terzi per chi collabora con l’autorità giudiziaria: strumenti che, sebbene pensati per i reati informatici in senso stretto, possono trovare applicazione anche nei procedimenti per reati sessuali online in virtù del vincolo della continuazione, offrendo margini significativi per strategie difensive mirate alla riduzione della pena.

Lo Studio Legale De Lalla opera con un team di professionisti che integra competenze penalistiche, informatico-forensi e di diritto delle nuove tecnologie, assicurando una difesa tecnica completa e aggiornata in un settore — quello dei reati sessuali commessi attraverso la rete — in cui l’evoluzione normativa, tecnologica e giurisprudenziale è tra le più rapide e complesse dell’intero ordinamento penale.

---

Per qualsiasi approfondimento sulle tematiche trattate, lo Studio Legale De Lalla è a disposizione con il proprio team specializzato in diritto penale dell’informatica, protezione dei dati e cybersicurezza.

---