L’intervento illustra il fenomeno del Fintech sotto il profilo della disciplina penale, analizzandone limiti e sfide. In tale prospettiva di analisi, gli autori – dopo approfondita descrizione del fenomeno – illustrano la fenomenologa criminale, avuto particolare riferimento al riciclaggio e autoriciclaggio, alle frodi informatiche, all’abusivismo ed ai reati tributari. Da ultimo, la trattazione illustra le sanzioni contemplate dalla normativa antiriciclaggio, nonché affronta la questione della tutela dei dati e dell’identità digitale.

SOMMARIO:

1. L’impatto della tecnologia sul settore della finanza - 1.1. Le criptovalute - 1.2. I bitcoin - 1.2.1. La (scarna) regolamentazione dei bitcoin in Italia - 1.3. Obblighi in materia di antiriciclaggio con riferimento alle criptovalute - 2. Fenomenologia criminale - 2.1. Riciclaggio e autoriciclaggio - 2.2. Frode informatica - 2.3. Fattispecie limitrofe alla frode informatica - 2.3.2. Art. 615 quater c.p.: detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici - 2.3.3. Art. 615 quinquies c.p.: diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico - 2.3.4. Art. 493 ter c.p.: indebito utilizzo e falsificazione di carte di credito e di pagamento [29] - 2.4. Abusivismo (in relazione ai bitcoin) - 2.5. Sanzioni contemplate dalla normativa antiriciclaggio - 2.6. Configurabilità dei reati tributari ex D.Lgs. n. 74/2000 - 2.7. La tutela penale dei dati e dell’identità digitale - 2.8. Rischi connessi alla responsabilità amministrativa degli enti - 3. Conclusioni - NOTE

1. L’impatto della tecnologia sul settore della finanza

L’intensificazione dei processi di globalizzazione e la crescente velocità degli scambi internazionali hanno dato vita a un periodo di trasformazioni senza precedenti che sta travolgendo le relazioni sociali, politiche ed economiche. Nel corso degli ultimi anni, tali trasformazioni hanno subito una progressiva accelerazione grazie al progresso tecnologico in settori in cui la tecnologia ha assunto il ruolo di motore pulsante dell’innovazione. Tra i numerosi campi nei quali siffatto fenomeno è percepibile, spiccano quello finanziario e quello monetario, che hanno di recente attirato l’atten­zione di diversi organismi di regolamentazione e di vigilanza nazionali, internazionali ed europei. In particolare, a titolo esemplificativo: –   Il Financial Stability Board – F.S.B.  [1] ritiene che «technology-enabled innovation in financial services could result in new business models, applications, process or products with an associated material effect on the provision of financial services ». In altre parole, il FSB sottolinea il potenziale rinnovamento in chiave tecnologica che potrebbe riversarsi nei servizi finanziari. –   L’Autorità bancaria europea – A.B.E. [2], nell’ambito del Discussion Paper on the EBA’s approach to financial technology (FinTech) dell’agosto 2017 ha evidenziato che diversi organismi di regolamentazione e di vigilanza internazionali ed europei si sono impegnati in iniziative volte a fronteggiare le sfide poste dal “FinTech”. –   Il Parlamento europeo si è occupato dell’impatto della tecnologia sul sistema finanziario con la Risoluzione del 17 maggio 2017, evidenziando come la tecnologia finanziaria «dovrebbe essere intesa come un’attività finanziaria resa possibile o offerta attraverso le nuove tecnologie, che interessa l’intero settore finanziario in tutte le sue componenti [...]». Indubbiamente, i benefici prodotti dall’applicazione della tecnologia alla finanza sono numerosi (ex multis decentramento, diversificazione, efficienza, trasparenza, accesso ai servizi finanziari, convenienza economica) e potrebbero apportare dei cambiamenti strutturali nell’architettura degli attuali mercati finanziari.

1.1. Le criptovalute

Un peculiare aspetto del fenomeno di “tecnologia finanziaria” testé descritto è rappresentato dall’uso delle c.d. criptovalute, ossia, secondo la definizione fornita dalla Banca d’Italia, tutte quelle «rappresentazioni digitali di valore non emesse da una banca centrale o da un’autorità pubblica. Esse non sono necessariamente collegate a una valuta avente corso legale, ma sono utilizzate come mezzo di scambio o detenute a scopo di investimento e possono essere trasferite, archiviate e negoziate elettronicamente. Le VV non sono moneta legale e non devono essere confuse con la moneta elettronica» [3]. Si tratta di strumenti impiegati in transazioni commerciali che fanno leva su una particolare tecnologia utilizzabile soltanto nella rete Internet; in questi sistemi di pagamento, gli utenti si scambiano una catena (chain) di informazioni digitali che rappresentano tutti gli scambi che si sono verificati fino al momento di generazione della moneta (coin) da parte dell’utente. In sostanza, la valuta virtuale è un registro di tutti gli scambi avvenuti fra gli utenti sino ad un determinato momento, «una sorta di assegno girato un numero indeterminato di volte» [4]. La effettiva bontà del pagamento è correlata alla correttezza e alla autenticità delle “girate” precedenti ed è con riguardo a questo aspetto che le monete elettroniche presentano l’aspetto di maggiore novità rispetto alla moneta classica, ai titoli di credito e ai pagamenti dematerializzati: è assente una autorità controllante centralizzata che certifichi la genuinità di ogni scambio; il sistema di certificazione della valuta virtuale, invece, è autonomo ed è affidato a un software che, attraverso un complesso processo informatico di crittografia (da qui il nome di criptvaluta) certifica le transazioni avvenute. Non bisogna confondere le valute virtuali con la moneta elettronica o con altri sistemi di pagamento come il trasferimento di fondi elettronici ovvero il bancogiro. Questi ultimi, infatti, hanno ad oggetto una divisa nazionale o estera, emessa da una Autorità centrale, mentre le divise virtuali sono caratterizzate dall’assenza di un controllo centrale e libere, in genere, dall’interme­diazione bancaria. I due sistemi di pagamento [continua ..]

1.2. I bitcoin

Il bitcoin rappresenta la principale forma compiuta di contante digitale appartenente al genus delle criptovalute  [5], e porta con sé il non trascurabile vantaggio (sentito soprattutto nell’attuale momento storico, in cui la progressiva disincentivazione dell’uso di “moneta contante” non è accompagnata dall’ab­battimento dei costi dei servizi bancari) non avere spese di intermediazione. L’acquisto e la vendita di bitcoin avvengono attraverso un c.d. exchanger, ossia un gestore di una piattaforma multimediale di scambio mediante la quale la domanda e l’offerta di bitcoin si incontrano. Sempre tramite l’exchanger è possibile trasformare il valore digitale in proprio possesso in moneta avente corso legale attraverso il successivo accredito in conto corrente (anche non) personale delle somme di danaro convertita; oppure attraverso trattative private tra gli utenti bitcoin, ma, in questo caso, senza garanzia che il corrispettivo versato in moneta legale corrisponda alla valuta virtuale desiderata e viceversa, stante l’assenza di un soggetto qualificato in grado di garantire la transazione. I bitcoin, infine, sono gestiti dall’utilizzatore mediante un portafoglio digitale installato su di un dispositivo personale dal quale è possibile eseguire il pagamento della merce o del servizio acquistato. Tale “portafoglio” è direttamente collegato alla blockchain, ossia, come sopra esposto, al registro contabile accentrato che tiene traccia di tutti gli spostamenti monetari evasi ed accreditati ad ogni borsellino elettronico. Nonostante il diffuso utilizzo tra i fruitori della rete Internet di valute virtuali, specie di bitcoin, è ancora controversa la loro natura e funzione; discusso, in particolare, è se le valute virtuali possano essere davvero considerate moneta e se questa possa essere validamente utilizzata per estinguere le obbligazioni contratte [6]. Per alcuni, in particolare, i bitcoin andrebbero inquadrati nell’ambito dei “beni immateriali” [7], per altri rappresenterebbero beni fungibili e scambiabili sul mercato, ossia un “bene di investimento” oppure un “prodotto finanziario”. La Corte di Giustizia dell’Unione Europea ha qualificato [continua ..]

1.2.1. La (scarna) regolamentazione dei bitcoin in Italia

Nel nostro ordinamento, i bitcoin hanno ricevuto una prima regolamentazione con il D.Lgs. n. 45/2009, emanato in attuazione della Direttiva n. 2009/110/CE con l’intento di armonizzare il mercato dei pagamenti, migliorando e favorendo la libera concorrenza. Con il successivo D.Lgs. n. 11/2010 è stata recepita la Direttiva n. 2007/64/CE, la quale ha previsto l’introduzione degli istituti di pagamento, ossia nuovi intermediari che, come le banche e gli istituti di moneta elettronica, sono abilitati a prestare servizi di pagamento sul territorio europeo, predisponendo un regime omogeneo per tutti gli operatori del settore dei servizi di pagamento. Nonostante tali interventi, manca, nell’ordinamento italiano, una definizione o una classificazione dei bitcoin; pur se sono stati individuati alcuni IMEL (Istituti di Moneta Elettronica), abilitati all’emissione di moneta virtuale. La Banca d’Italia, con l’avvertenza del 30 gennaio 2015, ha evidenziato alcune criticità di questo nuovo e versatile mezzo di pagamento, quali l’assenza di garanzie, la volatilità e la possibilità di trasferimenti di somme illecite di denaro attraverso le valute virtuali; a cui si aggiunge il rischio di attacchi informatici e del fallimento delle piattaforme informatiche che ne consentono la circolazione. Con particolare riferimento ai rischi fiscali, la Banca d’Italia sostiene che «la natura decentralizzata delle reti di valute virtuali e l’assenza di regolamentazione fanno sì che il trattamento fiscale delle valute virtuali possa presentare incertezze e lacune, a cominciare dall’individuazione dello Stato beneficiario, dando vita a implicazioni imprevedibili per i soggetti coinvolti» [9]. L’Agenzia delle Entrate, esprimendosi sull’interpello di un contribuente, con la Risoluzione n. 72/E del 2 settembre 2016 ha riconosciuto che le operazioni consistenti nel cambio di valuta tradizionale contro unità della valuta virtuale e viceversa, effettuate a fronte del pagamento di una somma corrispondente al margine costituito dalla differenza tra il prezzo di acquisto delle valute e quello di vendita praticato dall’operatore ai propri clienti, costituiscono prestazioni di servizio a titolo oneroso, non sottoposte ad imposizione I.V.A., ai sensi dell’art. 10, comma I, n. 3) D.P.R. n. 633/1972 [10].

1.3. Obblighi in materia di antiriciclaggio con riferimento alle criptovalute

L’applicazione di questi ritrovati tecnologici di ultima generazione alla finanza trova puntuale descrizione all’art. 1, comma II, lett. qq), D.Lgs. n. 231/2007 (Attuazione della direttiva 2005/60/CE concernente la prevenzione dell’utilizzo del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo nonché della direttiva 2006/70/CE che ne reca misure di esecuzione), con cui la valuta virtuale è identificata come «la rappresentazione digitale di valore, non emessa da una banca centrale o da un’autorità pubblica, non necessariamente collegata a una valuta avente corso legale, utilizzata come mezzo di scambio per l’acquisto di beni e servizi e trasferita, archiviata e negoziata elettronicamente». Su questi presupposti, il Legislatore italiano del 2017 ha incluso tra i soggetti obbligati a dare attuazione ai presidi antiriciclaggio anche i «prestatori di servizi relativi all’utilizzo di valuta virtuale: ogni persona fisica o giuridica che fornisce a terzi, a titolo professionale, servizi funzionali all’utilizzo, allo scambio, alla conservazione di valuta virtuale e alla loro conversione da ovvero in valute aventi corso legale» (art. 1, comma II, lett. ff), D.Lgs. n. 231/2007). Il novero degli obbligati è stato integrato con il D.Lgs. 25 maggio 2017, n. 90 che, recependo la IV Direttiva Europea in tema di antiriciclaggio (Dir. UE n. 849/2015), ha riformato integralmente la struttura del D.Lgs. n. 231/2007, anticipando alcuni contenuti della V Direttiva antiriciclaggio, proprio nella misura in cui – definita giuridicamente la valuta virtuale – include la figura dell’exchanger (invero «limitatamente allo volgimento dell’attività di conversione di valute virtuali da ovvero in valute aventi corso forzoso») [11] tra i soggetti destinatari degli obblighi di collaborazione attiva, prevedendone la iscrizione in una sezione speciale del registro dei cambiavalute tenuto dall’Or­ganismo degli Agenti e dei Mediatori ai sensi dell’art. 128 undecies T.U.B. [12]. Il Legislatore interviene, dunque, con un controllo dell’accesso, utilizzando il filtro dell’iscrizione all’Albo dell’exchanger, in tal modo coinvolto nel processo di adeguata verifica, [continua ..]

2. Fenomenologia criminale

La versatilità e, al contempo, l’elevato grado di complessità tecnica che caratterizza il mondo del FinTech rischia di anticipare, di molto, la definizione di una strategia di politica criminale in grado di intercettarne e, soprattutto, contrastarne efficacemente i possibili impieghi illeciti. Volendo tratteggiare un quadro delle possibili condotte criminose che possono interessare il mondo del FinTech, occorre guardare sia al versante dei soggetti fornitori dei servizi di “finanza tecnologica”, sia a quello dei relativi fruitori al fine di leggerne i possibili comportamenti “devianti” in controluce con gli obblighi e le responsabilità tracciate dall’assetto normativo vigente, inevitabilmente “tarato” sulle conoscenze tecnico-giuridiche attuali.

2.1. Riciclaggio e autoriciclaggio

Un primo, fondamentale, snodo di riflessione è costituito dalle fattispecie incriminatrici volte a colpire le condotte di riciclaggio e autoriciclaggio, che, per comodità espositiva si riportano, per esteso, di séguito: Art. 648 bis c.p. (riciclaggio) «Fuori dei casi di concorso nel reato, chiunque sostituisce o trasferisce denaro, beni o altre utilità provenienti da delitto non colposo, ovvero compie in relazione ad essi altre operazioni, in modo da ostacolare l’identificazione della loro provenienza delittuosa, è punito con la reclusione da quattro a dodici anni e con la multa da 5.000 euro a 25.000 euro. La pena è aumentata quando il fatto è commesso nell’esercizio di un’at­tività professionale. La pena è diminuita se il denaro, i beni o le altre utilità provengono da delitto per il quale è stabilita la pena della reclusione inferiore nel massimo a cinque anni. Si applica l’ultimo comma dell’articolo 648». Art. 648 ter.1 c.p. (autoriciclaggio) «Si applica la pena della reclusione da due a otto anni e della multa da euro 5.000 a euro 25.000 a chiunque, avendo commesso o concorso a commettere un delitto non colposo, impiega, sostituisce, trasferisce, in attività economiche, finanziarie, imprenditoriali o speculative, il denaro, i beni o le altre utilità provenienti dalla commissione di tale delitto, in modo da ostacolare concretamente l’identificazione della loro provenienza delittuosa Si applica la pena della reclusione da uno a quattro anni e della multa da euro 2.500 a euro 12.500 se il denaro, i beni o le altre utilità provengono dalla commissione di un delitto non colposo punito con la reclusione inferiore nel massimo a cinque anni. Si applicano comunque le pene previste dal primo comma se il denaro, i beni o le altre utilità provengono da un delitto commesso con le condizioni o le finalità di cui all’articolo 7 del decreto-legge 13 maggio 1991, n. 152, convertito, con modificazioni, dalla legge 12 luglio 1991, n. 203, e successive modificazioni. Fuori dei casi di cui ai commi precedenti, non sono punibili le condotte per cui il denaro, i beni o le altre utilità vengono destinate alla mera utilizzazione o al godimento personale. La pena è aumentata quando i fatti sono commessi nell’esercizio di [continua ..]

2.2. Frode informatica

Art. 640 ter c.p. (frode informatica) «Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da 51 euro a 1.032 euro. La pena è della reclusione da uno a cinque anni e della multa da 309 euro a 1.549 euro se ricorre una delle circostanze previste dal numero 1) del secondo comma dell’articolo 640, ovvero se il fatto è commesso con abuso della qualità di operatore del sistema. La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell’identità digitale in danno di uno o più soggetti. Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o taluna delle circostanze previste dall’articolo 61, primo comma, numero 5, limitatamente all’aver approfittato di circostanze di persona, anche in riferimento all’età, e numero 7». Lo sviluppo delle tecnologie informatiche ha determinato l’emersione di nuove forme di aggressione ad interessi già tutelati nell’ordinamento (ad es. di natura patrimoniale) e, al contempo, l’affermarsi di inedite istanze di tutela. Il tradizionale sistema dei reati contro il patrimonio, previsti nel Codice penale, infatti, si è rivelato inadeguato a garantire un’efficace ed effettiva prevenzione delle nuove fenomenologie criminali, caratterizzate da un’essenziale componente informatica che ne costituisce il tratto distintivo. Gli strumenti informatici sono così impiegati come originali mezzi di aggressione patrimoniale, i cui risvolti lesivi, tuttavia, non sono circoscritti ad interessi di natura squisitamente patrimoniale; essi si proiettano, invece, in una pluralità di dimensioni di tutela eterogenee, come l’interesse al regolare funzionamento dei sistemi informatici e telematici, o fortemente individuale (o personale in senso proprio): in particolare, l’interesse alla riservatezza, che coinvolge informazioni e dati [continua ..]

2.3. Fattispecie limitrofe alla frode informatica

2.3.1. Art. 615-ter c.p.: accesso abusivo ad un sistema informatico o telematico «Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni. La pena è della reclusione da uno a cinque anni: 1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema. 2) se il colpevole per commettere il fatto usa violenza sulle cose o alle persone, ovvero se è palesemente armato. 3) se dal fatto deriva la distruzione o il danneggiamento del sistema o l’interruzione totale o parziale del suo funzionamento, ovvero la distruzione o il danneggiamento dei dati, delle informazioni o dei programmi in esso contenuti. Qualora i fatti di cui ai commi primo e secondo riguardino sistemi informatici o telematici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, la pena è, rispettivamente, della reclusione da uno a cinque anni e da tre a otto anni. Nel caso previsto dal primo comma il delitto è punibile a querela della persona offesa; negli altri casi si procede d’ufficio». La condotta consiste nell’introdursi in un sistema informatico o telematico, ovvero nel trattenersi nel medesimo sistema in maniera abusiva; la particolarità del bene giuridico tutelato e il costante sviluppo tecnologico richiedono una attenta indagine al fine di individuare correttamente il significato di sistema informatico o telematico, per tale intendendosi il complesso organico di elementi fisici (hardware) ed astratti (software) che compongono un apparato di elaborazione dati [28]. Interessante, anche in questo caso, la casistica giurisprudenziale: Cass. pen., sez. V, 19 febbraio 2020, n.17360 (sui rapporti con il delitto di frode informatica): «Il delitto di accesso abusivo ad un sistema informatico può concorrere con quello di frode informatica, diversi essendo i beni giuridici tutelati e le condotte sanzionate, in quanto [continua ..]

2.3.2. Art. 615 quater c.p.: detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici

«Chiunque, al fine di procurare a sé o ad altri un profitto o di arrecare ad altri un danno, abusivamente si procura, riproduce, diffonde, comunica o consegna codici, parole chiave o altri mezzi idonei all’accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo, è punito con la reclusione sino ad un anno e con la multa sino a 5.164 euro. La pena è della reclusione da uno a due anni e della multa da 5.164 euro a 10.329 euro se ricorre taluna delle circostanze di cui ai numeri 1) e 2) del quarto comma dell’articolo 617 quater». La norma vieta di procurare a sé o ad altri, abusivamente, codici di accesso, parole chiave o altri mezzi idonei all’accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, nonché di fornire indicazioni o istruzioni idonee al predetto scopo e, più in generale, tutti i mezzi che consentono di accedere ad un sistema informatico o telematico protetto. Degne di menzione sono le pronunce giurisprudenziali che si sono occupate della questione relativa al rapporto tra la fattispecie in discorso e quella di cui all’art. 615-ter c.p.: ●   Ex multis Cass. pen., sez. II, 14 gennaio 2019, n. 21987: «Il reato di detenzione e diffusione abusiva di codici di accesso a servizi informatici o telematici è assorbito in quello di accesso abusivo ad un sistema informatico o telematico, del quale il primo costituisce naturalisticamente un antecedente necessario, ove il secondo risulti contestato, procedibile e integrato nel medesimo contesto spaziotemporale in cui fu perpetrato l’antefatto e in danno dello stesso soggetto».

2.3.3. Art. 615 quinquies c.p.: diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico

«Chiunque, allo scopo di danneggiare illecitamente un sistema informatico o telematico, le informazioni, i dati o i programmi in esso contenuti o ad esso pertinenti ovvero di favorire l’interruzione, totale o parziale, o l’alterazione del suo funzionamento, si procura, produce, riproduce, importa, diffonde, comunica, consegna o, comunque, mette a disposizione di altri apparecchiature, dispositivi o programmi informatici, è punito con la reclusione fino a due anni e con la multa sino a euro 10.329». L’ipotesi di tipica configurazione è quella della diffusione di virus: ●   Tribunale di Bologna, 21 luglio 2005, n. 1823: «La diffusione di un programma avente per scopo ed effetto l’alterazione di alcune funzionalità telematiche dei sistemi informatici realizza il reato di cui all’art. 615-quinquies c.p. Si ritiene possa sussistere il concorso di reato di “diffusione di programmi diretti a danneggiare o interrompere un sistema informatico” con quello di “accesso abusivo ad un sistema informatico o telematico” dall’analisi dell’elemento soggettivo, ovvero dal fatto che il dolo di quest’ultimo derivi dal dolo del primo».

2.3.4. Art. 493 ter c.p.: indebito utilizzo e falsificazione di carte di credito e di pagamento [29]

Le condotte descritte nella norma sono le seguenti: –   Utilizzare indebitamente (cioè senza esserne titolare) carte di credito o di pagamento o qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi al fine di trarne profitto per sé o per altri. –   Falsificare o alterare carte di credito o di pagamento o qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi, al fine di trarne profitto per sé o per altri. –   Possedere, cedere o acquistare tali carte o documenti di provenienza illecita o comunque falsificati o alterati, nonché ordini di pagamento prodotti con essi, al fine di trarne profitto per sé o per altri. Secondo la giurisprudenza, integrano gli estremi delle fattispecie di cui all’art. 493-ter c.p., tra le altre, le seguenti ipotesi: ●   Cass. pen, sez. II, 7 novembre 2014, n. 47725: «In tema di indebita utilizzazione di carte di credito, integra il reato…l’effettuazione di transazioni non autorizzate dal titolare, previa immissione dei dati ricognitivi e operativi di una valida carta di credito altrui, essendo irrilevante che il documento non sia stato nel materiale possesso dell’agente». ●   Cass. pen., sez. II, 4 luglio 2012, n. 26613: «Per la configurazione del reato di utilizzo abusivo di carta di credito, in caso di carta al portatore e non nominativa, è necessario dimostrare il possesso in mala fede dell’utiliz­zatore (nella specie, l’imputato aveva utilizzato una tessera Viacard facente parte di uno stock di carte prepagate di cui era stato denunziato il furto. Pertanto, a detta della Corte, l’accertamento dell’eventuale buona fede dell’utilizzatore assumeva valore determinante per integrare l’elemento oggettivo, ovvero l’uso da parte di non titolare, e soggettivo del reato, ovvero la volontà di utilizzare la carta con la consapevolezza di non esserne titolare)».

2.4. Abusivismo (in relazione ai bitcoin)

Abusivismo (art. 166, D. Lgs. n. 58/1998 – T.U.F.) «È punito con la reclusione da uno a otto anni e con la multa da euro quattromila a euro diecimila chiunque, senza esservi abilitato ai sensi del presente decreto: a) svolge servizi o attività di investimento o di gestione collettiva del risparmio. b) offre in Italia quote o azioni di OICR. c) offre fuori sede, ovvero promuove o colloca mediante tecniche di comunicazione a distanza, prodotti finanziari o strumenti finanziari o servizi o attività di investimento. c-bis) svolge servizi di comunicazione dati. Con la stessa pena è punito chiunque esercita l’attività di consulente finanziario abilitato all’offerta fuori sede senza essere iscritto nell’albo indicato dall’articolo 31. Con la stessa pena è punito chiunque esercita l’attività di controparte centrale di cui al regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio, del 4 luglio 2012, senza aver ottenuto la preventiva autorizzazione ivi prevista. Se vi è fondato sospetto che una società svolga servizi o attività di investimento o il servizio di gestione collettiva del risparmio o i servizi di comunicazione dati ovvero l’attività di cui al comma 2-bis senza esservi abilitata ai sensi del presente decreto, la Banca d’Italia o la Consob denunziano i fatti al pubblico ministero ai fini dell’adozione dei provvedimenti previsti dall’articolo 2409 del codice civile ovvero possono richiedere al tribunale l’adozione dei medesimi provvedimenti. Le spese per l’ispezione sono a carico della società». La questione circa la configurabilità di tale (peculiare) reato è stata sottoposta all’attenzione della giurisprudenza di legittimità che si è recentemente pronunciata in relazione ai bitcoin [30], affermando il seguente principio di diritto: «Laddove la vendita di bitcoin venga reclamizzata come una vera e propria proposta di investimento con informazioni idonee a mettere i risparmiatori in grado di valutare se aderire o meno all’iniziativa e affermazioni come “chi ha scommesso in bitcoin in due anni ha guadagnato più del 97%”, essa si sostanzia in un’attività soggetta agli adempimenti di cui agli artt. 91 e seguenti t.u.f., la cui omissione integra la sussistenza [continua ..]

2.5. Sanzioni contemplate dalla normativa antiriciclaggio

Il quadro sanzionatorio contemplato dal D.Lgs. n. 231/2007 ha subito una rilevante modifica con l’entrata in vigore del D.Lgs. n. 90/2017 che è intervenuto confinando la sfera di rilevanza penale alle sole condotte dotate di particolare offensività e trasformando quelle meno gravi in illeciti amministrativi [33]. L’art. 55 D.Lgs. n. 231/07 prevede, ai primi tre commi, tre distinte fattispecie delittuose che sanzionano le gravi violazioni inerenti agli obblighi di adeguata verifica, quelli di conservazione delle informazioni raccolte e quelli di fornire informazioni veritiere. In particolare, le ipotesi rilevanti sono: –   Art. 55, comma I, D.Lgs. n. 231/2007: «Chiunque, essendo tenuto all’os­servanza degli obblighi di adeguata verifica ai sensi del presente decreto, falsifica i dati e le informazioni relative al cliente, al titolare effettivo, all’esecutore, allo scopo e alla natura del rapporto continuativo o della prestazione professionale e all’operazione è punito con la reclusione da sei mesi a tre anni e con la multa da 10.000 euro a 30.000 euro. Alla medesima pena soggiace chiunque essendo tenuto all’osservanza degli obblighi di adeguata verifica ai sensi del presente decreto, in occasione dell’adem­pimento dei predetti obblighi, utilizza dati e informazioni falsi relativi al cliente, al titolare effettivo, all’esecutore, allo scopo e alla natura del rapporto continuativo o della prestazione professionale e all’operazione». –   Art. 55, comma II, D.Lgs. n. 231/2007: «Chiunque, essendo tenuto all’os­servanza degli obblighi di conservazione ai sensi del presente decreto, acquisisce o conserva dati falsi o informazioni non veritiere sul cliente, sul titolare effettivo, sull’esecutore, sullo scopo e sulla natura del rapporto continuativo o della prestazione professionale e sull’operazione ovvero si avvale di mezzi fraudolenti al fine di pregiudicare la corretta conservazione dei predetti dati e informazioni è punito con la reclusione da sei mesi a tre anni e con la multa da 10.000 euro a 30.000 euro». –   Art. 55, comma III, D.Lgs. n. 231/2007: «Salvo che il fatto costituisca più grave reato, chiunque essendo obbligato, ai sensi del presente decreto, a fornire i dati e le informazioni necessarie ai fini dell’adeguata [continua ..]

2.6. Configurabilità dei reati tributari ex D.Lgs. n. 74/2000

Un ulteriore aspetto degno di nota è quello relativo alla eventuale applicabilità, nell’ambito del FinTech (e, segnatamente, delle criptovalute), dei reati previsti dal D.Lgs. n. 74/2000. Prima di affrontare l’argomento è opportuno richiamare quanto già esposto con riguardo al trattamento fiscale applicabile alle operazioni poste in essere dai c.d. exchangers, sia ai fini dell’imposta sui redditi che ai fini IVA. Sul tema, si sono pronunciate la Corte di Giustizia dell’Unione Europea [34] e l’Agenzia delle Entrate, con la Risoluzione N. 72/E del 2016. In particolare, l’Agenzia delle Entrate ha affermato che «agli effetti dell’Iva, la Corte europea ha riconosciuto che le operazioni che consistono nel cambio di valuta tradizionale contro unità della valuta virtuale bitcoin e viceversa, effettuate a fronte del pagamento di una somma corrispondente al margine costituito dalla differenza tra il prezzo di acquisto delle valute e quello di vendita praticato dall’operatore ai propri clienti, costituiscono prestazioni di servizio a titolo oneroso. Più precisamente, secondo i giudici europei, tali operazioni rientrano tra le operazioni ‘relative a divise, banconote e monete con valore liberatorio’ di cui all’articolo 135, paragrafo 1, lettera e), della direttiva 2006/112/CE». Per quel che concerne la rilevanza ai fini IVA, l’Agenzia delle Entrate ha sottolineato che «pur riguardando operazioni relative a valute non tradizionali (e cioè diverse dalle monete con valore liberatorio in uno o più Paesi)», le prestazioni in esame «costituiscono operazioni finanziarie in quanto tali valute siano state accettate dalle parti di una transazione quale mezzo di pagamento alternativo ai mezzi di pagamento legali e non abbiano altre finalità oltre a quella di un mezzo di pagamento». Alla luce di tale qualificazione, le prestazioni in esame vengono ricondotte – tanto dalla Corte di Giustizia quanto dall’Agenzia – tra le prestazioni esenti IVA. Per quanto concerne, invece, la rilevanza ai fini dell’imposta sui redditi, l’Agenzia ha confermato che le componenti di reddito derivanti dalla attività degli exchangers devono essere ricondotte tra i ricavi tipici dell’attività di intermediazione e, [continua ..]

2.7. La tutela penale dei dati e dell’identità digitale

Tra le principali sfide per il diritto penale nell’era del FinTech si ritrova anche quella di fornire una tutela rafforzata ai dati e all’identità digitale degli utenti. Con riguardo ai profili penalistici della questione occorre, necessariamente, confrontarsi con il Regolamento Europeo n. 679/2016 (G.D.P.R.) e con il D.Lgs. n. n. 196/2003 (Codice della privacy), come modificato con il D.Lgs. n. 101/2018, di adeguamento al GDPR. In particolare, viene in rilievo l’art. 167 Codice della privacy [36], il cui primo comma contempla una clausola di sussidiarietà («salvo che il fatto costituisca più grave reato») e punisce i trattamenti di dati personali compiuti in violazione delle norme espressamente richiamate, quando sono sorretti dal dolo specifico di conseguire un profitto per sé o per altri ovvero di recare un danno a terzi. La norma, in particolare, rinvia alla «violazione di quanto disposto dagli articoli 123, 126 e 130 o dal provvedimento di cui all’articolo 129»: si fa, dunque, riferimento, rispettivamente, alla violazione della disciplina in materia di trattamento dei dati relativi al traffico e all’ubicazione, nonché all’invio di comunicazioni indesiderate e all’inserimento degli utenti nei c.d. elenchi dei contraenti, ai fini delle comunicazioni pubblicitarie. Rilevante è, altresì, la condotta tipica di cui al comma III, consistente nel trasferimento dei dati personali verso un Paese terzo o un’organizzazione internazionale, al di fuori dei casi consentiti ai sensi degli articoli 45, 46 o 49 del Regolamento. Si tratta disposizioni che interessano gli operatori del settore FinTech, data la (più che) potenziale natura commerciale dell’attività svolta, nonché la dimensione transnazionale delle comunicazioni e delle operazioni dai medesimi poste in essere. Di notevole rilevanza è, inoltre, l’art. 167-bis Codice della privacy, il cui comma II punisce, salvo che il fatto costituisca più grave reato, «chiunque, al fine trarne profitto per sé o altri ovvero di arrecare danno, comunica o diffonde, senza consenso, un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala», quando il consenso dell’interessato è richiesto per le operazioni di [continua ..]

2.8. Rischi connessi alla responsabilità amministrativa degli enti

In chiusura, pare doveroso compiere una ulteriore riflessione in merito ai profili di responsabilità scaturenti dal D.Lgs. n. 231/2001. Infatti, in caso di realizzazione dei delitti di cui agli artt. 615-ter, 615-quater, 615-quinquies, 640-ter, 648-bis, 648-ter.1 c.p. e quelli di cui al D.Lgs. art. 74/2000, gli stessi potrebbero impegnare la responsabilità non solo della persona fisica che li ha materialmente commessi, ma, altresì, dell’Ente di appartenenza (artt. 24, 24-bis, 25-octies, 25-quinquiesdecies, D.Lgs. n. 231/2001), con la conseguente applicazione, in capo a quest’ultimo, delle sanzioni, pecuniarie e interdittive, previste dal medesimo D.Lgs. n. 231/2001; ciò, ovviamente, a condizione che venga dimostrato – oltre al resto – il conseguimento di un effettivo interesse o vantaggio in capo all’Ente medesimo.

3. Conclusioni

Volendo trarre le fila di questa breve riflessione sui risvolti penalistici del FinTech, pare anzitutto possibile denunciare la (invero, non nuova) difficoltà che incontra l’impianto normativo vigente ad interfacciarsi con una “realtà” che si colloca al di fuori degli ordinari schemi operativi sui quali è incentrato il paradigma criminoso tradizionale. La sostanziale smaterializzazione del contesto di riferimento e la conseguente perdita di rilevanza dell’interazione individuale (quantomeno nell’otti­ca in cui questa è solitamente al centro dell’azione repressiva del Legislatore penale) pone in risalto la necessità di mettere a punto nuovi schemi di controllo del fenomeno osservato, in grado di intercettarne gli snodi illeciti e impedirne la diffusione, oltre che di sanzionarne gli autori. Si tratta, in sostanza, di pensare ad un nuovo diritto punitivo capace di confrontarsi con l’era della c.d. intelligenza artificiale (riflessione, invero, an­ch’essa non nuova nel dibattito contemporaneo [37]) e delle relazioni virtuali, rispetto alle quali perdono di consistenza e paiono inadeguate le stesse categorie fondamentali e fondanti del diritto penale. Pur essendo indiscutibile, infatti, che dietro al carattere virtuale delle transazioni on line in cui si sostanzia il mondo del FinTech siano pur sempre individuabili comportamenti e decisioni riconducibili a soggetti “reali”, pare altrettanto innegabile che gli strumenti con cui questi agiscono siano difficilmente inquadrabili nell’ambito dello schema punitivo “classico” incentrato sulla triade autore-fatto-colpevolezza: il primo (l’autore) interagisce mediante sistemi informatici oltremodo complessi che ne snaturano la portata “individuale”; il secondo (il fatto), si scompone nella “virtualità” del mondo digitale, che ne cancella il collegamento con l’autore-persona-fisica che vi sta a monte (o, comunque, elude significativamente la possibilità di ricostruirlo); la terza (la colpevolezza), risulta anch’essa influenzata dall’impiego di soluzioni informatiche o informatizzate di raccolta e gestione delle informazioni, sì da far dubitare della stessa possibilità di continuare a confrontarsi con le tradizionali categorie del dolo e, più in generale, della [continua ..]

NOTE