Identità digitale e Codice penale: la Cassazione ridefinisce i confini

Il presente contributo si pone in continuità con il precedente studio Reati informatici e tutela delle libertà nell’era digitale, pubblicato nel gennaio 2026 su questa rivista, nel quale l’attenzione era stata rivolta all’evoluzione dei delitti informatici quale espressione della progressiva trasformazione digitale della società: in tale sede si era privilegiata un’analisi sul versante fenomenologico, evidenziando come l’innovazione tecnologica avesse modificato modalità esecutive, oggetto materiale e capacità offensiva delle condotte criminose. 

L’evoluzione della criminalità informatica pone, tuttavia, un ulteriore problema – meno evidente, ma non meno significativo – costituito dalla necessità di verificare se e in quale misura la trasformazione dell’ambiente digitale incida sull’interpretazione delle fattispecie incriminatrici vigenti. L’innovazione tecnologica, infatti, non richiede soltanto un costante aggiornamento degli strumenti investigativi o del legislatore, ma sollecita anche una riflessione sul significato di categorie normative destinate a confrontarsi con realtà profondamente diverse da quelle esistenti al momento della loro introduzione. 

L’identità digitale tra sistemi pubblici e privati 

L’art. 640-ter, terzo comma, C.p. richiama la nozione di identità digitale senza fornirne una definizione normativa. In questo contesto, la recente sentenza della Corte di Cassazione, Sezione II penale, 9 luglio 2026, n.25792 affronta direttamente tale questione, chiarendo che la nozione penalmente rilevante di identità digitale non è limitata agli strumenti di identificazione elettronica riconducibili ai sistemi pubblici, ma comprende anche credenziali predisposte da soggetti privati, purché idonee a identificare un determinato utilizzatore nell’ambito di un sistema informatico.  

L’interesse della pronuncia non risiede nell’introduzione di nuove categorie giuridiche, bensì nel percorso interpretativo seguito dalla Corte per individuare il significato di una nozione legislativa destinata a confrontarsi con l’evoluzione tecnologica: muovendo da tale presupposto, il presente contributo non intende proporre un commento alla decisione, ma utilizzare la sentenza quale occasione per riflettere sul rapporto tra dimensione digitale della persona e interpretazione del diritto penale dei delitti informatici. 

La nozione di identità digitale e l’interpretazione della Corte di Cassazione 

Ancora l’art. 640-ter, terzo comma, C.p. attribuisce rilevanza all’abusiva utilizzazione dell’identità digitale senza precisarne il contenuto: la disposizione utilizza, pertanto, una nozione aperta, il cui significato non può essere ricostruito esclusivamente attraverso il dato letterale, ma richiede un’attività interpretativa capace di collocarla nel contesto tecnologico nel quale la norma è destinata a operare. 

La questione assume particolare rilievo perché l’identificazione della persona nell’ambiente digitale non si realizza più esclusivamente attraverso strumenti disciplinati dalla normativa pubblicistica, in quanto la progressiva digitalizzazione delle attività economiche e sociali ha determinato la diffusione di una molteplicità di sistemi di autenticazione, gestiti anche da soggetti privati, che consentono all’utente di accedere a servizi, impartire disposizioni e compiere operazioni produttive di effetti giuridici e patrimoniali. In tale contesto, limitare la nozione di identità digitale ai soli sistemi pubblici significherebbe escludere dall’ambito applicativo della disposizione una parte rilevante delle modalità attraverso cui oggi la persona (fisica) opera nei sistemi informatici. È proprio questo il problema affrontato dalla Corte di Cassazione nella sentenza n.25792 del 2026. 

La decisione chiarisce che il riferimento all’identità digitale contenuto nell’art. 640-ter, terzo comma, C.p. non deve essere interpretato in senso formalistico, ma alla luce della funzione concretamente svolta dagli strumenti di autenticazione nel cui ambito, secondo la Corte, anche credenziali predisposte da soggetti privati possono integrare la nozione di identità digitale, purché consentano l’identificazione di uno specifico utilizzatore all’interno del sistema informatico nel quale vengono impiegate.  

Precisazione della nozione di identità digitale: dal criterio formale a quello funzionale 

La motivazione si colloca nel solco di precedenti orientamenti della giurisprudenza di legittimità, espressamente richiamati dalla stessa Corte, valorizzando una definizione di identità digitale intesa quale insieme delle informazioni e delle risorse che consentono l’identificazione di un soggetto nell’ambito di un sistema informatico mediante appropriate tecnologie, non trattandosi, dunque, dell’elaborazione di una nuova categoria penalistica, ma della precisazione del significato operativo di una nozione già presente nel testo legislativo. 

Particolarmente significativa è la scelta di privilegiare il criterio funzionale rispetto a quello formale, dove l’elemento decisivo non è rappresentato dalla natura pubblica o privata del soggetto che gestisce il sistema di autenticazione, bensì dalla concreta idoneità delle credenziali a identificare l’utilizzatore e a consentirgli l’esercizio di attività riconducibili alla sua sfera giuridica. 

La sentenza affronta, inoltre, un ulteriore profilo, precisando che la circostanza aggravante può ritenersi ritualmente contestata anche quando il capo d’imputazione non riproduca testualmente la formula normativa dell’«abusiva utilizzazione dell’identità digitale», purché la descrizione del fatto consenta all’imputato di comprendere con sufficiente precisione l’oggetto dell’accusa: anche sotto questo aspetto gli Ermellini valorizzano il contenuto sostanziale della contestazione rispetto alla sua formulazione letterale. 

L’interesse sistematico della pronuncia non deriva, dunque, dall’affermazione di principi innovativi, quanto dal metodo interpretativo adottato. La Corte ricostruisce il significato della nozione di identità digitale tenendo conto dell’evoluzione delle modalità di identificazione della persona nell’ambiente informatico, senza alterare il contenuto della disposizione incriminatrice né estenderne l’ambito applicativo oltre i limiti consentiti dal dato normativo. Da questa prospettiva, la sentenza costituisce un esempio significativo del modo in cui l’interpretazione giurisprudenziale può assicurare l’effettività della tutela penale in un contesto tecnologico in continua evoluzione, mantenendosi entro i confini tracciati dal principio di legalità; principio sulle cui fondamenta risulta possibile sviluppare alcune considerazioni di carattere più generale sul rapporto tra dimensione digitale della persona ed evoluzione del diritto penale dei delitti informatici. 

Identità digitale ed evoluzione dell’interpretazione penalistica 

La sentenza n.25792 del 2026 offre l’occasione per una riflessione che trascende il significato della singola disposizione incriminatrice. Il problema dell’identità digitale, infatti, costituisce una manifestazione di un fenomeno più ampio, rappresentato dall’incidenza della trasformazione tecnologica sull’interpretazione del diritto penale. 

L’evoluzione delle tecnologie digitali ha profondamente modificato le modalità attraverso cui la persona esercita diritti, assume obblighi e partecipa ai rapporti giuridici, ciò anche in virtù del fatto che una parte crescente delle attività economiche, professionali e personali si realizza ormai attraverso sistemi di autenticazione che consentono all’utente di operare nell’ambiente informatico mediante credenziali individuali. La dimensione digitale della persona non rappresenta, pertanto, una realtà autonoma rispetto alla persona fisica, ma costituisce una modalità attraverso la quale quest’ultima manifesta la propria identità nello svolgimento delle relazioni giuridicamente rilevanti. 

Da una simile constatazione non deriva, tuttavia, l’esigenza di individuare un nuovo bene giuridico penalmente protetto, anzi la sentenza in esame non sembra muoversi in questa direzione, né il dato normativo consente di sostenere che il legislatore abbia inteso attribuire all’identità digitale un’autonoma posizione nell’ambito dei beni oggetto di tutela penale; piuttosto, la decisione conferma come l’evoluzione tecnologica incida sulle modalità di applicazione delle categorie penalistiche tradizionali, imponendo all’interprete di ricostruirne il significato alla luce delle trasformazioni intervenute nella realtà sociale. 

Proprio sotto questo profilo emerge la rilevanza dell’approccio funzionale seguito dalla Corte secondo cui la nozione di identità digitale viene ricostruita considerando la funzione concretamente svolta dalle credenziali informatiche. Ciò consente di mantenere ferma la continuità della disposizione incriminatrice, adattandone l’applicazione alle modalità attraverso cui oggi si realizza l’identificazione della persona nell’ambiente digitale, senza ricorrere a interpretazioni estensive incompatibili con il principio di legalità. 

L’interesse della pronuncia consiste nell’avere mostrato come l’evoluzione tecnologica non renda necessariamente inadeguate le categorie penalistiche esistenti ma, al contrario, essa confermi che disposizioni formulate in termini generali possono continuare a trovare applicazione anche rispetto a fenomeni tecnologicamente nuovi, purché l’attività interpretativa rimanga ancorata al dato normativo e alla funzione della disposizione. In quest’ottica, la giurisprudenza assume un ruolo essenziale nell’assicurare l’effettività della tutela penale senza alterare l’equilibrio tra esigenze di protezione e garanzie proprie dello stato di diritto.  

La nozione di identità digitale tra stabilità della norma ed evoluzione del contesto 

La vicenda dell’identità digitale costituisce, dunque, un esempio significativo nel cui ambito l’ordinamento continua a tutelare la persona anche quando essa opera attraverso strumenti digitali; ciò che muta non è l’interesse protetto, bensì il contesto nel quale esso viene esposto a possibili forme di aggressione. La progressiva digitalizzazione delle relazioni giuridiche rende quindi necessario un costante aggiornamento dell’attività interpretativa, chiamata a confrontarsi con fenomeni nuovi senza compromettere la stabilità delle categorie fondamentali del diritto penale. 

L’analisi della sentenza della Corte di Cassazione n.25792 del 2026 conferma come la nozione di identità digitale costituisca, anzitutto, un problema di interpretazione della norma penale. La decisione, è bene ribadirlo, non introduce nuove categorie giuridiche né amplia il contenuto dell’art. 640-ter, terzo comma, C.p., ma chiarisce che l’identità digitale deve essere ricostruita valorizzando la funzione identificativa concretamente svolta dalle credenziali informatiche, indipendentemente dalla natura del soggetto che le ha predisposte. Il significato della pronuncia va quindi ricercato non tanto nella soluzione del caso concreto, quanto nel metodo interpretativo adottato, dimostrando la pronuncia come l’evoluzione tecnologica possa incidere sull’applicazione delle disposizioni penali senza rendere necessaria una revisione delle categorie normative esistenti e sottolineando, pertanto, come l’attività interpretativa sia sempre più chiamata ad individuare il significato di concetti legislativi formulati in termini generali, mantenendo costante il riferimento ai principi di legalità, tassatività e divieto di analogia. 

Nel quadro delineato, l’identità digitale rappresenta uno degli ambiti nei quali il diritto penale sarà sempre più frequentemente chiamato a confrontarsi con il rapporto tra stabilità della norma ed evoluzione della realtà tecnologica; la decisione esaminata conferma come tale equilibrio possa essere perseguito attraverso un’interpretazione coerente con il dato normativo e, allo stesso tempo, capace di cogliere le trasformazioni che caratterizzano l’ambiente digitale contemporaneo. 

[1] Art. 640-ter, comma 3, c.p.; Cass. pen., Sez. II, 2 luglio 2026 (dep. 9 luglio 2026), n.25792.

[2] Ai sensi dell’art. 1, comma 1, lett. u-quater), del d.lgs. 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale), per “identità digitale” si intende «la rappresentazione informatica della corrispondenza tra un utente e i suoi attributi identificativi, verificata attraverso l’insieme dei dati raccolti e registrati in forma digitale». Tale definizione, richiamata anche dalla sentenza in esame, rileva quale parametro interpretativo, pur operando in un diverso ambito normativo.

[3] Cass. pen., Sez. II, 2 luglio 2026 (dep. 9 luglio 2026), n.25792, che richiama, in tema di nozione di identità digitale e di applicabilità dell’aggravante di cui all’art. 640-ter, comma 3, c.p., Cass., Sez. II, n.40862 del 20 settembre 2022 (Bonollo), Cass., Sez. II, n.38027 dell’8 settembre 2023 (Rizzo) e Cass., Sez. II, n.14918 del 30 gennaio 2026 (Mirra).

[4] Sul rapporto tra interpretazione della legge penale, principio di legalità e divieto di analogia, cfr. G. Fiandaca-E. Musco, Diritto penale. Parte generale, ult. ed.; F. Mantovani, Diritto penale. Parte generale, ult. ed.