Frodi nei pagamenti digitali, criptovalute e lotta contro il riciclaggio

La disciplina sulla responsabilità d’impresa derivante da reato (d.lgs. 231/2001) conferma il proprio carattere innovativo e la stretta relazione con gli obiettivi di tutela penale prescritti dall’Unione Europea.

Il 14 e 15 dicembre scorsi, infatti, entrano in vigore nel nostro Ordinamento due decreti legislativi – il d.lgs. 184/2021 ed il d.lgs. 195/2021 – che, pur muovendo da ambiti differenti, evidenziano i tratti di un comune disegno: rafforzare il contrasto ai mezzi di finanziamento della criminalità ed al trasferimento illecito di denaro e valuta virtuale.

 

L’uso di tecnologie emergenti come “terreno di conquista” per il cyberlaundering.

A ben vedere, da circa un decennio le frodi e le contraffazioni dei mezzi di pagamento diversi dai contanti si trovano nel mirino dell’UE in ragione della necessità di modernizzare il previgente assetto normativo, ritenuto non più adeguato (Council Framework Decision 2001/413/JHA).

Le stime risalenti al 2013 già indicavano un ammontare di profitti criminali per 1,44 miliardi, conseguiti mediante tali strumenti. Tuttavia, alle condotte da tempo note di phishing, hacking o skimming (es. penetrare abusivamente nei sistemi di posta elettronica o negli stores digitali copiando dati di carte di credito e crearne di nuove contraffatte) si è aggiunta l’esigenza di contrastare l’uso delle nuove tecnologie emergenti – tra cui piattaforme e sistemi di scambio e conversione di criptovalute – per il riciclaggio dei proventi da delitto (c.d. cyberlaundering).

È questo il contesto in cui trae origine il d.lgs. 184/2021, attuativo della direttiva (UE) 2019/713, che ha determinato l’introduzione di tre nuove fattispecie nel d.lgs. 231/2001, a mezzo del nuovo art. 25-octies.1 rubricato “Delitti in materia di strumenti di pagamento diversi dai contanti”:

Indebito utilizzo e falsificazione di strumenti di pagamento diversi dai contanti (art. 493-ter c.p.);

Detenzione e diffusione di apparecchiature, dispositivi o programmi informatici diretti a commettere reati riguardanti strumenti di pagamento diversi dai contanti (art. 493-quater c.p.);

Frode informatica aggravata dalla realizzazione di un trasferimento di denaro, di valore monetario o di valuta virtuale (art. 640-ter c.p.).

 

L’estensione interpretativa delle fattispecie di riciclaggio a beni immateriali e a criptovalute

L’introduzione di tale categoria di reati si interseca con un’altra contestuale riforma, dalla cui analisi è possibile pervenire ad una visione prospettica d’insieme.

Il riferimento va al d.lgs. 195/2021 attuativo della direttiva (UE) 2018/1673, con cui viene ampliata la tipologia dei reati presupposto compresi nel fenomeno del riciclaggio, in particolare, ricettazione (art. 648 c.p.), riciclaggio (648-bis c.p.), reimpiego (648-ter c.p.) ed autoriciclaggio (648-ter.1), estendendola alle contravvenzioni (punite con l’arresto superiore nel massimo ad 1 anno o nel minimo a 6 mesi) ad ai delitti colposi.

Le fattispecie menzionate – già inserite nel numerus clausus dei reati 231 (art. 25-octies) – erano invece punite, in precedenza, solo se derivanti da condotte di natura dolosa, per cui con tale manovra dovremmo assistere ad una potenziale estensione della responsabilità 231 a casi precedentemente non contemplati.

Preme sottolineare, inoltre, come, pur in assenza di previsioni espresse che riconducano i beni immateriali (es. dati informatici e files archiviati e trasferiti in ambienti virtuali) al concetto di “cosa mobile” ai fini dell’applicazione della legge penale, alla stregua della citata Direttiva Europea le criptovalute sembrano doversi considerare, in via interpretativa, come possibile oggetto materiale della condotta di riciclaggio in quanto ascrivibili alle nozioni di “cose”, “beni o altre utilità” prescritte dalle stesse fattispecie. Aspetto, quest’ultimo, certamente non trascurabile, poiché considerare le valute virtuali come “denaro” in senso proprio, ai fini dei suddetti reati, avrebbe probabilmente costituito un’estensione analogica in malam partem della legge penale. Esse, infatti, non hanno forma fisica e non rappresentano valuta in corso legale in nessuno Stato del pianeta.

 

Prime osservazioni sul possibile aggiornamento del Modello 231

Ci si chiede, quindi, quali possano essere gli esiti pratici delle riforme in commento.

È verosimile che le modifiche apportate abbiano ripercussioni sul possibile aggiornamento del Modello 231 di tutti quei soggetti cui il Legislatore aveva esteso gli obblighi antiriciclaggio in attuazione della IV e V Direttiva: wallet providers, fornitori di e-wallet web e produttori di wallet software per detenere chiavi crittografiche volte ad archiviare e trasferire criptovalute, ovvero exchangers e società titolari di piattaforme destinate al loro scambio e conversione.

Tuttavia la portata delle riforme appare molto più estesa, soprattutto a fronte dell’introduzione dei “delitti in materia di strumenti di pagamento diversi dai contanti” che puniscono, tra le altre, condotte di detenzione, produzione di programmi informatici e dispositivi che possono essere utilizzati a tale scopo ed il cui utilizzo, nella pratica, spesso sottende comportamenti di accesso abusivo a sistemi informatici, detenzione abusiva di codici di accesso, intercettazione di comunicazioni informatiche o telematiche etc…

Appare, quindi, da considerare, la probabile relazione tra tali fattispecie ed i delitti informatici già presenti nel d.lgs. 231/2001.

Peraltro, la nuova previsione di frode informatica (640-ter c.p.) costituisce, adesso, oggetto di responsabilità 231 anche se compiuta verso un soggetto privato (es. società titolare di stores digitali oppure exchanger di criptovalute) e non solo, come accadeva in precedenza, quando diretta ai danni dello Stato o di altro Ente pubblico.

Stanti tali osservazioni, ai fini dell’aggiornamento del Modello 231 delle imprese, sembra pertanto opportuno dedicare particolare attenzione alla gestione sistemi di Information Communication Technology ed alle misure di mitigazione dei rischi previste.

In secondo luogo, potrebbe risultare altrettanto utile effettuare una ricognizione degli strumenti di pagamento digitali adottati (incluse applicazioni per cellulari), così come delle carte di credito assegnate al personale dipendente ed i presidi definiti per il loro utilizzo.

Qualora, inoltre, l’ente risulti esposto ad investimenti finanziari, potrebbe raccomandarsi un approfondimento degli strumenti e delle modalità con cui vi procede, in modo da rafforzare i relativi presidi di controllo.

Rimane fermo il fatto che, a seconda del settore industriale di operatività, del business d’impresa e dei processi aziendali in cui lo stesso si estrinseca, pur con grado d’impatto diverso, i reati introdotti dovranno rappresentare oggetto di esame puntuale.