In sintesi. Perché un reato lo giudichi l’Italia basta che una piccola parte sia avvenuta qui. Nei reati online, però, “una parte” si trova quasi sempre: un dato passato per un server italiano, un wallet con un nodo in Italia, un accesso agganciato a una cella italiana. Così rischia di essere competente mezzo mondo. La mia tesi: nel digitale non conta quante tracce ci sono, ma se in Italia c’è stato un pezzo vero di condotta umana, non solo l’impronta lasciata da una macchina. È un punto che può far cadere la competenza del giudice italiano.

di Avv. Alexandro Maria Tirelli Cassazionista. Presidente ISNITS. Aggiornato: giugno 2026.

Arriva un cliente con un’imputazione per frode informatica a proiezione transnazionale. L’accusa è costruita su un dettaglio tecnico: alcuni pacchetti di dati, lungo il loro tragitto, hanno attraversato server collocati in Italia. Da quel transito la Procura fa discendere la giurisdizione del giudice italiano. Il mio assistito, nel frattempo, in Italia non ha mai messo piede, e nessuna sua scelta è passata di qui. Eppure, a leggere certe massime con la mano pesante, quel transito basterebbe.

È da una scena come questa che voglio partire, perché racchiude tutto il problema. Nel mondo fisico, il criterio con cui radichiamo la giurisdizione funziona bene. Nel cyberspazio, applicato meccanicamente, rischia di trasformarsi in un grimaldello che apre qualunque foro. E un criterio che si apre dappertutto non seleziona più niente.

Come opera il criterio quando i confini sono linee sulla carta

La regola di partenza è l’art. 6 del codice penale: il reato si considera commesso in Italia quando qui si è verificata, anche solo in parte, l’azione o l’evento. Su questa base la Cassazione ha costruito un orientamento costante. Per radicare la giurisdizione italiana sul reato che si dipana anche all’estero è sufficiente che un frammento della condotta, inteso in senso naturalistico, sia avvenuto sul territorio dello Stato. Lo ha ribadito di recente la Seconda Sezione con la sentenza n. 1952 del 16 gennaio 2025, in un caso di riciclaggio di un veicolo rubato in Italia e poi reimmatricolato in Germania: il principio resta saldo, ma — ed è un passaggio che mi interessa molto — la Corte ha precisato che il frammento individuato in Italia rileva solo se concretamente collegato al resto, non come dato isolato.

Il discorso si fa ancora più chiaro quando c’è concorso di persone. Qui la giurisprudenza ammette che basti una frazione di condotta realizzata da uno qualsiasi dei concorrenti, a patto che sia significativa e univocamente collegabile al disegno criminoso complessivo. La Terza Sezione, con la sentenza n. 35165 del 2017, lo ha detto in modo che vale la pena tenere a mente: serve un frammento la cui rilevanza oggettiva — pur priva dei requisiti di idoneità e univocità richiesti per il tentativo — sia tale da legare la porzione di condotta avvenuta in Italia a quella svolta all’estero, sempre che tra le due esista un nesso funzionale. Non basta un proposito generico; serve un pezzo di condotta concreto e connesso.

Nel mondo fisico questi frammenti hanno contorni netti. L’accordo stretto in una stanza, la predisposizione dei mezzi, il varco della frontiera, la consegna del denaro. Sono atti di persone, scelti e compiuti. Il criterio seleziona perché i frammenti, là, sono rari e parlano.

Cosa succede quando lo stesso criterio entra nel digitale

Trasferiamo ora quel ragionamento ai reati informatici: frode informatica transnazionale, accesso abusivo a un sistema, riciclaggio in criptovaluta. Qui il “frammento naturalistico” non è raro: si moltiplica fino a perdere senso. Un pacchetto di dati che attraversa un server collocato in Italia è un frammento. Un wallet che poggia su un nodo nazionale è un frammento. Un login effettuato mentre il dispositivo aggancia una cella italiana è un frammento. Ciascuno di questi eventi è, tecnicamente, accaduto sul territorio.

Il punto è che l’architettura della rete è, per sua natura, distribuita. I dati prendono percorsi che nessuno sceglie consapevolmente, instradati da logiche di routing del tutto indifferenti ai confini degli Stati. Applicare meccanicamente il criterio del frammento a questa realtà significa attribuire rilevanza giurisdizionale a eventi puramente tecnici, privi di qualsiasi collegamento con una scelta umana. Il transito di un pacchetto non è una decisione del mio assistito: è una conseguenza del modo in cui internet è fatto.

Perché il criterio, letto così, prova troppo

Letto a contrario, il ragionamento si rovescia da sé. Se ogni transito tecnico bastasse, la giurisdizione italiana si radicherebbe quasi sempre — e con essa quella di mezzo mondo, perché l’architettura della rete distribuisce i frammenti ovunque. Un criterio che si verifica sempre non seleziona più nulla. È il vizio logico che mi preme isolare.

Una regola di competenza non serve ad affermare un potere, serve a distribuirlo. Individua il giudice naturale, ripartisce tra gli Stati il diritto di punire. Se la regola si attiva ovunque, non distribuisce più niente: produce conflitti positivi di giurisdizione a catena e, soprattutto, mina la prevedibilità del foro. E la prevedibilità del foro non è un tecnicismo: è una garanzia per l’imputato, che ha diritto di sapere davanti a quale giudice risponderà.

Dov’è la via d’uscita

La cosa che trovo più interessante è che la soluzione è già scritta nelle massime. Non occorre inventare una regola nuova: basta prendere sul serio quella che c’è. La giurisprudenza non si è mai accontentata di un frammento qualunque. Ha sempre chiesto una frazione significativa e univocamente collegabile al disegno complessivo — è il cuore della pronuncia del 2017, ed è esattamente il filtro che la Seconda Sezione ha riaffermato nel 2025 quando ha negato rilievo al frammento isolato e scollegato.

Applicato al digitale, questo filtro impone una distinzione netta. Da una parte la traccia tecnica passiva: il transito di un dato che nessuno ha scelto di far passare di lì, l’impronta che la macchina lascia da sola. Dall’altra il segmento di condotta umana effettivamente compiuto in Italia: la predisposizione dell’infrastruttura, l’invio mirato, la monetizzazione decisa e attuata. Il principio regge solo se “frammento” continua a significare un pezzo di condotta della persona, e non una qualunque impronta lasciata dall’apparato.

Nel cyberspazio, insomma, il filtro non può essere quantitativo — di tracce ce n’è dappertutto — ma deve tornare a essere qualitativo. È la differenza tra un dato che attraversa l’Italia per caso e un atto che l’agente ha scelto di compiere dall’Italia o verso l’Italia.

Torno alla scena iniziale. In quel procedimento ho eccepito il difetto di giurisdizione valorizzando proprio le massime sul frammento significativo: quel transito era una traccia tecnica passiva, instradata da logiche di rete indifferenti alla volontà del mio assistito, non un segmento di condotta umana scelto e compiuto in Italia. La questione, sollevata fin dalle prime fasi, ha portato il giudice a interrogarsi seriamente sul radicamento del foro, con un esito favorevole sul piano della competenza. La stessa giurisprudenza che sembrava chiudere ogni spazio, letta per intero, lo riapriva.

Domande frequenti

Quando è competente il giudice italiano per un reato transnazionale?

Quando un frammento della condotta, in senso naturalistico, è avvenuto in Italia. In caso di concorso basta una frazione di condotta di uno dei concorrenti, purché significativa e univocamente collegabile al disegno complessivo.

Il transito di dati su un server italiano radica la giurisdizione?

Non automaticamente. Il transito tecnico passivo di un dato non equivale a un segmento di condotta umana compiuto in Italia. Il criterio richiede una frazione significativa, non una qualunque traccia lasciata dalla rete.

Perché si parla di filtro “qualitativo” e non “quantitativo”?

Perché nel cyberspazio le tracce tecniche sono ovunque: contarle non seleziona nulla. Conta invece la qualità del collegamento, cioè il segmento di condotta che l’agente ha effettivamente scelto di realizzare dall’Italia o verso l’Italia.

Questo argomento può escludere la giurisdizione italiana?

Può contestarne il radicamento quando l’accusa si fonda solo su tracce tecniche passive (server, nodi, celle) senza la prova di una condotta umana significativa svolta sul territorio. È un argomento difensivo che nasce dalla stessa giurisprudenza.

Le norme di riferimento

  • art. 6 c.p. — reati commessi nel territorio dello Stato.
  • Cass. pen. sez. II, sent. n. 1952/2025 (ud. 16/01/2025) — il frammento di condotta in Italia radica la giurisdizione solo se concretamente collegato al resto della vicenda.
  • Cass. pen. sez. III, sent. n. 35165/2017 — in caso di concorso basta una frazione di condotta di uno qualsiasi dei concorrenti, purché significativa e univocamente collegabile, con nesso funzionale, alla parte realizzata all’estero.