Composta dagli Ill.mi Sigg.ri Magistrati: Udienza pubblica
Dott. BRUSCO Carlo Giuseppe - Presidente - del 19/10/2006
Dott. ROMIS Vincenzo - Consigliere - SENTENZA
Dott. COLOMBO Gherardo - Consigliere - N. 1296
Dott. BIANCHI Luisa - Consigliere - REGISTRO GENERALE
Dott. PICCIALLI Patrizia - Consigliere - N. 047250/2005
ha pronunciato la seguente:

SENTENZA/ORDINANZA
sul ricorso proposto da:
PROCURATORE GENERALE DELLA REPUBBLICA PRESSO CORTE APPELLO di MILANO;

nei confronti di:
1) ZZ IA, N. IL 17/12/1957;
2) IA HE, N. IL 05/10/1946;
3) AN AR, N. IL 12/11/1947;
4) GA ON, N. IL 13/06/1944;
avverso SENTENZA del 11/07/2005 CORTE APPELLO di MILANO;

visti gli atti, la sentenza ed il procedimento;

udita in PUBBLICA UDIENZA la relazione fatta dal Consigliere Dott. BRUSCO Carlo Giuseppe;

Udito il Procuratore Generale Dott. Oscar CEDRANGOLO che ha concluso per l'annullamento senza rinvio della sentenza impugnata con dichiarazione di inammissibilità dell'appello del Pubblico Ministero.
Uditi per gli imputati i difensori avv.ti:
- PALIERO Carlo Enrico per UZ G.;
- Ennio AMODIO e Giuseppe DE LUCA per LI;

- Corso BOVIO per NA;

- MO BIFFA per GA A.;
i quali hanno concluso per l'inammissibilità del ricorso o, in subordine, per il suo rigetto.
La Corte:
OSSERVA
1) La Corte d'Appello di Milano, con sentenza 11 luglio 2005, ha respinto l'appello proposto dal Procuratore generale della Repubblica presso il medesimo Ufficio contro la sentenza 6 dicembre 2004 del Giudice dell'udienza preliminare presso il Tribunale di Como che aveva dichiarato non luogo a procedere nei confronti di RE ON (con la formula perché il fatto non sussiste) e nei confronti di IA HE, ZZ IA, AN AR e GA ON (con la formula perché il fatto non costituisce reato) in ordine ai delitti di disastro ferroviario colposo (art. 449 c.p., comma 2), omicidio colposo plurimo e lesioni colpose plurime in relazione a un disastro ferroviario verificatosi in Ponte Chiasso il 21 febbraio 2002 allorché due treni si erano scontrati provocando la morte dei macchinisti RT OR e EN IN e lesioni gravi a CR ON e RR IE.
Agli imputati era stato contestato, nelle rispettive qualità - RE A. di coordinatore del personale di macchina della Lombardia;
IA di responsabile della direzione tecnica di Rete Ferroviaria Italiana (R.F.I.) e gestore della infrastruttura;

AN di responsabile della sicurezza della divisione cargo (trasporto merci) di IA s.p.a.; GA A. di responsabile della divisione sicurezza di sistema di IA, ZZ G. di direttore della divisione cargo - di aver cagionato il disastro per aver omesso di dotare il sistema dei necessari impianti di sicurezza di cui si dirà più avanti.
A ZZ G. e RE A. era stato contestato anche un diverso addebito di colpa: quello di aver consentito che RT prestasse servizio il giorno dell'incidente senza aver usufruito nel riposo obbligatorio di diciotto ore consecutive. Ma la Corte ha ritenuto che non fosse provata l'efficienza causale di questa violazione sull'incidente verificatosi e comunque essendo risultato che, al momento dell'incidente, ai comandi del treno merci quale macchinista si trovava EN e non RT. Questa statuizione è divenuta definitiva.
Quanto all'addebito (nei confronti di IA, ZZ G., AN e GA A.) - consistente nell'aver consentito che il locomotore E 636 circolasse senza essere provvisto del sistema di ripetizione dei segnali a bordo (denominato RSC) che avrebbe consentito di evitare lo scontro - la Corte ha espresso un convincimento diverso da quello del primo giudice che aveva ritenuto che la normativa che impone l'adozione del sistema indicato si riferisse solo al materiale di nuova costruzione (peraltro il primo giudice aveva espresso dubbi anche sull'efficacia impeditiva del meccanismo di prevenzione indicato).
Secondo la Corte di merito anche se le omissioni contestate si fossero effettivamente verificate "nella causazione del disastro ferroviario de quo si sarebbe comunque inserito un evento del tutto anomalo, quale causa sopravvenuta da sola sufficiente - a mente dell'art. 451 cpv. c.p. - a determinare l'evento infortunistico:
l'inopinata decisione di cambiare locomotore al treno merci in partenza da Milano per Ponte Chiasso".
Il locomotore sostituito avrebbe invece avuto le caratteristiche richieste ma questa scelta non sarebbe addebitabile agli imputati indicati in quanto la decisione di utilizzare il locomotore non dotato del sistema era addebitabile al capo deposito della sala operativa dello stabilimento di Milano (tale IN DO non imputato ne' indagato nel presente procedimento). E la Corte ha escluso altresì che spettasse agli imputati indicati alcun potere di controllo sulle decisioni inerenti la gestione della sala operativa di Milano.
Affrontando poi il problema se l'installazione del sistema di ripetizione automatica, introdotto negli anni 1970, fosse da ritenere obbligatorio anche nel materiale rotabile di vecchia costruzione la sentenza, richiamando le memorie difensive, ricostruisce il quadro normativo regolamentare (in particolare le disposizioni 14/2000 e 12/2001 della divisione infrastruttura di IA) nel senso che il sistema di riferisca soltanto al materiale di nuova costruzione. Una conferma di questa ricostruzione è tratta dalla circostanza che, dopo la privatizzazione, la soc. IA è stata autorizzata a far circolare circa 1200 mezzi di trazione privi del sistema di ripetizione e che solo 4500 chilometri di linea (su 16500) sono attrezzati in tal senso. E anche se l'obbligo si intendesse riferito anche al materiale di vecchia costruzione, ma limitatamente alle linee dotate di questo sistema, la Corte ribadisce che la sostituzione del locomotore interessato dall'incidente è avvenuta per iniziativa autonoma di altro soggetto della quale gli imputati non possono essere chiamati a rispondere.
2) Contro questa sentenza ha proposto ricorso nei confronti di tutti gli imputati (ad eccezione di RE A.) il Procuratore generale della Repubblica presso la Corte d'appello di Milano deducendo i seguenti motivi di ricorso:
1) la violazione degli artt. 40 e 41 c.p. per avere, la Corte di merito, erroneamente ritenuto che il cambiamento della composizione del treno costituisse una serie causale autonoma. Il ricorrente precisa che, come risulta dalla sentenza impugnata, lo scambio del materiale rotabile era frequentissimo (nel 68% dei casi) per cui non può ritenersi che questo fatto abbia avuto carattere di eccezionalità e imprevedibilità; e comunque la Corte alcuna motivazione ha fornito sull'esistenza di queste caratteristiche. 2) la violazione dell'art. 43 c.p.; l'affidamento che i dirigenti potevano fare sul rispetto delle disposizioni dettate dal gestore da parte del capo deposito della sala operativa (in particolare le disposizioni 14/2000 e 12/2001) non consentiva di escludere che venisse impiegato materiale non dotato di RSC essendo anzi questa scelta prevedibile proprio perché la scelta dei dirigenti di IA era stata quella di tenere in esercizio anche le locomotive non dotate di RSC.
3) la violazione degli artt. 40 cpv. e 43 c.p. perché la sentenza impugnata avrebbe erroneamente escluso che il rischio disastro fosse ricompreso tra quelli che la norma prevenzionale mirava a prevenire trattandosi di norme aventi lo scopo di aumentare e potenziare la capacità delle linee. Secondo il ricorrente questa affermazione costituisce un "paralogismo" essendo ovvio che l'incremento dei convogli è strettamente collegato alla garanzia dell'esistenza di più ampi margini di sicurezza;
e comunque si tratta di affermazione smentita dalle citate disposizioni 14/2000 e 12/2000 (e da altri provvedimenti oltre che dagli accordi sindacali) che riferivano l'introduzione del nuovo sistema alla sicurezza.
4) la mancanza e manifesta illogicità della motivazione sul contenuto delle posizioni di garanzia rivestite dagli imputati. Questa omissione è evidenziata nella medesima sentenza impugnata laddove si afferma l'irrilevanza della ricerca della fonte delle disposizioni impartite al capo deposito con la successiva apodittica affermazione che sugli imputati non gravava alcun potere dovere di controllo su questa struttura (diretta da persona avente la qualifica di macchinista).
5) la mancanza e manifesta illogicità della motivazione sul tema dell'esistenza della colpa specifica. Secondo il ricorrente la ricostruzione del quadro normativo regolamentare effettuata dalla Corte d'appello sarebbe errata perché la disposizione n. 12 del 15 giugno 2001, dettata dal gestore dell'infrastruttura ferroviaria (lo stesso imputato ing. IA), non distinguerebbe fra locomotori vecchi e nuovi ma imporrebbe l'utilizzazione del sistema RSC sui tratti di linea attrezzati con questo sistema che comprendano due stazioni o comunque un tratto superiore a 10 km. (condizione presente nel tratto dove si è verificato l'incidente).
Inoltre la Corte avrebbe introdotto, nella disposizione n. 14/2000, una distinzione tra materiale rotabile vecchio e nuovo che la disposizione non contiene. Tra l'altro la tesi che il sistema deve essere installato sui vecchi locomotori quando percorrono le tratte attrezzate è sostenuta dai difensori del medesimo ing. IA nella memoria 31 marzo 2004 (allegata in copia ai motivi di ricorso). La Corte avrebbe poi fatto riferimento: a) a un documento dell'amministratore delegato (che confermerebbe la lettura fondata su un testo "apocrifo" della disposizione 14/2000) che non aveva alcuna veste per fissare i parametri di sicurezza dei convogli in circolazione (compito spettante al gestore di infrastruttura); b) a un documento (DI/TC.CS. 582/2000) del gestore di infrastruttura che avrebbe autorizzato IA ad impiegare il materiale non dotato di RSC su tutte le linee italiane senza indicare "da quale fonte ha tratto la conoscenza processuale dell'atto ed il preciso contenuto dello stesso"; c) a una disposizione emanata successivamente all'incidente.
6) la mancanza di motivazione e la violazione di legge (art. 43 in relazione al D.P.R. 11 luglio 1980, n. 753, art. 8 e D.Lgs. n. 626 del 1994, art. 35). La Corte di merito, limitando il suo esame alla disciplina regolamentare, avrebbe ignorato di considerare che le norme di rango primario indicate, e richiamate nei motivi di appello, imponevano al gestore del servizio ferroviario di adottare tutte le misure atte ad evitare sinistri e imponevano al datore di lavoro di adottare le misure tecniche ed organizzative adeguate per ridurre al minimo i rischi connessi all'uso delle attrezzature. Avrebbe dovuto invece, pur interpretando la disciplina regolamentare nel senso errato e riduttivo ricordato, verificare se il minore standard adottato per le motrici fosse conforme ai criteri risultanti dalle due norme indicate.
3) I difensori degli imputati nei confronti dei quali è stato proposto ricorso hanno depositato memorie con le quali confutano le ragioni poste a fondamento dell'impugnazione del p.g. della quale chiedono la dichiarazione di inammissibilità o, in subordine, il rigetto. In particolare:
A) Il difensore di HE IA (responsabile della gestione tecnica di FI e gestore della infrastruttura) sottolinea che al suo assistito è contestato un duplice addebito: di non aver controllato e di non aver preteso che tutti i treni fossero dotati del sistema di ripetizione segnali. Quanto al primo obbligo si precisa nella memoria che trattasi di condotta inesigibile non potendosi pretendere che il gestore delle infrastrutture (tra l'altro appartenente ad una società diversa da IA, la FI) possa controllare la formazione di tutti i treni ( 10.000 al giorno); questo compito, nel caso specifico, era demandato al soggetto addetto alla gestione operativa della composizione dei treni della stazione di Milano. Per quanto riguarda invece l'aver omesso di pretendere che tutti i treni fossero dotati di sistema RSC nella memoria si rileva che i treni dotati di questo sistema, all'epoca dell'incidente, erano in quantità esuberante rispetto al numero di linee attrezzate;
l'ing. IA aveva infatti emanato la disposizione n. 12 del 2001 che prevedeva l'impiego di queste locomotive nei tratti di linea attrezzati senza distinguere se si trattasse di materiale di vecchia o nuova costruzione.
Nel caso di specie il treno in questione percorreva una linea attrezzata avente le caratteristiche richieste e il gestore operativo aveva l'obbligo di utilizzare una locomotiva dotata del sistema in questione che, tra l'altro, era stato installato anche su materiale rotabile di vecchia costruzione.
Corretta dunque deve ritenersi la decisione della Corte d'Appello di Milano che ha accertato in fatto che l'utilizzazione di un locomotore non dotato del sistema RSC era riconducibile ad "un'autonoma quanto ingiustificata scelta di un responsabile a livello periferico, NO O" e ha quindi ritenuto che solo a questa scelta fosse riconducibile l'incidente.
B) AN AR (responsabile della sicurezza della divisione cargo), nella memoria redatta dal suo difensore, ribadisce anzitutto la correttezza della decisione sull'interruzione del nesso causale a causa della condotta del capo deposito della sala operativa di Milano e sottolinea come l'accertamento dell'esistenza di tale efficacia interruttiva costituisca un accertamento in fatto devoluto al giudice di merito, e quindi incensurabile nel giudizio di legittimità, tanto più che la motivazione della sentenza impugnata è del tutto adeguata sul punto.
La composizione teorica del treno con l'uso di locomotiva attrezzata col ripetitore dei segnali a bordo era stata comunicata alla divisione infrastruttura per cui corretta appare la valutazione secondo cui i dirigenti IA e FI potevano ragionevolmente confidare sull'osservanza della regola anche perché la decisione di sostituire il locomotore fu presa in assoluta autonomia. Del tutto corretta appare poi la decisione impugnata quanto alla esclusione, in capo a AN, di un dovere di prevenzione e controllo delle decisioni del capo deposito di Milano. All'esponente non era infatti attribuito alcun compito relativo alla sicurezza della circolazione (compiti attribuiti alle strutture operative che sovrintendono alla circolazione) e l'indicazione nei suoi confronti di una posizione di garanzia è verosimilmente frutto di un equivoco derivato dalla circostanza che le sue attribuzioni sono denominate "sicurezza del sistema" che nulla ha a che fare con la sicurezza della circolazione.
Nella memoria si rileva poi che la censura relativa all'affermazione dei giudici di merito sull'inesistenza del rapporto di causalità tra l'omessa installazione del sistema RSC e l'incidente, oltre che inammissibile nel giudizio di legittimità, è infondata anche nel merito essendo del tutto corretta la valutazione contenuta nella sentenza impugnata. In particolare devono ritenersi corrette le valutazioni del giudice di merito secondo cui: il sistema in questione non è stato introdotto per ragioni di sicurezza ma per il potenziamento della linea;
il gestore aveva autorizzato IA ad impiegare tutto il materiale disponibile e non solo quello dotato di RSC;
l'installazione del sistema era prevista solo per il materiale di nuova costruzione;
il sistema RSC, anche a voler ritenere che abbia una funzione di sicurezza, non costituisce il sistema di sicurezza più affidabile sia perché può essere escluso dal macchinista sia perché risulta che il sistema del doppio macchinista è il più idoneo a salvaguardare le esigenze di sicurezza. Non corrisponderebbe poi al vero che la sentenza impugnata avrebbe affermato l'irrilevanza della ricerca delle fonti della posizione di garanzia degli imputati essendosi limitata ad affermare che, dalla documentazione esistente nel fascicolo, non emergeva da dove risultassero queste fonti.
Quanto all'addebito di colpa specifica nella memoria si osserva che il ricorrente contesta l'interpretazione della Corte secondo cui l'obbligo di dotazione del sistema RSC riguarderebbe solo il materiale di nuova costruzione e in contrario si evidenzia che la Corte di merito ha esaminato anche la diversa ipotesi interpretativa e ha confermato che, se anche dovessero interpretarsi le disposizioni nel senso che sulle linee attrezzate debba comunque essere utilizzato materiale rotabile dotato del sistema RSC, resterebbe pur sempre escluso che i quattro imputati potessero intervenire sulla scelta effettuata dal responsabile periferico.
C) Anche GA ON, responsabile della divisione sicurezza di sistema, ha depositato, a mezzo del suo difensore, memoria con cui contesta gli argomenti su cui si fonda il ricorso.
Preliminarmente, sul tema dell'efficienza causale dell'omessa installazione del sistema RSC sulla verificazione dell'incidente, nella memoria si sottolinea che la sentenza impugnata ha escluso questa efficienza causale. Il consulente tecnico del P.M. secondo cui l'installazione del sistema avrebbe evitato l'incidente - ha precisato che questa conclusione si riferisce all'ipotesi che il sistema fosse utilizzato correttamente e senza alcuna possibilità di disattivazione da parte del personale. Solo un'attivazione automatica del sistema poteva quindi costituire un fattore causalmente adeguato ai fini di impedire l'evento.
Infondata sarebbe poi la pretesa del ricorrente di interpretare la disposizione n. 14/2000 nel senso che il sistema RSC doveva essere applicato anche al materiale rotabile di vecchia costruzione. Se è vero che questa disposizione non distingue tra materiale vecchio e nuovo a ritenerne l'applicabilità al solo materiale di nuova costruzione valgono tutti gli ulteriori atti (che vengono analiticamente indicati: in particolare l'atto denominato "procedura operativa funzionale del 19 giugno 2000) da cui si ricava che la corretta conclusione è quella della sentenza impugnata. Parimenti infondati sarebbero i motivi che si riferiscono alla "notorietà" di un documento richiamato nella sentenza (rilascio di un certificato di sicurezza alle ferrovie dello Stato senza alcuna obbligo di far circolare i soli mezzi dotati di RSC sui tratti attrezzati) e al potere dell'amministratore delegato di FI di fissare i parametri di sicurezza applicabili ai convogli in circolazione.
Nella memoria si ribadisce poi che la mancata installazione del sistema RSC non può, da sola, integrare la colpa non essendo questo sistema riconosciuto come l'unico idoneo ad evitare situazioni di pericolo. Attinente al merito è poi ritenuta la censura che si riferisce all'inesistenza di un potere di determinare le scelte di IN nella composizione dei convogli tanto più che il medesimo aveva a disposizione una locomotiva dotata di sistema RCS;
mentre priva di rilievo, in mancanza di informazioni sui motivi che determinarono la sostituzione, è l'elevata percentuale di sostituzione del materiale rotabile riscontrata.
4) Infine nella memoria del difensore di ZZ IA (direttore della divisione cargo) - dopo aver premesso che non è stata impugnata la sentenza della Corte d'appello nella parte in cui esclude l'addebito sub b del capo A (relativo al periodo di riposo del macchinista RT OR) - vengono esaminati congiuntamente i primi quattro motivi di ricorso e, dopo aver espresso considerazioni in tema di causalità, si precisa che erronea è la costruzione del ricorrente sulla successione delle posizioni di garanzia. La regola generale è che chi succede o precede altri in una posizione di garanzia deve, e può, fare affidamento sul rispetto delle regole cautelari da parte del precedente garante in mancanza di "conosciuti segnali contrari" ed in particolare dell'esistenza di violazioni di regole cautelari da parte di chi precede o di chi occupa una posizione di garanzia contigua.
L'esponente prosegue ricordando che la regola cautelare che si assume violata non aveva "natura cautelare specifica rispetto al rischio di cui l'evento è risultato concretizzazione" perché il sistema RSC ha lo scopo di consentire la circolazione contemporanea di più convogli ad una maggiore velocità e comunque è condizionato al mancato disinnesco dell'operatore per cui non può affermarsi che il comportamento alternativo lecito avrebbe evitato, secondo una legge di copertura, il verificarsi dell'evento.
In ogni caso se violazione di regola cautelare vi è stata ciò è avvenuto non solo per decisione di altri ma al di fuori della sfera di protezione e controllo attribuita all'ing. ZZ G. che poteva e doveva fare affidamento sulla condotta osservante di altri avendo adempiuto al solo obbligo su di lui gravante, quello di garantire la disponibilità di locomotori dotati di RSC.
Nella memoria si ribadisce poi la correttezza dell'interpretazione del sistema normativo da parte della Corte di merito secondo cui l'obbligo di installazione del sistema RSC si riferisce soltanto al materiale di nuova costruzione e si sottolinea che IA era stata autorizzata ad utilizzare tutto il materiale ceduto perché fornito del certificato di sicurezza come risulta anche dagli altri documenti che nella memoria vengono indicati.
Quanto all'addebito di inosservanza di norme primarie sulla sicurezza invocate dal ricorrente (D.P.R. n. 753 del 1980, art. 8 e D.Lgs. n.626 del 1994, art. 35) nella memoria si sottolinea che ZZ G. ha osservato tutte le regole che rientravano nella sua sfera di garanzia mentre la violazione contestata non rientrava nella sua sfera di protezione e comunque del tutto corretta è l'affermazione della Corte sulla circostanza che se la scelta di adottare un diverso sistema di sicurezza (quello del doppio macchinista) fosse ritenuta congrua e giustificata andrebbe escluso il profilo di colpa specifica in esame. Tra l'altro nel procedimento sarebbe stato dimostrato che il sistema del doppio macchinista costituisce proprio il sistema che consente di raggiungere livelli di maggior sicurezza e la circostanza della loro contemporanea disattenzione nel caso di specie rientra nei limiti dell'imprevedibilità.
4) Il ricorso è infondato e deve conseguentemente essere rigettato anche se alcune censure contenute nei motivi di ricorso paiono fondate.
Il punto di partenza da cui occorre prender le mosse è il seguente:
se il sistema di ripetizione automatica dei segnali (RSC) fosse stato installato e attivato sul locomotore E 636-022 sul quale si trovavano in servizio i due macchinisti deceduti il disastro e gli altri eventi contestati nell'imputazione non si sarebbero verificati. È infatti certo - secondo le sentenze di merito che fondano questa valutazione sugli accertamenti in fatto e sulle indagini tecniche svolte - che lo scontro si è verificato perché i macchinisti in servizio sul locomotore indicato non hanno osservato il segnale giallo che obbligava a ridurre la velocità ne' quello successivo, di colore rosso, che imponeva di fermare il mezzo dai medesimi condotto. Poiché il sistema RSC ha proprio lo scopo di ovviare agli errori umani bloccando il convoglio in caso di inosservanza dei segnali visivi è evidente che il giudizio controfattuale porta alla conclusione, non solo in termini di elevata credibilità razionale (come richiesto dalla sentenza Cass., sez. un., 10 luglio 2002 n. 30328, Francese) ma di vera e propria certezza, che se il sistema fosse stato installato sul locomotore di cui trattasi l'evento non si sarebbe verificato.
Gli imputati a queste conclusioni contrappongono due argomentazioni:
la prima è che il sistema di ripetizione automatica dei segnali non avrebbe funzione di prevenzione di incidenti ma di potenziamento e velocizzazione del traffico;
la seconda è che il sistema non costituisce il metodo più sicuro di prevenzione degli incidenti che invece sarebbe costituito dalla presenza di due macchinisti a bordo del locomotore.
Ma si tratta di argomentazioni prive di fondamento anche se le sentenze di merito sembrano attribuire loro una certa credibilità. Senza entrare in valutazioni di merito estranee al giudizio di legittimità - e restando quindi alla verifica della logicità e plausibilità delle motivazioni contenute nella sentenza impugnata (e riprese dalla prima argomentazione degli imputati) - non può non osservarsi che l'affermazione secondo cui il sistema è estraneo alla sicurezza parte da un presupposto erroneo: che le finalità di sicurezza e quelle di potenziamento del traffico siano tra di loro estranee.
È invece vero il contrario: in tanto il traffico può essere potenziato e velocizzato in quanto ciò avvenga in condizioni di sicurezza e ove il sistema di prevenzione di infortuni e disastri lo consenta.
È dunque evidente che il sistema - se anche fosse stato introdotto per finalità estranee - aveva comunque una finalità di sicurezza. In ogni caso non si vede come possa essere estranea la finalità di sicurezza ad un sistema che consente di ovviare all'errore umano (e quindi di evitare i disastri ferroviari).
La illogicità della seconda argomentazione è ancor più manifesta. Si dice: garantisce una maggior sicurezza il sistema del doppio macchinista perché il sistema RSC richiede che il macchinista lo attivi e non lo disattivi. Sarebbe come dire che il datore di lavoro non risponde della caduta del lavoratore che operava in altezza, e al quale non era stata fornita la cintura di sicurezza, perché l'infortunato avrebbe comunque potuto non allacciarla o sganciarla successivamente.
È facile obiettare che l'agente risponde delle conseguenze della sua condotta, omissiva o commissiva, posta in essere in violazione delle regole cautelari se questa violazione ha avuto un'efficienza causale sul verificarsi dell'evento e che l'esistenza del nesso di condizionamento non può venir meno ipotizzando, in via del tutto congetturale, eventuali fattori causali alternativi posti in essere dalla persona offesa o da terzi che avrebbero potuto determinare un diverso percorso causale. L'agente è tenuto ad osservare la regola cautelare;
se altri ne violano di diverse, e l'evento si verifica per questa diversa violazione, è ovvio che ne risponderanno essi soltanto. Ma se l'evento è ricollegabile alla violazione del primo agente non si vede come possa essere esclusa la sua responsabilità in base ad ipotesi astratte e prive di qualsiasi conferma. 5) Ciò premesso sulla causalità - e passando ai motivi di ricorso che si riferiscono all'elemento soggettivo del reato - va fatta una considerazione preliminare relativa al livello di adeguamento esigibile dall'agente nel caso di scoperta o introduzione di innovazioni idonee a garantire ai lavoratori o ai terzi un maggior livello di sicurezza nelle attività caratterizzate da un certo livello di pericolosità come quella dell'esercizio dell'attività ferroviaria.
È evidente come non sia possibile pretendere - in ogni caso in cui la ricerca e lo sviluppo delle conoscenze portino alla individuazione di tecnologie più idonee a garantire la sicurezza - che l'imprenditore proceda ad un'immediata sostituzione delle tecniche precedentemente adottate con quelle più recenti e innovative dovendosi procedere ad una complessiva valutazione sui tempi, modalità e costi dell'innovazione.
A fronte di una condotta comunque positiva dell'imprenditore di adeguarsi alle nuove tecnologie - e purché i sistemi adottati siano comunque idonei a garantire un livello elevato di sicurezza - le scelte imprenditoriali divengono insindacabili.
Questa Corte condivide quindi le osservazioni recentemente formulate, dallo studioso italiano che ha maggiormente approfondito i temi della colpa, secondo cui "non è pensabile che un'impresa rinnovi continuamente le proprie tecnologie, perché è senz'altro necessario stare al passo con i tempi, ma ciò non può significare buttare all'aria investimenti per ammodernamenti tecnologici, rincorrendo incessantemente le novità tecnologiche. In teoria, si innalzerebbe il livello di sicurezza;
in pratica, sui condurrebbe l'azienda sull'orlo del fallimento."
Non era quindi esigibile da IA e da R.F.I. l'immediato adeguamento di tutte le linee al nuovo sistema.
L'elemento che caratterizza la vicenda processuale in esame è peraltro costituito dalla circostanza, incensurabilmente accertata dai giudici di merito, che il tratto di rete ferroviaria in cui si è verificato il disastro era attrezzato per il sistema di ripetizione automatica, che si trattava di una tratta che aveva le caratteristiche previste per l'utilizzazione del sistema (tratto di linea attrezzato comprendente due stazioni o superiore a 10 km.) e che l'unità operativa dove era stato composto il convoglio aveva a disposizione i locomotori attrezzati col sistema RSC (tant'è vero che l'iniziale composizione teorica del convoglio prevedeva un locomotore di questo tipo e che ne fu utilizzato uno di minor potenza per le caratteristiche del convoglio e non per l'indisponibilità del locomotore attrezzato).
Orbene - anche indipendentemente dalla soluzione del problema, sul quale si sono dilungate le sentenze di merito, se il nuovo sistema dovesse essere applicato solo sul materiale rotabile di nuova costruzione o anche su quello preesistente - è facile prendere atto della circostanza che nel caso in esame era concretamente possibile utilizzare il sistema che avrebbe garantito una maggior sicurezza (tanto da impedire il verificarsi dell'evento in termini di certezza). Nè le sentenze di merito danno atto di una situazione di non disponibilità di locomotori attrezzati (nel qual caso muterebbero i termini del problema).
Ne consegue che - fermi restando i principi già enunciati sugli obblighi dell'imprenditore nel caso di innovazioni tecnologiche idonee ad assicurare un maggior livello di sicurezza - su un punto non possono esservi dubbi: qualora l'imprenditore disponga di più sistemi di prevenzione di eventi dannosi è tenuto ad adottare (salvo il caso di impossibilità che in questo caso nessuno afferma) quello idoneo a garantire un maggior livello di sicurezza. A questo principio non è possibile derogare soprattutto nei casi in cui i beni da tutelare siano costituiti dalla vita e dall'integrità fisica delle persone (una valutazione comparativa tra costi e benefici sarebbe ammissibile solo nel caso in cui i beni da tutelare fossero esclusivamente di natura materiale).
È evidente che, nel caso di specie, l'impresa ferroviaria non si è attenuta a questi principi utilizzando materiale rotabile inidoneo malgrado la linea fosse attrezzata e il materiale disponibile. 6) Vanno a questo punto esaminate le censure che il ricorrente rivolge alla sentenza impugnata per aver ritenuto che l'evento si sia verificato per una causa sopravvenuta (da sola sufficiente a determinarlo) costituita dall'inopinata decisione di IN DO - capo deposito della sala operativa dello stabilimento di Milano della "Divisione Cargo" - di mutare la composizione del treno sostituendo un locomotore privo di RSC a quello previsto nella composizione teorica che era invece dotato del sistema di ripetizione automatica.
Sul concetto di causa sopravvenuta da sola sufficiente a determinare l'evento sono noti i termini del pluridecennale dibattito svoltosi sull'interpretazione da dare all'art. 41 c.p., comma 2; norma il cui scopo, secondo l'opinione maggiormente seguita, è quello di temperare il rigore derivante dalla meccanica applicazione del principio generale contenuto nell'art. 41, comma 1 in esame che si ritiene abbia accolto il principio condizionalistico o dell'equivalenza delle cause ("condicio sine qua non"). È stato affermato in dottrina che se il comma 2 in esame venisse interpretato nel senso che il rapporto di causalità dovesse ritenersi escluso solo nel caso di un processo causale del tutto autonomo verosimilmente si tratterebbe di una disposizione inutile perché, in questi casi, all'esclusione si perverrebbe anche con l'applicazione del principio condizionalistico. Deve pertanto trattarsi, secondo questo orientamento, di un processo non completamente avulso dall'antecedente ma caratterizzato - a seconda delle varie teorie della causalità (che in realtà su questo tema non divergono significativamente;
salvo forse la teoria della "causalità adeguata") - da un percorso causale completamente atipico, di carattere assolutamente anomalo ed eccezionale;
di un evento che non si verifica se non in casi del tutto imprevedibili a seguito della causa presupposta.
È noto l'esempio riportato nella relazione ministeriale al codice penale: l'agente ha posto in essere un antecedente dell'evento (ha ferito la persona offesa) ma la morte è stata determinata dall'incendio dell'ospedale nel quale il ferito era stato ricoverato. Il che, appunto, non solo non costituisce il percorso causale tipico (come, per es., il decesso nel caso di gravi ferite riportate a seguito del ferimento) ma realizza una linea di sviluppo della condotta del tutto anomala, imprevedibile in astratto e imprevedibile per l'agente che non può anticipatamente rappresentarla come conseguente alla sua azione od omissione (quest'ultimo versante riguarda l'elemento soggettivo ma il problema, dal punto di vista dell'elemento oggettivo del reato, si pone in termini analoghi). Questa elaborazione del concetto di causa sopravvenuta è stata, in più occasioni, ribadita anche dalla giurisprudenza di legittimità (cons., tra le numerose altre, Cass., sez. 1^, 10 giugno 1998 n. 11024, Ceraudo;
12 novembre 1997 n. 11124, Insirello;
sez. 4^, 21 ottobre 1997 n. 10760, Lini;
19 dicembre 1996 n. 578, Fundarò; 6 dicembre 1990 n. 4793, Bonetti;
12 luglio 1990 n. 12048, Gotta) ed è stata sostanzialmente accolta dal progetto di riforma elaborato dalla commissione Grosso di riforma del codice penale secondo cui "L'imputazione dell'evento è comunque esclusa quando esso costituisce conseguenza eccezionale dell'azione o dell'omissione" (art. 13, comma 4) e il richiamo al fattore eccezionale è contenuto anche nel progetto elaborato dalla commissione Nordio (art. 11, n. 8:
"Nessuno può essere punito quando l'evento è conseguenza di un fattore eccezionale senza il quale la condotta non lo avrebbe causato,....") che peraltro ha un significato diverso che è inutile affrontare in questa sede.
In base ai principi affermati da dottrina e giurisprudenza sull'efficacia della causa sopravvenuta per escludere il rapporto di causalità sarebbe stato dunque necessario che la condotta di IN DO potesse qualificarsi come fatto sopravvenuto ed eccezionale. Ad una simile conclusione - consistente in una valutazione di esclusiva competenza del giudice di merito - si poteva peraltro pervenire soltanto se il giudice di merito avesse accertato che l'evento era conseguito ad una non prevedibile violazione di regole imposte dall'impresa al capo deposito.
Solo se fosse stato accertato che la dirigenza di IA aveva disciplinato rigidamente i poteri del capo deposito imponendo loro l'obbligo di formare i convogli utilizzando i locomotori dotati sistema di ripetizione automatica quando dovevano percorrere linee attrezzate - la violazione dell'obbligo da parte del capo deposito poteva in astratto (in presenza di altri elementi inerenti la conoscenza o la conoscibilità delle ragioni giustificative della regola cautelare) configurare una causa sopravvenuta da sola sufficiente a determinare l'evento.
Questo accertamento non è stato compiuto dalla Corte di merito che si è limitata ad affermare la natura di causa sopravvenuta della decisione del capo deposito senza verificare se le persone sovraordinate avessero o meno impartito le indispensabili disposizioni necessarie per la corretta utilizzazione del materiale rotabile secondo i criteri indicati.
È vero che risulta dagli accertamenti svolti dai giudici di merito che la composizione teorica del treno in questione era stata comunicata dall'amministratore delegato di IA alla divisione infrastruttura con larghissimo anticipo ma è altrettanto vero che le percentuali di variazione della composizione dei convogli era elevatissima (68,10% secondo entrambe le sentenze di merito). Da questi elementi di fatto, incensurabilmente accertati, si evince dunque che la composizione dei convogli era attribuita alla esclusiva responsabilità del capo deposito e si sconosce se a questa persona fossero state impartite le disposizioni necessarie per l'utilizzazione in sicurezza del materiale rotabile. 7) Vanno ora tratte le conclusioni delle considerazioni svolte. L'affermazione contenuta nella sentenza impugnata sulla esclusiva efficacia causale del fattore sopravvenuto si fonda su un presupposto non dimostrato e neppure enunciato.
Ma il ricorrente non ha contestato la decisione impugnata sotto questo profilo ma sotto i profili in precedenza riassunti;
il che peraltro era reso obbligato dalla formulazione delle imputazioni che non precisavano, tra le omissioni contestate, quella di aver omesso di fornire - a coloro che in concreto esercitavano la funzione di composizione dei convogli - precise disposizioni sulla necessità di utilizzare, sulle linee attrezzate, i locomotori dotati di sistema RSC.
Non avrebbe potuto quindi la Corte di merito, in mancanza di un motivo di ricorso sul punto - e soprattutto in assenza di specifica imputazione sull'omissione già indicata - accogliere l'appello del pubblico ministero disponendo il rinvio a giudizio degli imputati. Si aggiunga che la Corte di merito, sia pure con motivazione insufficiente, dubita dell'esistenza di una posizione di garanzia in capo agli odierni imputati (così si esprime la sentenza impugnata:
dagli imputati "in considerazione delle rispettive qualità indicate nei capi di imputazione e dei relativi poteri e funzioni (che le Difese hanno ampiamente documentato ed efficacemente interpretato) non era, a giudizio anche di questo Collegio, concretamente esigibile alcun potere-dovere di controllo sulle decisioni inerenti la gestione della sala operativa dello stabilimento di Milano della Divisione Carlo".
Se dunque le censure in precedenza esaminate fossero ritenute accoglibili (superando l'ostacolo processuale indicato) difetterebbe comunque il carattere di decisività delle medesime perché resterebbe ferma una delle ragioni della conferma della sentenza di non luogo a procedere pronunziata dal primo giudice perché non forma oggetto del ricorso la doglianza sull'affermata inesistenza di una posizione di garanzia in capo agli odierni imputati. Consegue alle considerazioni svolte il rigetto del proposto ricorso.

P.Q.M.

la Corte Suprema di Cassazione, Sezione Quarta Penale, rigetta il ricorso.
Così deciso in Roma, il 19 ottobre 2006.
Depositato in Cancelleria il 21 dicembre 2006