Decreto legislativo - 30/06/2003 - n. 196 art. 167 - (Trattamento illecito di dati). 1

Trattamento illecito di dati

Venendo alle fattispecie ora previste dal nuovo testo del codice, troviamo innanzitutto il vecchio art. 167 (rubricato «Trattamento illecito di dati»), profondamente mutato rispetto a prima. In esso, si prevede al comma 1 che, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all'interessato, operando in violazione di quanto disposto dagli artt. 123,126 e 130 del cod. privacy o dal provvedimento di cui all'art. 129 del cod. privacy, arreca nocumento all'interessato, è punito con la reclusione da sei mesi a un anno e sei mesi.

La condotta in questione si riferisce alla violazione delle norme in materia di trattamento di dati relativi al traffico riguardanti contraenti ed utenti trattati dal fornitore di una rete pubblica di comunicazioni o di un servizio di comunicazione elettronica accessibile al pubblico (art. 123 del cod. privacy), di dati relativi all'ubicazione diversi dai dati relativi al traffico, riferiti agli utenti o ai contraenti di reti pubbliche di comunicazione o di servizi di comunicazione elettronica accessibili al pubblico (art. 126 del cod. privacy), di comunicazioni promozionali indesiderate (art. 130 del cod. privacy) e di elenchi di contraenti a disposizione del pubblico (gli ex elenchi di abbonati telefonici ex art. 129 del cod. privacy). Non rintracciamo più, in questo delitto, la violazione consistente nella mancanza di una valida base giuridica per il trattamento di personali comuni – non particolari/sensibili – e questo stupisce negativamente l'interprete.

o di altri o lo scopo di arrecare danno all'interessato (ma non ad altri diversi dall'interessato, si noti, a differenza della previgente lettera dell'art. 167 che parlava di arrecare danno “ad altri”) – con, in aggiunta, il verificarsi della condizione obiettiva di punibilità del nocumento per l'interessato (anche qui, non di altri), che dovrà essere “apprezzabile”, giusto l'orientamento della Suprema Corte in materia (si veda in tal senso Cass. pen. III, n. 1134/2004; Cass. pen. III, n. 30134/2004).

Il secondo comma dell'art. 167 dispone ora che, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trattamento dei dati personali di cui agli artt. 9 e 10 del Regolamento – cioè dei dati particolari/sensibili e di quelli relativi a condanne penali o reati – in violazione delle disposizioni nazionali di cui agli artt. 2-sexies (in materia di trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante) e 2-octies (in materia di principi relativi al trattamento di dati relativi a condanne penali e reati) o delle misure di garanzia di cui all'art. 2-septies (in materia di dati genetici, biometrici o relativi alla salute) ovvero operando in violazione delle misure adottate dal Garante ai sensi dell'art. 2-quinquiesdecies del Codice (in materia di trattamento che presenta rischi elevati per l'esecuzione di un compito di interesse pubblico), arreca nocumento all'interessato, è punito con la reclusione da uno a tre anni. Come nella fattispecie precedente, si tratta di delitto a dolo specifico e con condizione obiettiva di punibilità, elementi identici a quelli del comma 1. Anche in questo caso, sembra non delinearsi il delitto in caso di violazione generica dovuta mancanza di una base giuridica nel trattamento di dati sensibili/particolari (ex art. 9.2 del Regolamento), se non nei casi riferibili ai trattamenti di dati sensibili per rilevante interesse pubblico e di dati genetici, biometrici o relativi alla salute, oltre a quelli relativi a condanne penali o reati. Una scelta legislativa discutibile, che lascerà impunite condotte anche molto nocive per le vittime.

Il terzo comma del medesimo art. 167 stabilisce che, salvo che il fatto costituisca più grave reato, la pena da uno a tre anni di reclusione si applica altresì a chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale al di fuori dei casi consentiti ai sensi degli artt. 45, 46 o 49 del Regolamento, arreca nocumento all'interessato. Valgono le considerazioni già espresse sopra quanto a dolo specifico e condizione obiettiva di punibilità.

È inoltre previsto che il Pubblico ministero, quando ha notizia dei reati di cui all'art. 167 del codice, ne informi senza ritardo il Garante. Viceversa, è il Garante a dover trasmettere al Pubblico Ministero, con una relazione motivata, la documentazione raccolta nello svolgimento dell'attività di accertamento nel caso in cui emergano elementi che facciano presumere la esistenza di un reato. La trasmissione degli atti al pubblico ministero avviene al più tardi al termine dell'attività di accertamento delle violazioni delle disposizioni di cui Codice.

All'evidente scopo di tenere in debito conto la raccomandazione sul ne bis in idem di cui al menzionato considerando 149 del Regolamento, il legislatore italiano introduce comunque la previsione per cui, quando per lo stesso fatto sia stata applicata a norma del Codice o del Regolamento, a carico dell'imputato o dell'ente, una sanzione amministrativa pecuniaria dal Garante e questa sia stata riscossa, la pena sia diminuita. Interessante, nel caso di centri d'imputazione giuridica delle sanzioni amministrative e penali che siano diversi (caso palesemente contemplato dal legislatore che menziona anche l'”ente” come soggetto sanzionato, per il quale è impossibile prevedere l'applicabilità aggiuntiva della sanzione penale), la scelta di far valere l'avvenuta riscossione della sanzione amministrativa all'ente come elemento diminuente della sanzione penale a carico della persona fisica imputata (Bolognini, Pelino, Codice privacy).