Si sente spesso parlare di trattamento illecito di dati, alcune volte anche in modo improprio. Con l’emanazione del Regolamento (UE) 2016/679, comunemente noto come GDPR, e il successivo adeguamento del Codice della privacy, è mutato funditus il sistema delle responsabilità connesse al trattamento dei dati. Ne è uscito rafforzato il ruolo delle sanzioni amministrative, con significtiva contrazione dell’area di rilevanza penale.
La violazione della disciplina privacy può determinare conseguenze diverse a seconda della natura della condotta, della tipologia di dati trattati, del ruolo assunto dal soggetto agente. In alcuni casi il trattamento illecito di dati integra un illecito amministrativo, suscettibile di essere sanzionato dal Garante per la protezione dei dati personali; in altri, quando ricorrono specifici presupposti di offensività, può assumere rilevanza penale ai sensi del Codice privacy.
L’obiettivo del presente articolo è offrire una ricostruzione giuridica chiara delle responsabilità derivanti daltrattamento illecito di dati, distinguendo il piano amministrativo da quello penale e soffermandosi, in particolare, sul delitto previsto dall’art. 167 del D. Lgs. 196/2003, nonché sulle ulteriori fattispecie incriminatrici introdotte in materia privacy.
Le sanzioni amministrative per trattamento illecito di dati
Nel sistema delineato dal Regolamento (UE) 2016/679, il trattamento illecito di dati trova anzitutto risposta nell’apparato sanzionatorio amministrativo. Il GDPR, superando l’impostazione della precedente direttiva 95/46/CE, non si limita infatti a demandare agli Stati membri la previsione di sanzioni effettive e dissuasive, ma introduce direttamente un articolato sistema di sanzioni pecuniarie, destinato a presidiare l’osservanza dei principi fondamentali e degli obblighi gravanti su titolari e responsabili del trattamento.
La disposizione centrale è l’art. 83 GDPR, che prevede sanzioni amministrative pecuniarie di importo particolarmente elevato, differenziate in relazione alla tipologia di violazione. Alcune inosservanze possono essere sanzionate fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo; altre, considerate più gravi, possono condurre a sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo.
Rientrano in quest’ultima categoria, tra le altre, le violazioni dei principi di base del trattamento, comprese le condizioni di liceità, le regole sul consenso, i diritti degli interessati e le disposizioni sul trasferimento di dati personali verso Paesi terzi o organizzazioni internazionali.
Il trattamento illecito di dati, sul piano amministrativo, può dunque derivare dalla mancanza di una valida base giuridica, dall’assenza o invalidità del consenso, dall’utilizzo dei dati per finalità incompatibili con quelle originarie, dall’omessa informativa, dalla violazione dei diritti dell’interessato o dalla mancata adozione di misure tecniche e organizzative adeguate.
La sanzione non è tuttavia automatica nella sua misura massima, poiché l’autorità di controllo è chiamata a valutare, caso per caso, la natura, la gravità e la durata della violazione, il carattere doloso o colposo della condotta, le categorie di dati personali coinvolti, le misure adottate per attenuare il danno e il grado di cooperazione con il Garante.
L’art. 166 del Codice privacy
Il coordinamento tra la disciplina europea e quella nazionale è svolto dall’art. 166 del D. Lgs. 196/2003, come modificato dal D. Lgs. 101/2018. La norma individua il Garante per la protezione dei dati personali quale autorità competente ad applicare le sanzioni amministrative previste dalGDPRe dalCodice privacy,costruendo un sistema sanzionatorio integrato, nel quale il precetto deriva spesso dalla combinazione tra disposizioni del Regolamento europeo e norme interne di dettaglio.
Questa tecnica normativa rende la valutazione del trattamento illecito di dati particolarmente complessa. L’interprete non può infatti limitarsi a verificare in modo astratto la violazione di una regola privacy, ma deve individuare con precisione quale obbligo sia stato disatteso, quale disposizione lo preveda, quale categoria di dati sia coinvolta e quale regime sanzionatorio sia applicabile.
L’art. 166 richiama, in relazione a specifiche violazioni del Codice privacy, le sanzioni di cui all’art. 83, paragrafi 4 e 5, del GDPR, confermando che la risposta amministrativa può essere particolarmente afflittiva anche quando non ricorrono i presupposti della responsabilità penale.
Il quadro che ne deriva è quello di un apparato sanzionatorio articolato, nel quale il trattamento illecito di dati può essere accertato dall’Autorità garante attraverso un procedimento amministrativo autonomo, distinto dal processo penale e finalizzato alla verifica della conformità del trattamento ai principi di liceità, correttezza, trasparenza, minimizzazione, sicurezza e accountability.
Il trattamento illecito di dati: l’art. 167 del Codice privacy
Il trattamento illecito di dati assumerilevanza penaleai sensi dell’art. 167 del D. Lgs. 196/2003. Si tratta della fattispecie centrale dell’apparato penalistico in materia di protezione dei dati personali, ma anche di una norma la cui portata applicativa è stata profondamente modificata dal D. Lgs. 101/2018, adottato per adeguare il Codice privacy al Regolamento (UE) 2016/679.
La riforma ha segnato un passaggio importante: il reato di trattamento illecito di dati non è più costruito come clausola penale generale posta a presidio di qualunque violazione della disciplina privacy, ma come fattispecie selettiva, destinata a operare soltanto in presenza di condotte qualificate da un più intenso grado di offensività.
Nel sistema previgente, l’art. 167 puniva il trattamento di dati personali compiuto in violazione di un ampio numero di disposizioni del Codice privacy, tra cui anche quelle relative al consenso dell’interessato. La formulazione attuale ha invece ristretto il campo del penalmente rilevante.
La mancata acquisizione del consenso, che in passato poteva assumere rilievo anche penale se accompagnata dagli ulteriori presupposti richiesti dalla norma, è oggi tendenzialmente attratta nell’area dell’illecito amministrativo, in particolare nell’ambito delle violazioni dei principi di liceità del trattamento sanzionate dal GDPR.
Questa scelta esprime un mutamento di prospettiva: non ogni violazione delle regole sul trattamento dei dati personali integra un reato, poiché l’intervento penale è riservato alle ipotesi in cui l’offesa alla sfera dell’interessato risulti concretamente apprezzabile.
La disposizione vigente contempla tre diverse ipotesi di trattamento illecito di dati penalmente rilevante.
Il primo comma punisce chi, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, operando in violazione degli artt. 123, 126 e 130 del Codice privacy, oppure del provvedimento di cui all’art. 129, arreca nocumento all’interessato.
Il riferimento è, dunque, a specifiche violazioni in materia di comunicazioni elettroniche, dati relativi al traffico, dati relativi all’ubicazione, elenchi dei contraenti e comunicazioni indesiderate. La pena prevista è la reclusione da sei mesi a un anno e sei mesi. La fattispecie non riguarda quindi genericamente qualsiasi dato personale, ma un’area determinata di trattamenti, connessa soprattutto all’utilizzo di dati nell’ambito dei servizi di comunicazione elettronica e delle comunicazioni promozionali o indesiderate.
Il secondo comma dell’art. 167 disciplina un’ipotesi più grave di trattamento illecito di dati, punita con la reclusione da uno a tre anni. La norma riguarda il trattamento delle categorie particolari di dati personali di cui all’art. 9 GDPR e dei dati relativi a condanne penali e reati di cui all’art. 10 GDPR, quando il trattamento avvenga in violazione degli artt. 2-sexies e 2-octies del Codice privacy, delle misure di garanzia previste dall’art. 2-septies, oppure delle misure adottate ai sensi dell’art. 2-quinquiesdecies per i trattamenti che presentano rischi elevati nell’esecuzione di un compito di interesse pubblico.
La maggiore severità della pena si giustifica in ragione della particolare delicatezza dei dati coinvolti: dati sulla salute, dati biometrici, dati genetici, dati idonei a rivelare convinzioni religiose, opinioni politiche, appartenenza sindacale, orientamento sessuale, nonché informazioni relative a condanne penali e reati. In queste ipotesi, il trattamento illecito di dati può incidere in modo particolarmente penetrante sulla dignità, sull’identità personale e sulla libertà dell’interessato.
Il terzo comma estende la medesima pena prevista dal secondo comma al trasferimento illecito di dati personali verso un Paese terzo o un’organizzazione internazionale, quando il trasferimento avvenga al di fuori dei casi consentiti dagli artt. 45, 46 o 49 GDPR e arrechi nocumento all’interessato.
Anche in questo caso il legislatore non sanziona penalmente qualunque irregolarità formale nel trasferimento internazionale dei dati, ma soltanto la condotta sorretta dal dolo specifico di profitto o di danno e produttiva di un effettivo pregiudizio. La norma riflette l’importanza che il GDPR attribuisce alla circolazione transfrontaliera dei dati personali, ammissibile soltanto quando siano assicurate adeguate garanzie di protezione, mediante decisioni di adeguatezza, garanzie appropriate o specifiche deroghe.
Sotto il profilo strutturale, l’art. 167 configura il trattamento illecito di dati come reato di evento. La causazione del nocumento all’interessato non è un elemento esterno o meramente accessorio della fattispecie, ma costituisce parte integrante del fatto tipico. La riforma ha così superato le incertezze interpretative che avevano caratterizzato la precedente formulazione della norma, nella quale il nocumento era descritto con l’inciso “se dal fatto deriva nocumento”, alimentando il dibattito sulla sua qualificazione come elemento costitutivo del reato oppure come condizione obiettiva di punibilità.
Nella formulazione vigente, invece, il reato si perfeziona soltanto quando la condotta illecita determini una concreta lesione o compromissione della sfera giuridica dell’interessato. Il nocumento può consistere in un pregiudizio patrimoniale, in un danno alla reputazione, in una lesione della riservatezza, in una indebita esposizione della vita privata o in altra conseguenza apprezzabile derivante dalla gestione illecita dei dati personali.
Accanto all’evento di nocumento, la norma richiede il dolo specifico. L’agente deve operare al fine di trarre profitto per sé o per altri, oppure al fine di arrecare danno all’interessato. Anche questo elemento svolge una funzione selettiva essenziale.
Il trattamento illecito di dati penalmente rilevante non coincide con la mera negligenza organizzativa, con l’errore procedurale o con l’inadempimento formale agli obblighi privacy, ma presuppone una condotta consapevolmente orientata a un risultato ulteriore di profitto o di danno.
Il profitto non deve essere necessariamente patrimoniale in senso stretto, potendo consistere anche in un’utilità diversa, purché apprezzabile; la finalità di danno, invece, richiama la volontà di incidere negativamente sulla sfera dell’interessato. La presenza di tale elemento soggettivo impedisce di trasformare l’art. 167 in una norma penale di chiusura per ogni violazione del GDPR.
La fattispecie è inoltre aperta da una clausola di riserva, “salvo che il fatto costituisca più grave reato”, che impone di verificare, caso per caso, se la condotta integri un diverso delitto punito più severamente. Il trattamento illecito di dati può infatti intrecciarsi con altri reati, soprattutto quando la gestione abusiva delle informazioni personali avvenga attraverso accessi indebiti a sistemi informatici, sottrazione di archivi, frodi, minacce, diffamazione, interferenze illecite nella vita privata o condotte estorsive. La corretta qualificazione giuridica del fatto richiede quindi un esame puntuale non soltanto della normativa privacy, ma anche dell’intero contesto fattuale in cui il trattamento è stato realizzato.
Il nocumento all’interessato e il dolo specifico nel trattamento illecito di dati
Tra gli elementi che consentono di distinguere il trattamento illecito di dati penalmente rilevante dalla mera violazione amministrativa della normativa privacy, un ruolo decisivo è svolto dal nocumento arrecato all’interessato.
Nella formulazione vigente dell’art. 167 del D. Lgs. 196/2003, il nocumento non è più collocato in una posizione ambigua, come elemento eventualmente esterno alla struttura del reato, ma costituisce l’evento della fattispecie. Ciò significa che la condotta illecita deve produrre una conseguenza pregiudizievole concreta, idonea a incidere sulla sfera personale, patrimoniale, reputazionale o relazionale dell’interessato.
Il nocumento non deve essere necessariamente identificato con un danno patrimoniale in senso stretto. Nel contesto della protezione dei dati personali, esso può consistere anche nella perdita di controllo sulle proprie informazioni, nell’indebita esposizione di dati riservati, nella lesione dell’identità personale, nel turbamento della vita privata, nella compromissione della reputazione o nella sottoposizione dell’interessato a comunicazioni indesiderate, discriminazioni, pressioni commerciali o altre conseguenze sfavorevoli.
La sua funzione è quella di selezionare le condotte realmente offensive, impedendo che ogni irregolarità nella gestione dei dati personali venga automaticamente attratta nell’area del penalmente rilevante.
Accanto all’evento di nocumento, l’art. 167 richiede il dolo specifico. La condotta deve essere consapevolmente orientata verso un’utilità, anche non strettamente economica, oppure verso la produzione di un pregiudizio nella sfera dell’interessato.
La compresenza di dolo specifico ed evento di nocumento attribuisce alla fattispecie una struttura particolarmente selettiva. Da un lato, il fine di profitto o di danno consente di valutare l’atteggiamento soggettivo dell’autore; dall’altro, il nocumento impone di verificare l’effettiva incidenza della condotta sulla persona cui i dati si riferiscono. Il trattamento illecito di dati, dunque, diventa reato solo quando l’offesa non rimane confinata alla violazione astratta della regola privacy, ma si traduce in una concreta aggressione alla riservatezza, alla dignità o all’autodeterminazione informativa dell’interessato.
Comunicazione e diffusione illecita di dati personali su larga scala
Accanto al delitto di trattamento illecito di dati previsto dall’art. 167, il D. Lgs. 101/2018 ha introdotto nel Codice privacy l’art. 167-bis, dedicato alla comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala.
La disposizione risponde all’esigenza di reprimere condotte caratterizzate da una particolare capacità offensiva, perché aventi ad oggetto non il singolo dato personale isolatamente considerato, ma un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali riferibili a una pluralità significativa di interessati.
La norma punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri, comunichi o diffonda un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala, quando la condotta avvenga in violazione degli artt. 2-ter, 2-sexies e 2-octies del Codice privacy.
La medesima pena si applica anche a chi, nei casi in cui il consenso dell’interessato sia richiesto per le operazioni di comunicazione o diffusione, proceda senza acquisirlo. In entrambi i casi, la pena prevista è la reclusione da uno a sei anni, a conferma della maggiore gravità attribuita dal legislatore a condotte di circolazione abusiva massiva dei dati personali.
La fattispecie presenta una sua autonomia rispetto al trattamento illecito di dati di cui all’art. 167, perché concentra la risposta penale sulle attività di comunicazione e diffusione di archivi automatizzati. La comunicazione presuppone la trasmissione dei dati a uno o più soggetti determinati; la diffusione, invece, consiste nella messa a disposizione delle informazioni a una pluralità indeterminata di destinatari. In entrambi i casi, il disvalore della condotta risiede nella perdita di controllo sui dati personali e nella loro circolazione abusiva oltre la sfera consentita dall’ordinamento.
Particolarmente rilevante è il riferimento al trattamento “su larga scala”, espressione utilizzata dal GDPR ma non definita in termini numerici rigidi. Essa impone una valutazione concreta dell’ampiezza dell’archivio, del numero degli interessati coinvolti, del volume dei dati, della durata del trattamento e dell’estensione geografica o organizzativa dell’operazione.
L’art. 167-bis è dunque destinato a operare nei casi in cui la comunicazione o diffusione illecita non riguardi un episodio marginale, ma investa un patrimonio informativo strutturato e suscettibile di incidere significativamente sulla riservatezza e sull’autodeterminazione informativa di una pluralità di persone.
Acquisizione fraudolenta di dati personali e archivi automatizzati
Tra le nuove fattispecie introdotte dal D. Lgs. 101/2018 assume particolare rilievo anche l’art. 167-ter del Codice privacy, che punisce l’acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala. La norma si colloca accanto al delitto di trattamento illecito di dati e alla comunicazione o diffusione illecita di cui all’art. 167-bis, completando il presidio penale rispetto alle condotte che riguardano archivi automatizzati contenenti dati personali riferibili a una pluralità significativa di interessati.
L’art. 167-ter punisce, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre profitto per sé o per altri ovvero di arrecare danno, acquisisca con mezzi fraudolenti un archivio automatizzato, o una parte sostanziale di esso, contenente dati personali oggetto di trattamento su larga scala. La pena prevista è la reclusione da uno a quattro anni.
La fattispecie è costruita come reato commissivo a dolo specifico alternativo: l’agente deve procurarsi la disponibilità dell’archivio mediante una condotta fraudolenta e deve agire perseguendo una finalità di profitto, anche non necessariamente patrimoniale, oppure una finalità di danno.
Il riferimento ai “mezzi fraudolenti” consente di ricomprendere artifici, raggiri, simulazioni, falsi pretesti, espedienti ingannatori o condotte comunque idonee a eludere la vigilanza del soggetto che detiene legittimamente l’archivio. Non è sufficiente, invece, una mera allegazione non veritiera priva di reale capacità decettiva. La fraudolenza deve costituire lo strumento attraverso cui l’autore riesce ad acquisire l’archivio o una sua parte sostanziale, sottraendolo alla disponibilità lecita del titolare o comunque ottenendone un indebito controllo.
La fattispecie tutela certamente la riservatezza e l’autodeterminazione informativa degli interessati, ma presenta anche una dimensione patrimoniale. L’archivio automatizzato di dati personali, infatti, può costituire un bene economicamente apprezzabile, soprattutto quando sia organizzato, aggiornato e utilizzato nell’ambito dell’attività di impresa, di enti pubblici, di piattaforme digitali o di servizi professionali.
Per questa ragione, l’art. 167-ter può essere letto come reato plurioffensivo: accanto alla tutela degli interessati, viene in rilievo anche la protezione del soggetto che detiene legittimamente l’archivio e lo gestisce in conformità alla normativa.
Il rapporto con il trattamento illecito di dati è particolarmente significativo. L’art. 167-ter non punisce la generica irregolarità del trattamento, ma una condotta di apprensione fraudolenta di un patrimonio informativo strutturato. Quando, dopo l’acquisizione fraudolenta, l’agente proceda anche alla comunicazione o diffusione dell’archivio, potrà porsi un problema di concorso con l’art. 167-bis.
In tali ipotesi, la successiva divulgazione dei dati non appare sempre assorbita nell’acquisizione, poiché determina un’offesa ulteriore e più intensa alla riservatezza degli interessati, esponendo le informazioni personali a una circolazione incontrollata.
Trattamento illecito di dati, responsabilità dell’ente e modelli organizzativi
Il rapporto tra trattamento illecito di dati e responsabilità degli enti ai sensi del D. Lgs. 231/2001 costituisce un profilo di particolare interesse per imprese e società che gestiscono, in modo sistematico, dati personali di clienti, utenti, dipendenti, fornitori o altri soggetti interessati.
Nonostante il tema sia da tempo discusso, i delitti in materia di privacy non sono oggi stabilmente inseriti nel catalogo dei reati-presupposto della responsabilità amministrativa degli enti..
Tale dato non deve tuttavia indurre a sottovalutare la rilevanza organizzativa della prevenzione del trattamento illecito di dati. La gestione dei dati personali costituisce infatti un’area centrale dellacomplianceaziendale, non soltanto per il rischio di sanzioni amministrative pecuniarie da parte del Garante, ma anche per le possibili conseguenze risarcitorie, reputazionali e operative derivanti da una violazione della normativa privacy.
In molte realtà imprenditoriali, il trattamento dei dati personali è parte essenziale del modello di business: si pensi alle piattaforme digitali, ai servizi online, alle società tecnologiche, agli operatori sanitari, agli enti di formazione, alle imprese che svolgono attività di marketing o profilazione, nonché a tutte le organizzazioni che trattano dati su larga scala.
In questa prospettiva, pur in assenza di una diretta inclusione dei reati privacy nel catalogo del D. Lgs. 231/2001, i modelli organizzativi e le procedure aziendali assumono un valore dirimente, anche al fine di evitare di incorrere nelle onerose sanzioni amministrative dell’art. 83 GDPR.
Assistenza legale in materia privacy
Il nostro Studio Legale assiste imprese, professionisti, enti e start-up in materia didata protection e privacy. Curiamo la redazione e revisione di informative, policy, accordi per il trattamento dei dati, contratti con responsabili esterni, procedure interne e modelli organizzativi. Lo Studio presta inoltre assistenza nella valutazione dei profili di responsabilità connessi al trattamento illecito di dati, nei rapporti con il Garante per la protezione dei dati personali e nell’analisi dei possibili risvolti penali derivanti da condotte illecite in materia privacy.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.