QUESTIONI INTERPRETATIVE IRRISOLTE NELLA TUTELA PENALE DELLA PRIVACY
di Tommaso Passarelli* – 1. Esigenze criminologiche e stratificazione legislativa. Dal punto di vista criminologico, fin dall’avvento dell’informatica, siano sorti specifici bisogni di tutela del diritto alla riservatezza e, in particolare, della protezione dei dati personali, sovente gestiti da banche dati pubbliche e private[1]. Da lungo tempo, infatti, l’esigenza maggiormente avvertita è quella di garantire alla persona il controllo sull’utilizzo dei propri dati effettuato mediante i programmatori informatici, poiché il funzionamento della rete internet è basato sulla profilazione degli utenti, che nello spazio virtuale condividono una gran quantità di informazioni personali. Proprio quest’ultimo aspetto riflette una intrinseca tensione tra l’espansione dello spazio digitale, che invade aree sempre maggiori nella vita delle persone a causa dell’elevata diffusione dei dati, e le suddette esigenze di tutela, ciò che ha spinto alcuni autori a teorizzare un moderno habeas data, sulla scia del più classico habeas corpus. La materia è caratterizzata da frequenti novelle legislative – innervate dai dicta provenienti dal diritto sovranazionale – finalizzate ad adeguare la tutela legale dei dati personali alla costante evoluzione tecnologica, che li espone a sempre più sofisticate forme di illecita diffusione nello spazio web. In questo senso, il Regolamento UE n. 679 del 27 aprile 2016, noto come G.D.P.R. (General data protection regulation), ha sostituito la previgente disciplina dettata dalla dir. 95/46/CE. In Italia, esso è stato recepito col d.lgs. n. 101 del 10 agosto 2018, recante disposizioni per l’adeguamento della normativa nazionale a quella comunitaria. La legislazione domestica, in subiecta materia, era ferma alle statuizioni del d.lgs. n. 196/2003, che a sua volta aveva sostituito la primigenia disciplina di cui alla L. n. 675 del 31 dicembre 1996. Sul piano sovranazionale, la protezione dei dati personali è riconosciuta e garantita come diritto fondamentale della persona all’art. 8, c. 1, della C.D.F.U.E. (c.d. “Carta di Nizza) e all’art. 16, c. 1, del T.F.U.E. . Anche la Convenzione EDU, all’art. 8, contempla la protezione dei dati personali, che assume rilievo onde garantire il rispetto del diritto alla vita privata e familiare, il quale si alimenta dell’autodeterminazione informativa della persona e consente di rivendicare il diritto alla riservatezza dei dati raccolti, trattati e diffusi in guisa da investirne direttamente gli interessi. Le predette operazioni, pertanto, non devono eccedere la soglia della ragionevole prevedibilità in capo all’utente medio. Emerge chiara, sulla scorta di questa ricostruzione di sintesi, la dimensione transnazionale del diritto alla privacy, in ragione della globale circolazione dei dati personali, che comporta la necessità di predisporre tutele e garanzie altrettanto ampie, in ossequio al principio di proporzionalità. Seguendo il solco tracciato dal diritto sovranazionale, gli Stati membri, infatti, predispongono, nell’esercizio della loro autonomia legislativa, discipline di protezione coerenti, onde assicurare un livello omogeneo di tutela dei diritti e delle libertà fondamentali delle persone. 2. Il reato di “Trattamento illecito di dati” ex 167 d.lgs. n. 196/2003. La tutela penale dei dati personali è affidata, nel nostro ordinamento, alla fattispecie di cui all’art. 167 del d.lgs. n. 196/2003[2], che nella sua veste attuale si apre con la clausola di riserva che recita «salvo che il fatto costituisca più grave reato». Quest’ultima evidenzia l’attenuato disvalore penale attribuito al delitto in parola, rimarcato anche dal ridotto editto sanzionatorio, da sei mesi a un anno e sei mesi. Sotto questo profilo, giova fin da subito rilevare come il comma 6 preveda anche una diminuzione di pena per il caso in cui, sulla scorta dell’idem factum, sia applicata e riscossa una sanzione amministrativa pecuniaria. Con questa previsione, il legislatore ha contemperato l’afflittività derivante dalla congiunta irrogazione di sanzioni penali e amministrative, in ossequio al principio del ne bis in idem[3]. Nello specifico, al comma 1 sono sanzionate le condotte finalizzate a produrre un profitto (illecito) in capo agli agenti o a terze persone, ovvero a cagionare un danno all’interessato. Si configura così l’elemento soggettivo del dolo specifico, rappresentato proprio da questa doppia e alternativa finalità. Successivamente, viene individuato l’evento giuridico del reato nel solo nocumento arrecato al soggetto passivo, e non anche nella concreta realizzazione del profitto. A parere di chi scrive, si tratta di una precisa scelta di politica criminale, volta a sanzionare le azioni realmente dannose perpetrate nei confronti dei titolari dei dati personali, in ossequio alla ratio legis sottesa alla disposizione – orientata, sul piano assiologico, a tutelare la riservatezza e la privacy della persona – e al fine di selezionare gli aspetti di maggior disvalore penale. Il soggetto attivo è individuato in “chiunque”, configurando così un reato comune. Non si condivide, sul punto, la tesi, invero minoritaria, volta a promuovere un’interpretazione restrittiva della fattispecie, declinata alla stregua di un reato proprio, secondo la quale solo i soggetti istituzionalmente deputati alla tenuta dei dati potrebbero integrare il tipo legale. Questa tesi, infatti, introduce per via ermeneutica elementi qualificanti che il legislatore non ha inteso adottare, ciò che escluderebbe indebitamente dal novero dei destinatari del precetto tutti quei soggetti che facciano un uso illecito dei dati altrui senza essere in alcun modo predisposti, professionalmente o istituzionalmente, al loro trattamento, così da aprire la strada ad estese aree di impunità. Proseguendo, il comma 2 configura una diversa ipotesi di reato, che strutturalmente ricalca il modello di cui al comma 1. In questa sede, tuttavia, è sanzionato il trattamento dei dati sensibili (quali i dati genetici e biometrici) e giudiziari. Rispetto alla previsione di cui al comma precedente, questi dati si presentano dunque “qualificati” da un maggior grado di invasività e involgono aspetti sensibili della personalità del titolare, ciò che connota le condotte offensive di un disvalore penale superiore, rappresentato dalla più elevata pena della reclusione da uno a tre anni. Ai sensi del comma 3, poi, alla medesima pena soggiace anche colui che trasferisca i predetti dati verso Paesi esteri e organizzazioni internazionali, all’infuori del perimetro tracciato dagli artt. 45, 46 e 49 del GDPR. Ai commi 4-5, infine, è affidata la disciplina dei rapporti tra l’azione del P.M. e quella del Garante per la protezione dei dati personali in ordine alla gestione delle notizie di reato afferenti al trattamento
QUESTIONI INTERPRETATIVE IRRISOLTE NELLA TUTELA PENALE DELLA PRIVACY Leggi tutto »