Trattamento illecito di dati personali: art. 167

Il trattamento illecito di dati personali (art. 167 D.Lgs. 196/2003) punisce chi, per trarre profitto o danneggiare l'interessato, viola specifiche regole del Codice privacy e gli arreca nocumento: reclusione da 6 mesi a 1 anno e 6 mesi per dati di traffico, ubicazione e comunicazioni indesiderate, da 1 a 3 anni per dati sanitari, giudiziari e trasferimenti illeciti all'estero.

Cos'è il reato di trattamento illecito di dati personali?

L'art. 167 del Codice privacy è una norma "di rinvio": non punisce qualunque trattamento contrario al GDPR, ma solo la violazione di disposizioni elencate. Il comma 1 riguarda le comunicazioni elettroniche: dati relativi al traffico (art. 123), dati relativi all'ubicazione (art. 126), elenchi dei contraenti (art. 129) e comunicazioni indesiderate (art. 130), cioè il telemarketing e lo spam non consentiti.

Il comma 2 riguarda le categorie particolari di dati dell'art. 9 GDPR (origine etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, biometrici, relativi alla salute, alla vita e all'orientamento sessuale) e i dati su condanne penali e reati dell'art. 10 GDPR, quando sono trattati in violazione degli artt. 2-sexies e 2-octies o delle misure di garanzia dell'art. 2-septies. Il comma 3 punisce il trasferimento di dati verso un Paese terzo o un'organizzazione internazionale fuori dai casi consentiti dagli artt. 45, 46 e 49 GDPR.

Il delitto si colloca fra i reati d'impresa più frequenti nelle aziende che gestiscono basi dati di clienti: il quadro generale è nella pagina sui reati d'impresa e societari.

Quando una violazione della privacy diventa reato e non solo sanzione del Garante?

La regola è che le violazioni del GDPR sono illeciti amministrativi. L'art. 83 GDPR prevede sanzioni pecuniarie fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e fino a 20 milioni o al 4% per le violazioni più gravi (principi del trattamento, diritti degli interessati, trasferimenti, inosservanza degli ordini dell'autorità). L'art. 84 lascia agli Stati membri le "altre sanzioni", e l'Italia ha scelto sanzioni penali mirate.

Si entra nel penale solo se ricorrono insieme: la violazione di una delle norme richiamate; il dolo specifico, cioè il fine di trarre profitto o di arrecare danno all'interessato; un nocumento effettivo per l'interessato. Un trattamento irregolare per disorganizzazione, senza fine di profitto o danno, resta nell'area del Garante.

I due binari comunicano. Il pubblico ministero che ha notizia dei reati dei commi 1-3 ne informa senza ritardo il Garante; il Garante trasmette al pubblico ministero, con relazione motivata, la documentazione raccolta quando emergono elementi di reato, al più tardi al termine dell'accertamento (commi 4 e 5). Se la sanzione amministrativa per lo stesso fatto è stata applicata e riscossa, la pena è diminuita (comma 6).

Pubblicare dati personali di altri sui social è trattamento illecito?

Dipende dal tipo di dato e dalla norma violata. Nome, fotografia o indirizzo di una persona, pubblicati da un privato, non rientrano nei commi 1 e 3 dell'art. 167, che riguardano comunicazioni elettroniche e trasferimenti all'estero. Il comma 2 richiede dati sanitari, sulla vita sessuale, sulle convinzioni o su condanne e reati, trattati in violazione degli artt. 2-sexies, 2-septies o 2-octies: se una pubblicazione privata vi rientri va valutato sul caso concreto, insieme al fine di profitto o di danno e al nocumento.

Più spesso la condotta integra altri reati. La diffamazione (art. 595 c.p.) punisce chi offende l'altrui reputazione comunicando con più persone: se l'offesa passa da un mezzo di pubblicità, come un social network, la pena è la reclusione da 6 mesi a 3 anni o la multa non inferiore a 516 euro. Sulla diffusione nelle chat si veda la pagina sulla diffamazione su WhatsApp e nei gruppi. Per immagini o video sessualmente espliciti c'è la procedura d'urgenza davanti al Garante descritta più sotto.

Un dipendente che copia la banca dati clienti rischia un'accusa penale?

Sì, e le norme possibili sono più d'una. Se il dipendente accede al gestionale oltre i limiti delle sue autorizzazioni, rischia l'accesso abusivo a un sistema informatico (art. 615-ter c.p., reclusione fino a 3 anni, da 2 a 10 anni se dal fatto deriva la sottrazione di dati anche mediante riproduzione). Le Sezioni Unite (sentenza n. 4694 del 2012) hanno affermato che commette il reato anche chi, pur autorizzato, viola le condizioni e i limiti fissati dal titolare del sistema.

Se l'archivio riguarda un trattamento su larga scala, si aggiungono i reati del Codice privacy: acquisire con mezzi fraudolenti l'archivio, o una sua parte sostanziale, per profitto o per danneggiare è punito con la reclusione da 1 a 4 anni (art. 167-ter); comunicarlo o diffonderlo, per esempio a un concorrente, da 1 a 6 anni (art. 167-bis). Sul confine fra raccolta legittima e illecita di dati si veda anche la pagina sul web scraping.

Che differenza c'è con l'accesso abusivo a un sistema informatico?

I beni protetti sono diversi. L'art. 615-ter tutela il "domicilio informatico": punisce l'ingresso o la permanenza non autorizzata nel sistema protetto, anche senza copiare nulla e senza fine di profitto. L'art. 167 tutela la persona a cui i dati si riferiscono: punisce l'uso illecito dei dati, anche da parte di chi vi ha accesso legittimo, ma solo con dolo specifico e nocumento. Le due norme possono concorrere. Per le altre ipotesi di intrusione si veda la pagina sull'accesso abusivo e il bug bounty.

Cosa fare se i propri dati personali sono stati diffusi senza consenso?

Le strade sono tre e si possono combinare con attenzione. La prima è il reclamo al Garante (art. 141): il Garante decide entro 9 mesi dalla presentazione e, in ogni caso, entro 3 mesi informa sullo stato del procedimento (art. 143, comma 3). Reclamo e ricorso al giudice civile sono alternativi: il reclamo non si può proporre se per lo stesso oggetto e fra le stesse parti è già stata adita l'autorità giudiziaria (art. 140-bis).

La seconda è la denuncia penale, quando ricorrono gli elementi dell'art. 167 o di altri reati (diffamazione, accesso abusivo). La terza è la richiesta di risarcimento del danno materiale o immateriale prevista dall'art. 82 GDPR. Per immagini o video sessualmente espliciti che rischiano di essere diffusi, l'art. 144-bis consente a chiunque, anche al minore ultraquattordicenne, di rivolgersi al Garante, che provvede entro 48 ore.

Il reato richiede un danno alla persona interessata?

Sì: tutti i commi dell'art. 167 richiedono che l'autore "arreca nocumento all'interessato". Non basta la violazione formale delle regole sul trattamento, né il solo scopo di danneggiare. Il nocumento può essere patrimoniale o non patrimoniale, ma deve essere provato dall'accusa. Lo stesso vale per l'art. 170, che richiede un "concreto nocumento". Gli artt. 167-bis e 167-ter, invece, non menzionano il nocumento: è sufficiente la comunicazione, la diffusione o l'acquisizione fraudolenta dell'archivio con il fine di profitto o di danno.