Nuovi illeciti penali introdotti dal decreto legislativo n. 51/2018

Come è noto, in data 24 maggio 2018 è stato pubblicato sulla Gazzetta ufficiale della Repubblica italiana il decreto legislativo n. 51 del 2018 con cui è stata data attuazione alla direttiva relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorita’ competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali.

Orbene, in questa normativa, sono state introdotte anche nuove ipotesi di reato volte a garantire il rispetto di talune delle disposizioni legislative previste da questa disciplina giuridica.

In particolare, il capo VI di questo decreto legislativo, intitolato “Illeciti penali”, prevede dall’articolo 43 all’articolo 45 l’inserimento nel nostro ordinamento giuridico di talune figure delittuose, mentre all’art. 46 si fa riferimento alle pene accessorie.

Non restando dunque nell’esaminare nel dettaglio tali precetti normativi.

Quali sono stati i nuovi reati introdotti?

Trattamento illecito di dati

L’art. 43 prevede il delitto di trattamento illecito di dati statuendo quanto segue: “1. Salvo che il fatto costituisca più’ grave  reato,  chiunque,  al fine di trarne per se’ o per altri profitto o di recare ad  altri un danno, procede al trattamento di  dati  personali  in  violazione  di quanto disposto dall’articolo 5, comma 1, e’  punito,  se  dal  fatto deriva nocumento, con la reclusione da sei mesi a un anno e sei mesi o, se la condotta comporta comunicazione o diffusione dei  dati, con la reclusione da sei mesi a due anni. 2. Salvo che il fatto costituisca piu’ grave  reato,  chiunque,  al fine di trarne per se’ o per altri profitto o di recare ad altri un danno, procede al trattamento di  dati  personali  in  violazione  di quanto disposto dall’articolo  7  o  dall’articolo  8,  comma  4,  e’ punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni”.

La norma de qua, dunque, contempla due distinte ipotesi delittuose ambedue configurabili come reato comune potendo essere commesse da chiunque.

La prima, stabilita dal c. 1, sanziona la condotta di chi procede al trattamento di dati personali in  violazione  di quanto disposto dall’articolo 5, comma 1 e quindi di coloro che trattano illecitamente i dati personali in quanto non necessario per l’esecuzione di un compito  di  un’autorita’  competente  per  le  finalita’  di  cui all’articolo 1, comma 2 (ossia: per fini di prevenzione, indagine, accertamento  e perseguimento di reati, o esecuzione di sanzioni penali,  incluse  la salvaguardia contro  e  la  prevenzione  di  minacce  alla  sicurezza pubblica, ovvero non basandosi sul diritto dell’Unione europea  o su disposizioni di  legge  o,  nei  casi  previsti  dalla  legge,  di regolamento che individuano i  dati  personali  e  le  finalita’  del trattamento).

Non è però sufficiente porre in essere questa condotta, occorrendo, per un verso, che si agisca in tal senso al fine di trarne per se’ o per altri profitto o di recare ad  altri un danno (e quindi richiesto il dolo specifico non essendo sufficiente la mera coscienza e volontà di trattare illecitamente i dati personali), per altro verso, che da questo fatto derivi un nocumento ossia, come già affermato dalla Cassazione a proposito dell’art. 167 del codice della Privacy, un pregiudizio, anche di natura non patrimoniale subito dalla persona cui si riferiscono i dati quale conseguenza dell’illecito trattamento  (così: Cass. pen., sez. III, 7/02/2017, n. 29549); il nocumento, a sua volta, è configurabile quale “condizione di punibilità (intrinseca)” (Garante per la protezione dei dati personali, provvedimento n. 99 del 22 febbraio del 2018 “Parere sullo schema di decreto legislativo recante Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio – 22 febbraio 2018”, in http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8005333).

E’ prevista inoltre una aggravante speciale qualora la condotta comporti la comunicazione o la diffusione dei dati dato che in questo caso la pena, nel massimo edittale, è elevata da un anno e sei mesi a due anni.

Venendo a trattare il secondo delitto previsto in questa norma di legge (cioè quello stabilito nel secondo comma), è punito, con la reclusione da uno a tre anni, chiunque, al fine di trarne per se’ o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dall’articolo 7 o dall’articolo 8, comma  4, se dal fatto deriva nocumento.

La strutturazione di questo reato, quindi, non differisce dall’altro in precedenza esaminato essendo anche qui richiesto, da una parte, che si agisca allo scopo di trarne per se’ o per altri profitto o di recare ad altri un danno, dall’altra, che dal fatto derivi un nocumento.

Ciò che distingue, invece, è la condotta materiale che integra questo illecito penale essendo qui richiesto che il trattamento di dati personali sia compiuto in violazione di quanto disposto dall’articolo 7 o dall’articolo 8, comma 4 i quali, a loro volta, statuiscono, da un lato, che, il “trattamento di dati di cui all’articolo 9 del regolamento UE e’ autorizzato solo se strettamente necessario e assistito da garanzie adeguate per i diritti e le liberta’ dell’interessato e specificamente previsto dal diritto dell’Unione europea o da legge o, nei casi previsti dalla legge, da regolamento, ovvero, ferme le garanzie dei diritti e delle liberta’, se necessario per salvaguardare un interesse vitale dell’interessato o di un’altra persona fisica o se ha ad oggetto dati resi manifestamente pubblici dall’interessato”, dall’altro, che, fermo “il divieto di cui all’articolo 21 della Carta dei  diritti fondamentali  dell’Unione europea, e’ vietata la profilazione finalizzata alla discriminazione di persone  fisiche sulla  base di categorie particolari di dati personali di cui all’articolo 9 del regolamento UE”.

Tal che, ove uno di questi precetti normativi non venga rispettato, la sanzione che ne consegue è penale e comporta la condanna alla reclusione da uno a tre anni.

Falsità in atti e dichiarazioni al Garante

L’art. 44, dal canto suo, introduce il delitto di falsità in atti e dichiarazioni al Garante stabilendo che, salvo  “che il fatto costituisca piu’ grave reato, chiunque, in un procedimento dinanzi al Garante riguardante il trattamento  dei  dati di  cui  all’articolo  1,  comma  2,  o  nel  corso  di  accertamenti

riguardanti i medesimi dati, dichiara o attesta falsamente notizie  o circostanze o produce atti  o  documenti  falsi,  e’  punito  con  la reclusione da sei mesi a tre anni”.

Anche in questo caso si tratta di un reato comune potendo essere commesso da chiunque ma non è richiesto alcun dolo specifico essendo sufficiente la coscienza e la volontà di dichiarare o attestare falsamente notizie  o circostanze o produrre atti o documenti  falsi.

La condotta incriminata può consistere, per un verso, nel dichiarare notizie o circostanze false o nell’attestare ciò in un apposito documento, per altro verso, nel produrre a chi di dovere documenti o atti già falsificati.

Il novero delle condotte per cui è configurabile questo reato, pertanto, è assai ampio includendovi tutte quelle condotte che possono influire l’attività del Garante attraverso la comunicazione di notizie o circostanze non vere.

Inosservanza di provvedimenti del Garante

L’art. 45, invece, prevede il delitto di inosservanza di provvedimenti del Garante prescrivendo che chiunque, “essendovi  tenuto,  non  osserva  il   provvedimento adottato dal Garante ai sensi dell’articolo 143, comma 1, lettera c), del Codice, in un procedimento riguardante il trattamento dei dati di cui all’articolo 1, comma 2, e’ punito con la reclusione da tre  mesi a due anni”.

Di conseguenza, attraverso l’introduzione di questa norma incriminatrice, si vuole sanzionare la condotta di chi è tenuto ad osservare (ma non lo fa) il  provvedimento adottato dal Garante ai sensi dell’articolo 143, comma 1, lettera c), del Codice, in un procedimento riguardante il trattamento dei dati di cui all’articolo 1, comma 2 cioè il provvedimento con cui il Garante dispone il blocco o vieta, in tutto o in parte, il trattamento che risulta illecito o non corretto anche per effetto della mancata adozione delle misure necessarie di cui alla lettera b) (ossia: prescrive al titolare le misure opportune o necessarie per rendere il trattamento conforme alle disposizioni vigenti), oppure quando, in considerazione della natura dei dati o, comunque, delle modalità del trattamento o degli effetti che esso può determinare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati qualora il procedimento abbia ad oggetto il trattamento dei dati personali delle persone fisiche  e al trattamento non automatizzato  di  dati  personali  delle  persone fisiche contenuti in un archivio o ad esso  destinati,  svolti  dalle autorita’ competenti a fini di prevenzione, indagine, accertamento  e perseguimento di reati, o esecuzione di sanzioni penali,  incluse  la salvaguardia contro  e  la  prevenzione  di  minacce  alla  sicurezza pubblica.

Pene accessorie

Infine, oltre all’introduzione di queste fattispecie delittuose, in questo decreto legislativo sono state contemplate anche apposite pene accessorie dato che l’art. 46 stabilisce che la “condanna per uno dei delitti previsti  dal  presente  decreto importa la pubblicazione della sentenza, ai sensi  dell’articolo  36, secondo e terzo comma, del codice penale”.

Rilevano quindi nel caso di specie le seguenti previsioni codicistiche: a) “La sentenza di condanna è inoltre pubblicata nel sito internet del Ministero della giustizia. La durata della pubblicazione nel sito è stabilita dal giudice in misura non superiore a trenta giorni. In mancanza, la durata è di quindici giorni” (art. 36, c. 2, c.p.); b) “La pubblicazione è fatta per estratto, salvo che il giudice disponga la pubblicazione per intero; essa è eseguita d’ufficio e a spese del condannato” (art. 36, c. 3, c.p.).