Per il reato di trattamento illecito dei dati con spam il nocumento è da valutare in relazione al singolo utente

Decisione: Sentenza n. 41604/2019 Cassazione Penale – Sezione 3

Ai fini del reato di trattamento illecito di dati previsto dall’art. 167 del Decreto Legislativo 30 giugno 2003, n. 196 a seguito di invio di comunicazioni indesiderate (cd. “spam”), la valutazione del nocumento non può che essere riferita alla dimensione individuale dell’utente, dovendosi avere riguardo non al numero complessivo di messaggi inviati, ma all’entità dei messaggi spediti a ogni singolo destinatario.

La nozione di nocumento va agganciata a quella di offensività, qualificando la fattispecie in termini di reato di pericolo concreto e non presunto, dovendosi solo ribadire, che, nell’attuale sistema informativo e commerciale, “nocumento” non può essere il solo disagio di dover cancellare pochi e occasionali messaggi non desiderati, richiedendosi, al fine di attribuire rilevanza penale al fatto, un quid pluris, consistente in un pregiudizio effettivo, che si riveli proporzionato rispetto all’invasività del comportamento di chi invia i contenuti sgraditi, restando magari indifferente a eventuali richieste di porre termine alta spedizione di una determinata tipologia di messaggi.

Osservazioni.

Il caso esaminato dal Collegio riguardava l’invio di comunicazioni indesiderate (cd. “spam“) a mezzo posta elettronica.

L’imputato proponeva ricorso avverso la sentenza in grado di appello, che aveva confermato la condanna in primo grado per il reato di cui all’art. 167 del D. Lgs. 196/2003.

L’invio delle comunicazioni non desiderate era finalizzati a pubclicizzare corsi di aggiornamento agli iscritti di un’associazione.

La Suprema Corte, nel decidere la questione, ha chiarito ulteriormente quanto già affermato da una precedente decisione, che aveva precisato che «Integra il reato di trattamento illecito di dati personali l’indebito utilizzo di un “data-base” contenente l’elenco di utenti iscritti a una “newsletter” ai quali venivano inviati messaggi pubblicitari non autorizzati provenienti da altro operatore, che traeva profitto dalla percezione di introiti commerciali e pubblicitari, con corrispondente nocumento per l’immagine del titolare della banca dati abusivamente consultata e per gli stessi utenti, costretti a cancellare i messaggi di posta indesiderata, a predisporre accorgimenti per impedire ulteriori invii e a tutelare la “privacy” dalla circolazione non autorizzata delle informazioni personali».

Nel caso specifico, «nessun destinatario delle e-mails aveva manifestato all’avv. Ruggi la sua opposizione a ricevere i suoi messaggi promozionali, il cui invio peraltro è avvenuto nel ristretto arco temporale di pochi mesi e in misura contenuta, dovendosi avere riguardo in tal senso non al numero complessivo di messaggi inviati a tutti gli iscritti all’associazione, ma all’entità dei messaggi spediti a ogni singolo associato, posto che la valutazione del nocumento non può che essere riferita alla dimensione individuale dell’utente e non a quella impersonale del gruppo associato di cui ciascuno di essi faceva parte».

Nel campo della privacy, il D. Lgs. 101/2018, in vigore dal 19/09/2018, elimina la collisione normativa tra il Regolamento UE 2016/679 (GDPR) e il codice in materia di protezione dei dati personali (D. Lgs. 196/2003), abrogando diversi articoli di quest’ultimo.

Sono quindi attualmente vigenti sia il Regolamento UE (GDPR) e sia le disposizioni nazionali non abrogate.

Il comma 6 dell’art. 22 del D.Lgs. 101/2018 ha disposto che: «Dalla data di entrata in vigore del presente decreto, i rinvii alle disposizioni del codice in materia di protezione dei dati personali, di cui al decreto legislativo n. 196 del 2003, abrogate dal presente decreto, contenuti in norme di legge e di regolamento, si intendono riferiti alle corrispondenti disposizioni del Regolamento (UE) 2016/679 e a quelle introdotte o modificate dal presente decreto, in quanto compatibili».

Volume consigliato

Giurisprudenza rilevante.

1. Cass. 23798/2012