[sommcomm]

- con riferimento agli articoli successivi, che comunque devono essere coordinati con le sanzioni amministrative di cui sopra, si dovrebbe incidere sulla chiarezza dell'intervento di depenalizzazione conseguente alle abrogazioni recate dall'articolo 27, pur in presenza della sua sostituzione con sanzioni pecuniarie che possono assumere notevolissima entità; - all'articolo 166, comma 9, sarebbe opportuno specificare quale sia la disciplina del ricorso e, dunque, quale sia il termine entro il quale procedere al pagamento, anche tenuto conto che la richiamata legge n. 689 del 1981, come rilevato dal Garante, non usa l'espressionericorso bensì quella "opposizione all'ordinanza di pagamento"; - con riferimento agli illeciti penali e amministrativi, in ordine all'elemento soggettivo del delitto di trattamento illecito di dati, di cui al novellato articolo 167 del Codice, è necessario riflettere sulla scelta di non considerare, quale oggetto alternativo del dolo specifico, anche il nocumento; si deve inoltre assicurare meglio la continuità normativa con la fattispecie vigente, esponendosi altrimenti agli effetti dell'abolitio criminis; - in relazione alla disposizione di cui al comma 6 dell'articolo 167, essa è da coordinare con quanto previsto dall'articolo 187- terdecies del decreto legislativo n. 58 del 1998, che limita l'esazione della pena pecuniaria "alla parte eccedente quella riscossa dall'Autorità amministrativa", circostanza che non ricorre nella disposizione in esame. In relazione alle fattispecie di reato introdotte all'articolo 167- bis del Codice, appare preferibile inserire, tra i soggetti attivi del reato, le persone suscettibili di operare quali autorizzate al trattamento ed anche - quale oggetto alternativo del dolo specifico - includere il nocumento, così non limitando la condotta sanzionata al solo dolo di profitto; - al comma 2 dell'articolo 167 è omesso il riferimento alle misure di garanzia previste dall'articolo 2 -septies per i dati genetici, biometrici e relativi alla salute. Il medesimo articolo punisce l'acquisizione fraudolenta di dati, ma non la loro successiva diffusione; la fattispecie di cui all'articolo 167 -bis , sulla diffusione, non potrà infatti trovare applicazione quando il delitto ècommesso da un soggetto diverso da titolare, responsabile e incaricato; - l'abrogazione dell'articolo 170 - in controtendenza rispetto alle scelte compiute in sede di quasi contemporaneo recepimento della direttiva (UE) n. 680 del 2016 e, in particolare, all'introduzione, in quella sede disposta, di una norma incriminatrice dell'inosservanza dei provvedimenti del Garante - è suscettibile di determinare una irragionevole disparità di trattamento, in quanto l'inadempimento del medesimo provvedimento del Garante verrebbe ad essere privo di sanzione o coperto da sanzione a seconda del soggetto che pone in essere la condotta lesiva; - i richiami operati con riferimento all'articolo 124 in materia di fatturazione dettagliata non rendono agevole capire se la relativa violazione è sanzionata ai sensi del paragrafo 5 dell'articolo 83 del Regolamento, come sembrerebbe in considerazione della diretta applicabilità del Regolamento. Al comma 1, mancano, tra le condotte sanzionabili, quelle che si pongono in contrasto con il comma 1 dell'articolo 110, con l'effetto di far rimanere priva di conseguenze una condotta assai delicata per l'ambito e gli interessi in gioco. Non è altresì prevista la sanzionabilità anche della violazione delle disposizioni del comma 2 dell'articolo 110 -bis, che richiedono l'autorizzazione del Garante, nonché della violazione delle prescrizioni impartite con tale autorizzazione, che non risulta inserita nel comma 2 dell'articolo 166. Non risulta tra le fattispecie sanzionate di cui all'articolo 166, comma 2, la mancata osservanza dell'articolo 157 del Codice, in difformità con quanto previsto dal Regolamento. Incompatibile con l'ordinamento è il mancato richiamo tra le fattispecie sanzionate, oltre a quelle individuate al comma 3, quelle di cui all'articolo 5-ter del decreto legislativo 14 marzo 2013, n. 33; - tra le finalità di rilevante interesse pubblico elencate dall'articolo 2 -sexies non si rinvengono, né secondo l'Autorità garante sembra possibile ricavarle in via interpretativa, alcune di particolare rilevanza, con la conseguenza di rendere difficile il corretto trattamento dei relativi dati ai sensi dell'articolo 9, paragrafo 1, lettera g) del Regolamento. Si prende atto che la stessa Agenzia delle Entrate ha evidenziato una lacuna riguardo alla omissione della tenuta dei registri pubblici relativi a beni immobili o mobili; - all'articolo 2-septies non sono indicate le misure che potranno essere adottate dal Garante. Peraltro, l'elencazione, al comma 4, con finalità meramente esemplificativa, delle materie rispetto alle quali il Garante possa adottare misure di garanzia, concede margini di discrezionalità dell'interprete suscettibile, secondo lo stesso Garante, di pregiudicare la necessaria certezza del diritto, il che fa dubitare della stessa tenuta giuridica dell'articolo in questione, che pure dovrebbe attuare l'articolo 9, paragrafo 4, del Regolamento, prevedendo che il trattamento dei dati biometrici, genetici e relativi alla salute sia subordinato all'osservanza di misure di garanzia, stabilite dal Garante con provvedimento a seguito di consultazione pubblica. Potrebbe essere chiarito meglio l'effetto del combinato disposto del Regolamento UE e dello schema di decreto legislativo sul consenso e sul presupposto di liceità per tutti i dati personali diversi dai dati particolari, per i dati particolari e, nello specifico, per i dati relativi alla salute; - stando al testo del decreto, non sembrerebbero legittime, ai sensi dell'articolo 9, paragrafo 2 lettera b) del Regolamento, le tecniche di riconoscimento biometrico per specifiche finalità di sicurezza, in aggiunta o in sostituzione degli ordinari sistemi di autenticazione informatica, basati su informazioni nella disponibilità cognitiva o su dispo sitivi , con possibili effetti negativi per situazioni che richiedono un maggior grado di certezza dell'identità del soggetto legittimato all'utilizzo di sistemi o all'accesso alle aree indicate, anche al fine di scongiurare il rischio dì cessione illegittima o di furto di credenziali; - in relazione alle modalità di verifica delle autorizzazioni generali, i termini di soli novanta giorni, stabiliti per consentire al Garante l'adozione del provvedimento generale con il quale si individuano le prescrizioni delle autorizzazioni generali compatibili con il Regolamento, appaiono eccessivamente ristretti, tanto più alla luce dell'obbligatorio procedimento di consultazione pubblica. Tale tempistica, di pressoché impossibile realizzazione, avrà conseguenze negative anche sul momento di cessazione degli effetti delle autorizzazioni ivi previste. Sembra coerente un ordine di misura intorno ai 120 giorni, ovvero 150 per concludere l'intera procedura; - all'articolo 2-novies, è utile apprestare il coordinamento con la disciplina sulla valutazione, in sede giudiziaria, della validità, efficacia e utilizzabilità di atti, documenti e provvedimenti basati sul trattamento di dati personali non conforme a norme legislative o regolamentari.