Source: https://www.filodiritto.com/articoli/2013/09/i-delitti-in-materia-di-privacy-nel-decreto-legislativo-2312001
Timestamp: 2019-09-16 14:16:42+00:00

Document:
I delitti in materia di privacy nel Decreto Legislativo 231/2001 | Filodiritto
I delitti in materia di privacy nel Decreto Legislativo 231/2001
Il Decreto-Legge 14 agosto 2013, n. 93, recante “Disposizioni urgenti in materia di sicurezza e per il contrasto della violenza di genere, nonché in tema di protezione civile e di commissariamento delle province” (in G.U. n. 191 del 16 agosto 2013 e in vigore dal 17 agosto), dispone un’importante integrazione del Decreto Legislativo 231/2001 (responsabilità da reato degli enti collettivi).
Va premesso che l’articolo 9 inserisce nell’articolo 640-ter del codice penale (frode informatica) un terzo comma, nel quale viene prevista una fattispecie autonoma di reato – procedibile d’ufficio - “se il fatto è commesso con sostituzione dell’identità digitale in danno di uno o più soggetti".
Il nuovo testo dell’articolo 640-ter codice penale [1] è, pertanto, il seguente:
La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3000 se il fatto è commesso con sostituzione dell’identità digitale in danno di uno o più soggetti.
Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o un’altra circostanza aggravante.
Interessa in questa sede l’integrazione dell’articolo 24-bis Decreto Legislativo 231/2001 con il richiamo (che comprende oltre alla fattispecie menzionata, anche il delitto di utilizzo indebito e falsificazione di carte di credito [2]) dei delitti contenuti nel Codice sulla Privacy (Decreto Legislativo 196/2003.
Il nuovo testo dell’articolo 24-bis Decreto Legislativo 231/2001
Di seguito il testo aggiornato dell’articolo 24-bis (Delitti informatici e trattamento illecito di dati), con evidenza in grassetto delle modifiche menzionate:
I delitti del Codice Privacy nel Decreto Legislativo 231
Il testo dell’articolo 24-bis contiene finalmente un link corretto alla rubrica della medesima disposizione: nel testo previgente, come è noto, non era menzionata alcuna fattispecie criminosa relativa alla normativa sulla privacy.
Il link non è tuttavia esaustivo, in quanto la disposizione prende in considerazione non solo il trattamento illecito, ma anche altre fattispecie delittuose in materia di trattamento di dati personali.
Il richiamo al Codice Privacy riguarda, precisamente, i delitti di cui alla Parte III, Titolo III, Capo II del Decreto Legislativo 196.
Quest’ultimo Capo disciplina le sanzioni penali (articoli 167-172), alcune riferite a delitti altre a contravvenzioni.
Ai fini del Decreto Legislativo 231 (e, di conseguenza, ai fini del risk assessment in sede di aggiornamento dei Modelli organizzativi) occorre considerare i seguenti delitti:
articolo 167 (Trattamento illecito di dati)
2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26,27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.
articolo 168 (Falsità nelle dichiarazioni e notificazioni al Garante)
1. Chiunque, nelle comunicazioni di cui all’articolo 32-bis,commi 1 e 8, nella notificazione di cui all’articolo 37 o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni.
articolo 170 (Inosservanza di provvedimenti del Garante)
Non costituiscono reato-presupposto le contravvenzioni di cui agli articoli 169 (omessa adozione delle misure minime di sicurezza) e 171 (violazione delle disposizioni di cui agli articoli 113,comma 1, e 114).
L’articolo 171 rinvia, quoad poenam, all’articolo 38 dello Statuto dei lavoratori (altra contravvenzione) per la violazione del divieto di indagine sulle opinioni dei lavoratori (articolo 8) e del divieto di controllo a distanza (articolo 4).
I delitti-presupposto in dettaglio
La tipizzazione del trattamento illecito richiede - ora anche ai fini del Decreto Legislativo 231 - l’esame dei numerosi rinvii contenuti nella disposizione in esame.
Va pure rilevato che alcune disposizioni richiamate dall’articolo 167 riguardano esclusivamente soggetti pubblici (articoli 18, 19, 20, 21, 22) e altre sono riferibili al trattamento di dati effettuato da soggetti specificamente determinati (articoli 123, 126, 130).
- trattamento di dati personali in violazione di quanto disposto dall’articolo 18:
articolo 18 (Principi applicabili a tutti i trattamenti effettuati da soggetti pubblici)
- trattamento di dati personali in violazione di quanto disposto dall’articolo 19:
articolo 19 (Principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari)
1. Il trattamento da parte di un soggetto pubblico riguardante dati diversi da quelli sensibili e giudiziari è consentito, fermo restando quanto previsto dall’articolo 18, comma 2, anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente.
2. La comunicazione da parte di un soggetto pubblico ad altri soggetti pubblici è ammessa quando è prevista da una norma di legge o di regolamento. In mancanza di tale norma la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di funzioni istituzionali e può essere iniziata se è decorso il termine di cui all’articolo 39, comma 2, e non è stata adottata la diversa determinazione ivi indicata.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 23:
articolo 23 (Consenso)
- trattamento di dati personali in violazione di quanto disposto dall’articolo 123:
articolo 123 (Dati relativi al traffico)
5. Il trattamento dei dati personali relativi al traffico è consentito unicamente ad incaricati del trattamento che operano ai sensi dell’articolo 30 sotto la diretta autorità del fornitore del servizio di comunicazione elettronica accessibile al pubblico o, a seconda dei casi, del fornitore della rete pubblica di comunicazioni e che si occupano della fatturazione o della gestione del traffico, di analisi per canto di clienti, dell’accertamento di frodi, o della commercializzazione dei servizi di comunicazione elettronica o della prestazione dei servizi a valore aggiunto. Il trattamento è limitato a quanto è strettamente necessario per lo svolgimento di tali attività e deve assicurare l’identificazione dell’incaricato che accede ai dati anche mediante un’operazione di interrogazione automatizzata.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 126:
articolo 126 (Dati relativi all’ubicazione)
1. I dati relativi all’ubicazione diversi dai dati relativi al traffico, riferiti agli utenti o agli abbonati di reti pubbliche di comunicazione o di servizi di comunicazione elettronica accessibili al pubblico, possono essere trattati solo se anonimi o se l’utente o il contraente ha manifestato previamente il proprio consenso, revocabile in ogni momento, e nella misura e per la durata necessari per la fornitura del servizio a valore aggiunto richiesto.
2. Il fornitore del servizio, prima di richiedere il consenso, informa gli utenti e gli abbonati sulla natura dei dati relativi all’ubicazione diversi dai dati relativi al traffico che saranno sottoposti al trattamento, sugli scopi e sulla durata di quest’ultimo, nonché sull’eventualità che i dati siano trasmessi ad un terzo per la prestazione del servizio a valore aggiunto.
4. Il trattamento dei dati relativi all’ubicazione diversi dai dati relativi al traffico, ai sensi dei commi 1 , 2 e 3, è consentito unicamente ad incaricati del trattamento che operano ai sensi dell’articolo 30, sono la diretta autorità del fornitore del servizio di comunicazione elettronica accessibile al pubblico o, a seconda dei casi, del fornitore della rete pubblica di comunicazioni o del terzo che fornisce il servizio a valore aggiunto. Il trattamento è limitato a quanto è strettamente necessario per la fornitura del servizio a valore aggiunto e deve assicurare
l’identificazione dell’incaricato che accede ai dati anche mediante un’operazione di interrogazione automatizzata.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 130:
articolo 130 (Comunicazioni indesiderate)
1. Fermo restando quanto stabilito dagli articoli 8 e 21 del decreto legislativo 9 aprile 2003, n. 70, l’uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore per l’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente.
3. Fuori dei casi di cui ai commi 1 e 2, ulteriori comunicazioni per le finalità di cui ai medesimi commi effettuate con mezzi diversi da quelli ivi indicati, sono consentite ai sensi degli articoli 23 e 24 nonché ai sensi di quanto previsto dal comma 3-bis del presente articolo.
f)obbligo per i soggetti che effettuano trattamenti di dati per le finalità di cui all’articolo 7, comma 4, lettera b), di garantire la presentazione dell’identificazione della linea chiamante e di fornire all’utente idonee informative, in particolare sulla possibilità e sulle modalità di iscrizione nel registro per opporsi a futuri contatti;
5. È vietato in ogni caso l’invio di comunicazioni per le finalità di cui al comma 1 o, comunque, a scopo promozionale, effettuato camuffando o celando l’identità del mittente o in violazione dell’articolo 8 del decreto legislativo 9 aprile 2003, n. 70, o senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i diritti di cui all’articolo 7, oppure esortando i destinatari a visitare siti web che violino il predetto articolo 8 del decreto legislativo n. 70 del 2003.
6. In caso di reiterata violazione delle disposizioni di cui al presente articolo il Garante puo’, provvedendo ai sensi dell’articolo 143, comma 1, lettera b), altresì prescrivere a fornitori di servizi di comunicazione elettronica di adottare procedure di filtraggio o altre misure praticabili relativamente alle coordinate di posta elettronica da cui sono stati inviate le comunicazioni.
- trattamento di dati personali in applicazione dell’articolo 129:
articolo 129 (Elenchi di abbonati)
- trattamento di dati personali in violazione di quanto disposto dall’articolo 17:
articolo 17 (Trattamento che presenta rischi specifici)
- trattamento di dati personali in violazione di quanto disposto dall’articolo 20:
articolo 20 (Principi applicabili al trattamento di dati sensibili)
1. Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di’ dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 21:
articolo 21 (Principi applicabili al trattamento di dati giudiziari)
1-bis. Il trattamento dei dati giudiziari è altresì consentito quando è effettuato in attuazione di protocolli d’intesa per la prevenzione e il contrasto dei fenomeni di criminalità organizzata stipulati con il Ministero dell’interno o con i suoi uffici periferici di cui all’articolo 15, comma 2, del decreto legislativo 30 luglio 1999, n. 300, previo parere del Garante per la protezione dei dati personali, che specificano la tipologia dei dati trattati e delle operazioni eseguibili.
2. Le disposizioni di cui all’articolo 20, commi 2 e 4, si applicano anche al trattamento dei dati giudiziari.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 22, commi 8 e 11:
articolo 22 (Principi applicabili al trattamento di dati sensibili e giudiziari)
10. I dati sensibili e giudiziari non possono essere trattati nell’ambito di test psicoattitudinali volti a definire il profilo o la personalità dell’interessato. Le operazioni di raffronto tra dati sensibili e giudiziari, nonché i trattamenti di dati sensibili e giudiziari ai sensi dell’articolo 14, sono effettuati solo previa annotazione scritta dei motivi.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 25:
articolo 25 (Divieti di comunicazione e diffusione)
- trattamento di dati personali in violazione di quanto disposto dall’articolo 26:
articolo 26 (Garanzie per i dati sensibili)
b-bis) dei dati contenuti nei curricula, nei casi di cui all’articolo 13, comma 5-bis.
a) quando il trattamento è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità hanno contatti regolari con l’associazione, ente od organismo, sempre che i dati non siano comunicati all’esterno o diffusi e l’ente, associazione od
organismo determini idonee garanzie relativamente ai trattamenti effettuati, prevedendo espressamente le modalità di utilizzo dei dati con determinazione resa nota agli interessati all’atto dell’informativa ai sensi dell’articolo 13;
- trattamento di dati personali in violazione di quanto disposto dall’articolo 27:
articolo 27 (Garanzie per i dati giudiziari)
1. Il trattamento di dati giudiziari da parte di privati o di enti pubblici economici è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili. Si applica quanto previsto dall’articolo 21, comma 1-bis.
- trattamento di dati personali in violazione di quanto disposto dall’articolo 45:
articolo 45 (Trasferimenti vietati)
- falsità nelle dichiarazioni e notificazioni al Garante
La tipizzazione delle falsità rilevanti richiede - oltre alle ipotesi in cui avvenga l’esibizione di documenti dinanzi al Garante o nel corso di accertamenti - l’esame degli articoli richiamati:
- falsità nelle comunicazioni di cui all’articolo 32-bis, commi 1 e 8:
articolo 32-bis (Adempimenti conseguenti ad una violazione di dati personali)
- falsità nella notificazione di cui all’articolo 37:
articolo 37 (Notificazione del trattamento)
1-bis. La notificazione relativa al trattamento dei dati di cui al comma 1 non è dovuta se relativa all’attività dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale.
- inosservanza di provvedimenti del Garante
Rilevano le seguenti inottemperanze:
- inosservanza del provvedimento adottato dal Garante ai sensi dell’articolo 26, comma 2:
- inosservanza del provvedimento adottato dal Garante ai sensi dell’articolo 90:
articolo 90 (Trattamento dei dati genetici e donatori di midollo osseo)
3. Il donatore di midollo osseo, ai sensi della legge 6 marzo 2001, n. 52, ha il diritto e il dovere di mantenere l’anonimato sia nei confronti del ricevente sia nei confronti di terzi.
- inosservanza del provvedimento adottato dal Garante ai sensi dell’articolo 150, commi 1 e 2:
articolo 150 (Provvedimenti a seguito del ricorso)
1. Se la particolarità del caso lo richiede, il Garante può disporre in via provvisoria il blocco in tutto o in particolare di taluno dei dati, ovvero l’immediata sospensione di una o più operazioni del trattamento. Il provvedimento può essere adottato anche prima della comunicazione del ricorso ai sensi dell’articolo 149, comma 1, e cessa di avere ogni effetto se non è adottata nei termini la decisione di cui al comma 2. Il medesimo provvedimento è impugnabile unitamente a tale decisione.
- inosservanza del provvedimento adottato dal Garante ai sensi dell’articolo 143, comma 1, lettera c):
articolo 143 (Procedimento per i reclami)
Non v’è dubbio che la previsione dei delitti in tema di privacy risulta di grande impatto, soprattutto per quanto concerne l’illecito trattamento dei dati personali[3].
Si tratta di violazioni potenzialmente in grado di interessare l’intera platea degli enti collettivi privati soggetti alle disposizioni del Decreto Legislativo 231.
La compliance in materia di privacy entra pertanto a pieno titolo – e, direi, prepotentemente – nella sfera della compliance 231.
Diventerà decisivo il rispetto dei provvedimenti generali del Garante in tema di trattamento dei dati del lavoratore (anche ai fini dei c.d. controlli difensivi), di uso di internet e della posta elettronica, di amministratore di sistema.
Sarà importante che l’azienda adotti un corretto assetto organizzativo e gestionale in ordine al trattamento dei dati personali, con particolare riferimento alla designazione del responsabile e dell’incaricato del trattamento.
Quanto appena detto vale soprattutto per le ipotesi di comunicazione di dati personali nell’ambito di un gruppo di imprese, specie se a carattere transnazionale.
Dovranno, a questo punto, essere approfondite le modalità di gestione delle segnalazioni interne di potenziali illeciti (c.d.whistleblowing), che possono contenere dati personali, magari anche sensibili e giudiziari.
Infine, ma non per importanza, il “Responsabile Privacy” (e il futuro Data Protection Officer) dovrà essere un interlocutore privilegiato dell’Organismo di vigilanza[4].
[1] Il delitto di frode informatica viene, pertanto, ad essere richiamato da due articoli del d.lg. 231, concernenti, rispettivamente, i reati di truffa/indebita percezione di finanziamenti pubblici (articolo 24) e i reati informatici (articolo 24-bis). Tale delitto, se commesso in danno dello Stato o di altro ente pubblico, determina (ex articolo 24) l’applicazione all’ente della sanzione pecuniaria fino a cinquecento quote; se l’ente ha conseguito un profitto di rilevante entità o è derivato un danno di particolare gravità, si applica la sanzione pecuniaria da duecento a seicento quote; in caso di condanna, si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere c), d) ed e). Ove, invece, la frode informatica avvenga con sostituzione dell’identità digitale in danno di terzi, si applica all’ente (ex articolo 24-bis) la sanzione pecuniaria da cento a cinquecento quote; in caso di condanna, si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere a), b) ed e).
[2] Articolo 55 comma 9 Decreto Legislativo 231/2007 (c.d. Legge Antiriciclaggio): Chiunque, al fine di trarne profitto per sé o per altri, indebitamente utilizza, non essendone titolare, carte di credito o di pagamento, ovvero qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi, è punito con la reclusione da uno a cinque anni e con la multa da 310 a 1.550 euro. Alla stessa pena soggiace chi, al fine di trarne profitto per se’ o per altri, falsifica o altera carte di credito o di pagamento o qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi, ovvero possiede, cede o acquisisce tali carte o documenti di provenienza illecita o comunque falsificati o alterati, nonché ordini di pagamento prodotti con essi.
[3] Sotto il profilo sanzionatorio, va rilevato che per i delitti in materia di privacy sono previste anche alcune sanzioni interdittive, e in particolare: l’interdizione dall’esercizio dell’attività; la sospensione o la revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito; il divieto di pubblicizzare beni o servizi.
[4] La collaborazione informativa tra il preposto ai controlli in uno specifico settore e l’ODV costituisce ormai un trend consolidato: si pensi alla normativa antiriciclaggio, a quella sulla sicurezza sul lavoro e sui reati ambientali.

References: articolo 167

articolo 168

articolo 170

articolo 18

articolo 19

articolo 23

articolo 123

articolo 126

articolo 130
 articolo 8

articolo 129

articolo 17

articolo 20

articolo 21

articolo 22

articolo 25

articolo 26

articolo 27

articolo 45

articolo 32

articolo 37

articolo 90

articolo 150

articolo 143
 articolo 24
 articolo 24
 Articolo 55