Privacy: tutti i nuovi reati del Gdpr

di Valeria Zeppilli – Con il decreto di adeguamento della normativa privacy al Gdpr, il quadro sanzionatorio previsto per le violazioni della normativa a tutela dei dati personali ha subito alcune importanti modifiche.

Vai alla guida Gdpr: tutto quello che c'è da sapere

In campo penale, in particolare, sono state introdotte nuove fattispecie incriminatrici e le vecchie sono in parte restate e in parte sono state oggetto di un'opera di depenalizzazione.

Vediamo, quindi, quali fattispecie di reato sono oggi previste nella disciplina in materia di privacy:

• Trattamento illecito di dati
• Comunicazione e diffusione illecita di dati personali
• Acquisizione fraudolenta di dati personali
• Interruzione dell'esecuzione dei compiti o dell'esercizio dei poteri del Garante
• Inosservanza di provvedimenti del Garante
• Violazioni in materia di controlli a distanza dei lavoratori
• Gli ex reati

Trattamento illecito di dati

Innanzitutto, l'articolo 167 del codice sanziona il trattamento illecito di dati personali, fattispecie già prevista ma rivisitata alla luce della nuova disciplina europea.

È reato, in particolare, la violazione delle norme privacy più rilevanti, come ad esempio alcune di quelle che disciplinano il trattamento di dati sensibili e il trasferimento internazionale di dati.

La pena per tale reato è diminuita se per gli stessi fatti è applicata una sanzione amministrativa.

Comunicazione e diffusione illecita di dati personali

Il nuovo articolo 167-bis punisce, invece, la comunicazione e la diffusione di dati personali oggetto di trattamento su larga scala, quando tali comportamenti violino determinati requisiti prescritti dalla legge e siano guidati dalla volontà di recare danno a terzi o di trarre profitto per sé o per altri.

La comunicazione o la diffusione, poi, devono riguardare un archivio automatizzato di dati personali o una sua parte sostanziale.

Anche in questo caso, se per gli stessi fatti è applicata anche una sanzione amministrativa la pena è diminuita.

Acquisizione fraudolenta di dati personali

Un'altra nuova fattispecie di reato è rappresentata dall'acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala, prevista dall'articolo 167-ter.

L'illecito, punito con la reclusione da uno a quattro anni, è posto in essere da chi acquisisce con mezzi fraudolenti un archivio automatizzato o una sua parte sostanziale contenente dai personali oggetto di trattamento su larga scala al fine di trarne profitto o di arrecare danno ad altri.

Interruzione dell'esecuzione dei compiti o dell'esercizio dei poteri del Garante

Chiunque dichiara o attesta il falso al Garante continua a essere sanzionato penalmente dall'articolo 168 del codice privacy che, rispetto a quanto avveniva prima del Gdpr, è stato tuttavia integrato con la previsione, al comma 2, di una nuova fattispecie di reato: l'interruzione dell'esecuzione dei compiti o dell'esercizio dei poteri del Garante.

Inosservanza di provvedimenti del Garante

Nonostante lo schema di decreto presentato al Parlamento avesse tentato di eliminarne la rilevanza penale, è ancora oggi reato l'inosservanza di provvedimenti del Garante, sanzionata dall'articolo 170 del codice privacy con la reclusione da tre mesi a due anni.

Violazioni in materia di controlli a distanza dei lavoratori

Infine, restano reato le violazioni delle disposizioni in materia di controlli a distanza e di indagini sulle opinioni dei lavoratori previste dallo Statuto dei lavoratori.

Gli ex reati

Tutte le altre fattispecie di illecito penale previste dal codice della privacy prima dell'entrata in vigore del Gdpr e del decreto con il quale lo stesso è stato attuato in Italia sono state depenalizzate e, pertanto, non integrano più ipotesi di reato.

Se esse sono state commesse prima del 19 settembre 2018, ovverosia prima della data di entrata in vigore del decreto 101/2018, si applicano le nuove sanzioni amministrative purché il procedimento penale non sia stato definito con sentenza o con decreto irrevocabili. Se tali provvedimenti sono invece intervenuti, il giudice dell'esecuzione potrà revocarli perché il fatto non è più previsto dalla legge come reato.