{"id":1745,"date":"2018-02-05T08:30:24","date_gmt":"2018-02-05T07:30:24","guid":{"rendered":"http:\/\/www.cyberlaws.it\/?p=1745"},"modified":"2020-04-30T11:44:49","modified_gmt":"2020-04-30T09:44:49","slug":"sanzioni-penali-gdpr","status":"publish","type":"post","link":"https:\/\/www.cyberlaws.it\/en\/2018\/sanzioni-penali-gdpr\/","title":{"rendered":"Le sanzioni penali correlate al GDPR"},"content":{"rendered":"

Le sanzioni penali correlate al GDPR<\/span><\/h3>\n
di Alberto Fanelli<\/span><\/h5>\n
\n
\n

Premessa<\/u><\/h4>\n<\/blockquote>\n

Nell\u2019arco dell\u2019ultimo biennio il legislatore europeo ha introdotto una rilevante riforma legislativa in materia di privacy<\/em>, di cui il Regolamento Europeo (UE) 2016\/679<\/a> del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonch\u00e9 alla libera circolazione di tali dati e che abroga la direttiva 95\/46\/CE (c.d. General Data Protection Regulation<\/em>, d\u2019ora innanzi Regolamento o GDPR<\/em>) costituisce il corpus <\/em>normativo fondamentale. La finalit\u00e0 precipua della trattazione consiste nell\u2019analisi del c.d. framework<\/em> giuridico delle sanzioni penali afferenti al GDPR<\/em>.<\/p>\n

\n

Inquadramento generale sulle sanzioni previste nel GDPR<\/u><\/h4>\n<\/blockquote>\n

Il regime sanzionatorio trae fondamento dalla Direttiva 95\/46\/CE, la quale, nondimeno, non forniva alcuna specificazione n\u00e9 della tipologia n\u00e9 dell\u2019entit\u00e0 delle sanzioni previste, attribuendo agli Stati membri ex <\/em>art. 24, nella loro piena autonomia, il compito di disciplinare le conseguenze delle violazioni, senza precisare se le violazioni dovessero avere carattere penale oppure amministrativo. Diversamente, il GDPR<\/em>\u00a0individua gli importi e le circostanze in cui possono essere comminate le sanzioni amministrative, con particolare riferimento alle sanzioni amministrative pecuniarie massime per specifiche violazioni del Regolamento, che vengono elencate in maniera puntuale, e ai nuovi criteri per la ponderazione della sanzione pecuniaria inerenti a tutte le contingenze che attengono alla situazione concreta, tra cui la natura, la gravit\u00e0, la durata dell\u2019infrazione e le relative conseguenze. \u00c8 d\u2019uopo, inoltre, precisare che le sanzioni amministrative possono essere inflitte sia alle persone fisiche sia ai soggetti giuridici privati o pubblici, ad esempio i titolari e i responsabili del trattamento, il Data Protection Officer<\/em> (c.d. DPO<\/em>) oppure gli organismi di certificazione e di monitoraggio dei codici di condotta. Il Regolamento, invece, non contiene disposizioni volte a disciplinare direttamente la responsabilit\u00e0 penale che deriva dall\u2019illecito trattamento dei dati personali, tuttavia non risulta preclusa ai singoli Stati membri la possibilit\u00e0 di prevedere sanzioni di carattere penale, poich\u00e9 il Legislatore europeo ha espressamente demandato la scelta del regime relativo alla responsabilit\u00e0 penale agli Stati stessi.<\/p>\n

\n

Le sanzioni penali nel GDPR<\/u><\/h4>\n<\/blockquote>\n

Le principali disposizioni di riferimento, afferenti al novero delle fonti normative della materia, sono il Considerando n. 149 e l\u2019art. 84 del GDPR<\/em><\/a>, da combinarsi insieme con l\u2019art. 83.2 TFUE. Il Considerando n. 149, infatti, sancisce che i singoli Stati debbano poter stabilire le disposizioni concernenti le sanzioni penali applicabili in caso di violazione del Regolamento e in caso di violazione delle norme nazionali adottate in virt\u00f9 ed entro i limiti posti dal Regolamento.<\/p>\n

\u00c8, altres\u00ec, ammesso che le sanzioni aventi carattere penale, previste dagli Stati membri, possano implicare la sottrazione dei profitti ricavati mediante la violazione del Regolamento, a condizione che venga rispettato il principio del ne bis in idem<\/em>, quale interpretato dalla Corte di Giustizia europea. Sull\u2019anzidetto principio, con riguardo all\u2019ambito penalistico, la CGUE si \u00e8 ampiamente espressa, in particolare nei casi Aklagaren<\/em>, Gasparini<\/em>, Van Straaten<\/em> e Kretzinger<\/em>.<\/p>\n

Il Considerando 149<\/a>, dunque, pur prevedendo la possibilit\u00e0 di sanzioni penali per la violazione della legislazione europea oppure nazionale, adottata in virt\u00f9 del GDPR<\/em> in materia di protezione dei dati, fonda una simile possibilit\u00e0 sull\u2019articolo 50 della Carta UE, che sancisce il diritto di non essere giudicati o puniti due volte per il medesimo reato, e sul Protocollo n. 7 alla Convezione Europea per la salvaguardia dei Diritti dell\u2019Uomo e delle Libert\u00e0 fondamentali, il quale prevede all\u2019art. 4 lo stesso diritto di cui sopra. Pertanto, con riferimento all\u2019interpretazione del principio del ne bis in idem<\/em>, elaborata a seguito del celebre caso Aklagaren<\/em>, nel caso di una violazione del GDPR<\/em> o della normativa domestica adottata in virt\u00f9 dello stesso, potranno coesistere sia le sanzioni penali che le sanzioni amministrative, ma non pi\u00f9 le sanzioni penali per il medesimo fatto e, in ogni caso, la combinazione tra le sanzioni non dovrebbe comportare un effetto punitivo eccessivo, poich\u00e9 in tali casi si configurerebbe un contrasto con quanto sancito dall\u2019art. 50 della Carta UE. Ai sensi dell\u2019art. 84.1 GDPR<\/em>, invece, spetta agli Stati membri stabilire le norme inerenti alle altre sanzioni, non amministrative pecuniarie (cfr<\/em>. art. 83 GDPR<\/em>), per le violazioni del GDPR<\/em> \u201cadottando tutti i provvedimenti necessari per assicurarne l\u2019applicazione<\/em>\u201d, ossia imponendole mediante norme interne, che dovranno essere in seguito notificate alla Commissione europea entro il 25 maggio 2018 (cfr.<\/em> art. 84.2 GDPR<\/em>). Tra le suddette \u201caltre sanzioni\u201d possono rientrare ex <\/em>Considerando 149, come si \u00e8 detto, le sanzioni penali.<\/p>\n

Per quanto attiene alla legislazione interna, risultano, dunque, compatibili con la nuova normativa europea le previsioni sulla responsabilit\u00e0 penale di cui al Decreto legislativo. n. 196\/2003 (cfr. <\/em>Codice in materia di protezione dei dati personali). Ad oggi, infatti, il Codice della privacy prevede che la responsabilit\u00e0 penale possa derivare da alcune specifiche condotte, le quali, ai sensi dell\u2019articolo 167 Cod. privacy, devono essere volte a trarre profitto, per s\u00e9 o per altri, oppure ad a cagionare danno e devono aver arrecato nocumento al soggetto danneggiato, sempre salvo il caso in cui il fatto costituisca un pi\u00f9 grave reato secondo la legge. Esemplificando, l\u2019art. 167 fa riferimento al trattamento dei dati personali avvenuto in violazione degli artt. 18-19 Cod. privacy, che dettano i principi applicabili ai trattamenti eseguiti da soggetti pubblici, oppure dell\u2019art. 126 Cod. privacy in relazione ai dati sull\u2019ubicazione degli interessati, oppure degli articoli 129 e 130 Cod. privacy in materia di comunicazioni indesiderate ed elenchi di dati contenenti recapiti telefonici. Per le condotte citate, nel caso in cui sussistano i requisiti indicati, la pena prevista \u00e8 quella della reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi. Le summenzionate condotte sono di per s\u00e9 soggette a sanzioni amministrative ai sensi delle disposizioni di cui sopra, tuttavia, laddove sia riscontrabile la finalit\u00e0 di ottenere profitto o di cagionare danno e sia possibile provare il nocumento al danneggiato, tali condotte potranno dare luogo ad una responsabilit\u00e0 di natura penale. Una seconda serie di condotte \u00e8 elencata all\u2019art. 167, comma 2\u00b0 Codice privacy e, anche in tal caso, si tratta di condotte per le quali \u00e8 prevista una sanzione amministrativa pecuniaria. Pertanto, salvo che il fatto costituisca pi\u00f9 grave reato, chiunque, al fine di trarre per s\u00e9 o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione delle norme analizzate, \u00e8 punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni. Nello specifico, il riferimento \u00e8 alla violazione delle disposizioni di cui all\u2019art. 17 Cod. privacy sul trattamento che presenta determinati rischi, alla violazione delle disposizioni di cui agli artt. 20-21 Cod. privacy in materia di trattamento dei dati sensibili e giudiziari e all\u2019art. 22, commi 8\u00b0 e 11\u00b0, sulla diffusione e divulgazione di tali dati. \u00c8, inoltre, prevista la responsabilit\u00e0 penale nel caso della violazione delle norme di divieto della comunicazione e della diffusione dei dati (cfr. <\/em>art. 25 Cod. privacy) e nel caso della violazione della previsione di cui all\u2019art. 45 Cod. privacy sui trasferimenti vietati dei dati personali. Sono, peraltro, previste fattispecie di reato per il caso di falsit\u00e0 nelle dichiarazioni rese al Garante in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, per il caso di falsit\u00e0 nelle notificazioni (cfr. <\/em>art. 168 Cod. privacy). \u00c8 anche previsto che la responsabilit\u00e0 penale possa discendere dalla mancata attuazione delle misure minime di sicurezza (cfr. <\/em>art. 169 Cod. privacy) da parte di coloro che sono tenuti ad adottarle e dalla mancata osservanza\/ottemperanza di un provvedimento adottato dal Garante per la protezione dei dati personali. Il Codice della privacy, oltretutto, stabilisce, ai sensi dell\u2019art. 172, come pena accessoria alla condanna per uno dei delitti previsti dal Codice, la pubblicazione della sentenza. In questa sede \u00e8 opportuno menzionare, altres\u00ec, la decisione del caso Grande Stevens ed altri contro Italia<\/em> (sentenza del 4 marzo 2014), in cui la Corte Europea per i Diritti dell\u2019Uomo ha escluso la cumulabilit\u00e0 della sanzione amministrativa e di quella penale, con riferimento alle sanzioni amministrative che assumano i connotati e che siano assimilabili alle sanzioni penali.<\/p>\n

\n

Conclusioni<\/u><\/h4>\n<\/blockquote>\n

La responsabilit\u00e0 penale \u00e8 personale, in quanto concerne soltanto le persone fisiche che abbiano commesso o concorso a commettere il fatto di reato. Al contrario, la responsabilit\u00e0 amministrativa degli enti, che in Italia \u00e8 disciplinata dal D.lgs. 231\/2001, non costituisce una vera e propria forma penalistica di sanzione del soggetto giuridico e, ad ogni modo, allo stato attuale, non constano reati presupposto nell\u2019ordinamento nazionale, ai sensi del decreto legislativo di cui sopra, per gli illeciti in materia di protezione dei dati personali. Il Legislatore europeo raccomanda agli Stati membri l\u2019adozione di sanzioni penali contro le violazioni del GDPR<\/em> e non prevede limitazioni in merito ai soggetti sanzionabili penalmente, se non, in via implicita, tramite il richiamo del principio del ne bis in idem<\/em>. \u00c8 inevitabile che lo Stato italiano si trovi ad adeguare, entro il 25 maggio 2018, la propria legislazione penale di modo che sia resa coerente con il Regolamento e, con riferimento alle norme penali gi\u00e0 in vigore e preesistenti al GDPR<\/em>, per esempio il delitto ex <\/em>art. 167 Cod. privacy o la contravvenzione ex<\/em> art. 169 Cod. privacy, le quali richiamano come presupposti altre norme dello stesso Codice, la domanda che ci si pu\u00f2 porre \u00e8 se e in che misura tali norme sanzionatorie penali continuino a restare in vigore e a non essere abrogate. La risposta non pu\u00f2 essere data in senso univoco, dal momento che talune disposizioni del Codice della privacy, la cui violazione configurava finora una fattispecie di reato richiamata nella norma penale, potrebbero essere considerate abrogate per incompatibilit\u00e0 rispetto al GDPR<\/em>, mentre altre potrebbero rimanere perfettamente valide.<\/p>\n

Nell\u2019opera di revisione e riordino della disciplina, imprescindibile in vista della piena applicazione del Regolamento, il Legislatore nazionale dovr\u00e0 procedere, altres\u00ec, ad una sorta di \u201cpulizia\u201d e razionalizzazione delle preesistenti sanzioni aventi carattere penale in materia di protezione dei dati personali, senza che sia necessario superare in toto<\/em> il sistema pregresso, ma conservando solo quanto risulti compatibile, in via diretta o indiretta, con il GDPR<\/em> e, se del caso, integrando l\u2019impianto sanzionatorio italiano con nuove fattispecie incriminatrici.<\/p>\n

\n

Bibliografia:<\/h4>\n

Finocchiaro G.,\u00a0Il nuovo regolamento europeo sulla privacy e sulla protezione dei dati personali<\/em>, Zanichelli, 2017;<\/p>\n

Pelino E., Bolognini L., Bistolfi C.,\u00a0Il regolamento privacy europeo<\/em>, Giuffr\u00e8, 2016.<\/p>\n

\n

Autore:<\/h4>\n