La tutela penale dei dati biometrici nella disciplina in materia di privacy

L'intervento del legislatore delegato del 2018 testimonia il tentativo di risolvere le critiche avanzate ai caratteri degli illeciti penali previsti dal Codice della privacy e riguardanti specificamente la loro tassatività, determinatezza e offensività, tuttavia non può dirsi che tale normativa abbia condotto ad una piena razionalizzazione della materia e delle criticità evidenziate sul versante sanzionatorio. Possiamo rilevare come con la recente riforma si siano compiute in linea generale delle scelte degne di nota per quanto riguarda il piano della politica criminale, ma tali decisioni si sono materializzate in fattispecie concrete che non risultano di altrettanto facile comprensione, anzi a volte pongono seri problemi circa l'identificazione del loro preciso significato e della loro concreta portata.

La modifica operata dal legislatore delegato alle sanzioni penali vigenti e l'introduzione di ulteriori fattispecie, come gli artt. 167-bis e 167-ter, a presidio delle norme inerenti al trattamento dei dati personali, risulta condivisibile e addirittura necessaria per tutelare un bene di rilevanza costituzionale, ma al tempo stesso tale intervento pone in discussione il rispetto dell'art. 76 della Costituzione, a causa della mancanza di criteri direttivi nella legge delega tali da regolare l'intervento riformatore.

Risulta certamente condivisibile la riformulazione dell'art. 167, che ha attribuito una maggiore selettività a tale fattispecie, riducendo l'area della rilevanza penale dell'illecito trattamento dei dati alle sole violazioni di disposizioni relative alle comunicazioni elettroniche, di quelle relative ai dati sensibili e giudiziari, e ai casi di trasferimento di dati verso l'estero in violazione della relativa disciplina. Tale attività di revisione legislativa ha permesso una delimitazione più chiara della fattispecie penale rispetto agli illeciti amministrativi e ha condotto ad una sua migliore comprensibilità, ponendo un freno alla tendenza a ricorrere allo strumento normativo del rinvio ad ulteriori normative, così come invece avveniva con il vecchio articolo 167. Al riguardo, occorre precisare che l'attuale fattispecie del trattamento illecito assume rilevanza penale solamente nel caso in cui tale comportamento porti profitto al titolare del trattamento o a terzi ovvero arrechi un danno, trovando applicazione in caso contrario solamente le sanzioni amministrative.

Inoltre, secondo il dettato dell'articolo in questione, bisogna valutare se il comportamento che costituisce l'illecito trattamento viene posto in essere violando le vigenti misure di sicurezza previste a tutela del trattamento dei dati o meno, poiché nel primo caso l'illecito sarà punito in maniera più rigorosa con la reclusione da uno a tre anni, mentre nel secondo caso potrà essere disposta la reclusione da sei mesi ad un anno e sei mesi. Continua a destare perplessità il fatto che tale previsione normativa disponga l'applicazione della pena indipendentemente dal quantum del profitto perseguito e dalla misura del nocumento causato all'interessato, dato che a tal proposito sarebbe stata preferibile una disciplina più trasparente che coinvolgesse tali aspetti, rimasti invece indefiniti.

Tuttavia, va evidenziato come il legislatore, nel costruire le attuali fattispecie penali, abbia continuato a fare eccessivo utilizzo della tecnica normativa del rinvio a ulteriori disposizioni del Codice stesso, ma anche a fonti secondarie e ad atti del Garante della privacy, i quali molto spesso richiedono a loro volta una ulteriore integrazione con altre norme. Dunque, la cosiddetta “vertigine combinatoria” che connotava le fattispecie di reato previste dal d. lgs. 169/2003 continua, anche se in misura ridotta, ad essere presente e a porre in seria discussione, in una materia già connotata da un elevato grado di complessità e tecnicismo, il rispetto del principio di legalità in materia penale, soprattutto per quanto concerne i profili della tassatività e della determinatezza.

Al riguardo, l'interprete per pervenire al vero significato della norma è chiamato ad effettuare una laboriosa operazione per “sciogliere il reticolo” creato dai continui rinvii ad altre norme di disciplina. Continua ad essere valida un'ulteriore critica già mossa ad alcune fattispecie penali previste dal previgente impianto sanzionatorio delineato dal Codice e inerente al loro difetto di offensività. Tale deficit è stato nuovamente evidenziato con riguardo alla fattispecie dell'inosservanza di provvedimenti del Garante (art. 170), nella sua veste riformata dal Decreto, poiché sembra prescrivere sanzioni penali per tutelare mere funzioni di controllo dell'Autorità Garante, determinando in tal modo una “volatilizzazione o dematerializzazione del bene giuridico”. Al riguardo, sarebbe opportuno un intervento che prevedesse la depenalizzazione della fattispecie in esame, poiché la recente riforma è intervenuta in maniera limitata, prevedendo la depenalizzazione esclusivamente con riguardo all'articolo 169 e ad alcune parti dell'art. 167.

Non sembra risolto neppure il contrasto che intercorre tra le sanzioni amministrative pecuniarie previste dal Regolamento e direttamente applicabili in ciascuno Stato membro, delle quali abbiamo più volte evidenziato la loro natura sostanzialmente penale in virtù della notevole afflittività da cui sono connotate e le sanzioni penali previste attualmente dal Codice, determinando così un serio pericolo di violazione del principio di ne bis in idem, su cui lo stesso legislatore europeo aveva richiamato l'attenzione in occasione del considerando 149, il quale afferma che “l'imposizione di sanzioni penali per violazioni di norme nazionali e di sanzioni amministrative non dovrebbe essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di giustizia”. Per superare la tensione con tale principio, il legislatore delegato ha introdotto la circostanza attenuante prevista dall'art. 167, comma 6, in virtù del quale “Quando per lo stesso fatto è stata applicata a norma del presente Codice o del Regolamento a carico dell'imputato o dell'ente una sanzione amministrativa pecuniaria dal Garante e questa è stata riscossa, la pena è diminuita”. [...]