Irretroattiva la modifica dell'art. 167 del Codice Privacy che estende la classe delle condotte penalmente punibili nel contesto del trattamento illecito di dati personali

di Annalisa Spedicato

L'art. 167 del D.Lgs. n. 196/2003, come modificato dal D.Lgs. n. 101/2018, non si applica a fatti accaduti prima della sua entrata in vigore perché sfavorevole al reo.

Lo ha deciso la Corte di Cassazione (sentenza n. 19855, depositata il 9 maggio 2019) che ha cassato, in parte, la sentenza dei giudici d'appello di Trieste, i quali avevano condannato un imputato contestandogli, tra gli altri, il reato previsto dall'articolo 167 decreto legislativo n. 196/2003, in quanto lo stesso, nell'ambito di una truffa, si era macchiato altresì della diffusione dei dati personali di un'altra persona.

La Corte di Cassazione, però, ha precisato che, ai fini della configurabilità del reato di cui all'art. 167, D.Lgs. n. 196 del 2003 (vecchia formulazione), commette illecito trattamento di dati personali:

a. la persona fisica che, utilizzando dati personali, oltrepassa la propria sfera personale e domestica, un comportamento non può essere riconducibile a "fini esclusivamente personali", ma anche

b. la persona fisica che, pur utilizzando dati personali, per fini esclusivamente personali, li diffonde, anche se non sistematicamente.

Nel caso in esame, la condotta posta in essere dall'imputato integrava una forma di indebita comunicazione dei dati della persona offesa per fini personali, che tuttavia non rientravano nella nozione di "trattamento" come richiesto dall'art. 167, comma 1, vecchia formulazione. La disposizione non più in vigore, infatti, così recitava nella sua parte iniziale: "Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per se' o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione" […].

La suddetta disposizione è stata modificata, nel settembre 2018, con il decreto legislativo 10 agosto 2018, n. 101, e oggi diversamente così dispone: "Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sè o per altri profitto ovvero di arrecare danno all'interessato, operando in violazione di quanto disposto dagli articoli 123, 126 e 130 o dal provvedimento di cui all' articolo 129 arreca nocumento all'interessato, è punito con la reclusione da sei mesi a un anno e sei mesi".

La norma non fa dunque più riferimento, come era in passato, al concetto di "trattamento", ma introduce l'elemento del danno nei confronti dell'interessato.

Si tratta di una modifica che certamente estende le condotte punibili introducendo l'effetto dannoso sull'interessato di chi opera in violazione delle disposizioni richiamate. Trattandosi di fattispecie meno favorevole al reo - dicono i giudici - non può ritenersi applicabile alle condotte commesse in epoca antecedente alla sua entrata in vigore.

Valendo dunque il favor rei, nel caso di specie la Cassazione ha invalidato la sentenza in esame, relativamente all'affermazione di responsabilità per il reato contestato.
 

Annalisa Spedicato

Avvocato esperto in IP, ICT e Privacy