Privacy: l’azione penale perderà forza perché scatta solo se c’è una querela

A chi continueranno a fare paura i provvedimenti del Garante della privacy? Le sanzioni penali restano invariate, ma con gli emendamenti introdotti dieci giorni fa al Senato nel Dl Capienze (Dl 139/21) diventeranno quasi inapplicabili. Ammesso che il Garante riesca a tenere il ritmo attuale: per imporre limiti e divieti, occorre prima “indagare” avviando un procedimento, ma con le novità in arrivo diventa difficile farlo senza prima avvisare l’“indagato”.

Le regole del codice privacy
L’articolo 170 del codice della privacy (Dlgs 196/2003) stabilisce che chiunque non osservi i provvedimenti con cui il Garante impone una limitazione provvisoria o definitiva o un divieto al trattamento di dati commette reato ed è punito con la reclusione da tre mesi a due anni. Finora, l’azione penale scattava d’ufficio e ciò ha limitato i casi di inottemperanza. Con la conversione in legge del Dl 139, l’azione potrà scattare solo dietro una «querela della persona offesa».

Che, per poter essere considerata tale, dovrà essere non solo uno dei «soggetti interessati al trattamento» dei dati, ma dovrà anche dimostrare entro tre mesi di aver subìto un «concreto nocumento». Una prova molto difficile: spesso gli interessati sono ignari del trattamento illecito e, se anche il Garante spendesse tempo e risorse per avvertirli uno per uno, dovrebbero poi conservare o procurarsi la documentazione che dimostri i danni.

Perimetro più ampio per le notifiche
Quanto alle notifiche di avvio procedimento, l’articolo 166, comma 5 del codice stabilisce che il Garante ha poteri d’indagine per individuare violazioni e, raccolti elementi che ritiene sufficienti, avvia il procedimento che porta a irrogare sanzioni. L’avvio dell’iter va notificato al soggetto nei confronti del quale si procede, ma questo avviso si può omettere se il Garante lo ritiene «incompatibile con la natura e le finalità del provvedimento». Con l’emendamento approvato, la notifica si potrà omettere solo quando «le presunte violazioni hanno già arrecato e continuano ad arrecare un effettivo, concreto, attuale e rilevante pregiudizio ai soggetti interessati al trattamento».

Già la versione del Dl 139 entrata in vigore a ottobre aveva cancellato le sanzioni amministrative per chi, eseguendo attività di interesse pubblico a rischio privacy, non rispetta le cautele prescritte dal Garante con provvedimenti di carattere generale (cioè rivolti a tutti). La conversione in legge ha almeno ripristinato le sanzioni per chi non le rispetta nella conservazione dei dati di traffico telefonico e telematico finalizzata a indagini giudiziarie.