Con la sentenza n. 2243 del 20/01/2022, la Corte di Cassazione ha ripercorso le modifiche alle fattispecie di reato previste dall’art. 167 del Codice della Privacy (D.Lgs. 196/2003), chiarendo in quali casi l’illecito trattamento di dati personali è oggi considerato reato.
Il caso riguardava le attività di investigazione commissionate a un’agenzia nel 2012. In particolare, un uomo aveva incaricato l’agenzia di monitorare e localizzare la moglie per un periodo di 10 giorni, al fine di raccogliere prove da utilizzare nel procedimento di separazione e di documentare un eventuale comportamento pregiudizievole per la figlia minore della coppia.
Nella causa di separazione l’uomo aveva prodotto il report dell’agenzia, dove venivano descritti gli spostamenti quotidiani della moglie corredati da varie fotografie. Dall’esame del report era emerso che l’agenzia aveva acquisito diverse informazioni sulla vita sentimentale della donna, che era stata pedinata e fotografata per un periodo più lungo di quello concordato con il marito ed anche mentre non era in compagnia della figlia, ma del nuovo compagno.
In seguito alla denuncia della signora, il Tribunale aveva accertato l’illiceità delle investigazioni perché eccedenti il mandato conferito dal marito, condannando il responsabile dell’agenzia per reato di illecito trattamento di dati personali, previsto dall’art. 167 del Codice della Privacy. Tale norma, nella formulazione vigente all’epoca dei fatti, sanzionava la condotta di chi, al fine di trarne profitto per sé o per altri o di recare ad altri un danno, effettuava un trattamento di dati personali in violazione di specifiche disposizioni del Codice e “se dal fatto deriva nocumento“.
Con la sentenza in commento, la Corte di Cassazione ha annullato la sentenza di condanna, chiarendo cosa debba intendersi per nocumento e quali sono gli illeciti trattamenti che oggi, dopo l’entrata in vigore del Reg. UE 2016/679 (GDPR), sono ancora penalmente perseguibili.
In primo luogo, la Corte ha chiarito che per la configurabilità del reato in questione il nocumento deve consistere in un “pregiudizio giuridicamente rilevante di qualsiasi natura patrimoniale o non patrimoniale, subito dalla persona alla quale si riferiscono i dati o le informazioni protetti”. Tuttavia, si è precisato che la sola produzione in un giudizio civile di documenti contenenti dati personali non integra, di per sé, il nocumento necessario a configurare il reato, ma devono sussistere ulteriori elementi fattuali indicativi di un’effettiva lesione dell’interesse protetto. Questo perché si tratta di informazioni che vengono comunicate solo ai soggetti professionalmente coinvolti nel processo e, pertanto, obbligati alla riservatezza.
La Corte ha poi ricordato che, dopo l’entrata in vigore del GDPR e del successivo D.Lgs. 101/2018, l’ambito della risposta penale agli illeciti trattamenti di dati è stato notevolmente ridotto.
Per quanto riguarda i dati relativi alla vita sessuale, la Corte ha sottolineato che si tratta di una particolare categoria di dati il cui trattamento è vietato in assenza di consenso dell’interessato, fatta eccezione per il caso in cui sia necessario “accertare, esercitare o difendere un diritto in sede giudiziaria” (art. 9, lett. f, GDPR). Ma la violazione di questa disposizione non sempre rileva penalmente: ai fini dell’integrazione del reato di cui all’art. 167 non basta la violazione del divieto di trattamento ma occorre che vengano violate anche le specifiche disposizioni poste dalla norma a tutela di questa categoria di dati, tra le quali non è più compreso il rispetto delle regole deontologiche relative alle investigazioni difensive.
Infatti, con la riforma del Codice della Privacy sono state espressamente escluse dalla nuova fattispecie incriminatrice le violazioni di regole deontologiche dettate dal Garante e relative ai trattamenti effettuati per investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria. Quindi, anche se il rispetto delle regole relative alle investigazioni difensive resta condizione essenziale per la liceità e la correttezza del trattamento, la loro violazione non è più un reato ma un illecito amministrativo (ex art. 166, comma 2, D.Lgs. n. 196/2003).
Così, nel caso in questione la Corte ha annullato la sentenza di condanna perché l’illecito commesso dal responsabile dell’agenzia non costituisce reato, facendo però salva la possibilità della donna di agire in sede civile per il risarcimento del danno da fatto illecito.
Ilaria Feriti