|
Il reato di trattamento illecito di
dati personali, previsto dall’art. 167 del d.lgs. n.
196/2003, non è configurabile nel caso in cui i dati
personali raccolti e trattati, pur destinati a fini
esclusivamente personali, non sono finalizzati ad essere
sistematicamente comunicati o diffusi (nella specie, si
trattava di un investigatore privato cui era stata
sequestrata una penna in cui erano incorporati un
microfono ed una telecamera, utilizzata per registrare
alcune conversazioni all’insaputa degli interlocutori).
Senza alcun dubbio nuova e di
estremo interesse la questione affrontata dalla Suprema
Corte con la sentenza qui commentata. Il tema è quello
della tutela del diritto alla “privacy” che, com’è noto,
può essere esposto a violazioni da parte di terzi poco
rispettosi dell’altrui riservatezza; il problema è,
tuttavia, quello di delimitare l’ambito di liceità delle
attività di trattamento dei dati personali, in quanto
non tutte le invasioni della sfera dell’altrui
riservatezza costituiscono illeciti, soprattutto
penalmente rilevanti.
La Corte, con la sentenza qui
esaminata, si sofferma con la consueta lucidità ad
affrontare il problema, giungendo ad affermare
l’importante principio di diritto sintetizzato nella
massima di cui sopra. In altri termini, facendo coerente
applicazione del principio al caso concreto sottoposto
al suo esame, ciò equivale a dire che non è illecito
registrare una conversazione perché chi conversa accetta
il rischio che la stessa venga registrata, ma è tuttavia
violata la privacy se si diffonde la conversazione per
scopi diversi dalla tutela di un diritto proprio od
altrui.
Il fatto
La vicenda processuale da cui i
giudici di legittimità hanno tratto spunto per
pronunciarsi sulla questione, traeva origine da un
provvedimento emesso dal tribunale del riesame che aveva
confermato la legittimità del provvedimento di sequestro
probatorio, disposto dal P.M., avente ad oggetto una
penna con microfono e telecamera incorporati, utilizzati
dall’indagato, investigatore privato, per documentare
per ragioni professionali alcuni incontri, all’insaputa
dei soggetti che vi avevano preso parte.
Secondo la prospettazione
accusatoria, accolta dal tribunale del riesame, la
registrazione audiovisiva da parte dell’indagato delle
conversazioni avvenute all’insaputa dei suoi
interlocutori, integrava la fattispecie penale prevista
dall’art. 167 del c.d. codice della privacy (d.lgs. n.
169/2003), che punisce il trattamento illecito di dati
personali, ciò perché l’attività di investigatore
privato svolta dall’indagato portava a ritenere che i
dati indebitamente acquisiti fossero destinati alla
diffusione a terzi.
La tesi accusatoria, sposata dal
tribunale del riesame, veniva contestata dalla difesa
dell’indagato secondo cui, diversamente, la circostanza
che la registrazione si fosse svolta tra presenti e per
fini esclusivamente personali senza essere finalizzata
alla diffusione, escludeva la configurabilità del reato
in esame, né vi era in atti alcun elemento da cui fosse
possibile desumere l’esistenza di un profitto per il reo
o un danno per i soggetti coinvolti nelle conversazioni
registrate.
Il giudizio della Corte
La Corte di Cassazione, pur
rigettando il ricorso proposto dall’indagato, ha avuto
modo di chiarire gli esatti limiti della configurabilità
del reato in esame. Per meglio comprendere il decisum
dei giudici di legittimità è utile procedere ad un
inquadramento giuridico dei fatti. L’ipotesi di reato
contestata è quella prevista dall’art. 167 del d.lgs. 30
giugno 2003, n. 196 (c.d. Codice in materia di
protezione dei dati personali).
La norma sanziona, al comma 1, con
la pena della reclusione da sei a diciotto mesi (o, se
il fatto consiste nella comunicazione o diffusione, con
la reclusione da sei a ventiquattro mesi), salvo che il
fatto costituisca più grave reato e sempre che dal fatto
derivi nocumento, “chiunque, al fine di trarne per sé o
per altri profitto o di recare ad altri un danno,
procede al trattamento di dati personali” in violazione
di una serie di disposizioni normative (articoli 18, 19,
23, 123, 126 e 130) ovvero in applicazione dell'articolo
129. Il comma 2 della medesima disposizione punisce,
invece, con la reclusione da uno a tre anni, salvo che
il fatto costituisca più grave reato e sempre che dallo
stesso derivi nocumento “chiunque, al fine di trarne per
sé o per altri profitto o di recare ad altri un danno,
procede al trattamento di dati personali” in violazione
di una serie di disposizioni normative (articoli 17, 20,
21, 22, commi 8 e 11, 25, 26, 27 e 45).
Come chiarito in giurisprudenza, le
nuove fattispecie contemplate dalla disposizione citata,
già previste dall'art. 35 dell’abrogata L. 31 dicembre
1996, n. 675, si pongono in rapporto di continuità
normativa con quelle previgenti, essendo identici sia
l'elemento soggettivo sia gli elementi oggettivi, in
quanto le condotte di "comunicazione" e "diffusione" dei
dati sensibili sono ora ricomprese nella più ampia
dizione di "trattamento" dei dati sensibili, ed il
nocumento per la persona offesa, che si configurava
nella previgente fattispecie come circostanza
aggravante, rappresenta, nella nuova disposizione, una
condizione obiettiva di punibilità (v., ex multis: Cass.
pen., Sez. 3, n. 16145 del 17/04/2008, A. e altro, in
Ced Cass. 239898).
In relazione al caso esaminato, i
giudici di legittimità, dopo aver ricordato che il
trattamento dei dati consiste in “qualunque operazione o
complesso di operazioni, effettuati anche senza
l'ausilio di strumenti elettronici, concernenti la
raccolta, la registrazione, l'organizzazione, la
conservazione, la consultazione, l'elaborazione, la
modificazione, la selezione, l'estrazione, il raffronto,
l'utilizzo, l'interconnessione, il blocco, la
comunicazione, la diffusione, la cancellazione e la
distruzione di dati, anche se non registrati in una
banca di dati” (art. 4, comma 1, lett. a), d.lgs. n.
196/2003), precisano che, nella specie, avrebbe potuto
tutt’al più essere ipotizzata la violazione dell’art.
23, comma 1, del codice della privacy, secondo cui “il
trattamento di dati personali da parte di privati o di
enti pubblici economici e' ammesso solo con il consenso
espresso dell'interessato”.
Ciò, a prima vista, sembrerebbe
condurre alla conclusione che, qualsiasi trattamento di
dati senza consenso dell’interessato sia illecito. In
realtà, la disposizione citata dev’essere coordinata con
il disposto dell’art. 5 che delimita l’oggetto ed ambito
di applicazione della legge sulla privacy. In
particolare, la norma da ultimo richiamata prevede, al
comma 3, che “il trattamento di dati personali
effettuato da persone fisiche per fini esclusivamente
personali e' soggetto all'applicazione del presente
codice solo se i dati sono destinati ad una
comunicazione sistematica o alla diffusione”, ferma
restando, tuttavia, l’applicazione delle disposizioni in
tema di responsabilità e di sicurezza dei dati di cui
agli articoli 15 e 31.
Così delimitato l’ambito
applicativo della disciplina, ben si comprende il
ragionamento dei giudici di Piazza Cavour secondo cui
quando si tratta di una persona fisica che effettua il
trattamento per fini esclusivamente personali, il
soggetto è tenuto a rispettare le disposizioni del
codice della privacy, ivi comprese quelle in tema di
obbligo di consenso espresso dell’interessato per il
trattamento, solo quando i dati raccolti e trattati sono
destinati alla comunicazione sistematica ed alla
diffusione. Si tratta di affermazione pienamente
condivisibile che si pone, del resto, in linea di
continuità con la giurisprudenza di legittimità
formatasi sotto la vigenza del nuovo codice della
privacy.
Ed infatti, ad esempio, mentre tra
i "dati personali" definiti dall'art. 4, comma 1, lett.
b), del d.lgs. n. 196/2003 la Cassazione ha ritenuto vi
rientri anche il numero di utenza cellulare (Cass. pen.,
Sez. 3, n. 46203 del 16/12/2008, M. ed altro, in Ced
Cass. 241787), gli stessi giudici di legittimità hanno
ritenuto che l'aver comunicato ad alcuni "provider" le
generalità, l'indirizzo, ivi compreso quello di posta
elettronica, il numero di telefono e il codice fiscale
di una persona senza il suo consenso, al fine di aprire
un sito internet e tre nuovi indirizzi di posta
elettronica a nome di tale persona, non integrasse il
reato in questione (Cass. pen., Sez. 3, n. 5728 del
15/02/2005, P., in Ced Cass. 230834).
Più in generale, con orientamento
conforme a quella seguito nella decisione qui
commentata, gli ermellini hanno escluso che il reato in
questione sia configurabile se il trattamento dei dati
avvenga per fini esclusivamente personali, senza una
loro diffusione o destinazione ad una comunicazione
sistematica (Cass. pen., Sez. 5, n. 46454 del
17/12/2008, P. e altri, in Ced Cass. 241966).
|
