Il sistema sanzionatorio della privacy

di Rossella Reda

Sommario

• 1. La normativa italiana ed europea in materia di trattamento dei dati personali;
• 2. Il Regolamento dell’Unione Europea n. 2016/679 (GDPR);
• 3. Il decreto per il recepimento del GDPR in Italia;
• 4. Le sanzioni privacy e le conclusioni della Corte di cassazione.

1. La normativa italiana ed europea in materia di trattamento dei dati personali.

Con ordinanza n. 21789 del 22 settembre 2023, la Corte di Cassazione si è occupata di alcuni aspetti essenziali della disciplina relativa alla protezione dei dati personali. Per comprendere fino in fondo il contenuto di tale ordinanza bisogna richiamare i principi e i requisiti posti alla base delle indicazioni puntuali fornite nella citata ordinanza.

Preliminarmente, si ritiene utile una sintetica ricognizione della normativa in materia di trattamento e protezione dei dati personali (c.d. privacy). Come è noto, la disciplina fondamentale è contenuta nella Convenzione per la Protezione dei Diritti dell’Uomo e delle Libertà Fondamentali (CEDU), sottoscritta a Roma il 4 novembre 1950 e ratificata poi dall’Italia con la legge 4 agosto 1955, n. 848.

L’art. 8 della citata convenzione testualmente recita:

• Ogni persona ha diritto al rispetto della sua vita privata e familiare, del suo domicilio e della sua corrispondenza.

1. Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, per la pubblica sicurezza, per il benessere economico del paese, per la difesa dell’ordine e per la prevenzione dei reati, per la protezione della salute o della morale, o per la protezione dei diritti e delle libertà altrui.

Con l’entrata in vigore del Trattato di Lisbona, la tutela dei dati personali a livello europeo è prevista ora anche nei Trattati: art 30 TUE e art 16 TFUE

Allo stesso tempo, la nostra Costituzione contiene diverse previsioni relative alla tutela della sfera personale. Si veda, in particolare, quella contenuta nell’art. 2 che riconosce i diritti inviolabili dell’uomo e ne garantisce l’attuazione sia come singolo sia nelle formazioni sociali ove si svolge la sua personalità. Ulteriori previsioni sono poi contenute nella Parte prima, Titolo primo, artt. 13 a 23 che si occupano della libertà personale, inviolabilità del domicilio, libertà e segretezza della corrispondenza e di ogni altra forma di comunicazione, libertà di associazione, di circolazione, politiche e religiose, di manifestazione del pensiero.

A bene vedere, però, l’atto di nascita in Italia della protezione dei dati personali è rappresentato dallo Statuto dei lavoratori del 1970, il quale, ad esempio, all’art. 8 vieta la raccolta delle opinioni politiche, sindacali e religiose dei dipendenti.

La norma da ultimo richiamata sembrerebbe volta, a prima vista, esclusivamente alla tutela dei lavoratori e di uno dei diritti sociali per eccellenza: il lavoro. A bene vedere, però, appare implausibile sostenere che il legislatore abbai previsto la norma dello statuto con il preciso e principale obiettivo di tutelare la privacy del lavoratore dipendente.

Il 24 ottobre 1995 è stata comunque approvata la Direttiva 95/46/CE (c.d. “direttiva-quadro”) del Parlamento Europeo e del Consiglio con lo specifico scopo di armonizzare le norme in materia di protezione di dati personali, per garantire un flusso libero dei dati e promuovere un elevato livello di tutela dei diritti fondamentali dei cittadini.

In attuazione della direttiva di cui sopra, è stata emanata in Italia la prima legge organica sulla tutela dei dati personali, la legge 31 dicembre 1996, n. 675 (contenente la Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali).

Negli anni seguenti la normativa è stata più volte rivista e aggiornata. Si trattava però di interventi su singoli e specifici aspetti del trattamento dei dati personali che in breve tempo si sono moltiplicati e accavallati.

Il groviglio di leggi e leggine ha spinto così il legislatore ad approvare un decreto legislativo che ha riordinato tutta la materia e abrogato la precedente disciplina: il D.Lgs 30 giugno 2003, n. 196, conosciuto come “Codice in materia di protezione dei dati personali”, adottato in virtù della legge delega n. 127/2001.

Tutte le disposizioni sull’argomento normativa privacy, vengono così finalmente riordinate in un Testo Unico

Il Codice della privacy, frutto della sintesi e dell’analisi di una complessa evoluzione normativa, è costituito da ben 86 articoli, suddivisi in 3 Parti:

1. la Parte I contiene le disposizioni generali, per ogni tipo di trattamento
2. la Parte II contiene invece disposizioni relative a specifici settori
3. la Parte III infine si occupa dei procedimenti a tutela dell’interessato e delle sanzioni derivanti dalla violazione delle disposizioni imperative.

Completano il Codice gli Allegati:

• L’Allegato A contiene i codici di deontologia in relazione a determinate attività e, più nello specifico:
  • l’Allegato A1 contiene il “Codice di deontologia relativo al trattamento dei dati personali nell’esercizio dell’attività giornalistica” (Provvedimento del Garante senza numero del 29 luglio 1998, in G. U 3 agosto 1998, n. 179);
  • l’Allegato A2 riguarda il “Codice di deontologia e di buona condotta per il trattamento di dati personali per scopi storici” (Provvedimento del Garante n. 8/P 121 del 14 marzo 2001, in G. U 5 aprile 2001, n. 80);
  • l’Allegato A3 si riferisce al Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell’ambito del Sistema statistico nazionale;
  • l’Allegato A4 contiene il “Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica”;
  • L’Allegato A5 contiene il “Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”;
  • L’Allegato A6 contiene il “Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive”.
• L’Allegato B regolamenta, in linea con quanto previsto dagli articoli da 33 a 36 del Codice, il “Disciplinare tecnico in materia di misure minime di sicurezza” che contiene le modalità tecniche da adottare nel trattamento dei dati (1).
• L’Allegato C regolamenta i “Trattamenti non occasionali effettuati in ambito giudiziario o per fini di polizia” in attuazione degli articoli 46 e 53 del Codice.

2. Il Regolamento dell’Unione Europea n. 2016/679 (GDPR)

Nel corso degli anni, l’informatica combinata con l’utilizzo di nanotecnologie, ha determinato una invasione sempre più crescente della sfera privata e familiare. Essa. è progettata per essere invisibile e ubiqua. L’utente, pertanto, può interagire con essa automaticamente ed essere tracciato anche a sua insaputa.

Lo sviluppo della tecnologia ha determinato anche la produzione di un’enorme quantità di dati (Big Data) rendendo possibile ottenere, archiviare, elaborare, fornire e trasmettere un volume di dati diversificato che può riferirsi a informazioni personali sensibili. Le informazioni, una volta raccolte, vengono poi immagazzinate in banche-dati delle reti che gestiscono la sicurezza, la sanità, la ricerca, l’istruzione ecc.

Con la conseguenza che, quotidianamente ed inavvertitamente, vengono messe in circolazione una continua e voluminosa raccolta di informazioni che mettono in serie pericolo il nostro diritto alla privacy

Per tutte queste ragioni, il 4 settembre 2018 la Commissione europea ha approvato la proposta di regolamento del Parlamento sulla protezione dei dati personali che supera la vecchia direttiva 95/46/CE

Dopo più di quattro anni di discussione, il 4 maggio 2016 è stato poi emanato il Regolamento dell’Unione Europea n. 2016/679, noto come GDPR (General Data Protection Regulation), entrato in vigore il 25 maggio 2018.

Esso è composto da 99 articoli che istituiscono una serie di novità importanti, le maggiori delle quali sono: il diritto all’oblio (art. 17), ovvero la cancellazioni di informazioni a proprio riguardo da qualsiasi database, quando il trattamento non è più necessario per le finalità per le quali il dato era stato acquisto: la portabilità dei dati, ovvero il trasferimento dei propri dati da una piattaforma all’altra senza vincolarsi ad un account preciso; la comunicazione data breach, ovvero l’obbligo per le aziende che subiscono intrusioni nei database o “fughe di dati” a comunicarlo agli utenti nel giro di massimo 72 ore.

E’ tuttavia il caso di precisare che gli effetti della Direttiva 95/46/CE (c.d. “direttiva-quadro”) erano rivolti esclusivamente agli Stati, mentre le regole contenute nel Regolamento citato trovano applicazione simultanea in tutti i Paesi dell’UE e, quindi, ci troviamo di fronte a sanzioni uniformi, obbligatorietà in moltissimi casi della nomina del Responsabile della protezione dei dati, fine della centralità assoluta del consenso ed emersione paritetica di altri presupposti di liceità di trattamento, obbligo di notifica al garante e della comunicazione degli interessati delle violazioni di dati personali,

3. Il decreto per il recepimento del GDPR in Italia

In Italia, il 4 settembre 2018 è stato pubblicato in Gazzetta Ufficiale il Decreto Legislativo n. 101/2018 di armonizzazione della normativa nazionale al Regolamento UE di cui sopra.

Il legislatore italiano, con tale decreto, ha, a sua volta, modificato il “Codice in materia di protezione dei dati personali” (contenuto, come si è sopra detto, nel D.Lgs. n. 196/2003).

La parte generale del citato Codice risulta sostituita quasi integralmente, sicché, sulla base dell’efficacia diretta del regolamento, le norme su principi, basi giuridiche del trattamento, informativa e consenso previgenti sono abrogate e sostituite sostanzialmente da quelle europee.

In base al Regolamento per la protezione dei dati personali (GDPR, General Data Protection Regulation) e alla conseguente modifica del nostro Codice della Privacy, le aziende (ma anche i privati, gli enti pubblici ecc.) che entrano in possesso dei dati personali degli utenti devono gestirli in modo corretto e sicuro (utilizzarli, conservarli, proteggerli ecc.), e anche trasparente, facendo conoscere la propria privacy policy, cioè che tipo di dati raccolgono, per quanto tempo li conservano e con quali finalità. Quando scarichiamo una app o visitiamo una pagina web, ci viene chiesto di accettare determinate condizioni che riguardano il trattamento dei nostri dati personali.

Normalmente, quindi, le normative per la privacy prevedono una serie di garanzie e di princìpi per fare in modo che l’utente del mondo virtuale mantenga il controllo sui dati inseriti in Rete, in particolare su quelli che potrebbero permettere a terzi di ricostruire la sua identità personale.

In questo modo, la privacy diventa definitivamente lo strumento volto a tutelare una duplice esigenza:

a) la protezione della sfera privata dall’altrui curiosità;

b) il “controllo” delle informazioni in uscita dalla sfera privata verso l’esterno.

4. Le sanzioni privacy e le conclusioni della Corte di cassazione

Come giustamente osservato dalla Corte di Cassazione nell’ordinanza n. 21789 del 22 settembre 2023 sopra richiamata, “Una delle innovazioni più importanti del GDPR è in vero costituita dalla maggiore accuratezza del sistema sanzionatorio, ed è stato lo stesso GDPR – coi criteri imposti dall’art. 83 – a porre un argine alla discrezionalità delle Autorità garanti per i dati personali ai fini della determinazione delle sanzioni da comminare in concreto”.

Sappiamo che, in caso di violazioni relative al trattamento dati, il Garante per la protezione dei dati personali (GPDP), ha il potere di adottare i provvedimenti correttivi di cui all’art. 58, par. 2, GDPR ed irrogare le sanzioni indicate nell’art. 83.

L’art. 58, par. 2, GDPR disciplina i poteri correttivi che il Garante può attivare nei confronti del contravventore, tra cui rientra anche la possibilità di rivolgere soltanto avvertimenti o ammonimenti; le sanzioni previste dalla normativa privacy, invece, sono di due tipi: amministrative e penali.

L’art. 83 GDPR disciplina le condizioni generali per l’applicazione delle sanzioni amministrative pecuniarie in caso di violazione della normativa sulla protezione dei dati personali.

L’applicazione di tali sanzioni viene valutata caso per caso, tenuto conto, in particolare, della natura, della gravità e della durata della violazione, oltre che dell’oggetto e della finalità del trattamento.

Solo che dopo il 25 maggio 2018 le Autorità per la protezione dei dati personali europee non hanno ancora un orientamento definito per quanto riguarda l’applicazione degli articoli sopra citati.

Le autorità di controllo nazionali (Garante), al termine del relativo procedimento avviato d’ufficio o su istanza di un interessato, possono infatti infliggere sanzioni amministrative (art. 83 GDPR) in aggiunta o al posto delle sanzioni correttive di cui all’art. 58, garantendo però che queste sanzioni siano effettive, proporzionate e dissuasive, oltre che equivalenti tra i vari Stati. 

Nel complesso, è quindi evidente come i criteri elencati all’articolo 83 GDPR lascino un ampio margine di discrezionalità alle Autorità di controllo nel determinare sia l’an che il quantum della sanzione.

Per siffatta ragione la Corte di Cassazione ha preso spunto dal ricorso presentato dal Garante avverso la sentenza del Tribunale di Milano che ha annullato il provvedimento con il quale lo stesso Garante ha irrogato – oltre alla sanzione accessoria della pubblicazione, sul sito web dell’Autorità, dell’ordinanza ingiunzione – una sanzione amministrativa pecuniaria di euro 2.600.000,00, così individuata tenendo conto dei vari parametri di commisurazione infraedittale, di ordine oggettivo e soggettivo, previsti dall’art. 83, p. 2, del Regolamento per fare chiarezza in ordine alle modalità di applicazione dei criteri sopra indicati.

In particolare, nella predetta ordinanza viene affermato, in primo luogo, che i criteri di efficacia, proporzionalità, dissuasività delle sanzioni amministrative, previsti dall’art. 83, p.1, del Regolamento, delineano una “regola preliminare”, incentrata sulla “rilevanza del caso singolo”. La norma vincola, dunque, l’esercizio del potere sanzionatorio al rispetto di parametri che impongono di tenere in conto, in via preliminare, delle caratteristiche della fattispecie concreta, in modo che il public enforcement sia realizzato in modo, appunto, efficace e proporzionato rispetto alle peculiarità dell’illecito e dissuasivo (almeno, in ottica special-preventiva) nei confronti dell’autore della violazione. Tale ricostruzione è, del resto, coerente con il dettato normativo. Nell’art. 83, p.1, i criteri tradizionalmente riferiti alla disciplina interna degli aspetti sanzionatori e, dunque, alla discrezionalità del legislatore nazionale (cfr., ad es., art.34, p.1, Reg (UE) 2022/868) sono infatti riferiti, per converso, all’irrogazione, in concreto, delle sanzioni da parte delle autorità di controllo (cfr., anche, C 148 del Regolamento).

Inoltre, per altro verso, la Corte di cassazione chiarisce il rapporto tra i due diversi criteri di irrogazione delle sanzioni amministrative pecuniarie previsti dall’art. 83, p. 4 e 5: quello “fisso” o statico e quello proporzionale o dinamico. Tali disposizioni prevedono, infatti, per ciascuna delle due “fasce” di illeciti contemplate e distinte per gravità, due diverse cornici edittali: la prima con un massimo edittale fisso (10 milioni di euro per la fascia di illeciti del paragrafo 4, 20 milioni di euro per quella del paragrafo 5) e la seconda con un massimo edittale proporzionale (nella misura del 2% per gli illeciti del paragrafo 4 del 4% per gli illeciti del paragrafo 5) al fatturato mondiale totale annuo dell’esercizio precedente dell’impresa. Entrambe le disposizioni circoscrivono, tuttavia, la residualità del criterio proporzionale, rendendolo applicabile solo nel caso in cui il massimo edittale, così calcolato (appunto nella misura del 2% o, rispettivamente, del 4% del fatturato) sia superiore al massimo edittale individuato dal criterio fisso (nella misura di 10 milioni o, rispettivamente, 20 milioni di euro).

Preso atto di quanto sopra, rimaniamo ovviamente in attesa di ulteriori chiarimenti interpretativi, da parte delle autorità competenti, sull’applicazione della disciplina per il trattamento dei dati personali.

Per il momento si rinvia all’ordinanza in questione che merita comunque un’attenta lettura anche in merito agli ulteriori argomenti specificamente affrontati.

Avv. Rossella REDA

_

Riferimenti normativi, approfondimenti, dottrina e giurisprudenza

Riferimenti normativi:

• Regolamento (UE) 2016/679 (General Data Protection Regulation – GDPR), “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, pienamente efficace dal 25 maggio 2018
• D.Lgs. 196/2003 – Codice in materia di trattamento dei dati personali, non è stato abrogato, ma adeguato e integrato dal D.Lgs. 101/2018, entrato in vigore il 19 settembre 2018, con la funzione di armonizzare le disposizioni del Codice con quelle introdotte dal Regolamento
• D. L. 2021/139 che ha portato ulteriori modifiche al “Codice privacy”

Approfondimenti:

• Autorità Garante per la protezione dei dati – https://www.garanteprivacy.it
• Comitato europeo per la protezione dei dati (EDPB) – https://edpb.europa.eu/edpb_it
• Linee guida EDPB Guidelines | European Data Protection Board (europa.eu)

Giurisprudenza:

• Sentenza del Tribunale di Milano n. 3276/2022
• Ordinanza n. 21789/2023 della Corte di Cassazione, Sez. I
• Sentenza n. 22791/2026 della Prima Sezione civile della Corte di Cassazione
• Sentenza n. 7/2026 della Corte dei conti, Sezione giurisdizionale per la Regione Trentino-Alto Adige/Südtirol, sede di Bolzano

Dottrina:

• F. BALDUCCI ROMANO, Il diritto alla protezione dei dati personali nella giurisprudenza della Corte di giustizia, in Rivista italiana di diritto pubblico comunitario, 2015, p. 1619
• G. CAGGIANO, La Corte di giustizia consolida il ruolo costituzionale nella materia dei dati personali, in Studi sull’integrazione europea, 2018, p. 9
• M. DE SALVIA, Dati personali e sfera privata nella giurisprudenza della Corte europea dei diritti dell’uomo: ricostruzione sommaria delle linee-guida, in (a cura di) M. FUMAGALLI
• MERAVIGLIA, Diritto alla riservatezza e progresso tecnologico. Coesistenza pacifica o scontro di civiltà? Napoli, 2015, p. 11