Privacy: nel decreto mille proroghe il nuovo quadro sanzionatorio di Aldo Monea Avvocato e consulente di direzione

Transcript

1 Privacy: nel decreto mille proroghe il nuovo quadro sanzionatorio di Aldo Monea Avvocato e consulente di direzione L art. 44 del decreto legge 207/2008 ha completamente riformulato il quadro delle sanzioni amministrative e penali per violazioni del codice della privacy, determinando un generale innalzamento del carico sanzionatorio. Inaspriti minimi e massimi degli illeciti amministrativi, il decreto detta anche nuove fattispecie soggette a importanti contravvenzioni RIFERIMENTI NORMATIVI D.Lgs. 196/2003 Art. 44, D.L. 207/2008, G.U., 31/12/2008, n.304 Provvedimento del Garante, 27 novembre 2008, pubblicato in Gazzetta Ufficiale del 9 dicembre 2008 La normativa sulla privacy richiede continua grande attenzione anche per le modifiche che, con una certa frequenza, alterano il quadro normativo ed interpretativo in materia. Le più recenti novità sono contenute nel decreto legge 30 dicembre 2008, n. 207 (Proroga di termini previsti da disposizioni legislative e disposizioni finanziarie urgenti in G.U. n. 304 del 31 dicembre 2008) che, tra le altre questioni, interviene con l art. 44 anche sul decreto legislativo n. 196/2003 (Codice in materia di protezione dei dati personali). Tali innovazioni riguardano, specificatamente, il regime sanzionatorio. Esaminiamo, pertanto, le principali modifiche introdotte su tale profilo giuridico dal testo di fine dicembre. Tabella 1 - DL n. 207/2008: le principali infrazioni del Codice modificate o integrate Omessa o inidonea informativa all'interessato (art. 161 Codice privacy) Omessa informazione o esibizione al Garante (art. 164 Codice privacy) Omessa o incompleta notificazione del trattamento (art. 163 Codice privacy) Cessione di dati in violazione dell art. 16 c. 1, lett. b (art. 162, c. 1 Codice privacy Inosservanza dei provvedimenti del Garante di prescrizione di misure necessarie o di divieto di trattamento (art. 162, c. 2-ter Codice privacy) Omessa adozione delle misure minime di sicurezza (art. 169 Codice privacy) 1

2 Omessa o inidonea informativa all interessato Piccole e medie imprese e liberi professionisti, in base alle regole generali del Codice (art. 13) devono dare, pur con modalità talvolta semplificate (quali quelle espresse in specifici provvedimenti del Garante), un informativa agli interessati ed a coloro che, rispetto ad essi, ne forniscono dati personali, prima di iniziare lo specifico trattamento di dati personali. Contenuti peculiari di tale comunicazione all interessato sono (nella formulazione completa di cui all art. 13 del Decreto): le finalità del trattamento da svolgere; le modalità del trattamento cui sono destinati i dati; la natura obbligatoria o facoltativa del conferimento dei dati; le conseguenze di un eventuale rifiuto di rispondere; l elenco dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati; la specifica di coloro che possono venire a conoscenza dei dati stessi in qualità di responsabili o incaricati; l ambito in cui saranno eventualmente diffusi i dati. Il D.Lgs. n. 196/2003 considera tale comunicazione non come una pura formalità, ma come un momento importante nell ambito di una procedura di trattamento di dati personali, ricollegando all aver omesso o all aver dato un inidonea informativa (art. 161) una sanzione, sia pur di tipo amministrativo, non propriamente lieve: la sanzione di base (nel testo originario del Codice privacy) andava, infatti, da un minimo di a euro. Tale sanzione-base poteva, poi, crescere, in relazione a determinate condizioni (la rilevanza del pregiudizio o i dati trattati) fino a euro o ancora, in relazione alla condizione economica del titolare di trattamento, fino a Il decreto legge n. 207/2008 modifica ampiamente questo quadro, non solo stabilendo che la sanzione-base per l infrazione in esame oscilli da a euro, ma anche determinando che a tale infrazioni si applicano le graduazioni di sanzioni previste all art. 164-bis. Proprio per effetto di tale norma la sanzione per la violazione in esame si può ridimensionare ad un quinto o può raggiungere i euro, con possibilità, in taluni casi (ad esempio qualora vi siano numerosi interessati ), di toccare il culmine del doppio (quindi, la stratosferica cifra di euro!). Nuove fattispecie di violazioni amministrative Il nuovo decreto rende più severo il sistema sanzionatorio riferito anche ad altri casi di infrazione aventi natura amministrativa (e non penale). I principali sono quelli seguenti. Omessa o incompleta notificazione Alcune disposizioni del codice (art.37-38) impongono ai titolari, in relazione a determinati trattamenti (sostanzialmente limitati nel Codice del 2003), di provvedere a dare una specifica comunicazione (notificazione) al Garante, segnalando una serie di informazioni prima di iniziare il trattamento. Proprio in relazione al mancato adempimento di tale obbligo il codice prevedeva una sanzione amministrativa consistente nel pagamento di una somma da a euro. Tale entità è cresciuta notevolmente per effetto del comma 5 dell art. 44 del decreto qui in esame: la nuova sanzione base è raddoppiata, toccando, d'ora in poi, l importo da a euro. 2

3 Omessa informazione o esibizione al Garante Il decreto n. 207 interviene, inoltre, sul testo dell art. 164 del Codice Privacy. Tale disposizione colpisce i soggetti che omettono di fornire informazioni o di esibire documenti richiesti in materia di privacy dal Garante. Il testo originario dell articolo di legge puniva gli autori di tali omissioni con una sanzione che poteva oscillare tra un minimo di ed un massimo di euro. L art. 44, comma 6, anche in questo caso rivede verso l'alto tali importi che, in conseguenza della modifica, possono assommare da a euro. A tale infrazione, tuttavia, non si applica la graduazione prevista dall art. 164-bis, di cui si è dirà più oltre. Cessione di dati personali in violazione dell'articolo 16 Un terzo caso di infrazione su cui cala la scure del D.L. n. 207/2008 è quello del divieto previsto all art. 16, comma 1, lett. b. Tale disposizione non consente ai titolari di trattamento, in caso di cessazione dell utilizzo dei dati personali, di cedere tali informazioni ad altro titolare che voglia utilizzarle per scopi incompatibili con quelli dell originaria raccolta. Se il Codice sanzionava tale comportamento con una sanzione amministrativa da a euro, ora il comma 3 dell art. 44 del decreto n. 207/2008 accresce il minimo a ed il massimo a euro. A questa ipotesi, inoltre, si applica l art. 164-bis con possibili diminuzioni o accrescimenti. La graduazione delle sanzioni amministrative Nell'ambito del sistema sanzionatorio, una parte significativa d integrazioni poste dal decreto n. 207/2008 concerne la graduazione delle sanzioni, ora espressa nell art. 164-bis. Vediamone i contenuti salienti. L articolo in esame, innanzitutto, prevede che la sanzione per determinate infrazioni (omessa o inidonea informativa all'interessato; cessione dei dati in violazione dell'articolo 16, c. 1 lettera b; omessa o incompleta notificazione; omessa informazione esibizione al garante) possa, in relazione alla natura anche economico o sociale dell'attività svolta, ridimensionarsi in misura pari a due quinti. Ciò potrebbe, evidentemente, tornare utile per numerose piccole imprese e meno dimensionati studi di liberi professionisti, che sono i veri destinatari dell alleggerimento sanzionatorio. In secondo luogo, nel caso di commissione di una serie d infrazioni punite in via amministrativa (e non penale), come, ad esempio, la mancata informazione all'interessato e l'omessa o incompleta notificazione (ma non, invece, l omessa informazione o esibizioni di documenti al Garante), commesse in tempi diversi in relazione a banche dati di particolare rilevanza o dimensioni, il comma 2 del nuovo art. 164-bis prevede, come si è già anticipato in questo commento, che la sanzione possa assumere un entità elevatissima: da a euro. Tale appesantimento è da ritenere potrà significativamente riguardare, soprattutto, grandi imprese e studi professionali, anche se, essendo ricollegabile in via diretta non tanto alle dimensioni aziendali ma alla quantità e qualità di informazioni detenute, non è escluso che potrà toccare anche una parte delle PMI e dei professionisti minori. In terzo luogo, lo stesso articolo 164-bis stabilisce che l entità della punizione di tipo amministrativo possa essere (per la maggiore gravità e, in particolare, la maggiore rilevanza 3

4 del pregiudizio per uno più interessanti o per il numero degli stessi) applicata, rispetto a tutte le infrazioni con sanzione amministrativa previste nel Codice, in misura pari al doppio. Tale ultimo aggravamento sanzionatorio, si presume, potrà potenzialmente riguardare in modo significativo PMI e studi professionale anche non complessi. Tabella 2 - L entità delle nuove sanzioni: alcuni esempi Infrazione La nuova sanzione (nella misura di base che può modificarsi in relazione a quanto previsto dall art. 164-bis) Omessa o inidonea informativa (art. Da a euro 161) Omessa o incompleta notificazione Da a euro (art. 163) Omessa informazione o esibizione al Da a euro Garante (art. 164) Cessione di dati personali in Da a euro violazione dell'articolo 16 Tabella 3 - L impatto delle novità sull omessa o inidonea informativa (art. 161) La nuova sanzione nella La possibili variazioni rispetto alla misura di base misura di base Da a euro - Caso di minore gravità, avuto altresì riguardo alla natura anche economica e sociale dell attività svolta, la sanzione di base scende a due quinti - Nel caso di più violazioni in relazione a banche dati di particolare rilevanza o dimensioni la sanzione diventa da a In caso di maggiore gravità e di particolare rilevanza del pregiudizio per uno o più interessati o se la violazione coinvolge numerosi interessati la sanzione può oscillare da a Quando possono essere inefficaci in ragione delle condizioni economiche del contravventore i limiti minimo e massimo possono essere applicati al doppio Omissione delle minime di sicurezza Un ulteriore esame, nell'ambito dell'analisi e delle modifiche introdotte dal decreto di fine dicembre, merita quanto determinatosi relativamente alle sanzioni di natura penale riguardanti la mancata adozione delle misure minime di sicurezza di cui all art. 33 del Codice. Relativamente a tali misure è da ricordare che il Codice stabilisce (a parte talune semplificazioni introdotte sia dalla L. n. 133/2008 sia del Provvedimento del Garante) la necessità (artt ) per ogni titolare di applicare quanto previsto, in modo dettagliato, nell Allegato B del Codice. Nel testo originario del Codice, i comportamenti consistenti nell omessa adozione delle misure minime erano puniti con l'arresto sino a due anni o con l'ammenda da a euro. Il decreto n. 207/2008 (art. 44, comma 9) cambia tale sanzione-base, confermando l'arresto sino a due anni e determinando l'abolizione dell'alternativa dell'ammenda. Ulteriore novità derivante dal D.L. n. 207/2008 è che viene posta, in affiancamento alla sanzione penale segnalata, una punizione amministrativa da a euro. In tal modo, dal punto di vista pratico, la nuova sanzione rende, potenzialmente, più severa la sanzione rispetto a quanto previsto dalla superata ammenda. 4

5 Il sistema normativo è alterato nella parte riguardante il ravvedimento operoso, di cui all'articolo 169, comma 2: la sostanza giuridica resta la stessa, solo che alla violazione amministrativa di cui si è appena detto si applica, a seguito della fattiva condotta dello stesso soggetto, una minore sanzione ammontante a euro. Conclusioni Le norme del D.L. n. 207/2008, qui esaminate hanno da un lato l intento di regolare, in modo flessibile, il sistema sanzionatorio concernente le infrazioni amministrative e penali in materia di privacy, rivelatosi molto rigido nel recente passato. Esse, dall altro lato, determinano un significativo inasprimento delle sanzioni-base con l effetto di rendere, evidentemente, più pesante il peso di numerose infrazioni. In chiave più sistematica, guardando al quadro delle novità dell ultimo anno, è evidente che, dopo le semplificazioni degli ultimi tempi, che rappresentavano la classica carota, segue, ora, il bastone delle novità sanzionatorie. Uno sguardo pluriannuale e più complessivo sulla normativa sulla privacy, ci fa considerare, invece, che essa, sin dal 1996, anno della sua prima posizione nel sistema giuridico italiano, ha subito continui aggiustamenti diretti a cercare di configurare in modo ottimale l insieme di regole di originaria derivazione europea. In tal senso, l emanazione del Codice nel 2003 aveva suscitato apprezzamento per il fatto di avere dato organicità alle norme sulla protezione dei dati personali, dopo la frammentazione degli anni precedenti. Piano piano, tuttavia, il quadro delle regole (derivante da testi legislativi e da provvedimenti del Garante) tende a mutare con sempre maggiore rapidità, determinando nuove difficoltà per le PMI e i professionisti che vogliono agevolmente conoscere le norme per poterle applicare. Decreto legge 30 dicembre 2008, n Stralcio "Proroga di termini previsti da disposizioni legislative e disposizioni finanziarie urgenti" pubblicato nella Gazzetta Ufficiale n. 304 del 31 dicembre 2008 (omissi) (omissi) Capo XIV Disposizioni urgenti in materia finanziaria Art. 44. Disposizioni in materia di tutela della riservatezza 5

6 1. All'elenco n. 1, paragrafo 2, allegato alla legge 24 dicembre 2007, n. 244, le parole: «Decreto legislativo 30 giugno 2003, n. 196, articolo 166» sono soppresse. 2. All'articolo 161, comma 1, del decreto legislativo 30 giugno 2003, n. 196, le parole da: «tremila euro a diciottomila euro» fino alla fine del comma sono sostituite dalle seguenti: «da seimila euro a trentaseimila euro». 3. L'articolo 162 del decreto legislativo 30 giugno 2003, n. 196, è così modificato: a) al comma 1, le parole: «da cinquemila euro a trentamila euro» sono sostituite dalle seguenti: «da diecimila euro a sessantamila euro»; b) al comma 2, le parole: «da cinquecento euro a tremila euro» sono sostituite dalle seguenti: «da mille euro a seimila euro»; c) dopo il comma 2, sono aggiunti, in fine, i seguenti: «2-bis. In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 o delle disposizioni indicate nell'articolo 167 è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da ventimila euro a centoventimila euro. Nei casi di cui all'articolo 33 è escluso il pagamento in misura ridotta. 2-ter. In caso di inosservanza dei provvedimenti di prescrizione di misure necessarie o di divieto di cui, rispettivamente, all'articolo 154, comma 1, lettere c) e d), è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila euro a centottantamila euro». 4. All'articolo 162-bis, comma 1, del decreto legislativo 30 giugno 2003, n. 196, le parole: «, che può essere aumentata» fino alla fine del comma sono soppresse. 5. All'articolo 163, comma 1, del decreto legislativo 30 giugno 2003, n. 196, le parole: «da diecimila euro a sessantamila euro» sono sostituite dalle seguenti: «da ventimila euro a centoventimila euro» e le parole: «e con la sanzione amministrativa accessoria» fino alla fine del comma sono soppresse. 6. All'articolo 164, comma 1, del decreto legislativo 30 giugno 2003, n. 196, le parole: «da quattromila euro a ventiquattromila euro» sono sostituite dalle seguenti: «da diecimila euro a sessantamila euro». 7. Dopo l'articolo 164 del decreto legislativo 30 giugno 2003, n. 196, è inserito il seguente: «Art. 164-bis (Casi di minore gravità e ipotesi aggravate). 1. Se taluna delle violazioni di cui agli articoli 161, 162, 163 e 164 è di minore gravità, avuto altresì riguardo alla natura anche economica o sociale dell'attività svolta, i limiti minimi e massimi stabiliti dai medesimi articoli sono applicati in misura pari a due quinti. 6

7 2. In caso di più violazioni di un'unica o di più disposizioni di cui al presente Capo, a eccezione di quelle previste dagli articoli 162, comma 2, 162-bis e 164, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro. Non è ammesso il pagamento in misura ridotta. 3. In altri casi di maggiore gravità e, in particolare, di maggiore rilevanza del pregiudizio per uno o più interessati, ovvero quando la violazione coinvolge numerosi interessati, i limiti minimo e massimo delle sanzioni di cui al presente Capo sono applicati in misura pari al doppio. 4. Le sanzioni di cui al presente Capo possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore.». 8. All'articolo 165, comma 1, del decreto legislativo 30 giugno 2003, n. 196, le parole: «161, 162 e 164» sono sostituite dalle seguenti: «del presente Capo» ed è aggiunto, in fine, il seguente periodo: «La pubblicazione ha luogo a cura e spese del contravventore.». 9. L'articolo 169 del decreto legislativo 30 giugno 2003, n. 196, è così modificato: a) nel comma 1, sono soppresse le parole da: «o con l'ammenda da» fino alla fine del comma; b) nel comma 2, le parole: «quarto del massimo dell'ammenda stabilita per la contravvenzione» sono sostituite dalle seguenti: «quarto del massimo della sanzione stabilita per la violazione amministrativa». 10. All'articolo 62, comma 1, del decreto legislativo 6 settembre 2005, n. 206, le parole: «da euro cinquecentosedici a euro cinquemilacentosessantacinque» sono sostituite da: «da tremila euro a diciottomila euro». 11. Agli oneri derivanti dal comma 1, pari a euro a decorrere dal 2009, si provvede mediante corrispondente riduzione dell'autorizzazione di spesa di cui al decreto legislativo 30 giugno 2003, n. 196, come determinata dalla tabella C della legge 22 dicembre 2008, n. 203, (legge finanziaria 2009), in favore del Garante per la protezione dei dati personali, a decorrere dall'esercizio