Trattamento dei dati personali sensibili: i concetti chiave
Il trattamento di dati personali sensibili senza il consenso dell’interessato, dal quale derivi nocumento per la persona offesa, è tutt’ora punibile ai sensi dell’articolo 167, comma secondo del d. lgs. 30 giugno 2003 n. 196. Esso è identificato dall’elemento soggettivo caratterizzato dal dolo specifico, ma anche da elementi oggettivi quali la comunicazione e la diffusione, ricomprese nella più ampia dizione di trattamento. Il nocumento invece, in precedenza ritenuto circostanza aggravante, è una condizione obiettiva di punibilità.
Il trattamento corrisponde a qualunque operazione o complesso di operazioni effettuate anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati anche se non registrati in una banca dati.
Il dato personale è invece rappresentato da qualunque informazione relativa a persona fisica, che la renda direttamente o indirettamente identificata o identificabile.
I dati sensibili sono, invece, tutti quei dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico, sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.
Il reato
Il reato di trattamento illecito di dati personali contempla una condotta di trattamento di dati personali senza il consenso dell’interessato, purché da ciò ne derivi nocumento.
La norma, pertanto, non esclude dai soggetti destinatari della punizione il privato cittadino che sia venuto occasionalmente a conoscenza di una tale informazione procedendo poi alla sua indebita diffusione. L’incipit della norma “chiunque” già di per sé esclude in radice una interpretazione in senso restrittivo dei destinatari della stessa. Il divieto di diffusione di dati sensibili riguarda indistintamente tutti i soggetti entrati in possesso di tali informazioni. Né la punibilità, in caso di indebita diffusione, può dirsi esclusa se il soggetto detentore del dato lo abbia acquisito casualmente, perché la norma non punisce il recepimento del dato ma la sua diffusione. Non è pertanto di alcun pregio la tesi secondo cui il privato cittadino non sarebbe annoverato tra i destinatari della norma.
La riflessione
Secondo la Cassazione (sentenza numero 13102 depositata il 29 marzo 2023) anche il privato cittadino commette il reato di trattamento illecito di dati personali sensibili qualora diffonda gli stessi senza il consenso dell’interessato e provocandogli un nocumento, e ciò prescindendo dalla modalità di acquisizione del dato. A nulla rileva che esso sia stato recepito casualmente.
Ne deriva che quotidianamente molti possono incorrere in questo errore. Ognuno di noi possiede, a vario titolo, dati personali sensibili altrui contenuti in atti, documenti, fotografie, ecc. Molti di essi sono posseduti con il consenso dell’interessato, ma ciò non ci autorizza alla loro diffusione. La divulgazione di tali informazioni senza consenso, dalla quale possa derivare un danno, ci espone quindi ad una responsabilità penale e ad un risarcimento economico.
È sufficiente diffondere una foto, una notizia, una informazione in nostro possesso (purché contengano un dato personale sensibile) per incorrere nella violazione. Certo, è necessario che dalla diffusione derivi un danno, ma ciò è circostanza molto più verificabile di quanto si creda. Per questo è necessario conoscere, anche solo a grandi linee, le definizioni e i confini normativi.
Tra questi si ricorda l’unica circostanza per la quale l’utilizzo di dati personali, anche sensibili, non rappresenta diffusione: si tratta dell’utilizzo per la tutela di un proprio diritto in sede giudiziaria. La cognizione di tali informazioni, infatti, è normalmente riservata e circoscritta ai soli soggetti professionalmente coinvolti nella vicenda processuale, sui quali incombe un obbligo di riservatezza. In questa circostanza, la produzione di tali dati è pertanto consentita anche senza consenso.
