Non c'è reato nell'illecito trattamento dei dati personali da parte di una agenzia di investigazione privata se non c'è nocumento della persona offesa:l'articolo art. 167, comma 1, del d.lgs. 196/03 è reato di pericolo concreto, non di pericolo presunto.
La fattispecie di cui all'art. 167, comma 1, relativa alla violazione degli artt. 23 e 24, precedente alle modifiche introdotte dal D.Lgs. n. 101 del 2018, non è più prevista dalla legge come reato.
Sono penalmente sanzionate, ai sensi dell'art. 167, comma 1, solo le violazioni – purché sorrette dal dolo specifico di trarre per sé o per altri profitto o di recare all'interessato un danno e purché produttive di "nocumento" a quest'ultimo - delle norme relative:
a) al trattamento dei dati relativi al traffico, riguardanti contraenti ed utenti tratti dal fornitore di una rete pubblica di comunicazioni o di un servizio di comunicazione elettronica accessibile al pubblico (c.d. tabulati, art. 123 del Codice);
b) al trattamento dei dati relativi all'ubicazione, diversi da quelli relativi al traffico, riguardanti i medesimi soggetti (art. 126);
c) alle c.d. comunicazioni indesiderate (art. 130);
d) alle violazioni dei provvedimenti del Garante in tema di inserimento ed utilizzo dei dati personali negli elenchi cartacei od elettronici a disposizione del pubblico (art. 129).
Il novellato art. 167, comma 2, punisce altresì, più gravemente, la violazione delle disposizioni in tema di trattamento dei dati sensibili e dei dati giudiziari, mentre le nuove disposizioni introdotte al comma 3 dell'art. 167 e quelle previste dagli artt. 167 bis e 167 ter prevedono sanzioni penali, rispettivamente, per la violazione delle disposizioni in tema di trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale, per la comunicazione e diffusione illecite e per la acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala.
CORTE SUPREMA DI CASSAZIONE
SEZIONE TERZA PENALE
(data ud. 15/10/2021) 20/01/2022, n. 2243
SENTENZA
sul ricorso proposto da:
P.W., nato a (OMISSIS);
avverso la sentenza del 13/01/2012 della CORTE APPELLO di MILANO; visti gli atti, il provvedimento impugnato e il ricorso;
udita la relazione svolta dal Consigliere Dott. Aldo ACETO;
lette le richieste scritte del Pubblico Ministero, in persona del Sostituto Procuratore Generale Dott. DI NARDO Marilia, che ha concluso chiedendo l'annullamento senza rinvio per prescrizione.
Svolgimento del processo
1. Il sig. P.W. ricorre per l'annullamento della sentenza del 13/01/2021 della Corte di appello di Milano che, rigettando la sua impugnazione, ha confermato la condanna alla pena di sei mesi di reclusione inflitta con sentenza dell'11/02/2019 per il reato di cui agli artt. 110 c.p., D.Lgs. n. 196 del 2003, art. 167, comma 1, commesso a (OMISSIS) dal 20 marzo 2012 al 7 aprile dello stesso anno.
1.1. Con il primo motivo deduce l'omessa motivazione in merito alla regolare verifica della costituzione delle parti e violazione del D.L. n. 137 del 2020, art. 23 bis, comma 4, sotto il profilo della mancata indicazione delle conclusioni rassegnate per iscritto dalla difesa dell'imputato e regolarmente consegnata via PEC alla Corte di appello e alle altre parti.
1.2. Con il secondo ed il terzo motivo deduce la prescrizione del reato maturata prima della sentenza impugnata che, nell'affermare il contrario, ha violato l'art. 159 c.p., artt. 79 e 484 c.p.p., D.L. n. 80 del 2020, art. 83.
1.3. Con il quarto motivo deduce l'omessa valutazione di una prova decisiva ed, in particolare, della testimonianza di S.G. il quale aveva dichiarato di essere il responsabile del trattamento dei dati ai sensi della normativa sulla tutela della riservatezza.
1.4. Con il quinto motivo deduce l'inesistenza del nocumento della persona offesa, con conseguente insussistenza del delitto di cui al D.Lgs. n. 196 del 2003, art. 167, comma 1, che è reato di pericolo concreto, non di pericolo presunto.
1.5. Con il sesto motivo deduce l'erronea applicazione dell'art. 62 bis c.p., sotto il profilo della mancata applicazione delle circostanze attenuanti generiche negate per comportamenti processuali ingiustamente definiti come "sleali" dalla Corte di appello.
1.6. Con il settimo motivo deduce l'omessa motivazione in ordine alla mancata applicazione dei doppi benefici.
Motivi della decisione
2. Il ricorso è fondato.
3. Il ricorrente risponde del (residuo) reato di cui all'art. 110 c.p., D.Lgs. n. 196 del 2003, art. 167, comma 1, perchè, quale responsabile dell'agenzia investigativa "(OMISSIS)", in concorso con il committente, aveva effettuato la raccolta e la conservazione dei dati relativi alla moglie di questi senza il consenso della donna e al di fuori dei casi previsti dall'art. 23, art. 24, lett. f), stesso decreto, nonchè oltre i termini stabiliti dal mandato. In particolare, ad insaputa della donna, le aveva scattato fotografie e aveva installato un localizzatore satellitare GPS sulla sua autovettura per il periodo che va dal 20/03/2012 al 02/04/2012, rilevando illecitamente i dati relativi a tutti gli spostamenti della stessa in eccedenza rispetto all'esigenza di consentire al marito committente di tutelare i propri diritti nella causa di separazione; inoltre l'agenzia aveva divulgato tali dati fornendo al committente una copia di tutti i tabulati degli spostamenti e benchè il mandato scadesse il 30/03/2012, le operazioni di rilevazione satellitare ed i pedinamenti erano proseguiti perlomeno fino al 07/04/2012.
3.1. Dalla lettura della sentenza di primo grado risulta che l'odierna parte civile, sig.ra V.Y., aveva denunciato il marito, sig. L.M. che nel corso della causa civile di separazione aveva depositato, tramite i difensori, una memoria ex art. 183 c.p.c., alla quale era stato allegato un report confidenziale redatto dall'agenzia "(OMISSIS) s.r.l." in cui venivano rappresentati gli spostamenti quotidiani della donna corredati da varie fotografie. A seguito delle indagini preliminari era emerso che l'agenzia svolgeva attività autorizzata di investigazioni private con sede secondaria la cui apertura non era stata comunicata.
In occasione dell'accesso alla predetta sede secondaria, gli agenti avevano sorpreso un dipendente, S.G., amministratore di sistema con autorizzazione a trattare i dati personali dei clienti (la cui testimonianza il ricorrente deduce non essere stata valutata nemmeno in primo grado), che stava tentando di distruggere dei documenti attraverso un trita documenti; si trattava dei fogli relativi all'investigazione commissionata dal L. riguardanti al tracciatura del dispositivo GPS per il periodo dal 20/03/2012 al 02/04/2012.
Erano state altresì acquisite le copie del libro giornale attestanti la ricezione dell'incarico del L. di controllare la figlia e l'ex compagna per il periodo dal 20/03/2012 al 03/04/2012. Nello specifico, il L. aveva incaricato l'agenzia investigativa di localizzare la moglie per un periodo di dieci giorni (dal 20/03/2012 al 03/04/2012) per non più di tre ore al giorno, al fine di rilevare un eventuale comportamento non idoneo nei confronti della figlia minore della coppia.
All'esito dell'attività investigativa erano state acquisite informazioni sulla vita personale e sentimentale della donna, in particolare circa la frequentazione di un nuovo compagno (il sig. C.C.). Il Tribunale aveva affermato l'illiceità dell'attività investigativa ascritta all'imputato per eccesso del mandato sia perchè la donna era stata pedinata e fotografata anche quando non si trovava in compagnia della figlia, sia perchè l'attività era stata posta in essere anche in epoca successiva al periodo richiesto dal cliente, al quale però l'agenzia aveva trasmesso il report contenente i dati da lui richiesti salvo trattenere quelli eccedenti il mandato che il dipendente del P. stava distruggendo all'atto dell'accesso della polizia giudiziaria presso la sede secondaria.
3.2. La Corte di appello ha precisato che la documentazione che il S., era intento a distruggere era costituita da 64 fogli, i primi 16 dei quali erano custoditi in una cartelletta denominata "eccedenti" e contenevano i dati relativi alla data del 02/04/2012, i fogli da 17 a 51 si riferivano al periodo dal 24/03/2012 al 02/04/2012, gli altri 13 contenevano informazioni relative alla moglie del committente ed al suo nuovo compagno oltre ad immagini amorose con il C. al tavolino di un bar e fotografie del C. stesso. Era stata altresì rinvenuta una relazione relativa ad un servizio di pedinamento della V. anche dopo che aveva lasciato la figlia minore in custodia al padre.
3.3. Nel disattendere i rilievi difensivi circa l'insussistenza del fatto, la Corte di appello ha ribadito che il materiale rinvenuto presso la sede secondaria (non autorizzata) dell'agenzia di investigazioni documentava senza alcun ombra di dubbio la violazione del mandato sotto il duplice profilo dell'oggetto e dei limiti temporali. Tale documentazione, annota la Corte di appello, era allegata alla memoria difensiva depositata in tribunale dai difensori del L., Quanto al nocumento arrecato alla V., i Giudice distrettuali affermano che le informazioni sulla relazione della donna con un nuovo compagno sono state utilizzate dall'ex marito nella causa civile di separazione: "tali informazioni - sostiene la Corte di appello - avrebbero sicuramente contribuito ad un trattamento più sfavorevole, in sede civile, nei confronti della V.". Tale nocumento era bene presente nella mente dell'imputato il quale sapeva l'uso che del dossier illegalmente formato avrebbe fatto il committente.
4. Tanto premesso, è fondato il terzo motivo di ricorso.
4.1. Il reato per il quale si procede è punito con la pena della reclusione da sei mesi a un anno e sei mesi; il tempo necessario a prescrivere è di sei anni (art. 157 c.p., commi 1 e 2), aumentato di un anno e sei mesi ai sensi dell'art. 161 c.p., comma 2. Trattandosi di reato consumato fino al 07/04/2012, il termine massimo di prescrizione maturava al più tardi il 07/10/2019. La Corte di appello, nel disattendere l'eccezione di prescrizione sollevata dall'imputato, ha aggiunto il periodo di sospensione della prescrizione pari ad un anno, due mesi e sei giorni in conseguenza della istanza di messa alla prova (art. 168 ter c.p.), con conseguente slittamento del termine al 13/12/2020, e l'ulteriore termine di sospensione di sessantaquattro giorni di cui al D.L. 17 marzo 2020, n. 18, art. 83, commi 2 e 4, convertito con modificazioni dalla L. 24 aprile 2020, n. 27, come modificato dal D.L. n. 23 del 2020, art. 36, comma 1, convertito con modificazioni dalla L. n. 40 del 2020, con definitivo slittamento del termine di prescrizione al 15/02/2021.
4.2. A prescindere dalla fondatezza del secondo motivo (in effetti l'imputato non risulta essere stato ammesso alla prova, nè risulta essere stata adottata l'ordinanza di sospensione del processo), ciò che rileva è che non sussistevano le condizioni per l'applicazione dell'ulteriore sospensione del termine di sessantaquattro giorni. Come autorevolmente affermato da Sez. U., n. 5292 del 26/11/2020 (dep. 2021), Sanna, Rv. 280432 - 02, la sospensione del termine per complessivi sessantaquattro giorni, prevista dal D.L. 17 marzo 2020, n. 18, art. 83, comma 4, convertito com modificazioni dalla L. 24 aprile 2020, n. 27, si applica ai soli procedimenti la cui udienza sia stata fissata nel periodo compreso dal 9 marzo all'11 maggio 2020, nonchè a quelli per i quali fosse prevista la decorrenza, nel predetto periodo, di un termine processuale. La Corte ha escluso che la sospensione della prescrizione possa operare in maniera generalizzata, per tutti i procedimenti pendenti, in quanto la disciplina introdotta dal D.L. n. 18 del 2020, art. 83, comma 4, presuppone che il procedimento abbia subito una effettiva stasi a causa delle misure adottate per arginare la pandemia.
4.3. Nel caso di specie, il processo, definito in primo grado con sentenza dell'11/02/2019, è stato celebrato in appello per la prima volta all'udienza del 13/01/2021, con conseguente inapplicabilità dell'ulteriore termine di sospensione di sessantaquattro giorni. Ne consegue che il reato era prescritto prima della data della prima udienza, con conseguente assorbimento delle questioni poste con il primo, secondo, sesto e settimo motivo.
4.4. Il reato, dunque, è estinto per prescrizione.
4.5. E' tuttavia necessario verificare, anche alla luce della decisione sulle statuizioni civili, se sussistano cause di proscioglimento nel merito più favorevoli all'imputato.
5. Al riguardo è fondato (ed assorbente) il quinto motivo.
5.1. Va in primo luogo precisato che il reato di cui al D.Lgs. n. 196 del 2003, art. 167, comma 1, non è proprio del titolare e responsabile del trattamento dei dati, me è reato comune che può essere commesso da "chiunque". Nel caso di specie, è incontestato che il ricorrente aveva avuto mandato dal L. di pedinare la ex-moglie in quanto titolare dell'agenzia investigativa, nè questi ha mai dedotto che la violazione del mandato fosse ascrivibile ad autonoma iniziativa di un dipendente posta in essere a sua insaputa. In nessun passaggio dell'atto di appello si rivendica l'estraneità dell'imputato allo specifico fatto a lui ascritto, con conseguente irrilevanza della questione dedotta.
5.2. Il quarto motivo è perciò del tutto infondato. E' invece fondato, come detto, il quinto motivo.
5.3. Il D.Lgs. 30 giugno 2003, n. 196, art. 167, comma 1, intitolato "Trattamento illecito dei dati", nella versione vigente "pro-tempore", sanzionava la condotta di chi, al fine di trarne profitto per sè o per altri o di recare ad altri un danno, procedeva al trattamento di dati personali in violazione di quanto disposto dagli artt. 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'art. 129 "se dal fatto deriva nocumento".
5.4. Per "nocumento" deve intendersi un pregiudizio giuridicamente rilevante di qualsiasi natura patrimoniale o non patrimoniale, subito dalla persona alla quale si riferiscono i dati o le informazioni protetti (così, Sez. 3, n. 30134 del 28/05/2004, Barone, Rv. 229472; Sez. 5, n. 51089 del 12/05/2014, Rv. 261726; Sez. 3, n. 23798 del 24/05/2012, n.m. sul punto; Sez. 5, n. 17744 del 16/01/2009, Rv. 243601 - 01; cfr. altresì Sez. 5, n. 44940 del 28/09/2011, Rv. 251448), ovvero da terzi (Sez. 3, n. 17215 del 17/02/2011, Rv. 249991; Sez. 3, n. 7504 del 16/07/2013 Rv. 259261 - 01).
Il nocumento può anche coincidere, nei fatti, con il cd. "danno-evento" di matrice civilistica ma non è giuridicamente sovrapponibile ad esso e soprattutto non va confuso con il cd. "danno-conseguenza" risarcibile ai sensi dell'art. 185 c.p., artt. 2043 e 2059 c.c.. Come bene ed articolatamente spiegato da Sez. 3, n. 23798 del 2012, cit., il "nocumento" assolve alla funzione di dare "effettività" alla tutela della riservatezza dei dati personali ed ha un suo nucleo di dannosità che è certamente meno ampio di quello civilistico e non può essere confuso con esso.
5.5. La giurisprudenza più recente ha condivisibilmente affermato che il nocumento previsto dal D.Lgs. 30 giugno 2003, n. 196, art. 167, costituisce per la sua omogeneità rispetto all'interesse leso, e la sua diretta derivazione causale dalla condotta tipica - un elemento costitutivo del reato, non una condizione oggettiva di punibilità (Sez. 3, n. 15221 del 23/11/2016, dep. 2017, Rv. 270056 - 01; Sez. 3, n. 40103 del 05/02/2015, Rv. 264798 - 01). Nè è stata trattata la conseguenza che la produzione in un giudizio civile di documenti contenenti dati personali, ancorchè effettuata al di fuori dei limiti del corretto esercizio del diritto di difesa, non integra il nocumento all'interessato che permette di configurare il reato di cui al D.Lgs. 30 giugno 2003, n. 196, art. 167, in assenza di elementi fattuali oggettivamente indicativi di una effettiva lesione dell'interesse protetto, trattandosi di informazioni la cui cognizione è normalmente riservata ai soli soggetti professionalmente coinvolti nella vicenda processuale sui quali incombe un obbligo di riservatezza (Sez. 3, n. 23808 del 29/03/2019, Rv. 275648 - 01; cfr., altresì, Sez. 3, n. 35553 dell'11/05/2017, Rv. 271240 - 01, secondo cui non configura il reato di cui al D.Lgs. n. 196 del 2003, art. 167, la produzione di un CD contenente foto e filmati ritraenti altre persone nel corso di un giudizio civile - nella specie di separazione personale dei coniugi -, in quanto tale condotta non costituisce una forma di "diffusione", bensì di "comunicazione" di dati destinata a circolare e ad essere conosciuta tra persone determinate).
5.6. Il D.Lgs. 10 agosto 2018, n. 101, recante "Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)", ha profondamente modificato i Codice in materia di protezione dei dati personali.
5.7. Il D.Lgs. n. 196 del 2003, art. 167, non ne è rimasto indenne.
Attualmente il comma 1 così recita: "Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sè o per altri profitto ovvero di arrecare danno all'interessato, operando in violazione di quanto disposto dagli artt. 123, 126 e 130, o dal provvedimento di cui all'art. 129, arreca nocumento all'interessato, è punito con la reclusione da sei mesi a un anno e sei mesi"; il comma 2 prevede che "salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sè o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trattamento dei dati personali di cui agli artt. 9 e 10 del Regolamento ((UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016) in violazione delle disposizioni di cui agli artt. 2 sexies e 2 octies, o delle misure di garanzia di cui all'art. 2 septies, ovvero operando in violazione delle misure adottate ai sensi dell'art. 2 quinquiesdecies, arreca nocumento all'interessato, è punito con la reclusione da un atto a tre anni"; il comma 3 stabilisce che "Salvo che il fatto costituisca più grave reato, la pena di cui al comma 2 si applica altresì a chiunque, al fine di trarre per sè o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale al di fuori dei casi consentiti ai sensi degli artt. 45, 46 o 49 del Regolamento, arreca nocumento all'interessato".
5.8. Nella nuova formulazione dell'art. 167, comma 1, il "nocumento" costituisce l'evento cagionato dalla condotta di dolosa violazione "di quanto disposto dagli artt. 123, 126 e 130 o dal provvedimento di cui all'art. 129"; sparisce dalla fattispecie incriminatrice ogni riferimento al D.Lgs. n. 196 del 2003, artt. 18, 19, 23 e 130. Le relative sottoclassi di condotta poste in essere in violazione delle predette norme sono strutturalmente estranee alla nuova fattispecie.
Resta, nel comma 1, il riferimento agli artt. 123, 126 e 130, la cui violazione, però, non è contestata dalla rubrica e che non hanno alcuna attinenza con il caso di specie. L'imputazione, come visto, ipotizzava la violazione del D.Lgs. n. 196 del 2003, art. 23, art. 24, lett. f), entrambi abrogati dal D.Lgs n. 101 del 2018. L'art. 24, lett. f), in particolare, escludeva la necessità del consenso dell'interessato quando il trattamento, "con esclusione della diffusione, (fosse) necessario ai fini dello svolgimento delle investigazioni difensive di cui alla L. 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati (fossero) trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale".
5.9. L'art. 9 del Regolamento (UE) 2016/679, stabilisce al p.1 il divieto, in assenza di consenso dell'interessato, di trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonchè trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. Il p.2 elenca le eccezioni al divieto indicando, alla lettera f), la necessità di "accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali".
5.10. Il reato di cui al novellato D.Lgs. n. 196 Cit., art. 167, comma 2, sanziona la condotta di chi arreca nocumento all'interessato procedendo al trattamento dei dati di cui agli artt. 9 e 10 del regolamento in violazione del D.Lgs. n. 196 del 2003, artt. 2 sexies e 2 octies, o delle misure di garanzia di cui all'art. 2 septies, D.Lgs. cit.. La fattispecie prevedeva, quale modalità alternativa della condotta, anche la violazione delle misure adottate ai sensi dell'art. 2 quinquiesdecies, articolo abrogato, però, dal D.L. 8 ottobre 2021, n. 139, art. 9, comma 1, lett. c), emanato nella more della stesura della presente motivazione e convertito, con modificazioni, dalla L. 3 dicembre 2021, n. 205, che ha soppresso le parole "ovvero operando in violazione delle misure additate ai sensi dell'art. 2 quinquiesdecies" di cui alla seconda parte del comma 2 dell'art. 167 cit..
5.11. Anche il delitto di cui al D.Lgs. n. 196 del 2003, art. 167, comma 2, il "nocumento" costituisce evento del reato; oggetto materiale della condotta, però, sono solo i dati di cui agli artt. 9 e 10 del regolamento e cioè, quelli che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonche dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona (art. 9), e quelli relativi alle condanne penali e ai reati o a connesse misure di sicurezza (art 10). Il divieto di trattare i dati personali indicati dall'art. 9 non si applica quando si tratti di "accertare, esercitare o difendere un diritto in sede giudiziale o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali".
5.12. Ai fini dell'integrazione del reato, la violazione pura e semplice del divieto di trattamento non è sufficiente; è altresì necessario che essa avvenga in violazione del D.Lgs. n. 196 del 2003, artt. 2 sexies e 2 octies, o delle misure di garanzia di cui all'art. 2 septies, D.Lgs. cit..
5.13. L'art 2 sexies disciplina il trattamento dei dati per motivi di interesse pubblico e stabilisce che "i trattamenti delle categorie particolari di dati personali di cui all'art. 9, paragrafo 1, del Regolamento, necessari per motivi di interesse pubblico rilevante ai sensi del paragrafo 2, lett. g), del medesimo articolo, sono ammessi qualora siano previsti dal diritto dell'Unione europea ovvero, nell'ordinamento intero, da disposizioni di legge o, nei casi previsti dalla legge, di regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonchè le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato". Il comma 2 della norma elenca i casi nei quali si considera rilevante l'interessa pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all'esercizio di pubblici poteri nelle seguenti materie. Il comma 3 stabilisce che "per i dati genetici, biometrici e relativi alla salute il trattamento avviene comunque nel rispetto di quanto previsto dall'art. 2 septies".
5.14. Le misure di garanzia di cui all'art. 2 septies, riguardano, anticipato, solo i dati genetici, biometrici e relativi alla salute, non anche quelli relativi alla vita sessuale delle persone.
5.16. Sono espressamente escluse dalla nuova fattispecie incriminatrice, quali modalità esecutive della condotta, le violazione delle regole deontologiche approvate dal Garante ai sensi del D.Lgs. n. 196 del 2003, art. 2 quater, e dettate, per i trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria, con provvedimento del Garante n. 512 del 19/12/2018 allegato al Codice in materia di protezione dei dati personali con D.M. 15 marzo 2019.
5.17. In precedenza, il D.Lgs. n. 196 del 2003, art. 24, (abrogato dal D.Lgs. n. 101 del 2018, art. 27, comma 1, lett. a) escludeva la necessità del consenso dell'interessato quando il trattamento era "necessario ai fini dello svolgimento delle investigazioni difensive di cui alla L. 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale" (lett. f). L'editto accusatorio (e la sentenza di condanna) si basano proprio sulla violazione dei limiti entro i quali poter lecitamente trattare i dati in assenza di consenso.
5.18. Ance il D.Lgs. n. 196 del 2003, art. 2 quater, comma 4, afferma che "Il rispetto delle disposizioni contenute nelle regole deontologiche di cui al comma 1 costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali". Tuttavia, la violazione dell'art. 2 quater, integra l'illecito amministrativo di cui al D.Lgs. n. 196 del 2003, art. 166, comma 2, e non costituisce modalità esecutiva tipica del delitto di cui all'art. 167, comma 2, stesso Decreto.
5.19. Peraltro, la violazione delle disposizioni di cui agli artt. 2 sexies e 2 octies, e delle misure di garanzia di cui all'art. 2 septies, non è di per sè sufficiente ai fini dell'integrazione del reato di cui al D.Lgs. n. 196 del 2003, art. 167, comma 2: è altresì necessario che la condotta arrechi nocumento all'interessato e che sia posta in essere allo scopo di trarre per sè o per altri profitto ovvero di arrecare danno all'interessato. In mancanza di questi ulteriori elementi, la mera violazione delle regole di condotta integra l'illecito amministrativo di cui al D.Lgs. n. 196 del 2003, art. 166, comma 2.
5.20. In conclusione, deve affermarsi che la sottofattispecie di reato di cui all'art. 166, comma 1, relativa alla violazione degli artt. 23 e 24, precedente alle modifiche introdotte dal D.Lgs. n. 101 del 2018, non è più prevista dalla legge come reato. Nè la condotta posta in essere dall'imputato è prevista come reato dal D.Lgs. n. 196 del 2003, art. 167, comma 2.
5.21. Del resto, come già affermato da Sez. F, n. 40140 del 2019, "il D.Lgs. n. 101 del 2018, ha considerevolmente ridotto l'ambito della risposta sanzionatoria penale: il nuovo testo dell'art. 167 - che nei due commi della precedente formulazione sanzionatoria anche la violazione delle disposizioni, oggi abrogata, di cui agli artt. 18, 19, 23 (comma 1), 17, 20, 21, 22, 26, 27 e 45 (comma 2) - ha tenuto ferma la rilevanza penale solo di alcuni specifici comportamenti. In particolare, continuano ad essere penalmente sanzionate, ai sensi dell'art. 167, comma 1, solo le violazioni - purchè sorretta dal dolo specifico di trarre per sè o per altri profitto, o di recare all'interessato un danno, e purchè produttive di "nocumento" a quest'ultimo - delle norme relative al trattamento dei dati relativi al traffico, riguardanti contraenti ed utenti tratti dal fornitore di una rete pubblica di comunicazioni o di un servizio di comunicazione elettronica accessibile al pubblico (cd. tabulati, art. 123 del Codice); al trattamento dei dati relativi all'ubicazione, diversi da quelli relativi al traffico, riguardanti i medesimi soggetti (art, 126); alle cd. comunicazioni indesiderate (art. 130); nonchè le violazioni dei provvedimenti del Garante in tema di inserimento ed utilizzo dei dati personali negli elenchi cartacei o elettronici a disposizione del pubblico (art. 129). Il novellato art. 167, comma 2, punisce altresì, più gravemente, la violazione delle disposizioni in tema di trattamento dei dati sensibili e dei dati giudiziari, mentre le nuove disposizioni introdotte al comma 3, dell'art. 167, all'art. 167 bis e all'art. 167 ter prevedono, rispettivamente, sanzioni penali per la violazione delle disposizioni in tema di trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale, in tema di comunicazione e diffusione illecite, e di acquisizione fraudolenta, di un archivio automatizzato o di una sua parte sostanziale, che contenga dati personali oggetto di trattamento su larga scala" (nello stesso senso, Sez. 5, n. 3050 del 17/12/2020, dep. 2021, n.m.).
5.22. Nell'ambito degli illeciti amministrativi introditti dall'art. 83 del Regolamento rientra la violazione dei principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli artt. 5, 6, 7 e 9, che in precedenza erano penalmente sanzionate dal D.Lgs. n. 296 del 2003, art. 167, comma 1.
5.23. Ne consegue che la sentenza impugnata deve essere annullata senza rinvio perchè il fatto non è più previsto dalla legge come reato, con conseguente revoca delle statuizioni civili di condanna, fermo restando il diritto della parte civile di agire "ex novo" nella sede naturale, per il risarcimento del danno da fatto illecito (Sez. U., n. 46688 del 29/09/2016, Rv. 267884 - 01).
P.Q.M.
Annulla senza rinvio la sentenza impugnata perchè il fatto non è previsto dalla legge come reato. Revoca le statuizioni civili.
In caso di diffusione del presente provvedimento omettere le generalità e gli altri dati identificativi a norma del D.Lgs. n. 196 del 2003, art. 52, in quanto imposto dalla legge.
Conclusione
Così deciso in Roma, il 15 ottobre 2021. Depositato in Cancelleria il 20 gennaio 2022