g-docweb-display Portlet

Semplificazione del quadro sanzionatorio e delle misure minime di sicurezza previste dal Codice - 22 settembre 2014

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

 

 

Ill.mo
Presidente del Consiglio dei ministri
Dott. Matteo Renzi

 

Le scrivo in relazione a possibili misure di semplificazione della normativa in materia di protezione dei dati personali, volte a snellire gli adempimenti cui sono tenuti, oggi, i titolari del trattamento e a razionalizzare il relativo quadro sanzionatorio.

Le misure prospettate potrebbero assicurare significativi benefici, anche in termini economici, soprattutto alle piccole e medie imprese o comunque ai soggetti, anche pubblici, di modeste dimensioni, senza tuttavia abbassare lo standard delle garanzie per i cittadini e nel rispetto dei vincoli dell´Unione europea.

Il progetto di riforma si sostanzia in alcuni mirati interventi di modifica del Codice in materia di protezione dei dati personali (d. lgs. n. 196 del 2003) ispirati ai seguenti principi:

a) semplificazione del quadro sanzionatorio e aumento dell´equità nell´applicazione delle sanzioni, mediante, fra l´altro, la ridefinizione dei confini tra le fattispecie penali e amministrative e la limitazione della responsabilità penale per la mancata adozione delle misure minime di sicurezza ai soli casi in cui ne sia derivata una conseguenza negativa nella sfera giuridica degli interessati;

b) riduzione dei costi diretti e indiretti (di consulenza e assistenza legale) per i soggetti destinatari di sanzioni, mediante il ricorso diretto e automatico a modalità di estinzione agevolata dei procedimenti sanzionatori e diminuendo i casi in cui non è ammessa l´estinzione mediante oblazione;

c) promozione di un aggiornamento delle misure minime di sicurezza previste dal Codice (art. 36) anche con disposizioni differenziate in ragione dei rischi effettivi per i diritti degli interessati e minimizzando l´impatto economico delle stesse, in particolare presso le piccole e medie imprese, liberi professionisti e artigiani. A tal fine, si prevede la consultazione delle categorie interessate e si affida al Garante il compito di proporre tali adempimenti sulla base dell´esperienza maturata dalla quotidiana applicazione delle relative disposizioni.

Nell´allegarLe una possibile proposta normativa, tanto Le segnalo ai sensi dell´articolo 154, comma 1, lett. f) del Codice, grato, anche a nome del Collegio del Garante, per l´attenzione che vorrà riservare alle suesposte considerazioni, e confermandoLe sin d´ora la più ampia disponibilità dell´Autorità ad ogni collaborazione che dovesse essere ritenuta utile.

Antonello Soro

 

 

La segnalazione è stata inoltrata anche al Ministro della giustizia Andrea Orlando e al Ministro per la semplificazione e la pubblica amministrazione Marianna Madia

 

 

_______________________________________________

ALLEGATO

Art.
(Semplificazioni in materia di protezione dei dati personali)

1. Al codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) all´articolo 162, comma 2-bis, l´ultimo periodo è soppresso;

b) dopo l´articolo 166 è inserito il seguente:

«Articolo 166-bis. (Definizione agevolata delle violazioni). –  1. In deroga all´articolo 16 della legge 24 novembre 1981 n. 689, nel caso in cui le violazioni di cui agli articoli 161, 162, 162-bis, 163 e 164,  siano relative a trattamenti di dati personali effettuati da soggetti, pubblici o privati, che occupino un numero di unità lavorative inferiore a quindici dipendenti, è ammesso il pagamento in misura ridotta di una somma pari ai due quinti del minimo edittale. Per i soggetti, pubblici o privati, che occupino un numero di unità lavorative inferiore a duecentocinquanta dipendenti, è  ammesso il pagamento in misura ridotta di una somma pari al minimo edittale.

2.Il pagamento di cui al comma 1 deve essere effettuato nel termine perentorio di trenta giorni dalla notifica della contestazione di violazione amministrativa. Decorso tale termine, il procedimento sanzionatorio prosegue secondo le modalità di cui all´articolo 166 e con l´applicazione degli ordinari limiti minimi e massimi previsti dagli articoli di cui al comma 1.

3. Il numero di unità lavorative è calcolato con riferimento al numero di dipendenti occupati mediamente a tempo pieno durante un anno, mentre i lavoratori a tempo parziale e quelli stagionali rappresentano frazioni di unità lavorative annue; ai predetti fini l´anno da prendere in considerazione è quello dell´ultimo esercizio contabile approvato, precedente il momento di accertamento dell´infrazione. Ai fini del presente articolo il titolare del trattamento è tenuto ad autocertificare al Garante le circostanze sopra indicate ai sensi dell´articolo 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445.

4. Le disposizioni di cui al presente articolo non si applicano in caso di reiterazione della violazione di cui all´articolo 8-bis della Legge 24 novembre 1981, n. 689, di recidiva di cui all´articolo 166 o di applicazione delle ipotesi aggravate di cui all´articolo 164-bis, commi 2 e 3.»;

c)  all´articolo 166, dopo il comma 1, sono aggiunti i seguenti:

«1-bis. Nei casi di recidiva i limiti minimo e massimo delle sanzioni di cui al presente capo sono applicati in misura pari al doppio. La recidiva si verifica qualora sia stata commessa la stessa violazione per più di una volta in un anno, anche se si è proceduto al pagamento della sanzione mediante oblazione.
1-ter. Qualora la recidiva di cui al comma precedente sia relativa a più di tre violazioni commesse in un anno, i limiti minimo e massimo delle sanzioni di cui al presente capo sono applicati in misura pari al quadruplo.»;

d)   all´articolo 167, dopo il comma 2, è aggiunto il seguente:

«2-bis. Il reato è procedibile a querela della persona offesa.»;

e) all´articolo 169, sono apportate le seguenti modificazioni:

1) al comma 1, sono aggiunte, in fine, le seguenti parole: «se dal fatto deriva la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l´accesso abusivo ai dati personali trasmessi, memorizzati o comunque trattati.»;

2) il comma 2 è abrogato.

f) l´articolo 36 è sostituito dal seguente:

«Articolo 36. (Adeguamento). – 1. Il disciplinare tecnico di cui all´allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia, di concerto con il Ministro per la semplificazione e la pubblica amministrazione, su proposta del Garante, e sentite le associazioni rappresentative a livello nazionale delle categorie economiche coinvolte, in relazione all´evoluzione tecnica e all´esperienza maturata nel settore, individuando misure differenziate in ragione dei rischi effettivi per i diritti degli interessati e minimizzando l´impatto economico delle stesse, in particolare presso le piccole e medie imprese, liberi professionisti e artigiani.»;

2. La definizione agevolata di cui all´articolo 166-bis del decreto legislativo 30 giugno 2003, n. 196, è altresì ammessa per i procedimenti sanzionatori che, alla data di entrata in vigore della legge di conversione del presente decreto, risultino non ancora definiti con l´adozione dell´ordinanza-ingiunzione, compresi quelli relativi alle violazioni di cui all´articolo 33, sanzionati dall´articolo 162, comma 2-bis. A tal fine, fermi restando gli altri requisiti indicati dall´articolo 166-bis e fatti salvi i restanti atti del procedimento eventualmente già adottati, il pagamento potrà essere effettuato entro novanta giorni dalla data di entrata in vigore della legge di conversione del presente decreto.

3. Per i reati perseguibili a querela, ai sensi dell´articolo 167, comma 2-bis, del decreto legislativo 30 giugno 2003, n. 196, commessi prima della data di entrata in vigore della legge di conversione del presente decreto, il termine per presentare la querela decorre dalla data predetta, se la persona ha avuto in precedenza notizia del fatto costituente reato. Se è pendente il relativo procedimento, il giudice informa la persona offesa dal reato della facoltà di esercitare il diritto di querela e il termine decorre dal giorno in cui la persona offesa è stata informata.

RELAZIONE ILLUSTRATIVA

Seguendo l´ordine dell´emendamento, le proposte di modifica all´apparato sanzionatorio riguardano:

a) l´eliminazione del vincolo che attualmente impedisce all´autore della violazione amministrativa in tema di misure minime di sicurezza di accedere alla definizione in via breve attraverso il pagamento in misura ridotta (art. 162, comma 2-bis);

b) l´introduzione della possibilità di definire talune violazioni amministrative (161, 162, 162-bis, 163, 164) con il pagamento:

• della sanzione in misura pari ai due quinti del minimo per i soggetti, pubblici o privati, con meno di quindici dipendenti;

• della sanzione in misura pari al minimo per i soggetti, pubblici o privati, con meno di duecentocinquanta dipendenti.

La disposizione mira a mitigare gli effetti sanzionatori collegati a violazioni commesse da soggetti di piccole dimensioni rispetto ai quali è presumibile una minore intensità della colpa. Tale possibilità è tuttavia preclusa in caso di reiterazione o di recidiva della violazione (art. 166-bis);

c) l´introduzione di una forma di recidiva che aggrava le sanzioni nei casi di ripetute violazioni delle stesse disposizioni commesse dallo stesso soggetto in un arco di tempo definito (1 anno) e mira a penalizzare pratiche scorrette che inducono, nel settore privato, a reiterate violazioni dei diritti dei cittadini per scopo di lucro (fenomeno segnalato numerose volte dall´Autorità sotto la definizione di "marketing selvaggio"). La disposizione, che ricalca una analoga presente nel Codice del consumo, opera anche se è effettuato il pagamento in misura ridotta e sin dalla contestazione (art. 166, comma 1-bis);

d) l´introduzione della procedibilità a querela della persona offesa del reato di trattamento illecito di dati (art. 167, comma 2-bis). In questo caso è stata anche definita una disposizione transitoria in analogia a casi simili;

e) le modifiche della sanzione penale relativa alle misure minime di sicurezza che, ferma restando l´applicabilità della sanzione amministrativa nell´attuale formulazione, fa scattare la responsabilità penale solo nel caso in cui, a causa dell´inadeguatezza delle misure di sicurezza adottate, si verifichi "la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l´accesso abusivo ai dati personali trasmessi, memorizzati o comunque elaborati", trasformando la fattispecie da reato di pericolo a reato di evento; viene contestualmente abrogata la procedura del c.d. ravvedimento operoso, non più funzionale rispetto alla nuova previsione penale che resta punita con l´arresto fino a due anni. L´abrogazione del procedimento prescrizionale attualmente previsto in sede penale non impedirà al Garante di prescrivere comunque le misure necessarie per rendere il trattamento dei dati conforme alla legge, sulla base di quanto già previsto dall´art. 154 del Codice.

Inoltre (lett. f) dell´emendamento) si modifica l´articolo 36 del Codice promuovendo un aggiornamento delle misure minime di sicurezza anche con disposizioni differenziate in ragione dei rischi effettivi per i diritti degli interessati e minimizzando l´impatto economico delle stesse, in particolare presso le piccole e medie imprese, liberi professionisti e artigiani. A tal fine, si prevede la consultazione delle categorie coinvolte e si affida all´Autorità il compito di proporre tali adempimenti sulla base dell´esperienza maturata nell´applicazione della normativa.


Vedi anche (10)