Prospettive e criticità della tutela penale dei dati personali.

Stante che la società odierna è andata incontro a profonde trasformazioni in seguito all’evoluzione vertiginosa dell’utilizzo delle nuove tecnologie, del ruolo sempre più di primo piano che rivestono e della stessa natura di Internet, anche in virtù sui meccanismi da economia di scala che ormai ne sono parte integrante, emerge la necessità di un adattamento del diritto ad esso, affinché si abbia una regolamentazione efficace. Siffatta operazione risulta imprescindibile per preservare i valori e i principi fondamentali invalsi nell’orizzonte di senso dello Stato di diritto, con il corollario della protezione, da parte di questi, dei diritti dell’individuo: viene abbandonata l’idea della Rete come spazio libero dal diritto. Stabilito ciò, il criterio di massima da seguire nel tentativo di trasporre la sovranità statale nel mondo della Rete è stato sintetizzato nella massima per cui che ciò che è illecito off line deve essere illecito anche on line. Inoltre, la rete si è rivelata essere un ambiente particolarmente favorevole a comportamenti illeciti, lesivi dei diritti dei singoli: in virtù di questo e parallelamente all’evoluzione tecnologica, è cambiato negli anni l’approccio alla criminalità informatica, diventata essa stessa “criminalità nel cyberspace”; categoria che non può essere circoscritta a un numero chiuso o limitato di reati e quindi di vittime potenziali, ma che invece include una molteplicità indefinita di illeciti e di modalità di offesa di diritti e interessi altrui. L’intervento sanzionatorio presenta diverse sfide, sia sotto il profilo dell’individuazione del locus commissi delicti (e quindi dell’autorità competente) sia sotto quello della conformità ai principi che informano il diritto penale, con particolare riferimento al principio di determinatezza e a quello di offensività. Per questo, si è proceduto a una ricognizione del settore del diritto penale dell’informatica. Nel campo specifico dei dati personali, la prima operazione da compiere consiste nella ricostruzione della normativa a riguardo e soprattutto nell’individuazione e trattazione del bene giuridico potenzialmente leso da condotte abusive aventi ad oggetto i dati degli utenti. In questo senso, al tradizionale diritto alla riservatezza, ormai consolidato a livello costituzionale, si affianca il diritto alla protezione dei dati personali, da intendersi come corretta gestione degli stessi, che gode di riconoscimento espresso ad opera delle massime fonti europee. Si tratta di una elaborazione in cui numerosi contributi sono stati offerti dalla dottrina. Di fronte all’importanza del bene giuridico, si analizza come l’ordinamento italiano abbia elaborato un sistema di tutele e quanta influenza vi abbia avuto l’opera del legislatore europeo. La disciplina europea riveste infatti un’importanza fondamentale nel settore della protezione dei dati personali, in ispecie dopo l’emanazione del Regolamento 679/2016, che ha ridefinito l’intera materia e fornito nuove direttrici di intervento. L’attuale panorama italiano, conseguente alla novella che nel 2018 ha interessato il Codice in materia di protezione dei dati personali, si è orientato verso un approccio complessivamente più attento alla prevenzione del rischio di reato. Nondimeno, ampio spazio è riservato all’analisi degli illeciti previsti nell’ordinamento italiano per sanzionare condotte di illecito trattamento dei dati personali degli utenti, anche considerando il contributo offerto dalla dottrina e dalla giurisprudenza. Proprio questa impostazione generale, unitamente all’analisi della struttura della rete e delle caratteristiche dei soggetti che vi operano, porta naturalmente ad approfondire il discorso riguardante la figura degli intermediari. Questi soggetti si differenziano infatti dai singoli sia per il potenziale impatto delle loro azioni sia per l’essere a tutti gli effetti delle imprese, ergo delle persone giuridiche. Partendo da questo, si sono esaminati vari possibili paradigmi di tutela, partendo dalla possibilità, ampiamente esaminata dalla dottrina, della configurazione in capo agli stessi di una responsabilità omissiva impropria; opzione poi rigettata in virtù sia dell’inconsistenza sul piano delle categorie penalistiche, sia della conseguenza indiretta di investire tali soggetti del ruolo di censori della rete. La risposta preferibile appare invece essere, in consonanza con la linea tracciata dal legislatore europeo, quella basata sulla prevenzione e gestione del rischio. Si è quindi analizzata l’opportunità di inserire i reati in materia di trattamento dei dati personali nel novero dei reati presupposto ex D. lgs. 231/2001, ripercorrendo sia i punti di contatto tra le due discipline e quindi le plausibili ricadute positive, sia le criticità. Partendo da queste ultime, uno sguardo in ottica comparatistica sembrerebbe suggerire la possibilità di ascrivere direttamente all’ente la responsabilità per abusi o illeciti trattamenti dei dati