La registrazione dell’utenza cellulare in siti internet di un soggetto in assenza di consenso dell’interessato, costituisce condotta che, se compiuta al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, e arreca nocumento all’interessato, integra il reato di illecito trattamento di dati personali,
La condotta di chiunque, non autorizzato, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, arreca nocumento all’interessato, mediante il trattamento dei dati del traffico, tra i quali rientra il numero dell’utenza cellulare, integra la fattispecie di cui al D.Lgs. n. 196 del 2003, art. 167, comma 1, come modificato, fattispecie posta a protezione delle persone fisiche con riguardo al trattamento dei dati personali, obiettivo di protezione declinato nell’art. 1 del citato GDPR.
Diffondere il numero di telefono cellulare mediante il suo inserimento in chat a contenuto erotico, in assenza di consenso dell’interessata, costituisce, ancora oggi, fatto di reato punito dall’art. 167 comma 1 cit., in quanto la condotta contestata è avvenuta in violazione del D.Lgs. n. 196 del 2003, art. 123, comma 5, come adeguato al Regolamento, richiamata dalla norma sanzionatoria citata.
Nel reato di trattamento illecito di dati personali il nocumento è costituito dal pregiudizio, anche di natura non patrimoniale, subito dalla persona cui si riferiscono i dati quale conseguenza dell’illecito trattamento.
Corte di Cassazione
sez. III Penale, sentenza 24 ottobre – 14 novembre 2019, n. 46376
Presidente Lapalorcia – Relatore Gai
Ritenuto in fatto
1. G.J. , a mezzo del difensore di fiducia, ricorre per cassazione avverso la sentenza della Corte di appello di Caltanissetta che ha confermato la sentenza del Tribunale di Caltanissetta di condanna, alla pena sospesa di mesi nove di reclusione, in relazione al reato di cui al D.Lgs. n. 196 del 2003, art. 167, perché, al fine di procurarle un danno, procedeva al trattamento dei dati di C.G. , ed in particolare, si registrava nella chat erotica denominata (omissis) , utilizzando nikname "(omissis)" e "(omissis) ", in cui inseriva il numero di telefono mobile in uso alla C.E. invitando i frequentatori della chat a telefonare per ricevere prestazioni erotiche. Commesso in (omissis) .
Con la medesima sentenza l’imputata era stata condannata al risarcimento dei danni in favore della parte civile, liquidati in Euro 1.700,00.
2. A sostengo dell’impugnazione il difensore dell’imputata deduce, con un unico motivo di ricorso, la violazione dell’art. 606 c.p.p., comma 1, lett. e) in relazione all’affermazione della responsabilità penale.
Argomenta il ricorrente che la corte territoriale avrebbe confermato la responsabilità penale con motivazione illogica e travisamento della prova poiché dagli atti era risultato che l’accesso ad internet, con il quale era stato inserito il numero di utenza telefonica della C. , e dunque trattato il dato personale, era avvenuto tramite indirizzo IP collegato all’utenza telefonica fissa installata presso l’abitazione della madre dell’imputata, in (OMISSIS) , e non, come ritenuto dai giudici territoriali, in (omissis) , ove risiede l’imputata.
Non avrebbe considerato, la corte territoriale, la testimonianza della madre dell’imputata che aveva riferito di convivere con D.G.F. , appassionato e assiduo utilizzatore di internet, soggetto che avrebbe potuto carpire il numero di telefono della C. , estrapolandolo dalla rubrica di un vecchio telefono dell’imputata, ma in uso al D.G. . Infine, l’imputata aveva dichiarato di aver confessato il fatto, assumendosi la responsabilità, solo per evitare conseguenze alla madre tenuto conto della personalità violenta del D.G. .
3. Il Procuratore generale ha chiesto l’inammissibilità del ricorso.
Considerato in diritto
4. - Il ricorso è inammissibile, salvo quanto si osserverà sulla modifica della norma sanzionatoria, perché basato su una doglianza di merito che costituisce la mera riproduzione di un rilievo critico già esaminato e motivatamente disatteso dai giudici del merito.
Non può ritenersi che la sentenza sia affetta dal denunciato vizio, atteso che, come più volte affermato da questa Corte, il vizio di motivazione, per superare il vaglio di ammissibilità, non deve essere diretto a censurare genericamente la valutazione di colpevolezza, ma deve invece essere idoneo ad individuare un preciso difetto del percorso logico argomentativo offerto dal giudice di merito, sia esso identificabile come illogicità manifesta della motivazione, sia esso inquadrabile come carenza od omissione argomentativa; quest’ultima declinabile sia nella mancata presa in carico degli argomenti difensivi, sia nella carente analisi delle prove a sostegno delle componenti oggettive e soggettive del reato contestato, restando preclusa la rilettura degli elementi di fatto posti a fondamento della decisione e l’autonoma adozione di nuovi e diversi parametri di ricostruzione e valutazione dei fatti (tra le varie, Sez. 6, n. 47204 del 07/10/2015, Musso, Rv. 265482 - 01; Sez. 1, n. 42369 del 16/11/2006, De Vita, Rv. 235507 - 01).
5. - Nel caso in esame il ricorso dell’imputata non è volto a censurare mancanze argomentative ovvero illogicità ictu oculi percepibili, bensì ad ottenere un non consentito sindacato su scelte valutative compiutamente giustificate dal giudice di appello anche con specifico riferimento alle argomentazioni difensive svolte nel gravame. Peraltro, deve, poi, rammentarsi il principio secondo il quale, quando le sentenze di primo e secondo grado concordino nell’analisi e nella valutazione degli elementi di prova posti a fondamento delle rispettive decisioni, la struttura motivazionale della sentenza di appello si salda con quella precedente per formare un unico complessivo corpo argomentativo, sicché è possibile, sulla base della motivazione della sentenza di primo grado colmare eventuali lacune della sentenza di appello (Sez. 4, n. 15227 del 14/02/2008, Rv. 239735).
6. - L’affermazione della responsabilità penale dell’imputata, oggetto di doppio conforme accertamento di merito, poggia su una pluralità di elementi probatori tra cui la confessione resa dell’imputata di avere registrato il numero di utenza cellulare della persona offesa sulla chat erotica, attraverso tre collegamenti tramite internet, i primi due in data (OMISSIS) , il terzo in data (OMISSIS) , con il nickname "XXXXXXX" e "(OMISSIS) ", successivamente ritrattata per ben due volte (secondo la prima ritrattazione si era determinata ad ammettere il fatto con l’intento di indurre la persona offesa a rimettere la querela, versione modificata nel corso dell’esame, durante il quale dichiarava di essersi assunta la responsabilità per scongiurare un comportamento violento del convivente della madre, persona dal carattere aggressivo: cfr. pag. 4 sentenza del Tribunale), nonché l’accertamento che il collegamento, del (OMISSIS) , alla rete internet era avvenuto da un indirizzo IP collegato dall’utenza fissa installata presso l’abitazione della madre.
La corte distrettuale ha disatteso la ritrattazione, con motivazione che non appare nè manifestamente illogica nè contraddittoria, argomentando che la stessa era un mero espediente per sottrarsi alla responsabilità, evidenziando, quanto all’ultima versione resa, che all’epoca della denuncia la relazione tra il compagno della madre e quest’ultima era già terminata da tempo, sicché destituita di fondamento era la versione resa dall’imputata che si sarebbe autoaccusata ingiustamente per difendersi da un uomo che era già uscito dalla vita famigliare, uomo con il quale l’imputata era risultata avere un normale rapporto di frequentazione.
A fronte di ciò, la difesa invoca, nuovamente, l’alternativa ricostruzione secondo cui sarebbe stato il convivente della madre, e non l’imputata, ad inserire l’utenza cellulare della C. sui siti internet, alternativa ricostruzione che non è ammissibile in questa sede.
Quanto all’ulteriore profilo di censura, dedotto quale travisamento della prova, di illogicità della motivazione nella parte in cui la sentenza avrebbe erroneamente ritenuto che, all’epoca del fatto, l’imputata non sarebbe stata residente presso l’abitazione della madre in (OMISSIS) , bensì in (OMISSIS) , come attestato dai certificati di residenza, esso è, parimenti, manifestamente infondato in quanto le conformi sentenze di merito hanno ancorato la responsabilità dell’imputata alla circostanza, non contestata, che l’accesso ad internet era avvenuto attraverso un indirizzo IP collegato all’utenza fissa dell’abitazione della madre che la figlia frequentava, sicché stabilire il luogo di residenza all’epoca dei fatti non assume rilievo a fronte della motivazione che non appare nè manifestamente illogica nè contraddittoria.
7.- Tanto premesso, occorre, non di meno, valutare, d’ufficio, la questione dell’incidenza della modifica legislativa della norma sanzionatoria di cui al D.Lgs. n. 196 del 2003, art. 167 a seguito dell’entrata in vigore del D.Lgs. n. 101 del 2018.
Il D.Lgs. n. 196 del 2003, art. 167 (Codice privacy) è stato modificato dal D.Lgs. 10 agosto 2018, n. 101, recante "Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)".
La nuova disposizione di cui all’art. 167 così prevede:
"1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, operando in violazione di quanto disposto dagli artt. 123, 126 e 130 o dal provvedimento di cui all’art. 129 arreca nocumento all’interessato, è punito con la reclusione da sei mesi a un anno e sei mesi.
2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, procedendo al trattamento dei dati personali di cui agli artt. 9 e 10 del Regolamento in violazione delle disposizioni di cui agli artt. 2-sexies e 2-octies, o delle misure di garanzia di cui all’art. 2-septies ovvero operando in violazione delle misure adottate ai sensi dell’art. 2-quinquiesdecies arreca nocumento all’interessato, è punito con la reclusione da uno a tre anni.
3. Salvo che il fatto costituisca più grave reato, la pena di cui al comma 2 si applica altresì a chiunque, al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, procedendo al trasferimento dei dati personali verso un paese terzo o un’organizzazione internazionale al di fuori dei casi consentiti ai sensi degli artt. 45, 46 o 49 del Regolamento, arreca nocumento all’interessato".
8.- La previgente disposizione - per quanto qui rileva con riferimento al caso in esame - al comma 1 stabiliva: "1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli artt. 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell’art. 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi". E, sempre con riferimento al caso in scrutinio, l’art. 23, comma 1 disponeva che "il trattamento dei dati personali da parte di privati o di enti pubblici economici, è ammesso solo con il consenso espresso dell’interessato".
A seguito della modificazione, la disposizione di cui all’art. 167 comma 1 cit. non fa più riferimento al trattamento, introduce l’elemento del danno all’interessato, danno all’interessato che connota anche il dolo specifico.
Ciò posto, occorre ricordare che, come chiarito dalla giurisprudenza di questa Corte, nel reato di trattamento illecito di dati personali previsto dall’art. 167 in esame, il nocumento è costituito dal pregiudizio, anche di natura non patrimoniale, subito dalla persona cui si riferiscono i dati quale conseguenza dell’illecito trattamento (Sez. 3, n. 29549 del 07/02/2017, Rv. 270458 - 01).
Il requisito del nocumento è tuttora richiesto, con l’ulteriore specificazione, rispetto al passato, che lo stesso deve essere arrecato all’interessato e costituisce elemento costitutivo del reato, conclusione cui era pervenuta la più recente giurisprudenza di legittimità che, superando un risalente orientamento secondo cui il nocumento era condizione obiettiva di punibilità, lo aveva ricondotto nell’alveo degli elementi costituitivi del reato. Tale giurisprudenza aveva chiarito che l’omogeneità del nocumento con l’interesse leso o concretamente messo in pericolo e la sua diretta derivazione causale dalla condotta tipica inducevano a qualificarlo non come elemento estraneo alla fattispecie criminosa, ma come elemento costitutivo della stessa.
Riconosciutane, dunque, la natura di elemento costitutivo del reato, ad avviso della Corte, ai fini della punibilità non è sufficiente che il nocumento si ponga quale conseguenza non voluta, ancorché prevista o prevedibile della condotta, essendo necessario che esso sia previsto e voluto dall’agente come conseguenza della propria azione o quanto meno previsto ed accettato in tutte quelle ipotesi in cui non si identifichi con il fine dell’azione stessa in quanto finalizzata, ad esempio, a trarre profitto dall’illecito trattamento dei dati (Sez. 3, n. 40103 del 05/02/2015, Ciulla, Rv. 264798 - 01).
9. -Nel caso in esame, la condotta ascritta all’imputata, come accertata in punto di fatto nelle conformi sentenze di merito, di avere registrato l’utenza cellulare di altra persona, senza il suo consenso, su chat erotiche con invito a contattarla per le prestazioni sessuali, integrava pacificamente, secondo la legge in vigore al momento del fatto, una ipotesi di trattamento dei dati personali, essendo l’utenza telefonica uno di questi. Tale condotta, in assenza di consenso del titolare del dato, era sussumibile entro la cornice tipica di cui al citato D.Lgs. n. 169 del 2003, art. 167, comma 1, in relazione all’art. 23 comma 1 cit., secondo la configurazione ratione temporis, che così prevedeva: "Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli artt. 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell’art. 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi".
Ora, a seguito del mutato quadro normativo, occorre verificare se il fatto contestato sia tutt’ora reato e, in caso positivo, individuare la norma sanzionatoria applicabile ai sensi dell’art. 2 c.p..
10. Va ancora premesso che, con il Regolamento Europeo sulla Privacy (n. 679 del 2016) GDPR, si è inteso disciplinare, con norme direttamente applicabili negli Stati membri dell’Unione Europea, la materia della privacy e del trattamento dei dati.
All’art. 1 del regolamento, rubricato "Oggetto e finalità" si legge:
"1. Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.
2. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.
3. La libera circolazione dei dati personali nell’Unione non può essere limitata nè vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali".
Con l’approvazione del D.Lgs. n. 101 del 2018, di adeguamento al Regolamento sulla Protezione dei Dati (GDPR), il legislatore italiano ha deciso di avvalersi delle "clausole di apertura" del GDPR, ossia di quelle disposizioni del Regolamento che consentono agli Stati membri di mantenere o introdurre norme specifiche ulteriori per la protezione dei dati personali ed, in particolare, ha deciso di avvalersi della possibilità, concessa dal GDPR a tutti gli Stati membri, di prevedere sanzioni penali per alcune violazioni della normativa sulla privacy.
Queste sanzioni vanno, così, ad aggiungersi al sistema delle sanzioni amministrative già previste dal Regolamento e disciplinate dell’art. 166 Codice sulla Privacy come modificato dalla legge di adeguamento n. 101 del 2018.
In tale ambito, è stato modificato l’art. 167 cit. che, come si è già avuto modo di dire, al comma 1 prevede la sanzione penale della reclusione da sei mesi ad un anno e sei mesi, per chiunque, al fine specifico indicato nella norma, operando in violazione di quanto disposto dagli artt. 123, 126 e 130 o dal provvedimento di cui all’art. 129, arreca nocumento all’interessato.
Dunque, rispetto al previgente art. 167 cit, non vi è più alcun riferimento agli artt. 18, 19 e 23, ora espressamente abrogati, tra cui l’art. 23 comma 1 che fondava, nel caso in esame, la responsabilità dell’imputata per il trattamento dei dati personali in assenza di consenso dell’interessata.
Si tratta quindi di verificare se il fatto contestato alla ricorrente (vedi supra par.9) sia ancora oggi sussumibile nella nuova fattispecie dell’art. 167, comma 1 cit., non essendo chiaramente invocabile il successivo comma 2, che riguarda alcune categorie di dati personali (art. 9 trattamento di dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona, e art. 10 trattamento dei dati relativi alle condanne penale e reati) e, a fortiori, il comma 3, norma di nuovo conio.
In particolare, si tratta di verificare se ricorra una violazione di quanto disposto dagli artt. 123, 126 e 130 o dal provvedimento di cui all’art. 129, non essendo più richiamate le disposizioni di cui agli artt. 17, 18 e 23 oggi abrogate.
11.- Ritiene, il Collegio, che l’avere diffuso il numero di telefono cellulare mediante il suo inserimento in chat a contenuto erotico, in assenza di consenso dell’interessata, costituisca, ancora oggi, fatto di reato punito dall’art. 167 comma 1 cit., in quanto la condotta contestata è avvenuta in violazione del D.Lgs. n. 196 del 2003, art. 123, comma 5, come adeguato al Regolamento, richiamata dalla norma sanzionatoria citata.
L’art. 123, comma 5 del citato decreto, (dati relativi al traffico) così stabilisce:
"5. Il trattamento dei dati personali relativi al traffico è consentito unicamente a persone che, ai sensi dell’art. 2-quaterdecies, risultano autorizzate al trattamento e che operano sotto la diretta autorità del fornitore del servizio di comunicazione elettronica accessibile al pubblico o, a seconda dei casi, del fornitore della rete pubblica di comunicazioni e che si occupano della fatturazione o della gestione del traffico, di analisi per conto di clienti, dell’accertamento di frodi, o della commercializzazione dei servizi di comunicazione elettronica o della prestazione dei servizi a valore aggiunto. Il trattamento è limitato a quanto è strettamente necessario per lo svolgimento di tali attività e deve assicurare l’identificazione della persona autorizzata che accede ai dati anche mediante un’operazione di interrogazione automatizzata".
Dunque, il trattamento dei dati personali relativi al traffico, la cui definizione è contenuta all’art. 121, comma 1 bis, lett. h), che ricomprende il numero dell’utenza cellulare di un soggetto, è consentito unicamente ai soggetti autorizzati, come identificati, e, comunque, nei casi di soggetti autorizzati, è limitato a quanto strettamente necessario per lo svolgimento delle attività indicate dalla disposizione.
Ne consegue che la registrazione dell’utenza cellulare in siti internet di un soggetto in assenza di consenso dell’interessato, requisito previsto in via generale dall’art. 6 del GDPR, costituisce condotta che, se compiuta al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, e arreca nocumento all’interessato, integra la fattispecie di reato anche nella nuova configurazione in quanto condotta in violazione di quanto disposto dall’art. 125, comma 5 del medesimo decreto, che consente il trattamento del dato del traffico telefonico limitatamente ai soli soggetti autorizzati e per i limitati fini ivi indicati.
Tirando le fila del discorso, al di fuori di tale perimetro, la condotta di chiunque, soggetto non autorizzato ai sensi dell’art. 125 cit., al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato, arreca nocumento all’interessato, mediante il trattamento dei dati del traffico, tra i quali rientra il numero dell’utenza cellulare, integra la fattispecie di cui al D.Lgs. n. 196 del 2003, art. 167, comma 1, come modificato, fattispecie posta a protezione delle persone fisiche con riguardo al trattamento dei dati personali, obiettivo di protezione declinato nell’art. 1 del citato GDPR.
12.- Il discorso non può dirsi completato poiché, ritenuta la continuità normativa, con riguardo al caso concreto, che continua ad essere punito ai sensi del D.Lgs. n. 196 del 2003, art. 167, comma 1, il trattamento sanzionatorio ora indicato nel novellato art. 167 cit. è più favorevole, essendo prevista la reclusione da sei mesi ad anno e sei mesi, in luogo della previgente reclusione da sei a ventiquattro mesi.
Tale più favorevole trattamento sanzionatorio deve trovare applicazione, ai sensi dell’art. 2 c.p., comma 4, nel caso in esame.
Non di meno, questa Corte ritiene di poter annullare senza rinvio sul punto l’impugnata sentenza, procedendo alla riderminazione del trattamento sanzionatorio, ai sensi dell’art. 620 c.p.p., comma 1 lett. l), sulla base delle statuizioni dei giudici di merito, così fissandola, con la riduzione per le già concesse circostanze attenuanti generiche nella misura in 1/3 e l’aumento per la continuazione, nella misura di mesi sette e giorni sei di reclusione.
13.- L’imputata va condannata alla rifusione delle spese sostenute, nel grado, dalla parte civile che si liquidano in Euro 2.800,00 oltre spese generali al 15% e oltre accessori di legge.
P.Q.M.
Annulla senza rinvio la sentenza impugnata limitatamente al trattamento sanzionatorio che ridetermina in mesi sette e giorni sei di reclusione. Dichiara inammissibile nel resto il ricorso e condanna la ricorrente alla rifusione delle spese di parte civile che liquida in Euro 2.800,00 oltre spese generali al 15% e oltre accessori di legge.