Sicurezza dei dati, in arrivo il ravvedimento

L’art. 14 del nuovo decreto delegato sostituisce integralmente l’art. 36 della Legge 675/96 (omessa adozione di misure minime di sicurezza) trasformando il delitto ivi previsto in contravvenzione e prevedendo per le imprese, gli enti e i liberi professionisti, che abbiano commesso il reato, di regolarizzare, anche a fini penali, la loro posizione con un “ravvedimento operoso”.

Tale meccanismo deriva da quello previsto per le contravvenzioni inerenti la disciplina degli infortuni del lavoro. Il reato si estinguerà quando siano rispettate le prescrizioni impartite all’atto dell’accertamento del reato e si provveda al pagamento di una somma stabilita.

La materia della sicurezza è disciplinata dall’art. 15 della legge 675/95: i dati trattati devono essere custoditi e controllati in modo da ridurre al minimo i rischi di distruzione e perdita, anche accidentale, degli stessi. Tali misure di sicurezza devono tener conto delle conoscenze acquisite in base al progresso tecnico, essere idonee e adottate preventivamente.

A ciò si affianca l’individuazione di una serie di misure minime, previste dal DPR 318/99 (da adottarsi entro il 29 marzo 2000, termine poi prorogato al 31 dicembre 2000 dalla legge 325/00) che comporta l’adozione di sistemi antivirus, password, assegnazione di autorizzazioni, distruzione dei supporti, documento programmatico sulla sicurezza.

La violazione delle misure minime di sicurezza costituisce reato previsto dall’art. 36 della legge 675/96, che finora era punito con la reclusione fino ad un anno e se dal fatto deriva nocumento con la reclusione da due mesi a due anni. Veniva punito sia il reato colposo che doloso.

Con l’entrata in vigore del nuovo decreto delegato (1° febbraio 2002) il delitto diventa una contravvenzione. La pena detentiva diventa pena alternativa a quella pecuniaria; il nuovo art. 36 L. 675/96 stabilisce che la violazione delle misure minime di sicurezza sia punita con l’arresto sino a due anni o con l’ammenda da lire dieci milioni a lire ottanta milioni.

A ciò si aggiunge il meccanismo del ravvedimento più oblazione che permette di estinguere il reato. Infatti il secondo comma del novellato art. 36 legge 675/96 prevede che all’autore del reato, all’atto dell’accertamento o, nei casi complessi, anche con successivo atto del Garante, sia impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario.
Il Garante stabilisce questo termine che può essere prorogabile in caso di particolare complessità o per l’oggettiva difficoltà dell’adempimento ma comunque non superiore a sei mesi.

Nei sessanta giorni successivi allo scadere del termine, se risulta l’adempimento alla prescrizione, l’autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell’ammenda stabilita per la contravvenzione (20 milioni di lire). L’adempimento e il pagamento estinguono il reato.

Il meccanismo del ravvedimento più oblazione è retroattivo. Per i procedimenti penali per il reato di omessa adozione delle misure minime di sicurezza in corso, entro quaranta giorni dall’entrata in vigore del decreto delegato, l’autore del reato può fare richiesta all’autorità giudiziaria di essere ammesso alla procedura della prescrizione e oblazione.
L’Autorità giudiziaria dispone la sospensione del procedimento e trasmette gli atti al Garante per la protezione dei dati personali che provvede a imporre la prescrizione.

Alle aziende, agli enti e ai professionisti non rimane che mettersi in regola adottando le misure minime di sicurezza previste dal DPR 318/99, evitando così inutili e costose sanzioni.

Normativa privacy