Ormai la legislazione sui dati personali (o, impropriamente, sulla "privacy") è diventata il mio chiodo fisso, specie nella prospettiva della sicurezza informatica di rilevanza penale.
Dopo essermi fin troppo dilungato, sulle pagine di InterLex, in merito alla "realtà" di alcune misure di sicurezza, la l. 675/96 viene riformata. Il 1° febbraio 2002 (tranne alcune disposizioni particolari) è, infatti, entrato in vigore il DLgs 467/01 che ha inciso non poco sulle disposizione penali.
Per quanto ho letto, all'indomani della pubblicazione soltanto il Garante ha, nella Newsletter 21-27 gennaio 2002, delineato correttamente i confini della depenalizzazione da altri "gonfiata" oltre i limiti fissati dal legislatore. La depenalizzazione è, in realtà, assai limitata e riguarda soltanto una parte dell'art. 34 nelle ipotesi di omissione, intempestività e incompletezza delle notificazioni.

La notificazione infedele ora rientra, insieme ad altre nuove condotte, nel nuovo art. 37-bis, peraltro con un aumento di pena (prima da tre mesi a due anni di reclusione, attualmente da sei mesi a tre anni, sempre di reclusione). Inoltre, attesa l'estrema vicinanza dei concetti di "incompletezza" (art. 34) e "falsità" (art. 37-bis), è facile prevedere trattamenti diversificati in ordine alla collocazione (tra amministrativo e penale) della prima ipotesi.
Anche il regime del trattamento illecito (art. 35) appare modificato in senso peggiorativo. Ora sono penalmente sanzionati tutti i tipi di trattamento e non soltanto la comunicazione e la diffusione.
Infine, subisce un allargamento del censurabile anche l'art. 37 con il riferimento al novellato (a sua volta) art. 31, comma 1, lett. l): "se il trattamento risulta illecito o non corretto anche per effetto della mancata adozione delle misure necessarie di cui alla lettera c)".

E così si ritorna inevitabilmente a quello che tempo fa, a seguito dell'invasione di worm "spara dati personali" (Sircam e Magistr, per menzionare i più noti e diffusi), è stato un tema di grande attualità: l'omessa adozione di misure di sicurezza ex art. 36.
A parte l'espunzione dal penale di casi di trattamento per fini esclusivamente personali (all'art. 3, comma 2, è stato cancellato il riferimento all'art. 36), la fattispecie criminosa è stata completamente riscritta.
Subito appare evidente la trasformazione da delitto a contravvenzione punita con pena alternativa (peraltro con una pena detentiva raddoppiata rispetto a quella previgente per l'ipotesi base e, come detto in alternativa, un'ammenda considerevole in nessun modo prevista dal testo ante decreto).

Ma senza dubbio innovativa, almeno nel campo dei dati personali, è l'introduzione della procedura estintiva del reato prevista già in tema di sicurezza e igiene nel lavoro (DLgs 758/94) applicabile, per giunta, anche ai procedimenti pendenti alla data di entrata in vigore del decreto e a condizione che la richiesta sia avanzata entro 40 giorni da tale data.
La novità è, in linea di massima, da apprezzare. In sostanza, a seguito dell'accertamento del reato de quo, seguirà il provvedimento di blocco del trattamento (la cui inosservanza, come visto, è distintamente sanzionata ai sensi dell'art. 37) e, soprattutto, l'indicazione di prescrizioni atte a "coprire" i "buchi" delle sicurezza. L'adeguamento a tali prescrizioni comporterà la possibilità di accedere alla fase finale della procedura: il pagamento di una somma pari al quarto del massimo dell'ammenda: in pratica, la "modica" cifra di oltre 10.300 Euro (20.000.000 delle nostre care ma vecchie lire).

Ed è proprio questo il punto. Chi vorrà vedersi revocato il blocco del trattamento (dunque lavorare) non potrà che adeguarsi alle prescrizioni dell'accertatore, sarà, cioè, letteralmente costretto a regolarizzarsi, cosa tutt'altro che indesiderabile. Ma per giungere all'estinzione del reato dovrà pagare anche la somma di cui sopra. Non sfugge, però, l'insita iniquità di tale sistema, nel senso che non è difficile immaginare il peso che l'esborso potrà avere, ad esempio, per un piccolo imprenditore all'inizio della propria attività rispetto, sempre ad esempio, a quello che graverebbe sul responsabile della sicurezza di una grande multinazionale (che pagherebbe per il soggetto penalmente responsabile).

Personalmente, avrei preferito una totale depenalizzazione. Il sistema della l. 689/81 è ancora oggi molto efficace e più elastico rispetto alle rigide regole del diritto penale. D'altro canto, è lo stesso legislatore della riforma a considerare gli aspetti di cui ho parlato, proprio nel riscritto art. 39, comma 2, del quale vale la pena di riportare un passaggio assai significativo: "La somma può essere aumentata sino al triplo quando essa risulti inefficace in ragione delle condizioni economiche del contravventore".