Decreto privacy ancora lontano

Un mese e mezzo per trovare l’intesa è un tempo enorme, soprattutto se il cronometro continua a correre e la scadenza si avvicina. Il decreto legislativo varato in prima lettura dal Consiglio dei ministri il 21 marzo per conciliare le nuove regole europee sulla privacy (che partiranno il 25 maggio ) con la normativa nazionale ora in vigore continua a rimanere un mistero. O quasi.

Esiste, infatti, una recente versione del provvedimento che racconta di un fitto lavoro di riscrittura del testo licenziato da Palazzo Chigi, che a sua volta si era pronunciato sulla bozza di decreto messa a punto da una commissione insediata presso il ministero della Giustizia. Il nuovo documento ha un impianto in alcune parti diverso da quello della prima ora e, in particolare, fa rivivere le sanzioni penali, che nella precedente versione erano state “sacrificate” in nome di un inasprimento, previsto dal Gdpr, di quelle amministrative.

Aggiustamenti che dimostrano il complicato lavoro di messa a punto del provvedimento, a cominciare dal fatto che sulla sua versione finale deve esserci in via libera di cinque ministeri (Giustizia, Affari esteri, Economia, Sviluppo economico e Pubblica amministrazione) e di Palazzo Chigi. Il problema è che ancora prima della scadenza del 25 maggio c’è da tenere d’occhio soprattutto quella del 21 maggio, che a questo punto diventa fondamentale. Entro quella data, infatti, il Governo dovrà esercitare la delega, ovvero emanare il decreto, il cui cammino è, però, ancora lungo. In poco più di due settimane – e sempre che il provvedimento veda la luce a strettissimo giro di posta – deve arrivare il parere delle commissioni parlamentari e quello del Garante della privacy, per poi lasciare il posto al via libera definitivo del Consiglio dei ministri.

L’ideale è che il decreto giunga al traguardo prima del 25 maggio, così da consentire a tutti gli operatori, privati e pubblici, di confrontarsi con un quadro normativo della privacy chiaro e definito. Il cambio di rotta sulle sanzioni dimostra una volta di più la necessità del provvedimento.

L’ultima versione introduce, infatti, una serie di articoli sulle sanzioni penali. In qualche caso si tratta del “salvataggio” (con modifiche) di norme ora contenute nel codice della privacy, mentre altre disposizioni sono di nuovo conio. Alla prima categoria appartiene la norma sul trattamento illecito dei dati personali, fattispecie ora disciplinata dall’articolo 167 del codice: il decreto conserva la pena della reclusione da 6 a 18 mesi, che, in determinate circostanze, può arrivare fino a 3 anni. Così è anche per la dichiarazione di falso di fronte al Garante (articolo 168 del codice della privacy), punita con la reclusione da sei mesi a tre anni.

Nuova è, invece, la fattispecie della comunicazione e diffusione illecita di dati riferibili a un ingente numero di persone (punita con la reclusione da uno a sei anni) e quella dell’acquisizione fraudolenta di informazioni personali per trarne profitto, sanzionata con la reclusione da uno a quattro anni.