Dati giudiziari vs Privacy. Quando è lecito il trattamento di dati relativi a condanne penali e reati

Read 4 min

Per dati giudiziari, ai fini della normativa in materia di privacy, si intendono tutte quelle informazioni personali che rivelano l’esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale (ad es. i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione) o la qualità di imputato o di indagato.

Ai sensi dell’art. 10 GDPR:

Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell’art. 6, par. 1, deve avvenire soltanto sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato dal diritto dell’Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell’autorità pubblica.

Per i trattamenti su larga scala di questa delicata tipologia di dati l’art. 37, co. 1, lett. c) GDPR prevede inoltre l’obbligo di designare un Data Protection Officer (DPO).

Pare doveroso precisare che con l’introduzione del Regolamento UE 2016/679, è venuta meno l’efficacia della Autorizzazione Generale del Garante n. 7/2016 del 15 dicembre 206 sul trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici. Pertanto l’autorizzazione del Garante non costituisce più la base giuridica che legittima il trattamento dei dati giudiziari.

In linea con il legislatore europeo, il nuovo Codice Privacy, così come modificato dal D.Lgs 101/2018, ha introdotto l’art. 2-octies rubricato “Principi relativi al trattamento di dati relativi a condanne penali e reati” che prevede infatti che, fatto salvo quanto previsto dal D. Lgs 18 maggio 2018, n. 51, il trattamento di dati giudiziari ai sensi dell’art. 6, par. 1, GDPR, che non avviene sotto il controllo dell’autorità pubblica, e’ consentito solo se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, che prevedano garanzie appropriate per i diritti e le libertà degli interessati.

Diversamente sarà il Ministro della Giustizia che, con decreto e sentito il Garante per la protezione dei dati personali, dovrà individuare quali trattamenti autorizzare.

Con tale decreto dovrà essere autorizzato anche il trattamento dei dati giudiziari in attuazione di protocolli di intesa per la prevenzione e il contrasto dei fenomeni di criminalità organizzata, stipulati con il Ministero dell’interno o con le prefetture (previa l’acquisizione del parere del Garante e la specificazione della “tipologia di dati trattati e operazioni eseguite”, così come precisato all’art. 22, comma 12, D.lgs. 101/2018).

Attualmente non è stato ancora emanato alcun decreto ministeriale, per tale ragione il trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza è lecito se:

1. effettuato sotto il controllo dell’autorità pubblica oppure se autorizzato dal diritto dell’Unione o degli Stati membri;
2. preveda garanzie appropriate per i diritti e le libertà degli interessati; e
3. ricorra almeno una delle seguenti condizioni:    
   1. l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
   2. il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso; 
   3. il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; 
   4. il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica; 
   5. il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento; 
   6. il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.

In quali ambiti è lecito il trattamento dei dati giudiziari

L’art. 2 octies, 3° comma, Codice Privacy stila un elenco in cui il trattamento di dati giudiziari è consentito se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento. In particolare:

• Lavoro. Il trattamento è lecito se effettuato per l’adempimento di obblighi e l’esercizio di diritti da parte del titolare o dell’interessato in materia di diritto del lavoro o comunque nell’ambito dei rapporti di lavoro, nei limiti stabiliti da leggi, regolamenti e contratti collettivi, secondo quanto previsto dagli artt. 9, par. 2, lettera b), e 88 GDPR.
• Mediazione. Il trattamento è lecito se effettuato per l’adempimento degli obblighi previsti da disposizioni di legge o di regolamento in materia di mediazione finalizzata alla conciliazione delle controversie civili e commerciali.
• Indagine qualità soggettive. Il trattamento è lecito se effettuato per la verifica o l’accertamento dei requisiti di onorabilità, requisiti soggettivi e presupposti interdittivi nei casi previsti dalle leggi o dai regolamenti.
• Assicurazione e sinistri. Il trattamento è lecito se effettuato per l’accertamento di responsabilità in relazione a sinistri o eventi attinenti alla vita umana, nonché la prevenzione, l’accertamento e il contrasto di frodi o situazioni di concreto rischio per il corretto esercizio dell’attività assicurativa, nei limiti di quanto previsto dalle leggi o dai regolamenti in materia.
• Esercizio/Difesa di un diritto. Il trattamento è lecito se effettuato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
• Pubblica amministrazione. Il trattamento è lecito se effettuato per l’esercizio del diritto di accesso ai dati e ai documenti amministrativi, nei limiti di quanto previsto dalle leggi o dai regolamenti in materia.
• Pubblica sicurezza. Il trattamento è lecito se effettuato per l’esecuzione di investigazioni o le ricerche o la raccolta di informazioni per conto di terzi ai sensi dell’art. 134 del Testo Unico delle leggi di pubblica sicurezza.
• Criminalità organizzata. Il trattamento è lecito se effettuato per l’adempimento di obblighi previsti da disposizioni di legge in materia di comunicazioni e informazioni antimafia o in materia di prevenzione della delinquenza di tipo mafioso e di altre gravi forme di pericolosità sociale, nei casi previsti da leggi o da regolamenti, o per la produzione della documentazione prescritta dalla legge per partecipare a gare d’appalto.
• Appalti. Il trattamento è lecito se effettuato per l’accertamento del requisito di idoneità morale di coloro che intendono partecipare a gare d’appalto, in adempimento di quanto previsto dalle vigenti normative in materia di appalti.
• Imprese. Il trattamento è lecito se effettuato per l’attuazione della disciplina in materia di attribuzione del rating di legalità delle imprese ai sensi dell’articolo 5-ter del D.L. 24 gennaio 2012, n. 1, convertito, con modificazioni, dalla L 24 marzo 2012, n. 27.
• Riciclaggio e Terrorismo. Il trattamento è lecito se effettuato per l’adempimento degli obblighi previsti dalle normative vigenti in materia di prevenzione dell’uso del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo.

VP