Violazione della privacy: cos'è e cosa fare

Dati raccolti senza autorizzazione, usati per scopi mai dichiarati, diffusi a chi non doveva riceverli: cos'è la violazione della privacy, in quali forme si presenta, quando diventa reato, cosa rischia chi la commette e come può difendersi chi la subisce.

In breve — La violazione della privacy è, nella sostanza, un trattamento illegittimo di dati personali: una raccolta o un uso dei dati non giustificato, non autorizzato o comunque contrario alle regole del GDPR. Non va confusa col data breach, che è la violazione di sicurezza (l’incidente che espone i dati): qui l’illecito sta nel comportamento di chi i dati li usa. Chi la commette rischia le sanzioni del Garante — fino a 20 milioni di euro o al 4% del fatturato — il risarcimento del danno e, nei casi più gravi, il reato. Chi la subisce ha un percorso di difesa preciso: i diritti dell’interessato, il reclamo al Garante, il giudice.

1. Che cos’è la violazione della privacy

La violazione della privacy è, nella sostanza, un trattamento illegittimo di dati personali: una raccolta, un uso o una circolazione dei dati non giustificata, non autorizzata o comunque contraria alle regole del GDPR.

Il punto di partenza per capirla è che il GDPR non vieta di trattare i dati personali. Il Regolamento, però, fissa precise condizioni perché il trattamento possa considerarsi lecito: una base giuridica che lo giustifichi (il consenso, un contratto, un obbligo di legge, un interesse legittimo), una finalità dichiarata e rispettata, un’informativa che spieghi alle persone cosa accade ai loro dati, e la garanzia del rispetto di una serie di principi — minimizzazione, limitazione della conservazione, sicurezza — che accompagnano i dati per tutta la loro vita.

Di conseguenza, la violazione della privacy è ciò che accade quando il trattamento esce da queste condizioni: i dati vengono trattati senza una giustificazione valida, in modo diverso da quello dichiarato e consentito, o senza alcun consenso o autorizzazione da parte del diretto interessato.

2. Le forme tipiche

Come si vede, la violazione non è sempre la conseguenza di intenzioni malevole. Il più delle volte nasce da una non piena consapevolezza delle norme o da un adempimento trascurato. Questa negligenza, tuttavia, può avere conseguenze importanti ed esporre l’impresa o l’ente a sanzioni.

3. Violazione della privacy e data breach: che differenza c’è

I due termini vengono usati come sinonimi, ma indicano cose diverse. Il data breach è la violazione di sicurezza (art. 4, n. 12, GDPR): l’incidente — l’attacco informatico, l’email al destinatario sbagliato, il portatile rubato — che comporta la distruzione, la perdita o l’esposizione dei dati. Lì il titolare può essere a sua volta vittima dell’evento, ma resta responsabile della protezione che doveva garantire, e ha obblighi precisi in tempi strettissimi: la notifica al Garante entro 72 ore, la comunicazione agli interessati nei casi più gravi.

La violazione della privacy di cui parliamo qui è invece un comportamento: il trattamento condotto fuori dalle regole, senza che nessuna sicurezza sia stata necessariamente bucata. Nessun hacker, nessun incidente: semplicemente, i dati vengono usati in un modo che la legge non consente. Le due cose possono anche sommarsi — il data breach che rivela una conservazione illecita è un classico delle ispezioni — ma restano illeciti diversi, con regole diverse.

4. Quando la violazione è anche reato

Nei casi più gravi la violazione supera il confine amministrativo e diventa reato. Il Codice privacy punisce il trattamento illecito di dati (art. 167: chi, per trarne profitto o recare danno, tratta dati personali in violazione delle norme, con pene fino a sei anni nei casi più gravi) e la comunicazione e diffusione illecita di dati su larga scala (art. 167-bis). Il codice penale aggiunge le interferenze illecite nella vita privata (art. 615-bis: immagini e notizie carpite nella dimora altrui) e la diffusione illecita di immagini sessualmente esplicite (art. 612-ter, il cosiddetto revenge porn).

Sono ipotesi che richiedono elementi precisi — il dolo, il profitto o il danno, la gravità della condotta — e si perseguono davanti all’autorità giudiziaria penale, con la denuncia o la querela. Per la gran parte delle violazioni “ordinarie” la strada resta quella amministrativa e civile dei capitoli che seguono.

5. Cosa rischia chi commette una violazione

Per un’azienda o un ente, la violazione della privacy espone su tre fronti distinti.

Il primo fronte è quello del Garante. Le violazioni dei principi e delle basi giuridiche stanno nella fascia alta delle sanzioni: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (art. 83, par. 5). E ai provvedimenti si accompagnano spesso misure correttive che pesano più della multa — su tutte, il divieto di usare i dati raccolti illecitamente, che per un’impresa può significare perdere il proprio database clienti.

Il secondo fronte è quello del risarcimento. Chi ha subito un danno dalla violazione può chiederlo al giudice civile (art. 82 GDPR), e il titolare risponde anche per i fatti dei fornitori che non ha vigilato.

Il terzo fronte, nei casi più gravi, è quello penale visto al capitolo 4. A questi si aggiunge un costo che non compare in nessun provvedimento: la violazione resa pubblica erode la fiducia di clienti e utenti — un danno che nessun ricorso ripara.

6. Come difendersi se la subisci

Per chi la violazione la subisce, il percorso di difesa si sviluppa in tre gradini, dal più semplice al più incisivo.

Il primo gradino è esercitare i diritti dell’interessato: con una semplice richiesta scritta al titolare si può sapere quali dati vengono trattati, farli correggere o cancellare, opporsi al loro uso. La risposta è dovuta entro un mese, e il silenzio è a sua volta una violazione.

Il secondo gradino, se la richiesta cade nel vuoto, è il reclamo al Garante: è gratuito, non richiede un avvocato e obbliga l’Autorità a pronunciarsi — fino a ordini e sanzioni contro il trasgressore.

Il terzo gradino è il giudice ordinario: l’unica sede in cui ottenere il risarcimento del danno, perché il Garante sanziona ma non liquida somme agli interessati. Con un’avvertenza realistica: il danno va provato — serve un pregiudizio concreto, anche solo morale, ma effettivo e documentabile; la sola violazione non basta.

7. Come prevenirla (per imprese ed enti)

Vista la posta in gioco, per un titolare la domanda giusta non è “cosa faccio se succede” ma “come evito che succeda”. La prevenzione coincide con gli adempimenti che il GDPR già chiede:

La gran parte delle violazioni che vediamo nasce dall’assenza di uno di questi presidi — ed era evitabile con un adeguamento fatto per tempo.

8. Come ti assiste lo Studio Legale Calzoni

Lo Studio Legale Calzoni lavora su entrambi i lati della violazione. Per chi l’ha subita: valutiamo il caso, impostiamo la strategia — istanza, reclamo, azione per il risarcimento — e la seguiamo fino in fondo. Per imprese ed enti: prevediamo le violazioni prima che accadano con percorsi di adeguamento privacy, e quando il problema è già emerso — un reclamo ricevuto, una richiesta del Garante, un’ispezione — costruiamo la difesa e riportiamo i trattamenti in regola. In entrambi i casi, prima ci si muove, meglio si chiude.

Domande frequenti

Cosa si intende per violazione della privacy? Un trattamento illegittimo di dati personali: una raccolta o un uso dei dati non giustificato, non autorizzato o comunque contrario alle regole del GDPR — senza base giuridica, per finalità mai dichiarate, con diffusione non autorizzata o conservazione oltre il necessario.

Che differenza c’è tra violazione della privacy e data breach? Il data breach è la violazione di sicurezza: l’incidente (attacco, errore, furto) che espone i dati. La violazione della privacy è un comportamento: il trattamento condotto fuori dalle regole, anche senza alcun incidente di sicurezza.

Quali sono esempi di violazione della privacy? Dati raccolti senza consenso valido, usati per marketing mai autorizzato, comunicati o pubblicati senza permesso, conservati per anni senza motivo, richieste di cancellazione ignorate, telecamere puntate su spazi altrui o sui dipendenti senza le garanzie di legge.

Quando la violazione della privacy è reato? Nei casi più gravi: il trattamento illecito di dati a fini di profitto o di danno (art. 167 Codice privacy), le interferenze illecite nella vita privata (art. 615-bis c.p.), la diffusione di immagini sessualmente esplicite senza consenso (art. 612-ter c.p.). Si procede con denuncia o querela all’autorità penale.

Cosa rischia chi commette una violazione della privacy? Sanzioni del Garante fino a 20 milioni di euro o al 4% del fatturato mondiale, il possibile divieto di usare i dati raccolti illecitamente, il risarcimento dei danni agli interessati e, nei casi estremi, la responsabilità penale.

Cosa può fare chi subisce una violazione della privacy? Esercitare i propri diritti con una richiesta scritta al titolare (risposta entro un mese); presentare reclamo o segnalazione al Garante, gratuitamente; agire davanti al giudice ordinario per il risarcimento del danno, provando un pregiudizio concreto.

Il Garante può riconoscere un risarcimento a chi subisce la violazione? No: il Garante sanziona il trasgressore, ma la sanzione va allo Stato. Il risarcimento si ottiene solo davanti al giudice ordinario (art. 82 GDPR).

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.