Indice
Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
1. In attuazione di quanto previsto dall’articolo 10 del Regolamento (UE) 2016/679, il trattamento di dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza, sulla base dell’articolo 6, paragrafo 1, del medesimo Regolamento, è consentito soltanto se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento.
Vedi anche
→art. 2-sexies CODICE→art. 2-septies CODICE→art. 2-novies CODICE→art. 2-decies CODICE→Reg. UE 2016/679 (GDPR) - Disciplina europea sulla protezione dei dati→Cost. art. 14 - Inviolabilità del domicilio→Cost. art. 15 - Libertà e segretezza delle comunicazioni→Art. 2-quinquiesdecies D.Lgs. 196/2003 – Trattamento che presenta rischi elevati per l’esecuzione di un compito di interesse pubblico→Art. 2-quinquies D.Lgs. 196/2003 – Consenso del minore in relazione ai servizi della società dell’informazione→Art. 2-undecies D.Lgs. 196/2003 – Limitazioni ai diritti dell’interessato→Art. 2-quaterdecies D.Lgs. 196/2003 – Attribuzione di funzioni e compiti a soggetti designati→Art. 2-quater D.Lgs. 196/2003 – Regole deontologiche relative a trattamenti di dati personali
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
Il regime dell'art. 10 GDPR e dell'art. 2-octies
L'art. 2-octies del Codice Privacy, introdotto dal D.Lgs. 101/2018, disciplina il trattamento dei dati personali relativi a condanne penali e reati o a connesse misure di sicurezza. Attua l'art. 10 GDPR che impone una base giuridica rafforzata: il trattamento può avvenire solo sotto il controllo dell'autorità pubblica o se autorizzato dal diritto dell'Unione o dello Stato membro, con garanzie appropriate per i diritti e le libertà degli interessati. Si tratta di una categoria di dati che, pur non rientrando nelle categorie particolari dell'art. 9 GDPR, è considerata altamente sensibile per il rischio di discriminazione.
Trattamenti del settore pubblico
Nel settore pubblico l'art. 2-octies elenca finalità tipiche: gestione del casellario giudiziario; attività di prevenzione antiterrorismo, antimafia e antiriciclaggio; sicurezza pubblica e protezione civile; attività di polizia di pubblica sicurezza e giudiziaria; immigrazione e asilo; gestione dell'esecuzione penale. Per ciascuna è richiesta base legislativa specifica: il D.P.R. 313/2002 (testo unico casellario giudiziario), il D.Lgs. 159/2011 (codice antimafia), il D.Lgs. 231/2007 (antiriciclaggio), il D.Lgs. 286/1998 (T.U. immigrazione).
Trattamenti del settore privato
I privati possono trattare dati su condanne e reati solo in casi specifici: due diligence pre-contrattuale (art. 5, par. 1, lett. f, GDPR + legittimo interesse), procedure di selezione del personale per ruoli sensibili (per esempio, controllo del casellario per posizioni che richiedono assenza di precedenti), adempimenti antiriciclaggio (D.Lgs. 231/2007) per intermediari finanziari e professionisti. Il trattamento è sempre soggetto al test di proporzionalità: si possono richiedere solo i dati strettamente necessari per la specifica finalità.
Investigazioni difensive: il provv. Garante 2018
Il provvedimento del Garante del 19 dicembre 2018 ha approvato le regole deontologiche per il trattamento dei dati personali nell'esercizio delle investigazioni difensive (art. 391-bis c.p.p.) e per far valere o difendere un diritto in sede giudiziaria. Le regole prevedono: a) limitazione del trattamento al tempo strettamente necessario; b) obbligo di informativa salvo che pregiudichi le indagini; c) divieto di pubblicazione e di comunicazione a terzi se non strettamente necessario; d) tenuta di un registro delle attività investigative. La conformità alle regole costituisce safe harbour.
Coordinamento con il diritto all'oblio
Il trattamento dei dati su condanne incrocia il diritto all'oblio (art. 17 GDPR). La giurisprudenza italiana (Cass. civ. SS.UU. n. 19681/2019) ha riconosciuto il diritto dell'individuo a non essere riassociato a vicende giudiziarie risalenti nel tempo, salvo persistente interesse pubblico. L'archivio storico delle notizie sui media è soggetto a una valutazione caso per caso: il tempo trascorso, la gravità del fatto, il ruolo pubblico dell'interessato, l'eventuale riabilitazione.
Sanzioni penali e amministrative
Le violazioni dell'art. 2-octies sono soggette a sanzioni amministrative ex art. 83 GDPR e art. 166 del Codice. Nelle ipotesi qualificate dall'art. 167 del Codice (trattamento illecito con scopo di lucro o danno rilevante) si configura il reato di trattamento illecito di dati personali, punito con la reclusione fino a sei anni. La giurisprudenza (Cass. pen. n. 17215/2020) ha applicato la norma a casi di pubblicazione abusiva di precedenti penali sui social.
Casistica: marketing, HR, due diligence
L'art. 2-octies è frequentemente applicato nei seguenti settori: a) HR e selezione del personale (richiesta del casellario per ruoli sensibili, ammessa solo se proporzionata); b) due diligence pre-contrattuale (verifica di precedenti su controparti, ammessa per scopi legittimi); c) marketing e profilazione (mai ammesso usare dati su condanne per profilazione commerciale, è sempre illecito); d) editoria e giornalismo (pubblicazione di precedenti penali, soggetta al bilanciamento dell'art. 136 e al codice deontologico); e) settore assicurativo (richiesta di assenza di precedenti per polizze RC, ammessa nei limiti del Codice delle Assicurazioni).
Diritto all'oblio e archivio storico: orientamento giurisprudenziale
La giurisprudenza italiana ha sviluppato un orientamento articolato sul diritto all'oblio per dati su condanne: a) Cass. SS.UU. n. 19681/2019 ha tracciato i confini, valorizzando il tempo trascorso, la riabilitazione, l'attualità del fatto; b) Cass. n. 13524/2024 ha applicato i principi al diritto a non essere identificato in articoli storici online; c) Trib. Milano 2024 ha condannato un editore al pagamento di 30.000 euro per mancata deindicizzazione di articolo del 2010 su condanna poi annullata. La tendenza europea (CGUE Google Spain C-131/12, Google v CNIL C-507/17) è favorevole al riconoscimento del diritto all'oblio nel rispetto del bilanciamento.
Massime di Cassazione
Cass. Corte Cost., sent. n. 271/2005
Perché è importante: Riservatezza come diritto inviolabile
Prassi dell'Agenzia delle Entrate
Disciplina generale
Hub del Garante per la protezione dei dati personali: disciplina del D.Lgs. 196/2003 coordinato con il GDPR.
Casi pratici
Caso 1: Tizio HR: controllo casellario pre-assunzione
Tizio HR vuole assumere personale con accesso a fondi monetari. Verifica l'art. 2-octies: può chiedere al candidato il certificato del casellario solo per posizioni specifiche (per esempio, addetto cassa, security). Per ruoli amministrativi generici la richiesta è sproporzionata e illecita. Il candidato può rifiutarsi e segnalare al Garante.
Caso 2: Caio banca: due diligence antiriciclaggio
Caio Banca tratta dati su persone politicamente esposte (PEP) e su sanzioni internazionali per adempiere agli obblighi antiriciclaggio (D.Lgs. 231/2007). L'art. 2-octies fornisce la base giuridica unitamente alla normativa AML. Le misure includono accessi profilati, conservazione decennale, segnalazione UIF.
Caso 3: Sempronio editore: archivio storico online
Sempronio, editore online, mantiene l'archivio di un articolo del 2015 su una condanna penale di un imprenditore. L'interessato chiede deindicizzazione ex art. 17 GDPR. Verifica: tempo trascorso, eventuale riabilitazione, persistente interesse pubblico. Se il fatto non è più di interesse pubblico, l'editore deve deindicizzare o anonimizzare (Cass. SS.UU. 19681/2019).
Caso 4: Commento applicativo
L'art. 2-octies impone un equilibrio delicato tra sicurezza, contrasto al crimine e diritti dell'interessato. Nel settore privato il principio di proporzionalità è particolarmente rigoroso: il trattamento è ammesso solo per finalità specifiche e con dati strettamente necessari. Nel settore pubblico operano basi normative chiare ma il Garante vigila sulla loro corretta applicazione.
Domande frequenti
Un datore di lavoro può chiedere il casellario giudiziale?
Solo per posizioni specifiche che richiedono assenza di precedenti (cassa, security, ruoli pubblici). Per ruoli generici la richiesta è sproporzionata e illecita. Le condizioni sono fissate dall'art. 2-octies.
Un giornalista può pubblicare i precedenti penali di un imputato?
Sì, se sussiste interesse pubblico e nel rispetto del codice deontologico richiamato dall'art. 139. Una volta concluso il procedimento o trascorso un tempo significativo, scatta il diritto all'oblio (art. 17 GDPR, Cass. SS.UU. 19681/2019).
Le banche possono raccogliere dati su condanne dei clienti?
Sì, nell'ambito degli obblighi antiriciclaggio (D.Lgs. 231/2007) e di valutazione del rischio. La base giuridica è l'art. 2-octies combinato con la normativa AML. I dati vanno conservati per 10 anni e protetti con misure adeguate.
Un investigatore privato può raccogliere dati su precedenti?
Sì, in caso di investigazioni difensive (art. 391-bis c.p.p.) e secondo le regole deontologiche del provv. Garante 19 dicembre 2018. Conservazione limitata, divieto di pubblicazione, registro delle attività.
Quali sono le sanzioni per pubblicazione illecita di precedenti penali?
Sanzioni amministrative ex art. 83 GDPR e art. 166 del Codice. Nei casi qualificati può applicarsi anche il reato di trattamento illecito ex art. 167 del Codice (reclusione fino a sei anni) o il delitto di diffamazione.