L’art. 167 comma 1 D.lgs 196/03 prevede che, salvo che il fatto costituisca più grave reato, chiunque al fine di trarre per se o per altri profitto o recare ad altri un danno, procede al trattamento dei dati personali contrariamente a quanto disposto dagli artt 18, 19, 23, 123,126,130, ovvero in applicazione dell’art. 129, è punito se dal fatto deriva nocumento da sei a diciotto mesi. Ipotesi di reato aggravata se il fatto consiste nella comunicazione o diffusione.
Il comma 2 del medesimo articolo dispone che, salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per se od altri profitto o recare ad altri un danno procede al trattamento di dati personali in violazione di quanto disposto dagli artt. 17, 20, 21 ss e 11, 25, 26, 27 e 45 D.lgs 196/03 è punito con la reclusione da uno a tre anni.
Sulla base delle predette disposizioni la Cassazione Penale è andata oltre affermando che il reato di illecito trattamento dei dati personali, ai sensi dell’art. 167 D.Lgs 196/03 (cosiddetto Codice Privacy) si configura quando la condotta illecita, senza bisogno che sia posta in essere al fine di trarne un profitto per se stessi o per altri, determini necessariamente un nocumento alla persona offesa, diversamente da quanto previsto dalla disciplina precedente. L’art. 35 l. 675/96 prevedeva il semplice trattamento illecito dei dati personali, indipendentemente dal fatto che ciò comportasse danno alla persona offesa.
Recentemente la Corte di Cassazione penale, con sentenza n. 23798/12, con la quale venivano confermate le sentenze di primo e secondo grado, ha condannato a mesi nove di reclusione, sia l’amministratore delegato che il responsabile del trattamento dei dati di una società per aver inviato costantemente messaggi pubblicitari non richiesti dagli utenti, configurando ex art. 167 D.lgs 196/03 Codice Privacy.