Doppia sanzione nell'attuazione del regolamento generale UE sulla protezione dei dati

Testo depositato

Il 2 marzo 2018 il Consiglio federale ha preso posizione in merito alla mia interpellanza 17.4088. Rispondendo alla domanda 4 ha ritenuto possibile che un'impresa venga sanzionata sia dalla Svizzera sia dall'UE per il medesimo caso. Potrebbe tuttavia essere applicato il principio ne bis in idem (divieto della doppia sanzione) in caso di concorso tra multe amministrative dell'UE e sanzioni penali delle autorità di perseguimento penale svizzere. Mi sembra poco probabile che le autorità UE rinuncino alle loro sanzioni, in particolare in considerazione dell'entità delle possibili multe (fino a 20 milioni di euro o al 4 per cento del fatturato totale conformemente al regolamento UE).

In caso di applicazione del principio ne bis in idem, quale delle due misure penali (europea o svizzera) sarebbe applicata?

Parere del Consiglio federale

Secondo il principio ne bis in idem, una persona non può essere sanzionata due volte per il medesimo atto (principio di espletamento formale, secondo cui la prima sentenza esplica un effetto estintivo ed esclude un nuovo perseguimento). Salvo convenzione contraria, questo principio vale tuttavia soltanto sul piano interno e non nei rapporti transnazionali (si veda art. 11 del Codice di procedura penale, RS 312.0, art. 4 par. 1 del Protocollo n. 7 del 22 novembre 1984 alla Convenzione per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, Protocollo n. 7; RS 0.101.07 e art. 14 par. 7 del Patto internazionale del 16 dicembre 1966 relativo ai diritti civili e politici, Patto ONU II; RS 0.103.2).

Nella fattispecie, il principio ne bis in idem vale ampiamente tra gli Stati Schengen in virtù dell'articolo 54 della Convenzione di applicazione dell'Accordo di Schengen del 14 giugno 1985 (CAS, GU UE n° L 239 del 22 settembre 2000 pag. 19).

In Svizzera, il giudice che deve trattare un atto già sanzionato in uno Stato vincolato dalla CAS applicherà dunque il principio ne bis in idem se sono riunite le condizioni seguenti:

• Si è in presenza di due sanzioni penali. Il giudice penale svizzero terrà conto di una sanzione amministrativa irrogata in virtù del regolamento generale UE sulla protezione dei dati (RGPD) soltanto se la qualifica come sanzione di carattere penale in base ai criteri della Corte europea dei diritti dell'uomo (sentenza Corte EDU, Engel e altri c. Paesi Bassi, 8 giugno 1976, ricorso n. 5100/71). Questo dovrebbe essere il caso vista l'entità delle sanzioni previste dal RGPD.

• Le due sanzioni sono pronunciate nei confronti della medesima persona. Salvo eccezioni, non è il caso se una sanzione riguarda un'impresa mentre l'altra una persona fisica (p. es. il direttore dell'impresa). Le sanzioni del RGPD sono dirette anzitutto nei confronti di imprese, mentre le sanzioni previste dalla LPD riguardano principalmente persone fisiche. In tali situazioni il cumulo di sanzioni è ammissibile e il giudice svizzero non deve tenere conto della sanzione europea.

• La prima sanzione è stata eseguita, è in corso di esecuzione o non può più essere eseguita secondo le leggi dello Stato di condanna. Se si tratta di una multa, deve essere stata pagata.

La Svizzera ha emanato una riserva all'applicazione del principio ne bis in idem se i fatti sono avvenuti sul suo territorio (art. 55 par. 1 lett. a CAS). In questi casi nonché quando una prima sanzione è stata pronunciata da un Paese non associato a Schengen, il giudice svizzero non applica il principio di espletamento formale, bensì quello di imputazione (art. 56 CAS, art. 3 cpv. 2 del Codice penale, RS 311.0): l'autore può essere perseguito dalle autorità svizzere anche se è già stato condannato all'estero per il medesimo fatto. In questo caso il giudice svizzero deve imputare la pena inflitta all'estero a quella da pronunciare. L'imputazione sottostà alle tre condizioni summenzionate che prevalgono per il principio ne bis in idem. Vista l'entità delle sanzioni del RGPD, una volta imputata la sanzione europea non vi sarà in linea di massima più spazio per una multa secondo il diritto svizzero.

Se una persona è oggetto di una procedura per violazione del RGPD in ragione di fatti per cui è già stata sanzionata in Svizzera, la questione se e in che misura l'autorità competente di uno Stato membro dell'UE deve applicare il principio ne bis in ibidem dipenderà dal diritto di questo Stato e dall'applicazione, nel caso concreto, dell'articolo 54 CAS.

Risposta del Consiglio federale.