4-9-2018 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA 4. La violazione delle disposizioni di cui all’art. 32-bis, comma 7, è punita con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro. 5. Le medesime sanzioni di cui al presente articolo si applicano nei confronti dei soggetti a cui il fornitore di servizi di comunicazione elettronica accessibili al pubblico abbia affidato l’erogazione dei predetti servizi, qualora tali soggetti non abbiano comunicato senza indebito ritardo, al fornitore, ai sensi dell’art. 32-bis, comma 8, le informazioni necessarie ai fini degli adempimenti di cui all’art. 32-bis.» «Art. 163 (Omessa o incompleta notificazione). — 1. Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ai sensi degliarticoli 37e38, ovvero indica in essa notizie incomplete, è punito con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro.» «Art. 164 (Omessa informazione o esibizione al Garante). — 1. Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi degliarticoli 150, comma 2, e157è punito con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro. «Art. 164-bis (Casi di minore gravità e ipotesi aggravate). — 1. Se taluna delle violazioni di cui agliarticoli 161,162, 162-ter,163e164è di minore gravità, avuto altresì riguardo alla natura anche economica o sociale dell’attività svolta, i limiti minimi e massimi stabiliti dai medesimi articoli sono applicati in misura pari a due quinti. 2. In caso di più violazioni di un’unica o di più disposizioni di cui al presente Capo, a eccezione di quelle previste dagliarticoli 162, comma 2,162-bise164, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro. Non è ammesso il pagamento in misura ridotta. 3. In altri casi di maggiore gravità e, in particolare, di maggiore rilevanza del pregiudizio per uno o più interessati, ovvero quando la violazione coinvolge numerosi interessati, i limiti minimo e massimo delle sanzioni di cui al presente Capo sono applicati in misura pari al doppio. 4. Le sanzioni di cui al presente Capo possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore.» Note all’art. 19: — Il regolamento (UE) n. 2016/679 è citato nelle note alle premesse. Note all’art. 20: — Per gli allegati A.1, A.2, A.3, A.4, A.5, A.6, A.7 del citato decreto legislativo 30 giugno 2003, n. 196, si veda nelle note all’art. 16. — Il regolamento (UE) n. 2016/679 è citato nelle note alle premesse. Note all’art. 21: — Il regolamento (UE) n. 2016/679 è citato nelle note alle premesse. Note all’art. 22: — Il regolamento (UE) n. 2016/679 è citato nelle note alle premesse. — L’art. 4, comma 1, del citato decreto legislativo 30 giugno 2003, n. 196, così recita: «Art. 4 (Definizioni). — 1. Ai fini del presente codice si intende per: a) “trattamento”, qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; b) “dato personale”, qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;(7) c) “dati identificativi”, i dati personali che permettono l’identificazione diretta dell’interessato; Serie generale - n. 205 d) “dati sensibili”, i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e) “dati giudiziari”, i dati personali idonei a rivelare provvedimenti di cui all’art. 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale; f) “titolare”, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza;(15) g) “responsabile”, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;(15) h) “incaricati”, le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; i) “interessato”, la persona fisica, cui si riferiscono i dati personali;(8) l) “comunicazione”, il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; m) “diffusione”, il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; n) “dato anonimo”, il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile; o) “blocco”, la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; p) “banca di dati”, qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti; q) “Garante”, l’autorità di cui all’art. 153, istituita dallalegge 31 dicembre 1996, n. 675.» — L’art. 1, commi 233, 1022 e 1023 della legge 27 dicembre 2017, n. 205 (Bilancio di previsione dello Stato per l’anno finanziario 2018 e bilancio pluriennale per il triennio 2018-2020), pubblicata nella Gazzetta Ufficiale 29 dicembre 2017, n. 302, S.O. così recitano: «Art. 1 233. L’ISTAT, d’intesa con il Ministero dell’interno, definisce, tramite il Piano generale del censimento permanente della popolazione e delle abitazioni, le circolari e istruzioni tecniche, le modalità di restituzione ai comuni delle informazioni raccolte nell’ambito del censimento, necessarie ai fini della revisione delle anagrafi della popolazione residente di cui all’art. 46 del regolamento di cui al decreto del Presidente della Repubblica 30 maggio 1989, n. 223, nonché le modalità tecniche e la periodicità di tale revisione. 1022. Il titolare di dati personali, individuato ai sensi dell’art. 4, numero 7), del regolamento RGPD, ove effettui un trattamento fondato sull’interesse legittimo che prevede l’uso di nuove tecnologie o di strumenti automatizzati, deve darne tempestiva comunicazione al Garante per la protezione dei dati personali. A tale fine, prima di procedere al trattamento, il titolare dei dati invia al Garante un’informativa relativa all’oggetto, alle finalità e al contesto del trattamento, utilizzando il modello di cui al comma 1021, lettera c). Trascorsi quindici giorni lavorativi dall’invio dell’informativa, in assenza di risposta da parte del Garante, il titolare può procedere al trattamento. 1023. Il Garante per la protezione dei dati personali effettua un’istruttoria sulla base dell’informativa ricevuta dal titolare ai sensi del comma 1022 e, ove ravvisi il rischio che dal trattamento derivi una lesione dei diritti e delle libertà dei soggetti interessati, dispone la moratoria del trattamento per un periodo massimo di trenta giorni. In tale periodo, il Garante può chiedere al titolare ulteriori informazioni e integrazioni, da rendere tempestivamente, e, qualora ritenga che dal trattamento derivi comunque una lesione dei diritti e delle libertà del soggetto interessato, dispone l’inibitoria all’utilizzo dei dati.» — 33 —