E’ doveroso rilevare che la protezione dei dati personali costituisce un diritto di ogni persona fisica riconosciuto in tutto il territorio UE.
In particolare tale diritto si concretizza nella possibilità di poter scegliere liberamente a chi rilevare le informazioni “personali” e le modalità di trattamento delle stesse.
I principali testi normativi vigenti in questo settore sono il Regolamento GDPR (UE) 2016/679 e il d.lgs. n. 196 del 2003 e successive modificazioni che istituisce il cd. “Codice Privacy“.
In campo penale, il “Codice” in questione prevede diversi reati, tra cui ricordiamo il trattamento illecito di dati personali (art. 167), la falsità nelle dichiarazioni e notificazioni al Garante (art. 168) e di inosservanza ai provvedimenti del Garante (art. 170).
In tema di responsabilità dell’imprese, rileviamo che l’art. 24-bis del d.lgs. n. 231 del 2001 rubricato “trattamento illecito di dati” non individua tra i reati presupposto quelli previsti nel Codice Privacy ma solo quelli in tema di “cybercrimes” previsti negli articolo 615-ter e seguenti del codice penale.
Tale assenza, non deve tuttavia interpretarsi come un esclusione della responsabilità delle società per gli illeciti inerenti la gestione dei dati personali. 
Infatti, i reati informatici richiamati nel decreto 231 presuppongono comunque un illecito trattamento dei dati; inoltre, nel caso in cui la società sia titolare o responsabile del trattamento, deve avviare indagini interne in presenza delle violazioni di cui agli artt. 33 e 34 del regolamento GDPR e nel caso di omissione è esposta comunque a sanzioni (art. 84 co. 4 lett. a).
Possiamo quindi rilevare che il trattamento dei dati personali impone un sistema di prevenzione e tutela che coinvolge necessariamente non solo le persone fisiche ma anche l’organizzazione societaria nel suo complesso.
Lo Studio rimane a disposizione per consulenze sulla materia.