Corte di giustizia, Sentenza C-205/21

Trattamento di dati biometrici e genetici nella registrazione di polizia

La pronuncia riguarda un rinvio pregiudiziale del Tribunale penale specializzato bulgaro, poi sostituito dal Tribunale di Sofia, in un procedimento a carico di V.S., formalmente accusata in un procedimento penale. La questione nasce dal rifiuto dell’interessata di sottoporsi alla raccolta, ai fini della registrazione di polizia, di fotografie, impronte digitali e un campione biologico per il profilo DNA.

Fatti e procedimento principale

La normativa bulgara prevede che le persone formalmente accusate di un reato doloso perseguibile d’ufficio siano sottoposte alla registrazione di polizia. In caso di rifiuto, la raccolta di fotografie, impronte digitali e campioni per DNA può essere eseguita coercitivamente con autorizzazione del giudice competente. Nel caso concreto, V.S. ha rifiutato la raccolta e la polizia ha chiesto al giudice l’autorizzazione all’esecuzione coercitiva.

Normativa dell’Unione rilevante

La Corte richiama anzitutto la direttiva (UE) 2016/680, in particolare:

• articolo 4, paragrafo 1, lettere a), b) e c) (liceità, limitazione delle finalità, minimizzazione dei dati);
• articolo 6, lettera a) (distinzione tra categorie di interessati);
• articolo 8 (liceità del trattamento e contenuto della base normativa nazionale);
• articolo 9 (condizioni di trattamento specifiche);
• articolo 10 (trattamento di dati genetici e biometrici, consentito solo se strettamente necessario);
• articoli 52, 53 e 54 (rimedi e tutela giurisdizionale). Sono inoltre richiamati il RGPD, in particolare l’articolo 9, e la Carta dei diritti fondamentali, segnatamente gli articoli 47, 48, 52, 7 e 8.

Prime due questioni: rapporto tra RGPD e direttiva 2016/680

Il giudice del rinvio chiedeva se l’articolo 10 della direttiva fosse stato correttamente recepito da una normativa nazionale che faceva riferimento all’articolo 9 del RGPD, pur riproducendo il contenuto della direttiva, e se la presenza di disposizioni nazionali apparentemente contraddittorie impedisse di considerare il trattamento "autorizzato dal diritto dello Stato membro".

La Corte osserva che RGPD e direttiva 2016/680 hanno ambiti diversi: il primo si applica ai trattamenti non rientranti nelle finalità penali previste dalla direttiva, mentre la seconda disciplina i trattamenti effettuati dalle autorità competenti per prevenzione, indagine, accertamento e perseguimento di reati. L’articolo 10 della direttiva ammette il trattamento di dati genetici e biometrici solo se strettamente necessario e se autorizzato dal diritto dell’Unione o dello Stato membro.

La Corte afferma che il requisito di autorizzazione nazionale, letto alla luce dell’articolo 52 della Carta, richiede una base giuridica chiara e precisa. Il mero fatto che la legge nazionale faccia riferimento al RGPD, anziché alla direttiva, non basta da solo a escludere la conformità, purché dall’interpretazione complessiva delle disposizioni nazionali risulti chiaramente che il trattamento in questione è disciplinato dalla direttiva 2016/680 e non dal RGPD. Spetta al giudice nazionale chiarire se le norme apparentemente contraddittorie riguardino in realtà ambiti diversi.

Terza questione: accusa formale, controllo giudiziale e presunzione d’innocenza

La Corte interpreta l’articolo 6, lettera a), della direttiva 2016/680 nel senso che la categoria delle persone per le quali vi sono fondati motivi di ritenere che abbiano commesso un reato include, in linea di principio, le persone per le quali esistono elementi sufficienti di prova tali da giustificare la messa in stato di accusa formale. Ne deriva che la normativa nazionale bulgara non è, di per sé, incompatibile con tale disposizione se consente la raccolta coercitiva dei dati di persone formalmente accusate di un reato doloso perseguibile d’ufficio.

Quanto all’articolo 47 della Carta, la Corte afferma che l’interessato deve comunque poter beneficiare di un controllo giurisdizionale effettivo. Non è però necessario che il giudice che autorizza la raccolta coattiva possa, in quella fase, valutare il merito degli elementi di prova a fondamento dell’accusa formale, purché il diritto nazionale assicuri successivamente un controllo effettivo delle condizioni dell’accusa e della raccolta dei dati.

In relazione all’articolo 48 della Carta, la Corte esclude che la sola autorizzazione alla raccolta di dati biometrici e genetici su persone formalmente accusate equivalga a un giudizio di colpevolezza. La misura, se limitata alla fase preliminare e accompagnata da adeguate garanzie, non viola la presunzione d’innocenza.

Quarta questione: raccolta sistematica e requisito di stretta necessità

La Corte affronta poi il tema centrale della proporzionalità. Ricorda che l’articolo 10 della direttiva 2016/680 introduce una protezione rafforzata per i dati sensibili e richiede che il trattamento sia autorizzato "solo se strettamente necessario". Tale criterio è più rigoroso della mera necessità prevista dagli articoli 4 e 8 della direttiva.

Secondo la Corte, una normativa che impone in modo sistematico la raccolta di dati biometrici e genetici per tutte le persone formalmente accusate di un reato doloso perseguibile d’ufficio è, in linea di principio, contraria all’articolo 10, perché può condurre a un trattamento indifferenziato e generalizzato. Il solo fatto che una persona sia formalmente accusata non basta a dimostrare che la raccolta di tutti i dati sia strettamente necessaria.

La stretta necessità deve essere valutata in concreto, alla luce:

• delle finalità specifiche della raccolta;
• della natura e gravità del reato;
• delle circostanze del caso;
• dell’eventuale collegamento con altri procedimenti;
• di eventuali precedenti giudiziari o del profilo individuale dell’interessato.

La Corte precisa inoltre che l’autorità competente deve verificare se le finalità non possano essere raggiunte con misure meno intrusive, ad esempio raccogliendo solo una parte dei dati o utilizzando altre categorie di dati. Se il diritto nazionale non consente tale verifica, il giudice deve respingere la richiesta di autorizzazione alla raccolta coercitiva.

Decisione finale

La Corte conclude che:

• il riferimento nazionale al RGPD non impedisce di ritenere recepito l’articolo 10 della direttiva 2016/680, se la disciplina nazionale è chiara e precisa;
• la raccolta coercitiva dei dati di persone formalmente accusate non viola, di per sé, l’articolo 6, lettera a), né gli articoli 47 e 48 della Carta, purché esista un successivo controllo giurisdizionale effettivo;
• è invece incompatibile con la direttiva una normativa che preveda la raccolta sistematica e automatica di dati biometrici e genetici di ogni persona formalmente accusata di un reato doloso perseguibile d’ufficio, senza una verifica concreta della stretta necessità e dell’assenza di alternative meno invasive.

Implicazioni pratiche

Per gli operatori, la sentenza impone di distinguere con chiarezza tra trattamenti rientranti nel RGPD e trattamenti penali disciplinati dalla direttiva 2016/680. Sul piano operativo, non è sufficiente una base legale astratta o generalizzata: la raccolta di dati biometrici e genetici in ambito penale richiede una motivazione concreta e un controllo effettivo di stretta necessità e proporzionalità.