Corte di giustizia, Sentenza C-670/22

Ordine europeo di indagine e dati EncroChat

La pronuncia riguarda un rinvio pregiudiziale del Landgericht Berlin in un procedimento penale a carico di M.N., nel quale veniva contestata la legittimità di tre ordini europei di indagine emessi dalla Procura generale di Francoforte per ottenere dalla Francia dati raccolti tramite il servizio cifrato EncroChat. La Corte affronta in particolare il rapporto tra la direttiva 2014/41/UE sull’ordine europeo di indagine penale, la disciplina delle intercettazioni di telecomunicazioni e le garanzie processuali in materia di utilizzabilità delle prove.

Fatti e procedimento principale

Le autorità francesi, nel corso di un’indagine, avevano acquisito dati da un server EncroChat e, mediante un software di tipo Trojan installato con autorizzazione del giudice francese, avevano ottenuto comunicazioni e dati di utenti situati in vari Stati membri, inclusa la Germania. La Procura generale di Francoforte emise nel 2020 un primo OEI e poi due OEI integrativi per ottenere la trasmissione e l’utilizzo dei dati nei procedimenti penali tedeschi. Il giudice del rinvio dubitava della legittimità di tali OEI sotto il profilo dell’autorità competente, delle condizioni sostanziali di emissione, dell’obbligo di notifica previsto dall’articolo 31 e delle conseguenze processuali dell’eventuale violazione del diritto dell’Unione.

Normativa rilevante

La Corte richiama, oltre all’articolo 267 TFUE, la direttiva 2014/41/UE, in particolare gli articoli 1, 2, 4, 6, 14, 30, 31 e 33. Rilevante anche la direttiva 2002/58/CE, articolo 15, paragrafo 1, evocata dal giudice del rinvio per il parallelo con la giurisprudenza sulla conservazione e l’accesso ai dati di comunicazioni elettroniche. Sul piano dei diritti fondamentali, vengono in rilievo gli articoli 7, 8, 11 e 47 della Carta.

Prima questione: chi può emettere l’OEI

La Corte chiarisce che l’articolo 1, paragrafo 1, e l’articolo 2, lettera c), della direttiva 2014/41 non impongono che l’OEI sia emesso da un giudice solo perché, in un procedimento interno, la raccolta iniziale delle prove avrebbe richiesto un’autorizzazione giudiziaria. Ciò che conta è la competenza dell’autorità di emissione nello Stato membro di emissione per disporre la trasmissione delle prove già esistenti nello Stato di esecuzione. Se, secondo il diritto nazionale, il pubblico ministero è competente ad ordinare la trasmissione di tali prove in un caso interno analogo, egli può emettere l’OEI.

Seconda e terza questione: condizioni di emissione dell’OEI per i dati EncroChat

La Corte interpreta l’articolo 6, paragrafo 1, nel senso che l’autorità di emissione deve verificare due condizioni cumulative:

• necessità e proporzionalità dell’OEI ai fini del procedimento penale;
• possibilità di emettere l’atto richiesto alle stesse condizioni in un caso interno analogo.

Quanto alla necessità e proporzionalità, la Corte precisa che la valutazione va fatta alla luce del diritto dello Stato di emissione, senza imporre ex se un requisito autonomo di indizi concreti di reati gravi a carico di ciascun singolo utente, se tale requisito non è previsto dal diritto interno. La Corte aggiunge che la mancanza di verifica preventiva dell’integrità tecnica dei dati, dovuta alla riservatezza del sistema, non impedisce l’emissione dell’OEI, fermo restando il diritto a un processo equo nella fase successiva.

Quanto alla lettera b), la Corte distingue nettamente tra:

• condizioni per la trasmissione di prove già possedute dallo Stato di esecuzione, che devono coincidere con quelle previste dal diritto dello Stato di emissione per un caso interno analogo;
• condizioni per la raccolta originaria delle prove nello Stato di esecuzione, che non devono essere riesaminate dall’autorità di emissione.

La Corte esclude quindi che il pubblico ministero debba controllare la regolarità della misura originaria compiuta in Francia. La circostanza che le prove siano state raccolte nel territorio dello Stato di emissione e nel suo interesse è irrilevante, perché la direttiva non prevede una disciplina differenziata in base al luogo della raccolta. La risposta è però condizionata al fatto che l’OEI non sia utilizzato per eludere le garanzie del diritto dello Stato di emissione.

Quarta questione: nozione di intercettazione di telecomunicazioni e autorità notificata

La Corte afferma che l’infiltrazione in apparecchi terminali diretta a estrarre dati di traffico, ubicazione e comunicazioni di un servizio basato su Internet costituisce una "intercettazione di telecomunicazioni" ai sensi dell’articolo 31. L’interpretazione è autonoma e uniforme, coerente con la formulazione dell’articolo, con l’allegato C e con il considerando 30, che menziona espressamente dati di traffico e ubicazione.

Quanto alla notifica, spetta a ciascuno Stato membro designare l’autorità competente a riceverla. Se lo Stato di intercettazione non riesce a identificarla, la notifica può essere inviata a qualsiasi autorità dello Stato notificato ritenuta idonea, la quale dovrà poi trasmetterla all’autorità competente per garantire l’effetto utile della norma.

Tutela dei diritti degli utenti interessati

La Corte riconosce che l’articolo 31 non tutela solo la sovranità dello Stato membro notificato, ma anche i diritti degli utenti sottoposti all’intercettazione. Tale tutela si estende all’utilizzo dei dati raccolti nel procedimento penale avviato nello Stato notificato, perché l’intercettazione incide sul diritto al rispetto della vita privata e delle comunicazioni, protetto dall’articolo 7 della Carta.

Quinta questione: conseguenze della violazione del diritto dell’Unione e utilizzabilità delle prove

La Corte ricorda che, in assenza di una disciplina UE completa, l’ammissibilità e la valutazione delle prove restano in linea di principio regolate dal diritto nazionale, nel rispetto dei principi di equivalenza ed effettività. Tuttavia, l’articolo 14, paragrafo 7, della direttiva 2014/41 impone espressamente che nel procedimento penale nello Stato di emissione siano rispettati i diritti della difesa e sia garantito un giusto processo nella valutazione delle prove ottenute tramite OEI.

Da ciò la Corte ricava che il giudice penale nazionale deve espungere le prove quando la persona interessata non sia in grado di svolgere efficacemente le proprie osservazioni su di esse e tali prove siano idonee a incidere in modo preponderante sulla valutazione dei fatti. Non viene quindi affermato un divieto generale e automatico di utilizzazione per ogni violazione del diritto UE, ma un obbligo di esclusione nei casi in cui la difesa non possa contestare efficacemente la prova e questa sia decisiva.

Dispositivo

La Corte dichiara che:

• un OEI diretto alla trasmissione di prove già detenute dallo Stato di esecuzione non deve necessariamente essere emesso da un giudice, se il pubblico ministero è competente a disporre la trasmissione in un caso interno analogo;
• l’articolo 6, paragrafo 1, non osta all’emissione dell’OEI da parte del pubblico ministero per i dati EncroChat, purché siano rispettate le condizioni previste dal diritto dello Stato di emissione per la trasmissione di tali prove in un caso interno;
• la misura di infiltrazione in apparecchi terminali costituisce intercettazione di telecomunicazioni e va notificata all’autorità designata dallo Stato notificato;
• l’articolo 31 tutela anche gli utenti interessati;
• l’articolo 14, paragrafo 7, impone l’esclusione delle prove quando l’imputato non possa contestarle efficacemente e esse siano decisive per il giudizio.