Corte di giustizia, Sentenza C-511/18

Conservazione dei dati di traffico e di ubicazione nelle comunicazioni elettroniche

La pronuncia, resa dalla Grande Sezione in tre cause riunite su rinvii pregiudiziali provenienti da Francia e Belgio, riguarda la compatibilità con il diritto UE di normative nazionali in materia di retention dei dati, accesso amministrativo, analisi automatizzata e raccolta in tempo reale. Il contenzioso investe anche il rapporto tra la direttiva 2002/58, la direttiva 2000/31, la Carta dei diritti fondamentali e il regolamento 2016/679.

Procedimento principale e contesto normativo

Nelle cause francesi erano impugnati decreti e disposizioni del CSI, del CPCE e della LCEN/ decreto n. 2011-219; nella causa belga era contestata la legge del 29 maggio 2016 sulla conservazione dei dati nel settore delle comunicazioni elettroniche. I giudici del rinvio chiedevano, in sostanza, se il diritto dell’Unione consentisse obblighi generalizzati di conservazione e varie forme di accesso/analisi dei dati, anche per finalità di sicurezza nazionale e lotta al terrorismo.

Ambito di applicazione della direttiva 2002/58

La Corte ha affermato che le misure nazionali che impongono ai fornitori di servizi di comunicazione elettronica obblighi di conservazione o di accesso ai dati rientrano nell’ambito di applicazione della direttiva 2002/58, anche quando perseguono finalità connesse alla sicurezza nazionale. L’articolo 1, paragrafo 3, della direttiva esclude solo attività dello Stato come tali, ma non le misure legislative che disciplinano l’attività dei fornitori privati di servizi di comunicazione elettronica.

Conservazione generalizzata e indifferenziata: regola di incompatibilità

La Corte ribadisce che la conservazione generalizzata e indifferenziata dei dati relativi al traffico e all’ubicazione costituisce un’ingerenza particolarmente grave nei diritti garantiti dagli articoli 7, 8 e 11 della Carta e, come regola, è vietata dall’articolo 15, paragrafo 1, della direttiva 2002/58. Tale regime non può diventare la regola generale e non può essere giustificato né dalla lotta alla criminalità in generale né dalla sicurezza pubblica ordinaria.

Eccezione per la sicurezza nazionale

In presenza di una minaccia grave per la sicurezza nazionale, reale e attuale o prevedibile, lo Stato può imporre una conservazione generalizzata e indifferenziata dei dati di traffico e ubicazione, ma solo per un periodo limitato, rinnovabile se persiste la minaccia, e solo se la misura è sottoposta a controllo effettivo da parte di un giudice o di un organo amministrativo indipendente con potere vincolante. La Corte collega tale soluzione all’articolo 4, paragrafo 2, TUE, senza però esonerare gli Stati dal rispetto della Carta e del principio di proporzionalità.

Conservazione mirata, indirizzi IP e dati anagrafici

La Corte ammette:

• una conservazione mirata di dati di traffico e ubicazione, delimitata per categorie di persone o per criterio geografico, quando limitata allo stretto necessario;
• la conservazione generalizzata e indifferenziata degli indirizzi IP attribuiti all’origine della connessione, per un periodo limitato, in particolare per la lotta alla criminalità grave, alla prevenzione di minacce gravi alla sicurezza pubblica e alla sicurezza nazionale;
• la conservazione generalizzata e indifferenziata dei dati relativi all’identità civile degli utenti, anche per finalità di prevenzione, ricerca, accertamento e perseguimento dei reati in generale, nonché di sicurezza pubblica. La Corte ritiene questi dati meno intrusivi rispetto ai dati di traffico e ubicazione, pur restando necessarie norme chiare e garanzie effettive.

Conservazione rapida dei dati già detenuti

È ammessa anche la conservazione rapida, mediante ingiunzione dell’autorità competente soggetta a controllo giurisdizionale effettivo, dei dati di traffico e ubicazione già disponibili presso i fornitori, per periodi determinati e per finalità di lotta alla criminalità grave o di salvaguardia della sicurezza nazionale. La Corte precisa che tali misure devono essere giustificate da una necessità concreta e possono riguardare anche dati relativi a soggetti diversi dai sospettati, purché tali dati possano contribuire oggettivamente all’accertamento del reato o della minaccia.

Analisi automatizzata e raccolta in tempo reale

La Corte distingue tra:

• analisi automatizzata di tutti i dati di traffico e ubicazione, ammessa solo in caso di minaccia grave, reale e attuale o prevedibile per la sicurezza nazionale, con controllo effettivo indipendente, criteri specifici, affidabili e non discriminatori, e successivo riesame umano di ogni esito positivo;
• raccolta in tempo reale dei dati di traffico e ubicazione, ammessa solo nei confronti di persone rispetto alle quali esista un valido motivo per sospettare un coinvolgimento in attività di terrorismo, con controllo preventivo indipendente e limitata allo stretto necessario. Per la raccolta in tempo reale dei dati di localizzazione delle apparecchiature terminali, valgono condizioni analoghe di stretta necessità e controllo preventivo.

Informazione degli interessati

La Corte afferma che gli interessati devono essere informati delle misure che li riguardano quando e nella misura in cui tale informazione non comprometta le funzioni dell’autorità competente. Questo vale in particolare per la raccolta in tempo reale; per l’analisi automatizzata, è richiesta almeno informazione generale e, quando vi sia un approfondimento individuale, anche informazione individuale differita.

Direttiva 2000/31 e regolamento 2016/679

La Corte esclude che la direttiva 2000/31 disciplini la riservatezza delle comunicazioni e il trattamento dei dati personali in questo contesto: tali aspetti sono regolati, a seconda dei casi, dalla direttiva 2002/58 o dal regolamento 2016/679. Di conseguenza, un obbligo nazionale di conservazione imposto a provider di accesso a Internet e hosting va valutato alla luce della direttiva 2002/58 oppure dell’articolo 23 del regolamento 2016/679, che contiene una clausola di limitazione analoga ma anch’essa soggetta a stretta proporzionalità e garanzie.

Effetti nel processo penale e primato del diritto UE

La Corte esclude che un giudice nazionale possa applicare una norma interna che gli consenta di mantenere temporaneamente gli effetti di una disciplina incompatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58. Il primato del diritto UE impone la disapplicazione della norma interna contrastante. Inoltre, il giudice penale nazionale deve, in linea di principio, non utilizzare prove ottenute tramite una conservazione generalizzata e indifferenziata incompatibile con il diritto dell’Unione quando l’imputato non sia in grado di contestarle efficacemente e la prova provenga da un settore estraneo alla competenza del giudice.

Dispositivo

La Corte risponde che:

• la conservazione generalizzata e indifferenziata dei dati di traffico e ubicazione è incompatibile con il diritto UE, salvo le eccezioni rigorose indicate;
• analisi automatizzate e raccolte in tempo reale sono possibili solo entro condizioni stringenti e con controllo indipendente;
• la direttiva 2000/31 non è la base normativa pertinente per la tutela della riservatezza dei dati in questo settore;
• il giudice nazionale non può mantenere provvisoriamente una legge incompatibile con il diritto UE e, nel processo penale, deve garantire l’effettività di tale diritto anche sul piano dell’ammissibilità delle prove.