Corte di giustizia, Sentenza C-793/19

Conservazione dei dati di traffico e di ubicazione nelle comunicazioni elettroniche

La pronuncia è resa in sede di rinvio pregiudiziale dal Bundesverwaltungsgericht nell’ambito di due controversie tra la Repubblica federale di Germania e due fornitori di servizi di comunicazione elettronica, SpaceNet AG e Telekom Deutschland GmbH. Il tema centrale è la compatibilità con la direttiva 2002/58/CE, letta alla luce della Carta, dell’obbligo tedesco di conservare in modo generalizzato e indiscriminato dati relativi al traffico e all’ubicazione.

Fatti e procedimento principale

La normativa tedesca imponeva ai fornitori di servizi di telefonia e di accesso a Internet di conservare, per 10 settimane o 4 settimane a seconda della categoria di dato, una serie ampia di informazioni: numeri chiamante/chiamato, data e ora delle comunicazioni, dati IMSI/IMEI, celle telefoniche, indirizzi IP, identificativi utente e dati di localizzazione. Erano esclusi il contenuto delle comunicazioni, i siti visitati, i dati di posta elettronica e talune comunicazioni di soggetti legati ad attività sociali o religiose. Le società interessate avevano impugnato tale obbligo davanti al Verwaltungsgericht Köln, che aveva accolto le loro censure ritenendo la misura incompatibile con il diritto dell’Unione sulla base, in particolare, della sentenza Tele2 Sverige e Watson. La Repubblica federale di Germania ha proposto ricorso per cassazione dinanzi al giudice del rinvio, che ha rimesso la questione alla Corte.

Normativa rilevante

La Corte richiama in particolare:

• la direttiva 2002/58/CE, in specie gli articoli 1, 2, 3, 5, 6, 9 e 15, paragrafo 1;
• la Carta dei diritti fondamentali, in particolare gli articoli 6, 7, 8, 11 e 52, paragrafo 1;
• l’articolo 4, paragrafo 2, TUE;
• la direttiva 95/46/CE e il regolamento (UE) 2016/679, sullo sfondo del quadro di protezione dei dati;
• la direttiva 2006/24/CE, richiamata come precedente superato;
• il diritto tedesco, in particolare gli articoli 113a-113g TKG e gli articoli 100g e 101a StPO.

Questione pregiudiziale

Il Bundesverwaltungsgericht chiede se l’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce della Carta e dell’articolo 4, paragrafo 2, TUE, osti a una normativa nazionale che:

• impone una conservazione preventiva, generalizzata e indiscriminata di gran parte dei dati di traffico e ubicazione;
• limita la misura a pochi dati, escludendo contenuti e alcuni ulteriori dati;
• prevede termini di conservazione relativamente brevi;
• accompagna la retention con garanzie tecniche di sicurezza;
• restringe l’uso dei dati alla repressione di reati gravi, alla prevenzione di pericoli concreti e, per gli IP, anche ad altri fini investigativi.

Ragionamento della Corte: applicabilità della direttiva 2002/58

La Corte ribadisce anzitutto che una normativa nazionale che impone ai fornitori di conservare dati relativi al traffico e all’ubicazione per finalità di sicurezza nazionale e di lotta alla criminalità rientra nell’ambito di applicazione della direttiva 2002/58. Non può quindi essere sottratta al sindacato del diritto dell’Unione solo perché collegata alla sicurezza nazionale.

Ragionamento della Corte: principio generale di riservatezza

La Corte richiama il sistema della direttiva 2002/58, fondato sul principio di riservatezza delle comunicazioni e sul divieto, in linea di principio, di archiviazione dei dati relativi al traffico e all’ubicazione da parte di terzi senza consenso. L’articolo 15, paragrafo 1, costituisce un’eccezione e deve essere interpretato restrittivamente: non può trasformare la deroga in regola generale.

La conservazione dei dati di traffico e ubicazione è qualificata come ingerenza grave nei diritti garantiti dagli articoli 7 e 8 della Carta, e può incidere anche sull’articolo 11. La gravità deriva dal fatto che tali dati, considerati complessivamente, consentono di ricostruire abitudini di vita, spostamenti, relazioni sociali e profili personali molto precisi.

Ragionamento della Corte: impossibilità della retention generalizzata e indiscriminata per reati gravi

La Corte conferma che una conservazione generalizzata e indiscriminata dei dati di traffico e di ubicazione, a fini di lotta ai reati gravi e di prevenzione delle minacce gravi alla pubblica sicurezza, non è compatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58. Ciò vale anche se:

• il periodo di conservazione è breve;
• alcuni dati sono esclusi;
• la misura è accompagnata da forti garanzie tecniche contro abusi e accessi illeciti.

Secondo la Corte, tali elementi riducono l’impatto della misura ma non ne eliminano la natura di ingerenza grave. La protezione dei dati nella fase di accesso non può sanare l’illegittimità della conservazione preventiva generalizzata.

Ragionamento della Corte: sicurezza nazionale come eccezione più ampia

La Corte distingue l’obiettivo della sicurezza nazionale dagli altri obiettivi dell’articolo 15, paragrafo 1. Solo in presenza di una minaccia grave per la sicurezza nazionale, reale e attuale o prevedibile, lo Stato membro può ricorrere a un’ingiunzione che imponga ai fornitori una conservazione generalizzata e indiscriminata dei dati di traffico e ubicazione.

Questa facoltà è subordinata a condizioni rigorose:

• controllo effettivo da parte di un giudice o di un organo amministrativo indipendente;
• decisione vincolante;
• verifica dell’esistenza della minaccia e del rispetto delle garanzie previste;
• durata limitata allo stretto necessario, con possibilità di rinnovo se la minaccia persiste.

La Corte precisa che la criminalità, anche particolarmente grave, non è equiparabile a una minaccia per la sicurezza nazionale.

Ragionamento della Corte: conservazione mirata, indirizzi IP, dati anagrafici e quick freeze

La sentenza sistematizza le misure che restano compatibili con il diritto UE:

• conservazione mirata dei dati di traffico e ubicazione, delimitata da criteri oggettivi e non discriminatori, per categorie di persone o aree geografiche a rischio, per il tempo strettamente necessario;
• conservazione generalizzata degli indirizzi IP di origine, per periodi temporalmente limitati allo stretto necessario, anche ai fini della lotta ai reati gravi e della prevenzione di minacce gravi alla pubblica sicurezza;
• conservazione generalizzata dei dati relativi all’identità anagrafica degli utenti, compatibile anche con la lotta alla criminalità in generale;
• conservazione rapida (quick freeze) dei dati già disponibili presso i fornitori, mediante provvedimento dell’autorità competente soggetto a controllo giurisdizionale effettivo, per un periodo determinato e per finalità di lotta ai reati gravi o, a fortiori, di sicurezza nazionale.

Per gli IP, la Corte chiarisce che non vi è contraddizione tra i punti della giurisprudenza precedente: la conservazione generalizzata degli indirizzi IP è consentita in linea di principio, purché limitata nel tempo e corredata da garanzie rigorose sull’uso dei dati.

Decisione

La Corte risponde che l’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce degli articoli 7, 8 e 11 e dell’articolo 52, paragrafo 1, della Carta, osta alle misure nazionali che prevedono, a titolo preventivo, la conservazione generalizzata e indiscriminata dei dati relativi al traffico e all’ubicazione per la lotta alla criminalità grave e la prevenzione delle minacce gravi alla pubblica sicurezza. Non osta invece alle misure limitate alla sicurezza nazionale, né alle forme di conservazione mirata, alla conservazione degli indirizzi IP, alla conservazione dei dati identificativi e alla conservazione rapida, a condizione che siano rispettate norme chiare e precise e garanzie effettive contro gli abusi.

Principi affermati

La pronuncia conferma che:

• la retention generalizzata e indiscriminata dei metadati di comunicazione è, come regola, incompatibile con il diritto UE;
• la sicurezza nazionale costituisce l’unica ipotesi in cui può ammettersi una retention generalizzata, ma solo in presenza di una minaccia grave, reale e attuale o prevedibile;
• il bilanciamento tra sicurezza, privacy e protezione dei dati richiede sempre un rigoroso controllo di proporzionalità e garanzie procedurali sostanziali;
• la protezione dei dati in fase di accesso non può legittimare una conservazione preventiva vietata dalla direttiva.