Corte di giustizia, Sentenza C-207/16

Accesso ai dati identificativi dei titolari di carte SIM e soglia di gravità del reato

La sentenza riguarda un rinvio pregiudiziale dell’Audiencia Provincial de Tarragona in materia di comunicazioni elettroniche e protezione dei dati personali. La Corte è chiamata a interpretare l’articolo 15, paragrafo 1, della direttiva 2002/58 alla luce degli articoli 7 e 8 della Carta, nel contesto di una richiesta della polizia giudiziaria di accedere ai dati conservati da fornitori di servizi di comunicazione elettronica per identificare i titolari di carte SIM usate dopo il furto di un telefono cellulare.

Fatti e procedimento principale

Il procedimento nazionale trae origine da una rapina avvenuta il 16 febbraio 2015 ai danni del sig. Hernández Sierra, al quale furono sottratti portafoglio e telefono cellulare. La polizia giudiziaria chiese al giudice istruttore di ordinare a vari operatori la trasmissione dei numeri di telefono attivati, nel periodo 16-27 febbraio 2015, con il codice IMEI del telefono rubato, nonché dei dati identificativi civili dei titolari o utenti delle schede SIM corrispondenti.

Il giudice istruttore respinse la richiesta, ritenendo, da un lato, che la misura non fosse utile per identificare gli autori del reato e, dall’altro, che la legge spagnola n. 25/2007 consentisse la comunicazione dei dati solo per reati gravi, mentre il fatto in questione non sembrava rientrare in tale categoria. Il pubblico ministero propose appello, sostenendo che la comunicazione dovesse essere autorizzata anche alla luce della giurisprudenza nazionale.

Normativa rilevante

Sul piano dell’Unione, la Corte richiama in particolare:

• la direttiva 2002/58/CE, come modificata dalla direttiva 2009/136/CE;
• la direttiva 95/46/CE;
• la Carta dei diritti fondamentali, in particolare gli articoli 7 e 8;
• l’articolo 267 TFUE.

Rilevanti sono soprattutto:

• l’articolo 3 della direttiva 2002/58, che ne delimita l’ambito di applicazione ai dati personali connessi alla fornitura di servizi di comunicazione elettronica accessibili al pubblico;
• l’articolo 5, che tutela la riservatezza delle comunicazioni e dei relativi dati sul traffico;
• l’articolo 15, paragrafo 1, che consente agli Stati membri di limitare taluni diritti e obblighi per finalità, tra cui la prevenzione, ricerca, accertamento e perseguimento dei reati, purché la misura sia necessaria, opportuna e proporzionata.

Questioni pregiudiziali

Il giudice del rinvio chiede, in sostanza:

• se la soglia di gravità del reato che può giustificare l’ingerenza nei diritti fondamentali debba essere determinata solo in base alla pena prevista oppure anche considerando la particolare lesività della condotta;
• se una soglia fondata esclusivamente sulla pena edittale, e in particolare una soglia di tre anni di reclusione, sia compatibile con il diritto dell’Unione.

Competenza e ricevibilità

La Corte respinge l’eccezione del governo spagnolo secondo cui la controversia sarebbe esclusa dall’ambito di applicazione della direttiva 2002/58 in quanto relativa a un’attività dello Stato in materia penale. Richiamando la sentenza Tele2 Sverige e Watson e a., afferma che l’articolo 15, paragrafo 1, della direttiva 2002/58 presuppone che le misure nazionali in esso contemplate rientrino nell’ambito di applicazione della direttiva, poiché disciplinano l’attività dei fornitori di servizi di comunicazione elettronica.

La Corte osserva inoltre che i dati richiesti nel procedimento principale, pur non comprendendo il contenuto delle comunicazioni o i dati di ubicazione, rientrano comunque nella nozione di dati trattati nell’ambito dei servizi di comunicazione elettronica, perché consentono di identificare i titolari delle SIM e possono essere collegati ai servizi forniti dagli operatori. Le questioni sono quindi ricevibili.

Ragionamento della Corte

La Corte parte dal presupposto che l’accesso delle autorità pubbliche a dati personali conservati dai fornitori costituisce una ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta, anche se non sempre tale ingerenza è "grave".

Ricorda poi che l’articolo 15, paragrafo 1, della direttiva 2002/58 elenca tassativamente gli obiettivi che possono giustificare una limitazione dei diritti e obblighi previsti dalla direttiva. Per gli accessi a dati che, considerati nel loro insieme, consentono di trarre conclusioni precise sulla vita privata, la giurisprudenza precedente aveva richiesto la lotta alla criminalità grave. Tuttavia, tale requisito dipende dalla gravità concreta dell’ingerenza.

Nel caso di specie, i dati richiesti riguardano soltanto:

• i numeri di telefono associati alle SIM attivate con l’IMEI del telefono rubato;
• il cognome, il nome e, se del caso, l’indirizzo dei titolari di tali SIM.

La Corte osserva che questi dati non permettono, da soli, di conoscere la data, l’ora, la durata, i destinatari o i luoghi delle comunicazioni, né di ricostruire la vita privata degli interessati con precisione. Perciò l’ingerenza non è qualificabile come "grave".

Soluzione adottata

Poiché l’ingerenza non è grave, essa può essere giustificata dall’obiettivo generale di prevenzione, ricerca, accertamento e perseguimento dei reati di cui all’articolo 15, paragrafo 1, della direttiva 2002/58, senza limitazione ai soli reati gravi.

Principio affermato

La Corte afferma quindi che l’accesso delle autorità ai dati identificativi dei titolari di carte SIM attivate con un telefono rubato costituisce sì un’ingerenza nei diritti fondamentali alla vita privata e alla protezione dei dati, ma non un’ingerenza di gravità tale da richiedere che l’accesso sia riservato alla lotta contro la criminalità grave. Di conseguenza, per tali dati, è sufficiente che l’accesso sia finalizzato alla prevenzione, ricerca, accertamento e perseguimento dei reati in generale, fermo restando il rispetto dei requisiti di necessità e proporzionalità.