Corte di giustizia, Sentenza C-548/21

Accesso ai dati di un telefono cellulare nell’ambito di un’indagine penale

La pronuncia riguarda un rinvio pregiudiziale del Landesverwaltungsgericht Tirol in una controversia tra CG e la Bezirkshauptmannschaft Landeck, sorta a seguito del sequestro e dei tentativi di sblocco di un telefono cellulare nell’ambito di un’indagine per stupefacenti. La Corte chiarisce l’applicazione della direttiva 2016/680 al tentativo di accesso ai dati e i relativi limiti alla luce della Carta.

Fatti e procedimento principale

Nel corso di un controllo doganale era stato sequestrato un pacco contenente cannabis indirizzato a CG. Successivamente, durante una perquisizione, la polizia ha sequestrato il telefono cellulare dell’interessato e ha tentato, senza autorizzazione del pubblico ministero o di un giudice, di sbloccarlo per accedere ai dati contenuti nel dispositivo. CG ha contestato dinanzi al giudice del rinvio la legittimità del sequestro e dei tentativi di analisi digitale.

Questioni pregiudiziali

Il giudice nazionale chiedeva, in sostanza:

• se l’accesso ai dati contenuti in un telefono cellulare costituisca un’ingerenza così grave da dover essere limitata ai soli reati gravi;
• se una normativa nazionale che consenta alla polizia un accesso completo e non controllato, senza previa autorizzazione di un giudice o di un’autorità indipendente, sia compatibile con il diritto dell’Unione;
• se l’interessato debba essere informato del tentativo di accesso per poter esercitare un ricorso effettivo.

Ricevibilità e riformulazione delle questioni

La Corte respinge le eccezioni di irricevibilità e precisa che la controversia non rientra nella direttiva 2002/58, perché non coinvolge un fornitore di servizi di comunicazione elettronica, ma il trattamento diretto da parte delle autorità di polizia. Riformula quindi le questioni alla luce della direttiva 2016/680, ritenuta pertinente perché il tentativo di accesso ai dati costituisce un trattamento ai sensi dell’articolo 3, punto 2.

Qualificazione del tentativo di accesso come "trattamento"

La Corte afferma che la nozione di trattamento ha portata ampia: comprende "qualsiasi operazione" sui dati personali, inclusa l’estrazione e la consultazione. Ne consegue che anche il tentativo di accedere ai dati di un telefono cellulare, seppure non riuscito, rientra nell’ambito della direttiva 2016/680. Diversamente, la tutela dei dati sarebbe indebitamente elusa proprio nella fase in cui può verificarsi l’ingerenza.

Limiti all’accesso ai dati: proporzionalità e controllo preventivo

Quanto alla prima e seconda questione, la Corte interpreta l’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, letto alla luce degli articoli 7, 8 e 52, paragrafo 1, della Carta. La disposizione impone che i dati siano adeguati, pertinenti e non eccedenti rispetto alle finalità del trattamento, esprimendo il principio di minimizzazione dei dati.

La Corte precisa che una normativa nazionale può autorizzare l’accesso ai dati contenuti in un telefono cellulare per finalità di prevenzione, indagine, accertamento e perseguimento dei reati in generale, e non soltanto per la lotta ai reati gravi, ma solo a determinate condizioni:

• la legge deve definire con sufficiente precisione la natura o le categorie dei reati interessati;
• deve essere garantito il rispetto del principio di proporzionalità;
• salvo casi di urgenza debitamente comprovati, l’accesso deve essere subordinato a un controllo preventivo di un giudice o di un’autorità amministrativa indipendente.

La Corte sottolinea che l’accesso a un telefono cellulare può rivelare aspetti estremamente dettagliati della vita privata, comprese abitudini, spostamenti, relazioni sociali e dati sensibili, sicché l’ingerenza è grave, se non particolarmente grave. Proprio per questo il controllo preventivo deve poter impedire accessi eccedenti lo stretto necessario.

Informazione dell’interessato e ricorso effettivo

Quanto alla terza questione, la Corte richiama gli articoli 13 e 54 della direttiva 2016/680, letti alla luce dell’articolo 47 della Carta. L’interessato deve ricevere le informazioni necessarie a esercitare i propri diritti e, in particolare, il diritto a un ricorso giurisdizionale effettivo.

Ne deriva che una normativa nazionale non può escludere in generale l’obbligo di informare la persona interessata. L’informazione può essere differita o limitata solo nella misura e per il tempo in cui ciò sia necessario e proporzionato per non compromettere le indagini. Una volta cessato tale rischio, l’interessato deve essere informato dei motivi dell’autorizzazione all’accesso, così da poter contestare la misura davanti al giudice.

Dispositivo

La Corte dichiara che:

• l’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, letto alla luce degli articoli 7, 8 e 52, paragrafo 1, della Carta, non osta a una normativa nazionale che consenta l’accesso ai dati di un telefono cellulare per reati in generale, purché la legge sia sufficientemente precisa, proporzionata e soggetta, di regola, a controllo preventivo indipendente;
• gli articoli 13 e 54 della direttiva 2016/680, letti alla luce degli articoli 47 e 52, paragrafo 1, della Carta, ostano a una normativa che autorizzi tentativi di accesso senza informare l’interessato dei motivi dell’autorizzazione, non appena tale informazione non rischi più di compromettere i compiti investigativi.

Principi affermati

La sentenza consolida alcuni punti di rilievo pratico per gli operatori:

• il tentativo di sblocco di un telefono costituisce già trattamento di dati personali;
• l’accesso ai dati di uno smartphone è un’ingerenza molto intensa nella vita privata;
• non è richiesto che la disciplina valga solo per i reati gravi, ma occorrono precisione normativa e proporzionalità;
• il controllo preventivo indipendente è la regola, con deroga limitata ai casi urgenti;
• l’interessato deve essere messo in condizione di esercitare un ricorso effettivo, tramite informazione tempestiva quando non più pregiudizievole per l’indagine.