Corte di giustizia, Sentenza C-470/21

Accesso ai dati anagrafici corrispondenti agli indirizzi IP nella lotta alla contraffazione online

La pronuncia riguarda un rinvio pregiudiziale del Conseil d’État francese sull’interpretazione della direttiva 2002/58/CE, letta alla luce della Carta dei diritti fondamentali, in relazione al meccanismo francese di risposta graduata contro le violazioni online del diritto d’autore e dei diritti connessi.

Contesto fattuale e procedimento principale

Le ricorrenti nel procedimento principale hanno contestato la legittimità del decreto n. 2010-236, che disciplina il trattamento automatizzato di dati personali connesso al sistema di tutela delle opere su Internet. Il sistema prevede una raccolta a monte degli indirizzi IP da parte degli organismi degli aventi diritto e, a valle, la richiesta agli operatori di comunicazioni elettroniche dei dati di identità civile corrispondenti a tali indirizzi per identificare i titolari e adottare eventuali misure nei loro confronti.

Normativa rilevante richiamata dalla Corte

La Corte richiama in particolare:

• la direttiva 2002/58/CE, soprattutto gli articoli 5, 6 e 15, paragrafo 1;
• la Carta dei diritti fondamentali, in particolare gli articoli 7, 8, 11 e 52, paragrafo 1;
• la direttiva 95/46/CE e il RGPD, per il quadro generale in materia di protezione dei dati;
• la direttiva (UE) 2016/680, per i trattamenti effettuati da autorità competenti a fini di prevenzione, indagine e perseguimento di reati;
• la direttiva 2004/48/CE, articolo 8, sul diritto d’informazione nelle controversie di proprietà intellettuale.

Qualificazione dei trattamenti di dati

La Corte distingue due trattamenti successivi:

• la raccolta a monte degli indirizzi IP da parte degli organismi degli aventi diritto, che non rientra nella direttiva 2002/58 ma costituisce trattamento di dati personali ai sensi del RGPD;
• l’accesso a valle ai dati di identità civile detenuti dai provider, che invece rientra nella direttiva 2002/58 perché connesso alla fornitura di servizi di comunicazione elettronica.

Conservazione dei dati da parte dei provider

La Corte afferma che la conservazione generalizzata e indifferenziata degli indirizzi IP può essere giustificata, per la lotta contro i reati in generale, solo se la normativa nazionale prevede modalità tecniche rigorose:

• separazione effettivamente stagna delle diverse categorie di dati, in particolare identità civile, indirizzi IP, dati di traffico e dati di ubicazione;
• impossibilità di combinare tali categorie durante la conservazione;
• conservazione per un periodo non superiore allo stretto necessario;
• controllo regolare dell’affidabilità della separazione da parte di un organismo pubblico diverso dall’autorità richiedente.

Accesso ai dati di identità civile

L’accesso dell’autorità pubblica ai dati di identità civile corrispondenti a un indirizzo IP è compatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58 se è limitato alla sola identificazione del titolare sospettato di aver commesso violazioni online e se è accompagnato da garanzie che impediscano, salvo situazioni atipiche, di ricostruire il profilo dettagliato della persona o di tracciare la sua navigazione.

La Corte sottolinea inoltre che i funzionari autorizzati non possono divulgare il contenuto dei file consultati, salvo per adire il pubblico ministero, né utilizzare gli indirizzi IP per finalità diverse dall’identificazione del titolare e dall’adozione delle misure previste.

Controllo previo di un giudice o di un organismo indipendente

La Corte precisa che il requisito di un controllo previo non si applica automaticamente a ogni accesso a dati di identità civile. Esso è invece necessario quando l’accesso, per il suo contesto e per l’effetto cumulativo dei dati trattati, può consentire di trarre conclusioni precise sulla vita privata dell’interessato.

Nel sistema francese, tale rischio può emergere nella fase finale della procedura di risposta graduata, quando la Hadopi/ARCOM mette in relazione i dati di identità civile con i file e i titoli delle opere che hanno giustificato la raccolta degli IP. In questa fase il controllo deve essere:

• previo;
• effettuato da un giudice o da un organismo amministrativo indipendente;
• non interamente automatizzato;
• idoneo a operare un vero bilanciamento tra esigenze investigative e tutela dei diritti fondamentali.

Limiti al controllo automatizzato

La Corte esclude che un controllo interamente automatizzato possa soddisfare i requisiti dell’articolo 15, paragrafo 1, della direttiva 2002/58 quando è in gioco un accesso suscettibile di incidere sensibilmente sulla vita privata. Il controllo automatizzato può al più integrare, ma non sostituire, una valutazione effettuata da persone fisiche con poteri e garanzie di indipendenza.

Garanzie sostanziali e procedurali e direttiva 2016/680

Poiché l’autorità pubblica opera in un contesto prepenale e di accertamento di illeciti, la Corte richiama anche l’applicabilità della direttiva 2016/680. Il trattamento dei dati deve quindi rispettare le garanzie sostanziali e procedurali previste da tale direttiva, incluse le possibilità di accesso, rettifica, cancellazione, reclamo e ricorso.

Dispositivo

La Corte conclude che la direttiva 2002/58 non osta, in linea di principio, alla normativa francese, ma solo a condizione che siano rispettati requisiti stringenti sulla conservazione separata dei dati, sulla limitazione dell’accesso, sulle garanzie contro abusi e, per la fase in cui la combinazione dei dati può rivelare aspetti della vita privata, su un controllo previo non automatizzato da parte di un giudice o di un organismo indipendente.