Corte di giustizia, Sentenza C-140/20

Conservazione dei dati nelle comunicazioni elettroniche e limiti della normativa irlandese

La sentenza, resa in sede di rinvio pregiudiziale dalla Supreme Court irlandese, riguarda la compatibilità con la direttiva 2002/58/CE del sistema irlandese di conservazione dei dati di traffico e di ubicazione previsto dal Communications (Retention of Data) Act 2011. La Corte affronta anche il tema del controllo sull’accesso ai dati conservati e quello, particolarmente sensibile, degli effetti nel tempo di una declaratoria di incompatibilità di una normativa nazionale con il diritto dell’Unione.

Fatti e procedimento principale

Il procedimento nasce dalla condanna di G.D. per omicidio, in cui erano stati utilizzati dati di traffico e di ubicazione relativi a chiamate telefoniche. Nell’appello contro la condanna, l’interessato ha contestato la legittimità della conservazione e dell’accesso a tali dati in base alla legge irlandese del 2011, sostenendo che essa violasse il diritto dell’Unione. La High Court aveva ritenuto incompatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58 la disposizione nazionale che consentiva l’accesso ai dati, e l’Irlanda ha impugnato tale decisione dinanzi alla Supreme Court.

Normativa dell’Unione rilevante

La Corte richiama in particolare:

• la direttiva 2002/58/CE, soprattutto gli articoli 5, 6, 9 e 15, paragrafo 1;
• la direttiva 2009/136/CE, che ha modificato la direttiva 2002/58;
• la Carta dei diritti fondamentali, in particolare gli articoli 7, 8, 11 e 52, paragrafo 1;
• l’articolo 4, paragrafo 2, TUE, richiamato per la distinzione tra sicurezza nazionale e altri obiettivi di interesse generale;
• la direttiva 2006/24/CE, menzionata perché la legge irlandese ne costituiva il recepimento ed era stata poi oggetto di invalidazione nella causa Digital Rights Ireland.

Questioni pregiudiziali

La Supreme Court chiedeva, in sintesi:

• se un regime generale e universale di conservazione dei dati sia di per sé contrario all’articolo 15 della direttiva 2002/58, letto alla luce della Carta;
• se, nel valutare la proporzionalità di tale regime, il giudice possa tener conto della conservazione dei dati per finalità commerciali o di sicurezza nazionale;
• quale debba essere il criterio per valutare l’esistenza di un controllo preventivo indipendente sull’accesso ai dati, e se possa bastare un controllo successivo;
• se, anche qualora la conservazione sia indispensabile per combattere la criminalità grave, il giudice debba comunque dichiararne l’incompatibilità;
• se il giudice nazionale possa limitare nel tempo gli effetti della dichiarazione di incompatibilità;
• quale sia l’incidenza di tale incompatibilità sull’ammissibilità delle prove nel processo penale.

Ragionamento della Corte sulla conservazione dei dati

La Corte parte dalla struttura della direttiva 2002/58, che tutela la riservatezza delle comunicazioni e vieta in linea di principio la memorizzazione dei dati da parte di terzi senza consenso. L’articolo 15, paragrafo 1, consente agli Stati membri di introdurre eccezioni solo in modo restrittivo e solo se le misure sono necessarie, opportune e proporzionate in una società democratica.

La conservazione generalizzata e indifferenziata dei dati di traffico e di ubicazione viene qualificata come ingerenza grave nei diritti fondamentali garantiti dagli articoli 7 e 8 della Carta, con possibili effetti dissuasivi anche sulla libertà di espressione di cui all’articolo 11. Secondo la Corte, tali dati consentono di ricostruire aspetti molto precisi della vita privata delle persone e non possono essere oggetto di una sorveglianza sistematica e continua per finalità di contrasto alla criminalità grave.

La Corte esclude che la lotta alla criminalità grave, pur essendo di capitale importanza, giustifichi di per sé una conservazione generalizzata e indifferenziata. Tale obiettivo, infatti, non ha la stessa forza della salvaguardia della sicurezza nazionale, che può, in situazioni eccezionali di minaccia reale e attuale o prevedibile, giustificare misure più invasive. La criminalità grave non è assimilabile alla sicurezza nazionale.

Misure ammissibili in alternativa

La pronuncia precisa però che non tutte le forme di conservazione sono vietate. In particolare, restano compatibili con l’articolo 15, paragrafo 1, della direttiva 2002/58, se rispettano condizioni rigorose e sono previste da norme chiare e precise:

• la conservazione mirata dei dati di traffico e di ubicazione, delimitata in base a criteri oggettivi e non discriminatori, per categorie di persone o per criteri geografici;
• la conservazione generalizzata e indifferenziata degli indirizzi IP attribuiti all’origine della connessione, per un periodo limitato;
• la conservazione generalizzata e indifferenziata dei dati relativi all’identità civile degli utenti;
• la conservazione rapida (quick freeze) disposta da un’autorità competente per un periodo determinato.

La Corte chiarisce che la conservazione mirata non richiede necessariamente che siano già noti, prima dell’adozione della misura, i luoghi o le persone sospettate. Può essere basata su elementi oggettivi e non discriminatori, inclusi criteri geografici relativi a zone ad alto rischio o a luoghi strategici. La quick freeze, a sua volta, può riguardare non solo i sospettati, ma anche persone o luoghi connessi a un reato già accertato o ragionevolmente sospettato.

Accesso ai dati conservati e controllo indipendente

Quanto all’accesso ai dati, la Corte ribadisce che la normativa nazionale deve prevedere criteri oggettivi e precisi, e che l’accesso alle autorità competenti deve essere subordinato a un controllo preventivo effettuato da un giudice o da un organo amministrativo indipendente. Il controllo successivo non basta, salvo ipotesi di urgenza debitamente giustificata.

Nel caso irlandese, il sistema attribuiva il controllo preventivo a un funzionario di polizia, assistito da una unità interna alla polizia con una certa autonomia, e prevedeva solo controlli successivi di tipo giurisdizionale o di reclamo. La Corte ritiene che ciò non soddisfi i requisiti di indipendenza e imparzialità richiesti dal diritto dell’Unione, poiché il funzionario non è terzo rispetto all’autorità che richiede i dati e partecipa alla stessa struttura investigativa.

Effetti nel tempo della declaratoria di incompatibilità

Sul punto più delicato degli effetti temporali, la Corte afferma che il primato del diritto dell’Unione impedisce al giudice nazionale di limitare nel tempo gli effetti di una propria declaratoria di incompatibilità nei confronti di una normativa nazionale che impone una conservazione generalizzata e indifferenziata dei dati in violazione dell’articolo 15, paragrafo 1, della direttiva 2002/58. Solo la Corte può, in via eccezionale, limitare nel tempo gli effetti delle proprie interpretazioni, e ciò non è avvenuto nelle precedenti sentenze rilevanti.

La circostanza che la legge irlandese fosse stata adottata per recepire la direttiva 2006/24 è giudicata irrilevante, poiché tale direttiva è stata invalidata con efficacia retroattiva. Resta invece al diritto nazionale disciplinare l’ammissibilità delle prove ottenute tramite tali dati, nel rispetto dei principi di equivalenza ed effettività.

Dispositivo

La Corte conclude che:

• la conservazione preventiva generalizzata e indifferenziata dei dati di traffico e di ubicazione per la lotta alla criminalità grave e alla prevenzione delle minacce gravi alla sicurezza pubblica è contraria all’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce della Carta;
• un accesso centralizzato affidato a un funzionario di polizia non è conforme al requisito del controllo preventivo indipendente;
• un giudice nazionale non può limitare nel tempo gli effetti di una declaratoria di incompatibilità della normativa nazionale con il diritto dell’Unione.

Principi utili per la pratica

Per avvocati e operatori fiscali/aziendali, la sentenza conferma che, nel settore delle comunicazioni elettroniche, la conservazione dei dati è ammessa solo entro schemi rigorosamente delimitati e non può trasformarsi in una sorveglianza generalizzata della popolazione. In ambito penale, la legittimità dell’accesso ai dati e la validità probatoria delle informazioni acquisite dipendono dalla conformità della disciplina nazionale ai requisiti dell’Unione e dai principi processuali interni, che non possono però neutralizzare il primato del diritto UE.