Corte di giustizia, Sentenza C-339/20

Conservazione dei dati di traffico per indagini sugli abusi di mercato

La pronuncia, resa su rinvio pregiudiziale della Cour de cassation francese nelle cause riunite C-339/20 e C-397/20, riguarda l’interazione tra disciplina degli abusi di mercato, tutela dei dati personali nelle comunicazioni elettroniche e poteri investigativi dell’autorità finanziaria nazionale. Il contesto è penale: VD e SR erano indagati e poi imputati per abuso di informazioni privilegiate e altri reati connessi.

Fatti e procedimento principale

L’AMF aveva raccolto, sulla base del diritto francese, dati di traffico relativi a chiamate telefoniche effettuate dai due interessati e li aveva trasmessi all’autorità giudiziaria, contribuendo all’estensione delle indagini e alle incriminazioni. Gli interessati contestavano la legittimità dell’acquisizione dei dati, sostenendo che la normativa francese prevedesse una conservazione generalizzata e indiscriminata dei dati di connessione e un accesso non preceduto da controllo di un giudice o di un’autorità indipendente.

Normativa UE rilevante

La Corte richiama, in particolare:

• la direttiva 2002/58/CE, soprattutto l’articolo 15, paragrafo 1, e le regole sulla riservatezza delle comunicazioni e dei dati di traffico;
• la direttiva 2003/6/CE, articolo 12, paragrafo 2, lettere a) e d);
• il regolamento (UE) n. 596/2014, in particolare l’articolo 23, paragrafo 2, lettere g) e h), oltre agli articoli 1 e 3;
• la Carta dei diritti fondamentali, articoli 7, 8, 11 e 52, paragrafo 1;
• l’articolo 267 TFUE per il rinvio pregiudiziale.

Questioni pregiudiziali

Il giudice del rinvio chiedeva essenzialmente:

• se le norme UE in materia di abusi di mercato possano giustificare una conservazione temporanea ma generalizzata dei dati di traffico per consentire all’AMF di ottenere elementi utili alle indagini;
• se, in caso di incompatibilità della disciplina francese con il diritto UE, un giudice nazionale possa limitare nel tempo gli effetti dell’invalidità;
• se il medesimo giudice possa mantenere provvisoriamente efficaci norme che consentono l’accesso ai dati senza previa autorizzazione giurisdizionale o di un’autorità amministrativa indipendente.

Ragionamento della Corte: interpretazione delle norme sugli abusi di mercato

La Corte osserva anzitutto che l’articolo 12, paragrafo 2, della direttiva 2003/6 e l’articolo 23, paragrafo 2, del regolamento n. 596/2014 disciplinano soltanto i poteri di richiesta e di accesso dell’autorità competente ai dati già esistenti presso gli operatori. Il riferimento alle registrazioni “esistenti” e “conservate” non consente di ricavare un potere degli Stati membri di imporre un obbligo generale di conservazione dei dati di traffico.

La Corte precisa inoltre che il regolamento n. 596/2014 contiene norme specifiche sulla conservazione dei dati, ma solo per gli operatori finanziari e per dati relativi alle operazioni finanziarie, non per gli operatori di telecomunicazioni. Ne deriva che le norme invocate non possono costituire base giuridica autonoma per una conservazione generalizzata dei dati di traffico da parte degli operatori di comunicazioni elettroniche.

Valutazione alla luce della direttiva 2002/58 e della Carta

La Corte ribadisce che la direttiva 2002/58 costituisce il quadro di riferimento per il trattamento dei dati personali nel settore delle comunicazioni elettroniche. Di conseguenza, la liceità della conservazione e dell’accesso ai dati deve essere valutata alla luce dell’articolo 15, paragrafo 1, di tale direttiva e dei diritti garantiti dagli articoli 7, 8 e 11 della Carta.

Richiamando la propria giurisprudenza, la Corte afferma che una conservazione generalizzata e indiscriminata dei dati relativi al traffico e all’ubicazione, imposta a fini di prevenzione, ricerca, accertamento e perseguimento dei reati, eccede i limiti dello stretto necessario e non può essere giustificata in una società democratica. Anche se i dati non comprendono il contenuto delle comunicazioni, essi consentono di trarre conclusioni molto precise sulla vita privata delle persone interessate.

Pertanto, una normativa nazionale che imponga per un anno, a titolo preventivo, una conservazione generalizzata e indiscriminata dei dati di traffico per finalità di contrasto degli abusi di mercato è incompatibile con il diritto dell’Unione.

Effetti nel tempo della declaratoria di incompatibilità

La Corte ricorda che il primato del diritto dell’Unione impone al giudice nazionale di disapplicare la norma interna incompatibile. Solo la Corte può, in via eccezionale, limitare nel tempo gli effetti della propria interpretazione del diritto dell’Unione; il giudice nazionale non dispone di tale potere.

La Corte esclude anche un mantenimento provvisorio degli effetti della normativa nazionale in esame: diversamente da ipotesi eccezionali legate all’ambiente o ad altre materie specifiche, qui il mantenimento continuerebbe a imporre obblighi contrari al diritto UE e ad arrecare ingerenze gravi nei diritti fondamentali.

Ammissibilità delle prove

Quanto all’uso processuale dei dati acquisiti, la Corte richiama il principio di autonomia procedurale degli Stati membri: l’ammissibilità delle prove è questione di diritto nazionale, nel rispetto dei principi di equivalenza ed effettività. In particolare, il giudice penale nazionale deve escludere gli elementi di prova ottenuti mediante conservazione o accesso incompatibili con il diritto dell’Unione quando ciò sia necessario per garantire un esercizio effettivo dei diritti della difesa.

Dispositivo

La Corte dichiara che:

• l’articolo 12, paragrafo 2, lettere a) e d), della direttiva 2003/6 e l’articolo 23, paragrafo 2, lettere g) e h), del regolamento n. 596/2014, letti con l’articolo 15, paragrafo 1, della direttiva 2002/58 e la Carta, ostano a misure legislative che prevedono una conservazione generalizzata e indiscriminata dei dati relativi al traffico per un anno per finalità di contrasto degli abusi di mercato;
• il diritto dell’Unione osta a che un giudice nazionale limiti nel tempo gli effetti di una declaratoria di invalidità di una normativa nazionale incompatibile con il diritto UE;
• l’ammissibilità delle prove ottenute in applicazione di norme nazionali incompatibili resta disciplinata dal diritto nazionale, nel rispetto dei principi di equivalenza ed effettività.

Implicazioni pratiche

Per gli operatori e i professionisti, la sentenza conferma che i poteri investigativi delle autorità di vigilanza finanziaria non possono essere costruiti, in via legislativa, su una retention generalizzata dei dati di traffico incompatibile con la disciplina europea della privacy nelle comunicazioni elettroniche. In ambito processuale, inoltre, non è il giudice nazionale a poter “salvare” temporaneamente una norma incompatibile con il diritto UE, mentre resta aperto, secondo il diritto interno, il tema dell’utilizzabilità delle prove già acquisite.