Corte di giustizia, Sentenza C-623/17

Trasmissione di dati di comunicazione in massa ai servizi di sicurezza e intelligence per la sicurezza nazionale

La pronuncia riguarda un rinvio pregiudiziale dell’Investigatory Powers Tribunal (Regno Unito) nell’ambito della controversia tra Privacy International e varie autorità e servizi di sicurezza britannici. La Corte era chiamata a stabilire se un regime nazionale che impone ai fornitori di servizi di comunicazione elettronica di trasmettere dati di traffico e dati di ubicazione ai servizi di intelligence, per finalità di sicurezza nazionale, rientri nella direttiva 2002/58 e se sia compatibile con il diritto dell’Unione.

Fatti e procedimento principale

Nel procedimento principale era contestata la legittimità di pratiche di raccolta e utilizzo di dati di comunicazione in massa da parte del GCHQ, dell’MI5 e dell’MI6. Il giudice del rinvio ha evidenziato che, sulla base dell’articolo 94 del Telecommunications Act 1984, un ministro può imporre ai fornitori di servizi di comunicazione elettronica l’obbligo di comunicare dati ai servizi di sicurezza e intelligence.

Il giudice nazionale ha descritto il sistema come fondato su raccolte non mirate, trattamenti automatizzati e analisi di massa di metadati, con successiva conservazione dei dati da parte dello Stato e possibile divulgazione o condivisione con soggetti terzi e Stati esteri. Ha quindi chiesto alla Corte, in sintesi, se tale regime rientri nel diritto dell’Unione e, in caso positivo, quali limiti derivino dalla sentenza Tele2 Sverige e Watson.

Normativa rilevante

La Corte ha richiamato in particolare:

• la direttiva 2002/58/CE, segnatamente gli articoli 1, paragrafo 3, 3, 5, 6, 9 e 15, paragrafo 1;
• la direttiva 95/46/CE e il regolamento (UE) 2016/679, in relazione alla nozione di trattamento dei dati personali e alla delimitazione dell’ambito di applicazione;
• l’articolo 4, paragrafo 2, TUE, sulla competenza esclusiva degli Stati membri in materia di sicurezza nazionale;
• gli articoli 7, 8, 11 e 52, paragrafo 1, della Carta.

Prima questione: ambito di applicazione della direttiva 2002/58

La Corte ha osservato che l’articolo 1, paragrafo 3, della direttiva 2002/58 esclude dal suo ambito soltanto le attività dello Stato che esulano dal diritto dell’Unione, ma non ogni misura adottata per finalità di sicurezza nazionale. Poiché l’articolo 15, paragrafo 1, della stessa direttiva autorizza espressamente gli Stati membri ad adottare misure legislative che limitino i diritti e gli obblighi previsti dalla direttiva, quelle misure devono necessariamente rientrare nel suo ambito di applicazione.

La comunicazione di dati personali mediante trasmissione, la loro conservazione o ogni altra forma di messa a disposizione costituisce, secondo la Corte, un "trattamento" ai sensi del regolamento 2016/679 e quindi, per il tramite dell’articolo 3 della direttiva 2002/58, rientra nel suo perimetro normativo. Ne consegue che una norma come l’articolo 94 della legge britannica, che impone ai provider di trasmettere dati a organi statali, non è sottratta alla direttiva solo perché finalizzata alla sicurezza nazionale.

La Corte ha anche precisato che l’articolo 4, paragrafo 2, TUE non può essere invocato per escludere l’applicazione del diritto dell’Unione: la circostanza che una misura sia adottata per la sicurezza nazionale non la rende automaticamente estranea al controllo europeo.

Seconda questione: compatibilità della trasmissione generalizzata e indifferenziata

Quanto al merito, la Corte ha ricordato che l’articolo 5, paragrafo 1, della direttiva 2002/58 sancisce il principio di riservatezza delle comunicazioni e dei dati sul traffico, consentendo deroghe solo nei limiti dell’articolo 15, paragrafo 1. Quest’ultimo permette restrizioni solo se necessarie, opportune e proporzionate in una società democratica per specifiche finalità, tra cui la sicurezza nazionale.

La trasmissione generalizzata e indifferenziata dei dati di traffico e di ubicazione a servizi di intelligence costituisce, per la Corte, un’ingerenza molto grave nei diritti garantiti dagli articoli 7 e 8 della Carta e può incidere anche sulla libertà di espressione tutelata dall’articolo 11, anche per il possibile effetto dissuasivo su giornalisti, informatori e soggetti soggetti a segreto professionale.

La Corte ha riconosciuto che la sicurezza nazionale riveste un’importanza primaria e può giustificare ingerenze più intense rispetto ad altri obiettivi di interesse generale. Tuttavia, anche in tale ambito, la misura deve restare entro i limiti dello stretto necessario e deve essere accompagnata da regole chiare e precise che delimitino portata, condizioni e garanzie.

Nel caso di specie, la trasmissione generalizzata e indifferenziata riguarda l’insieme degli utenti, senza alcun nesso, neppure indiretto, con una minaccia per la sicurezza nazionale. Per la Corte, una simile misura equivale a un accesso generale ai dati e trasforma l’eccezione in regola, in contrasto con l’architettura della direttiva 2002/58.

Rapporto con la giurisprudenza precedente

La Corte ha distinto la presente fattispecie dalla sentenza Parlamento/Consiglio e Commissione (PNR), relativa alla direttiva 95/46, osservando che quella giurisprudenza non è trasponibile automaticamente all’articolo 1, paragrafo 3, della direttiva 2002/58. Ha inoltre richiamato Tele2 Sverige e Watson e la successiva giurisprudenza, ribadendo che le deroghe alla riservatezza non possono divenire la regola.

Decisione e dispositivo

La Corte ha risposto che:

• la direttiva 2002/58 si applica a una normativa nazionale che impone ai fornitori di servizi di comunicazione elettronica di trasmettere dati di traffico e di ubicazione ai servizi di sicurezza e intelligence per la sicurezza nazionale;
• l’articolo 15, paragrafo 1, della direttiva, letto alla luce dell’articolo 4, paragrafo 2, TUE e della Carta, osta a una normativa che consenta una trasmissione generalizzata e indifferenziata di tali dati.

Principi pratici per gli operatori

Per i professionisti, la sentenza conferma che:

• gli ordini statali rivolti ai provider per ottenere dati di comunicazione restano soggetti alla disciplina UE se coinvolgono obblighi imposti ai fornitori;
• la finalità di sicurezza nazionale non basta, da sola, a sottrarre la misura al diritto dell’Unione;
• misure di accesso o trasmissione massiva e indiscriminata di metadati sono, in linea di principio, incompatibili con la direttiva ePrivacy, salvo casi eccezionali e comunque entro un quadro normativo rigoroso e mirato.