Direttiva 2006/24

Conservazione dei dati di comunicazione elettronica per finalità investigative

La direttiva 2006/24/CE nasce dall’esigenza di armonizzare, nel mercato interno, gli obblighi di conservazione di taluni dati di traffico e ubicazione generati o trattati dai fornitori di servizi di comunicazione elettronica accessibili al pubblico e dalle reti pubbliche di comunicazione. Il contesto normativo è quello della direttiva 95/46/CE e della direttiva 2002/58/CE, ma la nuova disciplina introduce una deroga specifica alla regola generale di cancellazione o anonimizzazione dei dati non più necessari, al fine di assicurare la disponibilità delle informazioni per la prevenzione, indagine, accertamento e perseguimento di reati gravi.

Finalità e ratio dell’intervento

La direttiva mira a superare le divergenze tra legislazioni nazionali in materia di data retention, considerate ostacolo al mercato interno e alla cooperazione investigativa. Il legislatore dell’Unione richiama espressamente la necessità di rispettare l’articolo 8 CEDU e gli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, sottolineando che la conservazione dei dati deve essere proporzionata e limitata ai soli dati necessari, senza estendersi al contenuto delle comunicazioni.

Ambito di applicazione soggettivo e oggettivo

La disciplina si applica ai fornitori di servizi di comunicazione elettronica accessibili al pubblico e ai fornitori di reti pubbliche di comunicazione che operano nell’ambito della giurisdizione dello Stato membro. L’ambito oggettivo comprende i dati relativi al traffico, i dati relativi all’ubicazione e i dati connessi necessari per identificare l’abbonato o l’utente registrato, sia persone fisiche sia giuridiche. Restano esclusi il contenuto delle comunicazioni e le informazioni consultate tramite la rete.

L’articolo 2 definisce in modo puntuale le nozioni rilevanti, tra cui:

• dati;
• utente;
• servizio telefonico;
• identificativo dell’utente;
• etichetta di ubicazione (Cell ID);
• tentativo di chiamata non riuscito.

Obbligo di conservazione e categorie di dati

L’articolo 3 impone agli Stati membri di adottare misure per garantire che i dati elencati all’articolo 5, se generati o trattati nel quadro dei servizi interessati, siano conservati conformemente alla direttiva. La conservazione riguarda anche, in presenza dei presupposti tecnici indicati, i dati relativi ai tentativi di chiamata non riusciti; non è invece imposta la conservazione delle chiamate non collegate.

L’articolo 5 elenca tassativamente le categorie di dati da conservare, distinguendo tra telefonia fissa/mobile, accesso Internet, posta elettronica su Internet e telefonia via Internet. In particolare, vengono in rilievo:

• identificazione della fonte e della destinazione della comunicazione;
• data, ora e durata;
• tipo di comunicazione;
• identificativi tecnici delle apparecchiature e degli utenti (numero chiamante, IP, IMSI, IMEI, identificativi utente);
• dati di ubicazione delle apparecchiature mobili (Cell ID).

È espressamente vietata la conservazione del contenuto della comunicazione.

Accesso ai dati, sicurezza e controllo

L’articolo 4 stabilisce che i dati conservati possono essere trasmessi solo alle autorità nazionali competenti e solo in casi specifici, secondo la normativa nazionale. Le procedure di accesso e le condizioni da rispettare sono rimesse agli Stati membri, ma devono restare conformi ai principi di necessità e proporzionalità e al quadro UE e CEDU.

Per la sicurezza dei dati, l’articolo 7 impone ai fornitori standard minimi di protezione: qualità dei dati, misure tecniche e organizzative contro perdita, alterazione, distruzione, accessi e divulgazioni non autorizzati, accesso limitato a persone autorizzate e distruzione dei dati alla fine del periodo di conservazione, salvo quelli consultati e conservati. L’articolo 9 prevede un controllo da parte di una o più autorità pubbliche indipendenti, eventualmente coincidenti con le autorità di cui all’articolo 28 della direttiva 95/46/CE.

Durata della conservazione e possibile proroga eccezionale

L’articolo 6 fissa una finestra temporale obbligatoria compresa tra sei mesi e due anni dalla data della comunicazione. Ciò lascia agli Stati membri un margine di discrezionalità nel determinare il periodo concreto, purché non inferiore al minimo e non superiore al massimo.

In via eccezionale, l’articolo 12 consente a uno Stato membro che affronti circostanze particolari di prorogare, per un periodo limitato, il periodo massimo di conservazione. La misura deve essere notificata immediatamente alla Commissione e agli altri Stati membri e motivata; la Commissione decide entro sei mesi. In assenza di decisione, la misura si considera approvata.

Responsabilità, ricorsi e sanzioni

L’articolo 13 impone l’attuazione piena delle disposizioni nazionali in materia di ricorsi giurisdizionali, responsabilità e sanzioni previste dal capo III della direttiva 95/46/CE. Inoltre, l’accesso o trasferimento intenzionale non autorizzato di dati conservati deve essere punito con sanzioni efficaci, proporzionate e dissuasive, anche di natura amministrativa o penale.

Obblighi di reporting e valutazione

L’articolo 10 impone agli Stati membri l’invio annuale alla Commissione di statistiche prive di dati personali, relative ai casi in cui le informazioni sono state trasmesse alle autorità competenti, al tempo intercorso tra conservazione e richiesta e ai casi di mancato soddisfacimento delle richieste.

L’articolo 14 prevede che la Commissione presenti entro il 15 settembre 2010 una valutazione dell’applicazione della direttiva e del suo impatto su operatori economici e consumatori, tenendo conto dell’evoluzione tecnologica e delle statistiche ricevute. La valutazione deve essere resa pubblica e può condurre a modifiche, soprattutto riguardo alle categorie di dati e ai periodi di conservazione.

Recepimento, entrata in vigore e facoltà di rinvio settoriale

Il termine di recepimento è fissato al 15 settembre 2007. Gli Stati membri devono adottare le misure legislative, regolamentari e amministrative necessarie e comunicare immediatamente alla Commissione il testo delle disposizioni di recepimento; gli atti nazionali devono contenere un riferimento alla direttiva o esserne corredati alla pubblicazione ufficiale.

L’articolo 15, paragrafo 3, riconosce agli Stati membri la facoltà di differire fino al 15 marzo 2009 l’applicazione della direttiva ai dati relativi ad accesso Internet, telefonia via Internet e posta elettronica su Internet. La direttiva è entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Modifica della direttiva 2002/58/CE

La direttiva modifica espressamente la direttiva 2002/58/CE, inserendo all’articolo 15 un paragrafo 1 bis che esclude dall’ambito della deroga generale i dati la cui conservazione è specificamente prevista dalla nuova disciplina. In tal modo, la conservazione obbligatoria introdotta dalla direttiva 2006/24/CE si colloca come regime speciale rispetto alla disciplina generale della riservatezza nelle comunicazioni elettroniche.