Corte di Giustizia UE, I Sezione, sentenza 07 settembre 2023 (causa C-162/2022)
PRINCIPIO DI DIRITTO
L’articolo 15, paragrafo 1, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea, deve essere interpretato nel senso che esso osta a che dati personali relativi a comunicazioni elettroniche che sono stati conservati, in applicazione di una misura legislativa adottata ai sensi di tale disposizione, dai fornitori di servizi di comunicazione elettronica e che sono stati successivamente messi a disposizione, in applicazione della medesima misura, delle autorità competenti a fini di lotta alla criminalità grave possano essere utilizzati nell’ambito di indagini per condotte illecite di natura corruttiva.
TESTO RILEVANTE DELLA DECISIONE (sintesi massimata)
Sulla questione pregiudiziale
27 Con la sua questione, il giudice del rinvio chiede, in sostanza, se l’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta, debba essere interpretato nel senso che esso osta a che dati personali relativi a comunicazioni elettroniche che sono stati conservati, in applicazione di una misura legislativa adottata ai sensi di tale disposizione, dai fornitori di servizi di comunicazione elettronica e che sono stati successivamente messi a disposizione, in applicazione della medesima misura, delle autorità competenti a fini di lotta alla criminalità grave possano essere utilizzati nell’ambito di indagini per condotte illecite di natura corruttiva.
28 In via preliminare, occorre rilevare che dalla decisione di rinvio risulta che, sebbene il fascicolo amministrativo relativo al procedimento conclusosi con i decreti di cui al procedimento principale richiamati al punto 19 della presente sentenza comprendesse anche informazioni raccolte dalle autorità competenti grazie all’intercettazione e alla registrazione di comunicazioni elettroniche che erano state autorizzate, ai fini dell’azione penale, da due ordinanze giudiziarie, ciò non toglie che il giudice del rinvio si interroghi non tanto sull’uso di dati personali ottenuti senza l’intervento dei fornitori di servizi di comunicazione elettronica, quanto sull’uso successivo di dati personali che sono stati conservati da tali fornitori sulla base di una misura legislativa dello Stato membro che impone loro un siffatto obbligo di conservazione, ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58.
29 A tale riguardo, dalle indicazioni contenute nella domanda di pronuncia pregiudiziale risulta che i dati oggetto della questione sollevata sono quelli conservati in forza dell’articolo 65, paragrafo 2, della legge sulle comunicazioni elettroniche, in combinato disposto con l’allegato 1 a tale legge, che impone ai fornitori di servizi di comunicazione elettronica un obbligo di conservare, in modo generalizzato e indifferenziato, i dati relativi al traffico e i dati relativi all’ubicazione relativi a siffatte comunicazioni ai fini della lotta alla criminalità grave.
30 Per quanto concerne le condizioni alle quali tali dati possono essere utilizzati in occasione di un procedimento amministrativo relativo a condotte illecite di natura corruttiva, occorre innanzitutto ricordare che l’accesso ai dati suddetti può essere concesso, in applicazione di una misura adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58, soltanto se e in quanto tali dati siano stati conservati da detti fornitori in un modo conforme a detta disposizione [v., in tal senso, sentenza del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche), C‑746/18, EU:C:2021:152, punto 29 e giurisprudenza ivi citata]. Inoltre, l’uso successivo di dati relativi al traffico e dei dati relativi all’ubicazione riguardanti siffatte comunicazioni ai fini della lotta alla criminalità grave è possibile soltanto a condizione, da un lato, che la conservazione di detti dati da parte dei fornitori di servizi di comunicazione elettronica sia avvenuta in modo conforme all’articolo 15, paragrafo 1, della direttiva 2002/58, come interpretata dalla giurisprudenza della Corte, e, dall’altro, che l’accesso a tali dati sia anch’esso stato concesso alle autorità competenti in modo conforme alla suddetta disposizione.
31 A questo proposito, la Corte ha già statuito che l’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta osta a misure legislative che prevedono, a titolo preventivo, per finalità di lotta alla criminalità grave e di prevenzione delle minacce gravi alla pubblica sicurezza, la conservazione generalizzata e indiscriminata dei dati relativi al traffico e dei dati relativi all’ubicazione (sentenza del 20 settembre 2022, SpaceNet e Telekom Deutschland, C‑793/19 e C‑794/19, EU:C:2022:702, punti 74 e 131 nonché giurisprudenza ivi citata). Per contro, essa ha precisato che l’articolo 15, paragrafo 1, letto alla luce degli articoli 7, 8 e 11 e dell’articolo 52, paragrafo 1, della Carta, non osta a misure legislative che prevedano, ai fini della lotta ai reati gravi e della prevenzione delle minacce gravi alla pubblica sicurezza,
– una conservazione mirata dei dati relativi al traffico e dei dati relativi all’ubicazione che sia delimitata, sulla base di elementi oggettivi e non discriminatori, in funzione delle categorie di persone interessate o mediante un criterio geografico, per un periodo temporalmente limitato allo stretto necessario, ma rinnovabile;
– una conservazione generalizzata e indiscriminata degli indirizzi IP attribuiti all’origine di una connessione, per un periodo temporalmente limitato allo stretto necessario;
– una conservazione generalizzata e indiscriminata dei dati relativi all’identità anagrafica degli utenti di mezzi di comunicazione elettronica, e
– il ricorso a un’ingiunzione che imponga ai fornitori di servizi di comunicazione elettronica, mediante un provvedimento dell’autorità competente soggetto a un controllo giurisdizionale effettivo, di procedere, per un periodo determinato, alla conservazione rapida dei dati relativi al traffico e dei dati relativi all’ubicazione di cui detti fornitori di servizi dispongono,
quando tali misure garantiscono, mediante norme chiare e precise, che la conservazione dei dati di cui trattasi è subordinata al rispetto delle relative condizioni sostanziali e procedurali e che gli interessati dispongono di garanzie effettive contro il rischio di abusi (sentenza del 20 settembre 2022, SpaceNet e Telekom Deutschland, C‑793/19 e C‑794/19, EU:C:2022:702, punto 75 e giurisprudenza ivi citata).
32 Per quanto riguarda gli obiettivi idonei a giustificare l’utilizzo, da parte delle autorità pubbliche, dei dati conservati dai fornitori di servizi di comunicazione elettronica in applicazione di una misura conforme a tali disposizioni, occorre ricordare che l’articolo 15, paragrafo 1, della direttiva 2002/58 consente agli Stati membri di introdurre eccezioni all’obbligo di principio, enunciato all’articolo 5, paragrafo 1, di tale direttiva, di garantire la riservatezza dei dati personali nonché ai corrispondenti obblighi, menzionati in particolare agli articoli 6 e 9 di detta direttiva, qualora tale restrizione costituisca una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale, della difesa e della sicurezza pubblica, e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. A tal fine, gli Stati membri possono, tra l’altro, adottare misure legislative che prevedano la conservazione dei dati per un periodo di tempo limitato, qualora ciò sia giustificato da uno dei suddetti motivi (sentenza del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, punto 110).
33 Orbene, l’articolo 15, paragrafo 1, della direttiva 2002/58 non può giustificare il fatto che la deroga all’obbligo di principio di garantire la riservatezza delle comunicazioni elettroniche e dei dati a queste correlati e, in particolare, al divieto di memorizzare tali dati, espressamente previsto all’articolo 5 di detta direttiva, divenga la regola, salvo privare quest’ultima norma di gran parte della sua portata (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 40).
34 Quanto agli obiettivi idonei a giustificare una limitazione dei diritti e degli obblighi previsti, in particolare, dagli articoli 5, 6 e 9 della direttiva 2002/58, la Corte ha già dichiarato che l’elenco degli obiettivi di cui all’articolo 15, paragrafo 1, prima frase, di tale direttiva ha carattere tassativo, di modo che una misura legislativa adottata ai sensi di detta disposizione deve rispondere in modo effettivo e rigoroso ad uno di questi obiettivi (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 41).
35 Per quanto attiene agli obiettivi d’interesse generale che possono giustificare una misura adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58, si evince dalla giurisprudenza della Corte che, secondo il principio di proporzionalità, esiste una gerarchia tra tali obiettivi in funzione della loro rispettiva importanza e che l’importanza dell’obiettivo perseguito da una simile misura deve essere rapportata alla gravità dell’ingerenza che ne risulta (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 56).
36 A questo proposito, l’importanza dell’obiettivo della salvaguardia della sicurezza nazionale, letto alla luce dell’articolo 4, paragrafo 2, TUE, secondo il quale la salvaguardia della sicurezza nazionale rimane di competenza esclusiva di ciascuno Stato membro, supera quella degli altri obiettivi di cui all’articolo 15, paragrafo 1, della direttiva 2002/58, in particolare degli obiettivi di lotta alla criminalità in generale, anche grave, e di salvaguardia della sicurezza pubblica. Fatto salvo il rispetto degli altri requisiti previsti all’articolo 52, paragrafo 1, della Carta, l’obiettivo di salvaguardia della sicurezza nazionale è quindi idoneo a giustificare misure che comportino ingerenze nei diritti fondamentali più gravi di quelle che potrebbero giustificare tali altri obiettivi (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 57 e giurisprudenza ivi citata).
37 Per quanto riguarda l’obiettivo di prevenzione, ricerca, accertamento e perseguimento dei reati, la Corte ha rilevato che, conformemente al principio di proporzionalità, solo la lotta alle forme gravi di criminalità e la prevenzione di minacce gravi alla sicurezza pubblica sono idonee a giustificare ingerenze gravi nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta, come quelle che comporta la conservazione dei dati relativi al traffico e dei dati relativi all’ubicazione. Pertanto, solo le ingerenze in tali diritti fondamentali che non presentano un carattere grave possono essere giustificate dall’obiettivo di prevenzione, ricerca, accertamento e perseguimento di reati in generale (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 59 e giurisprudenza ivi citata).
38 Da tale giurisprudenza risulta che, sebbene la lotta alla criminalità grave e la prevenzione delle minacce gravi alla sicurezza pubblica siano di importanza minore, nella gerarchia degli obiettivi di interesse generale, rispetto alla salvaguardia della sicurezza nazionale (v., in tal senso, sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 99), la loro importanza supera talvolta quella della lotta contro la criminalità in generale e della prevenzione della minacce non gravi alla sicurezza pubblica.
39 In tale contesto, occorre tuttavia ricordare che, come risulta altresì dal punto 31 della presente sentenza, la possibilità per gli Stati membri di giustificare una limitazione dei diritti e degli obblighi previsti, segnatamente, agli articoli 5, 6 e 9 della direttiva 2002/58 deve essere valutata misurando la gravità dell’ingerenza che una restrizione siffatta comporta e verificando che l’importanza dell’obiettivo di interesse generale perseguito da tale limitazione sia adeguata a detta gravità (sentenza del 6 ottobre 2020, La Quadrature du Net e a., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 131).
40 Inoltre, la Corte ha già dichiarato che l’accesso a dati relativi al traffico e a dati relativi all’ubicazione conservati da fornitori in applicazione di una misura adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58, che deve avvenire nel pieno rispetto delle condizioni risultanti dalla giurisprudenza che ha interpretato tale direttiva, può in linea di principio essere giustificato solo dall’obiettivo di interesse generale per il quale tale conservazione è stata imposta a tali fornitori. La situazione è diversa solo se l’importanza dell’obiettivo perseguito dall’accesso supera quella dell’obiettivo che ha giustificato la conservazione (sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 98 e giurisprudenza ivi citata).
41 Orbene, tali considerazioni si applicano mutatis mutandis a un uso successivo dei dati relativi al traffico e a dati relativi all’ubicazione conservati da fornitori di servizi di comunicazione elettronica in applicazione di una misura adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58 ai fini della lotta alla criminalità grave. In effetti, tali dati non possono, dopo essere stati conservati e messi a disposizione delle autorità competenti ai fini della lotta alla criminalità grave, essere trasmessi ad altre autorità e utilizzati al fine di realizzare obiettivi, quali, come nel caso di specie, la lotta a una condotta illecita di natura corruttiva, che sono di importanza minore, nella gerarchia degli obiettivi di interesse generale, rispetto a quello della lotta alla criminalità grave e della prevenzione delle minacce gravi alla sicurezza pubblica. Infatti, autorizzare, in una situazione del genere, l’accesso ai dati conservati sarebbe contrario a tale gerarchia degli obiettivi di interesse generale richiamata ai punti 33, da 35 a 37 e 40 della presente sentenza (v., in tal senso, sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C‑140/20, EU:C:2022:258, punto 99).
42 Per quanto riguarda l’argomento sollevato dal governo ceco e dall’Irlanda nelle loro osservazioni scritte, secondo cui un procedimento disciplinare relativo a una condotta illecita di natura corruttiva potrebbe essere collegato alla salvaguardia della sicurezza pubblica, è sufficiente rilevare che, nella sua decisione di rinvio, il giudice del rinvio non ha menzionato una minaccia grave alla sicurezza pubblica.
43 Peraltro, se è vero che le indagini amministrative vertenti su illeciti disciplinari o condotte illecite di natura corruttiva possono svolgere un ruolo importante nella lotta contro tali atti, una misura legislativa che prevede siffatte indagini non risponde in modo effettivo e rigoroso all’obiettivo del perseguimento e della sanzione dei reati, di cui all’articolo 15, paragrafo 1, prima frase, della direttiva 2002/58, il quale riguarda solo azioni penali.
44 Alla luce di quanto precede occorre rispondere alla questione sollevata dichiarando che l’articolo 15, paragrafo 1, della direttiva 2002/58, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta, deve essere interpretato nel senso che esso osta a che dati personali relativi a comunicazioni elettroniche che sono stati conservati, in applicazione di una misura legislativa adottata ai sensi di tale disposizione, dai fornitori di servizi di comunicazione elettronica e che sono stati successivamente messi a disposizione, in applicazione della medesima misura, delle autorità competenti a fini di lotta alla criminalità grave possano essere utilizzati nell’ambito di indagini per condotte illecite di natura corruttiva.
Sulle spese
45 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
L’articolo 15, paragrafo 1, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea, deve essere interpretato nel senso che:
esso osta a che dati personali relativi a comunicazioni elettroniche che sono stati conservati, in applicazione di una misura legislativa adottata ai sensi di tale disposizione, dai fornitori di servizi di comunicazione elettronica e che sono stati successivamente messi a disposizione, in applicazione della medesima misura, delle autorità competenti a fini di lotta alla criminalità grave possano essere utilizzati nell’ambito di indagini per condotte illecite di natura corruttiva.
