In due recentissime occasioni, la Corte di Giustizia dell’Unione europea si è trovata a valutare la compatibilità di una legge nazionale rispetto al diritto europeo alla luce del grado di ingerenza della prima rispetto al diritto alla protezione dei dati personali. Per verificare se la legge nazionale fosse conforme al preminente diritto europeo, la Corte ha condotto tale valutazione alla luce del principio di proporzionalità che ha applicato come sarà di seguito illustrato.
Il primo caso: la sentenza del 3 settembre 2026, caso C-798/24
Nel primo caso (approfondito dalla Prof.ssa Avv. Giusella Finocchiaro per il Sole 24 Ore, “Tra privacy e Registri un delicato equilibrio di interessi da tutelare” ), la Corte è stata chiamata a pronunciarsi sul bilanciamento fra il diritto alla protezione dei dati personali e la finalità di trasparenza perseguita dalla normativa nazionale (lettone, nel caso di specie). In particolare, quest’ultima prevedeva l’accessibilità online e il download, senza alcuna restrizione, di molteplici dati personali afferenti ad azionisti di società di azioni attraverso il registro pubblico delle imprese.
Investita della questione di compatibilità rispetto al GDPR (il Regolamento 2016/679), la Corte ha ritenuto che la normativa lettone andasse valutata alla luce dei principi dettati dall’art. 5 del GDPR e, più specificamente, del principio di limitazione della finalità. La Corte ha quindi indicato alcuni criteri per guidare il giudice del rinvio nella propria decisione, ricordando che spetta esclusivamente a quest’ultimo la valutazione ultima.
Secondo la Corte, l’ingerenza nei diritti e nelle libertà fondamentali causata dall’accessibilità ai dati personali prevista dalla legge lettone sarebbe ammissibile soltanto in presenza di:
- 1) la dimostrazione di un interesse legittimo ad accedere ai dati personali in questione;
- 2) la presenza di soluzioni, anche tecnologiche, che permettano un accesso restrittivo contro l’eventuale uso abusivo dei dati personali.
In altre parole, secondo la Corte, una normativa nazionale che preveda – seppur per il perseguimento di obiettivi di interesse pubblico – un’accessibilità incondizionata e la possibilità di scaricare dati personali senza alcuna restrizione sarebbe contraria ai principi del Regolamento.
Il secondo caso: le conclusioni dell’Avvocato Generale nel caso C-661/24
Segue un ragionamento analogo l’Avvocato generale Szpunar che ha fornito il proprio parere in un caso avente ad oggetto la compatibilità di una legge belga sulla conservazione generalizzata e indifferenziata dei dati relativi al traffico e all’ubicazione, quali più precisamente “gli identificativi dell’origine e della destinazione della comunicazione, le date e le ore precise di inizio e di fine della comunicazione, l’ubicazione delle apparecchiature terminali delle parti della comunicazione, il numero di telefono all’origine della comunicazione in entrata, l’indirizzo IP all’origine della comunicazione in entrata, la marcatura temporale e la porta utilizzata, le date e le ore precise della comunicazione in entrata, nonché tutti i dati necessari per garantire la sicurezza e il buon funzionamento delle reti e dei servizi di comunicazione elettronica”.
In particolare, la legge belga in esame prevedrebbe un obbligo a carico dei fornitori di servizi di comunicazione elettronica e di operatori di reti mobili di conservare i dati sopra elencati al fine di “impedire, (…) accertare o analizzare le frodi e gli usi illeciti delle loro reti o del servizio o poterne identificare gli autori e l’origine” nonché per consentire l’analisi o la soluzione “in caso di frode specifica accertata o di uso illecito specifico della rete (o del servizio) accertato”.
Il giudice del rinvio chiede pertanto alla Corte se tale normativa nazionale sia in contrasto con la Direttiva 2002/58 e, in particolare, con l’art. 15 che prevede la facoltà per gli Stati membri di derogare al principio di riservatezza delle comunicazioni e al divieto di trattamento dei dati di ubicazione, ma solo per obiettivi elencati in modo tassativo (quali sicurezza nazionale, difesa, sicurezza pubblica, prevenzione e repressione dei reati, uso non autorizzato del sistema di comunicazione elettronica).
Investito della questione, l’Avvocato generale in primo luogo ricorda che i diritti di riservatezza e di protezione dei dati personali “non appaiono come prerogative assolute, ma vanno considerati alla luce della loro funzione sociale” e sono pertanto ammesse “limitazioni all’esercizio di tali diritti, purché tali limitazioni siano previste dalla legge, rispettino il contenuto essenziale dei summenzionati diritti e, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui”.
Sulla base di questo assunto, l’Avv. Szpunar ritiene ammissibile una disposizione nazionale che preveda la conservazione generalizzata e indifferenziata dei dati relativi al traffico e all’ubicazione ma la subordina ad alcune condizioni:
- che tali dati siano conservati in condizioni e secondo modalità tecniche che garantiscano che sia escluso che tale conservazione possa consentire di trarre conclusioni precise sulla vita privata degli utenti;
- che i fornitori di servizi di comunicazione elettronica abbiano “un obbligo di conservazione delle diverse categorie di dati personali che garantisca una separazione effettivamente stagna di tali diverse categorie di dati impedendo, nella fase di tale conservazione, qualsiasi utilizzo combinato di tali diverse categorie di dati e per un periodo di tempo non superiore allo stretto necessario”;
- che la normativa nazionale preveda “regole chiare e precise che disciplinino la portata e l’applicazione della misura considerata e impongano requisiti minimi in modo che le persone i cui dati personali sono oggetto di attenzione dispongano di garanzie sufficienti che consentano di proteggere efficacemente tali dati contro i rischi di abuso. Detta normativa deve (…) in particolare, indicare in quali circostanze e a quali condizioni una misura che prevede il trattamento di siffatti dati possa essere adottata, garantendo così che l’ingerenza sia limitata allo stretto necessario”.
Come nel primo caso a cui si è accennato in questo contributo, anche qui la gravità dell’ingerenza viene valutata non solo alla luce della categoria dei dati trattati ma anche da come quei dati sono conservati: scegliendo soluzioni tecniche proporzionate, l’ordinamento nazionale può incidere sul livello dell’ingerenza.
Affermati questi criteri, l’Avvocato generale ritiene tuttavia che la legge belga non rispetti tali condizioni e modalità tecniche: la legge infatti non impone modalità di conservazione dei dati che garantiscano una separazione effettivamente stagna delle diverse categorie di dati e la normativa è, secondo Szpunar, caratterizzata “da una grande incertezza sia quanto ai dati effettivamente conservati dai fornitori di servizi di comunicazione elettronica sia quanto alla durata di tale conservazione”, dal momento che consente che l’elenco dei dati oggetto di conservazione possa essere “integrato da un decreto regio” e autorizza “i fornitori di servizi di comunicazione elettronica a conservare i dati di cui trattasi per il periodo necessario al trattamento di una frode o di un uso illecito della rete individuata, al di là della durata espressamente prevista dal legislatore”.
“Pertanto, in assenza di norme chiare e precise relative tanto alla portata dei dati conservati quanto alla durata della loro conservazione, lasciando aperta la possibilità di una conservazione illimitata su iniziativa esclusiva dei fornitori di servizi di comunicazione elettronica, la normativa nazionale (…) non può essere considerata proporzionata all’obiettivo perseguito”, conclude Szpunar.
L’impatto in Europa e in Italia
Occorre attendere che la Corte si pronunci sul caso appena esaminato, ma le conclusioni dell’Avv. Szpunar sono destinate ad avere un’eco sicuramente rilevante nel panorama europeo. Va ricordato infatti che, ritirata la proposta di regolamento ePrivacy, la Direttiva 2002/58 resta il riferimento per la conservazione dei dati di traffico ma che a breve si potrebbero avere nuove indicazioni sulla data retention di tali dati in vista degli esiti dell’iniziativa avviata dalla Commissione europea volta a garantire che le forze dell’ordine nell’UE abbiano un accesso effettivo e legale ai dati (il riferimento è alla ProtectEU Internal Security Strategy).
In Italia, poi, il tema è oggi disciplinato dall’art. 132 del Codice privacy limitatamente, però, al trattamento dei dati di traffico per finalità di accertamento e repressione dei reati, e non di funzionamento e protezione della rete come affrontato nel caso sopra illustrato. Ci si domanda pertanto se l’art. 132 rispetti i criteri proposti dall’Avvocato generale. La conservazione che esso impone è generalizzata e indifferenziata e riguarda la totalità del traffico telefonico e telematico, ma la norma nulla prescrive sulle modalità di conservazione e, in particolare, non impone alcuna separazione tra categorie di dati. Se la Corte seguisse l’orientamento dell’Avvocato generale, non sarebbe più solo il termine di conservazione (di ventiquattro o dodici mesi, come previsto dalla norma italiana) a determinare la tenuta del sistema, bensì il modo in cui l’archivio è costruito.
________
*Avv. Laura Greco – Studio Legale Finocchiaro
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
