62021CJ0205_RES
Causa C‑205/21
V.S.
(domanda di pronuncia pregiudiziale proposta dallo Spetsializiran nakazatelen sad)
Sentenza della Corte (Quinta Sezione) del 26 gennaio 2023
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Articolo 4, paragrafo 1, lettere da a) a c) – Principi relativi al trattamento dei dati personali – Limitazione delle finalità – Minimizzazione dei dati – Articolo 6, lettera a) – Chiara distinzione tra i dati personali delle diverse categorie di persone – Articolo 8 – Liceità del trattamento – Articolo 10 – Trasposizione – Trattamento di dati biometrici e di dati genetici – Nozione di “trattamento autorizzato dal diritto dello Stato membro” – Nozione di “strettamente necessario” – Potere discrezionale – Carta dei diritti fondamentali dell’Unione europea – Articoli 7, 8, 47, 48 e 52 – Diritto a una tutela giurisdizionale effettiva – Presunzione d’innocenza – Limitazione – Reato doloso perseguibile d’ufficio – Persone formalmente accusate – Raccolta di dati fotografici e dattiloscopici, ai fini della loro registrazione, e prelievo di un campione biologico per l’elaborazione di un profilo del DNA – Procedimento di esecuzione coercitiva della raccolta – Sistematicità della raccolta»
Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Trattamento vertente su particolari categorie di dati – Autorizzazione di tale trattamento da parte del diritto di uno Stato membro – Normativa nazionale che richiede la raccolta, da parte delle autorità di polizia di uno Stato membro, dei dati biometrici e genetici, ai fini della loro registrazione, delle persone formalmente accusate – Disposizioni nazionali che si riferiscono al regolamento 2016/679 pur riproducendo il contenuto della direttiva 2016/680 – Ammissibilità – Presupposti
[Carta dei diritti fondamentali dell’Unione europea, art. 52; regolamento del Parlamento europeo e del Consiglio 2016/679, art. 9; direttiva del Parlamento e del Consiglio 2016/680, artt. 3, punto 7, e 10, a)]
(v. punti 62-67, 72-76, dispositivo 1)
Atti delle istituzioni – Direttive – Attuazione da parte degli Stati membri – Direttiva che prevede per la sua attuazione che nelle disposizioni nazionali di trasposizione venga fatto riferimento alla direttiva stessa – Rilevanza – Obbligo per gli Stati membri di adottare un atto di trasposizione positivo della direttiva – Requisito di menzione della direttiva nelle disposizioni nazionali che autorizzano i trattamenti di dati personali rientranti nell’ambito di applicazione di tale direttiva – Assenza
(Art. 288, comma 3, TFUE; direttiva del Parlamento europeo e del Consiglio 2016/680, art. 63, § 1, comma 2)
(v. punti 68-71)
Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Obbligo di operare una distinzione tra le diverse categorie di persone interessate – Portata – Normativa nazionale che richiede la raccolta, da parte delle autorità di polizia di uno Stato membro, dei dati biometrici e genetici, ai fini della loro registrazione, delle persone formalmente accusate – Normativa che prevede una procedura di esecuzione coercitiva della raccolta – Potere del giudice nazionale di valutare se sussistano fondati motivi attinenti alla colpevolezza della persona interessata – Assenza – Ammissibilità – Presupposti – Rispetto del diritto alla tutela giurisdizionale effettiva e della presunzione di innocenza
[Carta dei diritti fondamentali dell’Unione europea, artt. 47 e 48; direttiva del Parlamento europeo e del Consiglio 2016/680, artt. 6, a), e 54]
(v. punti 82-110, dispositivo 2)
Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Trattamento vertente su particolari categorie di dati – Trattamento autorizzato solo se strettamente necessario – Nozione – Portata – Condizioni rafforzate di liceità del trattamento – Limitazione delle finalità – Minimizzazione dei dati – Normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici, ai fini della loro registrazione, di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio – Inammissibilità
[Direttiva del Parlamento europeo e del Consiglio 2016/680, considerando 26 e 37 e artt. 4, § 1, da a) a c), 8, § § 1 e 2, e 10]
(v. punti 116-135, dispositivo 3)
Sintesi
La raccolta sistematica dei dati biometrici e genetici, ai fini della loro registrazione da parte della polizia, di qualsiasi persona formalmente accusata è contraria al requisito di garantire una maggiore protezione nei confronti del trattamento di dati personali sensibili.
Nell’ambito di un procedimento penale per frode fiscale avviato dalle autorità bulgare, V. S. è stata formalmente accusata di aver asseritamente partecipato a un’organizzazione criminale costituita a fini di lucro, al fine di commettere in maniera concordata delitti in territorio bulgaro. A seguito di tale messa in stato di accusa formale, la polizia bulgara ha invitato V. S. a sottoporsi alla raccolta dei suoi dati dattiloscopici e fotografici, ai fini della loro registrazione, e a un prelievo di campioni per l’elaborazione del suo profilo del DNA. V. S. si è opposta a tale raccolta.
Basandosi sulla normativa nazionale che prevede la «registrazione da parte della polizia» di persone formalmente accusate per un reato doloso perseguibile d’ufficio, le autorità di polizia hanno chiesto allo Spetsializiran nakazatelen sad (Tribunale penale specializzato, Bulgaria) di autorizzare l’esecuzione coercitiva della raccolta dei dati genetici e biometrici di V. S. La richiesta della autorità di polizia era accompagnata solo da copie del provvedimento di messa in stato di accusa formale di V. S. e della sua dichiarazione di rifiuto della raccolta dei propri dati.
Tale giudice, nutrendo dubbi quanto alla compatibilità della normativa bulgara applicabile a tale «registrazione da parte della polizia» con la direttiva 2016/680 (
1
), letta alla luce della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), ha adito la Corte in via pregiudiziale.
Nella sua sentenza la Corte precisa anzitutto le condizioni alle quali il trattamento dei dati biometrici e genetici da parte delle autorità di polizia può essere ritenuto autorizzato dal diritto di uno Stato membro, ai sensi della direttiva 2016/680. Essa si pronuncia poi sull’attuazione del requisito, previsto in tale direttiva, relativo al trattamento di dati di una categoria di persone nei cui confronti vi sono fondati motivi di ritenere che siano implicate in un reato e sul rispetto del diritto a una tutela giurisdizionale effettiva nonché del principio della presunzione di innocenza, nel caso in cui la normativa nazionale consenta al giudice nazionale competente di autorizzare la raccolta coercitiva di tali dati, ritenuti «sensibili» dal legislatore dell’Unione. Essa affronta infine la questione della compatibilità della normativa nazionale che prevede la raccolta sistematica di tali dati con le disposizioni della direttiva 2016/680 che vertono sul loro trattamento, tenendo conto dei principi ivi applicabili.
Giudizio della Corte
Anzitutto, la Corte constata che la direttiva 2016/680, letta alla luce della Carta (
2
), deve essere interpretata nel senso che il trattamento dei dati biometrici e genetici da parte delle autorità di polizia per le loro attività di ricerca, a fini di lotta contro la criminalità e di tutela dell’ordine pubblico, è autorizzato dal diritto di uno Stato membro se esso contiene una base giuridica sufficientemente chiara e precisa per autorizzare detto trattamento. La circostanza che l’atto legislativo nazionale contenente una simile base giuridica faccia, inoltre, riferimento al regolamento generale sulla protezione dei dati (
3
), e non alla direttiva 2016/680, non è di per sé idonea a rimettere in discussione l’esistenza di una simile autorizzazione, purché dall’interpretazione di tutte le disposizioni applicabili del diritto nazionale risulti in modo sufficientemente chiaro, preciso e inequivocabile che il trattamento di dati biometrici e genetici in questione rientra nell’ambito di applicazione di tale direttiva, e non del RGPD.
In tale contesto, tenuto conto del fatto che la normativa nazionale pertinente si riferiva alle disposizioni del RGPD che disciplinano il trattamento di dati sensibili, pur riproducendo il contenuto delle disposizioni della direttiva 2016/680 riguardanti il trattamento degli stessi dati (
4
), la Corte rileva che tali disposizioni non sono equivalenti. Infatti, mentre un trattamento di dati sensibili da parte delle autorità competenti a fini, in particolare, di prevenzione e di accertamento dei reati di cui alla direttiva 2016/680 può essere autorizzato solo se strettamente necessario e deve essere soggetto a garanzie adeguate e previsto dal diritto dell’Unione o dal diritto di uno Stato membro, il RGPD enuncia un divieto di principio del trattamento di tali dati, corredato di un elenco di eccezioni. Sebbene il legislatore nazionale possa prevedere, nello stesso strumento legislativo, il trattamento di dati personali a fini rientranti nell’ambito della direttiva 2016/680 nonché ad altri fini rientranti nell’ambito del RGPD, esso è tenuto ad accertarsi che non vi sia ambiguità quanto all’applicabilità dell’uno o dell’altro di questi due atti dell’Unione alla raccolta dei dati sensibili.
Inoltre, per quanto riguarda un’eventuale non corretta trasposizione della direttiva 2016/680, invocata dal giudice del rinvio, la Corte sottolinea che tale direttiva non richiede che le disposizioni nazionali che autorizzano i trattamenti di dati rientranti nel suo campo di applicazione contengano un riferimento a tale direttiva. Esso precisa che, qualora il legislatore nazionale preveda il trattamento di dati biometrici e genetici da parte di autorità competenti che possono rientrare o nell’ambito di applicazione di tale direttiva, o in quello del RGPD, esso può, per ragioni di chiarezza e di precisione, riferirsi esplicitamente, da un lato, alle disposizioni di diritto nazionale che provvedono alla trasposizione di tale direttiva e, dall’altro, al RGPD, senza essere tenuto a menzionare detta direttiva. Tuttavia, in caso di un’apparente contraddizione tra le disposizioni nazionali che autorizzano il trattamento di dati in questione e quelle che sembrano escluderlo, il giudice nazionale deve dare a tali disposizioni un’interpretazione che salvaguarda l’effetto utile della direttiva 2016/680.
La Corte dichiara poi che la direttiva 2016/680 (
5
) e la Carta (
6
) non ostano a una normativa nazionale che prevede che, in caso di rifiuto della persona formalmente accusata di un reato doloso perseguibile d’ufficio di cooperare spontaneamente alla raccolta dei dati biometrici e genetici che la riguardano, ai fini della loro registrazione, il giudice penale competente è tenuto ad autorizzare una misura di esecuzione coercitiva di tale raccolta, senza avere il potere di valutare se sussistano fondati motivi per ritenere che l’interessato abbia commesso il reato di cui è formalmente accusato, purché il diritto nazionale garantisca successivamente il controllo giurisdizionale effettivo delle condizioni di tale messa in stato di accusa formale, da cui risulta l’autorizzazione a procedere a detta raccolta.
Al riguardo, la Corte ricorda che, in forza della direttiva 2016/680 (
7
), gli Stati membri devono provvedere affinché sia operata una chiara distinzione tra i dati delle diverse categorie di interessati, in modo che non sia loro imposta indistintamente un’ingerenza della medesima intensità nel loro diritto fondamentale alla protezione dei propri dati personali a prescindere dalla categoria a cui appartengono. Tuttavia, tale obbligo non è assoluto. Del resto, nei limiti in cui tale direttiva riguarda la categoria di persone nei cui confronti sussistono fondati motivi di credere che abbiano commesso un reato, la Corte precisa che l’esistenza di un numero sufficiente di elementi di prova della colpevolezza di una persona costituisce, in linea di principio, un fondato motivo di ritenere che quest’ultima abbia commesso il reato di cui trattasi. Pertanto la direttiva 2016/680 non osta a una normativa nazionale che prevede la raccolta coercitiva dei dati biometrici e genetici delle persone per le quali sussistono sufficienti elementi di prova del fatto che sono colpevoli di aver commesso un reato doloso perseguibile d’ufficio e che sono state formalmente accusate per tale motivo.
Per quanto riguarda il rispetto del diritto a una tutela giurisdizionale effettiva, dal momento che il giudice nazionale competente, al fine di autorizzare una misura di esecuzione coercitiva della raccolta di dati sensibili di una persona formalmente accusata, non può controllare nel merito le condizioni della sua accusa formale, la Corte sottolinea, in particolare, che il fatto di sottrarre temporaneamente al controllo del giudice la valutazione delle prove sulle quali si basa l’accusa formale dell’interessato può rivelarsi giustificato durante la fase preliminare del procedimento penale. Infatti, un simile controllo, durante tale fase, potrebbe ostacolare lo svolgimento dell’indagine penale nel corso della quale tali dati sono raccolti e limitare eccessivamente la capacità degli inquirenti di chiarire altri reati sulla base di un confronto di tali dati con dati raccolti nel corso di altre indagini. Tale limitazione della tutela giurisdizionale effettiva non è quindi sproporzionata, allorché il diritto nazionale garantisce successivamente un controllo giurisdizionale effettivo.
Per quanto riguarda il rispetto del diritto alla presunzione di innocenza da parte di una decisione giudiziaria che autorizza la raccolta dei dati in questione, la Corte rileva da un lato che, poiché nel caso di specie tale raccolta è limitata alla categoria delle persone la cui responsabilità penale non è stata ancora dimostrata, la suddetta raccolta non può essere considerata tale da riflettere l’idea delle autorità che tali persone siano colpevoli. Dall’altro, la circostanza che il giudice che deve statuire sulla colpevolezza della persona interessata non possa valutare, in tale fase del procedimento penale, la sufficienza degli elementi di prova sui quali si basa l’accusa formale contro tale persona costituisce una garanzia del rispetto del suo diritto alla presunzione di innocenza.
Infine, la Corte conclude nel senso che la direttiva 2016/680 (
8
) osta a una normativa nazionale che prevede la raccolta sistematica di dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall’altro, che tali obiettivi non possono essere raggiunti mediante misure che costituiscano un’ingerenza meno grave nei diritti e nelle libertà della persona interessata.
Al riguardo, la Corte sottolinea che la direttiva 2016/680 mira a garantire, tra l’altro, una maggiore protezione nei confronti dei trattamenti dei dati sensibili, tra cui figurano i dati biometrici e genetici, in quanto possono creare rischi significativi per le libertà e i diritti fondamentali. Il requisito ivi previsto, secondo cui un trattamento del genere è autorizzato «solo se strettamente necessario», deve essere interpretato nel senso che esso definisce condizioni rafforzate di liceità del trattamento di tali dati sensibili (
9
). Inoltre, la portata di tale requisito deve essere determinata anche alla luce dei principi relativi al trattamento dei dati, quali la limitazione delle finalità e la minimizzazione dei dati.
In tal contesto, una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, è in linea di principio contraria a tale requisito. Infatti, essa può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati della maggior parte delle persone formalmente accusate, dal momento che la nozione di «reato doloso perseguibile d’ufficio» riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura, dalla loro gravità, dalle circostanze particolari di tali reati, dal loro eventuale collegamento con altri procedimenti in corso, dai precedenti giudiziari o dal profilo individuale della persona interessata.
(
1
)	Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89).
(
2
)	Articolo 10, lettera a), della direttiva 2016/680, letto alla luce dell’articolo 52 della Carta.
(
3
)	Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
(
4
)	Rispettivamente, l’articolo 9 del RGPD e l’articolo 10 della direttiva 2016/680.
(
5
)	Articolo 6, lettera a), della direttiva 2016/680.
(
6
)	Articoli 47 e 48 della Carta, che sanciscono rispettivamente il diritto a una tutela giurisdizionale effettiva e il principio della presunzione di innocenza.
(
7
)	Articolo 6 della direttiva 2016/680.
(
8
)	Articolo 10 della direttiva 2016/680, in combinato disposto con il suo articolo 4, paragrafo 1, lettere da a) a c), e con il suo articolo 8, paragrafi 1 e 2.
(
9
)	Tenuto conto delle condizioni risultanti dall’articolo 4, paragrafo 1, lettere b) e c), e dall’articolo 8, paragrafo 1, della direttiva 2016/680.