CONCLUSIONI DELL’AVVOCATO GENERALE

GIOVANNI PITRUZZELLA

presentate il 27 gennaio 2022 ( 1 )

Causa C‑817/19

Ligue des droits humains

contro

Conseil des ministres

[domanda di pronuncia pregiudiziale proposta dalla Cour constitutionnelle (Corte costituzionale, Belgio)]

«Rinvio pregiudiziale – Protezione dei dati personali – Trattamento dei dati del codice di prenotazione (PNR) – Regolamento (UE) 2016/679 – Ambito di applicazione – Direttiva (UE) 2016/681 – Validità – Carta dei diritti fondamentali dell’Unione europea – Articoli 7, 8 e articolo 52, paragrafo 1»

Indice

I. Introduzione II. Contesto normativo A. Diritto dell’Unione 1. La Carta 2. RGPD 3. Direttiva PNR 4. Altri atti rilevanti di diritto dell’Unione B. Diritto belga C. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte III. Analisi A. Sulla prima questione pregiudiziale B. Sulle questioni pregiudiziali seconda, terza, quarta, sesta e ottava 1. Sui diritti fondamentali enunciati dagli articoli 7 e 8 della Carta 2. Sull’ingerenza nei diritti fondamentali enunciati dagli articoli 7 e 8 della Carta 3. Sulla giustificazione dell’ingerenza risultante dalla direttiva PNR a) Sul rispetto del requisito secondo il quale eventuali limitazioni all’esercizio di un diritto fondamentale riconosciuto dalla Carta devono essere previste dalla legge b) Sul rispetto del contenuto essenziale dei diritti enunciati agli articoli 7 e 8 della Carta c) Sul rispetto del requisito secondo il quale l’ingerenza deve rispondere ad un obiettivo di interesse generale d) Sul rispetto del principio di proporzionalità 1) Sull’idoneità dei trattamenti dei dati PNR di cui alla direttiva PNR sotto il profilo dell’obiettivo perseguito 2) Sul carattere strettamente necessario dell’ingerenza i) Sulla delimitazione delle finalità del trattamento dei dati PNR ii) Sulle categorie di dati PNR contemplate dalla direttiva PNR (seconda e terza questione pregiudiziale) – Sul carattere sufficientemente chiaro e preciso dei punti 12 e 18 dell’allegato I (terza questione pregiudiziale) – Sulla portata dei dati elencati all’allegato I (seconda questione pregiudiziale) – Sui dati sensibili iii) Sulla nozione di «passeggero» (quarta questione pregiudiziale) iv) Sul carattere sufficientemente chiaro, preciso e limitato allo stretto necessario della valutazione preliminare dei passeggeri (sesta questione pregiudiziale) – Sul confronto con le banche dati ai sensi dell’articolo 6, paragrafo 3, lettera a), della direttiva PNR – Sul trattamento dei dati PNR secondo criteri prestabiliti – Sulle garanzie relative al trattamento automatizzato dei dati PNR – Conclusione sulla sesta questione pregiudiziale v) Sulla conservazione dei dati PNR (ottava questione pregiudiziale) 4. Conclusioni sulla seconda, terza, quarta, sesta e ottava questione pregiudiziale C. Sulla quinta questione pregiudiziale D. Sulla settima questione pregiudiziale E. Sulla nona questione pregiudiziale F. Sulla decima questione pregiudiziale IV. Conclusione

I. Introduzione

1. Con la presente domanda di pronuncia pregiudiziale, la Cour constitutionnelle (Corte costituzionale, Belgio) sottopone alla Corte una serie di dieci questioni pregiudiziali vertenti sull’interpretazione del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (in prosieguo: il «RGPD») ( 2 ), nonché sulla validità e sull’interpretazione della direttiva (UE) 2016/681 del Parlamento europeo e del Consiglio, del 27 aprile 2016, sull’uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi (in prosieguo: la «direttiva PNR») ( 3 ) e della direttiva 2004/82/CE del Consiglio, del 29 aprile 2004, concernente l’obbligo dei vettori di comunicare i dati relativi alle persone trasportate (in prosieguo: la «direttiva API») ( 4 ). Tali questioni sono state sollevate nell’ambito di un ricorso proposto dall’associazione senza scopo di lucro Ligue des droits humains (LDH), diretto all’annullamento totale o parziale della loi du 25 décembre 2016 relative au traitement des données des passagers (legge del 25 dicembre 2016, che disciplina il trattamento dei dati dei passeggeri; in prosieguo: la «legge PNR») ( 5 ), la quale traspone in diritto belga la direttiva PNR, nonché la direttiva API.

2. Le questioni che la Corte dovrà risolvere nella presente causa si iscrivono nell’ambito di uno dei principali dilemmi del costituzionalismo liberale democratico contemporaneo: come debba essere definito l’equilibrio fra l’individuo e la collettività nell’era dei dati, quando le tecnologie digitali hanno consentito la raccolta, la conservazione, il trattamento e l’analisi di enormi masse di dati personali a fini predittivi. Gli algoritmi, l’analisi dei big data e l’intelligenza artificiale utilizzati dalle autorità pubbliche possono servire a promuovere e a proteggere gli interessi fondamentali della società, con un’efficacia in precedenza inimmaginabile: dalla protezione della sanità pubblica alla sostenibilità ambientale, dalla lotta contro il terrorismo alla prevenzione dei reati, in particolare dei reati gravi. Allo stesso tempo, la raccolta indiscriminata di dati personali e l’utilizzazione delle tecnologie digitali da parte dei poteri pubblici possono dare luogo ad un panottico digitale, vale a dire ad un potere pubblico che vede senza essere visto. Un potere onnisciente che può controllare e prevedere i comportamenti di ognuno e prendere le misure necessarie, fino al risultato paradossale, immaginato da Steven Spielberg nel film Minority Report, di togliere la libertà in via preventiva all’autore di un reato che non è ancora stato commesso. Come è noto, in taluni paesi la società prevale sull’individuo e l’utilizzazione dei dati personali consente legittimamente di realizzare una sorveglianza di massa efficace volta a proteggere interessi pubblici considerati fondamentali. Viceversa, il costituzionalismo europeo – nazionale e sovranazionale – il quale assegna un posto centrale all’individuo e alle sue libertà, mette una barriera importante all’avvento di una società della sorveglianza di massa, soprattutto dopo il riconoscimento dei diritti fondamentali alla protezione della vita privata e alla protezione dei dati personali. Si pone tuttavia la questione della misura in cui tale barriera possa essere eretta senza arrecare un grave pregiudizio a taluni interessi fondamentali della società – come quelli citati in precedenza a titolo esemplificativo – i quali possono tuttavia avere legami costituzionali. Ci si trova al cuore della questione del rapporto fra individuo e collettività nella società digitale. Una questione che esige, da un lato, la ricerca e l’attuazione di equilibri delicati fra gli interessi della collettività e i diritti degli individui, prendendo le mosse dall’importanza assoluta che questi ultimi hanno nel patrimonio costituzionale europeo, e, dall’altro, la predisposizione di garanzie contro gli abusi. Anche qui, ci si trova nell’ambito della versione contemporanea di un tema classico del costituzionalismo poiché, come affermava in maniera lapidaria Le Fédéraliste, gli uomini non sono angeli ed è per questo che sono necessari meccanismi giuridici per limitare e controllare i pubblici poteri.

3. Tali sono le questioni di ordine generale che si iscrivono nel contesto delle presenti conclusioni, le quali non potranno che limitarsi ad interpretare il diritto dell’Unione, alla luce della giurisprudenza anteriore della Corte, impiegando tecniche ben consolidate, fra le quali figura quella dell’interpretazione conforme. Una tecnica alla quale si farà ricorso sovente, qualora ciò risulti giuridicamente possibile, nelle presenti conclusioni, al fine di trovare l’equilibrio necessario, sotto il profilo costituzionale, fra le finalità pubbliche sottese al sistema di trasferimento, raccolta e trattamento dei dati del codice di prenotazione (in prosieguo: i «dati PNR») e i diritti sanciti agli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).

II. Contesto normativo

A. Diritto dell’Unione

1. La Carta

4. Ai sensi dell’articolo 7 della Carta, «[o]gni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni».

5. L’articolo 8 della Carta così recita: «1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente».

6. In conformità all’articolo 52, paragrafo 1, della Carta, «[e]ventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui».

2. RGPD

7. L’articolo 2, paragrafo 2, lettera d), del RGPD esclude dall’ambito di applicazione di tale regolamento il trattamento di dati personali effettuato «dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse».

8. L’articolo 23, paragrafo 1, lettera d), del RGPD così recita: «Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: (…) d) la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica».

3. Direttiva PNR

9. Mi limiterò a fornire una breve descrizione del funzionamento del sistema instaurato dalla direttiva PNR. Ulteriori dettagli sul contenuto delle disposizioni della direttiva PNR rilevante ai fini della risposta da dare alle questioni pregiudiziali verranno forniti nel corso dell’analisi giuridica.

10. In conformità al suo articolo 1, la direttiva PNR, adottata sulla base dell’articolo 82, paragrafo 1, lettera d), TFUE e dell’articolo 87, paragrafo 2, lettera a), TFUE, organizza, a livello dell’Unione europea, un sistema di trasferimento, a cura dei vettori aerei, dei dati PNR dei voli extra-UE ( 6 ), nonché le operazioni di raccolta, trattamento e conservazione di tali dati da parte delle autorità competenti degli Stati membri a fini di lotta contro il terrorismo e la criminalità grave.

11. Ai sensi dell’articolo 3, punto 5), di tale direttiva, il «codice di prenotazione» o «PNR» consiste nelle «informazioni relative al viaggio di ciascun passeggero comprendenti i dati necessari per il trattamento e il controllo delle prenotazioni a cura dei vettori aerei e di prenotazione interessati per ogni volo prenotato da qualunque persona o per suo conto, siano esse registrate in sistemi di prenotazione, in sistemi di controllo delle partenze utilizzat[i] per la registrazione dei passeggeri sui voli, o in altri sistemi equivalenti con le stesse funzionalità».

12. L’allegato I alla direttiva PNR (in prosieguo: l’«allegato I») elenca i dati del codice di prenotazione raccolti dai vettori aerei, i quali sono oggetto di trasferimento ai sensi e secondo le modalità previste all’articolo 8 di tale direttiva.

13. L’allegato II della direttiva PNR (in prosieguo: l’«allegato II») contiene l’elenco delle violazioni che costituiscono «reati gravi» ai sensi dell’articolo 3, punto 9, di tale direttiva.

14. L’articolo 2 della direttiva PNR prevede la facoltà, per gli Stati membri, di decidere di applicare tale direttiva anche ai «voli intra-UE» ( 7 ) o a taluni di essi, reputati «necessari» per perseguire gli obiettivi di detta direttiva.

15. Ai sensi dell’articolo 4, paragrafo 1, della direttiva PNR, «[c]iascuno Stato membro stabilisce o designa un’autorità competente in materia di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, o una sua sezione, che agisca in qualità di “unità d’informazione sui passeggeri” (UIP)». In conformità al paragrafo 2, lettera a), di tale articolo 4, l’UIP è segnatamente incaricata di raccogliere i dati PNR presso i vettori aerei, conservare, trattare e trasferire tali dati o i risultati del loro trattamento alle autorità competenti di cui all’articolo 7 della direttiva PNR. Ai sensi del paragrafo 2 di tale articolo 7, siffatte autorità sono «le autorità responsabili della prevenzione, dell’accertamento, dell’indagine o del perseguimento dei reati di terrorismo o dei reati gravi» ( 8 ).

16. Ai sensi dell’articolo 6, paragrafo 1, seconda frase, della direttiva PNR: «Qualora nei dati PNR trasferiti dai vettori aerei siano compresi dati diversi da quelli elencati nell’allegato I, l’UIP li cancella in via definitiva non appena li riceve». Il paragrafo 2 di tale articolo così recita: «L’UIP provvede al trattamento dei dati PNR unicamente per le seguenti finalità: a) valutare i passeggeri prima dell’arrivo previsto nello Stato membro o della partenza prevista dallo Stato membro per identificare quelli da sottoporre a ulteriore verifica da parte delle autorità competenti di cui all’articolo 7 e, se del caso, da parte di Europol, a norma dell’articolo 10, in considerazione del fatto che gli stessi potrebbero essere implicati in reati di terrorismo o in reati gravi; b) rispondere, caso per caso, a una richiesta debitamente motivata e basata su motivi sufficienti da parte delle autorità competenti di trasmettere e trattare dati PNR in casi specifici a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi, e di comunicare i risultati di tale trattamento alle stesse autorità competenti o, se del caso, a Europol; e c) analizzare i dati PNR per aggiornare i criteri esistenti o definire nuovi criteri da usare nelle valutazioni effettuate ai sensi del paragrafo 3, lettera b), al fine di identificare le persone che potrebbero essere implicate in reati di terrorismo o in reati gravi».

17. L’articolo 12 della direttiva PNR contiene le disposizioni relative alla conservazione dei dati PNR.

18. L’articolo 5 della direttiva PNR prevede che ciascuna UIP nomini un responsabile della protezione dei dati incaricato di sorvegliare il trattamento dei dati PNR e di attuare le pertinenti garanzie. Inoltre ogni Stato membro è tenuto, in conformità all’articolo 15 di tale direttiva, ad incaricare l’autorità nazionale di controllo di cui all’articolo 25 della decisione quadro 2008/977/GAI ( 9 ), sostituita dalla direttiva (UE) 2016/680, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (in prosieguo: la «direttiva polizia») ( 10 ), di esercitare la sorveglianza, nel suo territorio, riguardo all’applicazione delle disposizioni adottate conformemente a detta direttiva. Tale autorità, la quale svolge i suoi compiti così da tutelare i diritti fondamentali in relazione al trattamento dei dati personali ( 11 ), è segnatamente incaricata, da un lato, di trattare i reclami presentati dagli interessati, svolgere le relative indagini e informare gli interessati, entro un termine ragionevole, dello stato e dell’esito del reclamo e, dall’altro, di verificare la liceità del trattamento dei dati, svolgere indagini, ispezioni e audit conformemente al diritto nazionale, di propria iniziativa o a seguito di un reclamo ( 12 ).

4. Altri atti rilevanti di diritto dell’Unione

19. Il contesto normativo della presente causa è completato dalla direttiva API e dalla direttiva polizia. Per motivi di leggibilità delle presenti conclusioni, il contenuto delle disposizioni rilevanti di tali atti verrà illustrato nella misura in cui ciò risulti necessario per il trattamento delle questioni che le riguardano o, più in generale, per le esigenze dell’analisi giuridica.

B. Diritto belga

20. In conformità all’articolo 22 della Costituzione belga: «Ogni persona ha diritto al rispetto della sua vita privata e familiare, eccetto che nei casi e alle condizioni fissati dalla legge».

21. Ai sensi del suo articolo 2, la legge PNR traspone la direttiva API e la direttiva PNR nonché, parzialmente, la direttiva 2010/65/UE ( 13 ).

22. In conformità al suo articolo 3, § 1, la legge PNR «stabilisce gli obblighi a carico dei vettori e degli operatori di viaggio in materia di trasmissione dei dati dei passeggeri diretti verso, provenienti dal o in transito sul territorio nazionale». Ai sensi dell’articolo 4, punti 1 e 2, di tale legge, si intende per «vettore»«ogni persona fisica o giuridica che trasporta persone a titolo professionale per via aerea, marittima, ferroviaria o terrestre» e per «operatore di viaggio»«ogni organizzatore o intermediario di viaggio ai sensi della legge del 16 febbraio 1994, che disciplina il contratto di organizzazione di viaggi e il contratto di intermediario di viaggi».

23. L’articolo 8 della legge PNR dispone quanto segue: «§ l. I dati dei passeggeri sono trattati ai fini: 1o della conduzione di indagini e del perseguimento dei reati, ivi compresa l’esecuzione di pene o di misure restrittive della libertà personale, concernenti le fattispecie previste all’articolo 90 ter, § 2, (...) 7°, (...) 8°, (...) 11°, (...) 14°, (...) 17°, 18°, 19° e § 3, du Code d’instruction criminelle (codice di procedura penale); 2° della conduzione di indagini e del perseguimento dei reati, ivi compresa l’esecuzione di pene o di misure restrittive della libertà personale, concernenti le fattispecie previste agli articoli 196, per quanto riguarda i reati di falso in atti autentici e pubblici, 198, 199, 199 bis, 207, 213, 375 e 505 del Code pénal (Codice penale); 3° della prevenzione di gravi turbative dell’ordine pubblico nel quadro della radicalizzazione violenta mediante il controllo dei fenomeni e dei raggruppamenti ai sensi dell’articolo 44/5, §§ 1o, 2° e 3°, e § 2, della loi du 5 août 1992 sur la fonction de police (legge del 5 agosto 1992, in materia di funzioni di polizia); 4° del controllo delle attività di cui agli articoli 7, 1o e 3°/l, e 11, § 1, da 1o a 3° e 5°, della loi du 30 novembre 1998 organique des services de renseignement et de sécurité (legge organica del 30 novembre 1998, che disciplina i servizi segreti e di sicurezza) ( 14 ); 5° della conduzione delle indagini e del perseguimento dei reati previsti all’articolo 220, § 2, della loi générale sur les douanes et accises du 18 juillet 1997 (legge quadro del 18 luglio 1977, in materia doganale e di accise) e all’articolo 45, terzo comma, de la loi du 22 décembre 2009 relative au régime général d’accise (legge del 22 dicembre 2009, recante il regime generale delle accise) (...). § 2. Nel rispetto delle condizioni previste al capo 11, i dati dei passeggeri sono inoltre trattati ai fini del rafforzamento dei controlli sulle persone alle frontiere esterne e del contrasto all’immigrazione irregolare».

24. L’articolo 9 della legge PNR contiene l’elenco dei dati che sono oggetto di trasferimento. Tali dati corrispondono a quelli elencati all’allegato I.

25. In conformità all’articolo 18 della legge PNR, «i dati dei passeggeri sono conservati nella banca dati dei passeggeri per un periodo massimo di cinque anni a decorrere dalla loro registrazione. Decorso detto termine, essi sono distrutti».

26. L’articolo 19 di tale legge prevede che, «[a]lla scadenza di un periodo di sei mesi, a decorrere dalla registrazione dei dati dei passeggeri nella banca dati dei passeggeri, tutti i dati dei passeggeri vengono resi anonimi mediante mascheratura degli elementi di informazione».

27. L’articolo 24 della legge PNR prevede quanto segue: «§ 1. I dati dei passeggeri sono trattati ai fini dell’effettuazione di una valutazione preliminare dei passeggeri prima del loro arrivo, della loro partenza o del transito previsto sul territorio nazionale al fine di stabilire quali persone debbano essere sottoposte a un controllo più approfondito. § 2. Nell’ambito delle finalità di cui all’articolo 8, § 1, 1o, 4° e 5°, o relative alle minacce menzionate agli articoli 8, 1o, lettere a), b), c), d), f), g) e 11, § 2, della legge organica del 30 novembre 1998, che disciplina i servizi segreti e di sicurezza, la valutazione preliminare dei passeggeri si basa su un riscontro positivo, risultante da una correlazione dei dati dei passeggeri con: 1o le banche dati gestite dai servizi competenti o che sono direttamente a disposizione degli stessi o loro accessibili nell’ambito delle loro funzioni o con elenchi di persone elaborati dai servizi competenti nell’ambito delle loro funzioni. 2° i criteri di valutazione prestabiliti dall’UIP, di cui all’articolo 25. § 3. Nell’ambito delle finalità di cui all’articolo 8, § 1, 3°, la valutazione preliminare dei passeggeri si basa su un riscontro positivo, risultante da una correlazione dei dati dei passeggeri con le banche dati di cui al § 2, 1o (…)».

28. L’articolo 25 della legge PNR riprende il contenuto dell’articolo 6, paragrafo 4, della direttiva PNR.

29. Il capo 11 della legge PNR contiene le disposizioni che disciplinano il trattamento dei dati dei passeggeri ai fini del rafforzamento dei controlli alle frontiere e del contrasto dell’immigrazione irregolare. Tali disposizioni costituiscono la trasposizione in diritto belga della direttiva API.

30. L’articolo 44 della legge PNR prevede che l’UIP designi un responsabile della protezione dei dati all’interno del servizio pubblico federale interno. La sorveglianza sull’applicazione delle disposizioni della legge PNR viene esercitata dalla Commissione per la tutela della vita privata.

31. L’articolo 51 della legge PNR modifica la legge organica del 30 novembre 1998, che disciplina i servizi segreti e di sicurezza, inserendo un articolo 16/3 redatto nei seguenti termini: «§ 1o I servizi segreti e di sicurezza possono, nell’interesse dell’esercizio dei loro compiti, a fronte di decisione debitamente motivata, accedere ai dati dei passeggeri di cui all’articolo 7 della legge [PNR]. § 2. La decisione di cui al § 1 viene presa dal direttore del servizio e comunicata per iscritto all’Unità d’informazione sui passeggeri di cui al capo 7 della summenzionata legge. La decisione viene notificata al Comitato permanente R congiuntamente alla motivazione della stessa. Il Comitato permanente R vieta ai servizi segreti e di sicurezza di utilizzare i dati raccolti in condizioni che non rispettino le condizioni fissate dalla legge. La decisione può riguardare un insieme di dati relativi ad una specifica operazione dei servizi segreti. In tal caso, l’elenco delle consultazioni dei dati dei passeggeri viene comunicato una volta al mese al Comitato permanente R».

C. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte

32. Con atto introduttivo presentato alla Cour constitutionnelle (Corte costituzionale) il 24 luglio 2017, la LDH ha proposto un ricorso diretto all’annullamento totale o parziale della legge PNR. A sostegno del suo ricorso, essa ha dedotto due motivi.

33. Con il suo primo motivo, dedotto in via principale e relativo alla violazione dell’articolo 22 della Costituzione belga, in combinato disposto con l’articolo 23 del RGPD, con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della Carta, nonché con l’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), la LDH ritiene che la legge impugnata non rispetti il principio di proporzionalità con riferimento al suo ambito di applicazione e alle categorie di dati interessate, al trattamento dei dati da essa instaurato, alle sue finalità e alla durata di conservazione dei dati. In particolare, essa sostiene che la definizione dei dati PNR sarebbe eccessivamente ampia e idonea a dar luogo alla rivelazione di dati delicati, e che la definizione della nozione di «passeggero» contenuta in tale legge consentirebbe un trattamento sistematico indiscriminato dei dati di tutti i passeggeri interessati. Inoltre, la LDH ritiene che la legge PNR non definisca in maniera sufficientemente chiara la natura e le modalità del metodo di pre-screening delle banche dati passeggeri, nonché i criteri da applicare quali «indicatori della presenza di una minaccia». Infine, essa ritiene che la legge PNR ecceda i limiti dello stretto necessario, nel senso che essa perseguirebbe finalità di trattamento dei dati PNR più ampie di quelle ammesse dalla direttiva PNR e che il termine di cinque anni per la conservazione dei dati PNR sia sproporzionato. Con il suo secondo motivo, dedotto in subordine e relativo alla violazione dell’articolo 22 della Costituzione belga, in combinato disposto con l’articolo 3, paragrafo 2, TUE e con l’articolo 45 della Carta, la LDH impugna le disposizioni del capo 11 della legge PNR che traspongono la direttiva API.

34. Il Conseil des ministres (Consiglio dei ministri) del Regno del Belgio, in qualità di parte interveniente dinanzi alla Cour constitutionnelle (Corte costituzionale), si oppone al ricorso della LDH, contestando sia la ricevibilità sia la fondatezza dei due motivi dedotti a suo sostegno.

35. La Cour constitutionnelle (Corte costituzionale) svolge, da parte sua, le seguenti considerazioni.

36. Per quanto riguarda il primo motivo essa si chiede, anzitutto, se la definizione dei dati PNR, figurante all’allegato I, sia sufficientemente chiara e precisa. La descrizione di taluni dati del genere rivestirebbe un carattere esemplificativo e non tassativo. Detto giudice rileva poi che la definizione della nozione di «passeggero» contenuta all’articolo 3, punto 4, della direttiva PNR comporta la raccolta, il trasferimento, il trattamento e la conservazione dei dati PNR di chiunque sia trasportato o debba essere trasportato e sia iscritto nell’elenco dei passeggeri, indipendentemente dall’esistenza di fondati motivi di ritenere che l’interessato abbia commesso o stia per commettere un reato, o sia stato condannato per un reato. Per quanto riguarda il trattamento dei dati PNR, essa osserva che questi ultimi sono sistematicamente oggetto di una valutazione preliminare che implica il controllo incrociato dei dati PNR di tutti i passeggeri con banche dati o criteri prestabiliti, al fine di accertare riscontri. Cionondimeno, la Cour constitutionnelle (Corte costituzionale) precisa che, pur se i criteri devono essere specifici, attendibili e non discriminatori, le sembra tecnicamente impossibile definire in anticipo i criteri prestabiliti che servano alla determinazione di profili a rischio. Per quanto attiene al termine di conservazione dei dati PNR previsto all’articolo 12, paragrafo 1, della direttiva PNR, ai sensi del quale detti dati possono essere conservati per un periodo di cinque anni, il giudice del rinvio ritiene che i dati PNR verrebbero conservati senza tenere conto della questione se, nell’ambito della valutazione preliminare, i passeggeri interessati possano o meno presentare un rischio per la sicurezza pubblica. In tali circostanze, il giudice del rinvio si chiede se, alla luce della giurisprudenza scaturita, segnatamente, dalla sentenza del 21 dicembre 2016, Tele2 Sverige e Watson e a. ( 15 ), e del parere 1/15 (Accordo PNR Canada-UE), del 26 luglio 2017 ( 16 ), si possa ritenere che il sistema di raccolta, trasferimento, trattamento e conservazione dei dati PNR istituito dalla direttiva PNR non ecceda i limiti dello stretto necessario. In tale contesto, detto giudice si pone parimenti la questione se la direttiva PNR osti ad una normativa nazionale, come quella risultante dall’articolo 8, paragrafo 1, punto 4), della legge PNR, che autorizza il trattamento dei dati PNR per una finalità diversa da quelle previste da tale direttiva. Infine, esso si chiede se l’UIP possa essere considerata un’«altra autorità nazionale» che, ai sensi dell’articolo 12, paragrafo 3, lettera b), ii), della direttiva PNR, può autorizzare la comunicazione dei dati PNR integrali dopo un periodo di sei mesi. Quanto al secondo motivo, il giudice del rinvio rileva che quest’ultimo è diretto avverso l’articolo 3, paragrafo 1, l’articolo 8, paragrafo 2, nonché gli articoli da 28 a 31 della legge PNR, i quali disciplinano la raccolta e il trattamento dei dati dei passeggeri ai fini della lotta contro l’immigrazione irregolare e del rafforzamento dei controlli alle frontiere. Ricordando che, ai sensi della prima di queste disposizioni, detta legge disciplina i voli diretti verso, provenienti dal o in transito sul territorio nazionale, tale giudice precisa che il legislatore nazionale aveva incluso i voli «intra-UE» nell’ambito di applicazione di detta legge al fine di ottenere «un quadro più completo degli spostamenti dei passeggeri che rappresentano una potenziale minaccia per la sicurezza [all’interno dell’Unione] e nazionale», fondandosi sulla facoltà prevista all’articolo 2 della direttiva PNR, in combinato disposto con il considerando 10 della stessa.

37. È in tale contesto che la Cour constitutionnelle (Corte costituzionale) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se l’articolo 23 del [RGPD], in combinato disposto con l’articolo 2, paragrafo 2, lettera d), di detto regolamento, debba essere interpretato nel senso che esso si applica a una normativa nazionale come la legge [PNR], che recepisce la direttiva [PNR], la direttiva [API] e la direttiva 2010/65. 2) Se l’allegato I (...) sia compatibile con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], nella misura in cui i dati ivi enumerati sono molto ampi – in particolare, i dati di cui al punto 18 [di tale allegato I], che eccedono i dati di cui all’articolo 3, paragrafo 2, della direttiva [API] – e nella misura in cui, considerati complessivamente, detti dati potrebbero rivelare dati delicati e violare così i limiti dello “stretto necessario”. 3) Se i punti 12 e 18 dell’allegato I (...) siano compatibili con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], nella misura in cui, tenuto conto dei termini “comprese” e “tra cui”, i dati ivi indicati sono menzionati a titolo esemplificativo e non tassativo, con conseguente violazione eventuale del requisito di precisione e chiarezza delle disposizioni che comportano un’ingerenza nel diritto al rispetto della vita privata e nel diritto alla protezione dei dati personali. 4) Se l’articolo 3, punto 4, della direttiva [PNR] e l’allegato I (…) siano compatibili con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], nella misura in cui il sistema di raccolta, trasferimento e trattamento generalizzato dei dati dei passeggeri introdotto da dette disposizioni riguarda tutte le persone che si servono di un determinato mezzo di trasporto, a prescindere da ogni elemento obiettivo che consenta di ritenere che detta persona possa presentare un rischio per la sicurezza pubblica. 5) Se l’articolo 6 della direttiva [PNR], in combinato disposto con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], debba essere interpretato nel senso che esso osta a una normativa nazionale, come la legge impugnata, che ammette, quale finalità del trattamento dei dati PNR, il controllo delle attività oggetto dei servizi segreti e di sicurezza, includendo così detta finalità nella prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi. 6) Se l’articolo 6 della direttiva [PNR] sia compatibile con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], nella misura in cui la valutazione preliminare da esso introdotta, mediante correlazione con banche dati e criteri prestabiliti, si applica in maniera sistematica e generalizzata ai dati dei passeggeri, a prescindere da qualsiasi elemento obiettivo che consenta di ritenere che essi possano presentare un rischio per la sicurezza pubblica. 7) Se la nozione di “altra autorità nazionale competente” di cui all’articolo 12, paragrafo 3, della direttiva [PNR] possa essere interpretata come indicante l’UIP istituita dalla legge [PNR], che potrebbe quindi autorizzare, nel quadro di ricerche specifiche, l’accesso ai dati PNR, decorso un termine di sei mesi. 8) Se l’articolo 12 della direttiva [PNR], in combinato disposto con gli articoli 7, 8 e con l’articolo 52, paragrafo 1, della [Carta], debba essere interpretato nel senso che esso osta a una normativa nazionale come la legge impugnata che prevede un termine generale di conservazione dei dati di cinque anni, senza differenziare a seconda che i passeggeri interessati si rivelino, nel quadro della valutazione preliminare, idonei o meno a presentare una minaccia per la sicurezza pubblica. 9) a) Se la direttiva [API] sia compatibile con l’articolo 3, paragrafo 2, [TUE] e con l’articolo 45 della [Carta], nella misura in cui gli obblighi ivi previsti si applicano ai voli interni all’[Unione]. b) Se la direttiva [API], in combinato disposto con l’articolo 3, paragrafo 2, [TUE] e con l’articolo 45 della [Carta], debba essere interpretata nel senso che essa osta a una disciplina nazionale come quella della legge impugnata che, ai fini del contrasto all’immigrazione irregolare e del rafforzamento dei controlli alle frontiere, autorizza un sistema di raccolta e trattamento dei dati dei passeggeri “diretti verso, provenienti dal o in transito sul territorio nazionale”, il che potrebbe comportare indirettamente una reintroduzione dei controlli alle frontiere interne. 10) Qualora, sulla base delle risposte fornite alle questioni pregiudiziali che precedono, la Cour constitutionnelle (Corte costituzionale) dovesse giungere alla conclusione che la legge impugnata, che recepisce in particolare la direttiva [PNR], viola uno o più degli obblighi derivanti dalle disposizioni citate in tali questioni, se detto giudice possa mantenere provvisoriamente gli effetti della legge [PNR] per evitare una situazione di incertezza del diritto e consentire che i dati raccolti e conservati in precedenza possano ancora essere utilizzati per le finalità previste [da tale] legge».

38. Hanno presentato osservazioni scritte, ai sensi dell’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea, la LDH, i governi belga, ceco, danese, tedesco, estone, irlandese, spagnolo, francese, cipriota, lettone, dei Paesi Bassi, austriaco, polacco, finlandese, nonché il Parlamento europeo, il Consiglio dell’Unione europea e la Commissione europea. In conformità all’articolo 24 dello Statuto della Corte di giustizia dell’Unione europea, la Commissione, il Garante europeo della protezione dei dati (GEPD) e l’Agenzia dell’Unione europea per i diritti fondamentali (FRA) sono stati invitati a rispondere per iscritto a taluni quesiti posti dalla Corte. Il 13 luglio 2021 si è svolta un’udienza di discussione.

III. Analisi

A. Sulla prima questione pregiudiziale

39. Con la sua prima questione pregiudiziale, il giudice del rinvio chiede in sostanza alla Corte se l’articolo 2, paragrafo 2, lettera d), del RGPD debba essere interpretato nel senso che tale regolamento, e segnatamente il suo articolo 23, paragrafo 1, ai sensi del quale il diritto dell’Unione o i diritti degli Stati membri possono limitare, mediante misure legislative, per ragioni elencate in maniera tassativa, la portata degli obblighi e dei diritti previsti da detto regolamento, si applica al trattamento di dati effettuato sul fondamento di una normativa nazionale, come la legge PNR, che traspone in diritto interno la direttiva PNR nonché la direttiva API e la direttiva 2010/65.

40. L’articolo 2, paragrafo 2, del RGPD prevede talune eccezioni all’ambito di applicazione di tale regolamento quale definito, in maniera molto ampia ( 17 ), al suo articolo 2, paragrafo 1 ( 18 ). In quanto deroghe all’applicazione di una normativa che disciplina il trattamento di dati personali idoneo ad arrecare pregiudizio alle libertà fondamentali, tali eccezioni devono essere interpretate restrittivamente ( 19 ).

41. L’articolo 2, paragrafo 2, lettera d), del RGPD contiene, segnatamente, una clausola di esclusione ai sensi della quale tale regolamento non si applica al trattamento di dati personali effettuato «dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse». Tale clausola di esclusione si fonda su un duplice criterio soggettivo ed oggettivo. È escluso, in tal senso, dall’ambito di applicazione di detto regolamento il trattamento di dati effettuato, in primo luogo, dalle «autorità competenti», e, in secondo luogo, ai fini elencati in tale disposizione. Occorre analizzare, pertanto, i diversi tipi di trattamento di dati coperti dalla legge PNR alla luce di questo duplice criterio.

42. Per quanto riguarda, in primo luogo, il trattamento di dati effettuato dai vettori (aerei, ferroviari, terrestri e marittimi) all’UIP o dagli operatori di viaggio a fini di prestazione di servizi o commerciali, nei limiti previsti da detta legge, essi restano disciplinati dal RGPD, dal momento che non ricorrono né la componente soggettiva né la componente oggettiva del criterio di esclusione contenuto all’articolo 2, paragrafo 2, lettera d), di tale regolamento.

43. Per quanto riguarda, in secondo luogo, il trasferimento dei dati PNR all’UIP da parte dei vettori o degli operatori di viaggio, il quale costituisce, di per sé, un «trattamento» ai sensi dell’articolo 4, punto 2, del RGPD ( 20 ), la sua inclusione nell’ambito di applicazione di tale regolamento è meno evidente.

44. Infatti, da un lato, tale trasferimento non viene effettuato da un’«autorità competente» ai sensi dell’articolo 3, punto 7), della direttiva polizia, al quale occorre fare riferimento per analogia, in assenza di una definizione di tale nozione da parte del RGPD ( 21 ). Un operatore economico, come una compagnia di trasporto o un’agenzia di viaggi, al quale incombe unicamente un obbligo legale di trasferimento di dati personali e al quale non è stata conferita alcuna prerogativa tipica dei pubblici poteri ( 22 ), non può essere considerato un organismo o un ente ai sensi di detto articolo 3, punto 7, lettera b) ( 23 ).

45. Dall’altro, il trasferimento dei dati PNR da parte delle compagnie di trasporto e degli operatori di viaggio viene effettuato per eseguire un obbligo imposto dalla legge al fine di consentire il perseguimento dei fini elencati dall’articolo 2, paragrafo 2, lettera d), del RGPD.

46. Orbene, a mio avviso, dal dettato di tale disposizione emerge chiaramente che solo i trattamenti che soddisfano, al contempo, la componente soggettiva e la componente oggettiva del criterio di esclusione da essa enunciato si collocano al di fuori dell’ambito di applicazione del RGPD. Il trasferimento dei dati PNR all’UIP imposto dalla legge PNR alle compagnie di trasporto e agli operatori di viaggio rientra pertanto nell’ambito di applicazione di tale regolamento.

47. Per quanto riguarda le disposizioni della legge PNR che traspongono la direttiva PNR, tale conclusione è corroborata dall’articolo 21, paragrafo 2, di tale direttiva, il quale prevede che quest’ultima «fa salva l’applicabilità della direttiva 95/46/CE ( 24 ) al trattamento dei dati personali da parte dei vettori aerei». La lettura di tale disposizione suggerita, segnatamente, dal governo francese, secondo la quale quest’ultima si limiterebbe a prevedere che i vettori restino soggetti agli obblighi fissati dal RGPD per i trattamenti di dati che non sono previsti dalla direttiva PNR, deve, a mio avviso, essere respinta. Infatti, alla luce del suo testo, la portata di tale «clausola di non pregiudizio» è ampia e viene definita unicamente facendo riferimento all’autore del trattamento, mentre non vengono menzionati affatto né la finalità del trattamento né il contesto nel quale quest’ultimo interviene, se esso venga effettuato nell’esercizio dell’attività commerciale del vettore aereo o in esecuzione di un obbligo di legge. Osservo, inoltre, che una clausola dello stesso tenore è contenuta all’articolo 13, paragrafo 3, della direttiva PNR, il quale fa riferimento in particolare agli obblighi incombenti ai vettori aerei in forza del RGPD «relativi all’adozione di adeguate misure tecniche e organizzative a tutela della sicurezza e della riservatezza dei dati personali». Orbene, tale disposizione figura fra quelle che organizzano la protezione dei dati personali trattati a titolo della direttiva PNR e segue l’articolo 13, paragrafo 1, di tale direttiva il quale, in via generale, assoggetta tutti i trattamenti di dati effettuati in applicazione della stessa alle disposizioni della decisione quadro 2008/977 ivi menzionate. Contrariamente a quanto sostenuto dal governo francese, una siffatta struttura normativa consente, da un lato, di leggere il paragrafo 3 di detto articolo 13 come una clausola che riconduce sotto l’egida del RGPD il solo trattamento di dati previsto dalla direttiva PNR che non è effettuato da «autorità competenti» ai sensi della direttiva polizia e, dall’altro, di intendere il riferimento al rispetto degli obblighi imposti da detto regolamento in materia di sicurezza e riservatezza dei dati come un richiamo alle garanzie che devono obbligatoriamente proteggere il trasferimento dei dati PNR da parte dei vettori alle UIP.

48. La conclusione enunciata al paragrafo 46 delle presenti conclusioni non viene rimessa in discussione dal considerando 19 del RGPD né dal considerando 11 della direttiva polizia, ai quali fanno riferimento, tra l’altro, i governi tedesco, irlandese e francese per sostenere la natura di lex specialis della direttiva PNR. A tal riguardo, vero è che tale direttiva instaura, per il trattamento di dati personali da essa previsto, un contesto di protezione di tali dati autonomo rispetto al RGPD. Tuttavia, detto contesto specifico si applica unicamente al trattamento dei dati PNR effettuato dalle «autorità competenti» ai sensi dell’articolo 3, punto 7, della direttiva polizia, fra le quali figurano segnatamente le UIP, mentre il trasferimento dei dati PNR alle UIP resta soggetto al quadro generale istituito dal RGPD in applicazione, tra l’altro, della «clausola di non pregiudizio» prevista all’articolo 21, paragrafo 2, della direttiva PNR.

49. A sostegno della loro tesi, secondo la quale il RGPD non si applicherebbe al trasferimento dei dati PNR alle UIP da parte dei vettori e degli operatori di viaggio, i governi belga, irlandese, francese e cipriota rinviano alla sentenza del 30 maggio 2006, Parlamento/Consiglio e Commissione ( 25 ), nella quale la Corte ha dichiarato che il trasferimento dei dati PNR da parte dei vettori aerei comunitari alle autorità degli Stati Uniti d’America, nell’ambito di un accordo negoziato fra questi ultimi e la Comunità europea, costituiva un trattamento di dati personali ai sensi dell’articolo 3, paragrafo 2, primo trattino, della direttiva 95/46 ( 26 ) e non rientrava pertanto nell’ambito di applicazione di tale direttiva. Per giungere a tale conclusione, la Corte ha tenuto conto della finalità del trasferimento, nonché del fatto che quest’ultimo «rientra[va] in un ambito istituito dai poteri pubblici», benché i dati fossero raccolti e trasferiti da operatori privati ( 27 ).

50. A tal riguardo, è sufficiente rilevare che, nella sentenza del 6 ottobre 2020, La Quadrature du Net e a. ( 28 ), la Corte ha giudicato, in sostanza, che la sentenza Parlamento/Consiglio non era trasponibile nel contesto del RGPD ( 29 ).

51. Peraltro, al punto 102 della sentenza La Quadrature du Net ( 30 ), procedendo ad un’applicazione analogica del ragionamento seguito nelle sentenze Tele2 Sverige e del 2 ottobre 2018, Ministerio Fiscal ( 31 ), la Corte ha affermato che, «sebbene [il RGPD] precisi, all’articolo 2, paragrafo 2, lettera d), che esso non si applica ai trattamenti effettuati “dalle autorità competenti” a fini, in particolare, di prevenzione ed accertamento dei reati, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse, dall’articolo 23, paragrafo 1, lettere d) e h), del medesimo regolamento risulta che i trattamenti di dati personali effettuati a questi stessi fini da soggetti privati rientrano nel suo ambito di applicazione» ( 32 ).

52. Per le suesposte ragioni, sono persuaso del fatto che la conclusione secondo la quale il trasferimento dei dati PNR da parte delle compagnie di trasporto e degli operatori di viaggio alle UIP rientri nell’ambito di applicazione del RGPD emerge già chiaramente dal dettato dell’articolo 2, paragrafo 2, lettera d), del RGPD, il quale richiama unicamente il trattamento effettuato da «autorità competenti», senza che sia necessario fare riferimento alla clausola di limitazione contenuta all’articolo 23, paragrafo 1, di detto regolamento ( 33 ). Cionondimeno, l’affermazione contenuta al punto 102 della sentenza La Quadrature du Net costituisce una presa di posizione chiara della Corte a favore di una siffatta conclusione.

53. Poiché il trasferimento dei dati PNR da parte delle compagnie di trasporto e degli operatori di viaggio ricade nell’ambito di applicazione del RGPD, una normativa nazionale, come la legge PNR, che obbliga tali compagnie e tali operatori ad operare un siffatto trasferimento, costituisce una «misura legislativa» ai sensi dell’articolo 23, punto 1, lettera d), del RGPD e deve soddisfare, pertanto, le condizioni previste da tale disposizione ( 34 ).

54. Per quanto riguarda, in terzo luogo, i trattamenti dei dati PNR effettuati dall’UIP e dalle autorità nazionali competenti, l’applicabilità del RGPD dipende, come risulta dalle considerazioni che precedono, dalle finalità che tali trattamenti perseguono.

55. In tal senso, in primo luogo, i trattamenti di dati PNR effettuati dall’UIP e dalle autorità nazionali competenti per le finalità elencate all’articolo 8, § 1, punti da 1 a 3 e 5, della legge PNR ( 35 ), sono esclusi dall’ambito di applicazione del RGPD nella misura in cui, come sembra essere il caso, dette finalità possano essere annoverate fra quelle coperte dalla clausola di esclusione di cui all’articolo 2, paragrafo 2, lettera d), del RGPD. La protezione dei dati degli interessati da tali trattamenti ricade nell’ambito di applicazione del diritto nazionale, fatta salva l’applicazione della direttiva polizia ( 36 ) e, nell’ambito del suo campo di applicazione, della direttiva PNR.

56. Lo stesso vale, in secondo luogo, per il trattamento dei dati PNR effettuato dall’UIP e dai servizi segreti e di sicurezza nell’ambito della vigilanza sulle attività di cui alle disposizioni della legge organica che disciplina i servizi segreti e di sicurezza elencate all’articolo 8, § 1, punto 4, della legge PNR, nella misura in cui risponda alle finalità enunciate all’articolo 2, paragrafo 2, lettera d), del RGPD, circostanza che incombe al giudice del rinvio valutare.

57. Il governo belga sostiene che il trattamento effettuato ai sensi dell’articolo 8, § 1, punto 4, della legge PNR ricadrebbe in tutti i casi sotto la clausola di esclusione di cui all’articolo 2, paragrafo 2, lettera a), del RGPD, nonché di quella di cui all’articolo 2, paragrafo 3, lettera a), della direttiva polizia, dal momento che le attività dei servizi segreti e di sicurezza non rientrerebbero nell’ambito di applicazione del diritto dell’Unione.

58. A tal riguardo, mentre sottolineo che la Corte non è investita di una questione vertente sull’interpretazione di tali disposizioni, rilevo anzitutto che la Corte ha già affermato che una normativa nazionale, la quale impone obblighi di trattamento ad operatori privati, rientra nell’ambito di applicazione delle disposizioni del diritto dell’Unione in materia di protezione dei dati personali, anche qualora essa abbia ad oggetto la protezione della sicurezza nazionale ( 37 ). Ne consegue che il trasferimento dei dati PNR imposto dalla legge PNR ai vettori e agli operatori di viaggio rientra, in linea di principio, nell’ambito di applicazione del RGPD persino qualora esso venga effettuato ai fini dell’articolo 8, § 1, punto 4, di tale legge.

59. Rilevo poi che, benché il considerando 16 del RGPD enunci che quest’ultimo non si applica alle «attività riguardanti la sicurezza nazionale» e il considerando 14 della direttiva polizia precisi che «le attività concernenti la sicurezza nazionale, le attività delle agenzie o unità che si occupano di questioni connesse alla sicurezza nazionale (…) non dovrebbero essere considerate attività rientranti nell’ambito di applicazione [di tale] direttiva», i criteri sulla base dei quali un trattamento di dati personali effettuato da un’autorità, un’unità o un’agenzia pubblici di uno Stato membro ricade nell’ambito di applicazione dell’uno o dell’altro atto del diritto dell’Unione che organizza la protezione degli interessati nei confronti di siffatto trattamento, oppure si colloca al di fuori dell’ambito di applicazione di tale diritto, rispondono ad una logica connessa sia alle funzioni attribuite a tale autorità, a tale unità o a tale agenzia sia alle finalità di detto trattamento. In tal senso, la Corte ha dichiarato che l’articolo 2, paragrafo 2, lettera a), del RGPD, letto alla luce del considerando 16 di tale regolamento, «deve essere inteso come avente l’unico obiettivo di escludere dall’ambito di applicazione di detto regolamento i trattamenti di dati personali effettuati dalle autorità statali nell’ambito di un’attività volta a salvaguardare la sicurezza nazionale o di un’attività che può essere ascritta alla medesima categoria, di modo che il mero fatto che un’attività sia propria dello Stato o di un’autorità pubblica non è sufficiente affinché tale eccezione sia automaticamente applicabile a una siffatta attività» ( 38 ). La Corte ha parimenti precisato che «le attività che hanno lo scopo di salvaguardare la sicurezza nazionale di cui all’articolo 2, paragrafo 2, lettera a), del RGPD comprendono, in particolare, (…) quelle volte a tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società» ( 39 ). Ne consegue che, nel caso in cui uno Stato membro affidasse ai propri servizi segreti e di sicurezza compiti negli ambiti elencati all’articolo 3, punto 7, lettera a), della direttiva polizia, il trattamento di dati effettuato da tali servizi ai fini dell’assolvimento di detti compiti ricadrebbe nell’ambito di applicazione di tale direttiva nonché, se del caso, della direttiva PNR. Più in generale, rilevo che la Corte ha dichiarato in più occasioni, nell’ambito dell’interpretazione dell’articolo 4, paragrafo 2, TUE, sul quale si fonda, tra l’altro, il governo belga, che la mera circostanza che una misura nazionale sia stata adottata a fini di salvaguardia della sicurezza nazionale non può comportare l’inapplicabilità del diritto dell’Unione e dispensare gli Stati membri dal necessario rispetto di tale diritto ( 40 ), mostrandosi dunque reticente ad un’esclusione automatica e in blocco dall’ambito di applicazione del diritto dell’Unione delle attività degli Stati membri connesse alla salvaguardia della sicurezza nazionale.

60. In terzo luogo, in conformità al parere di tutti gli interessati che hanno presentato osservazioni, ad eccezione del governo francese, si deve ritenere che il trattamento dei dati PNR effettuato dalle competenti autorità belghe per le finalità enunciate all’articolo 8, § 2, della legge PNR, ossia «il rafforzamento dei controlli sulle persone alle frontiere esterne e [il contrasto] all’immigrazione irregolare» ( 41 ) non rientri nell’ambito della clausola di esclusione contenuta all’articolo 2, paragrafo 2, lettera d), del RGPD, né di nessun’altra causa di esclusione prevista a tale articolo e ricada, pertanto, nell’ambito di applicazione del citato regolamento. Contrariamente a quanto sostenuto dal governo francese, detto trattamento non può essere disciplinato dalla direttiva PNR, il cui articolo 1, paragrafo 2, stabilisce che «[i] dati PNR raccolti a norma della presente direttiva possono essere trattati unicamente a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi» né, in linea di principio, dalla direttiva polizia la quale, in conformità al suo articolo 1, paragrafo 1, si applica unicamente al trattamento di dati personali da parte delle autorità competenti «a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica». Come emerge dalla decisione di rinvio, l’articolo 8, § 2, della legge PNR e il capo 11 di tale legge, che contiene le disposizioni che disciplinano il trattamento dei dati PNR ai fini del rafforzamento dei controlli di frontiera e della lotta contro l’immigrazione irregolare, e che prevede a tal fine il trasferimento di tali dati dall’UIP, segnatamente, ai servizi di polizia incaricati dei controlli di frontiera, sono intesi a recepire in diritto belga la direttiva API e la direttiva 2010/65. Orbene, queste due direttive impongono alle autorità competenti, per i trattamenti da esse previsti, il rispetto delle disposizioni della direttiva 95/46 ( 42 ). Contrariamente a quanto sostenuto dal governo francese, il rinvio alle norme di tutela di tale direttiva deve essere inteso nel senso che esso copre tutti i trattamenti di dati personali effettuati sulla base della direttiva API e della direttiva 2010/65. Il fatto che la direttiva API sia anteriore all’entrata in vigore della decisione quadro 2008/977 è irrilevante al riguardo poiché tale decisione quadro, nonché la direttiva polizia che l’ha sostituita, riguardano unicamente il trattamento di dati personali di cui all’articolo 3, paragrafo 1, della direttiva API, effettuato dalle autorità competenti per finalità repressive in applicazione della legge ( 43 ).

61. Sulla base dell’insieme delle considerazioni che precedono, propongo alla Corte di rispondere alla prima questione pregiudiziale dichiarando che l’articolo 23 del RGPD, in combinato disposto con l’articolo 2, paragrafo 2, lettera d), di tale regolamento, deve essere interpretato nel senso che: – esso si applica ad una normativa nazionale che traspone la direttiva PNR nei limiti in cui tale normativa disciplina il trattamento dei dati PNR effettuato dai vettori e da altri operatori economici, incluso il trasferimento di dati PNR alle UIP, previsto all’articolo 8 di detta direttiva; – esso non si applica ad una normativa nazionale che traspone la direttiva PNR nei limiti in cui essa disciplina il trattamento di dati effettuato per le finalità previste all’articolo 1, paragrafo 2, di tale direttiva da parte delle competenti autorità nazionali, incluse le UIP e, se del caso, i servizi segreti e di sicurezza dello Stato membro interessato; – esso si applica ad una normativa nazionale che traspone la direttiva API e la direttiva 2010/65 al fine di migliorare i controlli delle persone alle frontiere esterne e al fine di combattere l’immigrazione irregolare.

B. Sulle questioni pregiudiziali seconda, terza, quarta, sesta e ottava

62. Con le sue questioni pregiudiziali seconda, terza, quarta e sesta, la Cour constitutionnelle (Corte costituzionale) interpella la Corte in merito alla validità della direttiva PNR alla luce degli articoli 7, 8 e dell’articolo 52, paragrafo 1, della Carta. L’ottava questione pregiudiziale, benché redatta come una questione di interpretazione, è anch’essa intesa, in sostanza, ad ottenere dalla Corte una pronuncia sulla validità di tale direttiva.

63. Tali questioni vertono sui diversi elementi del sistema di trattamento dei dati PNR istituito dalla direttiva PNR e richiedono, con riferimento a ciascuno di tali elementi, una valutazione del rispetto delle condizioni alle quali è soggetta la legittimità delle limitazioni apportate all’esercizio dei diritti fondamentali enunciati agli articoli 7 e 8 della Carta. Così, la seconda e la terza questione pregiudiziale riguardano il catalogo dei dati PNR figuranti all’allegato I, la quarta verte sulla definizione della nozione di «passeggero» di cui all’articolo 3, punto 4), della direttiva PNR, la sesta attiene all’utilizzazione dei dati PNR ai fini della valutazione preliminare a norma dell’articolo 6 di tale direttiva e l’ottava riguarda il periodo di conservazione dei dati previsto all’articolo 12, paragrafo 1, di detta direttiva.

1. Sui diritti fondamentali enunciati dagli articoli 7 e 8 della Carta

64. L’articolo 7 della Carta garantisce ad ogni persona il diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni. Quanto all’articolo 8, paragrafo 1, della Carta, esso riconosce esplicitamente ad ogni persona il diritto alla protezione dei dati di carattere personale che la riguardano. Secondo una giurisprudenza costante tali diritti, i quali si riferiscono a qualsiasi informazione riguardante una persona fisica identificata o identificabile, sono strettamente connessi, poiché l’accesso a dati personali di una persona fisica ai fini della loro conservazione o del loro utilizzo incide sul diritto di tale persona al rispetto della vita privata ( 44 ).

65. I diritti sanciti agli articoli 7 e 8 della Carta non appaiono tuttavia come prerogative assolute, ma vanno considerati alla luce della loro funzione sociale ( 45 ). L’articolo 8, paragrafo 2, della Carta autorizza in tal senso il trattamento dei dati personali qualora siano soddisfatte determinate condizioni. Tale disposizione prevede che i dati personali debbano essere trattati «secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge».

66. Eventuali limitazioni apportate al diritto alla protezione dei dati personali, nonché al diritto alla vita privata, devono inoltre rispettare le prescrizioni dell’articolo 52, paragrafo 1, della Carta. Così, siffatte limitazioni devono essere previste dalla legge, rispettare il contenuto essenziale di detti diritti e, nel rispetto del principio di proporzionalità, essere necessarie e rispondere effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.

67. La valutazione di una misura che limita detti diritti deve tenere conto allo stesso modo dell’importanza dei diritti sanciti agli articoli 3, 4, 6 e 7 della Carta e di quella degli obiettivi di salvaguardia della sicurezza nazionale e di lotta contro le forme gravi di criminalità, contribuendo alla protezione dei diritti e delle libertà altrui ( 46 ). A tal riguardo, l’articolo 6 della Carta sancisce il diritto di ogni persona non solo alla libertà ma anche alla sicurezza ( 47 ).

68. Inoltre, l’articolo 52, paragrafo 3, della Carta è inteso ad assicurare la necessaria coerenza tra i diritti contenuti in quest’ultima e i corrispondenti diritti garantiti dalla CEDU, di cui occorre tenere conto in quanto livello minimo di protezione ( 48 ). Il diritto al rispetto della vita privata e familiare, sancito all’articolo 7 della Carta, corrisponde a quello garantito all’articolo 8 della CEDU e deve quindi essergli riconosciuto lo stesso significato e la stessa portata ( 49 ). Dalla giurisprudenza della Corte europea dei diritti dell’uomo (in prosieguo: la «Corte EDU») risulta che un’ingerenza nei diritti garantiti a tale articolo può essere giustificata con riferimento al paragrafo 2 di detto articolo soltanto se sia prevista dalla legge, persegua uno o più degli obiettivi legittimi elencati in tale paragrafo e sia necessaria, in una società democratica, al conseguimento di tale/i obiettivo/i ( 50 ). La misura deve essere inoltre compatibile con la preminenza del diritto, espressamente menzionata nel preambolo della CEDU e inerente all’oggetto e all’obiettivo dell’articolo 8 della stessa ( 51 ).

69. È alla luce di tali principi che occorre esaminare le questioni vertenti sulla validità sollevate dalla Cour constitutionnelle (Corte costituzionale).

2. Sull’ingerenza nei diritti fondamentali enunciati dagli articoli 7 e 8 della Carta

70. La Corte ha già dichiarato che disposizioni che impongono o consentono la comunicazione di dati personali di persone fisiche ad un terzo, quale un’autorità pubblica, devono essere qualificate, in assenza del consenso delle stesse persone fisiche e a prescindere dal successivo utilizzo dei dati in questione, come ingerenze nella loro vita privata e, pertanto, come una limitazione del diritto fondamentale garantito all’articolo 7 della Carta, fatta salva la loro eventuale giustificazione ( 52 ). Ciò vale persino in mancanza di circostanze che permettano di qualificare tale ingerenza come «grave» e senza che rilevi il fatto che le informazioni relative alla vita privata siano o meno delicate, o che gli interessati abbiano o meno subito eventuali inconvenienti in seguito a detta ingerenza ( 53 ). L’accesso delle autorità pubbliche a siffatte informazioni costituisce parallelamente un’ingerenza nel diritto fondamentale alla protezione dei dati personali garantito all’articolo 8 della Carta, poiché costituisce un trattamento di dati personali ( 54 ). Analogamente, costituisce di per sé un’ingerenza nei diritti garantiti agli articoli 7 e 8 della Carta la conservazione, per un certo periodo, dei dati relativi alla vita privata di una persona ( 55 ).

71. La Corte ha parimenti già dichiarato che i dati PNR, come quelli elencati all’allegato I, comprendono informazioni su persone fisiche identificate, ossia i passeggeri aerei interessati, e che pertanto i diversi trattamenti di cui tali dati possono essere oggetto incidono sul diritto fondamentale al rispetto della vita privata, garantito all’articolo 7 della Carta. Tali trattamenti rientrano anche nell’articolo 8 della Carta e devono, di conseguenza, necessariamente soddisfare gli obblighi di protezione dei dati previsti a tale articolo ( 56 ).

72. Pertanto, il trattamento dei dati PNR consentito dalla direttiva PNR e, segnatamente, nei limiti in cui ciò sia rilevante ai fini della presente causa, il trasferimento di tali dati da parte dei vettori aerei alle UIP, la loro utilizzazione da parte di tali unità, il loro ulteriore trasferimento verso le competenti autorità nazionali ai sensi dell’articolo 7 di tale direttiva, nonché la loro conservazione costituiscono altrettante ingerenze nei diritti fondamentali garantiti agli articoli 7 e 8 della Carta.

73. Quanto alla gravità di tali ingerenze occorre rilevare, in primo luogo, che la direttiva PNR prevede il trasferimento sistematico e continuato alle UIP dei dati PNR di tutti i passeggeri aerei, come definito all’articolo 3, punto 4, di tale direttiva, che si imbarcano su un volo «extra-UE» ai sensi dell’articolo 3, punto 2, della stessa. Un siffatto trasferimento implica un accesso generale da parte delle UIP a tutti i dati PNR comunicati ( 57 ). Tale constatazione non viene rimessa in discussione, contrariamente a quanto fatto valere da alcuni Stati membri nel presente procedimento, dalla circostanza che, poiché tali dati sono soggetti ad un trattamento automatizzato, le UIP avranno concretamente accesso soltanto ai dati la cui analisi abbia prodotto un risultato positivo. Infatti, da un lato, una simile circostanza non ha impedito alla Corte, ad oggi, di affermare, nell’ambito di sistemi simili di trattamento automatizzato di dati personali raccolti o conservati «in blocco», il carattere generale dell’accesso delle autorità pubbliche interessate a siffatti dati. Dall’altro, la mera messa a disposizione delle autorità pubbliche di dati personali, ai fini del loro trattamento e della loro conservazione da parte di tali autorità, comporta un accesso a priori generale e completo delle stesse a tali dati e un’ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali.

74. In secondo luogo, in conformità all’articolo 2, paragrafo 1, della direttiva PNR, gli Stati membri possono decidere di applicare quest’ultima ai voli «intra‑UE» ai sensi dell’articolo 3, punto 3, della stessa. A tal riguardo rilevo, da un lato, che la direttiva PNR non si limita a prevedere la facoltà per gli Stati membri di estendere la sua applicazione ai voli intra-UE, bensì determina parimenti le condizioni tanto formali quanto materiali che disciplinano l’esercizio di tale facoltà ( 58 ) e precisa che, qualora essa venga esercitata soltanto per voli intra‑UE selezionati, la scelta di tali voli deve essere operata tenendo conto degli obiettivi perseguiti da detta direttiva ( 59 ). Dall’altro, la direttiva PNR stabilisce le conseguenze dell’esercizio di una siffatta facoltà, prevedendo, al suo articolo 2, paragrafo 2, che, qualora uno Stato membro decida di applicare tale direttiva ai voli intra-UE, tutte le disposizioni della stessa «si applicano ai voli intra-UE come se fossero voli extra-UE e ai dati PNR riguardanti voli intra-UE come se fossero dati PNR riguardanti voli extra-UE».

75. In tali circostanze, contrariamente a quanto fatto valere da un certo numero di governi che hanno presentato osservazioni nel presente procedimento, sono del parere che, nonostante l’applicazione della direttiva PNR ai voli intra-UE dipenda dalla scelta degli Stati membri, il fondamento giuridico delle ingerenze nei diritti al rispetto della vita privata e alla protezione dei dati personali connesse al trasferimento, al trattamento e alla conservazione dei dati PNR relativi a tali voli è costituito, quando viene effettuata una siffatta scelta, dalla direttiva PNR.

76. Orbene, ad eccezione del Regno di Danimarca, che non è soggetto a tale direttiva ( 60 ), pressoché tutti gli Stati membri applicano il regime istituito dalla stessa ai voli «intra-UE» ( 61 ). Ne consegue che tale regime si applica a tutti i voli che entrano ed escono dall’Unione, nonché a pressoché tutti i voli effettuati all’interno dell’Unione.

77. In terzo luogo, per quanto riguarda i dati PNR da trasferire, l’allegato I elenca 19 rubriche, riguardanti dati biografici ( 62 ), i dettagli del viaggio aereo ( 63 ) e altri dati raccolti nel contesto del contratto di trasporto aereo, come il recapito telefonico, l’indirizzo di posta elettronica, le modalità di pagamento, l’agenzia o l’agente di viaggio, le informazioni relative al bagaglio nonché osservazioni generali ( 64 ). Orbene, come rilevato dalla Corte al punto 128 del parere 1/15, in sede di pronuncia sulle rubriche figuranti all’allegato al progetto di accordo tra il Canada e l’Unione europea sul trasferimento e sul trattamento dei dati del codice di prenotazione PNR (in prosieguo: il «progetto di accordo PNR Canada-UE»), formulate in maniera ampiamente simile a quelle dell’allegato I, «anche se taluni dati PNR, considerati isolatamente, non sembrano poter rivelare informazioni importanti sulla vita privata degli interessati, tuttavia, considerati complessivamente, detti dati possono, tra l’altro, rivelare un itinerario di viaggio completo, abitudini di viaggio, relazioni esistenti tra due o più persone nonché informazioni sulla situazione finanziaria dei passeggeri aerei, sulle loro abitudini alimentari o sul loro stato di salute, e potrebbero persino fornire informazioni sensibili su tali passeggeri».

78. In quarto luogo, ai sensi dell’articolo 6 della direttiva PNR, i dati trasferiti dai vettori aerei sono destinati ad essere sottoposti ad un esame automatizzato da parte delle UIP, e ciò in maniera sistematica, vale a dire indipendentemente dalla questione se esista il minimo indizio che gli interessati rischino di essere coinvolti in reati di terrorismo o in reati gravi. Più specificamente, nell’ambito della valutazione preliminare dei passeggeri prevista all’articolo 6, paragrafo 2, lettera a), di tale direttiva e in conformità al paragrafo 3 di tale articolo, detti dati possono essere verificati tramite controlli incrociati con banche dati «pertinenti» (articolo 6, paragrafo 3, lettera a) e trattati sulla base di criteri prestabiliti (articolo 6, paragrafo 3, lettera b). Orbene, il primo tipo di trattamento può fornire informazioni supplementari sulla vita privata degli interessati ( 65 ) e, a seconda delle banche dati utilizzate per i controlli incrociati, può persino consentire di tracciare un profilo preciso di tali persone. In siffatte circostanze, l’obiezione mossa da diversi governi, secondo la quale la direttiva PNR consentirebbe l’accesso soltanto ad un insieme di dati personali relativamente limitato, non riflette in maniera adeguata la portata potenziale delle ingerenze nei diritti fondamentali protetti dagli articoli 7 e 8 della Carta che tale direttiva comporta, nell’ottica della portata dei dati ai quali essa può consentire l’accesso. Per quanto riguarda il secondo tipo di trattamento di dati, previsto all’articolo 6, paragrafo 3, lettera b), della direttiva PNR, ricordo che, ai punti 169 e 172 del parere 1/15, la Corte ha sottolineato che è inerente ad ogni tipo di analisi fondata su criteri prestabiliti presentare un certo tasso d’errore, e segnatamente un certo numero di risultati «erroneamente positivi». Secondo le cifre contenute nel documento di lavoro dei servizi della Commissione ( 66 ) (in prosieguo: il «documento di lavoro del 2020»), allegato alla relazione della Commissione del 2020, il numero di casi di riscontri positivi risultati erronei a seguito del riesame individuale previsto all’articolo 6, paragrafo 5, della direttiva PNR è piuttosto consistente ed era pari, nel corso degli anni 2018 e 2019, ad almeno cinque su sei persone identificate ( 67 ).

79. In quinto luogo, in conformità all’articolo 12, paragrafo 1, della direttiva PNR, i dati PNR vengono conservati in una banca dati per un periodo di cinque anni dal trasferimento all’UIP dello Stato membro dal cui territorio parte o nel cui territorio atterra il volo. La direttiva PNR permette pertanto di disporre di informazioni sulla vita privata dei passeggeri aerei per una durata particolarmente lunga ( 68 ). Inoltre, poiché il trasferimento dei dati PNR riguarda la quasi totalità dei voli effettuati in partenza e all’ingresso nell’Unione, nonché all’interno della stessa, e l’aereo è divenuto un mezzo di trasporto piuttosto abituale, una parte significativa dei passeggeri aerei potrebbe vedere conservati i propri dati personali in maniera praticamente permanente, per il solo fatto che essi si spostano in aereo almeno due volte ogni cinque anni.

80. Infine, su un piano più generale, la direttiva PNR prevede misure che, considerate globalmente, sono intese ad attuare a livello dell’Unione un sistema di sorveglianza «indiscriminata», ossia non attivata in funzione di un sospetto gravante su una o più persone specifiche, «massiccia», nella misura in cui essa viene esercitata sui dati personali di un numero elevato di individui ( 69 ), che copre una stessa categoria di persone nel suo complesso ( 70 ), e «proattiva», nella misura in cui essa mira non solo ad indagare su minacce note, ma anche a trovare o ad individuare pericoli finora sconosciuti ( 71 ). Siffatte misure danno luogo, per loro stessa natura, ad ingerenze gravi nei diritti fondamentali protetti dagli articoli 7 e 8 della Carta ( 72 ), connesse segnatamente alla loro finalità preventiva e predittiva, la quale richiede la valutazione di dati personali relativi ad ampi segmenti della popolazione, ai fini dell’«identificazione» delle persone in relazione alle quali, in funzione dei risultati di tale valutazione, è opportuno che le autorità competenti procedano a ulteriori verifiche ( 73 ). Peraltro, il ricorso sempre più diffuso, a fini di prevenzione di taluni reati gravi, al trattamento di grandi quantità di dati personali di diversa natura raccolti «alla rinfusa», nonché il loro collegamento e il loro trattamento combinato, comportano un «effetto cumulativo» che amplifica la gravità delle restrizioni ai diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali e rischia di favorire un processo di graduale slittamento verso una «società di sorveglianza» ( 74 ).

81. Sulla base dell’insieme delle considerazioni che precedono, ritengo che l’ingerenza nei diritti fondamentali protetti dagli articoli 7 e 8 della Carta che la direttiva PNR comporta debba essere quantomeno qualificata come «grave».

82. È vero, come sostenuto in particolare dalla Commissione, che tutte le garanzie e le salvaguardie previste dalla direttiva PNR, segnatamente al fine di evitare un’utilizzazione abusiva dei dati PNR, sono idonee a ridurre l’intensità o la gravità di tali ingerenze. Ciò non toglie che ogni regime che prevede l’accesso e il trattamento di dati personali da parte di autorità pubbliche presenta un livello di gravità, nell’ottica della protezione dei diritti fondamentali colpiti, che è inerente alle sue caratteristiche oggettive. Tale livello di gravità deve, a mio avviso, essere determinato prima di procedere, nell’ambito della valutazione della proporzionalità di dette ingerenze, alla valutazione del carattere sufficiente ed adeguato delle garanzie che tale regime prevede. È così che la Corte ha proceduto, mi sembra, fino ad oggi.

83. Per essere compatibili con la Carta, le ingerenze che la direttiva PNR comporta nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali devono soddisfare le condizioni enunciate ai paragrafi 65 e 66 delle presenti conclusioni; ciò verrà esaminato nel prosieguo, nei limiti degli aspetti che sono stati sottoposti all’attenzione della Corte da parte del giudice del rinvio.

3. Sulla giustificazione dell’ingerenza risultante dalla direttiva PNR

84. Mentre la terza questione pregiudiziale verte sul rispetto della condizione di cui all’articolo 52, paragrafo 1, prima frase, della Carta, secondo la quale tutte le ingerenze in un diritto fondamentale devono essere «previste dalla legge», la seconda, la quarta, la sesta e l’ottava questione pregiudiziale interpellano la Corte segnatamente sul rispetto del principio di proporzionalità, contemplato alla seconda frase di tale disposizione.

a) Sul rispetto del requisito secondo il quale eventuali limitazioni all’esercizio di un diritto fondamentale riconosciuto dalla Carta devono essere previste dalla legge

85. Secondo una consolidata giurisprudenza della Corte ( 75 ), la quale si ispira alla giurisprudenza della Corte EDU ( 76 ), il requisito secondo cui eventuali limitazioni nell’esercizio dei diritti fondamentali devono essere «previste dalla legge» non riguarda unicamente l’origine «legale» dell’ingerenza – la quale non è contestata nella presente causa – bensì implica anche che la base giuridica che consente tale ingerenza deve definire essa stessa, in maniera chiara e precisa, la portata di quest’ultima. Questo secondo aspetto, che concerne la «qualità della legge» e, dunque, l’accessibilità e la prevedibilità della misura in questione ( 77 ), è racchiuso nell’espressione «previste dalla legge» ai sensi sia dell’articolo 52, paragrafo 1, della Carta, sia dell’articolo 8, paragrafo 2, della stessa e dell’articolo 8 della CEDU, non è inteso unicamente ad assicurare il rispetto del principio di legalità e una protezione adeguata contro l’arbitrio ( 78 ), ma risponde parimenti ad un’esigenza imperativa di certezza del diritto. Tale requisito è affermato parimenti nel parere del 19 agosto 2016 del comitato consultivo della convenzione 108 ( 79 ) sulle implicazioni in materia di protezione di dati del trattamento dei dati passeggeri (in prosieguo: il «parere del 19 agosto 2016») ( 80 ).

86. Adottando la direttiva PNR, il legislatore dell’Unione ha proceduto esso stesso a limitare i diritti sanciti agli articoli 7 e 8 della Carta. Le ingerenze che tale direttiva consente in detti diritti non possono dunque essere considerate una conseguenza della scelta degli Stati membri ( 81 ), malgrado il potere discrezionale di cui questi ultimi abbiano potuto beneficiare al momento della sua trasposizione nel diritto nazionale, ma trovano il loro fondamento giuridico nella direttiva PNR stessa. In tali circostanze, incombeva al legislatore dell’Unione, al fine di conformarsi alla giurisprudenza richiamata al paragrafo 85 delle presenti conclusioni, nonché alle «norme elevate» di protezione dei diritti fondamentali contenute segnatamente nella Carta e nella CEDU alle quali fa riferimento il considerando 15 della direttiva PNR, formulare regole chiare e precise che definissero tanto la portata quanto l’applicazione delle misure che comportano siffatte ingerenze.

87. Mentre, con la sua terza questione pregiudiziale, il giudice del rinvio si interroga specificamente in merito al rispetto di tale obbligo con riferimento ai punti 12 e 18 dell’allegato I, l’esame della seconda, della quarta e della sesta questione pregiudiziale, con le quali tale giudice solleva dubbi in merito al carattere necessario delle ingerenze nei diritti fondamentali enunciati agli articoli 7 e 8 della Carta che la direttiva PNR comporta, richiederà parimenti una presa di posizione sul carattere sufficientemente chiaro e preciso delle disposizioni della direttiva PNR controverse.

88. Benché tale analisi sia relativa, come ho illustrato al paragrafo 85 delle presenti conclusioni, alla legalità dell’ingerenza, ai sensi dell’articolo 52, paragrafo 1, prima frase, della Carta, procederò alla medesima nell’ambito dell’esame della sua proporzionalità, contemplato alla seconda frase di tale paragrafo, in conformità all’approccio seguito sia dalla Corte sia dalla Corte EDU nelle cause che vertono su misure aventi ad oggetto il trattamento dei dati personali ( 82 ).

b) Sul rispetto del contenuto essenziale dei diritti enunciati agli articoli 7 e 8 della Carta

89. In conformità all’articolo 52, paragrafo 1, prima frase, della Carta, eventuali restrizioni all’esercizio dei diritti fondamentali devono non solo essere basate su un fondamento giuridico sufficientemente preciso, ma devono parimenti rispettare il contenuto essenziale di tali diritti.

90. Come ho illustrato al paragrafo 66 delle presenti conclusioni, tale requisito – che si ritrova incorporato nelle costituzioni di diversi Stati membri ( 83 ) e che, pur non essendo riconosciuto espressamente dalla CEDU, è cionondimeno ben radicato nella giurisprudenza della Corte EDU ( 84 ) – si trova sancito all’articolo 52, paragrafo 1, della Carta ( 85 ). Riconosciuto dalla Corte ben prima della sua codificazione ( 86 ), un siffatto requisito è stato costantemente ribadito nella giurisprudenza dei giudici dell’Unione, anche dopo l’entrata in vigore del trattato di Lisbona.

91. Risulta segnatamente dalla sentenza del 6 ottobre 2015, Schrems ( 87 ), che l’inosservanza del contenuto essenziale di un diritto fondamentale da parte di un atto dell’Unione comporta in maniera automatica la nullità o l’invalidità dello stesso, senza che sia necessario procedere ad un bilanciamento degli interessi coinvolti. La Corte riconosce pertanto che ogni diritto fondamentale presenta un «nocciolo duro», che garantisce ad ognuno una sfera di libertà al riparo da qualsivoglia ingerenza da parte dei pubblici poteri e che non può subire limitazioni ( 88 ), salvo rimettere in discussione i principi democratico, dello Stato di diritto e del rispetto della dignità umana sottesi alla protezione dei diritti fondamentali. Sia dal testo dell’articolo 52, paragrafo 1, della Carta sia dalla giurisprudenza della Corte e, segnatamente, dalla sentenza Schrems I, risulta inoltre che la valutazione avente ad oggetto l’esistenza di un’ingerenza nel contenuto essenziale del diritto fondamentale in questione deve essere effettuata prima della, e a prescindere dalla, valutazione della proporzionalità della misura contestata. Si tratta, in altri termini, di un testo dotato di una propria autonomia.

92. Ciò premesso, stabilire ciò che costituisce il «contenuto essenziale» e, pertanto, intangibile di un diritto fondamentale che può essere limitato nel suo esercizio è un’operazione estremamente complessa. Se, per adempiere alla sua funzione, tale nozione dovrebbe essere definita in termini assoluti, alla luce delle caratteristiche essenziali del diritto fondamentale in questione, degli interessi soggettivi e oggettivi che esso è inteso a proteggere e, più in generale, della sua funzione in una società democratica fondata sul rispetto della dignità umana ( 89 ), nella prassi una simile operazione risulta pressoché impossibile, perlomeno senza tenere conto di criteri che vengono solitamente impiegati nell’esame della proporzionalità dell’ingerenza nel diritto in questione, come la gravità di tale ingerenza, la sua portata o la sua dimensione temporale e, pertanto, senza tenere conto delle peculiarità di ciascun caso di specie.

93. Per quanto riguarda segnatamente il diritto fondamentale al rispetto della vita privata, si deve tenere conto non solo dell’importanza rivestita, per la salute mentale e fisica di ogni individuo, il suo benessere, la sua autonomia, la sua realizzazione personale, la sua capacità di costruire e coltivare rapporti sociali, dal fatto di disporre di una sfera privata nella quale sviluppare la propria interiorità personale, ma anche del ruolo svolto da tale diritto al fine di preservare altri diritti e libertà quali, segnatamente, le libertà di pensiero, coscienza, religione, espressione e informazione, il cui pieno godimento presuppone il riconoscimento di una sfera di intimità. Più in generale, occorre tenere conto della funzione svolta in una società democratica dal rispetto del diritto alla vita privata ( 90 ). La Corte sembra valutare l’esistenza di un pregiudizio al contenuto essenziale di tale diritto considerando tanto l’intensità quanto la portata dell’ingerenza, il che induce a ritenere che un siffatto pregiudizio sia definito piuttosto sotto il profilo quantitativo che sotto quello qualitativo. In tal senso, da un lato, nella sentenza Digital Rights, la Corte ha giudicato, in sostanza, che l’obbligo di conservazione dei dati imposto dalla direttiva 2006/24/CE ( 91 ) non raggiungeva un livello di gravità tale da pregiudicare il contenuto essenziale del diritto al rispetto della vita privata, poiché essa non consentiva di «venire a conoscenza del contenuto delle comunicazioni elettroniche in quanto tale» ( 92 ). Dall’altro, nel parere 1/15, la Corte ha sancito, in sostanza, che una limitazione circoscritta ad alcuni aspetti soltanto della vita privata delle persone interessate non poteva dar luogo ad un’ingerenza nel contenuto essenziale di tale diritto fondamentale ( 93 ).

94. Quanto al diritto fondamentale alla protezione dei dati personali, la Corte sembra ritenere che il contenuto essenziale di tale diritto venga preservato allorché la misura che stabilisce l’ingerenza circoscrive le finalità del trattamento e prevede norme che garantiscano la sicurezza dei dati interessati, segnatamente contro la distruzione accidentale o illecita, la perdita o l’alterazione accidentale ( 94 ).

95. Nella presente causa, pur se il giudice del rinvio non ha menzionato in maniera esplicita il requisito del rispetto del contenuto essenziale dei diritti enunciati agli articoli 7 e 8 della Carta, la questione del rispetto di tale requisito è, a mio avviso, sottesa alla quarta e alla sesta questione pregiudiziale. È per questo motivo che suggerisco alla Corte di affrontarla.

96. A tal riguardo, ricordo che, al punto 150 del parere 1/15, mentre ha riconosciuto che i dati PNR «possono, eventualmente, rivelare informazioni molto precise sulla vita privata di una persona» ( 95 ) e che tali informazioni possono svelare, direttamente o indirettamente, dati delicati dell’interessato ( 96 ), la Corte ha cionondimeno concluso, per quanto riguarda il progetto di accordo PNR Canada‑UE, che, poiché la «natura di tali informazioni [era] limitata ad alcuni aspetti di tale vita privata, relativi in particolare ai viaggi aerei tra il Canada e l’Unione», la violazione del diritto fondamentale al rispetto della vita privata non era tale da pregiudicare il contenuto essenziale di detto diritto.

97. Orbene, se si esclude il fatto che i dati PNR di cui al progetto di accordo PNR Canada-UE dovevano essere trasferiti verso uno Stato terzo e che il loro trattamento ulteriore doveva essere effettuato dalle autorità di siffatto Stato terzo nel proprio territorio, le ingerenze nel diritto fondamentale al rispetto della vita privata risultanti da detto progetto di accordo e quelle previste dalla direttiva PNR sono, per quanto riguarda la loro natura, ampiamente coincidenti. Ciò vale, segnatamente, per i dati PNR interessati, per il carattere sistematico e generalizzato del trasferimento e del trattamento di tali dati, per la natura automatizzata dello stesso, nonché per la conservazione di detti dati. Per contro, ciò che distingue le due cause è, per così dire, la «copertura geografica» di tali ingerenze. Infatti, come ho illustrato al paragrafo 77 delle presenti conclusioni, i trattamenti dei dati di cui alla presente causa non sono limitati ai collegamenti aerei con un solo paese terzo, come nel caso del parere 1/15, ma riguardano pressoché tutti i voli in entrata e in uscita dall’Unione ed effettuati all’interno della stessa. Ne consegue che, rispetto al progetto di accordo PNR Canada-UE, la direttiva PNR impone il trattamento sistematico di un numero significativamente più elevato di passeggeri aerei, che si spostano con l’aereo all’interno e all’esterno dell’Unione. Inoltre, considerato l’aumento del volume dei dati trattati, nonché la frequenza con la quale essi sono raccolti, il loro trattamento è verosimilmente idoneo a fornire informazioni al contempo più precise e più ampie sulla vita privata degli interessati (abitudini di viaggio, rapporti personali, situazioni finanziarie, ecc.).

98. Ciò non toglie che, come nel caso del parere 1/15, tali informazioni, considerate isolatamente, vertono soltanto su taluni aspetti della vita privata, connessi ai viaggi aerei. Orbene, alla luce della necessità di definire la nozione di «contenuto essenziale» dei diritti fondamentali in maniera restrittiva, affinché essa conservi la sua funzione di bastione contro gli attacchi alla sostanza stessa di tali diritti, ritengo che la conclusione alla quale la Corte è giunta al punto 150 del parere 1/15 possa essere trasposta alla presente causa.

99. Nel parere 1/15, la Corte ha inoltre escluso un pregiudizio al contenuto essenziale del diritto alla protezione dei dati personali ( 97 ). Tale conclusione è parimenti trasponibile, a mio avviso, alle circostanze della presente causa. Infatti, come nel caso del progetto di accordo PNR Canada-UE, la direttiva PNR circoscrive, al suo articolo 1, paragrafo 2, le finalità del trattamento dei dati PNR. Peraltro tale direttiva, nonché gli altri atti dell’Unione ai quali essa rinvia, segnatamente il RGPD e la direttiva polizia, contengono disposizioni specifiche destinate a garantire, in particolare, la sicurezza, la riservatezza e l’integrità di tali dati, nonché a proteggerli contro gli accessi e i trattamenti illeciti. Pur se non si può ritenere che una normativa come quella prevista dalla direttiva PNR interessi il contenuto essenziale dei diritti fondamentali protetti dagli articoli 7 e 8 della Carta, ciò non toglie che essa debba essere sottoposta ad un controllo stretto e rigoroso della sua proporzionalità.

c) Sul rispetto del requisito secondo il quale l’ingerenza deve rispondere ad un obiettivo di interesse generale

100. La direttiva PNR mira, segnatamente, ad assicurare la sicurezza interna dell’Unione e a proteggere la vita e la sicurezza delle persone mediante un trasferimento dei dati PNR alle autorità competenti degli Stati membri ai fini della loro utilizzazione nell’ambito della lotta contro il terrorismo e i reati gravi ( 98 ).

101. Più specificamente, dall’articolo 1, paragrafo 2, della direttiva PNR, in combinato disposto con i suoi considerando 6 e 7, nonché dalla proposta della Commissione sfociata nell’adozione di tale direttiva (in prosieguo: la «proposta di direttiva PNR») ( 99 ), risulta che, nell’ambito di un siffatto obiettivo, i dati PNR vengono utilizzati dalle autorità di contrasto ( 100 ) in diversi modi. In primo luogo, tali dati vengono utilizzati al fine di individuare persone coinvolte o sospettate di essere coinvolte in reati terroristici e in reati gravi già commessi, di raccogliere prove nonché, se del caso, di trovare i complici di criminali e di smantellare reti criminali (uso effettuato «reattivamente»). In secondo luogo, i dati PNR possono essere valutati prima dell’arrivo o della partenza dei passeggeri al fine di prevenire la commissione di un crimine e di identificare persone mai sospettate di reati di terrorismo o di reati gravi in precedenza e in relazione alle quali è opportuno, sulla base del risultato di tale valutazione, che le autorità di contrasto procedano a ulteriori verifiche (utilizzazione in modalità «reale»). Infine, i dati PNR vengono utilizzati allo scopo di definire criteri di valutazione che possono essere successivamente applicati nell’apprezzamento del rischio rappresentato dai passeggeri prima del loro arrivo e prima della loro partenza (uso effettuato «proattivamente»»). Una siffatta utilizzazione proattiva dei dati PNR dovrebbe permettere alle autorità di contrasto di far fronte alla minaccia di reati di terrorismo e reati gravi da una prospettiva diversa rispetto a quanto consentito dal trattamento di altre categorie di dati personali ( 101 ).

102. Dalla giurisprudenza della Corte risulta che l’obiettivo di salvaguardia della sicurezza pubblica, che copre segnatamente la prevenzione, la ricerca, l’accertamento e il perseguimento sia di reati terroristici sia di reati penali rientranti nelle forme gravi di criminalità, costituisce un obiettivo di interesse generale dell’Unione, ai sensi dell’articolo 52, paragrafo 1, della Carta, idoneo a giustificare ingerenze, anche gravi, nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta ( 102 ).

103. La Corte ha parimenti riconosciuto che gli obiettivi di salvaguardia della sicurezza pubblica e di lotta contro la criminalità grave contribuiscono alla protezione dei diritti e delle libertà altrui ( 103 ). Pertanto, nell’ambito della ponderazione equilibrata fra tali obiettivi e i diritti fondamentali sanciti agli articoli 7 e 8 della Carta ( 104 ), occorre tenere parimenti conto dell’importanza dei diritti sanciti agli articoli 3, 4, 6 e 7 della Carta. A tal riguardo, benché, nella sentenza La Quadrature du Net, la Corte abbia giudicato che l’articolo 6 della Carta «non può essere interpretato nel senso che impone ai poteri pubblici un obbligo di adottare misure specifiche al fine di reprimere determinati reati» ( 105 ), per contro, per quanto riguarda, in particolare, la lotta effettiva contro i reati di cui sono vittime, in particolare, i minori e le altre persone vulnerabili, essa ha sottolineato che obblighi positivi a carico dei pubblici poteri possono risultare sia dall’articolo 7 della Carta, ai fini dell’adozione di misure giuridiche dirette a tutelare la vita privata e familiare, sia dagli articoli 3 e 4 della stessa, relativamente alla tutela dell’integrità fisica e psichica delle persone e al divieto di tortura e di trattamenti inumani e degradanti ( 106 ).

104. Infine, la Corte ha dichiarato che l’importanza dell’obiettivo di salvaguardia della sicurezza nazionale supera quella degli obiettivi di lotta alla criminalità in generale, anche grave, e di salvaguardia della sicurezza pubblica, e che tale obiettivo è pertanto idoneo a giustificare misure che comportino ingerenze nei diritti fondamentali più gravi di quelle che potrebbero giustificare tali altri obiettivi ( 107 ). Poiché le attività terroristiche sono idonee a costituire minacce alla sicurezza nazionale degli Stati membri, il sistema attuato dalla direttiva PNR, nella misura in cui funge da strumento di lotta contro siffatte attività, contribuisce all’obiettivo di salvaguardia della sicurezza nazionale degli Stati membri.

d) Sul rispetto del principio di proporzionalità

105. Ai sensi dell’articolo 52, paragrafo 1, seconda frase, della Carta, nel rispetto del principio di proporzionalità, possono essere apportate limitazioni all’esercizio di un diritto fondamentale riconosciuto dalla Carta solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.

106. A questo proposito, si deve ricordare che il principio di proporzionalità esige, secondo una costante giurisprudenza della Corte, che gli atti delle istituzioni dell’Unione siano idonei a realizzare gli obiettivi legittimi perseguiti dalla normativa di cui trattasi e non superino i limiti di ciò che è idoneo e necessario al conseguimento degli obiettivi stessi ( 108 ).

107. In conformità alla giurisprudenza costante della Corte, la tutela del diritto fondamentale al rispetto della vita privata a livello dell’Unione esige che le deroghe e le restrizioni alla tutela dei dati personali operino entro i limiti dello stretto necessario. Inoltre, un obiettivo di interesse generale non può essere perseguito senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali interessati dalla misura, effettuando un contemperamento equilibrato tra, da un lato, l’obiettivo di interesse generale e, dall’altro, i diritti di cui trattasi ( 109 ). Più in particolare, la proporzionalità di una limitazione dei diritti sanciti agli articoli 7 e 8 della Carta deve essere valutata misurando la gravità dell’ingerenza che una restrizione siffatta comporta e verificando che l’importanza dell’obiettivo di interesse generale perseguito da tale limitazione sia adeguata a detta gravità ( 110 ).

108. Dalla giurisprudenza della Corte risulta che, per soddisfare il requisito di proporzionalità, la direttiva PNR, in quanto fondamento giuridico che comporta ingerenze nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta descritte ai paragrafi da 70 a 83 delle presenti conclusioni, deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione delle misure che comportano siffatte ingerenze e imporre obblighi minimi, in modo che le persone i cui dati sono stati trasferiti dispongano di garanzie sufficienti che permettano di proteggere efficacemente i loro dati personali contro il rischio di abusi nonché contro eventuali accessi e usi illeciti dei suddetti dati ( 111 ). La necessità di disporre di siffatte garanzie è tanto più importante allorché, come nella fattispecie, i dati personali sono soggetti a trattamento automatizzato e quando è in gioco la protezione di quella categoria particolare di dati personali che sono i dati delicati ( 112 ).

109. Per quanto riguarda la portata del controllo giurisdizionale del rispetto degli obblighi risultanti dal principio di proporzionalità, tenuto conto del ruolo importante svolto dalla protezione dei dati personali sotto il profilo del diritto fondamentale al rispetto della vita privata e dell’ingerenza in tale suddetto diritto che la direttiva PNR comporta, il potere discrezionale del legislatore dell’Unione risulta ridotto, cosicché tale controllo deve essere rigoroso ( 113 ).

1) Sull’idoneità dei trattamenti dei dati PNR di cui alla direttiva PNR sotto il profilo dell’obiettivo perseguito

110. Al punto 153 del parere 1/15 la Corte ha affermato, in relazione al progetto di accordo PNR Canada-UE, che il trasferimento dei dati PNR verso il Canada e i trattamenti ulteriori degli stessi possono essere considerati idonei a garantire la realizzazione dell’obiettivo relativo alla protezione della sicurezza e dell’incolumità pubbliche. Tale idoneità, riconosciuta da tempo sia a livello dell’Unione che a livello mondiale ( 114 ), non mi sembra che possa essere messa in discussione con riferimento alla raccolta e al trattamento ulteriore dei dati PNR per quanto riguarda sia i voli extra-UE sia i voli intra-UE ( 115 ).

111. Ciò premesso, l’efficacia del sistema di trattamento dei dati PNR istituito dalla direttiva può essere apprezzato solo in concreto, valutando i risultati della sua applicazione ( 116 ). In tale ottica, è essenziale che una siffatta efficacia sia oggetto di una valutazione continua sulla base di dati statistici quanto più precisi e attendibili possibile ( 117 ). A tal riguardo, la Commissione dovrebbe, a scadenze regolari, procedere ad un riesame analogo a quello già previsto all’articolo 19 della direttiva PNR.

2) Sul carattere strettamente necessario dell’ingerenza

112. Benché la Cour constitutionnelle (Corte costituzionale) non abbia sollevato esplicitamente dubbi sul fatto che la direttiva PNR contenga norme chiare, precise e limitate allo stretto necessario per quanto riguarda la delimitazione delle finalità del trattamento dei dati PNR ( 118 ), l’analisi della proporzionalità del sistema previsto da tale direttiva, sollecitata dal giudice del rinvio, non può omettere, a mio avviso, l’esame di tale questione ( 119 ).

i) Sulla delimitazione delle finalità del trattamento dei dati PNR

113. Una delimitazione chiara delle finalità per le quali l’accesso a dati personali da parte delle autorità competenti, nonché il loro uso ulteriore da parte delle stesse, sono permessi costituisce un requisito essenziale di ogni sistema di trattamento di dati, in particolare nelle attività di contrasto. Il soddisfacimento di tale requisito è peraltro necessario al fine di consentire alla Corte di valutare la proporzionalità delle misure in questione, applicando il test di gravità dell’ingerenza rispetto all’importanza dell’obiettivo perseguito, istituito nella sua giurisprudenza ( 120 ).

114. La Corte ha sottolineato l’importanza di una chiara delimitazione delle finalità delle misure che comportano limitazioni dei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali segnatamente nella sentenza Digital Rights, nella quale essa ha dichiarato invalida la direttiva 2006/24. Al punto 60 di tale sentenza, la Corte ha osservato che siffatta direttiva non prevedeva «alcun criterio oggettivo che permetta di delimitare l’accesso dell