CONCLUSIONI DELL’AVVOCATO GENERALE

HENRIK SAUGMANDSGAARD ØE

presentate il 19 luglio 2016 ( 1 )

Cause riunite C‑203/15 e C‑698/15

Tele2 Sverige AB

contro

Post‑ och telestyrelsen (C‑203/15)

e

Secretary of State for the Home Department

contro

Tom Watson,

Peter Brice,

Geoffrey Lewis (C‑698/15)

con l’intervento di

Open Rights Group,

Privacy International,

Law Society of England and Wales

[domande di pronuncia pregiudiziale proposte dal Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma, Svezia) e dalla Court of Appeal (England & Wales) (Civil Division) [Corte d’appello (Inghilterra e Galles) (sezione civile), Regno Unito]

«Rinvio pregiudiziale — Direttiva 2002/58/CE — Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche — Normativa nazionale che prevede un obbligo generale di conservare i dati relativi alle comunicazioni elettroniche — Articolo 15, paragrafo 1 — Carta dei diritti fondamentali dell’Unione europea — Articolo 7 — Diritto al rispetto della vita privata — Articolo 8 — Diritto alla protezione dei dati di carattere personale — Ingerenza grave — Giustificazione — Articolo 52, paragrafo 1 — Condizioni — Obiettivo legittimo di lotta contro i reati gravi — Requisito di una base giuridica nel diritto nazionale — Requisito di stretta necessità — Requisito di proporzionalità in una società democratica»

Indice

I – Introduzione II – Contesto normativo A – Direttiva 2002/58 B – Diritto svedese 1. Sulla portata dell’obbligo di conservazione 2. Sull’accesso ai dati conservati a) La LEK b) L’RB c) La legge 2012:278 3. Sulla durata di conservazione dei dati 4. Sulla protezione e la sicurezza dei dati conservati C – Diritto del Regno Unito 1. Sulla portata dell’obbligo di conservazione 2. Sull’accesso ai dati conservati 3. Sul periodo di conservazione dei dati 4. Sulla protezione e la sicurezza dei dati conservati III – Procedimenti principali e questioni pregiudiziali A – La causa C‑203/15 B – La causa C‑698/15 IV – Procedimento dinanzi alla Corte V – Analisi delle questioni pregiudiziali A – Sulla ricevibilità della seconda questione sollevata nella causa C‑698/15 B – Sulla compatibilità di un obbligo generale di conservazione di dati con il regime stabilito dalla direttiva 2002/58 1. Sull’inclusione di un obbligo generale di conservazione di dati nell’ambito di applicazione della direttiva 2002/58 2. Sulla possibilità di derogare al regime stabilito dalla direttiva 2002/58 istituendo un obbligo generale di conservazione di dati C – Sull’applicabilità della Carta a un obbligo generale di conservazione di dati D – Sulla compatibilità di un obbligo generale di conservazione di dati con i requisiti stabiliti dall’articolo 15, paragrafo 1, della direttiva 2002/58 nonché dagli articoli 7, 8 e 52, paragrafo 1, della Carta 1. Sul requisito di una base giuridica nel diritto nazionale 2. Sul rispetto del contenuto essenziale dei diritti riconosciuti dagli articoli 7 e 8 della Carta 3. Sull’esistenza di un obiettivo di interesse generale riconosciuto dall’Unione che possa giustificare un obbligo generale di conservazione di dati 4. Sul carattere adeguato di un obbligo generale di conservazione di dati alla luce della lotta contro i reati gravi 5. Sul carattere necessario di un obbligo generale di conservazione di dati alla luce della lotta contro i reati gravi a) Sul carattere strettamente necessario di un obbligo generale di conservazione di dati b) Sul carattere imperativo delle garanzie enunciate dalla Corte ai punti dai 60 a 68 della sentenza DRI alla luce del requisito di stretta necessità 6. Sul carattere proporzionato, in una società democratica, di un obbligo generale di conservazione di dati alla luce dell’obiettivo della lotta contro i reati gravi VI – Conclusione

I – Introduzione

1. Nel 1788, James Madison, uno degli autori della Costituzione degli Stati Uniti, così scriveva: «If men were angels, no government would be necessary. If angels were to govern men, neither external nor internal controls on government would be necessary. In framing a government which is to be administered by men over men, the great difficulty lies in this: you must first enable the government to control the governed; and in the next place oblige it to control itself» ( 2 ).

2. Le presenti cause ci pongono al centro della «grande difficoltà» individuata da Madison. Esse vertono sulla compatibilità con il diritto dell’Unione di regimi nazionali che impongono ai fornitori di servizi di comunicazione elettronica accessibili al pubblico (in prosieguo: i «fornitori») un obbligo di conservazione dei dati relativi alle comunicazioni elettroniche (in prosieguo: i «dati relativi alle comunicazioni») riguardante tutti i mezzi di comunicazione e tutti gli utenti (in prosieguo: l’«obbligo generale di conservazione di dati»).

3. Da una parte, la conservazione dei dati relativi alle comunicazioni consente «al governo di controllare i governati» mettendo a disposizione delle autorità competenti un mezzo di indagine che presenta un’utilità certa nella lotta contro i reati gravi, e in particolare nella lotta contro il terrorismo. In sostanza, la conservazione di tali dati offre alle autorità una capacità limitata di «leggere il passato», accedendo ai dati relativi alle comunicazioni che una persona ha effettuato ancor prima di essere sospettata di avere un collegamento con un reato grave ( 3 ).

4. Dall’altra, tuttavia, è imperativo «obbligare il governo a controllare se stesso» per quanto riguarda sia la conservazione sia l’accesso ai dati conservati, tenuto conto dei gravi rischi causati dall’esistenza di siffatte banche dati che coprono la totalità delle comunicazioni effettuate sul territorio nazionale. Infatti, tali banche dati dalle dimensioni considerevoli offrono a qualsiasi persona che vi abbia accesso la possibilità di catalogare istantaneamente l’insieme della popolazione rilevante ( 4 ). Detti rischi devono essere scrupolosamente presi in considerazione attraverso, in particolare, l’esame del carattere strettamente necessario e proporzionato di un obbligo generale di conservazione di dati, come quello di cui trattasi nei procedimenti principali.

5. Quindi, nell’ambito delle presenti cause, la Corte e i giudici del rinvio sono chiamati a definire un punto di equilibrio tra l’obbligo incombente agli Stati membri di garantire la sicurezza delle persone che si trovano sul loro territorio e il rispetto dei diritti fondamentali alla vita privata e alla protezione dei dati di carattere personale sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).

6. È alla luce di detta «grande difficoltà» che esaminerò le questioni sottoposte alla Corte nelle presenti cause. Queste ultime riguardano, più in particolare, la compatibilità di regimi nazionali che stabiliscono un obbligo generale di conservazione di dati con la direttiva 2002/58/CE ( 5 ) nonché con gli articoli 7 e 8 della Carta. Per rispondere a tali questioni, la Corte dovrà segnatamente precisare quale interpretazione occorra dare in un contesto nazionale alla sentenza Digital Rights Ireland e a. (in prosieguo: la «sentenza DRI») ( 6 ), nella quale la Grande Sezione della Corte ha invalidato la direttiva 2006/24/CE ( 7 ).

7. Per i motivi che esporrò in prosieguo, ritengo che un obbligo generale di conservazione di dati imposto da uno Stato membro possa essere compatibile con i diritti fondamentali sanciti dal diritto dell’Unione purché sia strettamente inquadrato da una serie di garanzie che individuerò nel corso della mia esposizione.

II – Contesto normativo

A – Direttiva 2002/58

8. L’articolo 1 della direttiva 2002/58, intitolato «Finalità e campo d’applicazione», così dispone: «1. La presente direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell[‘Unione europea]. 2. Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva [95/46]. Esse prevedono inoltre la tutela dei legittimi interessi degli abbonati che sono persone giuridiche. 3. La presente direttiva non si applica alle attività che esulano dal campo di applicazione del [TFUE], quali quelle disciplinate dai titoli V e VI del [TUE] né, comunque, alle attività riguardanti la sicurezza pubblica, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato ove le attività siano connesse a questioni di sicurezza dello Stato) o alle attività dello Stato in settori che rientrano nel diritto penale».

9. L’articolo 15, paragrafo 1, della direttiva 2002/58, intitolato «Applicazione di alcune disposizioni della direttiva [95/46]», è così formulato: «Gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli articoli 5 e 6, all’articolo 8, paragrafi da 1 a 4, e all’articolo 9 della presente direttiva, qualora tale restrizione costituisca, ai sensi dell’articolo 13, paragrafo 1, della direttiva [95/46], una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. A tal fine gli Stati membri possono tra l’altro adottare misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo. Tutte le misure di cui al presente paragrafo sono conformi ai principi generali del diritto comunitario, compresi quelli di cui all’articolo 6, paragrafi 1 e 2, [TUE]».

B – Diritto svedese

10. La direttiva 2006/24, ormai invalidata, è stata trasposta nel diritto svedese dalle modifiche apportate alla lagen (2003:389) om elektronisk kommunikation (legge svedese 2003:389 sulle comunicazioni elettroniche; in prosieguo: la «LEK») e al förordningen (2003:396) om elektronisk kommunikation (regolamento 2003:396 sulle comunicazioni elettroniche; in prosieguo: il «FEK»), testi entrati in vigore il 1o maggio 2012.

1. Sulla portata dell’obbligo di conservazione

11. Dalle disposizioni dell’articolo 16 a del capo 6 della LEK risulta che i fornitori sono tenuti a conservare i dati relativi alle comunicazioni necessari per identificare la fonte e la destinazione di una comunicazione, per determinarne la data, l’ora, la durata e la natura, per individuare l’apparecchiatura di comunicazione utilizzata nonché per determinare l’ubicazione dell’apparecchiatura di comunicazione mobile utilizzata all’inizio e alla fine della comunicazione. I tipi di dati che devono essere conservati formano oggetto di disposizioni più dettagliate negli articoli da 38 a 43 del FEK.

12. Tale obbligo di conservazione riguarda i dati trattati nell’ambito di un servizio di telefonia, un servizio di telefonia da un punto di connessione mobile, di un sistema di messaggeria elettronica, di un servizio di accesso a Internet, nonché di un servizio di fornitura di capacità di accesso a Internet.

13. I dati da conservare includono non solo tutti quelli che dovevano essere conservati nell’ambito della direttiva 2006/24, ma anche quelli relativi a comunicazioni non riuscite, nonché quelli relativi all’ubicazione alla fine di una comunicazione mediante telefonia mobile. Analogamente al regime che era previsto da tale direttiva, i dati da conservare non includono il contenuto delle comunicazioni.

2. Sull’accesso ai dati conservati

14. L’accesso ai dati conservati è disciplinato da tre testi, vale a dire la LEK, il rättegångsbalken (codice sul procedimento giudiziario; in prosieguo: l’«RB») e la lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (legge svedese 2012:278 sulla comunicazione di dati relativi a comunicazioni elettroniche nell’ambito delle attività di intelligence delle autorità di contrasto).

a) La LEK

15. Secondo le disposizioni dell’articolo 22, primo comma, punto 2, del capo 6 della LEK, tutti i fornitori devono comunicare i dati relativi a un abbonamento su richiesta del pubblico ministero, della polizia, della Säkerhetspolisen (servizi di sicurezza svedesi; in prosieguo: la «Säpo») o di qualsiasi altra autorità preposta al contrasto della criminalità, ove tali dati si riferiscano ad un’ipotesi di reato. Tali disposizioni non richiedono che si tratti di un reato grave.

16. Per «dati relativi a un abbonamento» si intendono, in sostanza, i dati relativi al nome, al titolo, all’indirizzo postale, al numero e all’indirizzo IP dell’abbonato.

17. Ai sensi della LEK, la comunicazione di dati relativi a un abbonamento non è subordinata a un controllo preventivo, ma può essere oggetto di un controllo amministrativo a posteriori. Inoltre, il numero di autorità che possono avere accesso ai dati non è limitato.

b) L’RB

18. L’RB disciplina la messa sotto sorveglianza di comunicazioni elettroniche nel corso delle indagini preliminari.

19. In sostanza, la messa sotto sorveglianza di comunicazioni elettroniche può essere disposta soltanto quando un determinato individuo sia ragionevolmente sospettato di essere l’autore di un reato punibile con una pena detentiva non inferiore a sei mesi o di altri reati specificamente elencati, qualora tale misura sia particolarmente necessaria ai fini dell’indagine.

20. Oltre a tali casi, si può procedere a una siffatta messa sotto sorveglianza al fine di indagare su un reato punibile con una pena detentiva non inferiore a due anni, al fine di determinare chi possa essere ragionevolmente sospettato di esserne l’autore, qualora tale misura sia particolarmente necessaria ai fini dell’indagine.

21. Ai sensi dell’articolo 21 del capo 27 dell’RB, il pubblico ministero deve di norma ottenere l’autorizzazione del giudice competente prima di procedere alla messa sotto sorveglianza di comunicazioni elettroniche.

22. Tuttavia, qualora la necessità di adire il giudice competente prima di procedere alla messa sotto sorveglianza di comunicazioni elettroniche – misura nella fattispecie assolutamente indispensabile ai fini dell’indagine – sembri incompatibile con l’urgenza della sua attuazione o crei ostacoli, l’autorizzazione è concessa dal pubblico ministero in attesa della decisione del giudice competente. Quest’ultimo deve esserne immediatamente informato per iscritto dal pubblico ministero. Il giudice competente deve quindi valutare se la misura sia giustificata.

c) La legge 2012:278

23. Nell’ambito della ricerca di informazioni e ai sensi dell’articolo 1 della legge 2012:278, la polizia nazionale, la Säpo e la Tullverket (agenzia svedese delle dogane) possono, alle condizioni previste da tale legge e all’insaputa del fornitore, procedere alla raccolta di dati relativi alle comunicazioni.

24. A norma degli articoli 2 e 3 della legge 2012:278, i dati possono essere raccolti se, alla luce delle circostanze, tale misura sia particolarmente necessaria per prevenire, impedire o constatare un’attività criminale che comporti uno o più reati punibili con una pena detentiva non inferiore a due anni, oppure uno degli atti elencati all’articolo 3 (che comprende, in particolare, varie forme di sabotaggio e di spionaggio).

25. La decisione di procedere a una siffatta misura spetta al direttore dell’autorità interessata o a una persona delegata a tal fine.

26. La decisione deve indicare l’attività criminale, il periodo interessato nonché il numero di telefono, qualsiasi altro indirizzo, l’apparecchiatura di comunicazione elettronica o la zona geografica in questione. La durata dell’autorizzazione non deve protrarsi oltre il necessario e, per quanto riguarda il periodo che decorre dalla data della decisione di autorizzazione, la sua durata non deve superare un mese.

27. Tale tipo di misura non è soggetto a un controllo preventivo. Tuttavia, ai sensi dell’articolo 6 della legge 2012:278, la Säkerhets‑ och integritetsskyddsnämnden (commissione svedese per la protezione della sicurezza e dell’integrità, Svezia) deve essere informata di qualsiasi decisione di autorizzazione a procedere alla raccolta di dati. A norma dell’articolo 1 della lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet (legge 2007:980 relativa alla vigilanza su talune attività di contrasto), tale organismo deve vigilare sull’applicazione della legge da parte delle autorità di contrasto.

3. Sulla durata di conservazione dei dati

28. Dalle disposizioni dell’articolo 16 d del capo 6 della LEK risulta che i dati di cui all’articolo 16 a del medesimo capo devono essere conservati per sei mesi a partire dal giorno in cui la comunicazione è stata conclusa. Essi devono poi essere immediatamente cancellati, salvo disposizioni contrarie dell’articolo 16 d, secondo comma, (del capo 6) della LEK. Ai sensi di queste ultime disposizioni, i dati di cui è stata chiesta la comunicazione prima della scadenza del termine di conservazione, ma che non sono ancora stati comunicati, devono essere cancellati subito dopo tale comunicazione.

4. Sulla protezione e la sicurezza dei dati conservati

29. L’articolo 20, primo comma, del capo 6 della LEK vieta a chiunque di diffondere o utilizzare senza autorizzazione dati relativi alle comunicazioni.

30. Secondo le disposizioni dell’articolo 3 a del capo 6 della LEK, i fornitori devono adottare misure di ordine tecnico e organizzativo idonee ad assicurare la protezione dei dati durante il trattamento. Dai lavori preparatori relativi a tali disposizioni risulta che non è consentito determinare il livello di protezione sulla base di un bilanciamento tra le considerazioni di ordine tecnico, i costi e i rischi di pirateria e di violazione della privacy.

31. Ulteriori prescrizioni in merito alla protezione dei dati figurano all’articolo 37 del FEK nonché nelle istruzioni e nelle linee guida della Post‑ och telestyrelsen (autorità svedese delle poste e telecomunicazioni; in prosieguo: la «PTS») sulle misure di protezione nell’ambito della conservazione e del trattamento di dati ai fini della lotta contro la criminalità (PTSFS n. 2012:4). Da tali testi risulta, in particolare, che i fornitori devono adottare misure di protezione dei dati contro la distruzione non intenzionale o non autorizzata, contro la conservazione, il trattamento e l’accesso non autorizzati, nonché contro la divulgazione non autorizzata. Il fornitore deve inoltre vigilare costantemente e sistematicamente sulla sicurezza dei dati tenendo conto dei rischi specifici derivanti dall’obbligo di conservazione.

32. Il diritto svedese non contiene disposizioni in merito al luogo in cui devono essere conservati i dati.

33. Ai sensi del capo 7 della LEK, l’autorità di vigilanza ha il potere, qualora un fornitore non adempia i propri obblighi, di adottare nei suoi confronti misure di ingiunzione e di interdizione, eventualmente accompagnate da penalità, nonché di ordinargli la cessazione totale o parziale dell’attività.

C – Diritto del Regno Unito

34. Le disposizioni che disciplinano la conservazione dei dati figurano nel Data Retention and Investigatory Powers Act 2014 (legge del 2014 sulla conservazione dei dati e sui poteri d’indagine; in prosieguo: la «DRIPA»), nel Data Retention Regulations 2014 (SI 2014/2042) (regolamento del 2014 relativo alla conservazione dei dati; in prosieguo: il «regolamento del 2014»), nonché nel Retention of Communications Data Code of Practice (Codice delle buone pratiche relativo alla conservazione dei dati).

35. Le disposizioni che disciplinano l’accesso ai dati si trovano nel capitolo 2 della parte 1 del Regulation of Investigatory Powers Act 2000 (legge del 2000 recante regolamentazione dei poteri d’indagine; in prosieguo: la «RIPA»), nel Regulation of Investigatory Powers (Communication Data) Order 2010 (SI 2010/480) (ordinanza del 2015 recante regolamentazione dei poteri d’indagine in materia di dati relativi alle comunicazioni, come modificata dal Regulation of Investigatory Powers (Communications Data) (Amendement) Order 2015 (SI 2015/228) nonché nell’Acquisition and Disclosure of Communications Data Code of Practice (codice delle buone pratiche relative all’acquisizione e alla divulgazione dei dati relativi alle comunicazioni; in prosieguo: il «codice relativo all’acquisizione dei dati»).

1. Sulla portata dell’obbligo di conservazione

36. Ai sensi dell’articolo 1 della DRIPA, il Secretary of State for the Home Department (Ministro dell’Interno, Regno Unito; in prosieguo: il «Ministro») può imporre ai fornitori l’obbligo di conservare tutti i dati relativi alle comunicazioni. In sostanza, tale obbligo può riguardare tutti i dati generati in occasione di una comunicazione veicolata da un servizio postale o da un sistema di telecomunicazione, ad eccezione del contenuto della comunicazione. Tali dati includono, in particolare, il luogo in cui si trova l’utente del servizio nonché i dati che consentono di determinare l’indirizzo IP (protocollo Internet) o qualsiasi altro codice identificativo appartenente al mittente o al destinatario di una comunicazione.

37. Gli obiettivi che possono giustificare l’adozione di una tale misura di conservazione comprendono gli interessi della sicurezza nazionale, la prevenzione o l’accertamento dei reati e la prevenzione delle turbative dell’ordine pubblico, gli interessi del benessere economico del Regno Unito, nella misura in cui tali interessi siano anche rilevanti per gli interessi della sicurezza nazionale, gli interessi della sicurezza pubblica, la tutela della salute pubblica, la valutazione dell’imponibile o la riscossione delle imposte, dei contributi o delle altre somme dovute alla pubblica amministrazione, la prevenzione dei danni alla salute fisica o mentale nei casi di emergenza, l’assistenza nelle indagini sui casi di errori giudiziari, l’identificazione di una persona deceduta o non in grado di identificarsi autonomamente per cause diverse da un reato (ad esempio, in caso di catastrofe naturale o di incidente), l’esercizio di funzioni relative alla regolamentazione dei servizi e dei mercati finanziari o della stabilità finanziaria, nonché qualsiasi altro scopo specificato in un’ingiunzione emanata dal Ministro ai sensi dell’articolo 22, paragrafo 2, della DRIPA.

38. La normativa nazionale non richiede che l’emissione di un avviso di conservazione sia soggetta ad una previa autorizzazione giudiziaria o di un’entità indipendente. Il Ministro deve verificare che l’obbligo di conservazione sia «necessario e proporzionato» ai fini di uno o più obiettivi per i quali i pertinenti dati relativi alle comunicazioni possono essere conservati.

2. Sull’accesso ai dati conservati

39. Ai sensi dell’articolo 22, paragrafo 4, della RIPA, le autorità pubbliche possono, secondo i termini di un avviso, esigere che i fornitori trasmettano loro dati relativi alle comunicazioni. La forma e il contenuto di tali avvisi sono disciplinati dall’articolo 23, paragrafo 2, della RIPA. Un siffatto avviso è limitato nel tempo da disposizioni relative al suo annullamento e al suo rinnovo.

40. L’acquisizione dei dati relativi alle comunicazioni dev’essere necessaria e proporzionata a uno o più degli obiettivi elencati nell’articolo 22 della RIPA, i quali corrispondono agli obiettivi idonei a giustificare la conservazione dei dati descritti al paragrafo 37 delle presenti conclusioni.

41. Dal codice relativo all’acquisizione dei dati risulta che è necessaria l’ordinanza emessa da un giudice nel caso di una domanda di accesso presentata al fine di individuare la fonte dei giornalisti nonché in caso di domanda di accesso formulata da autorità locali.

42. Al di fuori di tali ipotesi, l’accesso da parte delle autorità pubbliche è subordinato al rilascio di un’autorizzazione concessa dalle persone designate a tal fine nell’ambito dell’autorità pubblica interessata. Una persona designata a tal fine è una persona che detiene una funzione, un grado o una posizione prescritta all’interno dell’autorità pubblica interessata e che è stata designata ai fini dell’acquisizione dei dati relativi alle comunicazioni conformemente all’ordinanza del 2015 recante regolamentazione dei poteri d’indagine in materia di dati relativi alle comunicazioni, come modificata.

43. Non è necessaria alcuna autorizzazione giudiziaria o di un’entità indipendente per l’accesso ai dati relativi alle comunicazioni protette dal segreto professionale dei consulenti legali o ai dati relativi alle comunicazioni con medici, membri del Parlamento o ministri di culto. Il codice relativo all’acquisizione dei dati precisa soltanto che dev’essere prestata una particolare attenzione alla necessità e alla proporzionalità di una domanda di accesso a tali dati.

3. Sul periodo di conservazione dei dati

44. L’articolo 1, paragrafo 5, della DRIPA e la disposizione 4, paragrafo 2, del regolamento del 2014 prevedono un periodo massimo di dodici mesi per la conservazione dei dati. Secondo il codice delle buone pratiche relativo alla conservazione dei dati, il periodo di conservazione deve soltanto avere una durata che sia necessaria e proporzionata. La disposizione 6 del regolamento del 2014 impone al Ministro di riesaminare gli avvisi di conservazione.

4. Sulla protezione e la sicurezza dei dati conservati

45. A norma dell’articolo 1 della DRIPA, ai fornitori è vietato divulgare i dati conservati a meno che tale divulgazione sia conforme al capitolo 2 della parte 1 della RIPA, a una decisione giudiziaria o a un’altra autorizzazione o mandato giudiziario, oppure a un regolamento adottato dal Ministro ai sensi dell’articolo 1 della DRIPA.

46. Ai sensi delle disposizioni 7 e 8 del regolamento del 2014, i fornitori devono garantire l’integrità e la sicurezza dei dati conservati; proteggerli dalla distruzione accidentale o illecita, dalla perdita o dall’alterazione accidentale e dalla conservazione, dal trattamento, dall’accesso o dalla divulgazione non autorizzati o illeciti; distruggere i dati cosicché sia impossibile accedervi qualora la conservazione dei dati cessi di essere autorizzata; e predisporre sistemi di sicurezza. La disposizione 9 del regolamento del 2014 affida all’Information Commissioner (commissario per l’informazione) il compito di verificare il rispetto di tali obblighi da parte dei fornitori.

47. Le autorità alle quali i fornitori comunicano dati relativi alle comunicazioni devono trattare e conservare in maniera sicura tali dati, nonché qualsiasi copia, estratto o riassunto di essi. Ai sensi del codice relativo all’acquisizione dei dati, gli obblighi previsti dalla legge relativa alla protezione dei dati (Data Protection Act; in prosieguo: il «DPA»), che ha trasposto la direttiva 95/46, devono essere rispettati.

48. La RIPA istituisce un Interception of Communications Commissioner (commissario per l’intercettazione delle comunicazioni; in prosieguo: il «commissario per l’intercettazione»), il quale è incaricato di vigilare in modo indipendente sull’esercizio e sull’attuazione dei poteri e dei doveri previsti dal capitolo II della parte I della RIPA. Il commissario per l’intercettazione non vigila sul ricorso all’articolo 1 della DRIPA. Egli deve fornire regolarmente relazioni destinate al pubblico e al Parlamento (articolo 57, paragrafo 2, e articolo 58 del RIPA) e dichiarare ciò che è conservato e riferito dalle autorità pubbliche (codice relativo all’acquisizione dei dati, paragrafi da 6.1 a 6.8). È possibile inoltre presentare denunce presso l’Investigatory Powers Tribunal (Tribunale competente per i poteri d’indagine) qualora si ritenga che siano stati acquisiti dati in modo improprio (articolo 65 della RIPA).

49. Dal codice relativo all’acquisizione dei dati risulta che il commissario per l’intercettazione non ha il potere di deferire un caso a tale Tribunale, ma è semplicemente autorizzato ad informare una persona del sospetto che vi sia stato un uso illecito di competenze qualora possa «dimostrare che un individuo è stato danneggiato da una violazione intenzionale o colposa». Tuttavia, non è autorizzato a procedere a una divulgazione qualora quest’ultima minacci la sicurezza nazionale, ancorché ritenga che vi sia stata una violazione intenzionale o colposa.

III – Procedimenti principali e questioni pregiudiziali

A – La causa C‑203/15

50. Il 9 aprile 2014, vale a dire il giorno successivo alla pronuncia della sentenza DRI, la Tele2 Sverige ha notificato alla PTS la propria decisione di cessare di procedere alla conservazione dei dati di cui al capo 6 della LEK. La Tele2 Sverige avrebbe inoltre proceduto alla cancellazione dei dati conservati fino ad allora in applicazione di tale capo. La Tele2 Sverige riteneva che la normativa svedese di trasposizione della direttiva 2006/24 non fosse conforme alla Carta.

51. Il 15 aprile 2014, la Rikspolisstyrelsen (direzione generale della polizia di stato, Svezia; in prosieguo: la «RPS») ha presentato una denuncia alla PTS lamentando che la Tele2 Sverige aveva cessato di comunicare ai suoi servizi i dati relativi a determinate comunicazioni elettroniche. Nella propria denuncia, la RPS affermava che il rifiuto della Tele2 Sverige avrebbe comportato gravi conseguenze sulle attività repressive della polizia.

52. Con ingiunzione del 27 giugno 2014, la PTS ha ordinato alla Tele2 Sverige di procedere alla conservazione dei dati, ai sensi dell’articolo 16 a del capo 6 della LEK e degli articoli da 37 a 43 del FEK, entro il 25 luglio 2014.

53. La Tele2 Sverige ha adito il Förvaltningsrätten i Stockholm (Tribunale amministrativo di Stoccolma, Svezia) con un ricorso avverso la decisione della PTS. Con sentenza del 13 ottobre 2014, il Förvaltningsrätten i Stockholm ha respinto tale ricorso.

54. La Tele2 Sverige ha impugnato la sentenza del Förvaltningsrätten i Stockholm dinanzi al giudice del rinvio al fine di ottenere l’annullamento della decisione contestata.

55. Constatando che sussistevano argomenti sia a favore sia contro la compatibilità di un obbligo di conservazione della portata di quello previsto dall’articolo 16 a del capo 6 della LEK con le disposizioni dell’articolo 15, paragrafo 1, della direttiva 2002/58 nonché con quelle degli articoli 7, 8 e 52, paragrafo 1, della Carta, il Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma, Svezia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se un obbligo generalizzato di conservazione dei dati concernenti tutte le persone, tutti i mezzi di comunicazione elettronica e tutti i dati relativi al traffico senza distinzioni, limitazioni o eccezioni per finalità di contrasto alla criminalità [come descritto ai punti da 13 a 18 della domanda di pronuncia pregiudiziale] sia compatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58/CE, tenuto conto degli articoli 7, 8 e 52, paragrafo 1, della Carta. 2) In caso di risposta negativa alla prima questione, se la conservazione possa nondimeno essere consentita quando: a) l’accesso da parte delle autorità nazionali ai dati conservati è stabilito secondo le modalità [descritte ai punti da 19 a 36 della domanda di pronuncia pregiudiziale], e b) i requisiti di sicurezza sono disciplinati come [descritto ai punti da 38 a 43 della domanda di pronuncia pregiudiziale], e c) tutti i dati pertinenti devono essere conservati per sei mesi, calcolati dalla data della fine della comunicazione e successivamente cancellati come [descritto al punto 37 della domanda di pronuncia pregiudiziale]».

B – La causa C‑698/15

56. I sigg. Watson, Brice e Lewis hanno proposto dinanzi alla High Court of Justice (England & Wales), Queen’s Bench Division (Administrative Court) [Alta Corte di giustizia (Inghilterra e Galles), divisione del Queen’s Bench (sezione amministrativa)] ricorsi giurisdizionali volti al controllo di legittimità («judicial review») del regime di conservazione dei dati previsto dall’articolo 1 della DRIPA, che autorizza il Ministro ad imporre agli operatori di telecomunicazioni pubbliche la conservazione di tutti dati relativi a comunicazioni per un periodo massimo di dodici mesi, essendo esclusa la conservazione del contenuto delle comunicazioni.

57. L’Open Rights Group, la Privacy International e la Law Society of England and Wales sono stati autorizzati ad intervenire in ciascuno di tali ricorsi.

58. Con sentenza del 17 luglio 2015, tale giudice ha constatato che detto regime non è compatibile con il diritto dell’Unione in quanto non soddisfa i requisiti stabiliti dalla sentenza DRI, che esso ha ritenuto applicabili alle normative degli Stati membri in materia di conservazione dei dati relativi a comunicazioni elettroniche e di accesso a tali dati. Il Ministro ha interposto appello avverso detta sentenza dinanzi al giudice del rinvio.

59. In una sentenza del 20 novembre 2015, la Court of Appeal (England & Wales) (Civil Division) [Corte d’appello (Inghilterra e Galles) (sezione civile), Regno Unito] ha dichiarato, in via provvisoria, che la sentenza DRI non ha stabilito esigenze imperative di diritto dell’Unione che le normative nazionali devono rispettare, ma ha semplicemente individuato e descritto alcune tutele che non erano presenti nel regime armonizzato dell’Unione.

60. Tuttavia, ritenendo che le risposte a tali questioni di diritto dell’Unione non fossero chiare e fossero necessarie per pronunciarsi in detti procedimenti, la Court of Appeal (England & Wales) (Civil Division) [Corte d’appello (Inghilterra e Galles) (sezione civile) (Regno Unito)] ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

IV – Procedimento dinanzi alla Corte

61. Le domande di pronuncia pregiudiziale sono state registrate presso la cancelleria della Corte il 4 maggio 2015 nella causa C‑203/15 e il 28 dicembre 2015 nella causa C‑698/15.

62. Con ordinanza del 1o febbraio 2016, la Corte ha deciso di sottoporre la causa C‑698/15 al procedimento accelerato ai sensi dell’articolo 105, paragrafo 1, del regolamento di procedura della Corte.

63. Nella causa C‑203/15, hanno presentato osservazioni scritte la Tele2 Sverige, i governi belga, ceco, danese, tedesco, estone, irlandese, spagnolo, francese, ungherese, neerlandese, svedese e del Regno Unito, nonché la Commissione europea.

64. Nella causa C‑698/15, hanno presentato osservazioni scritte i sigg. Watson, Brice e Lewis, l’Open Rights Group, la Privacy International, la Law Society of England and Wales, i governi ceco, danese, tedesco, estone, irlandese, francese, cipriota, polacco, finlandese e del Regno Unito, nonché la Commissione

65. Con decisione della Corte del 10 marzo 2016, tali due cause sono state riunite ai fini della fase orale del procedimento e della sentenza.

66. Sono comparsi all’udienza del 12 aprile 2016, per esporre le proprie osservazioni, i rappresentanti della Tele2 Sverige, dei sigg. Watson, Brice e Lewis, dell’Open Rights Group, della Privacy International e della Law Society of England and Wales, dei governi ceco, danese, tedesco, estone, irlandese, spagnolo, francese, finlandese, svedese e del Regno Unito, nonché della Commissione.

V – Analisi delle questioni pregiudiziali

67. Con la prima questione sollevata nella causa C‑203/15, il giudice del rinvio chiede alla Corte se, alla luce della sentenza DRI, l’articolo 15, paragrafo 1, della direttiva 2002/58, nonché gli articoli 7, 8 e 52, paragrafo 1, della Carta debbano essere interpretati nel senso che essi ostano a che uno Stato membro imponga ai fornitori un obbligo generale di conservazione di dati, come quelli di cui trattasi nei procedimenti principali, indipendentemente da eventuali garanzie che accompagnino tale obbligo.

68. In caso di risposta negativa a tale questione, la seconda questione sollevata nella causa C‑203/15 e la prima questione sollevata nella causa C‑698/15 mirano a determinare se dette disposizioni debbano essere interpretate nel senso che esse ostano a che uno Stato membro imponga ai fornitori un obbligo generale di conservazione di dati qualora tale obbligo non sia accompagnato dall’insieme delle garanzie enunciate dalla Corte ai punti da 60 a 68 della sentenza DRI per quanto riguarda l’accesso ai dati, la durata di conservazione nonché la protezione e la sicurezza dei dati.

69. Poiché tali tre questioni sono strettamente correlate, le esaminerò congiuntamente nel prosieguo della mia esposizione.

70. Per contro, la seconda questione sollevata nella causa C‑698/15 dev’essere trattata separatamente. Con tale questione, il giudice del rinvio chiede alla Corte se la sentenza DRI abbia esteso l’ambito di applicazione degli articoli 7 e/o 8 della Carta al di là di quello dell’articolo 8 della CEDU. Esporrò nella sezione seguente i motivi per i quali ritengo che detta questione debba essere respinta in quanto irricevibile.

71. Prima di iniziare l’esame di dette questioni, mi sembra utile ricordare il tipo di dati oggetto degli obblighi di conservazione di cui trattasi nei procedimenti principali. Secondo gli accertamenti effettuati dai giudici del rinvio, la portata di tali obblighi è, in sostanza, equivalente a quella dell’obbligo che era previsto dall’articolo 5 della direttiva 2006/24 ( 8 ). Schematicamente, i dati relativi alle comunicazioni oggetto di tali obblighi di conservazione possono essere classificati in quattro categorie ( 9 ): — i dati che consentono di individuare sia la fonte che la destinazione della comunicazione; — i dati che consentono di determinare l’ubicazione sia della fonte che della destinazione della comunicazione; — i dati relativi alla data, all’ora e alla durata della comunicazione, e — i dati che consentono di determinare il tipo di comunicazione e il tipo di apparecchiatura utilizzato.

72. Il contenuto delle comunicazioni è escluso dagli obblighi generali di conservazione di dati di cui trattasi nei procedimenti principali, al pari di quanto prevedeva l’articolo 5, paragrafo 2, della direttiva 2006/24.

A – Sulla ricevibilità della seconda questione sollevata nella causa C‑698/15

73. La seconda questione sollevata nella causa C‑698/15 invita la Corte a precisare se la sentenza DRI estenda l’ambito di applicazione degli articoli 7 e/o 8 della Carta al di là di quello dell’articolo 8 della CEDU quale interpretato dalla Corte EDU.

74. Tale questione riflette, in particolare, un argomento addotto dal Ministro dinanzi al giudice del rinvio, secondo cui la giurisprudenza della Corte EDU non richiede, da una parte, che l’accesso ai dati sia subordinato alla previa autorizzazione di un organo indipendente né, dall’altra, che la conservazione e l’accesso a tali dati siano limitati alla lotta contro i reati gravi.

75. Ritengo che detta questione debba essere dichiarata irricevibile per i motivi seguenti. Con ogni evidenza, la motivazione e la soluzione adottate dalla Corte nella sentenza DRI rivestono un’importanza determinante ai fini della risoluzione delle controversie principali. Tuttavia, il fatto che tale sentenza abbia eventualmente esteso l’ambito di applicazione degli articoli 7 e/o 8 della Carta al di là di quello dell’articolo 8 della CEDU non è, di per sé, rilevante ai fini della risoluzione di dette controversie.

76. A questo proposito, occorre ricordare che, a norma dell’articolo 6, paragrafo 3, TUE, i diritti fondamentali, quali garantiti dalla CEDU, fanno parte del diritto dell’Unione in quanto principi generali. Tuttavia, in assenza di adesione dell’Unione a tale convenzione, quest’ultima non costituisce uno strumento giuridico formalmente integrato nell’ordinamento giuridico dell’Unione ( 10 ).

77. È pur vero che la prima frase dell’articolo 52, paragrafo 3, della Carta stabilisce una regola di interpretazione secondo la quale, laddove quest’ultima contenga diritti corrispondenti a quelli garantiti dalla CEDU, «il significato e la portata degli stessi sono uguali a quelli conferiti dalla suddetta convenzione».

78. Tuttavia, a termini della seconda frase dell’articolo 52, paragrafo 3, della Carta, «[tale] disposizione non preclude che il diritto dell’Unione conceda una protezione più estesa». A mio avviso, da tale frase risulta che la Corte può, qualora lo ritenga necessario nel contesto del diritto dell’Unione, estendere l’ambito di applicazione delle disposizioni della Carta al di là di quello delle disposizioni corrispondenti della CEDU.

79. Aggiungo, in subordine, che l’articolo 8 della Carta, quale interpretato dalla Corte nella sentenza DRI, stabilisce un diritto che non corrisponde ad alcun diritto garantito dalla CEDU, vale a dire il diritto alla protezione dei dati di carattere personale, il che è confermato peraltro dalle spiegazioni relative all’articolo 52 della Carta ( 11 ). Pertanto, la regola d’interpretazione stabilita dall’articolo 52, paragrafo 3, prima frase, della Carta non è, in ogni caso, applicabile all’interpretazione dell’articolo 8 della Carta, come hanno rilevato i sigg. Brice e Lewis, l’Open Rights Group e la Privacy International, la Law Society of England and Wales, nonché i governi ceco, irlandese e finlandese.

80. Da quanto precede, consegue che il diritto dell’Unione non osta a che gli articoli 7 e 8 della Carta accordino una protezione più ampia di quella prevista dalla CEDU. Pertanto, il fatto che la sentenza DRI abbia eventualmente esteso l’ambito di applicazione di tali disposizioni della Carta al di là di quello dell’articolo 8 della CEDU non è, di per sé, rilevante ai fini della risoluzione delle controversie principali. La soluzione di tali controversie dipende essenzialmente dalle condizioni alle quali un obbligo generale di conservazione di dati può essere considerato compatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58, nonché con gli articoli 7, 8 e 52, paragrafo 1, della Carta, interpretati alla luce della sentenza DRI, il che costituisce precisamente l’oggetto delle altre tre questioni sollevate nelle presenti cause.

81. Secondo giurisprudenza costante, il rigetto di una domanda proposta da un giudice nazionale è possibile soltanto qualora appaia in modo manifesto che l’interpretazione richiesta del diritto dell’Unione non ha alcun rapporto con la realtà effettiva o con l’oggetto del procedimento principale, oppure qualora la questione sia di natura ipotetica, o anche quando la Corte non disponga degli elementi di fatto e di diritto necessari per rispondere in modo utile alle questioni che le sono sottoposte ( 12 ).

82. Nel caso di specie, e per i motivi sopra esposti, la seconda questione sollevata nella causa C‑698/15 presenta, a mio avviso, soltanto un interesse teorico, in quanto una eventuale risposta a tale questione non consentirebbe di sviluppare elementi interpretativi del diritto dell’Unione che il giudice del rinvio possa utilmente utilizzare per poter risolvere, in base a tale diritto, la controversia dinanzi ad esso pendente ( 13 ).

83. Ciò posto, ritengo che detta questione debba essere dichiarata irricevibile, come hanno sostenuto giustamente il sig. Watson, la Law Society of England and Wales e il governo ceco.

B – Sulla compatibilità di un obbligo generale di conservazione di dati con il regime stabilito dalla direttiva 2002/58

84. La presente sezione verte sulla possibilità, per gli Stati membri, di avvalersi della facoltà offerta dall’articolo 15, paragrafo 1, della direttiva 2002/58 per imporre un obbligo generale di conservazione di dati. Essa non esamina, invece, i requisiti particolari che devono essere rispettati dagli Stati membri che intendono avvalersi di tale facoltà, i quali saranno ampiamente analizzati in una sezione successiva ( 14 ).

85. Invero, l’Open Rights Group e la Privacy International hanno sostenuto che un tale obbligo sarebbe incompatibile con il regime armonizzato stabilito dalla direttiva 2002/58, indipendentemente dal rispetto dei requisiti previsti dall’articolo 15, paragrafo 1, della direttiva 2002/58, in quanto esso vanificherebbe il contenuto essenziale dei diritti e del regime stabiliti da tale direttiva.

86. Prima di esaminare tale argomento, occorre verificare se un obbligo generale di conservazione di dati rientri nell’ambito di applicazione di detta direttiva.

1. Sull’inclusione di un obbligo generale di conservazione di dati nell’ambito di applicazione della direttiva 2002/58

87. Nessuna delle parti che hanno presentato osservazioni alla Corte ha messo in discussione il fatto che un obbligo generale di conservazione di dati, come quello di cui trattasi nei procedimenti principali, rientri nella nozione di «trattamento dei dati personali connesso alla fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti di comunicazione pubbliche nell[‘Unione]» ai sensi dell’articolo 3 della direttiva 2002/58.

88. Nondimeno, i governi ceco, francese, polacco e del Regno Unito hanno sostenuto che un obbligo generale di conservazione di dati rientra nell’esclusione prevista dall’articolo 1, paragrafo 3, della direttiva 2002/58. Da una parte, le disposizioni nazionali che disciplinano l’accesso ai dati e l’utilizzo degli stessi da parte delle autorità di polizia o giudiziarie degli Stati membri riguarderebbero la sicurezza pubblica, la difesa o la sicurezza dello Stato o rientrerebbero, quanto meno, nel diritto penale. Dall’altra, l’unico obiettivo della conservazione dei dati consisterebbe nel consentire a tali autorità di polizia o giudiziarie di accedervi e di utilizzarli. Di conseguenza, un obbligo di conservazione dei dati sarebbe escluso dall’ambito di applicazione di detta direttiva, ai sensi della disposizione sopra citata.

89. Tale ragionamento non mi convince per i seguenti motivi.

90. In primo luogo, la formulazione dell’articolo 15, paragrafo 1, della direttiva 2002/58 conferma che gli obblighi di conservazione imposti dagli Stati membri rientrano nell’ambito di applicazione di tale direttiva. A termini di detta disposizione, infatti, «gli Stati membri possono tra l’altro adottare misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo». Mi sembra quanto meno difficile sostenere che gli obblighi di conservazione siano esclusi dall’ambito di applicazione di tale direttiva, laddove l’articolo 15, paragrafo 1, di quest’ultima disciplina la facoltà di adottare siffatti obblighi.

91. In realtà, come hanno affermato il sig. Watson, i sigg. Brice e Lewis, i governi belga, danese, tedesco e finlandese, nonché la Commissione, un obbligo generale di conservazione di dati, come quelli di cui trattasi nei procedimenti principali, costituisce un’attuazione dell’articolo 15, paragrafo 1, della direttiva 2002/58.

92. In secondo luogo, il fatto che le disposizioni che disciplinano l’accesso possano rientrare nell’esclusione di cui all’articolo 1, paragrafo 3, della direttiva 2002/58 ( 15 ) non implica che l’obbligo di conservazione vi rientri parimenti e si collochi pertanto al di fuori dell’ambito di applicazione di tale direttiva.

93. A questo proposito, la Corte ha già avuto l’opportunità di precisare che le attività menzionate nell’articolo 3, paragrafo 2, primo trattino, della direttiva 95/46/CE ( 16 ), il cui testo ha una portata equivalente a quello dell’articolo 1, paragrafo 3, della direttiva 2002/58, erano attività proprie degli Stati o delle autorità statali ed estranee ai settori di attività dei singoli ( 17 ).

94. Orbene, come ha rilevato la Commissione, gli obblighi di conservazione di cui trattasi nei procedimenti principali sono imposti ad operatori privati nell’ambito di attività private di fornitura di servizi di comunicazione elettronica. Inoltre, tali obblighi sono imposti indipendentemente da qualsiasi richiesta di accesso da parte delle autorità di polizia o giudiziarie, nonché, più in generale, indipendentemente da qualsiasi atto delle autorità statali riguardante la sicurezza pubblica, la difesa, la sicurezza dello Stato o il diritto penale.

95. Inoltre, la soluzione adottata dalla Corte nella sentenza Irlanda/Parlamento e Consiglio conferma che un obbligo generale di conservazione di dati non rientra nella materia penale ( 18 ). Infatti, la Corte ha dichiarato che la direttiva 2006/24, che stabiliva un siffatto obbligo, riguardava non già la materia penale, bensì il funzionamento del mercato interno, cosicché l’articolo 95 CE (divenuto articolo 114 TFUE) costituiva il fondamento normativo adeguato per l’adozione di tale direttiva.

96. Per giungere a tale conclusione, la Corte ha constatato, segnatamente, che le disposizioni di detta direttiva erano essenzialmente limitate alle attività dei fornitori di servizi e non disciplinavano né l’accesso ai dati né il loro uso da parte delle autorità di polizia o giudiziarie degli Stati membri ( 19 ). Ne deduco che neanche le disposizioni di diritto nazionale che stabiliscono un obbligo di conservazione simile a quello previsto dalla direttiva 2006/24 riguardano la materia penale.

97. Alla luce di quanto precede, ritengo che un obbligo generale di conservazione di dati non rientri nell’esclusione stabilita dall’articolo 1, paragrafo 3, della direttiva 2002/58 e, pertanto, ricada nell’ambito di applicazione di tale direttiva.

2. Sulla possibilità di derogare al regime stabilito dalla direttiva 2002/58 istituendo un obbligo generale di conservazione di dati

98. Occorre adesso determinare se un obbligo generale di conservazione di dati sia compatibile con il regime stabilito dalla direttiva 2002/58.

99. A tale riguardo, si pone la questione se sia possibile, per uno Stato membro, avvalersi della facoltà offerta dall’articolo 15, paragrafo 1, della direttiva 2002/58 al fine di imporre un siffatto obbligo.

100. Quattro argomenti sono state addotti contro una tale possibilità, segnatamente dall’Open Rights Group e dalla Privacy International.

101. Secondo un primo argomento, concedere agli Stati membri il potere di adottare un obbligo generale di conservazione di dati rimetterebbe in discussione l’obiettivo di armonizzazione che costituisce la ragion d’essere della direttiva 2002/58. Infatti, secondo il suo articolo 1, paragrafo 1, tale direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell’Unione.

102. Pertanto, l’articolo 15, paragrafo 1, della direttiva 2002/58 non potrebbe essere interpretato nel senso che esso offra agli Stati membri il potere di adottare una deroga al regime stabilito da detta direttiva di un’ampiezza tale da privare di ogni effetto utile siffatto sforzo di armonizzazione.

103. Stando al secondo argomento, il testo dell’articolo 15, paragrafo 1, della direttiva 2002/58 osterebbe parimenti a un’interpretazione così ampia del potere degli Stati membri di derogare al regime stabilito da tale direttiva. A termini di detta disposizione, infatti, «[g]li Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli articoli 5 e 6, all’articolo 8, paragrafi da 1 a 4, e all’articolo 9 [di tale] direttiva» (il corsivo è mio).

104. Orbene, un obbligo generale di conservazione di dati non si risolverebbe nel «limitare» i diritti e gli obblighi menzionati da detta disposizione, ma li eliminerebbe. Ciò avverrebbe: — per l’obbligo di garantire la riservatezza dei dati sul traffico e per l’obbligo di subordinare l’archiviazione di informazioni al consenso dell’utente, rispettivamente previsti dall’articolo 5, paragrafi 1 e 3, della direttiva 2002/58; — per l’obbligo di cancellare o di rendere anonimi i dati sul traffico, stabilito dall’articolo 6, paragrafo 1, di tale direttiva, e — per l’obbligo di rendere anonimi i dati relativi all’ubicazione o di ottenere il consenso dell’utente per trattare tali dati, imposto dall’articolo 9, paragrafo 1, di detta direttiva.

105. Ritengo che questi due primi argomenti debbano essere respinti per i motivi seguenti.

106. Da una parte, il testo dell’articolo 15, paragrafo 1, della direttiva 2002/58 menziona la possibilità, per gli Stati membri, di adottare «misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato». Tale riferimento esplicito agli obblighi di conservazione di dati conferma che obblighi di tal genere non sono, di per sé, incompatibili con il regime stabilito dalla direttiva 2002/58/CE. Sebbene tale formulazione non preveda espressamente la possibilità di adottare un obbligo generale di conservazione di dati, occorre constatare che essa non vi osta neanche.

107. Dall’altra parte, il considerando 11 della direttiva 2002/58 precisa che quest’ultima lascia inalterato «l’equilibrio esistente tra il diritto dei cittadini alla vita privata e la possibilità per gli Stati membri di prendere i provvedimenti di cui all’articolo 15, paragrafo 1, [di tale] direttiva, necessari per tutelare la sicurezza pubblica, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato ove le attività siano connesse a questioni di sicurezza dello Stato) e l’applicazione della legge penale». Di conseguenza, «[detta] direttiva non pregiudica la facoltà degli Stati membri di effettuare intercettazioni legali di comunicazioni elettroniche o di prendere altre misure, se necessario, per ciascuno di tali scopi e conformemente alla [CEDU]».

108. Da tale considerando 11, a mio avviso, risulta che l’intenzione del legislatore dell’Unione era non già quella di pregiudicare la facoltà degli Stati membri di adottare le misure previste dall’articolo 15, paragrafo 1, della direttiva 2002/58, bensì quella di subordinare tale facoltà a taluni requisiti relativi, in particolare, agli scopi perseguiti e alla proporzionalità di dette misure. In altri termini, un obbligo generale di conservazione di dati non è, a mio avviso, incompatibile con il regime stabilito da tale direttiva, purché esso soddisfi determinate condizioni.

109. Secondo un terzo argomento, l’articolo 15, paragrafo 1, della direttiva 2002/58 dovrebbe, in quanto deroga al regime stabilito da tale direttiva, essere interpretato restrittivamente, in virtù di una regola di interpretazione che risulta da una costante giurisprudenza della Corte. Tale regola di interpretazione restrittiva impedirebbe di interpretare detta disposizione nel senso che essa offra la facoltà di imporre un obbligo generale di conservazione di dati.

110. A questo proposito, ritengo che la facoltà prevista dall’articolo 15, paragrafo 1, della direttiva 2002/58 non possa essere qualificata come deroga e non possa pertanto essere interpretata restrittivamente, come ha sostenuto a buon diritto la Commissione. Infatti, mi sembra difficile qualificare tale facoltà come deroga alla luce del considerando 11 sopra menzionato, secondo il quale detta direttiva non pregiudica la facoltà degli Stati membri di adottare le misure previste dalla summenzionata disposizione. Rilevo peraltro che l’articolo 15 di detta direttiva è intitolato «Applicazione di alcune disposizioni della direttiva 95/46», mentre l’articolo 10 della medesima direttiva è intitolato esplicitamente «Deroghe». Tali titoli rafforzano la mia convinzione che la facoltà prevista da detto articolo 15 non possa essere qualificata come «deroga».

111. Secondo un quarto e ultimo argomento, l’incompatibilità di un obbligo generale di conservazione di dati con il regime stabilito dalla direttiva 2002/58 sarebbe confermata dall’aggiunta dell’articolo 15, paragrafo 1 bis, di tale direttiva in occasione dell’adozione della direttiva 2006/24, invalidata dalla sentenza DRI. Stando a tale argomento, è detta incompatibilità che avrebbe indotto il legislatore dell’Unione a dichiarare l’articolo 15, paragrafo 1, della direttiva 2002/58 inapplicabile al regime di conservazione generale previsto dalla direttiva 2006/24.

112. Ritengo che detto argomento prenda le mosse da una comprensione erronea della portata dell’articolo 15, paragrafo 1 bis, della direttiva 2002/58. A termini di tale disposizione, «[l’articolo 15, paragrafo 1, della direttiva 2002/58] non si applica ai dati la cui conservazione è specificamente prevista dalla direttiva [2006/24] ai fini di cui all’articolo 1, paragrafo 1, di tale direttiva».

113. La mia lettura di questa disposizione è la seguente. Per quanto riguarda i dati la cui conservazione era prescritta dalla direttiva 2006/24 e ai fini stabiliti da quest’ultima, gli Stati membri perdevano la facoltà, prevista dall’articolo 15, paragrafo 1, della direttiva 2002/58, di limitare ulteriormente la portata dei diritti e degli obblighi previsti da tale disposizione, in particolare mediante obblighi complementari di conservazione di dati. In altri termini, l’articolo 15, paragrafo 1 bis, prevedeva un’armonizzazione esaustiva per quanto riguarda i dati la cui conservazione era prescritta dalla direttiva 2006/24 e ai fini stabiliti da quest’ultima.

114. Trovo conferma di tale interpretazione nel considerando 12 della direttiva 2006/24, a termini del quale «[l]’articolo 15, paragrafo 1, della direttiva [2002/58] continua ad applicarsi ai dati, compresi quelli connessi ai tentativi di chiamata non riusciti, di cui non è specificamente richiesta la conservazione a norma della presente direttiva e che pertanto non rientrano nel campo di applicazione della stessa, e alla conservazione dei dati per scopi, anche giudiziari, diversi da quelli contemplati dalla presente direttiva» (il corsivo è mio).

115. Pertanto, l’inserimento dell’articolo 15, paragrafo 1 bis, della direttiva 2002/58 attesta non già l’incompatibilità di un obbligo generale di conservazione di dati con il regime stabilito da tale direttiva, bensì la volontà del legislatore dell’Unione di realizzare un’armonizzazione esaustiva all’atto dell’adozione della direttiva 2006/24.

116. Alla luce di quanto precede, ritengo che un obbligo generale di conservazione di dati sia compatibile con il regime stabilito dalla direttiva 2002/58 e, pertanto, che sia possibile, per uno Stato membro, avvalersi della facoltà offerta dall’articolo 15, paragrafo 1, di tale direttiva per imporre un siffatto obbligo ( 20 ). Il ricorso a tale facoltà è tuttavia subordinato al rispetto di requisiti rigorosi, derivanti non solo da tale disposizione, ma anche dalle pertinenti disposizioni della Carta, lette alla luce della sentenza DRI, che saranno esaminate in una sezione successiva ( 21 ).

C – Sull’applicabilità della Carta a un obbligo generale di conservazione di dati

117. Prima di esaminare il contenuto dei requisiti imposti dalla Carta, in combinato disposto con l’articolo 15, paragrafo 1, della direttiva 2002/58, qualora uno Stato scelga di istituire un obbligo generale di conservazione di dati, occorre verificare se la Carta si applichi effettivamente a un tale obbligo.

118. L’applicabilità della Carta ad un obbligo generale di conservazione di dati dipende essenzialmente dall’applicabilità della direttiva 2002/58 a un siffatto obbligo.

119. Infatti, a termini del suo articolo 51, paragrafo 1, prima frase, «le disposizioni della [Carta] si applicano (…) agli Stati membri esclusivamente nell’attuazione del diritto dell’Unione». Le spiegazioni relative all’articolo 51 della Carta rinviano, a tale riguardo, alla giurisprudenza della Corte secondo la quale l’obbligo di rispettare i diritti fondamentali definiti nell’ambito dell’Unione vale per gli Stati membri soltanto quando agiscono nell’ambito di applicazione del diritto dell’Unione ( 22 ).

120. I governi ceco, francese, polacco e del Regno Unito, i quali hanno contestato l’applicabilità della direttiva 2002/58 a un obbligo generale di conservazione di dati ( 23 ), hanno parimenti sostenuto che la Carta non fosse applicabile a un tale obbligo.

121. Ho già chiarito i motivi per i quali ritengo che un obbligo generale di conservazione di dati costituisca un’attuazione della facoltà prevista dall’articolo 15, paragrafo 1, della direttiva 2002/58 ( 24 ).

122. Di conseguenza, ritengo che le disposizioni della Carta siano applicabili alle misure nazionali che istituiscono un tale obbligo, ai sensi dell’articolo 51, paragrafo 1, della Carta, come hanno sostenuto il sig. Watson, i sigg. Brice e Lewis, l’Open Rights Group e la Privacy International, i governi danese, tedesco e finlandese, nonché la Commissione ( 25 ).

123. Tale conclusione non è rimessa in discussione dal fatto che le disposizioni nazionali che disciplinano l’accesso ai dati conservati non rientrino, di per sé, nell’ambito di applicazione della Carta.

124. È pur vero che, nella misura in cui riguardino «attività dello Stato in settori che rientrano nel diritto penale», le disposizioni nazionali che disciplinano l’accesso ai dati conservati dalle autorità di polizia o giudiziarie al fine di contrastare i reati gravi rientrano, a mio avviso, nell’esclusione prevista dall’articolo 1, paragrafo 3, della direttiva 2002/58 ( 26 ). Di conseguenza, tali disposizioni nazionali non attuano il diritto dell’Unione, cosicché la Carta non si applica loro.

125. Tuttavia, la ratio di un obbligo di conservazione di dati è quella di consentire alle autorità di contrasto di accedere ai dati conservati, cosicché le problematiche della conservazione e dell’accesso non possono essere completamente dissociate. Come ha sottolineato giustamente la Commissione, le disposizioni che disciplinano l’accesso rivestono un’importanza determinante al fine di decidere in ordine alla compatibilità con la Carta delle disposizioni che stabiliscono un obbligo generale di conservazione di dati, le quali attuano l’articolo 15, paragrafo 1, della direttiva 2002/58. Più precisamente, le disposizioni che disciplinano l’accesso devono essere prese in considerazione per valutare la necessità e la proporzionalità di un siffatto obbligo ( 27 ).

D – Sulla compatibilità di un obbligo generale di conservazione di dati con i requisiti stabiliti dall’articolo 15, paragrafo 1, della direttiva 2002/58 nonché dagli articoli 7, 8 e 52, paragrafo 1, della Carta

126. Mi resta da trattare adesso la difficile questione della compatibilità di un obbligo generale di conservazione di dati con i requisiti stabiliti dall’articolo 15, paragrafo 1, della direttiva 2002/58 nonché dagli articoli 7, 8 e 52, paragrafo 1, della Carta. Tale questione riguarda, più in generale, il necessario adeguamento del quadro normativo che disciplina le capacità di sorveglianza degli Stati, le quali sono state potenziate dai recenti progressi della tecnologia ( 28 ).

127. La prima fase di qualsiasi analisi, in tale contesto, consiste nella constatazione dell’ingerenza nei diritti garantiti dalla direttiva 2002/58 e nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta.

128. Infatti, un siffatto obbligo costituisce una grave ingerenza nel diritto al rispetto della vita privata, sancito dall’articolo 7 della Carta, e nel diritto alla protezione dei dati di carattere personale, garantito dall’articolo 8 della Carta. Non ritengo utile soffermarmi su tale constatazione d’ingerenza, che è stata chiaramente effettuata dalla Corte ai punti da 32 a 37 della sentenza DRI ( 29 ). Allo stesso modo, un obbligo generale di conservazione di dati costituisce un’ingerenza in diversi diritti sanciti dalla direttiva 2002/58 ( 30 ).

129. La seconda fase dell’analisi consiste nel determinare se, e a quali condizioni, detta grave ingerenza nei diritti garantiti dalla direttiva 2002/58, nonché nei dritti fondamentali sanciti dagli articoli 7 e 8 della Carta, possa essere giustificata.

130. Due disposizioni stabiliscono le condizioni che devono essere soddisfatte affinché tale doppia ingerenza sia giustificata: l’articolo 15, paragrafo 1, della direttiva 2002/58, che disciplina la facoltà, per gli Stati membri, di limitare la portata di taluni diritti stabiliti da detta direttiva, e l’articolo 52, paragrafo 1, della Carta, letto alla luce della sentenza DRI, il quale disciplina qualsiasi limitazione all’esercizio dei diritti sanciti dalla Carta.

131. Tengo a sottolineare che tali requisiti sono cumulativi. Infatti, il rispetto dei requisiti stabiliti dall’articolo 15, paragrafo 1, della direttiva 2002/58 non implica, di per sé, che i requisiti previsti dall’articolo 52, paragrafo 1, della Carta siano soddisfatti, e viceversa ( 31 ). Di conseguenza, un obbligo generale di conservazione di dati può essere considerato compatibile con il diritto dell’Unione soltanto se soddisfi sia i requisiti stabiliti dall’articolo 15, paragrafo 1, della direttiva 2002/58, sia quelli previsti dall’articolo 52, paragrafo 1, della Carta, come ha sottolineato la Law Society of England and Wales ( 32 ).

132. Congiuntamente, tali due disposizioni stabiliscono sei requisiti che devono essere soddisfatti affinché l’ingerenza causata da un obbligo generale di conservazione di dati sia giustificata: — l’obbligo di conservazione deve avere una base giuridica; — deve rispettare il contenuto essenziale dei diritti sanciti dalla Carta; — deve perseguire un obiettivo di interesse generale; — deve essere adeguato al perseguimento di tale obiettivo; — deve essere necessario al perseguimento di detto obiettivo, e — deve essere proporzionato, all’interno di una società democratica, al perseguimento del medesimo obiettivo.

133. Alcune di tali condizioni sono già state menzionate dalla Corte nella sentenza DRI. A fini di chiarezza e tenuto conto delle peculiarità delle presenti cause rispetto alla causa DRI, desidero nondimeno ritornare su ciascuna di esse, esaminando in modo più dettagliato i requisiti relativi alla base giuridica, al carattere necessario nonché al carattere proporzionato all’interno di una società democratica di un obbligo generale di conservazione di dati.

1. Sul requisito di una base giuridica nel diritto nazionale

134. Sia l’articolo 52, paragrafo 1, della Carta sia l’articolo 15, paragrafo 1, della direttiva 2002/58 stabiliscono i requisiti relativi alla base giuridica che dev’essere utilizzata da uno Stato membro per imporre un obbligo generale di conservazione di dati.

135. In primo luogo, le eventuali limitazioni all’esercizio dei diritti riconosciuti dalla Carta devono essere «previste dalla legge» ai sensi del suo articolo 52, paragrafo 1. Preciso che tale requisito non è stato formalmente esaminato dalla Corte nella sentenza DRI, che riguardava un’ingerenza prevista da una direttiva.

136. Fino alla recente sentenza WebMindLicenses ( 33 ), la Corte non si era mai pronunciata sull’esatta portata di tale requisito, anche quando essa aveva espressamente constatato che quest’ultimo era ( 34 ) o non era ( 35 ) soddisfatto. Al punto 81 di detta sentenza, la Terza Sezione della Corte si è pronunciata nei termini seguenti:

137. Invito la Grande Sezione della Corte a confermare tale interpretazione nelle presenti cause per i seguenti motivi.

138. Come ha rilevato giustamente l’avvocato generale Cruz Villalón nelle sue conclusioni nella causa Scarlet Extended ( 36 ), la Corte EDU ha elaborato una copiosa giurisprudenza relativa a tale requisito nel contesto della CEDU, la quale si caratterizza per un’accezione materiale e non formale del termine «legge» ( 37 ).

139. Secondo tale giurisprudenza, l’espressione «previste dalla legge» implica che la base giuridica sia sufficientemente accessibile e prevedibile, vale a dire enunciata con una precisione sufficiente a consentire all’individuo, ricorrendo se del caso a consulenti esperti, di regolare la propria condotta. Detta base giuridica deve inoltre fornire una tutela adeguata nei confronti dell’arbitrio e, di conseguenza, definire in modo sufficientemente netto la portata e le modalità di esercizio del potere conferito alle autorità competenti (principio della preminenza del diritto) ( 38 ).

140. Orbene, a mio avviso occorre attribuire all’espressione «previste dalla legge», utilizzata all’articolo 52, paragrafo 1, della Carta, una portata simile a quella che tale espressione riveste nel contesto della CEDU, per le seguenti ragioni.

141. Da una parte, ai sensi dell’articolo 53 della Carta e delle spiegazioni relative a tale articolo, il livello di protezione offerto dalla Carta non può mai essere inferiore a quello garantito dalla CEDU. Tale divieto di oltrepassare la «soglia CEDU» implica che l’interpretazione, da parte della Corte, dell’espressione «previste dalla legge», utilizzata all’articolo 52, paragrafo 1, della Carta, debba essere almeno altrettanto rigorosa di quella della Corte EDU nel contesto della CEDU ( 39 ).

142. Dall’altra, tenuto conto della natura orizzontale di tale requisito, che può essere applicato a numerosi tipi di ingerenza, sia nel contesto della Carta che in quello della CEDU ( 40 ), sarebbe inopportuno sottoporre gli Stati membri a criteri diversi a seconda che l’ingerenza sia esaminata alla luce dell’uno o dell’altro di tali strumenti ( 41 ).

143. Ritengo pertanto che, come hanno affermato il governo estone e la Commissione, l’espressione «previste dalla legge», presente nell’articolo 52, paragrafo 1, della Carta, debba essere interpretata, alla luce della giurisprudenza della Corte EDU riassunta al paragrafo 139 delle presenti conclusioni, nel senso che un obbligo generale di conservazione di dati, come quello di cui trattasi nei procedimenti principali, deve essere previsto da una base giuridica sufficientemente accessibile e prevedibile, da una parte, e che offra una tutela adeguata nei confronti dell’arbitrio, dall’altra.

144. In secondo luogo, occorre determinare il contenuto dei requisiti imposti dall’articolo 15, paragrafo 1, della direttiva 2002/58 per quanto riguarda la base giuridica che deve essere utilizzata da uno Stato membro che intenda avvalersi della facoltà offerta da tale disposizione.

145. Devo rilevare, a questo proposito, l’esistenza di una divergenza tra le versioni linguistiche della prima frase di detta disposizione.

146. Nelle versioni inglese («legislative measures»), francese («mesures législatives»), italiana («disposizioni legislative»), portoghese («medidas legislativas»), rumena («măsuri legislative») e svedese («genom lagstiftning vidta åtgärder»), l’articolo 15, paragrafo 1, prima frase, della direttiva 2002/58 impone, a mio avviso, l’adozione di misure emanate dal potere legislativo.

147. Per contro, le versioni danese («retsforskrifter»), tedesca («Rechtsvorschriften»), neerlandese («wettelijke maatregele») e spagnola («medidas legales») di tale frase possono essere interpretate nel senso che essa impone l’adozione di misure emanate dal potere legislativo oppure di misure regolamentari emanate dal potere esecutivo.

148. Secondo costante giurisprudenza, la necessità di un’applicazione e quindi di un’interpretazione uniformi di un atto dell’Unione esclude che questo sia considerato isolatamente in una delle sue versioni, e rende al contrario necessaria l’interpretazione basata sulla reale volontà del suo autore e sullo scopo da questo perseguito, alla luce, segnatamente, di tutte le altre versioni linguistiche ufficiali. In caso di divergenza tra queste ultime, la disposizione in questione deve essere interpretata in funzione dell’economia generale e della finalità della normativa di cui essa fa parte ( 42 ).

149. Nella fattispecie, l’articolo 15, paragrafo 1, della direttiva 2002/58 disciplina la facoltà degli Stati membri di derogare ai diritti fondamentali sanciti dagli articoli 7 e 8 della Carta, la cui protezione è realizzata da tale direttiva. Ritengo pertanto opportuno interpretare il requisito di una base giuridica, imposto dall’articolo 15, paragrafo 1, della direttiva 2002/58, alla luce della Carta, e in particolare dell’articolo 52, paragrafo 1, di quest’ultima.

150. Di conseguenza, le «disposizioni» richieste dall’articolo 15, paragrafo 1, della direttiva 2002/58 devono obbligatoriamente possedere le qualità della accessibilità, della prevedibilità e della tutela adeguata nei confronti dell’arbitrio, menzionate al paragrafo 143 delle presenti conclusioni. Da tali qualità, e in particolare dal requisito della tutela adeguata nei confronti dell’arbitrio, consegue segnatamente che dette disposizioni debbano essere vincolanti per le autorità nazionali alle quali è concesso il potere di accedere ai dati conservati. Non sarebbe sufficiente, in particolare, che le garanzie che accompagnano l’accesso a tali dati fossero previste in codici o in orientamenti interni privi di un siffatto carattere vincolante, come ha sottolineato giustamente la Law Society of England and Wales.

151. Inoltre, ritengo che l’espressione «[g]li Stati membri possono adottare disposizioni», comune a tutte le versioni linguistiche dell’articolo 15, paragrafo 1, prima frase, della direttiva 2002/58, escluda la possibilità che una giurisprudenza nazionale, ancorché costante, possa costituire una base giuridica sufficiente per attuare tale disposizione. Sottolineo che, sotto tale aspetto, detta disposizione va al di là dei requisiti derivanti dalla giurisprudenza della Corte EDU ( 43 ).

152. Aggiungo che mi sembra auspicabile, tenuto conto della gravità delle ingerenze che implica un obbligo generale di conservazione di dati nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta, che il contenuto essenziale del regime in questione, e in particolare quello delle garanzie che accompagnano tale obbligo, siano stabiliti in una disposizione adottata dal potere legislativo, lasciando al potere esecutivo il compito di precisarne le modalità di applicazione.

153. Alla luce di quanto precede, ritengo che l’articolo 15, paragrafo 1, della direttiva 2002/58 e l’articolo 52, paragrafo 1, della Carta debbano essere interpretati nel senso che il regime che stabilisce un obbligo generale di conservazione di dati, come quello di cui trattasi nei procedimenti principali, deve essere istituito da disposizioni legislative o regolamentari che possiedano le qualità dell’accessibilità, della prevedibilità e della tutela adeguata nei confronti dell’arbitrio.

154. Spetta ai giudici del rinvio verificare il rispetto di tale requisito, tenuto conto della loro posizione privilegiata ai fini della valutazione dei loro rispettivi regimi nazionali.

2. Sul rispetto del contenuto essenziale dei diritti riconosciuti dagli articoli 7 e 8 della Carta

155. Ai sensi del suo articolo 52, paragrafo 1, le eventuali limitazioni all’esercizio dei diritti riconosciuti dalla Carta devono «rispettare il contenuto essenziale di detti diritti» ( 44 ). Tale aspetto, che è stato esaminato dalla Corte ai punti 39 e 40 della sentenza DRI nel contesto della direttiva 2006/24, non pone, a mio avviso, problemi particolari nell’ambito delle presenti cause, come hanno osservato i governi spagnolo e irlandese, nonché la Commissione.

156. Al punto 39 della sentenza DRI, la Corte ha dichiarato che detta direttiva non pregiudicava il contenuto essenziale del diritto al rispetto della vita privata e degli altri diritti sanciti dall’articolo 7 della Carta, in quanto essa non permetteva di venire a conoscenza del contenuto delle comunicazioni elettroniche in quanto tale.

157. A mio avviso, detta valutazione è trasponibile ai regimi nazionali di cui trattasi nei procedimenti principali, poiché neanche siffatti regimi permettono di venire a conoscenza del contenuto delle comunicazioni elettroniche in quanto tale ( 45 ).

158. Al punto 40 della sentenza DRI, la Corte ha considerato che la direttiva 2006/24 non pregiudicava il contenuto essenziale del diritto fondamentale alla protezione dei dati di carattere personale, sancito dall’articolo 8 della Carta, tenuto conto dei principi di protezione e di sicurezza dei dati che dovevano essere rispettati dai fornitori ai sensi dell’articolo 7 di tale direttiva, mentre agli Stati membri spettava il compito di assicurare l’adozione di adeguate misure tecniche e organizzative contro la distruzione accidentale o illecita, la perdita o l’alterazione accidentale dei dati.

159. Anche in questo caso, ritengo che tale valutazione sia trasponibile ai regimi nazionali di cui trattasi nei procedimenti principali, poiché siffatti regimi prevedono, a mio avviso, garanzie paragonabili quanto alla protezione e alla sicurezza dei dati conservati dai fornitori, garanzie che devono consentire di proteggere efficacemente i dati personali contro il rischio di abusi nonché contro eventuali accessi e usi illeciti dei suddetti dati ( 46 ).

160. Spetta tuttavia ai giudici del rinvio verificare che i regimi nazionali di cui trattasi nei procedimenti principali rispettino effettivamente il contenuto essenziale dei diritti riconosciuti dagli articoli 7 e 8 della Carta, alla luce delle considerazioni che precedono.

3. Sull’esistenza di un obiettivo di interesse generale riconosciuto dall’Unione che possa giustificare un obbligo generale di conservazione di dati

161. Sia l’articolo 15, paragrafo 1, della direttiva 2002/58 sia l’articolo 52, paragrafo 1, della Carta prescrivono che qualsiasi ingerenza nei diritti sanciti da tali strumenti persegua un obiettivo di interesse generale.

162. Ai punti da 41 a 44 della sentenza DRI, la Corte ha dichiarato, da una parte, che l’obbligo generale di conservazione di dati imposto dalla direttiva 2006/24 contribuiva «alla lotta contro la criminalità grave e, di conseguenza, in ultima analisi, alla sicurezza pubblica» e, dall’altra, che tale lotta costituiva un obiettivo di interesse generale dell’Unione.

163. Infatti, dalla giurisprudenza della Corte risulta che la lotta contro il terrorismo internazionale finalizzata al mantenimento della pace e della sicurezza internazionali costituisce un obiettivo di interesse generale dell’Unione. Lo stesso vale per la lotta contro la criminalità grave al fine di garantire la sicurezza pubblica. Inoltre, va rilevato, a tale riguardo, che l’articolo 6 della Carta enuncia il diritto di ogni persona non solo alla libertà, ma altresì alla sicurezza ( 47 ).

164. Tale valutazione è trasponibile agli obblighi generali di conservazione di dati di cui trattasi nei procedimenti principali, i quali possono essere giustificati dall’obiettivo della lotta contro i reati gravi.

165. Tuttavia, tenuto conto di taluni argomenti presentati alla Corte, occorre determinare se un siffatto obbligo possa essere giustificato da un obiettivo di interesse generale diverso da quello della lotta contro i reati gravi.

166. A questo proposito, il testo dell’articolo 52, paragrafo 1, della Carta menziona, in generale, le «finalità di interesse generale riconosciute dall’Unione» e l’«esigenza di proteggere i diritti e le libertà altrui».

167. Il testo dell’articolo 15, paragrafo 1, della direttiva 2002/58 è più preciso quanto agli obiettivi che possono giustificare un’ingerenza nei diritti stabiliti da tale direttiva. Infatti, secondo detta disposizione, le misure in questione devono contribuire, «ai sensi dell’articolo 13, paragrafo 1, della direttiva 95/46(…)», alla «salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e [al]la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica».

168. Inoltre, nella sentenza Promusicae ( 48 ), la Corte ha dichiarato che detta disposizione doveva essere interpretata alla luce dell’articolo 13, paragrafo 1, della direttiva 95/46, il quale autorizza le deroghe ai diritti previsti da tale direttiva qualora esse siano giustificate dalla «protezione (…) dei diritti e delle libertà altrui». Di conseguenza, la Corte ha statuito che l’articolo 15, paragrafo 1, della direttiva 2002/58 offre agli Stati membri la facoltà di prevedere l’obbligo, per un fornitore, di divulgare dati personali al fine di determinare, nell’ambito di un procedimento civile, l’esistenza di una violazione dei diritti d’autore relativi a registrazioni musicali e audiovisive.

169. Il governo del Regno Unito ha argomentato da tale sentenza per sostenere che un obbligo generale di conservazione di dati può essere giustificato da qualsiasi obiettivo menzionato nell’articolo 15, paragrafo 1, della direttiva 2002/58 oppure nell’articolo 13, paragrafo 1, della direttiva 95/46. Secondo tale governo, un siffatto obbligo può essere giustificato dall’utilità che presentano i dati conservati nella lotta contro i reati «minori» (in contrapposizione a quelli «gravi») o anche nel contesto di procedimenti non penali in relazione agli obiettivi menzionati da tali disposizioni.

170. Tale argomento non mi convince per le ragioni seguenti.

171. In primo luogo, come hanno sostenuto giustamente il sig. Watson nonché l’Open Rights Group e la Privacy International, l’orientamento adottato dalla Corte nella sentenza Promusicae ( 49 ) non è trasponibile alle presenti cause, poiché tale sentenza riguardava una domanda di accesso, da parte di un’associazione di titolari di diritti d’autore, a dati conservati spontaneamente da un fornitore, vale a dire la Telefónica de España. In altri termini, detta decisione non riguardava gli obiettivi in grado di giustificare le gravi ingerenze nei diritti fondamentali che implica un obbligo generale di conservazione di dati come quello di cui trattasi nei procedimenti principali.

172. In secondo luogo, ritengo che il requisito di proporzionalità in una società democratica escluda che la lotta contro i reati minori o il corretto svolgimento di procedimenti non penali possa giustificare un obbligo generale di conservazione di dati. In effetti, i notevoli rischi causati da un siffatto obbligo sono sproporzionati rispetto ai vantaggi che esso offrirebbe nella lotta contro i reati minori o nel contesto di procedimenti non penali ( 50 ).

173. Alla luce di quanto precede, ritengo che l’articolo 15, paragrafo 1, della direttiva 2002/58 e l’articolo 52, paragrafo 1, della Carta debbano essere interpretati nel senso che la lotta contro i reati gravi costituisce un obiettivo di interesse generale tale da giustificare un obbligo generale di conservazione di dati, a differenza della lotta contro i reati minori o del corretto svolgimento di procedimenti non penali.

174. Di conseguenza, occorre esaminare il carattere adeguato, necessario e proporzionato di un siffatto obbligo alla luce dell’obiettivo della lotta contro i reati gravi.

4. Sul carattere adeguato di un obbligo generale di conservazione di dati alla luce della lotta contro i reati gravi

175. I requisiti relativi al carattere adeguato, necessario ( 51 ) e proporzionato ( 52 ) derivano sia dall’articolo 15, paragrafo 1, della direttiva 2002/58, sia dall’articolo 52, paragrafo 1, della Carta.

176. In virtù del primo di tali requisiti, un obbligo generale di conservazione di dati come quello di cui trattasi nei procedimenti principali deve essere idoneo a contribuire all’obiettivo di interesse generale sopra individuato, vale a dire la lotta contro i reati gravi.

177. Tale requisito non pone particolari difficoltà nel contesto delle presenti cause. Come la Corte ha rilevato, in sostanza, nel punto 49 della sentenza DRI, i dati conservati permettono alle autorità nazionali competenti in materia penale di disporre di uno strumento investigativo supplementare per prevenire o accertare i reati gravi. Di conseguenza, un siffatto obbligo contribuisce alla lotta contro i reati gravi.

178. Tengo comunque a precisare l’utilità che può rivestire un obbligo generale di conservazione di dati ai fini della lotta contro i reati gravi. Come ha correttamente sostenuto il governo francese, un tale obbligo consente, in una certa misura, alle autorità di contrasto di «leggere il passato» consultando i dati conservati, a differenza delle misure di sorveglianza mirate.

179. Una misura di sorveglianza mirata riguarda persone che sono state precedentemente individuate come aventi potenzialmente un collegamento, anche indiretto o lontano, con un reato grave. Siffatte misure mirate consentono alle autorità competenti di avere accesso ai dati relativi alle comunicazioni effettuate da dette persone, e persino al contenuto di tali comunicazioni. Tuttavia, tale accesso può riguardare soltanto le comunicazioni effettuate da dette persone successivamente alla loro individuazione.

180. Al contrario, un obbligo generale di conservazione di dati riguarda l’insieme delle comunicazioni effettuate da tutti gli utenti, senza che sia richiesto un qualsiasi collegamento con un reato grave. Tale obbligo consente alle autorità competenti di avere accesso alla cronologia delle comunicazioni effettuate da una persona prima di essere stata individuata come avente un siffatto collegamento. È in questo senso che siffatto obbligo conferisce alle autorità di contrasto una capacità limitata di leggere il passato, offrendo loro un accesso alle comunicazioni effettuate da dette persone precedentemente alla loro individuazione ( 53 ).

181. In altri termini, l’utilità offerta da un obbligo generale di conservazione di dati ai fini della lotta contro i reati gravi consiste in tale capacità limitata di leggere il passato attraverso dati che mostrano la cronologia delle comunicazioni effettuate da una persona prima ancora di essere sospettata di avere un collegamento con un reato grave ( 54 ).

182. In sede di presentazione della proposta di direttiva che ha portato all’adozione della direttiva 2006/24, la Commissione ha illustrato tale utilità mediante diversi esempi concreti di indagini vertenti in particolare su atti di terrorismo, di omicidio, di sequestro di persona e di pedopornografia ( 55 ).

183. Vari esempi simili sono stati esposti alla Corte nell’ambito delle presenti cause, segnatamente dal governo francese, il quale ha sottolineato l’obbligo positivo che incombe agli Stati membri di garantire la sicurezza delle persone presenti sul loro territorio. Secondo tale governo, nell’ambito delle indagini relative allo smantellamento delle reti che organizzano la partenza di residenti francesi verso zone di conflitto in Iraq o in Siria, l’accesso ai dati conservati gioca un ruolo determinante ai fini dell’identificazione delle persone che hanno facilitato tale partenza. Detto governo aggiunge che l’accesso ai dati relativi alle comunicazioni delle persone coinvolte nei recenti attentati terroristici del gennaio e del novembre 2015 in Francia è stata estremamente utile agli inquirenti per scoprire i complici degli autori di tali attentati. Parimenti, nell’ambito della ricerca di una persona scomparsa, i dati relativi all’ubicazione di tale persona durante comunicazioni effettuate prima della sua scomparsa potrebbero svolgere un ruolo determinante ai fini dell’indagine.

184. Alla luce delle considerazioni che precedono, ritengo che un obbligo generale di conservazione di dati sia idoneo a contribuire alla lotta contro i reati gravi. Resta tuttavia da verificare se un siffatto obbligo sia necessario e proporzionato a tale obiettivo.

5. Sul carattere necessario di un obbligo generale di conservazione di dati alla luce della lotta contro i reati gravi

185. Secondo giurisprudenza costante, una misura può essere considerata necessaria soltanto in assenza di qualsiasi altra misura che sia altrettanto adeguata pur essendo meno restrittiva ( 56 ).

186. Il requisito relativo al carattere adeguato si risolve nel valutare l’efficacia «assoluta» – indipendentemente da qualsiasi altra misura ipotizzabile – di un obbligo generale di conservazione di dati alla luce della lotta contro i reati gravi. Il requisito della necessità porta, dal canto suo, a valutare l’efficienza – o efficacia «relativa», vale a dire in confronto a qualsiasi altra misura ipotizzabile – di un tale obbligo ( 57 ).

187. Nel contesto delle presenti cause, il test di necessità impone di verificare, da una parte, se altre misure possano essere altrettanto efficaci di un obbligo generale di conservazione di dati nella lotta contro i reati gravi e, dall’altra, se tali eventuali misure siano meno lesive dei diritti sanciti dalla direttiva 2002/58 e dagli articoli 7 e 8 della Carta ( 58 ).

188. Ricordo inoltre la giurisprudenza costante, richiamata al punto 52 della sentenza DRI, secondo la quale la protezione del diritto fondamentale alla vita privata richiede che le deroghe e le restrizioni alla tutela dei dati personali debbano operare entro i limiti dello «stretto necessario» ( 59 ).

189. Le parti che hanno presentato osservazioni alla Corte hanno discusso ampiamente due problematiche relative al requisito di stretta necessità nel contesto delle presenti cause, che corrispondono in sostanza alle due questioni sollevate dal giudice del rinvio nella causa C‑203/15: — da una parte, se, alla luce dei punti da 56 a 59 della sentenza DRI, debba considerarsi che un obbligo generale di conservazione di dati ecceda, di per sé, i limiti dello stretto necessario ai fini della lotta contro i reati gravi, indipendentemente da eventuali garanzie che accompagnino tale obbligo; — dall’altra, nell’ipotesi in cui possa considerarsi che un tale obbligo non ecceda, di per sé, i limiti dello stretto necessario, se esso debba essere accompagnato dall’insieme delle garanzie menzionate dalla Corte ai punti da 60 a 68 della sentenza DRI al fine di limitare allo stretto necessario la lesione dei diritti sanciti dalla direttiva 2002/58 e dagli articoli 7 e 8 della Carta.

190. Prima di trattare tali questioni, ritengo opportuno respingere un argomento addotto dal governo del Regno Unito, secondo cui i criteri stabiliti nella sentenza DRI sarebbero irrilevanti nel contesto delle presenti cause, in quanto detta sentenza riguardava non già un regime nazionale, bensì un regime stabilito dal legislatore dell’Unione.

191. A questo proposito, sottolineo che la sentenza DRI ha interpretato gli articoli 7, 8 e 52, paragrafo 1, della Carta e che tali disposizioni sono parimenti oggetto delle questioni sollevate nei procedimenti principali. Orbene, è impossibile, a mio avviso, interpretare le disposizioni della Carta in modo diverso a seconda che il regime in questione sia stato stabilito a livello dell’Unione o a livello nazionale, come hanno sottolineato giustamente i sigg. Brice e Lewis nonché la Law Society of England and Wales. Laddove si sia constatato che la Carta è applicabile, come avviene nelle presenti cause ( 60 ), quest’ultima deve essere applicata nello stesso modo, indipendentemente dal regime in questione. Pertanto, i criteri stabiliti dalla Corte nella sentenza DRI sono rilevanti ai fini della valutazione dei regimi nazionali di cui trattasi nelle presenti cause, come hanno sostenuto segnatamente i governi danese e irlandese nonché la Commissione.

a) Sul carattere strettamente necessario di un obbligo generale di conservazione di dati

192. Secondo un primo orientamento, sostenuto dalla Tele2 Sverige nonché dall’Open Rights Group e dalla Privacy International, deve considerarsi, alla luce della sentenza DRI, che un obbligo generale di conservazione di dati ecceda, di per sé, i limiti dello stretto necessario ai fini della lotta contro i reati gravi, indipendentemente da eventuali garanzie che accompagnino tale obbligo.

193. Stando a un secondo orientamento, sostenuto dalla maggioranza delle altre parti che hanno presentato osservazioni alla Corte, un siffatto obbligo non eccede i limiti dello stretto necessario qualora sia accompagnato da talune garanzie riguardanti l’accesso ai dati, la durata di conservazione nonché la protezione e la sicurezza dei dati.

194. I seguenti motivi mi inducono ad adottare questo secondo orientamento.

195. In primo luogo, secondo la mia lettura della sentenza DRI, la Corte ha dichiarato che un obbligo generale di conservazione di dati eccede i limiti dello stretto necessario qualora esso non sia accompagnato da garanzie rigorose riguardanti l’accesso ai dati, la durata di conservazione nonché la protezione e la sicurezza dei dati. Per contro, la Corte non si è pronunciata sulla compatibilità con il diritto dell’Unione di un obbligo generale di conservazione di dati che sia accompagnato da tali garanzie, in quanto un siffatto regime non formava oggetto delle questioni sottoposte alla Corte in detta causa.

196. A questo proposito, sottolineo che i punti da 56 a 59 della sentenza DRI non contengono alcuna dichiarazione della Corte nel senso che un obbligo generale di conservazione di dati ecceda, di per sé, i limiti dello stretto necessario.

197. Ai punti 56 e 57 di tale sentenza, la Corte constata che l’obbligo di conservazione previsto dalla direttiva 2006/24 riguarda qualsiasi mezzo di comunicazione elettronica, tutti gli utenti nonché l’insieme dei dati relativi al traffico, senza alcuna distinzione, limitazione o eccezione basata sull’obiettivo della lotta contro i reati gravi.

198. Ai punti 58 e 59 di detta sentenza, la Corte espone in modo più dettagliato le conseguenze pratiche di tale assenza di distinzione. Da una parte, detto obbligo di conservazione riguarda anche persone per le quali non esiste alcun indizio tale da far credere che il loro comportamento possa avere un nesso, ancorché indiretto o lontano, con reati gravi. Dall’altra, detta direttiva non impone alcuna relazione tra i dati di cui prevede la conservazione e una minaccia per la sicurezza pubblica e, in particolare, non limita la conservazione dei dati a quelli relativi a un determinato periodo di tempo e/o a un’area geografica determinata e/o a una cerchia di persone determinate che possano essere coinvolte, in un modo o nell’altro, in un reato grave.

199. In tal modo, la Corte constata che un obbligo generale di conservazione di dati si caratterizza per la sua assenza di distinzione sulla base dell’obiettivo della lotta contro i reati gravi. Tuttavia, essa non ha dichiarato che tale assenza di distinzione significava che un siffatto obbligo eccedeva, di per sé, i limiti dello stretto necessario.

200. In realtà, è soltanto al termine dell’esame del regime previsto dalla direttiva 2006/24, e dopo aver constatato l’assenza di talune garanzie che esaminerò in seguito ( 61 ), che la Corte dichiara, al punto 69 della sentenza DRI, quanto segue:

201. Come hanno sostenuto i governi tedesco e neerlandese, se la mera conservazione generalizzata dei dati fosse stata sufficiente a causare l’invalidità della direttiva 2006/24, la Corte non avrebbe avuto bisogno di esaminare, per di più in maniera dettagliata, l’assenza delle garanzie menzionate ai punti da 60 a 68 di detta sentenza.

202. Pertanto, l’obbligo generale di conservazione di dati previsto dalla direttiva 2006/24 non eccedeva, di per sé, i limiti dello stretto necessario. Tale direttiva eccedeva i limiti dello stretto necessario a causa dell’effetto combinato della conservazione generalizzata dei dati e dell’assenza di garanzie volte a limitare allo stretto necessario la lesione dei diritti sanciti dagli articoli 7 e 8 della Carta. A causa di tale effetto combinato, la direttiva doveva essere dichiarata invalida nella sua interezza ( 62 ).

203. In secondo luogo, trovo conferma di tale interpretazione al punto 93 della sentenza Schrems ( 63 ), che riproduco di seguito:

204. Anche in questo caso, la Corte non ha dichiarato che il regime in questione in tale causa eccedeva i limiti dello stretto necessario per il solo fatto che esso autorizzava una conservazione generalizzata di dati personali. Nella specie, i limiti dello stretto necessario erano superati a causa dell’effetto combinato della possibilità di una tale conservazione generalizzata e dell’assenza di garanzie riguardanti l’accesso al fine di limitare l’ingerenza allo stretto necessario.

205. Da quanto precede, deduco che non si deve sempre considerare che un obbligo generale di conservazione di dati ecceda, di per sé, i limiti dello stretto necessario ai fini della lotta contro i reati gravi. Per contro, un siffatto obbligo eccede sempre i limiti dello stretto necessario qualora non sia accompagnato da garanzie riguardanti l’accesso ai dati, la durata di conservazione nonché la protezione e la sicurezza dei dati.

206. Inoltre, la mia opinione a tale riguardo è confermata dalla necessità di verificare in concreto il rispetto del requisito di stretta necessità nel contesto dei regimi nazionali di cui trattasi nei procedimenti principali.

207. Come ho già esposto al paragrafo 187 delle presenti conclusioni, il requisito di stretta necessità impone di esaminare se altre misure possano essere altrettanto efficaci quanto un obbligo generale di conservazione di dati nella lotta contro i reati gravi, pur essendo meno lesive dei diritti sanciti dalla direttiva 2002/58 e dagli articoli 7 e 8 della Carta.

208. Orbene, una tale valutazione deve essere effettuata nel contesto specifico di ciascun regime nazionale che preveda un obbligo generale di conservazione di dati. Da una parte, siffatta valutazione richiede un confronto tra l’efficacia di tale obbligo e quella di qualsiasi altra misura ipotizzabile nel contesto nazionale, tenendo conto del fatto che detto obbligo offre alle autorità competenti una capacità limitata di leggere il passato attraverso i dati conservati ( 64 ).

209. Alla luce del requisito di stretta necessità, è imperativo che detti giudici non si limitino a verificare la mera utilità di un obbligo generale di conservazione di dati, bensì verifichino rigorosamente che nessun’altra misura o combinazione di misure, e segnatamente un obbligo mirato di conservazione di dati accompagnato da altri strumenti investigativi, possa offrire la medesima efficacia nella lotta contro i reati gravi. A questo proposito, sottolineo che diversi studi portati all’attenzione della Corte rimettono in discussione la necessità di tale tipo di obbligo ai fini della lotta contro i reati gravi ( 65 ).

210. Dall’altra parte, ammesso che altre misure possano essere altrettanto efficaci nella lotta contro i reati gravi, ai giudici del rinvio spetterà l’ulteriore compito di determinare se queste ultime siano meno lesive dei diritti fondamentali in questione rispetto a un obbligo generale di conservazione di dati, ai sensi della giurisprudenza costante richiamata al paragrafo 185 delle presenti conclusioni.

211. Alla luce del punto 59 della sentenza DRI, ai giudici nazionali spetterà verificare, in particolare, la possibilità di limitare la portata materiale dell’obbligo di conservazione preservando nel contempo l’efficacia di tale misura nella lotta contro i reati gravi ( 66 ). Obblighi di tal genere possono avere, infatti, una portata materiale più o meno ampia, a seconda degli utenti, delle aree geografiche e dei mezzi di comunicazione interessati ( 67 ).

212. A mio avviso, sarebbe auspicabile soprattutto, qualora la tecnologia lo consentisse, escludere dall’obbligo di conservazione i dati particolarmente sensibili in relazione ai diritti fondamentali di cui trattasi nelle presenti cause, quali i dati coperti dal segreto professionale e i dati che consentono di individuare le fonti dei giornalisti.

213. Occorre, tuttavia, tenere presente che una limitazione sostanziale della portata di un obbligo generale di conservazione di dati rischia di ridurre considerevolmente l’utilità offerta da tale regime nella lo