Source: http://sentenze.altervista.org/data-retention-bocciata-direttiva-ue/?doing_wp_cron=1575721172.1690640449523925781250
Timestamp: 2019-12-07 12:19:35+00:00
Document Index: 86652613

Matched Legal Cases: ['sentenza ', 'sentenza ', 'sentenza ', '§ 48', '§ 46', '§ 79', 'sentenza ', 'sentenza ', '§ 102', 'sentenza ', '§ 62', '§ 99', '§ 103', '§ 35', 'sentenza ']

Data retention, bocciata la direttiva UE | Sentenze
Data retention, bocciata la direttiva UE
Scritto il Agosto 23, 2014 Settembre 27, 2014 da sentenze
La direttiva 2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la
, è invalida.
Cassazione civile, sez. II, sentenza 24 giugno 2014 n° 14326
Cassazione civile, sez. III, 15240 03 luglio 2014
Omissis (C‑293/12)
1 Le domande di pronuncia pregiudiziale vertono sulla validità della direttiva 2006/24/CE del Parlamento europeo e del Consiglio, del 15 marzo 2006, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE (GU L 105, pag. 54).
2 La domanda proposta dalla High Court (causa C‑293/12) verte su una controversia che contrappone la Omissis (in prosieguo: la «omissis») al Minister for Communications, Marine and Natural Resources, al Minister for Justice, Equality and Law Reform, al Commissioner of the Garda Síochána, all’Irlanda nonché all’Attorney General, in merito alla legittimità di misure legislative e amministrative nazionali riguardanti la conservazione di dati relativi a comunicazioni elettroniche.
3 La domanda proposta dal Verfassungsgerichtshof (causa C‑594/12) è relativa a ricorsi in materia costituzionale proposti dinanzi a tale organo giurisdizionale dalla Kärntner Landesregierung (governo del Land di Carinzia) nonché dai sigg. Seitlinger, Tschohl e da altri 11 128 ricorrenti, in merito alla compatibilità della legge che attua la direttiva 2006/24 nel diritto interno austriaco con la legge costituzionale federale (Bundes-Verfassungsgesetz).
4 La direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31), è volta, conformemente al suo articolo 1, paragrafo 1, a garantire la tutela delle libertà e dei diritti fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
5 Per quanto riguarda la sicurezza del trattamento di tali dati, l’articolo 17, paragrafo 1, della suddetta direttiva così recita:
6 La direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201, pag. 37), come modificata dalla direttiva 2009/136/CE del Parlamento europeo e del Consiglio, del 25 novembre 2009 (GU L 337, pag. 11; in prosieguo: la «direttiva 2002/58»), ha per obiettivo, ai sensi dell’articolo 1, paragrafo 1, l’armonizzazione delle disposizioni degli Stati membri necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell’Unione europea. Ai sensi del paragrafo 2 del medesimo articolo, le disposizioni di tale direttiva precisano e integrano la direttiva 95/46 ai fini di cui al summenzionato paragrafo 1.
7 Per quanto riguarda la sicurezza del trattamento dei dati, l’articolo 4 della direttiva 2002/58 dispone quanto segue:
8 Quanto alla riservatezza delle comunicazioni e dei dati relativi al traffico, l’articolo 5, paragrafi 1 e 3, della suddetta direttiva così recita:
9 Ai sensi dell’articolo 6, paragrafo 1, della direttiva 2002/58:
10 L’articolo 15 della direttiva 2002/58, al paragrafo 1, enuncia quanto segue:
11 Dopo aver promosso una consultazione di rappresentanti delle autorità di contrasto, del settore delle comunicazioni elettroniche e di esperti in materia di protezione dei dati, la Commissione ha presentato, il 21 settembre 2005, una valutazione dell’impatto delle opzioni politiche relative a regole in tema di conservazione dei dati relativi al traffico (in prosieguo: la «valutazione dell’impatto»). Tale valutazione è servita come base per l’elaborazione della proposta di direttiva del Parlamento Europeo e del Consiglio riguardante la conservazione di dati trattati nell’ambito della fornitura di servizi pubblici di comunicazione elettronica e che modifica la direttiva 2002/58/CE [COM(2005) 438 def; in prosieguo: la «proposta di direttiva»], presentata lo stesso giorno, sfociata nell’adozione della direttiva 2006/24 sulla base dell’articolo 95 CE.
12 Il considerando 4 della direttiva 2006/24 così recita:
13 Ai sensi della prima frase del considerando 5 della direttiva 2006/24, «[d]iversi Stati membri hanno adottato normative sulla conservazione di dati da parte dei fornitori dei servizi a fini di prevenzione, indagine, accertamento e perseguimento dei reati».
14 I considerando da 7 a 11 della direttiva 2006/24 sono formulati nel modo seguente:
«(7) Le conclusioni del Consiglio “Giustizia e affari interni” del 19 dicembre 2002 sottolineano che, a motivo dell’importante aumento delle possibilità offerte dalle comunicazioni elettroniche, i dati relativi all’uso di queste ultime costituiscono uno strumento particolarmente importante e valido nella prevenzione, indagine, accertamento e perseguimento dei reati, in particolare della criminalità organizzata.
(8) Con la dichiarazione sulla lotta al terrorismo, adottata il 25 marzo 2004, il Consiglio europeo ha incaricato il Consiglio di esaminare misure relative all’istituzione di norme sulla conservazione dei dati relativi al traffico delle comunicazioni da parte dei fornitori di servizi.
(9) In base all’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU) [firmata a Roma il 4 novembre 1950], ogni persona ha diritto al rispetto della sua vita privata e della sua corrispondenza. Non può esservi ingerenza della pubblica autorità nell’esercizio di tale diritto se non in quanto tale ingerenza sia prevista dalla legge e in quanto costituisca una misura che, in una società democratica, è necessaria tra l’altro per la sicurezza nazionale, l’ordine pubblico, la prevenzione di disordini o reati, la protezione dei diritti e delle libertà altrui. Giacché la conservazione dei dati si è dimostrata uno strumento investigativo necessario ed efficace per le autorità di contrasto in vari Stati membri, riguardanti in particolare reati gravi come la criminalità organizzata e il terrorismo, risulta necessario assicurare che i dati conservati restino a disposizione delle autorità di contrasto per un certo periodo di tempo alle condizioni previste dalla presente direttiva. (…)
(11) Data l’importanza dei dati relativi al traffico e dei dati relativi all’ubicazione per l’indagine, l’accertamento e il perseguimento dei reati, come dimostrato da lavori di ricerca e dall’esperienza pratica di diversi Stati membri, è necessario garantire a livello europeo la conservazione, per un certo periodo di tempo, alle condizioni previste dalla presente direttiva, dei dati generati o trattati dai fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione».
15 I considerando 16, 21 e 22 di detta direttiva precisano quanto segue:
«(16) Gli obblighi incombenti ai fornitori di servizi per quanto concerne le misure atte ad assicurare la qualità dei dati, che derivano dall’articolo 6 della direttiva 95/46/CE e i loro obblighi concernenti le misure atte ad assicurare la riservatezza e la sicurezza dei trattamenti dei dati, derivanti dagli articoli 16 e 17 di tale direttiva, sono pienamente applicabili ai dati conservati ai sensi della presente direttiva.
(22) La presente direttiva rispetta i diritti fondamentali e osserva i principi riconosciuti, segnatamente nella Carta dei diritti fondamentali dell’Unione europea. In particolare, insieme alla direttiva 2002/58/CE, essa mira a garantire la piena osservanza dei diritti fondamentali del cittadino al rispetto della propria vita privata e delle proprie comunicazioni e alla protezione dei dati di carattere personale come previsto dagli articoli 7 e 8 della Carta».
16 La direttiva 2006/24 prevede, per i fornitori di servizi di comunicazione elettronica accessibili al pubblico o delle reti pubbliche di comunicazione, l’obbligo di conservare taluni dati da essi generati o trattati. Al riguardo, gli articoli da 1 a 9, 11 e 13 della detta direttiva dispongono quanto segue:
a) “dati”: i dati relativi al traffico e i dati relativi all’ubicazione, così come i dati connessi necessari per identificare l’abbonato o l’utente;
b) “utente”: qualsiasi persona fisica o giuridica che utilizza un servizio di comunicazione elettronica accessibile al pubblico, per fini privati o professionali, senza essere necessariamente abbonata a tale servizio;
c) “servizio telefonico”: le chiamate telefoniche (incluse chiamate vocali, di messaggeria vocale, in conferenza e di trasmissione dati), i servizi supplementari (inclusi l’inoltro e il trasferimento di chiamata), la messaggeria e i servizi multimediali (inclusi servizi di messaggeria breve, servizi mediali avanzati e servizi multimediali);
d) “identificativo dell’utente”: un identificativo unico assegnato a una persona al momento dell’abbonamento o dell’iscrizione presso un servizio di accesso Internet o un servizio di comunicazione Internet;
e) “etichetta di ubicazione”: l’identità della cellula da cui una chiamata di telefonia mobile ha origine o nella quale si conclude;
f) “tentativo di chiamata non riuscito”: una chiamata telefonica che è stata collegata con successo ma non ha ottenuto risposta, oppure in cui vi è stato un intervento del gestore della rete.
i) numero/i digitato/i (il numero o i numeri chiamati) e, nei casi che comportano servizi supplementari come l’inoltro o il trasferimento di chiamata, il numero o i numeri a cui la chiamata è trasmessa;
ii) nome/i e indirizzo/i dell’abbonato/i o dell’utente/i registrato/i;
i) identificativo dell’utente o numero telefonico del/dei presunto/i destinatario/i di una chiamata telefonica via Internet;
ii) nome/i e indirizzo/i dell’abbonato/i o dell’utente/i registrato/i e identificativo del presunto destinatario della comunicazione;
1) per la telefonia di rete fissa e la telefonia mobile, data e ora dell’inizio e della fine della comunicazione;
2) per l’accesso Internet, la posta elettronica via Internet e la telefonia via Internet:
i) data e ora del log-in e del log-off del servizio di accesso Internet sulla base di un determinato fuso orario, unitamente all’indirizzo IP, dinamico o statico, assegnato dal fornitore di accesso Internet a una comunicazione e l’identificativo dell’abbonato o dell’utente registrato;
iv) l’IMSI del chiamato;
v) l’IMEI del chiamato;
vi) nel caso dei servizi prepagati anonimi, la data e l’ora dell’attivazione iniziale della carta e l’etichetta di ubicazione (Cell ID) dalla quale è stata effettuata l’attivazione;
3) per l’accesso Internet, la posta elettronica su Internet e la telefonia via Internet:
i) numero telefonico chiamante per l’accesso commutato (dial-up access);
ii) digital subscriber line (DSL) o un altro identificatore finale di chi è all’origine della comunicazione;
1) etichetta di ubicazione (Cell ID) all’inizio della comunicazione;
2) dati per identificare l’ubicazione geografica delle cellule facendo riferimento alle loro etichette di ubicazione (Cell ID) nel periodo in cui vengono conservati i dati sulle comunicazioni.
b) i dati sono soggetti ad adeguate misure tecniche e organizzative intese a tutelarli da una distruzione accidentale o illecita, da un’alterazione o perdita accidentale, da immagazzinamento, trattamento, accesso o divulgazione non autorizzati o illeciti;
17 L’11 agosto 2006 la Digital Rights ha presentato dinanzi alla High Court un ricorso nell’ambito del quale sostiene di essere proprietaria di un telefono cellulare che è stato registrato il 3 giugno 2006 e da essa utilizzato a partire da tale data. Essa mette in discussione la legittimità di misure legislative e amministrative nazionali riguardanti la conservazione di dati relativi a comunicazioni elettroniche e chiede, in particolare, al giudice del rinvio di dichiarare la nullità della direttiva 2006/24 e della parte settima della legge del 2005 sulla giustizia penale (reati terroristici) [Criminal Justice (Terrorist Offences) Act 2005], la quale impone ai fornitori di servizi di telefonia di conservare i dati relativi al traffico e all’ubicazione per un lasso di tempo specificato dalla legge a fini di prevenzione, accertamento, indagini o perseguimento dei reati e di protezione della sicurezza dello Stato.
18 Ritenendo di non essere in grado di risolvere le questioni relative al diritto nazionale ad essa sottoposte senza che fosse stata prima esaminata la validità della direttiva 2006/24, la High Court ha deciso di sospendere il giudizio e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se la limitazione dei diritti della ricorrente in relazione all’utilizzo della telefonia mobile, derivante dalle disposizioni degli articoli 3, 4 e 6 della direttiva 2006/24/CE, sia incompatibile con l’articolo 5, paragrafo 4, TUE in quanto non proporzionata, non necessaria o non adeguata per il perseguimento dei seguenti obiettivi legittimi:
a) garantire la disponibilità di determinati dati a fini di indagine, accertamento e perseguimento di reati gravi,
a) se la direttiva 2006/24/CE sia compatibile con il diritto dei cittadini di circolare e soggiornare liberamente nel territorio degli Stati membri sancito dall’articolo 21 TFUE;
b) se la direttiva 2006/24/CE sia compatibile con il diritto al rispetto della vita privata sancito dall’articolo 7 della [Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la “Carta”)] e dall’articolo 8 della [CEDU];
c) se la direttiva 2006/24/CE sia compatibile con il diritto alla protezione dei dati di carattere personale sancito all’articolo 8 della Carta;
d) se la direttiva 2006/24/CE sia compatibile con il diritto alla libertà di espressione sancito dall’articolo 11 della Carta e dall’articolo 10 della [CEDU];
e) se la direttiva 2006/24/CE sia compatibile con il diritto ad una buona amministrazione contemplato dall’articolo 41 della Carta.
3) In che misura i Trattati – e, in particolare, il principio di leale collaborazione di cui all’articolo 4, paragrafo 3, TUE – impongano al giudice nazionale di esaminare e valutare la compatibilità delle misure nazionali volte a trasporre la direttiva 2006/24/CE con le garanzie previste dalla [Carta], ivi compreso il suo articolo 7 (come ispirato dall’articolo 8 della [CEDU])».
19 All’origine della domanda di pronuncia pregiudiziale nella causa C‑594/12 si trovano numerosi ricorsi presentati dinanzi al Verfassungsgerichtshof, proposti rispettivamente dalla Kärntner Landesregierung nonché dai sigg. Seitlinger, Tschohl e da altri 11 128 ricorrenti che chiedono l’annullamento dell’articolo 102 bis della legge sulle telecomunicazioni (Telekommunikationsgesetz 2003), articolo introdotto in tale legge dalla legge federale di modifica della stessa (Bundesgesetz, mit dem das Telekommunikationsgesetz 2003 – TKG 2003 geändert wird, BGBl. I, 27/2011) ai fini della trasposizione della direttiva 2006/24 nel diritto interno austriaco. Le suddette parti sostengono, in particolare, che l’articolo 102 bis viola il diritto fondamentale dei privati alla protezione dei propri dati.
20 Il Verfassungsgerichtshof si chiede, in particolare, se la direttiva 2006/24 sia compatibile con la Carta in quanto permette di immagazzinare una massa di dati relativi ad un numero illimitato di persone per un lungo tempo. La conservazione dei dati riguarderebbe quasi esclusivamente persone il cui comportamento non giustifica affatto la conservazione dei dati che le riguardano. Tali persone sarebbero esposte ad un rischio elevato di vedere le autorità ricercare i loro dati, venire a conoscenza del relativo contenuto, informarsi sulla loro vita privata e utilizzare tali dati per molteplici fini, tenuto conto, segnatamente, del numero incalcolabile di persone che hanno accesso ai dati per un periodo di almeno sei mesi. Secondo il giudice del rinvio, vi sono dubbi, da un lato, circa il fatto che la direttiva sia idonea al raggiungimento degli obiettivi da essa perseguiti e, dall’altro lato, circa la proporzionalità dell’ingerenza nei diritti fondamentali interessati.
21 Il Verfassungsgerichtshof ha pertanto deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Sulla validità degli atti delle istituzioni dell’Unione:
a) Se, alla luce delle spiegazioni relative all’articolo 8 della Carta che, a norma dell’articolo 52, paragrafo 7, della stessa, sono state elaborate al fine di fornire orientamenti per l’interpretazione [di quest’ultima] e di cui il Verfassungsgerichtshof deve tenere debito conto, la direttiva 95/46 e il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati [GU 2001, L 8, pag. 1] debbano essere considerati equivalenti alle condizioni stabilite dall’articolo 8, paragrafo 2, e dall’articolo 52, paragrafo 1, della Carta per valutare l’ammissibilità delle ingerenze.
b) Quale sia il rapporto tra il “diritto dell’Unione”, menzionato nell’articolo 52, paragrafo 3, ultima frase, della Carta, e le direttive in materia di protezione dei dati.
c) Se, dato che la direttiva 95/46/CE e il regolamento (…) n. 45/2001 pongono condizioni e limiti all’esercizio del diritto fondamentale alla protezione dei dati sancito dalla Carta, nell’interpretare l’articolo 8 [di quest’ultima] occorra tener conto dei cambiamenti derivanti dalle norme successive di diritto derivato.
d) Se, in considerazione dell’articolo 52, paragrafo 4, della Carta, dal principio della salvaguardia di livelli di protezione più elevati, di cui all’articolo 53 della Carta, discenda che i limiti che [quest’ultima] pone alle restrizioni che il diritto derivato può legittimamente apportare debbano essere applicati in base a criteri più rigorosi.
e) Se, tenuto conto dell’articolo 52, paragrafo 3, della Carta, del quinto comma del preambolo e delle spiegazioni relative all’articolo 7 [di quest’ultima], secondo cui i diritti garantiti da tale articolo corrispondono a quelli garantiti dall’articolo 8 della CEDU, la giurisprudenza della Corte europea dei diritti dell’uomo relativa all’articolo 8 della CEDU possa fornire indicazioni interpretative rilevanti ai fini dell’interpretazione di quest’ultimo articolo».
22 Con decisione del presidente della Corte dell’11 giugno 2013, le cause C‑293/12 e C‑594/12 sono state riunite ai fini della fase orale e della sentenza.
23 Con la seconda questione, lettere da b) a d), nella causa C‑293/12 e la prima questione nella causa C‑594/12, che vanno esaminate congiuntamente, i giudici del rinvio chiedono in sostanza alla Corte di esaminare la validità della direttiva 2006/24 alla luce degli articoli 7, 8 e 11 della Carta.
24 Dall’articolo 1 e dai considerando 4, 5, da 7 a 11, 21 e 22 della direttiva 2006/24 emerge che l’obiettivo principale di quest’ultima è quello di armonizzare le disposizioni degli Stati membri relative alla conservazione, da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione, di determinati dati da essi generati o trattati, allo scopo di garantirne la disponibilità a fini di prevenzione, indagine, accertamento e perseguimento di reati gravi, come quelli legati alla criminalità organizzata e al terrorismo, nel rispetto dei diritti sanciti agli articoli 7 e 8 della Carta.
25 L’obbligo dei fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione, previsto dall’articolo 3 della direttiva 2006/24, di conservare i dati elencati all’articolo 5 della stessa al fine di renderli all’occorrenza accessibili alle autorità nazionali competenti solleva questioni relative alla protezione tanto della vita privata quanto delle comunicazioni, sancita dall’articolo 7 della Carta, alla tutela dei dati personali, prevista dall’articolo 8 della stessa, nonché al rispetto della libertà di espressione, garantita dall’articolo 11 della Carta.
26 In proposito, va rilevato che i dati che i fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione debbono conservare, ai sensi degli articoli 3 e 5 della direttiva 2006/24, sono, in particolare, i dati necessari per rintracciare e identificare la fonte di una comunicazione e la destinazione della stessa, per stabilire la data, l’ora, la durata e il tipo di una comunicazione, le attrezzature di comunicazione degli utenti nonché per determinare l’ubicazione delle apparecchiature di comunicazione mobile, dati tra i quali figurano, segnatamente, il nome e l’indirizzo dell’abbonato o dell’utente registrato, il numero telefonico chiamante e quello chiamato, nonché un indirizzo IP per i servizi Internet. I suddetti dati permettono, in particolare, di sapere quale sia la persona con cui un abbonato o un utente registrato ha comunicato e con quale mezzo, così come di stabilire il tempo della comunicazione e il luogo dal quale questa è avvenuta. Inoltre, essi permettono di conoscere la frequenza delle comunicazioni dell’abbonato o dell’utente registrato con talune persone nel corso di un determinato periodo.
27 Questi dati, presi nel loro complesso, possono permettere di trarre conclusioni molto precise riguardo alla vita privata delle persone i cui dati sono stati conservati, come le abitudini quotidiane, i luoghi di soggiorno permanente o temporaneo, gli spostamenti giornalieri e non, le attività svolte, le relazioni sociali di queste persone e gli ambienti sociali da esse frequentati.
28 Di conseguenza, sebbene la direttiva 2006/24 non autorizzi, come emerge dagli articoli 1, paragrafo 2, e 5, paragrafo 2 della stessa, la conservazione del contenuto della comunicazione e delle informazioni consultate utilizzando una rete di comunicazione elettronica, non è escluso che la conservazione dei dati di cui trattasi possa incidere sull’utilizzo, da parte degli abbonati o degli utenti registrati, dei mezzi di comunicazione cui fa riferimento la suddetta direttiva e, di conseguenza, sull’esercizio, da parte di questi ultimi, della loro libertà di espressione, garantita dall’articolo 11 della Carta.
29 La conservazione dei dati affinché le autorità nazionali competenti possano eventualmente accedervi, come prevista dalla direttiva 2006/24, riguarda in modo specifico e diretto la vita privata e, di conseguenza, i diritti garantiti dall’articolo 7 della Carta. Inoltre, tale conservazione dei dati rientra altresì nell’articolo 8 di quest’ultima, poiché costituisce un trattamento dei dati di carattere personale ai sensi del suddetto articolo e deve, pertanto, necessariamente rispondere ai requisiti di protezione dei dati derivanti da tale articolo (sentenza Volker und Markus Schecke e Eifert, C‑92/09 e C‑93/09, EU:C:2010:662, punto 47).
30 Benché i rinvii pregiudiziali nelle presenti cause sollevino, in particolare, la questione di principio di stabilire se i dati degli abbonati e degli utenti registrati possano o meno essere conservati, alla luce dell’articolo 7 della Carta, essi riguardano altresì la questione se la direttiva 2006/24 risponda alle esigenze di protezione dei dati personali derivanti dall’articolo 8 della Carta.
31 Tenuto conto delle considerazioni che precedono, al fine di rispondere alla seconda questione, lettere da b) a d), nella causa C‑293/12 e la prima questione nella causa C‑594/12, occorre esaminare la validità della direttiva alla luce degli articoli 7 e 8 della Carta.
32 Imponendo la conservazione dei dati elencati all’articolo 5, paragrafo 1, della direttiva 2006/24 e permettendo l’accesso delle autorità nazionali competenti a questi ultimi, la suddetta direttiva, come rilevato dall’avvocato generale in particolare ai paragrafi 39 e 40 delle sue conclusioni, deroga al regime di tutela del diritto al rispetto della vita privata, istituito dalle direttive 95/46 e 2002/58, con riferimento al trattamento dei dati personali nel settore delle comunicazioni elettroniche, in quanto le suddette direttive hanno previsto la riservatezza delle comunicazioni e dei dati relativi al traffico nonché l’obbligo di cancellare o di rendere anonimi i dati stessi quando non siano più necessari alla trasmissione di una comunicazione, a meno che non siano necessari per la fatturazione e solo fintanto che tale necessità perduri.
33 Per accertare l’esistenza di un’ingerenza nel diritto fondamentale al rispetto della vita privata, poco importa che le informazioni relative alla vita privata di cui trattasi abbiano o meno un carattere sensibile o che gli interessati abbiano o meno subito eventuali inconvenienti in seguito a tale ingerenza (v., in tal senso, sentenza Österreichischer Rundfunk e a., C‑465/00, C‑138/01 e C‑139/01, EU:C:2003:294, punto 75).
34 Di conseguenza, l’obbligo, imposto dagli articoli 3 e 6 della direttiva 2006/24 ai fornitori di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione elettronica, di conservare per un certo periodo dati relativi alla vita privata di una persona e alle sue comunicazioni, come quelli previsti dall’articolo 5 della suddetta direttiva, costituisce di per sé un’ingerenza nei diritti garantiti dall’articolo 7 della Carta.
35 Inoltre, l’accesso delle autorità nazionali competenti ai dati costituisce un’ingerenza supplementare in tale diritto fondamentale (v., per quanto riguarda l’articolo 8 della CEDU, sentenze della Corte EDU, Leander c. Svezia, del 26 marzo 1987, serie A n. 116, § 48; Rotaru c. Romania [GC], n. 28341/95, § 46, CEDU 2000-V, nonché Weber e Saravia c. Germania (dec.), n. 54934/00, § 79, CEDU 2006-XI). Pertanto, anche gli articoli 4 e 8 della direttiva 2006/24, i quali prevedono regole relative all’accesso delle autorità nazionali competenti ai dati, sono costitutivi di un’ingerenza nei diritti garantiti dall’articolo 7 della Carta.
36 Parimenti, la direttiva 2006/24 è costitutiva di un’ingerenza nel diritto fondamentale alla protezione dei dati personali garantito dall’articolo 8 della Carta, poiché prevede un trattamento dei dati personali.
37 È giocoforza constatare che l’ingerenza che la direttiva 2006/24 comporta nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta si rivela essere, come peraltro osserva l’avvocato generale, in particolare ai paragrafi 77 e 80 delle sue conclusioni, di vasta portata e va considerata particolarmente grave. Inoltre, il fatto che la conservazione dei dati e l’utilizzo ulteriore degli stessi siano effettuati senza che l’abbonato o l’utente registrato ne siano informati può ingenerare nelle persone interessate, come rilevato dall’avvocato generale ai paragrafi 52 e 72 delle sue conclusioni, la sensazione che la loro vita privata sia oggetto di costante sorveglianza.
38 Conformemente all’articolo 52, paragrafo 1, della Carta, eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti da quest’ultima devono essere previste dalla legge, rispettare il loro contenuto essenziale e, nel rispetto del principio di proporzionalità, possono essere apportate limitazioni a detti diritti e libertà solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.
39 Per quanto riguarda il contenuto essenziale del diritto fondamentale al rispetto della vita privata e degli altri diritti sanciti all’articolo 7 della Carta, si deve rilevare che, sebbene la conservazione dei dati imposta dalla direttiva 2006/24 costituisca un’ingerenza particolarmente grave in tali diritti, essa non è tale da pregiudicare il suddetto contenuto poiché, come deriva dall’articolo 1, paragrafo 2, della stessa direttiva, quest’ultima non permette di venire a conoscenza del contenuto delle comunicazioni elettroniche in quanto tale.
40 Tale conservazione dei dati non è neppure idonea a pregiudicare il contenuto essenziale del diritto fondamentale alla protezione dei dati personali, sancito all’articolo 8 della Carta, considerato che la direttiva 2006/24 prevede, all’articolo 7, una regola relativa alla protezione e alla sicurezza dei dati ai sensi della quale, fatte salve le disposizioni adottate in conformità delle direttive 95/46 e 2002/58, i fornitori di servizi di comunicazione elettronica accessibili al pubblico o di una rete pubblica di comunicazione sono tenuti a rispettare taluni principi di protezione e di sicurezza dei dati, principi in base ai quali gli Stati membri assicurano l’adozione di adeguate misure tecniche e organizzative contro la distruzione accidentale o illecita, la perdita o l’alterazione accidentale dei dati.
41 Quanto alla questione consistente nell’accertare se la suddetta ingerenza risponda a un obiettivo di interesse generale, occorre rilevare che, sebbene la direttiva 2006/24 sia destinata ad armonizzare le disposizioni degli Stati membri relative agli obblighi dei suddetti fornitori in materia di conservazione di taluni dati da essi generati o trattati, l’obiettivo sostanziale della direttiva consiste, come risulta dall’articolo 1, paragrafo 1, della stessa, nel garantire la disponibilità dei suddetti dati a fini di indagine, accertamento e perseguimento di reati gravi, quali definiti da ciascuno Stato membro nella propria legislazione nazionale. L’obiettivo sostanziale della direttiva è pertanto quello di contribuire alla lotta contro la criminalità grave e, di conseguenza, in ultima analisi, alla sicurezza pubblica.
42 Come emerge dalla giurisprudenza della Corte, la lotta contro il terrorismo internazionale finalizzata al mantenimento della pace e della sicurezza internazionali costituisce un obiettivo di interesse generale dell’Unione (v., in tal senso, sentenze Kadi e Al Barakaat International Foundation/Consiglio e Commissione, C‑402/05 P e C‑415/05 P, EU:C:2008:461, punto 363, nonché Al-Aqsa/Consiglio, C‑539/10 P e C‑550/10 P, EU:C:2012:711, punto 130). Lo stesso vale per la lotta contro la criminalità grave al fine di garantire la sicurezza pubblica (v., in tal senso, sentenza Tsakouridis, C‑145/09, EU:C:2010:708, punti 46 e 47). Inoltre, va rilevato, a tal proposito, che l’articolo 6 della Carta enuncia il diritto di ogni persona non solo alla libertà, ma altresì alla sicurezza.
43 Al riguardo, dal considerando 7 della direttiva 2006/24 emerge che, a motivo dell’importante aumento delle possibilità offerte dalle comunicazioni elettroniche, il Consiglio «Giustizia e affari interni» del 19 dicembre 2002 ha considerato che i dati relativi all’uso di queste ultime costituiscono uno strumento particolarmente importante e valido nella prevenzione dei reati e nella lotta contro la criminalità, in particolare della criminalità organizzata.
44 È giocoforza constatare quindi che la conservazione dei dati per permettere alle autorità nazionali competenti di disporre di un accesso eventuale agli stessi, come imposto dalla direttiva 2006/24, risponde effettivamente a un obiettivo di interesse generale.
45 Di conseguenza, è necessario verificare la proporzionalità dell’ingerenza constatata.
46 A questo proposito, si deve ricordare che il principio di proporzionalità esige, secondo una costante giurisprudenza della Corte, che gli atti delle istituzioni dell’Unione siano idonei a realizzare gli obiettivi legittimi perseguiti dalla normativa di cui trattasi e non superino i limiti di ciò che è idoneo e necessario al conseguimento degli obiettivi stessi (v., in tal senso, sentenze Afton Chemical, C‑343/09, EU:C:2010:419, punto 45; Volker und Markus Schecke e Eifert, EU:C:2010:662, punto 74; Nelson e a., C‑581/10 e C‑629/10, EU:C:2012:657, punto 71; Sky Österreich, C‑283/11, EU:C:2013:28, punto 50, nonché Schaible, C‑101/12, EU:C:2013:661, punto 29).
47 Per quanto riguarda il controllo giurisdizionale del rispetto delle suddette condizioni, allorché si tratta di ingerenze in diritti fondamentali, la portata del potere discrezionale del legislatore dell’Unione può risultare limitata in funzione di un certo numero di elementi, tra i quali figurano, in particolare, il settore interessato, la natura del diritto di cui trattasi garantito dalla Carta, la natura e la gravità dell’ingerenza nonché la finalità di quest’ultima (v., per analogia, per quanto riguarda l’articolo 8 della CEDU, sentenza Corte EDU, S e Marper c. Regno Unito [GC], nn. 30562/04 e 30566/04, § 102, CEDU 2008-V).
48 Nel caso di specie, tenuto conto, da un lato, del ruolo importante svolto dalla protezione dei dati personali sotto il profilo del diritto fondamentale al rispetto della vita privata e, dall’altro, della portata e della gravità dell’ingerenza in tale suddetto diritto che la direttiva 2006/24 comporta, il potere discrezionale del legislatore dell’Unione risulta ridotto e di conseguenza è necessario procedere ad un controllo stretto.
49 Per quel che riguarda la questione consistente nell’accertare se la conservazione dei dati sia idonea a realizzare l’obiettivo perseguito dalla direttiva 2006/24, si deve constatare che, tenuto conto della crescente importanza dei mezzi di comunicazione elettronica, i dati che debbono essere conservati in attuazione della detta direttiva permettono alle autorità nazionali competenti in materia di perseguimento di reati di disporre di possibilità supplementari di accertamento dei reati gravi e, al riguardo, costituiscono quindi uno strumento utile per le indagini penali. Pertanto, la conservazione dei suddetti dati può essere considerata come idonea a realizzare l’obiettivo perseguito dalla suddetta direttiva.
50 Questa valutazione non può essere rimessa in discussione dal fatto, invocato in particolare dai sigg. Tschohl e Seitlinger nonché dal governo portoghese nelle loro osservazioni scritte presentate alla Corte, che esistono diversi modi di comunicazione elettronica i quali non ricadono nell’ambito di applicazione della direttiva 2006/24 o che permettono una comunicazione anonima. Benché questo fatto possa, in effetti, relativizzare l’idoneità della misura di conservazione dei dati a raggiungere l’obiettivo perseguito, esso non è tuttavia tale da rendere detta misura inadeguata, come rilevato dall’avvocato generale al punto 137 delle sue conclusioni.
51 Quanto al carattere necessario della conservazione dei dati imposta dalla direttiva 2006/24, si deve constatare che, invero, la lotta contro la criminalità grave, in particolare contro la criminalità organizzata e il terrorismo, è di capitale importanza per garantire la sicurezza pubblica e la sua efficacia può dipendere in larga misura dall’uso delle moderne tecniche di indagine. Tuttavia, simile obiettivo di interesse generale, per quanto fondamentale, non può di per sé giustificare il fatto che una misura di conservazione, come quella istituita dalla direttiva 2006/24, sia considerata necessaria ai fini della suddetta lotta.
52 Per quel che riguarda il rispetto della vita privata, la protezione di tale diritto fondamentale, secondo la costante giurisprudenza della Corte, richiede in ogni caso che le deroghe e le restrizioni alla tutela dei dati personali debbano operare entro i limiti dello stretto necessario (sentenza IPI, C‑473/12, EU:C:2013:715, punto 39 e giurisprudenza ivi citata).
53 A questo proposito, occorre ricordare che la tutela dei dati personali, risultante dall’obbligo esplicito previsto all’articolo 8, paragrafo 1, della Carta, riveste un’importanza particolare per il diritto al rispetto della vita provata sancito dall’articolo 7 della stessa.
54 Pertanto, la normativa dell’Unione di cui trattasi deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione della misura de qua e impongano requisiti minimi in modo che le persone i cui dati sono stati conservati dispongano di garanzie sufficienti che permettano di proteggere efficacemente i loro dati personali contro il rischio di abusi nonché contro eventuali accessi e usi illeciti dei suddetti dati (v., per analogia, per quanto riguarda l’articolo 8 della CEDU, sentenze Corte EDU, Liberty e altri c. Regno Unito, n. 58243/00, §§ 62 e 63, del 1° luglio 2008; Rotaru c. Romania, cit., §§ da 57 a 59, nonché S e Marper c. Regno Unito, cit., § 99).
55 La necessità di disporre di siffatte garanzie è tanto più importante allorché, come prevede la direttiva 2006/24, i dati personali sono soggetti a trattamento automatico ed esiste un rischio considerevole di accesso illecito ai dati stessi (v., per analogia, con riguardo all’articolo 8 della CEDU, sentenze Corte EDU, S e Marper c. Regno Unito, cit., § 103, nonché M.K. c. Francia, n. 19522/09, § 35, del 18 aprile 2013).
56 Quanto alla questione consistente nell’accertare se l’ingerenza che la direttiva 2006/24 comporta sia limitata allo stretto necessario, si deve rilevare che tale direttiva impone, conformemente al suo articolo 3, in combinato disposto con l’articolo 5, paragrafo 1, della stessa, la conservazione di tutti i dati relativi al traffico riguardante la telefonia fissa, la telefonia mobile, l’accesso a Internet, la posta elettronica su Internet nonché la telefonia via Internet. Pertanto, essa concerne tutti i mezzi di comunicazione elettronica il cui uso è estremamente diffuso e di importanza crescente nella vita quotidiana di ciascuno. Inoltre, conformemente all’articolo 3, la direttiva riguarda tutti gli abbonati e gli utenti registrati. Essa implica pertanto un’ingerenza nei diritti fondamentali della quasi totalità della popolazione europea.
57 A questo proposito, si deve rilevare, in primo luogo, che la direttiva 2006/24 riguarda in maniera generale qualsiasi persona e qualsiasi mezzo di comunicazione elettronica nonché l’insieme dei dati relativi al traffico senza alcuna distinzione, limitazione o eccezione a seconda dell’obiettivo di lotta contro i reati gravi.
58 Infatti, da un lato, la direttiva 2006/24 riguarda in maniera globale l’insieme delle persone che fanno uso dei mezzi di comunicazione elettronica, senza tuttavia che le persone i cui dati vengono conservati debbano trovarsi, anche indirettamente, in una situazione che possa dar luogo a indagini penali. Essa pertanto si applica anche a persone per le quali non esiste alcun indizio tale da far credere che il loro comportamento possa avere un nesso, ancorché indiretto o lontano, con reati gravi. Inoltre, essa non prevede alcuna deroga, e pertanto si applica anche a persone le cui comunicazioni sono soggette, in base alle norme del diritto nazionale, al segreto professionale.
59 Dall’altro lato, pur mirando a contribuire alla lotta contro la criminalità grave, la suddetta direttiva non impone alcuna relazione tra i dati di cui prevede la conservazione e una minaccia per la sicurezza pubblica e, in particolare, non limita la conservazione dei dati a quelli relativi a un determinato periodo di tempo e/o a un’area geografica determinata e/o a una cerchia di persone determinate che possano essere coinvolte, in un modo o nell’altro, in un reato grave, né alle persone la conservazione dei cui dati, per altri motivi, potrebbe contribuire alla prevenzione, all’accertamento o al perseguimento di reati gravi.
60 In secondo luogo, alla suddetta mancanza generale di limiti si aggiunge il fatto che la direttiva 2006/24 non prevede alcun criterio oggettivo che permetta di delimitare l’accesso delle autorità nazionali competenti ai dati e il loro uso ulteriore a fini di prevenzione, di accertamento o di indagini penali riguardanti reati che possano, con riguardo alla portata e alla gravità dell’ingerenza nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta, essere considerati sufficientemente gravi da giustificare siffatta ingerenza. Al contrario, la direttiva 2006/24 si limita a rinviare, all’articolo 1, paragrafo 1, in maniera generale ai reati gravi come definiti da ciascuno Stato membro nel proprio diritto interno.
61 Inoltre, per quanto riguarda l’accesso delle autorità nazionali competenti ai dati e al loro uso ulteriore, la direttiva 2006/24 non contiene le condizioni sostanziali e procedurali ad esso relative. L’articolo 4 della direttiva, che regola l’accesso di tali autorità ai dati conservati, non stabilisce espressamente che tale accesso e l’uso ulteriore dei dati di cui trattasi debbano essere strettamente limitati a fini di prevenzione e di accertamento di reati gravi delimitati con precisione o di indagini penali ad essi relative, ma si limita a prevedere che ciascuno Stato membro definisca le procedure da seguire e le condizioni da rispettare per avere accesso ai dati conservati in conformità dei criteri di necessità e di proporzionalità.
62 In particolare, la direttiva 2006/24 non prevede alcun criterio oggettivo che permetta di limitare il numero di persone che dispongono dell’autorizzazione di accesso e di uso ulteriore dei dati conservati a quanto strettamente necessario alla luce dell’obiettivo perseguito. Soprattutto, l’accesso ai dati conservati da parte delle autorità nazionali competenti non è subordinato ad un previo controllo effettuato da un giudice o da un’entità amministrativa indipendente la cui decisione sia diretta a limitare l’accesso ai dati e il loro uso a quanto strettamente necessario per raggiungere l’obiettivo perseguito e intervenga a seguito di una richiesta motivata delle suddette autorità presentata nell’ambito di procedure di prevenzione, di accertamento o di indagini penali. Non è neppure stato previsto un obbligo preciso degli Stati membri volto a stabilire simili limitazioni.
63 In terzo luogo, quanto alla durata di conservazione dei dati, la direttiva 2006/24 impone, all’articolo 6, la conservazione degli stessi per un periodo di almeno sei mesi senza che venga effettuata alcuna distinzione tra le categorie di dati previste all’articolo 5 della direttiva a seconda della loro eventuale utilità ai fini dell’obiettivo perseguito o a seconda delle persone interessate.
64 Tale durata, inoltre, si colloca tra un minimo di sei mesi e un massimo di ventiquattro mesi, senza che venga precisato che la determinazione della durata di conservazione debba basarsi su criteri obiettivi al fine di garantire che sia limitata allo stretto necessario.
65 Da quanto precede deriva che la direttiva 2006/24 non prevede norme chiare e precise che regolino la portata dell’ingerenza nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta. Pertanto, è giocoforza constatare che tale direttiva comporta un’ingerenza nei suddetti diritti fondamentali di vasta portata e di particolare gravità nell’ordinamento giuridico dell’Unione, senza che siffatta ingerenza sia regolamentata con precisione da disposizioni che permettano di garantire che essa sia effettivamente limitata a quanto strettamente necessario.
66 Per di più, per quanto riguarda le norme riguardanti la sicurezza e la protezione dei dati conservati dai fornitori di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione, si deve constatare che la direttiva 2006/24 non prevede garanzie sufficienti, come richieste dall’articolo 8 della Carta, che permettano di assicurare una protezione efficace dei dati conservati contro i rischi di abuso nonché contro eventuali accessi e usi illeciti dei suddetti dati. Infatti, in primo luogo, l’articolo 7 della direttiva 2006/24 non prevede norme specifiche e adatte alla vasta quantità dei dati di cui la direttiva impone la conservazione, al carattere sensibile dei suddetti dati nonché al rischio di accesso illecito a questi ultimi, norme che servirebbero, in particolare, a regolare in maniera chiara e precisa la protezione e la sicurezza dei dati di cui trattasi, al fine di garantirne la piena integrità e riservatezza. Inoltre, non è stato neppure previsto un obbligo preciso degli Stati membri di stabilire siffatte norme.
67 L’articolo 7 della direttiva 2006/24, in combinato disposto con gli articoli 4, paragrafo 1, della direttiva 2002/58 e 17, paragrafo 1, secondo comma, della direttiva 95/46, non garantisce che sia applicato dai detti fornitori un livello particolarmente elevato di protezione e di sicurezza attraverso misure tecniche e organizzative, ma autorizza in particolare i suddetti fornitori a tener conto di considerazioni economiche nel determinare il livello di sicurezza da essi applicato, per quanto riguarda i costi di attuazione delle misure di sicurezza. In particolare, la direttiva 2006/24 non garantisce la distruzione irreversibile dei dati al termine della durata di conservazione degli stessi.
68 In secondo luogo, si deve aggiungere che tale direttiva non impone che i dati di cui trattasi siano conservati sul territorio dell’Unione, e di conseguenza non si può ritenere pienamente garantito il controllo da parte di un’autorità indipendente, esplicitamente richiesto dall’articolo 8, paragrafo 3, della Carta, del rispetto dei requisiti di protezione e di sicurezza, quali richiamati ai due punti precedenti. Orbene, siffatto controllo, effettuato in base al diritto dell’Unione, costituisce un elemento essenziale del rispetto della tutela delle persone riguardo al trattamento dei dati personali (v., in tal senso, sentenza Commissione/Austria, C‑614/10, EU:C:2012:631, punto 37).
69 Alla luce dell’insieme delle osservazioni che precedono, si deve considerare che, adottando la direttiva 2006/24, il legislatore dell’Unione ha ecceduto i limiti imposti dal rispetto del principio di proporzionalità alla luce degli articoli 7, 8 e 52, paragrafo 1, della Carta.
70 Di conseguenza, non vi è motivo di esaminare la validità della direttiva 2006/24 alla luce dell’articolo 11 della Carta.
71 Occorre pertanto rispondere alla seconda questione, lettere da b) a d), nella causa C‑293/12 e alla prima questione nella causa C‑594/12 dichiarando che la direttiva 2006/24 è invalida.
72 Da quanto dichiarato al punto precedente deriva che non vi è motivo di rispondere alla prima questione, alla seconda questione, lettere a) ed e), e alla terza questione nella causa C‑293/21, né alla seconda questione nella causa C‑594/12.
73 Nei confronti delle parti nei procedimenti principali le presenti cause costituiscono un incidente sollevato dinanzi ai giudici nazionali, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Precedente Ricettazione e violenza sessuale: incostituzionale il divieto di prevalenza delle attenuanti specifiche sulla recidiva reiterata Successivo Sequestro di persona anche se la privazione dello stato di libertà è breve