La questione giuridica
Con una sentenza emessa il 30 gennaio 2024 nel caso C-118/2022) la Grande Sezione della Corte di giustizia dell’Unione europea (CGUE) ha risposto ad una domanda di pronuncia pregiudiziale che le era stata posta dalla Corte suprema amministrativa della Bulgaria.
Tale domanda verteva sull’interpretazione dell’articolo 5 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati.
La questione era stata originata dalla domanda di un cittadino che si era rivolto al dirigente generale della polizia nazionale bulgara perché cancellasse il suo nome dal registro nazionale in cui le autorità di polizia bulgare iscrivono le persone indagate per un reato doloso perseguibile d’ufficio, richiesta basata sulla riabilitazione di cui tale persona aveva beneficiato dopo aver subito una condanna penale definitiva.
Il dirigente generale aveva rigettato la richiesta, ritenendo che una condanna penale definitiva ostasse alla cancellazione ai sensi delle diposizioni normative nazionali pertinenti al caso.
Il tribunale amministrativo di Sofia aveva respinto il ricorso dell’interessato il quale aveva di conseguenza adito la Corte suprema amministrativa bulgara.
Il principale motivo di impugnazione verteva sulla violazione del principio, desumibile dagli articoli 5, 13 e 14 della direttiva 2016/680, secondo cui il trattamento di dati personali risultante dalla loro conservazione non può avere durata illimitata.
Secondo il ricorrente, in sostanza, tale situazione si sarebbe di fatto verificata se, in assenza di un motivo di cancellazione dell’iscrizione nel registro di polizia corrispondente all’ipotesi di una riabilitazione, l’interessato non avesse mai potuto ottenere la cancellazione dei dati personali raccolti in relazione al reato per il quale è stato definitivamente condannato, dopo aver scontato la sua pena e aver beneficiato di una siffatta riabilitazione.
Le motivazioni della decisione della Grande Sezione della CGUE
Alla fine del post è allegato il comunicato stampa sulla decisione.
In questo paragrafo sono riportate, integralmente e letteralmente e con evidenziazione in corsivo, le sole parti della motivazione che definiscono la cornice interpretativa da cui la Grande Sezione ha fatto discendere la risposta alla domanda pregiudiziale.
In primo luogo, occorre ricordare che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta [il riferimento va inteso alla Carta dei diritti fondamentali dell’Unione europea, NDR], non sono prerogative assolute, ma vanno considerati alla luce della loro funzione sociale e bilanciati con altri diritti fondamentali. Ogni limitazione all’esercizio di tali diritti fondamentali, conformemente all’articolo 52, paragrafo 1, della Carta, deve essere prevista dalla legge e rispettare il contenuto essenziale di detti diritti fondamentali nonché il principio di proporzionalità. In virtù di tale principio, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui. Esse devono operare nei limiti dello stretto necessario e la normativa che comporta le limitazioni controverse deve prevedere norme chiare e precise che ne disciplinano la portata e l’applicazione [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C-439/19, EU:C:2021:504, punto 105 e giurisprudenza citata].
Come sottolineato, in sostanza, nel considerando 26 della direttiva 2016/680, tali requisiti non sono soddisfatti quando l’obiettivo di interesse generale perseguito sia ragionevolmente conseguibile in modo altrettanto efficace con altri mezzi, meno pregiudizievoli per i diritti fondamentali degli interessati [v., per analogia, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C-439/19, EU:C:2021:504, punto 110 e giurisprudenza citata].
In secondo luogo, anzitutto, ai sensi dell’articolo 4, paragrafo 1, lettera c), di detta direttiva, gli Stati membri devono prevedere che i dati personali siano adeguati, pertinenti e non eccessivi rispetto alle finalità per le quali sono trattati. Tale disposizione richiede quindi il rispetto, da parte degli Stati membri, del principio di «minimizzazione dei dati», che dà espressione al principio di proporzionalità [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C-439/19, EU:C:2021:504, punto 98 e giurisprudenza citata].
Ne consegue che, in particolare, la raccolta di dati personali nell’ambito di un procedimento penale e la loro conservazione da parte delle autorità di polizia per le finalità di cui all’articolo 1, paragrafo 1, di tale direttiva devono, come qualsiasi trattamento rientrante nel campo di applicazione di quest’ultima, rispettare tali requisiti. Una siffatta conservazione costituisce inoltre un’ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, a prescindere dalla circostanza che le informazioni conservate costituiscano o meno dati sensibili, gli interessati abbiano o meno subito eventuali pregiudizi a causa di tale ingerenza o che i dati conservati siano o meno utilizzati in seguito (v., per analogia, sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a., C-140/20, EU:C:2022:258, punto 44 e giurisprudenza citata).
Inoltre, per quanto riguarda, più precisamente, la proporzionalità del periodo di conservazione di detti dati, gli Stati membri devono, in forza dell’articolo 4, paragrafo 1, lettera e), della direttiva 2016/680, prevedere che tali dati siano conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati.
In tale contesto, l’articolo 5 di tale direttiva impone agli Stati membri di prevedere la fissazione di adeguati termini per la cancellazione dei dati personali o per l’esame periodico della necessità di conservarli, nonché misure procedurali che garantiscano il rispetto di tali termini.
Come enunciato al considerando 26 della direttiva 2016/680, tale disposizione mira a garantire che, conformemente ai requisiti di cui all’articolo 4, paragrafo 1, lettera e), di tale direttiva, i dati personali non siano conservati più a lungo di quanto necessario. Certamente, essa lascia agli Stati membri il compito di fissare termini adeguati per la durata del periodo di conservazione e di decidere se tali termini riguardino la cancellazione di detti dati o l’esame periodico della necessità di conservarli, purché il rispetto di tali termini sia garantito da norme procedurali adeguate. Tuttavia, il carattere «adeguato» di tali termini richiede in ogni caso che, conformemente all’articolo 4, paragrafo 1, lettere c) ed e), di detta direttiva, letto alla luce dell’articolo 52, paragrafo 1, della Carta, detti termini consentano, se del caso, la cancellazione dei dati di cui trattasi nell’ipotesi in cui la loro conservazione non sia più necessaria rispetto alle finalità che hanno giustificato il trattamento.
È segnatamente al fine di consentire agli interessati di verificare tale carattere «adeguato» e, se del caso, di chiedere una siffatta cancellazione che l’articolo 13, paragrafo 2, lettera b), e l’articolo 14, lettera d), della direttiva 2016/680 prevedono che, in linea di principio, questi ultimi possano essere informati, ove possibile, del periodo di conservazione dei dati personali che li riguardano o, qualora ciò non sia possibile, dei criteri utilizzati per determinare tale periodo.
Inoltre, l’articolo 10 della direttiva 2016/680 costituisce una disposizione specifica che disciplina il trattamento di categorie particolari di dati personali, in particolare i dati biometrici e genetici. Tale disposizione mira a garantire una maggiore protezione dell’interessato, in quanto i dati di cui trattasi, a causa della loro particolare sensibilità e del contesto nel quale sono trattati, possono comportare, come risulta dal considerando 37 di detta direttiva, rischi significativi per le libertà e i diritti fondamentali, quali il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta [sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 116 e giurisprudenza citata].
Più in particolare, tale articolo 10 enuncia il requisito secondo cui il trattamento dei dati sensibili è autorizzato «solo se strettamente necessario», che definisce una condizione rafforzata di liceità del trattamento di tali dati e implica, segnatamente, un controllo particolarmente rigoroso del rispetto del principio della «minimizzazione dei dati», quale derivante dall’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, del quale tale requisito costituisce un’applicazione specifica a detti dati sensibili [v., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punti 117, 122 e 125].
Infine, l’articolo 16, paragrafo 2, della direttiva 2016/680 stabilisce un diritto alla cancellazione dei dati personali qualora il trattamento violi le disposizioni adottate a norma degli articoli 4, 8 o 10 di tale direttiva o qualora tali dati debbano essere cancellati per conformarsi a un obbligo legale al quale è soggetto il responsabile del trattamento.
Da tale articolo 16, paragrafo 2, si evince che detto diritto alla cancellazione può essere esercitato, in particolare, quando la conservazione dei dati personali in questione non è o non è più necessaria rispetto alle finalità del loro trattamento, in contrasto con le disposizioni della normativa nazionale di attuazione dell’articolo 4, paragrafo 1, lettere c) ed e), di detta direttiva ed eventualmente dell’articolo 10 della stessa, o quando la cancellazione è necessaria per rispettare il termine stabilito a tal fine dalla normativa nazionale ai sensi dell’articolo 5 della medesima direttiva.
Tuttavia, in applicazione dell’articolo 16, paragrafo 3, della direttiva 2016/680, il diritto nazionale deve prevedere che il titolare del trattamento limiti il trattamento di tali dati invece di procedere alla loro cancellazione qualora, conformemente alla lettera a) di tale disposizione, l’interessato contesti l’esattezza dei dati personali e la loro esattezza o inesattezza non possa essere accertata, o qualora, conformemente alla sua lettera b), i dati personali debbano essere conservati a fini probatori.
Da quanto precede risulta che le disposizioni della direttiva 2016/680 esaminate ai punti da 41 a 51 della presente sentenza definiscono un quadro generale che consente di garantire, tra l’altro, che la conservazione dei dati personali e, più in particolare, la durata della stessa, sia limitata a quanto necessario alla luce delle finalità per le quali tali dati sono conservati, lasciando agli Stati membri il compito di determinare, nel rispetto di tale quadro generale, le situazioni specifiche in cui la tutela dei diritti fondamentali dell’interessato richiede la cancellazione di tali dati e il momento in cui tale cancellazione deve avvenire. Per contro, come rilevato, in sostanza, dall’avvocato generale al paragrafo 28 delle sue conclusioni, tali disposizioni non esigono che gli Stati membri definiscano limiti temporali assoluti per la conservazione dei dati personali, al di là dei quali questi ultimi dovrebbero essere automaticamente cancellati.
La risposta alla domanda pregiudiziale
L’articolo 4, paragrafo 1, lettere c) ed e), della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, in combinato disposto con gli articoli 5 e 10, con l’articolo 13, paragrafo 2, lettera b), e con l’articolo 16, paragrafi 2 e 3, di tale direttiva, e alla luce degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, deve essere interpretato nel senso che: osta a una normativa nazionale che prevede la conservazione da parte delle autorità di polizia a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, di dati personali, in particolare di dati biometrici e genetici, riguardanti persone che hanno subito una condanna penale definitiva per un reato doloso perseguibile d’ufficio, fino al decesso della persona interessata, anche in caso di riabilitazione di quest’ultima, senza porre a carico del titolare del trattamento l’obbligo di esaminare periodicamente se tale conservazione sia ancora necessaria, né riconoscere a detta persona il diritto alla cancellazione di tali dati, dal momento che la loro conservazione non è più necessaria rispetto alle finalità per le quali sono stati trattati, o, eventualmente, il diritto alla limitazione del loro trattamento.
TERZULTIMA FERMATA 