La Corte di Giustizia dell’Unione Europea, con la sentenza del 19 marzo scorso (Comdribus), si è pronunciata a seguito di domanda pregiudiziale proposta, ai sensi dell’art. 267 TFUE, dalla Corte d’Appello di Parigi (Francia) circa l’interpretazione di alcune disposizione della direttiva (UE) 2016/680 (relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti, ai fini della prevenzione, indagine, accertamento e perseguimento di reati o esecuzioni di sanzioni penali) indicando un importante punto di svolta nel bilanciamento tra esigenze investigative e tutela della privacy nel territorio dell’Unione europea.

La domanda pregiudiziale è stata presentata nell’ambito di un procedimento penale a carico di un soggetto che nel maggio 2020 era stato sottoposto a fermo di polizia a Parigi per aver organizzato una manifestazione non autorizzata. Durante il fermo, pur avendo fornito le proprie generalità, egli si era rifiutato di sottoporsi alle operazioni di rilievo segnaletico di tipo dattiloscopico e fotografico e di comunicare il codice di sblocco del proprio telefono. Secondo il diritto francese tale rifiuto configura un reato autonomo punibile penalmente per cui il soggetto era stato condannato ad una pena pecuniaria poi sottoposta al vaglio della Corte d’Appello di Parigi.

La Corte francese, nell’ambito del procedimento di cui era stata investita, decide di adire la Corte di Giustizia UE sollevando le seguenti questioni pregiudiziali: se il diritto dell’Unione consente alle autorità nazionali di effettuare sistematicamente rilievi segnaletici su qualsiasi persona sospettata di un reato, senza dover giustificare tale misura caso per caso; se una persona possa essere perseguita penalmente per essersi rifiutata di sottoporsi a tali rilievi anche nel caso in cui non venga perseguita per il reato di cui era sospettata.

Il contesto normativo nell’ambito del quale la Corte di Giustizia E,uropea è chiamata a pronunciarsi attiene all’interpretazione della direttiva 2016/680, in particolare agli artt. 4, 8 e 10 in combinato disposto con la normativa penale francese. L’art. 4, intitolato “Principi applicabili al trattamento dei dati personali”, sancisce il c.d. “principio di minimizzazione” stabilendo che i dati personali devono essere trattati in modo lecito e corretto, raccolti per finalita’ determinate, devono essere adeguati, pertinenti e non eccedenti rispetto alle finalita’ per cui sono trattati.

Inoltre, il trattamento di tali dati è lecito, ai sensi dell’art. 8 della direttiva, solo se necessario per un compito specifico di prevenzione o repressione dei reati. La minimizzazione rappresenta l’espressione pratica del principio di proporzionalità nell’ambito della direttiva 2016/680 (nota come GDPR della giustizia penale) che disciplina il trattamento dei dati per finalita’ di prevenzione, indagine, accertamento e perseguimento dei reati. Tale principio garantisce che vengano raccolte e conservate solo informazioni “strettamente necessarie” collegate al procedimento in corso.

La direttiva 2016/680 impone una distinzione netta tra le diverse categorie di interessati (es. condannati, vittime, testimoni) al fine di evitare trattamenti generalizzati ed indiscriminati; all’art.10, in particolare, specifica che il trattamento di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale ed il trattamento di dati genetici, di dati biometrici intesi ad identificare in modo univoco una persona fisica o di dati relativi alla salute, alla vita o all’orientamento sessuale, è autorizzato solo se “strettamente necessario”, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato. Ne deriva che, la raccolta non può essere automatica né generalizzata ma deve essere giustificata da circostanze concrete, valutando la possibilità di ricorrere eventualmente a misure alternative meno invasive.

La Corte d’Appello francese pur considerando che la Corte europea si fosse già pronunciata sul tema, con la sentenza del 26 gennaio 2023 (C-205/21), rileva che, tuttavia, permangono alcuni interrogativi per quanto attiene l’interpretazione delle norme della direttiva 2016/680 su indicate. In particolare, si pone la necessità di interpretare tali norme in combinato disposto con l’art. 55-1 del codice di procedura penale francese che prevede la raccolta sistematica dei dati biometrici di una persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato nell’ambito di un’indagine, senza che questo comporti una messa in stato di accusa formale.

Sarebbe necessario stabilire se quest’ultima condizione sia sufficiente a soddisfare i requisiti derivanti dalla direttiva europea.

L’art. 55-1 c.p.p. solleverebbe, pertanto, una nuova questione alla luce del diritto dell’Unione. Il terzo comma della norma, infatti, prevede che il rifiuto di sottoporsi ad un rilievo segnaletico costituisce un reato specifico che può dare luogo all’esercizio di un’azione penale e ad una possibile condanna anche se il reato principale su cui si fondava la prevista raccolta dei dati non ha condotto a tale azione o a tale condanna del suo presunto autore. Si porrebbe, quindi, la questione di stabilire se la condizione del carattere “strettamente necessario” ai sensi dell’art. 10 della direttiva, richiesta per poter procedere alla raccolta di dati biometrici, sia soddisfatta e se l’esercizio dell’azione penale o un’eventuale condanna per tale reato specifico possano essere giustificati.

Secondo il giudice del rinvio, l’esatta interpretazione di tali disposizioni è necessaria per l’esito del procedimento principale, dal momento che il soggetto sottoposto a fermo è stato condannato solo per il reato di rifiuto di sottoporsi ad un rilievo segnaletico mentre è stato assolto per il reato principale che ha giustificato tale misura, senza che fosse fornita dall’autorità’ procedente, in nessuna fase del procedimento, una qualsiasi motivazione adeguata al carattere strettamente necessario della misura adottata.

Alla luce di tali considerazioni, la Corte d’Appello decide di sospendere il procedimento e di sottoporre alla Corte di Giustizia dell’Unione Europea le questioni pregiudiziali di cui sopra. La Corte UE, nella sentenza in commento, chiarisce quali siano i requisiti imposti alle autorità nazionali quando effettuano la raccolta di dati biometrici (impronte digitali, fotografie) ai fini di un’indagine penale. Preliminarmente, essa ricorda  che i dati biometrici rientrano tra i dati personali sensibili ai sensi del diritto dell’Unione, per cui per essi si impone una protezione rafforzata, nel senso che il loro trattamento è autorizzato solo se “strettamente necessario” e se sussistano garanzie adeguate per i diritti e le libertà dell’interessato. La mera sussistenza di una o più ragioni plausibili di sospettare la commissione di un reato non è sufficiente a giustificare la raccolta di tali dati. Ogni decisione di effettuare un rilievo di tale natura deve essere corredata da una motivazione chiara che consenta all’interessato di comprendere le ragioni della misura a cui è sottoposto e di poter esercitare il proprio diritto di ricorso.

La direttiva distingue tra “finalita’” e “obiettivi” del trattamento qualificando gli “obiettivi”, ai sensi dell’art. 8, paragrafo 2, come le finalita’ più generali che un trattamento deve perseguire per rientrare nell’ambito di applicazione della direttiva mentre la nozione di “finalita’” deve essere intesa come riferimento a fini specifici e concreti perseguiti attraverso un trattamento di dati personali, alla luce del compito di cui è investito il titolare del trattamento stesso, inteso come un compito specifico di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali.

La condizione richiesta del carattere “strettamente necessario”, ai sensi dell’art. 10 della direttiva, implica un controllo particolarmente rigoroso del rispetto del principio di minimizzazione del trattamento dei dati di cui trattasi, enunciato all’art. 4 della direttiva, e richiede, pertanto, che il titolare del trattamento dei dati sensibili si assicuri che la finalita’ perseguita dal trattamento stesso non possa essere conseguita in modo altrettanto efficace facendo ricorso a categorie di dati diversi da quelle elencate all’art. 10.

Tale condizione esige che si tenga conto della particolare rilevanza della finalita’ che un tale trattamento mira a conseguire. Una simile rilevanza può essere valutata in funzione del fatto che il trattamento persegue un obiettivo concreto finalizzato alla prevenzione di reati o minacce alla pubblica sicurezza che presentino un certo livello di gravità, alla repressione di simili reati o alla protezione contro simili minacce, nonché alle circostanze specifiche in cui tale trattamento è effettuato.

Dalla stessa giurisprudenza della Corte europea risulta che il carattere strettamente necessario della raccolta di dati biometrici e genetici deve tenere conto di tutta una serie di elementi, quali, la natura e gravità del presunto reato, l’eventuale collegamento con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale dei soggetti di cui trattasi. Di conseguenza, se è vero che uno Stato membro può conformarsi alla direttiva 2016/680 delegando alle autorità competenti il compito di provvedere, in ciascun caso di specie, al rispetto della condizione di “stretta necessità” del trattamento di dati personali sensibili, o fissando, a livello legislativo, criteri di valutazione che le autorità devono applicare in modo non discrezionale, questo non esclude che tali criteri devono essere idonei a soddisfare tutti i requisiti derivanti dalla condizione di “stretta necessità” .

In ragione di tali considerazioni, la Corte di Giustizia rileva che la semplice sussistenza di una o più ragioni plausibili di sospettare che una persona abbia commesso o abbia tentato di commettere un reato, non è sufficiente a giustificare la raccolta di dati sensibili quali quelli biometrici. Ogni decisione circa l’effettuazione di un rilievo segnaletico deve essere corredata da una motivazione chiara che consenta all’interessato di comprendere le ragioni della misura e di esercitare il proprio diritto di opposi ad essa. Anche supponendo che, come affermato dal giudice del rinvio, l’art. 55-1 cod. proc. pen. francese debba essere interpretato nel senso che conferisce carattere sistematico alle operazioni di rilievo segnaletico su qualsiasi persona nei cui confronti sussistano ragioni plausibili di sospettare che abbia commesso un reato, senza che l’autorità competente sia tenuta a valutare, in ciascun caso specifico, il carattere “strettamente necessario” di tali rilievi, tale normativa nazionale sarebbe contraria allo stesso art. 10 della direttiva, nella misura in cui sarebbe tale da condurre, in modo generalizzato, ed indifferenziato, alla raccolta dei dati biometrici di tali soggetti.

La Corte di Giustizia UE precisa che, una normativa nazionale che renda sistematici tali rilievi senza che l’autorità di polizia competente possa valutare caso per caso tale necessità, sarebbe contraria al diritto dell’Unione, in quanto condurrebbe ad una raccolta di dati biometrici svolta in modo indifferenziato e generalizzato. Il diritto nazionale deve, pertanto, precisare le finalita’ concrete della raccolta motivando in modo chiaro la decisione di procedere; l’obbligo di motivazione non costituisce certo un onere eccessivo per l’autorità’ procedente.

Ogni soggetto sottoposto al trattamento dei propri dati personali sensibili ha diritto a garanzie adeguate a tutelare i propri diritti e le proprie libertà oltre al diritto di proporre ricorso giurisdizionale effettivo quando subisce un pregiudizio.

L’art. 54 della direttiva, che da’ espressione all’art. 47 della Carta dei diritti fondamentali, impone esplicitamente agli Stati membri di disporre che, qualora una persona ritenga che i diritti di cui gode siano stati violati a seguito del trattamento dei propri dati personali, ha diritto di proporre ricorso giurisdizionale, il quale presuppone che l’interessato sia a conoscenza della motivazione su cui si fonda la decisione adottata nei suoi confronti al fine di consentirgli di difendersi o decidere con piena cognizione di causa se sia utile adire il giudice competente e consentire di esercitare il controllo di legittimità sulla decisione adottata.

La Corte di Giustizia ha ulteriormente precisato che, la circostanza che la raccolta dei dati biometrici di una persona accusata di un reato avvenga prima che questa sia condannata in via definitiva, non è sufficiente ad escludere che sussista la condizione di “stretta necessità” ai sensi dell’art. 10 della direttiva, dal momento che, tenuto conto delle finalita’ specifiche e concrete perseguite, tale raccolta può rivelarsi necessaria, in particolare, per consentire di determinare se, in ragione della sua eventuale appartenenza ad un’organizzazione criminale, detta persona possa aver partecipato ad altri reati per i quali i dati di tale tipo potrebbero essere rilevanti o se esiste un rischio di fuga, oltre a consentire la sua identificazione.

Alla luce di quanto esposto la Corte conclude dichiarando che l’art. 10 della direttiva 2016/680, in combinato disposto con gli artt. 4 e 8 ed alla luce dell’art. 49 della Carta dei diritti fondamentali, deve essere interpretato nel senso che esso non osta ad una normativa nazionale che consente di perseguire penalmente e di condannare una persona per il reato specifico di rifiuto a sottoporsi alla raccolta dei propri dati biometrici, anche qualora non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di dati, nei limiti in cui tale raccolta soddisfi la condizione del carattere “ strettamente necessario”  ex art. 10 della direttiva e la sanzione penale inflitta a tale titolo rispetti il principio di proporzionalità. Di conseguenza, se la richiesta di dati biometrici manca di motivazione e non rispetta il principio di proporzionalità, la sanzione penale per il rifiuto del cittadino diventa illegittima.