Data retention: la Corte di Giustizia dichiara invalida la direttiva europea

La Corte di Giustizia dell’Unione Europea, con sentenza dell’8 aprile 2014, ha dichiarato invalida la Direttiva 2006/24/EC sulla conservazione dei dati, a seguito di rinvio pregiudiziale presentato sia dalla High Court irlandese che dalla Verfassungsgerichtshof (Corte costituzionale) austriaca in merito proprio alla validità di tale direttiva, con particolare riferimento ai diritti fondamentali del rispetto della vita privata e della protezione dei dati personali, sanciti entrambi dalla Carta dei diritti fondamentali dell’Unione Europea.

La High Court, nello specifico, deve risolvere una controversia tra la società Digital Rights Ireland, da una parte, e il Ministero per le comunicazioni, la marina e le risorse naturali, il Ministero per la giustizia, la parità e le riforme giuridiche, il Commissario del Garda Síochána (il corpo di polizia irlandese) e l’Avvocatura Generale, dall’altra parte, avente ad oggetto la legittimità delle misure nazionali relative alla conservazione dei dati relativi alle comunicazioni elettroniche.

La Suprema Corte austriaca, invece, deve affrontare numerosi ricorsi proposti per ottenere l’annullamento della norma nazionale che recepisce la direttiva in questione nel diritto austriaco.

L’obiettivo principale della direttiva disciplinante la conservazione dei dati è rappresentato dall’armonizzazione delle normative interne degli Stati membri in relazione alla conservazione di quei dati generati o trattati da provider di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione.

Essa punterebbe a garantire che i dati siano disponibili ai fini della prevenzione,individuazione e perseguimento di reati gravi, quali, in particolare, la criminalità organizzata e il terrorismo.

A tal fine, la direttiva prevede che i fornitori di servizi sopra citati debbano conservare i dati di traffico e localizzazione e comunque i dati necessari per identificare l’utente, mentre non consente la conservazione dei contenuti della comunicazione o dell’informazione consultata.

La Corte ha osservato anzitutto che i dati da conservare consentono, in particolare, di conoscere l’identità della persona con la quale un utente registrato ha comunicato econ quali mezzi; identificare il momento e il luogo della comunicazione; conoscere la frequenza delle comunicazioni dell’utente con determinate persone in uno specifico periodo.Tali dati, nel complesso, possono fornire informazioni molto precise sulla vita privata delle persone i cui dati sono conservati, come ad esempio le abitudini della vita quotidiana, i luoghi di residenza, i movimentimovimenti, le attività svolte, le relazioni sociali e gli ambienti frequentati.

In merito a ciò, la Corte ha ritenuto che, imponendo la conservazione di tali dati e permettendo alle autorità nazionali competenti di accedere a tali dati, la direttiva interferisce in modo eccessivo con i diritti fondamentali del rispetto della vita privata e della protezione dei dati personali. Inoltre, il fatto che i dati siano conservati e utilizzati senza che l’utente ne sia previamente informato, può ingenerare negli interessati un sentimento di soggezione a una costante sorveglianza.

La conservazione dei dati ai fini della loro eventuale trasmissione alle autorità nazionali competenti soddisfa gli obiettivi di interesse generale della pubblica sicurezza e del contrasto alle gravi forme di criminalità.

Ad ogni modo, la Corte è del parere che, adottando la direttiva sulla conservazione dei dati, il legislatore europeo abbia superato i limiti imposti dal rispetto del principio di proporzionalità: benché la conservazione dei dati, così come delineata dalla direttiva in questione, può essere considerata appropriata per la realizzazione dell’obiettivo perseguito dalla stessa, l’ampia e particolarmente grave interferenza della direttiva con il diritto fondamentale alla privacy non si è dimostrata sufficientemente circoscritta per garantire che tale intervento fosse effettivamente limitato a quanto strettamente necessario.

Tale direttiva, difatti:

• riguarda, in generale (i) tutti gli individui (ii) tutti i mezzi di comunicazione elettronica e (iii) tutti i dati di traffico, senza alcuna differenziazione, limitazione o eccezione;
• non stabilisce alcun criterio oggettivo in base al quale sia garantito che le autorità nazionali competenti abbiano accesso ai dati e li possano usare solo ai fini della prevenzione, accertamento o procedimenti penali riguardanti reati. Al contrario, si riferisce semplicemente in un modo generale a reati gravi, così come individuati da ciascuno Stato membro nella propria legislazione domestica;
• impone un periodo di conservazione dei dati di almeno sei mesi, senza fare alcuna distinzione tra le categorie di dati sulla base della loro utilità in relazione all’obiettivo perseguito. Tale periodo è individuato tra un minimo di sei mesi e un massimo di 24 mesi, ma la direttiva non indica i criteri oggettivi in base ai quali il periodo di conservazione debba essere limitato a quanto strettamente necessario.

Da ultimo, la Corte ha constatato che la suddetta direttiva:

• non prevede sufficienti garanzie per assicurare l’effettiva protezione dei dati contro il rischio di abusi e contro qualsiasi accesso illegale e conseguente utilizzo indebito dei dati;
• permette ai provider di determinare il livello di sicurezza sulla base di considerazioni di carattere economico (in particolare per quanto riguarda i costi di attuazione delle misure di sicurezza;
• non garantisce la distruzione irreversibile dei dati al termine del loro periodo di conservazione;
• non impone la conservazione dei dati all’interno del territorio dell’Unione.

È novità di questi giorni, infine, l’iniziativa assunta da Google per consentire agli utenti l’esercizio del diritto all’oblio e adempiere ai dettami imposti dalla sentenza sopra esaminata: attraverso un apposito modulo contenuto in una pagina dedicata, ciascun utente potrà inviare la richiesta di rimozione dei risultati di ricerca, corredandola con l’indicazione specifica dei link di cui si desidera la rimozione e la copia del documento d’identità dell’interessato, onde evitare richieste fraudolente.

La sentenza è consultabile sul sito EurLex cliccando qui.

(Corte di Giustizia Europea, Grande Sezione, 8 aprile 2014, Cause riunite C-293/12 e C-594/12)

Avv. Francesco Di Tano

La Corte di Giustizia dell’Unione Europea, con sentenza dell’8 aprile 2014, ha dichiarato invalida la Direttiva 2006/24/EC sulla conservazione dei dati, a seguito di rinvio pregiudiziale presentato sia dalla High Court irlandese che dalla Verfassungsgerichtshof (Corte costituzionale) austriaca in merito proprio alla validità di tale direttiva, con particolare riferimento ai diritti fondamentali del rispetto della vita privata e della protezione dei dati personali, sanciti entrambi dalla Carta dei diritti fondamentali dell’Unione Europea.

La High Court, nello specifico, deve risolvere una controversia tra la società Digital Rights Ireland, da una parte, e il Ministero per le comunicazioni, la marina e le risorse naturali, il Ministero per la giustizia, la parità e le riforme giuridiche, il Commissario del Garda Síochána (il corpo di polizia irlandese) e l’Avvocatura Generale, dall’altra parte, avente ad oggetto la legittimità delle misure nazionali relative alla conservazione dei dati relativi alle comunicazioni elettroniche.

La Suprema Corte austriaca, invece, deve affrontare numerosi ricorsi proposti per ottenere l’annullamento della norma nazionale che recepisce la direttiva in questione nel diritto austriaco.

L’obiettivo principale della direttiva disciplinante la conservazione dei dati è rappresentato dall’armonizzazione delle normative interne degli Stati membri in relazione alla conservazione di quei dati generati o trattati da provider di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione.

Essa punterebbe a garantire che i dati siano disponibili ai fini della prevenzione,individuazione e perseguimento di reati gravi, quali, in particolare, la criminalità organizzata e il terrorismo.

A tal fine, la direttiva prevede che i fornitori di servizi sopra citati debbano conservare i dati di traffico e localizzazione e comunque i dati necessari per identificare l’utente, mentre non consente la conservazione dei contenuti della comunicazione o dell’informazione consultata.

La Corte ha osservato anzitutto che i dati da conservare consentono, in particolare, di conoscere l’identità della persona con la quale un utente registrato ha comunicato econ quali mezzi; identificare il momento e il luogo della comunicazione; conoscere la frequenza delle comunicazioni dell’utente con determinate persone in uno specifico periodo.Tali dati, nel complesso, possono fornire informazioni molto precise sulla vita privata delle persone i cui dati sono conservati, come ad esempio le abitudini della vita quotidiana, i luoghi di residenza, i movimentimovimenti, le attività svolte, le relazioni sociali e gli ambienti frequentati.

In merito a ciò, la Corte ha ritenuto che, imponendo la conservazione di tali dati e permettendo alle autorità nazionali competenti di accedere a tali dati, la direttiva interferisce in modo eccessivo con i diritti fondamentali del rispetto della vita privata e della protezione dei dati personali. Inoltre, il fatto che i dati siano conservati e utilizzati senza che l’utente ne sia previamente informato, può ingenerare negli interessati un sentimento di soggezione a una costante sorveglianza.

La conservazione dei dati ai fini della loro eventuale trasmissione alle autorità nazionali competenti soddisfa gli obiettivi di interesse generale della pubblica sicurezza e del contrasto alle gravi forme di criminalità.

Ad ogni modo, la Corte è del parere che, adottando la direttiva sulla conservazione dei dati, il legislatore europeo abbia superato i limiti imposti dal rispetto del principio di proporzionalità: benché la conservazione dei dati, così come delineata dalla direttiva in questione, può essere considerata appropriata per la realizzazione dell’obiettivo perseguito dalla stessa, l’ampia e particolarmente grave interferenza della direttiva con il diritto fondamentale alla privacy non si è dimostrata sufficientemente circoscritta per garantire che tale intervento fosse effettivamente limitato a quanto strettamente necessario.

Tale direttiva, difatti:

• riguarda, in generale (i) tutti gli individui (ii) tutti i mezzi di comunicazione elettronica e (iii) tutti i dati di traffico, senza alcuna differenziazione, limitazione o eccezione;
• non stabilisce alcun criterio oggettivo in base al quale sia garantito che le autorità nazionali competenti abbiano accesso ai dati e li possano usare solo ai fini della prevenzione, accertamento o procedimenti penali riguardanti reati. Al contrario, si riferisce semplicemente in un modo generale a reati gravi, così come individuati da ciascuno Stato membro nella propria legislazione domestica;
• impone un periodo di conservazione dei dati di almeno sei mesi, senza fare alcuna distinzione tra le categorie di dati sulla base della loro utilità in relazione all’obiettivo perseguito. Tale periodo è individuato tra un minimo di sei mesi e un massimo di 24 mesi, ma la direttiva non indica i criteri oggettivi in base ai quali il periodo di conservazione debba essere limitato a quanto strettamente necessario.

Da ultimo, la Corte ha constatato che la suddetta direttiva:

• non prevede sufficienti garanzie per assicurare l’effettiva protezione dei dati contro il rischio di abusi e contro qualsiasi accesso illegale e conseguente utilizzo indebito dei dati;
• permette ai provider di determinare il livello di sicurezza sulla base di considerazioni di carattere economico (in particolare per quanto riguarda i costi di attuazione delle misure di sicurezza;
• non garantisce la distruzione irreversibile dei dati al termine del loro periodo di conservazione;
• non impone la conservazione dei dati all’interno del territorio dell’Unione.

È novità di questi giorni, infine, l’iniziativa assunta da Google per consentire agli utenti l’esercizio del diritto all’oblio e adempiere ai dettami imposti dalla sentenza sopra esaminata: attraverso un apposito modulo contenuto in una pagina dedicata, ciascun utente potrà inviare la richiesta di rimozione dei risultati di ricerca, corredandola con l’indicazione specifica dei link di cui si desidera la rimozione e la copia del documento d’identità dell’interessato, onde evitare richieste fraudolente.

La sentenza è consultabile sul sito EurLex cliccando qui.

(Corte di Giustizia Europea, Grande Sezione, 8 aprile 2014, Cause riunite C-293/12 e C-594/12)

Avv. Francesco Di Tano