Il 20 settembre è stata emessa una sentenza della Corte di Giustizia della UE avente ad oggetto le domande di pronuncia pregiudiziale proposte alla Corte, ai sensi dell’articolo 267 TFUE, dal Bundesverwaltungsgericht (Corte amministrativa federale, Germania) nei procedimenti Bundesrepublik Deutschland, rappresentata dalla Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen, contro SpaceNet AG (C-793/19), Telekom Deutschland GmbH (C-794/19) che forniscono servizi di accesso a internet accessibili al pubblico. La Telekom Deutschland fornisce, altresì, servizi di telefonia.
I prestatori di servizio hanno contestato dinanzi ai giudici tedeschi l’obbligo prescritto dalla legge tedesca in materia di telecomunicazioni (TKG) di conservare, a decorrere dal primo luglio 2017, dati relativi al traffico e dati relativi all’ubicazione attinenti alle telecomunicazioni dei loro clienti.
Indice degli argomenti
Il diritto dell’Unione non ostacoli la normativa nazionale
Fatte salve talune eccezioni, la TKG impone “ai fornitori di servizi di comunicazione elettronica accessibili al pubblico, in particolare ai fini del perseguimento dei reati gravi o della prevenzione di un rischio concreto per la sicurezza nazionale, la conservazione generalizzata e indiscriminata, per diverse settimane, di gran parte dei dati relativi al traffico e dei dati relativi all’ubicazione degli utenti finali”.
Come riassunto nel comunicato stampa n. 156/22 della CGUE, la Corte amministrativa federale tedesca si interroga in merito al fatto se il diritto dell’Unione ossia, articolo 15 della Direttiva 2022/58 sul trattamento dei dati personali e sulla tutela della vita privata nelle comunicazioni elettroniche laddove prevede a fini della lotta contro la criminalità obblighi di data retention e conservazione generalizzata e indiscriminata di tutti i dati relativi al traffico, all’ubicazione di tutti gli abbonati e utenti registrati e a tutti i mezzi di comunicazione elettronica che li generano, sia in contrasto con la normativa nazionale.
Infatti, secondo la Corte amministrativa, “l’obbligo di conservazione previsto dalla TKG riguarderebbe un numero di dati inferiore e un periodo di conservazione meno lungo (4 o 10 settimane) rispetto a quanto prevedevano le normative nazionali oggetto delle cause che hanno dato origine alle sentenze precedenti”.
Elezioni e cybersecurity, i programmi dei principali partiti
In risposta ai dubbi emersi, la CGUE ritiene il diritto dell’Unione non ostacoli la normativa nazionale che:
- “consente, a fini di salvaguardia della sicurezza nazionale, di ingiungere ai fornitori di servizi di comunicazione elettronica di procedere a una conservazione generalizzata e indiscriminata dei dati relativi al traffico e dei dati relativi all’ubicazione, in situazioni nelle quali lo Stato membro interessato affronti una minaccia grave per la sicurezza nazionale che risulti reale e attuale o prevedibile. Una simile ingiunzione può essere controllata da un giudice o da un organo amministrativo indipendente e può essere emessa solo per un periodo temporalmente limitato allo stretto necessario, ma rinnovabile in caso di persistenza di tale minaccia;
- prevede, a fini di salvaguardia della sicurezza nazionale, di lotta ai reati gravi e di prevenzione delle minacce gravi alla pubblica sicurezza, una conservazione mirata dei dati relativi al traffico e dei dati relativi all’ubicazione che sia delimitata, sulla base di elementi oggettivi e non discriminatori, in funzione delle categorie di persone interessate o mediante un criterio geografico, per un periodo temporalmente limitato allo stretto necessario, ma rinnovabile;
- prevede, agli stessi fini, la conservazione generalizzata e indiscriminata degli indirizzi IP attribuiti all’origine di una connessione, per un periodo temporalmente limitato allo stretto necessario;
- prevede, a fini di salvaguardia della sicurezza nazionale, di lotta alla criminalità e di salvaguardia della pubblica sicurezza, una conservazione generalizzata e indiscriminata dei dati relativi all’identità anagrafica degli utenti di mezzi di comunicazione elettronica, e – che consente, a fini di lotta ai reati gravi e, a fortiori, di salvaguardia della sicurezza nazionale, di ingiungere ai fornitori di servizi di comunicazione elettronica, di procedere, per un periodo determinato, alla conservazione rapida dei dati relativi al traffico e dei dati relativi all’ubicazione di cui detti fornitori di servizi dispongono”.
La normativa nazionale secondo la CGUE, deve garantire, mediante norme chiare e precise, che la conservazione dei dati sia subordinata al rispetto delle relative condizioni sostanziali e procedurali e che gli interessati dispongano di garanzie effettive contro il rischio di abusi. Tale normativa deve essere giuridicamente vincolante nell’ambito dell’ordinamento nazionale ed indicare in quali circostanze e a quali condizioni una misura che prevede il trattamento di tali dati possa essere adottata, garantendo così che l’ingerenza sia limitata allo stretto necessario.
La sentenza della Corte europea: punti salienti
Si riportano di seguito i punti salienti ripresi dalla sentenza della CGUE.
Ampiezza dei dati conservati
L’obbligo di conservazione previsto dalla TKG si estende a un insieme molto ampio di dati relativi al traffico e di dati relativi all’ubicazione.
Dalla decisione di rinvio “risulta che l’obbligo di conservazione prescritto da tale legge riguarda, in particolare, i dati necessari per individuare l’origine e la destinazione di una comunicazione, la data e l’ora di inizio e fine della comunicazione o – in caso di comunicazione per SMS, messaggio multimediale o simile – il momento dell’invio e della ricezione del messaggio nonché, in caso di utilizzo di servizi di telefonia mobile, l’indicazione delle celle telefoniche utilizzate all’inizio della comunicazione da chi effettua la chiamata e da chi la riceve.
Nell’ambito della fornitura di servizi di accesso a Internet, l’obbligo di conservazione riguarda, tra l’altro, l’indirizzo IP assegnato all’abbonato, la data e l’ora di inizio e fine dell’utilizzo di Internet a partire dall’indirizzo IP assegnato e, in caso di utilizzo di servizi di telefonia mobile, l’indicazione delle celle telefoniche utilizzate all’inizio del collegamento a Internet.
Devono altresì essere conservati i dati che permettano di conoscere la posizione geografica e le direzioni di radiazione massima delle antenne che servono la cella telefonica in questione”.
Tutela dei dati personali e altri diritti: ecco perché servono contemperamento ed equilibrio
Nonostante i dati relativi ai servizi di posta elettronica non sono soggetti all’obbligo di conservazione previsto dalla TKG, essi rappresentano solo una minima parte dei dati in questione.
L’insieme dei dati relativi al traffico e relativi all’ubicazione conservati, rispettivamente, per dieci e per quattro settimane, consente, secondo la CGUE, di trarre conclusioni molto precise sulla vita privata degli interessati, quali le abitudini di vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati e di fornire, in particolare, gli strumenti per stabilire il profilo di tali persone.
La CGUE contesta che gli indirizzi IP possono essere utilizzati per effettuare il tracciamento completo del percorso di navigazione di un utente di Internet costruendo un profilo dettagliato di quest’ultimo violando i diritti fondamentali dell’utente di Internet sanciti dagli articoli 7 e 8 della Carta.
Conservazione indiscriminata e generalizzata
Dalla decisione di rinvio risulta altresì che la conservazione dei dati relativi al traffico e dei dati relativi all’ubicazione prevista dalla normativa nazionale tedesca riguardi la quasi totalità delle persone che compongono la popolazione senza che le stesse si trovino in una circostanza tale da dar avvio a procedimenti penali.
Ne consegue che una normativa nazionale che garantisca il pieno rispetto delle condizioni risultanti dalla giurisprudenza in materia di accesso ai dati conservati non può, per sua natura, essere idonea a limitare e neppure a rimediare all’ingerenza grave nei diritti degli interessati che risulterebbe dalla conservazione generalizzata di tali dati. La CGUE chiarisce, per quanto riguarda il periodo di conservazione dei dati di cui all’articolo 15, paragrafo 1, della direttiva 2002/58 che tale periodo debba comunque ritenersi «limitato».
