Raccolta di dati biometrici e genetici da parte della polizia di persona accusata e trattamento di dati sensibili

Nell'ambito di un procedimento penale per frode fiscale avviato dalle autorità bulgare, V. S. è stata formalmente accusata di aver asseritamente partecipato a un'organizzazione criminale costituita a fini di lucro, al fine di commettere in maniera concordata delitti in territorio bulgaro. A seguito di tale messa in stato di accusa formale, la polizia bulgara ha invitato V. S. a sottoporsi alla raccolta dei suoi dati dattiloscopici e fotografici, ai fini della loro registrazione, e a un prelievo di campioni per l'elaborazione del suo profilo del DNA. V. S. si è opposta a tale raccolta.

Basandosi sulla normativa nazionale che prevede la «registrazione da parte della polizia» di persone formalmente accusate per un reato doloso perseguibile d'ufficio, le autorità di polizia hanno chiesto allo Spetsializiran nakazatelen sad (Tribunale penale specializzato, Bulgaria) di autorizzare l'esecuzione coercitiva della raccolta dei dati genetici e biometrici di V. S. La richiesta della autorità di polizia era accompagnata solo da copie del provvedimento di messa in stato di accusa formale di V. S. e della sua dichiarazione di rifiuto della raccolta dei propri dati.

Tale giudice, nutrendo dubbi quanto alla compatibilità della normativa bulgara applicabile a tale «registrazione da parte della polizia» con la direttiva 2016/680 [1], letta alla luce della Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»), ha adito la Corte in via pregiudiziale.

Nella sua sentenza la Corte precisa anzitutto le condizioni alle quali il trattamento dei dati biometrici e genetici da parte delle autorità di polizia può essere ritenuto autorizzato dal diritto nazionale, ai sensi della direttiva 2016/680. Essa si pronuncia poi sull'attuazione del requisito, previsto in tale direttiva, relativo al trattamento di dati di una categoria di persone nei cui confronti vi sono fondati motivi di ritenere che siano implicate in un reato e sul rispetto del diritto a una tutela giurisdizionale effettiva nonché del principio della presunzione di innocenza, nel caso in cui la normativa nazionale consenta al giudice nazionale competente di autorizzare la raccolta coercitiva di tali dati, ritenuti «sensibili» dal legislatore dell'Unione. Essa affronta infine la questione della compatibilità della normativa nazionale che prevede la raccolta sistematica di tali dati con le disposizioni della direttiva 2016/680 che vertono sul loro trattamento, tenendo conto dei principi ivi applicabili.

Giudizio della Corte

Anzitutto, la Corte constata che la direttiva 2016/680, letta alla luce della Carta [2], deve essere interpretata nel senso che il trattamento dei dati biometrici e genetici da parte delle autorità di polizia per le loro attività di ricerca, a fini di lotta contro la criminalità e di tutela dell'ordine pubblico, è autorizzato dal diritto nazionale se quest'ultimo contiene una base giuridica sufficientemente chiara e precisa per autorizzare detto trattamento. La circostanza che l'atto legislativo nazionale contenente una simile base giuridica faccia, inoltre, riferimento al regolamento generale sulla protezione dei dati [3], e non alla direttiva 2016/680, non è di per sé idonea a rimettere in discussione l'esistenza di una simile autorizzazione, purché dall'interpretazione di tutte le disposizioni applicabili del diritto nazionale risulti in modo sufficientemente chiaro, preciso e inequivocabile che il trattamento di dati biometrici e genetici in questione rientra nell'ambito di applicazione di tale direttiva, e non del RGPD.

In tale contesto, tenuto conto del fatto che la normativa nazionale pertinente si riferiva alle disposizioni del RGPD che disciplinano il trattamento di dati sensibili, pur riproducendo il contenuto delle disposizioni della direttiva 2016/680 riguardanti il trattamento degli stessi dati [4], la Corte rileva che tali disposizioni non sono equivalenti. Infatti, mentre un trattamento di dati sensibili da parte delle autorità competenti a fini, in particolare, di prevenzione e di accertamento dei reati di cui alla direttiva 2016/680 può essere autorizzato solo se strettamente necessario e deve essere soggetto a garanzie adeguate e previsto dal diritto dell'Unione o dal diritto nazionale, il RGPD enuncia un divieto di principio del trattamento di tali dati, corredato di un elenco di eccezioni. Sebbene il legislatore nazionale possa prevedere, nello stesso strumento legislativo, il trattamento di dati personali a fini rientranti nell'ambito della direttiva 2016/680 nonché ad altri fini rientranti nell'ambito del RGPD, esso è tenuto ad accertarsi che non vi sia ambiguità quanto all'applicabilità dell'uno o dell'altro di questi due atti dell'Unione alla raccolta dei dati sensibili.

Inoltre, per quanto riguarda un'eventuale non corretta trasposizione della direttiva 2016/680, invocata dal giudice del rinvio, la Corte sottolinea che tale direttiva non richiede che le disposizioni nazionali che autorizzano i trattamenti di dati rientranti nel suo campo di applicazione contengano un riferimento a tale direttiva. Esso precisa che, qualora il legislatore nazionale preveda il trattamento di dati biometrici e genetici da parte di autorità competenti che possono rientrare o nell'ambito di applicazione di tale direttiva, o in quello del RGPD, esso può, per ragioni di chiarezza e di precisione, riferirsi esplicitamente, da un lato, alle disposizioni di diritto nazionale che provvedono alla trasposizione di tale direttiva e, dall'altro, al RGPD, senza essere tenuto a menzionare detta direttiva. Tuttavia, in caso di un'apparente contraddizione tra le disposizioni nazionali che autorizzano il trattamento di dati in questione e quelle che sembrano escluderlo, il giudice nazionale deve dare a tali disposizioni un'interpretazione che salvaguarda l'effetto utile della direttiva 2016/680.

La Corte dichiara poi che la direttiva 2016/680 [5] e la Carta [6] non ostano a una normativa nazionale che prevede che, in caso di rifiuto della persona formalmente accusata di un reato doloso perseguibile d'ufficio di cooperare spontaneamente alla raccolta dei dati biometrici e genetici che la riguardano, ai fini della loro registrazione, il giudice penale competente è tenuto ad autorizzare una misura di esecuzione coercitiva di tale raccolta, senza avere il potere di valutare se sussistano fondati motivi per ritenere che l'interessato abbia commesso il reato di cui è formalmente accusato, purché il diritto nazionale garantisca successivamente il controllo giurisdizionale effettivo delle condizioni di tale messa in stato di accusa formale, da cui risulta l'autorizzazione a procedere a detta raccolta.

Al riguardo, la Corte ricorda che, in forza della direttiva 2016/680 [7], gli Stati membri devono provvedere affinché sia operata una chiara distinzione tra i dati delle diverse categorie di interessati, in modo che non sia loro imposta indistintamente un'ingerenza della medesima intensità nel loro diritto fondamentale alla protezione dei propri dati personali a prescindere dalla categoria a cui appartengono. Tuttavia, tale obbligo non è assoluto. Del resto, nei limiti in cui tale direttiva riguarda la categoria di persone nei cui confronti sussistono fondati motivi di credere che abbiano commesso un reato, la Corte precisa che l'esistenza di un numero sufficiente di elementi di prova della colpevolezza di una persona costituisce, in linea di principio, un fondato motivo di ritenere che quest'ultima abbia commesso il reato di cui trattasi. Pertanto la direttiva 2016/680 non osta a una normativa nazionale che prevede la raccolta coercitiva dei dati biometrici e genetici delle persone per le quali sussistono sufficienti elementi di prova del fatto che sono colpevoli di aver commesso un reato doloso perseguibile d'ufficio e che sono state formalmente accusate per tale motivo.

Per quanto riguarda il rispetto del diritto a una tutela giurisdizionale effettiva, dal momento che il giudice nazionale competente, al fine di autorizzare una misura di esecuzione coercitiva della raccolta di dati sensibili di una persona formalmente accusata, non può controllare nel merito le condizioni della sua accusa formale, la Corte sottolinea, in particolare, che il fatto di sottrarre temporaneamente al controllo del giudice la valutazione delle prove sulle quali si basa l'accusa formale dell'interessato può rivelarsi giustificato durante la fase preliminare del procedimento penale. Infatti, un simile controllo, durante tale fase, potrebbe ostacolare lo svolgimento dell'indagine penale nel corso della quale tali dati sono raccolti e limitare eccessivamente la capacità degli inquirenti di chiarire altri reati sulla base di un confronto di tali dati con dati raccolti nel corso di altre indagini. Tale limitazione della tutela giurisdizionale effettiva non è quindi sproporzionata, allorché il diritto nazionale garantisce successivamente un controllo giurisdizionale effettivo.

Per quanto riguarda il rispetto del diritto alla presunzione di innocenza da parte di una decisione giudiziaria che autorizza la raccolta dei dati in questione, la Corte rileva da un lato che, poiché nel caso di specie tale raccolta è limitata alla categoria delle persone la cui responsabilità penale non è stata ancora dimostrata, la suddetta raccolta non può essere considerata tale da riflettere l'idea delle autorità che tali persone siano colpevoli. Dall'altro, la circostanza che il giudice che deve statuire sulla colpevolezza della persona interessata non possa valutare, in tale fase del procedimento penale, la sufficienza degli elementi di prova sui quali si basa l'accusa formale contro tale persona costituisce una garanzia del rispetto del suo diritto alla presunzione di innocenza.

Infine, la Corte conclude nel senso che la direttiva 2016/680 [8] osta a una normativa nazionale che prevede la raccolta sistematica di dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d'ufficio, ai fini della loro registrazione, senza prevedere l'obbligo, per l'autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall'altro, che tali obiettivi non possono essere raggiunti mediante misure che costituiscano un'ingerenza meno grave nei diritti e nelle libertà della persona interessata.

Al riguardo, la Corte sottolinea che la direttiva 2016/680 mira a garantire, tra l'altro, una maggiore protezione nei confronti dei trattamenti dei dati sensibili, tra cui figurano i dati biometrici e genetici, in quanto possono creare rischi significativi per le libertà e i diritti fondamentali. Il requisito ivi previsto, secondo cui un trattamento del genere è autorizzato «solo se strettamente necessario», deve essere interpretato nel senso che esso definisce condizioni rafforzate di liceità del trattamento di tali dati sensibili [9]. Inoltre, la portata di tale requisito deve essere determinata anche alla luce dei principi relativi al trattamento dei dati, quali la limitazione delle finalità e la minimizzazione dei dati.

In tal contesto, una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d'ufficio, ai fini della loro registrazione, è in linea di principio contraria a tale requisito. Infatti, essa può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati della maggior parte delle persone formalmente accusate, dal momento che la nozione di «reato doloso perseguibile d'ufficio» riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura, dalla loro gravità, dalle circostanze particolari di tali reati, dal loro eventuale collegamento con altri procedimenti in corso, dai precedenti giudiziari o dal profilo individuale della persona interessata.

IMPORTANTE: Il rinvio pregiudiziale consente ai giudici degli Stati membri, nell'ambito di una controversia della quale sono investiti, di interpellare la Corte in merito all'interpretazione del diritto dell'Unione o alla validità di un atto dell'Unione. La Corte non risolve la controversia nazionale. Spetta al giudice nazionale risolvere la causa conformemente alla decisione della Corte. Tale decisione vincola egualmente gli altri giudici nazionali ai quali venga sottoposto un problema simile.

[1] Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89).

[2] Articolo 10, lettera a), della direttiva 2016/680, letto alla luce dell'articolo 52 della Carta.

[3] Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

[4] Rispettivamente, l'articolo 9 del RGPD e l'articolo 10 della direttiva 2016/680.

[5] Articolo 6, lettera a), della direttiva 2016/680.

[6] Articoli 47 e 48 della Carta, che sanciscono rispettivamente il diritto a una tutela giurisdizionale effettiva e il principio della presunzione di innocenza.

[7] Articolo 6 della direttiva 2016/680.

[8] Articolo 10 della direttiva 2016/680, in combinato disposto con il suo articolo 4, paragrafo 1, lettere da a) a c), e con il suo articolo 8, paragrafi 1 e 2.

[9] Tenuto conto delle condizioni risultanti dall'articolo 4, paragrafo 1, lettere b) e c), e dall'articolo 8, paragrafo 1, della direttiva 2016/680.