La raccolta dei dati biometrici e genetici di una persona accusata di reato è una violazione della privacy

È una della massime elaborate dalla CGUE il 26 gennaio 2023 nella EU:C:2023:49, C-205/21.

Una persona, accusata formalmente di frode, era stata invitata dalla polizia bulgara a fornire i propri dati biometrici (foto segnaletica, impronte digitali e campione di DNA) perché venissero registrati come previsto dalla legge interna, essendoci elementi probatori sufficienti a desumerne la colpevolezza. L'indiziato però rifiutava di fornirli e la polizia adiva la giustizia: il giudice di rinvio sollevando, al termine di un articolato excursus, dubbi sulla compatibilità col diritto comunitario della legge interna che prevedeva la registrazione sistematica dei dati biometrici e genetici anche degli accusati formalmente di reato e sulla possibilità di ottenere coattivamente detti dati qualora la persona fosse indagata per un reato doloso procedibile d'ufficio chiedeva delucidazioni alla CGUE che ha risposto come in epigrafe.

Chi autorizza il trattamento dei dati biometrici: il diritto nazionale o quello comunitario? L'autorizzazione è fornita, ex art.52 Carta di Nizza, dalla legge interna, purchè si evinca dalla stessa in modo chiaro, preciso ed inequivocabile. Ciò non è rimesso in discussione dal fatto che la contestata legge bulgara facesse riferimento all'art. 9 GDPR sul trattamento dei dati sensibili, anziché all'analogo art.10 DP, purchè dal contesto e dalla sua esegesi sia chiaro che la materia ricade nell'ambito di applicazione della Direttiva 2016/680. Infatti questi due articoli non sono assolutamente equivalenti, in quanto nell'art.10 DP il trattamento dei dati sensibili, quali quelli biometrici e genetici, è autorizzato solo per quanto strettamente necessario a perseguire i fini di detta Direttiva (prevenzione, lotta al crimine e sua repressione), mentre nel GDPR l'art.9 prevede un divieto di trattamento dei dati sensibili, salvo tassative eccezioni. La legge interna, perciò, deve indicare senza alcuna ambiguità quali dati siano soggetti al trattamento ex art.10 e quali ex art.9 GDPR per il rispetto del principio della certezza del diritto. Più precisamente «qualora il legislatore nazionale preveda il trattamento di dati biometrici e genetici da parte di autorità competenti che possono rientrare o nell'ambito di applicazione di tale direttiva, o in quello del GDPR, esso può, per ragioni di chiarezza e di precisione, riferirsi esplicitamente, da un lato, alle disposizioni di diritto nazionale che provvedono alla trasposizione di tale direttiva e, dall'altro, al GDPR, senza essere tenuto a menzionare detta direttiva». Il giudice nazionale, in presenza di un'apparente contraddizione tra norme che autorizzano e che negano il trattamento di questi dati, «è tenuto ad interpretare tali disposizioni in modo da preservare l'effetto utile di tale direttiva. In particolare, qualora constati l'esistenza di disposizioni idonee a soddisfare il requisito di cui all'articolo 10, lettera a) ».

La presunzione d'innocenza prevale su ogni altro contrapposto interesse. Essendo questa tutela rafforzata rispetto a quella prevista dall'art.9 GDPR «le finalità del trattamento di dati biometrici e genetici non possono essere descritte in termini di carattere troppo generale, ma devono essere definite in modo sufficientemente preciso e concreto per consentire di valutare la «necessità assoluta» di tale trattamento». Inoltre l'espressione «reato doloso procedibile d'ufficio» risulta troppo generica perché «può applicarsi a un gran numero di reati, indipendentemente dalla loro natura, dalla loro gravità, dalle circostanze particolari di tali reati, dal loro eventuale collegamento con altri procedimenti in corso, dai precedenti giudiziari o dal profilo individuale della persona interessata». È chiaro come ciò contrasti con i requisiti sopra descritti e violi il principio della presunzione d'innocenza, avendo pesanti ripercussioni anche sulle libertà, sulla vita privata e professionale della persona cui si richiede la registrazione di questi dati. Per rispettare il requisito del “quanto strettamente necessario” si deve tenere conto della minimizzazione dei dati e dei limiti imposti a questo trattamento dalle finalità della DP. Inoltre l'autorizzazione ed il trattamento devono essere sempre obbligatoriamente soggetti al vaglio giurisdizionale effettivo di tale necessità e/o alla previsione di misure meno ingerenti per conseguire detti obiettivi.

Quando è lecito il prelievo coatto? L'art. 6 DP prevede che gli Stati membri possano operare  «una chiara distinzione tra i dati personali delle diverse categorie di interessati, come quelli di cui alle lettere da a) a d) di tale articolo, ossia, rispettivamente, le persone nei confronti delle quali sussistono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato, le persone condannate per un reato, le vittime di un reato o le persone nei confronti delle quali determinati fatti danno motivo di ritenere che possano essere vittime di un reato e, infine, i terzi di un reato, quali le persone che possono essere chiamate a testimoniare in indagini relative a reati o procedimenti penali successivi, persone che possono fornire informazioni su reati o contatti o collaboratori di una delle persone di cui alle lettere a) e b) di tale articolo». Tale obbligo, però, non è assoluto e, quindi, «l'esistenza di un numero sufficiente di prove della colpevolezza di una persona costituisce, in linea di principio, seri motivi per ritenere che essa abbia commesso il reato di cui trattasi. Pertanto, una normativa nazionale che preveda la raccolta obbligatoria di dati biometrici e genetici delle persone fisiche ai fini della loro registrazione, purché siano raccolte prove sufficienti del fatto che l'interessato è colpevole di aver commesso un reato, appare coerente con l'obiettivo di cui all'articolo 6, lettera a), della direttiva 2016/680». È lecito, ai sensi degli artt. 6 DP, 47 e 48 carta di Nizza che, «qualora la persona indagata per un reato doloso perseguito d'ufficio rifiuti di cooperare spontaneamente alla raccolta di dati biometrici e genetici che la riguardano ai fini della loro registrazione, il giudice penale competente sia tenuto ad autorizzare una misura di esecuzione di tale raccolta, senza disporre del potere di valutare se sussistano seri motivi per ritenere che l'interessato abbia commesso il reato per il quale è sotto inchiesta, purché il diritto nazionale garantisca successivamente un controllo giurisdizionale effettivo delle condizioni di tale imputazione, da cui deriva l'autorizzazione ad effettuare tale raccolta».

(Fonte: Diritto e Giustizia)