CONCLUSIONI DELL’AVVOCATO GENERALE
PAOLO MENGOZZI
presentate il 13 giugno 2013 (1)
Causa C‑291/12
Michael Schwarz
contro
Stadt Bochum
[domanda di pronuncia pregiudiziale proposta dal Verwaltungsgericht Gelsenkirchen (Germania)]
«Spazio di libertà, sicurezza e giustizia – Norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti e dei documenti di viaggio rilasciati dagli Stati membri – Articolo 1, paragrafo 2, del regolamento (CE) n. 2252/2004, come modificato dal regolamento (CE) n. 444/2009 – Diritto alla protezione dei dati di carattere personale»
Indice
I – Introduzione
II – Contesto normativo
A – Il diritto dell’Unione
B – Diritto tedesco
III – Procedimento principale e questione pregiudiziale
IV – Procedimento dinanzi alla Corte
V – Analisi
A – Sull’asserita insufficienza della base giuridica
1. Il contenuto e lo scopo del regolamento n. 2252/2004 come modificato
2. Idoneità dell’articolo 62, punto 2, lettera a), CE quale fondamento giuridico del regolamento n. 2252/2004 come modificato
B – Sulla pretesa violazione dell’obbligo di consultazione del Parlamento
C – Sull’asserita violazione del diritto fondamentale alla protezione dei dati di carattere personale
1. Osservazioni preliminari in relazione al posto assegnato ai diritti fondamentali nel contesto del regolamento n. 2252/2004 come modificato
2. L’obbligo contenuto all’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato integra una limitazione del diritto fondamentale alla protezione dei dati di carattere personale che è prevista dalla legge e persegue un obiettivo di interesse generale riconosciuto dall’Unione
3. Sul carattere proporzionato della limitazione
a) La limitazione è idonea a perseguire l’obiettivo d’interesse generale riconosciuto dall’Unione
b) L’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato è necessario alla realizzazione dell’obiettivo di interesse generale riconosciuto dall’Unione
c) Considerazioni finali
VI – Conclusione
I – Introduzione
1. «L’utilizzazione della biometria nei sistemi d’informazione non è mai una scelta irrilevante, specie allorché il sistema in questione riguarda un numero così elevato di persone. (…) [E]ssa modifica in maniera irrevocabile la relazione tra corpo e identità, in quanto le caratteristiche del corpo umano possono essere “lette” da una macchina e sottoposte a un successivo trattamento. Le caratteristiche biometriche, benché non possano essere lette dall’occhio umano, sono leggibili e utilizzabili mediante strumenti appropriati, in qualsiasi circostanza e ovunque si rechi la persona in questione».
2. Il suddetto avvertimento del Garante europeo della protezione dei dati (2) assume un particolare rilievo poiché oggi viene chiesto alla Corte di pronunciarsi sulla validità, alla luce in particolare del diritto fondamentale alla protezione dei dati di carattere personale come sancito dalla Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), dell’obbligo imposto agli Stati membri dal regolamento (CE) n. 2252/2004 del Consiglio, del 13 dicembre 2004, relativo alle norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti e dei documenti di viaggio rilasciati dagli Stati membri (3) come modificato dal regolamento (CE) n. 444/2009 del Parlamento europeo e del Consiglio, del 28 maggio 2009 (4) (in prosieguo: il «regolamento n. 2252/2004 come modificato»), di rilasciare passaporti ai propri cittadini soltanto quando questi ultimi si siano sottoposti al rilevamento obbligatorio di due delle loro impronte digitali la cui immagine è peraltro memorizzata nel passaporto stesso.
II – Contesto normativo
A – Il diritto dell’Unione
3. L’articolo 1, paragrafo 2, del regolamento n. 2252/2004 stabilisce che «[i] passaporti e i documenti di viaggio hanno un supporto di memorizzazione che contiene un’immagine del volto. Gli Stati membri aggiungono inoltre le impronte digitali in formato interoperativo. I dati debbono essere protetti e il supporto di memorizzazione è dotato di capacità sufficiente e della capacità di garantire l’integrità, l’autenticità e la riservatezza dei dati».
4. L’articolo 1 del regolamento n. 444/2009 ha modificato l’articolo 1, paragrafo 2, del regolamento n. 2252/2004 che ha ora il seguente tenore letterale:
«I passaporti e i documenti di viaggio hanno un supporto di memorizzazione altamente protetto che contiene un’immagine del volto. Gli Stati membri aggiungono inoltre due impronte digitali, prese a dita piatte, in formato interoperativo. I dati sono protetti e il supporto di memorizzazione è dotato di capacità sufficiente e della capacità di garantire l’integrità, l’autenticità e la riservatezza dei dati».
B – Diritto tedesco
5. L’articolo 4, paragrafo 3, della legge in materia di passaporti (Passgesetz) del 19 aprile 1986, modificata da ultimo con la legge del 30 luglio 2009 (5), stabilisce quanto segue:
«In virtù del regolamento [n. 2252/2004], i passaporti ordinari, di servizio e diplomatici devono essere dotati di un supporto di memorizzazione elettronico sul quale occorre inserire la fotografia, le impronte digitali, l’indicazione della dita soggette a scansione, le informazioni sulla qualità delle impronte e i dati di cui al paragrafo 2, secondo periodo. È necessario impedire la lettura, la modifica o la cancellazione non autorizzate dei dati memorizzati. Non è prevista la realizzazione di una banca dati nazionale contenente le informazioni biometriche di cui al primo periodo».
III – Procedimento principale e questione pregiudiziale
6. Il sig. Schwarz, cittadino tedesco, ha chiesto presso i competenti servizi della Stadt Bochum (la città di Bochum) il rilascio di un passaporto opponendosi al rilevamento obbligatorio delle sue impronte digitali. L’8 novembre 2007, dal momento che un passaporto non può essere emesso senza il rilevamento obbligatorio delle impronte digitali, i suddetti servizi hanno negato il rilascio del documento de quo richiamandosi all’articolo 4, paragrafo 3, della legge in materia di passaporti del 19 aprile 1986, da ultimo modificata con la legge del 30 luglio 2009.
7. In seguito a detta decisione, il ricorrente nel procedimento principale ha presentato ricorso chiedendo al giudice del rinvio di ingiungere alla Stadt Bochum di rilasciargli un passaporto senza rilevare le sue impronte digitali. A tal fine, egli eccepisce in particolare l’invalidità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato, il quale costituisce la fonte dell’obbligo gravante sugli Stati membri di rilevare due delle impronte digitali di chiunque chieda il rilascio di un passaporto.
8. Il giudice del rinvio, condividendo le perplessità del ricorrente del procedimento principale, dubita che l’articolo 62, punto 2, lettera a), CE sia una base giuridica sufficiente per l’adozione dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato. Egli si chiede inoltre se la mancata consultazione del Parlamento europeo dopo che il Consiglio dell’Unione europea ha trasformato la facoltà di rilevare le impronte digitali, prevista inizialmente nella proposta di regolamento, in un obbligo, costituisca un vizio di procedura idoneo a inficiare la validità di detto articolo 1. Egli osserva inoltre che l’articolo de quo potrebbe essere invalido anche in ragione del fatto che esso violerebbe il diritto fondamentale alla protezione dei dati di carattere personale derivante dall’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), e sancito dall’articolo 8 della Carta.
9. È in questo contesto che il Verwaltungsgericht Gelsenkirchen ha deciso di sospendere il procedimento e, con ordinanza di rinvio pervenuta nella cancelleria della Corte il 12 giugno 2012, di sottoporre a quest’ultima, sulla base dell’articolo 267 TFUE, la seguente questione pregiudiziale:
«Se sia valido l’articolo 1, paragrafo 2, del regolamento [n. 2252/2004, come modificato dal regolamento n. 444/2009]».
IV – Procedimento dinanzi alla Corte
10. Il ricorrente nel procedimento principale, la Stadt Bochum, i governi tedesco e polacco, il Parlamento, il Consiglio e la Commissione europea hanno depositato osservazioni scritte dinanzi alla Corte.
11. Il ricorrente nel procedimento principale, il governo tedesco, il Parlamento, il Consiglio e la Commissione hanno svolto osservazioni orali all’udienza tenutasi il 13 marzo 2013.
V – Analisi
12. Esaminerò in successione i tre motivi di invalidità dedotti, vale a dire l’insufficienza della base giuridica, l’esistenza di un vizio di procedura che avrebbe inficiato l’adozione del regolamento n. 2252/2004 come modificato e l’asserita violazione dell’articolo 8 della Carta.
A – Sull’asserita insufficienza della base giuridica
13. Il regolamento n. 2252/2004, così come il regolamento n. 444/2009, ha quale base giuridica l’articolo 62, punto 2, lettera a), CE, a norma del quale «[i]l Consiglio, deliberando secondo la procedura di cui all’articolo 67, adotta (...) 2) misure relative all’attraversamento delle frontiere esterne degli Stati membri, che definiscono: (...) a) norme e procedure cui gli Stati membri devono attenersi per l’effettuazione di controlli sulle persone alle suddette frontiere».
14. Il ricorrente nel procedimento principale afferma che l’articolo 18, paragrafo 3, CE (6) vietava in termini generali alle istituzioni di adottare una qualsiasi normativa in materia di passaporti detenuti dai cittadini europei. In ogni caso, una normativa sui passaporti in possesso dei cittadini dell’Unione non potrebbe validamente fondarsi sul suddetto articolo 62, poiché la nozione di «controlli sulle persone alle (...) frontiere [esterne]» ai sensi di detto articolo escluderebbe le misure riguardanti i soli cittadini dell’Unione. I passaporti rilasciati ai cittadini dell’Unione non servirebbero inoltre specificamente ai fini dei controlli alle sue frontiere esterne. Infine, l’obbligo di rilevare le impronte digitali previsto all’articolo 1, paragrafo 2, del regolamento n. 2252/2004, come modificato, non si evincerebbe dal campo d’azione descritto dall’articolo 62, punto 2, lettera a), CE, poiché non rientrerebbe nella nozione di «norme» o di «procedure cui gli Stati membri devono attenersi per l’effettuazione di controlli sulle persone alle (...) frontiere [esterne]».
15. Occorre respingere immediatamente l’argomento relativo all’articolo 18, paragrafo 3, CE il cui unico effetto era solo quello di escludere che potessero essere adottate norme in materia di passaporti sul fondamento delle disposizioni del Trattato concernenti la cittadinanza europea e, precisamente, sul fondamento dell’articolo 18, paragrafo 2, CE. Dall’articolo 18, paragrafo 3, CE non discendeva invece un divieto generale per le istituzioni di adottare regolamentazioni in materia di passaporti.
16. La contestazione vertente sull’utilizzo esclusivo dell’articolo 62, punto 2, lettera a), CE quale base giuridica è più incisiva. Vero è che la Corte è già stata investita di un ricorso di annullamento contro il regolamento n. 2252/2004 proposto dal Regno Unito di Gran Bretagna e Irlanda del Nord (7). Nell’ambito di detto ricorso, la questione della base giuridica è stata appena sfiorata dalla Corte in modo molto generico (8). Essa non sembra aver mai dubitato del fatto che il regolamento n. 2252/2004 si fondasse su una base giuridica corretta. Ciò premesso, dato che la suddetta questione è stata chiaramente sottoposta alla Corte nel quadro del presente rinvio pregiudiziale e verte sulla validità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato, essa merita di essere analizzata in modo più approfondito nell’ambito delle presenti conclusioni.
17. Orbene, per verificare se l’articolo 62, punto 2, lettera a), CE sia idoneo a costituire la base giuridica dell’atto di cui trattasi, occorre ricordare l’affermazione ripetuta della Corte a detta della quale, nel quadro del sistema di competenze dell’Unione europea, «la scelta del fondamento normativo di un atto deve basarsi su elementi oggettivi, suscettibili di sindacato giurisdizionale, tra i quali figurano, in particolare, lo scopo e il contenuto dell’atto» (9). Per sincerarsi del fatto che l’articolo 62, punto 2, lettera a), CE sia un fondamento giuridico sufficiente per il regolamento n. 2252/2004 come modificato, occorre quindi anzitutto stabilire lo scopo e il contenuto di detto regolamento prima di verificare se un siffatto contenuto e un siffatto scopo potessero essere adeguatamente definiti nel quadro di un regolamento adottato sul fondamento di una tale base giuridica.
1. Il contenuto e lo scopo del regolamento n. 2252/2004 come modificato
18. Quanto allo scopo perseguito, dallo stesso titolo del regolamento n. 2252/2004 si evince che esso mira a stabilire norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti rilasciati dagli Stati membri.
19. L’inserimento nei passaporti di elementi biometrici, tra cui due impronte digitali, di pari passo con l’armonizzazione delle caratteristiche di sicurezza, persegue l’obiettivo di rendere più affidabile il collegamento tra il passaporto e il suo titolare e di contrastare la sua falsificazione e il suo uso fraudolento (10), obiettivo che, secondo la Corte, è stato riconosciuto essere lo scopo del regolamento n. 2252/2004 (11).
20. L’armonizzazione delle disposizioni sugli elementi biometrici inseriti nei passaporti mira inoltre a rendere coerente l’approccio adottato in seno all’Unione per quanto attiene a detti elementi in particolare rispetto alle regole applicabili in materia di visti rilasciati ai cittadini di paesi terzi (12), affinché i passaporti rilasciati ai cittadini dell’Unione non risultino «inferiori a quelli rispondenti alle norme raggiunte con la determinazione delle prescrizioni tecniche relative al modello uniforme per i visti e i permessi di soggiorno rilasciati ai cittadini di paesi terzi» (13).
21. Infine, il considerando 9 del regolamento n. 2252/2004 menziona «lo scopo fondamentale costituito dall’introduzione di norme comuni di sicurezza e di identificatori biometrici interoperativi», scopo che impone, secondo il legislatore dell’Unione, di fissare regole per tutti gli Stati membri che danno effetto alla convenzione di applicazione dell’accordo di Schengen del 14 giugno 1985 (14). Il regolamento n. 2252/2004 come modificato persegue quindi anche lo scopo di «semplificare i controlli alle frontiere» (15) mediante l’armonizzazione di norme di sicurezza comuni.
22. A mio avviso, l’obiettivo essenziale perseguito dal regolamento n. 2252/2004 come modificato può essere colto solo se esso viene collocato nel contesto più ampio del sistema nel quale s’inserisce la sua adozione e prestando un’attenzione particolare ai suoi rapporti con il sistema nato dall’accordo di Schengen. Orbene, i considerando da 10 a 14 ricordano che detto regolamento è concepito quale sviluppo delle disposizioni dell’acquis di Schengen, come la Corte ha d’altronde avuto occasione di confermare (16). È nel quadro di detto acquis che è stata precisata la politica della gestione integrata delle frontiere esterne degli Stati membri partecipanti al sistema nato dall’accordo di Schengen, e più in particolare le regole relative all’attraversamento delle frontiere esterne. Nell’armonizzare il contenuto e le caratteristiche tecniche dei documenti di viaggio di cui i cittadini dell’Unione devono essere in possesso al momento di attraversare le frontiere esterne, lo scopo perseguito dal legislatore nel quadro del regolamento n. 2252/2004 come modificato contribuisce evidentemente a quello più ampio della sicurezza di dette frontiere.
23. Dal punto di vista del suo contenuto e coerentemente con il suo scopo, il regolamento n. 2252/2004 come modificato contiene così tre tipi di disposizioni. Da una parte ci sono le norme circa l’obbligo di rilevamento delle impronte digitali in quanto tale, le eccezioni a tale obbligo e i casi in cui il rilevamento è impossibile (17). Dall’altra ci sono le norme dedicate al regime generale applicabile ai dati contenuti nei passaporti (18). Le altre disposizioni e l’allegato di detto regolamento sono dedicati ad aspetti puramente tecnici delle norme minime di sicurezza che gli Stati membri sono tenuti a rispettare all’atto del rilascio dei passaporti. Senza pretese di completezza, mi limiterò qui a menzionare le specifiche tecniche relative al supporto di memorizzazione, al tipo di registrazione, alla procedura stessa di rilevamento, alle modalità per garantire la sicurezza dei dati, alle tecniche di stampa e alle modalità di lettura e di conservazione dei dati (19). Il regolamento n. 2252/2004 come modificato procede così «all’armonizzazione e al miglioramento delle norme minime di sicurezza alle quali debbono rispondere i passaporti (...) rilasciati dagli Stati membri, e prevede l’inserimento, in tali [passaporti], di un certo numero di elementi biometrici riguardanti i titolari dei documenti stessi» (20).
2. Idoneità dell’articolo 62, punto 2, lettera a), CE quale fondamento giuridico del regolamento n. 2252/2004 come modificato
24. Gli elementi descritti in precedenza potevano essere adottati sul fondamento dell’articolo 62, punto 2, lettera a), CE? Io credo di sì.
25. Da una parte, gli elementi armonizzati dal regolamento n. 2252/2004 come modificato mirano a uniformare il contenuto e le norme di sicurezza riguardo ai passaporti rilasciati dagli Stati membri ai cittadini europei. Contrariamente a quanto affermato dal ricorrente nel procedimento principale, non è corretto sostenere che l’articolo 62, punto 2, lettera a), CE può fungere da base giuridica soltanto per misure che riguarderebbero i controlli dei cittadini di Stati terzi alle frontiere esterne. Il tenore letterale di detto articolo 62 non contiene una tale limitazione poiché esso si limita a considerare «i controlli sulle persone». Dall’acquis di Schengen risulta inoltre chiaramente che i cittadini dell’Unione sono anch’essi sottoposti a una verifica minima all’atto dell’attraversamento delle frontiere esterne dell’Unione (21). Tale controllo, come più in generale tutto il rafforzamento delle garanzie per quanto attiene alle frontiere esterne, è un corollario necessario della mancanza di controlli alle frontiere interne dell’Unione e, allo stesso tempo, è la premessa per beneficiare pienamente della libertà di circolazione nel territorio dell’Unione. Il regolamento n. 2252/2004 come modificato verte quindi effettivamente sui «controlli sulle persone alle frontiere esterne» ai sensi dell’articolo 62, punto 2, lettera a), CE (22).
26. Dall’altra, detto regolamento obbliga gli Stati membri a rilasciare passaporti il cui contenuto e le cui caratteristiche tecniche sono armonizzati. Così facendo, il legislatore dell’Unione garantisce che il controllo dei cittadini dell’Unione alle frontiere esterne si svolga su una stessa base e che l’identità di detti cittadini sia verificata dalle autorità nazionali ai diversi valichi avvalendosi degli stessi dati. Esso ha contribuito pertanto a un’integrazione ancora maggiore della politica di gestione delle frontiere (23). Il fatto di mettere a disposizione della polizia alle frontiere dell’Unione, all’atto del controllo dei passaporti dei cittadini dell’Unione, un insieme omogeneo di dati protetti mira a rafforzare il grado di sicurezza dei controlli, al contempo facilitandoli.
27. Certamente l’obbligo di rilevare due impronte digitali si traduce in un’operazione che si colloca a monte del controllo stesso. Ciò non toglie che essa influisca, evidentemente, sull’esercizio del controllo in quanto tale. Mi sembra quindi un po’ artificioso affermare che le disposizioni sui dati che sono contenuti nei passaporti e devono essere controllati all’atto dell’attraversamento delle frontiere dell’Unione non possano essere adottate sul fondamento giuridico che soggiace ai controlli stessi. Un approccio razionale al contenuto e all’interpretazione che occorre dare dell’articolo 62, punto 2, lettera a), CE impone di riconoscere che l’obbligo di rilevare due impronte digitali, alle condizioni previste all’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato, costituendo una premessa indissociabile dell’esercizio del controllo alle frontiere esterne dei cittadini dell’Unione, rientra certamente nella nozione di «norme e procedure cui gli Stati membri devono attenersi per l’effettuazione di controlli sulle persone alle (...) suddette frontiere [esterne]».
28. Per l’insieme delle ragioni esposte in narrativa, ritengo che l’articolo 62, punto 2, lettera a), CE costituisca una base giuridica appropriata ai fini dell’adozione del regolamento n. 2252/2004 come modificato.
B – Sulla pretesa violazione dell’obbligo di consultazione del Parlamento
29. Le misure che hanno come base giuridica l’articolo 62, punto 2, lettera a), CE devono essere adottate dal Consiglio in conformità della procedura prevista all’articolo 67 CE. All’epoca dell’adozione del regolamento n. 2252/2004 detta procedura prevedeva che il Parlamento dovesse essere consultato (24). Il ricorrente nel procedimento principale sostiene che detta procedura non è stata rispettata dal momento che il Parlamento è stato consultato in merito a una proposta di regolamento che prevedeva soltanto una semplice facoltà per gli Stati membri di rilevare le impronte digitali, mentre detta facoltà è stata trasformata, nel progetto finale, in un obbligo senza che il Parlamento si sia pronunciato al riguardo.
30. Occorre osservare fin da subito che il vizio di procedura eccepito dal ricorrente nel procedimento principale si riferisce alla procedura che ha portato all’adozione dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004. Orbene, la questione della validità sollevata dal giudice del rinvio si riferisce chiaramente alla validità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato(25). Non viene contestato che quest’ultimo sia stato adottato in linea con la possibilità offerta dall’articolo 67, paragrafo 2, CE, secondo la procedura prevista all’articolo 251 CE, vale a dire la procedura di codecisione. Il vizio di procedura eccepito dal ricorrente nel procedimento principale non è quindi atto a inficiare la validità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato.
31. Ciò detto, per porre fine a ogni contrasto in merito a detto aspetto, tengo, malgrado tutto, a formulare alcune brevi osservazioni per dimostrare che l’articolo 1, paragrafo 2, del regolamento n. 2252/2004 – quindi nella sua versione originale – non era, neanch’esso, intaccato da un vizio di procedura.
32. Da una parte, da una giurisprudenza costante della Corte emerge che «l’obbligo di consultare il Parlamento europeo durante il procedimento legislativo, nei casi previsti dal Trattato, comporta l’obbligo di una nuova consultazione ogni volta che l’atto infine adottato, considerato nel suo insieme, sia diverso quanto alla sua sostanza da quello sul quale il Parlamento sia stato già consultato» (26). Orbene, pur essendo vero che la proposta di regolamento del Consiglio presentata dalla Commissione prevedeva unicamente la possibilità per gli Stati membri di aggiungere, tra i dati memorizzati nel passaporto, le impronte digitali (27) e che detta possibilità è stata trasformata in un obbligo nella versione finale del regolamento, una simile trasformazione non può costituire una modifica sostanziale, ai sensi della giurisprudenza della Corte, tale da imporre una nuova consultazione del Parlamento. Il carattere facoltativo oppure obbligatorio del rilevamento non era allora la questione essenziale in discussione dato che il Parlamento doveva, in ogni caso, tener conto della possibilità che tutti gli Stati membri si avvalessero di detta facoltà.
33. Dall’altra, dalla tempistica fornita alla Corte risulta che la proposta di regolamento è stata trasmessa al Parlamento il 25 febbraio 2004. L’accordo politico in seno al Consiglio volto a trasformare la facoltà di rilevare le impronte digitali in un obbligo è stato raggiunto il 26 ottobre 2004. Un nuovo documento accompagnato da una lettera di informazioni è stato inviato dal Consiglio al Parlamento il 24 novembre 2004. Il parere del Parlamento (28) è stato reso il 2 dicembre 2004, ossia – effettivamente – poco tempo dopo tale invio, ma la presenza nel preambolo di un riferimento ai nuovi orientamenti del Consiglio tende a dimostrare che il Parlamento, nel momento in cui ha emanato il suo parere, era pienamente informato di detto cambiamento di approccio del Consiglio, cambiamento in relazione al quale esso non ha mostrato alcuna sorta di reazione. Il Parlamento non ha d’altronde lamentato nessuna violazione dell’obbligo di consultazione né ha contestato nel corso dell’udienza le precisazioni formulate circa lo svolgimento della procedura di consultazione per quanto attiene al regolamento n. 2252/2004.
34. Per queste ragioni, e benché io continui a credere che la questione della legittimità della procedura di adozione dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 sia priva di rilevanza ai fini del procedimento principale, occorre concludere nel senso che la mancata nuova consultazione del Parlamento, dopo la trasformazione da facoltà in obbligo del rilevamento delle impronte digitali ai fini della loro memorizzazione nel passaporto, non determina alcun vizio di procedura a carico di detta adozione.
C – Sull’asserita violazione del diritto fondamentale alla protezione dei dati di carattere personale
35. Dato che la domanda di pronuncia pregiudiziale si limita a indicare che l’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato violerebbe anche «la libertà di ingresso e di uscita, l’articolo 17 del Patto internazionale sui diritti civili e politici, nonché vari principi di uguaglianza e divieti di discriminazione», senza illustrare le ragioni per cui la validità di detto articolo dovrebbe essere esaminata alla luce di detti principi e libertà e senza verificare se essi siano rilevanti nell’ambito di un tale controllo, e dato che le parti interessate che hanno preso parte al procedimento davanti alla Corte, compreso il ricorrente nel procedimento principale, hanno concentrato le loro osservazioni sulla violazione del diritto fondamentale alla protezione dei dati di carattere personale, il ragionamento che segue verterà esclusivamente sull’esame della validità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato tenuto conto di detto diritto fondamentale.
36. L’articolo 8, paragrafo 1, della Carta sancisce il diritto di ogni persona «alla protezione dei dati di carattere personale che la riguardano». Orbene, le impronte digitali sono evidentemente dati di carattere personale (29). Il paragrafo 2 di detto articolo prevede, in particolare, che «[t]ali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica».
37. Ogni limitazione apportata a tale diritto deve rispettare le disposizioni dell’articolo 52, paragrafo 1, della Carta. Essa deve quindi essere prevista dalla legge, deve rispettare il contenuto essenziale del diritto di cui trattasi e il principio di proporzionalità, vale a dire deve essere necessaria e rispondere effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.
38. Prima di verificare in concreto la validità dell’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato alla luce dell’articolo 8 della Carta, desidero ricordare che la questione dei diritti fondamentali è lungi dall’essere estranea a detto regolamento. Mi dedicherò poi a dimostrare che la limitazione del diritto fondamentale alla protezione dei dati di carattere personale determinata dall’obbligo di rilevare e memorizzare, ai fini della sua lettura, l’immagine di due impronte digitali è prevista per legge e persegue un obiettivo d’interesse generale riconosciuto dall’Unione. Prenderò infine posizione sul carattere proporzionato di detta limitazione.
1. Osservazioni preliminari in relazione al posto assegnato ai diritti fondamentali nel contesto del regolamento n. 2252/2004 come modificato
39. In via preliminare occorre osservare, come ricorda il considerando 8 del regolamento n. 2252/2004, che, nell’ambito della protezione dei dati che devono essere trattati in sede di rilascio dei passaporti, trova applicazione la direttiva 95/46. Detta direttiva, menzionata nelle spiegazioni all’articolo 8 della Carta, sancisce una serie di principi fondamentali, imposti peraltro anche dalla Corte europea dei diritti dell’uomo (30), quali il trattamento leale e lecito nonché la raccolta per finalità determinate, esplicite e legittime di dati adeguati, pertinenti, non eccessivi avuto riguardo alle finalità perseguite, esatti, aggiornati e conservati in modo non permanente. Essa sancisce altresì il principio della necessità del consenso della persona al trattamento dei suoi dati, prevedendo una serie di eccezioni come l’esecuzione di un compito nell’interesse pubblico o rientrante nell’esercizio della potestà d’imperio o ancora la realizzazione dell’interesse legittimo perseguito (31). Altro elemento essenziale, tale direttiva impone un diritto d’accesso delle persone interessate dal trattamento dei dati di carattere personale a tutta una serie di informazioni (32), un diritto di opposizione a determinate condizioni (33) e un diritto di ricorso giurisdizionale (34).
40. Inoltre, l’articolo 1 bis del regolamento n. 2252/2004, introdotto dal regolamento n. 444/2009, assoggetta espressamente le procedure nazionali di rilevamento degli elementi biometrici al rispetto delle «garanzie previste dalla [CEDU] e dalla convenzione delle Nazioni Unite sui diritti del fanciullo» e richiede che, in caso di difficoltà nel rilevamento, dette procedure assicurino la dignità della persona interessata.
41. Le garanzie offerte dal regolamento n. 2252/2004 come modificato devono pertanto essere lette insieme a quelle offerte dalla direttiva 95/46 e dai rimandi che essa contiene alla CEDU e alla dignità della persona. L’esame della validità dell’articolo 1, paragrafo 2, di detto regolamento deve quindi essere necessariamente compiuto tenendo conto di detti elementi essenziali.
2. L’obbligo contenuto all’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato integra una limitazione del diritto fondamentale alla protezione dei dati di carattere personale che è prevista dalla legge e persegue un obiettivo di interesse generale riconosciuto dall’Unione
42. Da un lato, il rilevamento obbligatorio da parte delle autorità nazionali competenti alle condizioni descritte all’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato, la loro registrazione e la loro memorizzazione nei passaporti, così come la possibilità offerta alla polizia alle frontiere di leggere tali dati senza il consenso dell’interessato integrano evidentemente una limitazione del diritto riconosciuto all’articolo 8 della Carta. Infatti, a meno di rinunciare ad avere un passaporto e, di conseguenza, a spostarsi nella maggior parte degli Stati terzi, il richiedente non può opporsi al rilevamento e alla memorizzazione delle sue impronte digitali.
43. Dall’altro, occorre osservare in primo luogo che la limitazione derivante dal rilevamento obbligatorio delle impronte digitali deve essere considerata come «prevista dalla legge», ai sensi dell’articolo 52, paragrafo 1, della Carta poiché detto rilevamento è espressamente previsto dall’articolo 1, paragrafo 2, del regolamento n. 2252/2204 come modificato, che risponde anche, d’altro canto, a esigenze di accessibilità, chiarezza e prevedibilità, in conformità della giurisprudenza della Corte europea dei diritti dell’uomo (35).
44. In secondo luogo, come già osservato precedentemente (36), l’obiettivo generale essenziale perseguito dal regolamento n. 2252/2004 come modificato è quello della sicurezza delle frontiere esterne, mediante l’attuazione di una politica di gestione integrata di dette frontiere. Inoltre, l’inserimento delle impronte digitali memorizzate su un supporto protetto in un passaporto mira a rendere più affidabile il collegamento tra il titolare del documento e il documento stesso e, così facendo, rende più difficile la falsificazione e l’utilizzo fraudolento, e di conseguenza l’immigrazione illegale. D’altro canto, il metodo adottato dal legislatore era ancor più importante nella prospettiva dell’istituzione progressiva di uno spazio di sicurezza, di libertà e di giustizia (37) e, come ho già detto, in considerazione della mancanza di controlli alle frontiere interne dell’Unione.
45. Mi sembra chiaro che tutti questi «sotto‑obiettivi» partecipano alla realizzazione dell’obiettivo generale sopra ricordato. È dunque giocoforza osservare che l’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato, nell’imporre il rilevamento obbligatorio di due impronte digitali in vista della loro registrazione e della loro memorizzazione nei passaporti persegue un obiettivo di interesse generale riconosciuto dall’Unione.
3. Sul carattere proporzionato della limitazione
46. La limitazione arrecata al diritto fondamentale alla protezione dei dati di carattere personale deve altresì rispettare il principio di proporzionalità, vale a dire deve essere necessaria e rispondere effettivamente all’obiettivo perseguito.
a) La limitazione è idonea a perseguire l’obiettivo d’interesse generale riconosciuto dall’Unione
47. A questo proposito, il ricorrente nel procedimento principale nega che il rilevamento obbligatorio delle impronte digitali dei cittadini dell’Unione che chiedono il rilascio di un passaporto sia uno strumento adatto a realizzare l’obiettivo perseguito e dubita che esso contribuisca in modo effettivo alla sicurezza delle frontiere esterne. Esso sostiene in sostanza che il metodo biometrico scelto si dimostrerebbe particolarmente insoddisfacente e sarebbe, in ogni caso, di utilità limitata per quei cittadini dell’Unione per i quali il rilevamento non sarebbe possibile a causa di malattia, ferite o bruciature. Il suddetto metodo non sarebbe idoneo a garantire la realizzazione dell’obiettivo perseguito in considerazione della fragilità intrinseca del microchip utilizzato per la memorizzazione, la cui vita sarebbe molto più breve della durata di validità del passaporto. Infine, detto metodo presenterebbe una percentuale di errore importante e non sarebbe sufficientemente sicuro per garantire un collegamento assolutamente affidabile tra il legittimo titolare del passaporto e il documento stesso.
48. Mi sembra tuttavia difficile contestare il fatto che l’aggiunta di dati biometrici in un passaporto rende di per sé non solo necessariamente più complessa la falsificazione di detto passaporto, ma anche più sicure le procedure di identificazione del legittimo titolare del passaporto, poiché le autorità incaricate di effettuare il controllo alle frontiere esterne dell’Unione dispongono ora di due elementi biometrici, in aggiunta all’immagine del volto (38). È altresì indubbio che i dati biometrici in questione rappresentano, salvo rare eccezioni, dati idonei a individuare e a identificare le persone.
49. Quanto all’argomento relativo alla fallibilità del metodo, è corretto affermare che il riconoscimento permesso dal confronto delle impronte digitali non è un metodo di identificazione certo al 100% e presenta, di conseguenza, una percentuale di errore superiore allo 0% (39). Nessuno si azzarderebbe inoltre ad affermare che il passaporto descritto sotto il profilo tecnico nel regolamento n. 2252/2004 come modificato sia un documento impossibile da falsificare. Eppure è chiaro che il legislatore dell’Unione ha svolto appieno il suo compito cercando di rendere più complicata l’attività dei falsari con l’aggiunta di due elementi biometrici e approfondendo l’armonizzazione delle caratteristiche di sicurezza. In altre parole, il fatto che il metodo biometrico scelto sia fallibile e che esso non permetta di fare del passaporto un documento del tutto infalsificabile o resistente a ogni tentativo di distruzione non può renderlo inadeguato alla realizzazione dell’obiettivo perseguito, poiché – devo ripeterlo – ad oggi non è stato individuato nessun metodo infallibile. Sotto certi aspetti, peraltro, detta fallibilità è compensata da taluni alleggerimenti all’obbligo di rilevamento. Ad esempio, quando il rilevamento delle impronte non sarebbe soddisfacente dal punto di vista dell’identificazione, com’è il caso dei bambini, il legislatore dell’Unione ha previsto un regime di esenzione (40).
b) L’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato è necessario alla realizzazione dell’obiettivo di interesse generale riconosciuto dall’Unione
50. Occorre qui verificare che le istituzioni abbiano effettuato un «contemperamento equilibrato tra l’interesse dell’Unione» (41) a consolidare la sicurezza delle frontiere esterne e la limitazione della protezione dei dati di carattere personale dei cittadini dell’Unione che ambiscono al rilascio di un passaporto. Orbene, «le deroghe e le limitazioni alla protezione dei dati personali devono operare entro i limiti dello stretto necessario» (42) cosicché non deve esistere una misura altrettanto efficace ma meno lesiva di quella che deroga al diritto fondamentale alla protezione dei dati di carattere personale.
51. Una questione particolarmente dibattuta davanti alla Corte era quella della fondatezza della scelta del legislatore a favore del metodo biometrico del confronto delle impronte digitali. Secondo il ricorrente nel procedimento principale, il legislatore non avrebbe sviluppato ed esposto, in particolare da un punto di vista statistico, le ragioni per cui egli ha ritenuto necessario, all’atto dell’adozione dei regolamenti n. 2252/2004 e n. 444/2009, imporre agli Stati membri l’inserimento di due impronte digitali nei passaporti. Il ricorrente nel procedimento principale contesta in definitiva ogni ricorso a un metodo biometrico, ad eccezione dell’immagine del viso, e persino la stessa necessità di identificare in modo così preciso i cittadini dell’Unione alle sue frontiere esterne (43). Lo preoccupa in particolare la possibilità che l’immagine delle impronte digitali venga acquisita all’insaputa dei rispettivi titolari, il che le renderebbe, in definitiva, dati poco protetti (44) dal momento che ogni atto della nostra vita quotidiana costituisce un’occasione per lasciare traccia delle immagini delle nostre impronte digitali. Inoltre, l’insufficiente grado di sicurezza del microchip utilizzato per la memorizzazione non permetterebbe di garantire che i dati biometrici siano letti dalle sole autorità autorizzate. In conclusione, il grado di pregiudizio arrecato al diritto fondamentale garantito dall’articolo 8 della Carta sarebbe intollerabile perché, in primo luogo, interesserebbe tutti i cittadini dell’Unione per un periodo di dieci anni, vale a dire per tutta la durata di validità del passaporto, in secondo luogo, si ripeterebbe un’ingerenza ad ogni controllo alle frontiere esterne, in terzo luogo, esisterebbe un rischio reale di conservazione dei dati biometrici all’interno di archivi e, in quarto luogo, l’identificazione attraverso le impronte digitali potrebbe dar luogo a derive e presenterebbe il rischio di stigmatizzare determinate categorie di persone. Per tutte queste ragioni il sig. Schwarz ritiene che la limitazione del diritto fondamentale non abbia alcun nesso con le difficoltà realmente incontrate in occasione dei controlli alle frontiere esterne dell’Unione né in termini di identificazione dei cittadini dell’Unione né di lotta ai tentativi di ingresso illegale nel territorio dell’Unione mediante un passaporto falso.
52. Se è vero che la relazione di accompagnamento del regolamento n. 2252/2004 non indica in modo particolareggiato le ragioni che hanno indotto il legislatore ad optare per l’inserimento delle immagini delle impronte digitali, essa spiega tuttavia chiaramente la necessità di rendere coerente l’approccio adottato per i passaporti dei cittadini dell’Unione rispetto ai documenti di viaggio rilasciati ai cittadini dei paesi terzi (45). Orbene, per questi ultimi documenti l’inserimento di dette impronte era già previsto (46). Peraltro, la relazione di accompagnamento richiama anche i risultati dei lavori dell’Organizzazione internazionale per l’aviazione civile (OIAC), la quale «ha scelto come primo identificatore biometrico interoperativo l’immagine del volto, e (…) le impronte digitali e/o l’immagine dell’iride» (47). In ogni caso, tutti i pareri che sono stati acquisiti sulla questione dell’inserimento di dati biometrici diversi dall’immagine del volto, sia dal Garante europeo della protezione dei dati (48) sia dal gruppo di lavoro dell’articolo 29 (49), hanno messo in guardia le istituzioni di fronte ai rischi intrinseci del ricorso alla biometria in generale, ma non hanno mai messo in discussione la scelta stessa dell’immagine delle impronte digitali. Tutti i pareri suddetti, senza eccezione alcuna, hanno ricordato che il carattere, per definizione, sensibile dei dati biometrici necessita di garanzie specifiche ma non hanno mai sostenuto che la scelta delle impronte digitali come identificatore biometrico aggiuntivo da inserire nei documenti di viaggio sia privo di qualsiasi rilevanza. Infine, tenuto conto del fatto che, in linea di principio, ogni individuo è in grado di fornire agevolmente un’immagine delle sue impronte digitali e che queste ultime sono uniche, nel senso che gli sono proprie, il legislatore ha potuto, a mio avviso legittimamente, ritenere che le impronte digitali costituiscano un identificatore biometrico idoneo a rendere più affidabile il collegamento tra il passaporto e il suo titolare rendendo allo stesso tempo più arduo ogni tentativo di uso fraudolento o falsificazione.
53. L’ipotesi di un errore manifesto del legislatore dell’Unione – l’unico a poter essere sanzionato quando, come nel presente caso, esso dispone «in un contesto tecnico complesso ed evolutivo (...) di un ampio potere discrezionale per determinare l’ampiezza delle misure che adotta, segnatamente quanto alla valutazione di elementi in fatto altamente complessi di ordine scientifico e tecnico» (50) – risulta così da escludersi, tanto più che la Corte non può, in un simile contesto, sostituire la propria valutazione a quella del legislatore cui il Trattato ha affidato tale compito.
54. Quanto all’esistenza di misure alternative meno lesive del diritto fondamentale alla protezione dei dati di carattere personale, il ricorso alla scansione dell’iride non può essere considerato meno lesivo. Esso presenta inoltre un certo numero d’inconvenienti legati sia al costo intrinseco di detto metodo – che è brevettato – sia al rischio per la salute che la procedura di scansione dell’iride comporta o ancora alle lungaggini che la verifica della concordanza dell’iride determinerebbe in sede di controlli alle frontiere esterne dell’Unione (51). Per parte sua, il solo inserimento dell’immagine del volto è di certo meno lesivo ma, tenuto conto della modificazione dell’aspetto fisico di cui detta immagine non può render conto, non si dimostra altrettanto efficace quando le autorità di controllo necessitano di confermare l’identità di una persona e il suo legittimo legame con il passaporto esibito.
55. Quanto all’argomento relativo alla possibilità che soggetti terzi o Stati terzi acquisiscano i dati (52), mi limiterò ad osservare che, quanto alla prima ipotesi, i rischi non mi sembrano inferiori nel caso di un sistema nel quale il controllo si fondi soltanto sull’immagine del volto. Quanto agli Stati terzi, non condivido l’opinione del ricorrente a detta del quale l’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato sarebbe alla base del rischio di abusi che i cittadini dell’Unione corrono negli Stati terzi. È sufficiente a questo proposito osservare che l’Unione non influenza in alcun modo la determinazione delle formalità che i suoi cittadini devono adempiere per entrare nel territorio degli Stati terzi.
c) Considerazioni finali
56. Il numero di impronte digitali la cui immagine deve essere rilevata e memorizzata è limitato a due. L’obbligo di rilevamento grava soltanto sui cittadini dell’Unione che desiderano viaggiare al di fuori delle sue frontiere interne. Detti dati devono essere utilizzati per fini rigorosamente determinati: il regolamento n. 252/2004 come modificato stabilisce così che i dati sono utilizzati «al solo fine di verificare» l’autenticità del passaporto e l’identità del titolare (53). I dati sono contenuti nel solo supporto di memorizzazione protetto inserito nel passaporto, il che significa che, in linea di principio, il cittadino dell’Unione è il solo detentore dell’immagine delle proprie impronte. Detto regolamento non può – e questo è un elemento essenziale – servire quale base giuridica per la realizzazione da parte degli Stati membri di banche dati che raccolgono dette informazioni (54). Il periodo per il quale l’immagine delle impronte digitali è memorizzata nel passaporto risulta anch’esso limitato, poiché coincide con la durata di validità del passaporto.
57. In ogni caso, la verifica della corrispondenza delle impronte digitali non è sistematica ma avviene in modo aleatorio, ad esempio se il controllo, sulla base della sola immagine del viso e degli elementi contenuti nel passaporto, non ha eliminato ogni dubbio quanto all’autenticità del passaporto e/o all’identità del suo titolare. I dati – protetti – sono rilevati da personale qualificato e debitamente autorizzato (55) e solo le autorità autorizzate e che dispongono di strumentazione adeguata possono leggerli (56). La persona le cui impronte digitali sono state rilevate e memorizzate dispone di un diritto di verifica, di rettifica e di cancellazione (57). Infine, per limitare gli inconvenienti che possono derivare dalle imperfezioni e dai limiti intrinseci al metodo e alla tecnologia, è previsto che «[l]a mancanza di corrispondenza non pregiudic[hi] di per sé la validità del passaporto (...) ai fini dell’attraversamento delle frontiere esterne» (58) ed è inoltre previsto un regime derogatorio per i bambini minori di 12 anni, per le persone per le quali tale rilevamento è fisicamente impossibile o, ancora, per le persone per le quali il rilevamento è temporaneamente impossibile (59). Prevedendo dette deroghe o eccezioni, il legislatore dell’Unione ha così avuto cura di proteggere la dignità delle persone.
58. Ebbene, è vero, l’identificazione mediante confronto delle impronte digitali è una tecnica che conosce limiti e non mi è possibile affermare che il regolamento n. 2252/2004 come modificato ha istituito un regime che permette di escludere, in modo assoluto, ogni rischio, compresi quelli di un utilizzo fraudolento e di contraffazione. Ciò precisato, ritengo, alla luce delle considerazioni che precedono e delle precauzioni adottate, che il legislatore abbia adottato tutte le misure necessarie per garantire un trattamento il più possibile leale e lecito dei dati personali richiesti ai fini del rilascio di un passaporto. È innegabile che, con il suo approccio misurato, esso ha effettuato una ponderazione equilibrata degli interessi dell’Unione coinvolti.
59. Di conseguenza, la limitazione al diritto fondamentale alla protezione dei dati di carattere personale che scaturisce dall’articolo 1, paragrafo 2, del regolamento n. 2252/2004 come modificato deve essere considerata proporzionata.
VI – Conclusione
60. Alla luce delle considerazioni che precedono, propongo pertanto alla Corte di rispondere nel modo seguente alla questione pregiudiziale posta dal Verwaltungsgericht Gelsenkirchen:
L’esame della questione sollevata non ha rivelato alcun elemento atto a inficiare la validità dell’articolo 1, paragrafo 2, del regolamento (CE) n. 2252/2004 del Consiglio, del 13 dicembre 2004, relativo alle norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti e dei documenti di viaggio rilasciati dagli Stati membri, come modificato dal regolamento (CE) n. 444/2009 del Parlamento europeo e del Consiglio, del 28 maggio 2009.