Edizione provvisoria
CONCLUSIONI DELL’AVVOCATO GENERALE
JEAN RICHARD DE LA TOUR
presentate il 13 giugno 2024 (1)
Causa C‑80/23
Procedimento penale
a carico di
V.S.,
con l’intervento di
Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost
[domanda di pronuncia pregiudiziale del Sofiyski gradski sad (Tribunale di Sofia, Bulgaria)]
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Persona formalmente accusata – Registrazione di dati personali da parte della polizia – Dati sensibili – Dati biometrici e genetici – Esecuzione coercitiva – Obiettivi di prevenzione e di accertamento dei reati – Esito dell’indagine in corso – Confronto con dati personali raccolti nell’ambito di altre indagini – Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C‑205/21, EU:C:2023:49) – Interpretazione della sentenza della Corte – Obbligo di interpretazione conforme – Articolo 10 – Articolo 6, lettera a) – Valutazione del carattere “strettamente necessario” del trattamento dei dati sensibili da parte delle autorità competenti – Requisiti – Controllo »
I. Introduzione
1. Il dialogo tra organi giurisdizionali non si conclude sempre a seguito del primo scambio tra gli interlocutori interessati. È possibile che tra la Corte e il giudice nazionale che l’ha già adita si instauri un colloquio più lungo qualora quest’ultimo, dopo aver preso conoscenza della sentenza pregiudiziale della Corte, ritenga di non essere ancora in possesso di informazioni che considera indispensabili per potersi pronunciare sulla controversia dinanzi ad esso pendente. Tale fattispecie si verifica nella presente causa.
2. La domanda di pronuncia pregiudiziale del Sofiyski gradski sad (Tribunale di Sofia, Bulgaria) verte sull’articolo 6, lettera a), e sull’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (2), quali interpretati dalla Corte nella sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (3).
3. Si tratta della seconda domanda che tale giudice sottopone alla Corte nell’ambito della stessa controversia di cui al procedimento principale (4). Tale controversia riguarda una domanda presentata dalle autorità di polizia bulgare di procedere all’esecuzione coercitiva della raccolta dei dati fotografici, dattiloscopici e genetici (5) di V.S. a fini di registrazione. In seguito alla sua messa in stato di accusa formale per un reato qualificato come doloso, e come tale perseguibile d’ufficio, V.S. era stata invitata a sottoporsi a tale registrazione dei suoi dati, cosa che essa si è rifiutata di fare. Le autorità di polizia avevano quindi chiesto al giudice del rinvio di ordinare l’esecuzione coercitiva della registrazione da parte della polizia.
4. La domanda rivolta dalle autorità di polizia a tale giudice indicava che erano state raccolte prove sufficienti della colpevolezza di V.S. Vi si precisava che quest’ultima era ufficialmente indagata per aver commesso un reato doloso perseguibile d’ufficio e che essa si era rifiutata di sottoporsi alla raccolta di tali dati. A tale domanda erano state allegate solo le copie del provvedimento di accusa formale di V.S. e della dichiarazione in cui essa rifiutava di dare il suo consenso alla registrazione da parte della polizia. Alla luce di tali soli elementi, detto giudice avrebbe dovuto, ai sensi del suo diritto nazionale, disporre l’esecuzione coercitiva della registrazione dei dati di V.S. da parte della polizia.
5. Tuttavia, nell’esaminare la domanda, il giudice del rinvio aveva nutrito dubbi sulla compatibilità di una tale situazione con i requisiti derivanti dalla direttiva 2016/680 per quanto riguarda, in particolare, la raccolta e il trattamento dei dati sensibili. La Corte ha risposto agli interrogativi di tale giudice nella sentenza Registrazione di dati biometrici e genetici I.
6. Nel sottoporre alla Corte due nuove questioni pregiudiziali, il giudice del rinvio espone di non essere ancora stato in grado di stabilire se potesse disporre una tale esecuzione senza violare il diritto dell’Unione.
7. Tali questioni invitano la Corte, da un lato, a chiarire i termini della sua sentenza Registrazione di dati biometrici e genetici I per quanto riguarda il requisito del carattere «strettamente necessario» del trattamento relativo a categorie particolari di dati personali, considerati come dati sensibili, di cui all’articolo 10 della direttiva 2016/680 (6) e, dall’altro, a precisare a cosa il giudice del rinvio sia tenuto al fine di rimediare all’incompatibilità con tale direttiva della normativa bulgara relativa alla registrazione da parte della polizia.
II. Contesto normativo
8. Per quanto riguarda il contesto normativo, rinvio ai punti da 3 a 34 della sentenza Registrazione di dati biometrici e genetici I.
III. Fatti della controversia di cui al procedimento principale e questioni pregiudiziali
9. Il giudice del rinvio indica di essere venuto a conoscenza di tale sentenza il 26 gennaio 2023. Esso ritiene, tuttavia, che determinate circostanze non siano state chiarite e di non essere ancora in grado di stabilire se dover rilasciare o meno l’autorizzazione alla raccolta dei dati biometrici e genetici di V.S.
10. In primo luogo, il giudice del rinvio ritiene di non poter procedere, ai fini della sua decisione sulla domanda di autorizzazione all’esecuzione coercitiva presentatagli dalle autorità di polizia, alle verifiche indicate al punto 133 della sentenza Registrazione di dati biometrici e genetici I, in quanto non disporrebbe della base documentale necessaria a tal fine. Il diritto bulgaro prevede, infatti, che esso si pronunci esclusivamente sulla base della domanda (7) – la quale fa riferimento al procedimento penale in corso a carico di V.S., dichiara che sono state raccolte prove sufficienti della sua colpevolezza e conferma la sua messa in stato di accusa formale – alla quale sono allegati il provvedimento di accusa formale e il rifiuto scritto di V.S. di sottoporsi alla registrazione da parte della polizia. Esso non prevede la trasmissione di altri atti del fascicolo al giudice del rinvio.
11. Il giudice del rinvio indica che un’interpretazione conforme del proprio diritto nazionale sarebbe possibile se esso si avvalesse delle norme generali del Nakazatelno-protsesualen kodeks (codice di procedura penale; in prosieguo: il «NPK»), in particolare del suo articolo 158 (8), anziché della disposizione speciale costituita dall’articolo 68 dello ZMVR. Ciò gli consentirebbe di disporre dell’intero fascicolo. Infatti, le misure investigative adottate nel corso della fase preliminare del procedimento penale (9) che comportano una violazione della sfera privata delle persone – quali la raccolta di dati di connessione o l’esame della persona – sono attuate dalle autorità incaricate dell’indagine previa autorizzazione da parte di un giudice. Il fascicolo del procedimento viene quindi trasmesso a quest’ultimo, il quale può così esaminare tutta la documentazione al fine di valutare se la domanda di previa autorizzazione sia fondata (10). Il giudice del rinvio individua le ragioni di tale differenza di regime giuridico come segue: da un lato, la raccolta dei dati biometrici e genetici è richiesta dalla polizia e non dal pubblico ministero e, dall’altro, tale raccolta avviene unicamente ai fini di un eventuale uso futuro di tali dati, qualora in un qualsiasi momento successivo ciò dovesse risultare necessario.
12. Il giudice del rinvio sottolinea inoltre che, secondo il diritto bulgaro, la trasmissione del fascicolo ai fini del rilascio della previa autorizzazione non è considerata tale da ostacolare lo svolgimento dell’indagine penale. La giustificazione della mancata trasmissione del fascicolo del procedimento al giudice investito di una domanda di autorizzazione all’esecuzione coercitiva di una registrazione da parte della polizia non potrebbe quindi basarsi sul motivo di cui al punto 100 della sentenza Registrazione di dati biometrici e genetici I, ossia il rischio di ostacolare il corretto svolgimento dell’indagine penale.
13. Orbene, sebbene da tale sentenza risulti la conformità all’articolo 47 della Carta dei diritti fondamentali dell’Unione europea (11) del fatto che il fascicolo non debba essere trasmesso al giudice investito di una domanda di autorizzazione all’esecuzione coercitiva della registrazione da parte della polizia, il giudice del rinvio si chiede come poter procedere alle verifiche derivanti dalla lettura dei punti 132 e 133 di detta sentenza, al fine di valutare il carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, del trattamento dei dati biometrici e genetici di V.S. e di verificare se la natura e la gravità del reato di cui la persona è indiziata nel procedimento penale o altri elementi pertinenti – quali le circostanze particolari del reato, l’eventuale collegamento di detto reato con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale di V.S. – possano rivelarsi tali da stabilire una tale necessità.
14. Il giudice del rinvio desidera pertanto sapere se l’articolo 10 della direttiva 2016/680 debba essere interpretato nel senso che la verifica del carattere «strettamente necessario» può essere effettuata senza che il giudice abbia accesso al fascicolo completo o se, al contrario, una tale verifica richieda che esso abbia accesso all’intero fascicolo, ancorché sembri che la Corte abbia dichiarato legittima l’indisponibilità del fascicolo per il giudice (12).
15. In secondo luogo, nell’ipotesi in cui la direttiva 2016/680 dovesse imporre la trasmissione dell’intero fascicolo, il giudice del rinvio ritiene di dover procedere alla valutazione della fondatezza dell’accusa formale. Una tale valutazione sarebbe richiesta in quanto dai punti 130 e 131 della sentenza Registrazione di dati biometrici e genetici I deriverebbe che il solo fatto che una persona sia formalmente accusata non è sufficiente a stabilire il carattere «strettamente necessario» della raccolta e che devono sussistere fondati motivi di ritenere che la persona di cui trattasi abbia commesso il reato.
16. Il giudice del rinvio deduce di poter valutare se l’accusa sia sufficientemente suffragata dagli elementi di prova, anche sulla base del fatto che, in primo luogo, si tratterebbe di un requisito derivante dall’articolo 6, lettera a), della direttiva 2016/680; in secondo luogo, tale valutazione dovrebbe essere effettuata, in ogni caso, nell’ambito dei procedimenti disciplinati dall’articolo 158 del NPK, che sono i più simili a quello disciplinato dall’articolo 68, paragrafo 5, dello ZMVR; in terzo luogo, la possibilità di effettuare una siffatta valutazione in un momento successivo non escluderebbe che, al momento del rilascio dell’autorizzazione giudiziaria alla raccolta coercitiva dei dati biometrici e genetici, l’accusa non fosse in realtà suffragata; in quarto luogo, la direttiva 2016/680 sarebbe precisamente intesa a istituire un meccanismo che impedisca che vengano raccolti dati personali, in particolare dati biometrici e genetici, in assenza di una corrispondente base giuridica, circostanza che andrebbe verificata immediatamente; e, in quinto luogo, quantomeno una parte delle verifiche necessarie ai sensi dei punti 132 e 133 della sentenza Registrazione di dati biometrici e genetici I comprenderebbe precisamente la valutazione delle prove raccolte, poiché da tali punti si evincerebbe la necessità di valutare la natura e la gravità del reato nonché le circostanze della sua commissione. Orbene, al fine di valutare tali circostanze, occorrerebbe accertare che sussistano fondati motivi di ritenere che la persona di cui trattasi abbia commesso il reato, fermo restando che tale valutazione presupporrebbe che siano già stati riscontrati sufficienti elementi di prova.
17. La valutazione del carattere «strettamente necessario» della raccolta presupporrebbe quindi anche una valutazione delle prove sulle quali si basa l’accusa formale e dell’esistenza di fondati motivi di ritenere che la persona abbia commesso un reato.
18. Il giudice del rinvio si chiede se, non appena disporrà del fascicolo del procedimento, esso sarà tenuto ad effettuare un esame completo della legittimità della raccolta coercitiva, anche per quanto riguarda la fondatezza dell’accusa, o se dovrà limitarsi a verificare le altre circostanze, menzionate ai punti 132 e 133 della sentenza Registrazione di dati biometrici e genetici I, estranee a tale problematica (come il casellario giudiziale o la personalità del soggetto accusato) senza occuparsi del controllo relativo all’accusa formale.
19. In tali circostanze, il Sofiyski gradski sad (Tribunale di Sofia) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se il requisito della verifica del carattere “strettamente necessario” ai sensi dell’articolo 10 della direttiva 2016/680 come interpretato dalla Corte al punto 133 della sentenza [Registrazione di dati biometrici e genetici I] sia soddisfatto, qualora essa venga effettuata unicamente sulla base del provvedimento di accusa formale della persona e sulla base del suo rifiuto scritto a che siano raccolti i suoi dati biometrici e genetici, oppure se sia necessario che il giudice disponga dell’intera documentazione relativa al procedimento, la quale gli viene messa a disposizione in forza del diritto nazionale in presenza di una domanda di autorizzazione alla conduzione di atti di indagine lesivi della sfera giuridica delle persone fisiche, laddove tale domanda venga presentata nell’ambito di un procedimento penale.
2) In caso di risposta affermativa alla prima questione, se il giudice, una volta che gli sia stato messo a disposizione il fascicolo del procedimento, possa anche verificare, nell’ambito della valutazione del carattere “strettamente necessario”, ai sensi dell’articolo 10 in combinato disposto con l’articolo 6, lettera a), della direttiva 2016/680, se vi siano fondati motivi di ritenere che la persona formalmente accusata abbia commesso il reato indicato nell’atto di accusa».
20. Il governo ungherese e la Commissione europea hanno presentato osservazioni scritte. I governi bulgaro e ungherese nonché la Commissione hanno partecipato all’udienza tenutasi il 20 marzo 2024, durante la quale tali parti hanno risposto ai quesiti per risposta orale loro rivolti dalla Corte.
IV. Analisi
21. Affinché il dialogo di cui ho precedentemente parlato (13) vada a buon fine e permetta a entrambe le parti interessate di ascoltarsi e comprendersi, queste ultime devono assicurarsi di esprimersi in un linguaggio che sia comprensibile per entrambe.
22. La Commissione ha proposto di porre fine al dialogo in modo alquanto secco chiedendo alla Corte di dichiarare le questioni pregiudiziali irricevibili in quanto basate su un’interpretazione errata della sentenza Registrazione di dati biometrici e genetici I. Al contrario, ritengo che debba prevalere un approccio più didattico e che, in ogni caso, tali questioni siano ricevibili (14).
23. Poiché nuovi interrogativi emergono, per il giudice del rinvio, dalla sua lettura della sentenza Registrazione di dati biometrici e genetici I, occorre assicurarsi che questa sia stata compresa correttamente. Orbene, pare che non sia così.
24. Il giudice del rinvio parte dalla premessa, a mio avviso errata, che la Corte gli abbia conferito il mandato di rimediare, esso stesso, alle lacune del proprio diritto nazionale, improvvisando un controllo ad hoc. Inoltre, il ruolo assegnato alle autorità competenti dalla direttiva 2016/680 per quanto riguarda la valutazione del carattere «strettamente necessario» – condizione essenziale per il trattamento dei dati sensibili – non sembra essere stato correttamente compreso. Infine, dalla lettura che il giudice del rinvio ha dato della sentenza Registrazione di dati biometrici e genetici I, un adeguato collegamento tra la verifica di tale carattere «strettamente necessario» e quella della fondatezza dell’accusa non è del tutto evidente.
25. Spetta quindi alla Corte, nell’ambito di tale nuovo procedimento di cooperazione avviato tra essa e il giudice del rinvio, fornire a quest’ultimo una risposta utile che gli consenta di statuire sulla controversia di cui è investito. A tal fine, la Corte deve rispondere a una questione che non le viene propriamente sottoposta, la cui risposta dipende, in parte, dall’interpretazione del diritto nazionale. Si tratta quindi di un’operazione poco ortodossa per la Corte.
26. Pertanto, ai fini del prosieguo dell’analisi, è essenziale sottolineare che il giudice del rinvio non è stato investito della verifica della valutazione, da parte delle autorità competenti ai sensi dell’articolo 3, punto 7, della direttiva 2016/680 (nel caso di specie, le autorità di polizia), del carattere «strettamente necessario» della raccolta e del trattamento dei dati sensibili di V.S. E a ragione: il diritto bulgaro non prevede che una valutazione del genere sia effettuata da tali autorità.
27. In tali circostanze, le questioni pregiudiziali sollevano la seguente questione fondamentale preliminare: se il giudice del rinvio, attraverso il suo solo controllo ora fondato sull’articolo 158 del NPK (15) – che prevede misure investigative nei procedimenti penali ordinari e, in particolare, il prelievo di un campione al fine di stabilire un profilo del DNA –, possa garantire la piena e completa effettività dell’articolo 10 della direttiva 2016/680.
28. Proporrò di concludere che l’interpretazione conforme suggerita non è tale da rendere la situazione di cui al procedimento principale compatibile con i requisiti dell’articolo 10 della direttiva 2016/680 (A). Una risposta alle due questioni sollevate dovrebbe restare utile per la risoluzione della controversia di cui al procedimento principale solo nel caso in cui la Corte adottasse un approccio diverso. Pertanto, fornirò elementi di risposta a tali questioni in via, a mio avviso, subordinata e sulla base di un’analisi più rapida (B).
A. Sentenza Registrazione di dati biometrici e genetici I, obbligo d’interpretazione conforme e definizione delle competenze del giudice del rinvio
29. Occorre, innanzitutto, richiamare gli insegnamenti da trarre dalla sentenza Registrazione di dati biometrici e genetici I, prima di esaminare, in seguito, gli esiti a cui dovrebbe condurre l’interpretazione a cui il giudice del rinvio propone di procedere, al fine di poter valutare, infine, se tale interpretazione sia effettivamente tale da rendere il diritto bulgaro conforme ai requisiti dell’articolo 10 della direttiva 2016/680, quali risultano da tale sentenza.
1. Insegnamenti della sentenza Registrazione di dati biometrici e genetici I
30. In tale sentenza, alla Corte è stato chiesto, in particolare, se l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8, di tale direttiva, dovesse essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica, ai fini della loro registrazione, di dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, senza prevedere l’obbligo, per l’autorità competente, di determinare e di dimostrare, da un lato, che tale raccolta è necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall’altro, che tali obiettivi non possono essere raggiunti raccogliendo solo una parte dei dati di cui trattasi (16).
31. Poiché il trattamento delle categorie particolari di dati costituite dai dati biometrici e genetici deve essere autorizzato «solo se strettamente necessario» (17), la Corte ha dichiarato che un tale trattamento può essere considerato necessario solo in un numero limitato di casi e che tale necessità doveva essere valutata in modo particolarmente rigoroso (18), in quanto l’obiettivo dell’articolo 10 della direttiva 2016/680 è quello di fornire una maggiore protezione alle persone i cui dati sensibili devono essere trattati (19).
32. Per quanto riguarda la registrazione da parte della polizia, la Corte ha quindi indicato che il carattere «strettamente necessario» della raccolta, ai fini della loro registrazione, dei dati biometrici e genetici delle persone formalmente accusate deve essere determinato alla luce delle finalità di tale raccolta, che devono essere determinate, esplicite e legittime. Inoltre, i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (20). Le disposizioni del diritto nazionale devono disporre che il trattamento sia lecito solo se, e nella misura in cui, è necessario per l’esecuzione di un compito di un’autorità competente per le finalità di cui all’articolo 1, paragrafo 1, della direttiva 2016/680, e specificare quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento (21). Questi ultimi devono essere definiti in modo sufficientemente preciso e concreto da consentire di valutare il carattere «strettamente necessario» del trattamento (22).
33. A ciò si aggiunge un controllo particolarmente rigoroso del rispetto del principio di minimizzazione dei dati. Da un lato, l’obiettivo perseguito non deve ragionevolmente poter essere conseguito in modo altrettanto efficace con altri mezzi meno lesivi dei diritti fondamentali delle persone interessate. Il titolare del trattamento deve assicurarsi che tale obiettivo non possa essere soddisfatto facendo ricorso a categorie di dati diverse da quelle elencate all’articolo 10 della direttiva 2016/680 (23). Dall’altro lato, il requisito del carattere «strettamente necessario» implica che si tenga conto della particolare rilevanza dell’obiettivo che un simile trattamento mira a conseguire (24).
34. Sulla base di tali considerazioni, la Corte ha esplicitamente dichiarato che «una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio è contraria, in linea di principio, al requisito enunciato all’articolo 10 della direttiva 2016/680» (25). Una tale normativa «può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati biometrici e genetici della maggior parte delle persone formalmente accusate, dal momento che la nozione di “reato doloso perseguibile d’ufficio” riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura e dalla loro gravità» (26). In particolare, «il solo fatto che una persona sia formalmente accusata di un reato doloso perseguibile d’ufficio non può essere considerato un elemento che consente, di per sé, di presumere che la raccolta dei suoi dati biometrici e genetici sia strettamente necessaria alla luce delle finalità che essa persegue e tenuto conto del pregiudizio arrecato ai diritti fondamentali, in particolare dei diritti al rispetto della vita privata e della protezione dei dati personali garantiti dagli articoli 7 e 8 della Carta, che ne deriva» (27).
35. La Corte ha proseguito indicando che, pur sussistendo fondati motivi di ritenere che la persona di cui trattasi abbia commesso un reato, che giustifica la sua accusa formale – il che presuppone che siano stati riscontrati sufficienti elementi di prova –, potranno verificarsi casi in cui la raccolta dei dati biometrici e genetici non obbedirà ad alcuna necessità concreta ai fini del procedimento penale in corso (28). La probabilità che la raccolta di tali dati sia strettamente necessaria nell’ambito di procedimenti diversi non può essere presunta, ma dev’essere valutata alla luce di altri elementi pertinenti, quali, in particolare, la natura e la gravità del presunto reato del quale l’interessato è formalmente accusato, le circostanze particolari di tale reato, il suo eventuale collegamento con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale di tale persona (29).
36. È quindi dopo aver fornito tutte queste indicazioni che la Corte ha dichiarato che spetta al giudice del rinvio «verificare se, al fine di garantire l’effettività dell’articolo 10 della direttiva 2016/680, sia possibile interpretare la normativa nazionale che prevede [l’esecuzione coercitiva della registrazione da parte della polizia] in modo conforme al diritto dell’Unione. In particolare, spetta al giudice del rinvio verificare se il diritto nazionale consenta di valutare il carattere “strettamente necessario” della raccolta sia dei dati biometrici sia dei dati genetici della persona interessata, ai fini della loro registrazione. In particolare, occorrerebbe, a tale titolo, verificare se la natura e la gravità del reato di cui la persona interessata, nel procedimento penale principale, è indiziata o se altri elementi pertinenti, come [le circostanze particolari di tale reato, il suo eventuale collegamento con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale di tale persona], possano costituire circostanze tali da dimostrare un simile carattere “strettamente necessario”. Inoltre, occorrerebbe assicurarsi che la raccolta dei dati di stato civile (…) non consenta, già di per sé, di raggiungere gli obiettivi perseguiti» (30).
37. Infine, la Corte ha indicato molto chiaramente che, «nell’ipotesi in cui il diritto nazionale non garantisca un simile controllo della misura di raccolta dei dati biometrici e genetici, spetta al giudice del rinvio garantire la piena efficacia di detto articolo 10, respingendo la richiesta delle autorità di polizia di autorizzare l’esecuzione coercitiva di tale raccolta» (31).
2. Ragioni dell’incompatibilità della normativa bulgara con l’articolo 10 della direttiva 2016/680 e carenze dell’interpretazione conforme proposta
38. La conclusione (32) cui è giunta la Corte nella sentenza Registrazione di dati biometrici e genetici I, pur con le consuete precauzioni (33), è chiara: il regime della registrazione da parte della polizia, di cui l’esecuzione coercitiva è una componente, non è compatibile con i requisiti dell’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8, paragrafi 1 e 2, di tale direttiva.
39. Il rappresentante del governo bulgaro non ha assunto una posizione diversa durante la sua difesa orale nella presente causa quando ha riconosciuto l’impossibilità per le autorità competenti di valutare il carattere «strettamente necessario» della registrazione da parte della polizia e ha indicato alla Corte di essere stato informato dal Ministero dell’Interno che era in corso di adozione un emendamento all’articolo 68 dello ZMVR, inteso a introdurre l’obbligo per le autorità competenti di verificare, caso per caso, il requisito del carattere «strettamente necessario» relativamente alla raccolta dei dati biometrici e genetici delle persone formalmente accusate.
40. È vero che la Corte non si è limitata a tale constatazione di incompatibilità e che ha incaricato il giudice del rinvio di verificare se fosse possibile interpretare la normativa nazionale che prevede l’esecuzione coercitiva della registrazione da parte della polizia in modo conforme al diritto dell’Unione. A tal fine, essa ha, in particolare, incaricato tale giudice di verificare se il diritto nazionale consenta di valutare il carattere «strettamente necessario» della raccolta dei dati ai fini della loro registrazione (34).
41. Al fine di interpretare l’articolo 68 dello ZMVR in modo conforme all’articolo 10 della direttiva 2016/680, il giudice del rinvio intende applicare, al momento di pronunciarsi sulla domanda di autorizzazione all’esecuzione coercitiva della registrazione da parte della polizia, le garanzie previste all’articolo 158 del NPK, da cui sembra discendere che la raccolta di prove sotto forma di dati biometrici e genetici nell’ambito di un’indagine penale deve, in linea di principio, essere soggetta a una previa autorizzazione del giudice, che potrà verificarne la necessità ai fini dell’indagine penale sulla base di tutti i documenti del fascicolo processuale a cui deve avere accesso.
42. Tuttavia, da un lato, come giustamente rilevato dalla Commissione, il punto 133 della sentenza Registrazione di dati biometrici e genetici I non può essere interpretato nel senso che, secondo la Corte, una valutazione del carattere «strettamente necessario» della raccolta dei dati, effettuata dal giudice del rinvio stesso, sarebbe idonea a soddisfare i requisiti dell’articolo 10 della direttiva 2016/680. Per contro, ritengo che l’assenza di una valutazione del carattere «strettamente necessario», richiesta da tale articolo 10, della raccolta dei dati biometrici e genetici di V.S. da parte delle stesse autorità competenti non possa essere compensata dal giudice del rinvio, tenuto conto del ruolo centrale di tali autorità nel sistema istituito da tale direttiva (35). Pertanto, la questione del controllo giurisdizionale del carattere «strettamente necessario» della raccolta dei dati sensibili, nell’ambito di un procedimento penale, è una questione distinta, eventualmente ulteriore, rispetto a quella della valutazione di una tale necessità da parte delle autorità competenti.
43. L’interpretazione conforme proposta dal giudice del rinvio non porterà quindi, a mio avviso, ad eliminare dall’ordinamento giuridico bulgaro tutti gli elementi d’incompatibilità con l’articolo 10 della direttiva 2016/680 che esso racchiude.
44. Per persuadersene, è sufficiente considerare i seguenti punti.
45. In primo luogo, se non vado errato, nell’ambito del regime previsto dall’articolo 158 del NPK (36), il giudice valuta solo la necessità della raccolta alla luce della finalità perseguita da tale disposizione. La previa autorizzazione a procedere alla raccolta dei dati interessati dalla misura investigativa potrebbe essere rilasciata tenendo conto degli elementi già raccolti su cui si basano i seri dubbi sulla partecipazione dell’interessato alla commissione del reato e idonei a suffragare l’utilità di tale raccolta ai fini dell’esito dell’indagine.
46. Quanto all’articolo 10 della direttiva 2016/680, esso richiede una valutazione del carattere strettamente necessario, e quindi rafforzato, da parte delle autorità competenti. Inoltre, fatta salva la verifica da parte del giudice del rinvio, le finalità della registrazione da parte della polizia sembrano essere più ampie di quelle perseguite dall’articolo 158 del NPK.
47. Infatti, dal punto 99 della sentenza Registrazione di dati biometrici e genetici I emerge che la registrazione da parte della polizia persegue due finalità essenziali, ossia, da un lato, il confronto con dati già raccolti nell’ambito di altre indagini penali ai fini di un loro possibile esito e, dall’altro, l’utilizzo di tali dati nell’ambito dell’indagine penale in corso (37). Nel corso dell’udienza tenutasi dinanzi alla Corte nella presente causa, il governo bulgaro ha indicato che la finalità principale della registrazione da parte della polizia consisteva nell’utilizzo dei dati raccolti nel contesto del procedimento penale in corso. Qualsiasi eventuale uso futuro di tali dati costituirebbe una finalità secondaria. Per contro, il giudice del rinvio afferma che, nel caso della registrazione da parte della polizia, la raccolta dei dati avviene unicamente ai fini di un eventuale uso futuro, qualora in un qualsiasi momento successivo ciò dovesse risultare necessario (38).
48. Una tale affermazione solleva tre ordini di interrogativi (39). Infatti, in primo luogo, dato che l’articolo 68 dello ZMVR perseguirebbe una finalità identica a quella perseguita dall’articolo 158 del NPK, non è chiaro in quali casi la raccolta di dati biometrici e genetici dovrebbe richiedere la previa autorizzazione da parte del giudice e in quali casi essa non sarebbe necessaria. Sembrerebbero quindi coesistere due procedimenti paralleli, per uno stesso scopo, che offrono garanzie significativamente diverse. La registrazione da parte della polizia costituirebbe quindi un mezzo per ottenere prove utilizzate nell’ambito del procedimento in corso. Orbene, il giudice del rinvio ha ripetutamente ricordato che tale registrazione «si distingue dal procedimento penale e non è parte del medesimo» (40).
49. In secondo luogo, se, come ha affermato il governo bulgaro, la finalità principale della registrazione da parte della polizia consiste nella raccolta di prove nell’ambito dell’indagine penale in corso, il fatto che la legislazione abbia l’effetto di autorizzare, in linea di principio, la raccolta dei dati biometrici e genetici di una persona formalmente accusata «solo» per frode fiscale è a dir poco sconcertante (41).
50. Inoltre, l’articolo 158 del NPK non prevede che il giudice possa considerare, nell’ambito dell’autorizzazione che si appresta a rilasciare, il carattere «strettamente necessario» della registrazione da parte della polizia, ai fini di un raffronto con i dati raccolti nel contesto di altre indagini, che sembra pur tuttavia essere una delle finalità perseguite dalla legislazione bulgara sulla quale si basa la registrazione da parte della polizia.
51. In terzo luogo, dalle considerazioni esposte nel paragrafo 47 delle presenti conclusioni risulta evidente che le finalità perseguite dalla registrazione da parte della polizia non sono ancora chiaramente definite. Né lo sarebbero se si dovesse applicare l’articolo 158 del NPK.
52. In secondo luogo, l’effettività dell’articolo 10 della direttiva 2016/680 sarebbe palesemente elusa se la questione del carattere «strettamente necessario» del trattamento dei dati sensibili dovesse porsi per la prima volta solo in occasione del rilascio della previa autorizzazione, da parte del giudice, della misura della raccolta, ai sensi dell’articolo 158 del NPK.
53. Dalla lettura combinata degli articoli 27 e 68 dello ZMVR risulta che le persone alle quali è richiesto di sottoporsi alla registrazione da parte della polizia costituiscono un’ampia categoria di persone (42) e che i dati raccolti in relazione a tali persone sono sempre gli stessi, senza che si si proceda ad alcuna distinzione. Ogni persona formalmente accusata dovrà automaticamente sottoporsi alla raccolta delle stesse categorie di dati ai fini della registrazione da parte della polizia, senza che le autorità competenti, ai sensi dell’articolo 3, punto 7, della direttiva 2016/680, valutino in qualsiasi momento se la raccolta dei dati sensibili sia strettamente necessaria ai fini dell’esito dell’indagine penale in corso o al fine di fornire chiarimenti nell’ambito di altre indagini. Inoltre, dai punti 113 e 114 della sentenza Registrazione di dati biometrici e genetici I risulta che la normativa nazionale non richiede che si constati la sussistenza di una concreta necessità di effettuare la raccolta di tutti i dati interessati dalla registrazione da parte della polizia e che non è previsto l’obbligo, per l’autorità competente, di determinare e di dimostrare che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti.
54. Ne consegue che le condizioni in presenza delle quali si potrebbe concludere che la registrazione da parte della polizia, quale prevista dall’articolo 68 dello ZMVR, sia strettamente necessaria, non sono previste dalla legislazione nazionale e che il trattamento dei dati biometrici e genetici da parte delle autorità competenti a fini rientranti nell’ambito di applicazione della direttiva 2016/680 non è soggetto a garanzie adeguate (43). L’applicazione dell’articolo 158 del NPK non è in grado di modificare tale constatazione.
55. Se il carattere «strettamente necessario» della raccolta e del trattamento dei dati sensibili non è definito ex lege o garantito dall’esercizio del potere discrezionale delle autorità competenti, non può essere il giudice a porre rimedio, da solo, all’assenza, nel proprio ordinamento giuridico interno, di tali due fasi preliminari. Su tale punto, concordo con la posizione espressa dalla Commissione in udienza, secondo la quale il controllo giurisdizionale è un controllo secondario, nel senso che si tratta di un controllo, da parte del giudice, della valutazione del carattere «strettamente necessario» effettuata dalle autorità competenti, in conformità con quanto previsto dalla legge. Aggiungo che è legittimo chiedersi quali criteri il giudice del rinvio potrebbe applicare in sede di un tale controllo, dato che la nozione di «strettamente necessario» non è definita ex lege.
56. In terzo luogo, anche nell’ipotesi in cui le garanzie offerte dall’articolo 158 del NPK fossero sufficienti – quod non –, esse non potrebbero andare a beneficio delle persone accusate di un reato doloso perseguibile d’ufficio che non si sono opposte alla registrazione da parte della polizia. Il carattere «strettamente necessario» del trattamento non sarà mai valutato dalle autorità competenti per tali persone, come è stato confermato in udienza dal governo bulgaro (44). Si tratta in tal caso di una situazione particolarmente preoccupante. Infatti, è ragionevole supporre che le capacità di una persona che è appena stata posta formalmente in stato di accusa di opporsi a un ordine della polizia di sottoporsi alla registrazione da parte della stessa siano particolarmente ridotte. L’adeguamento del diritto nazionale che deriverebbe dall’applicazione dell’articolo 158 del NPK sarebbe quindi solo parziale, poiché la registrazione da parte della polizia in assenza di un esame del suo carattere «strettamente necessario» da parte delle autorità competenti potrebbe continuare nei confronti di tutte le persone che rientrano nel suo ambito di applicazione – particolarmente esteso – le quali che non vi si siano opposte (45).
3. Conclusione
57. Dall’insieme delle precedenti considerazioni risulta che l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8, paragrafi 1 e 2, di tale direttiva, dev’essere interpretato nel senso che la valutazione, nelle circostanze descritte al punto 133 della sentenza Registrazione di dati biometrici e genetici I, del carattere «strettamente necessario» della registrazione da parte della polizia, alla luce di tutte le finalità che essa dovrebbe perseguire, dev’essere compiuta, in modo effettivo, dalle autorità competenti a procedere a tale registrazione, prima che esse possano, se del caso, chiederne l’esecuzione coercitiva. Non è sufficiente, a tal fine, che la valutazione del carattere «strettamente necessario» della registrazione da parte della polizia sia effettuata, per la prima volta, dal giudice al quale si chiede di autorizzare l’esecuzione coercitiva, esclusivamente in caso di rifiuto della persona formalmente accusata di sottoporsi a tale registrazione e solo alla luce di una delle finalità asseritamente perseguite dalla normativa nazionale che ne costituisce la base giuridica.
58. L’interpretazione conforme che il giudice del rinvio propone di fornire non sembra quindi sufficiente per adeguare il diritto bulgaro ai requisiti appena menzionati. Di conseguenza, tale giudice dovrebbe, come già anticipato dalla Corte al punto 134 della sua sentenza Registrazione di dati biometrici e genetici I, respingere la domanda delle autorità di polizia di autorizzare l’esecuzione coercitiva della raccolta dei dati di V.S.
B. Sulle questioni pregiudiziali
59. Poiché le questioni sollevate poggiano sulla premessa che il giudice del rinvio possa ovviare alle lacune della normativa bulgara in materia di trattamento dei dati personali, da parte delle autorità competenti, alla luce dei requisiti di cui all’articolo 10 della direttiva 2016/680, attraverso l’applicazione di norme di procedura penale, e ritenendo io tale palliativo insufficiente affinché tale normativa possa essere considerata conforme al diritto dell’Unione, tratterò tali questioni in via subordinata, nel caso in cui la Corte fosse di diverso avviso.
60. In sostanza, il giudice del rinvio invita la Corte a precisare se la verifica del carattere «strettamente necessario» del trattamento dei dati sensibili possa essere effettuata unicamente sulla base del provvedimento di accusa formale oppure se sia necessario che esso disponga dell’intera documentazione (prima questione pregiudiziale) per poter valutare esso stesso se vi siano fondati motivi di ritenere che la persona formalmente accusata abbia commesso il reato indicato nell’atto di accusa (seconda questione pregiudiziale).
61. Dalla domanda di pronuncia pregiudiziale emerge che il giudice del rinvio sembra individuare un certo attrito tra, da un lato, i punti 100 e 101 della sentenza Registrazione di dati biometrici e genetici I e, dall’altro, i punti da 130 a 133 di tale sentenza.
62. Al punto 100 della sentenza Registrazione di dati biometrici e genetici I, la Corte ha dichiarato che «il fatto di sottrarre temporaneamente al controllo del giudice la valutazione delle prove sulle quali si basa l’accusa formale dell’interessato, e quindi la raccolta dei suoi dati biometrici e genetici, può rivelarsi giustificato durante la fase preliminare del procedimento penale. Infatti, un simile controllo, durante tale fase, potrebbe ostacolare lo svolgimento dell’indagine penale nel corso della quale tali dati sono raccolti e limitare eccessivamente la capacità degli inquirenti di chiarire altri reati sulla base di un confronto di tali dati con dati raccolti nel corso di altre indagini. Tale limitazione della tutela giurisdizionale effettiva non è quindi sproporzionata, dal momento che il diritto nazionale garantisce successivamente un controllo giurisdizionale effettivo». Essa ne ha dedotto che l’articolo 47 della Carta non osta a che un giudice nazionale, quando statuisce su una domanda di autorizzazione all’esecuzione coercitiva della raccolta di dati sensibili di una persona formalmente accusata «non abbia la possibilità di valutare le prove sulle quali tale messa in stato di accusa formale si basa, purché il diritto nazionale garantisca successivamente un controllo giurisdizionale effettivo delle condizioni di tale messa in stato di accusa formale da cui risulta l’autorizzazione a procedere a tale raccolta» (46).
63. La Corte ha inoltre dichiarato, questa volta interpretando l’articolo 10 della direttiva 2016/680, che «il solo fatto che una persona sia formalmente accusata di un reato doloso perseguibile d’ufficio non può essere considerato un elemento che consente, di per sé, di presumere che la raccolta dei suoi dati biometrici e genetici sia strettamente necessaria alla luce delle finalità che essa persegue e tenuto conto del pregiudizio arrecato ai diritti fondamentali (…) che ne deriva» (47). Essa ha proseguito indicando che «da un lato, pur sussistendo fondati motivi di ritenere che la persona di cui trattasi abbia commesso un reato, che giustifica la sua accusa formale, il che presuppone che siano già stati riscontrati sufficienti elementi di prova del coinvolgimento di tale persona nel reato, potranno verificarsi casi in cui la raccolta sia dei dati biometrici sia dei dati genetici non obbedirà ad alcuna necessità concreta ai fini del procedimento penale in corso» (48). Dall’altro lato, «la probabilità che i dati biometrici e genetici di una persona formalmente accusata siano strettamente necessari nell’ambito di procedimenti diversi da quello in cui tale accusa formale ha avuto luogo può essere determinata solo alla luce dell’insieme degli elementi pertinenti, quali, in particolare, la natura e la gravità del presunto reato del quale essa è formalmente accusata, le circostanze particolari di tale reato, l’eventuale collegamento di detto reato con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale della persona interessata» (49).
64. Pertanto, la Corte ha riconosciuto che il fatto che il giudice competente, per autorizzare l’esecuzione coercitiva della registrazione da parte della polizia, non possa procedere a un controllo nel merito delle condizioni dell’accusa formale che costituisce la base giuridica della raccolta (50) può costituire una limitazione consentita del diritto a una tutela giurisdizionale effettiva, a causa del rischio di ostacolare il corretto svolgimento dell’indagine penale.
65. Per quanto riguarda la verifica del carattere «strettamente necessario» della raccolta, dai punti da 130 a 133 della sentenza Registrazione di dati biometrici e genetici I non risulta che la Corte abbia richiesto un controllo della fondatezza dell’accusa formale. Essa si è limitata ad affermare che l’accusa formale costituiva, nel contesto del procedimento principale, una condizione necessaria ma non sufficiente per constatare il carattere «strettamente necessario» della raccolta dei dati sensibili dell’interessato. Inoltre, gli elementi menzionati al punto 132 di tale sentenza – quali la natura e la gravità del reato, le circostanze particolari di tale reato, il suo eventuale collegamento con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale dell’interessato – sono criteri distinti da quelli su cui si basa l’accusa formale, vale a dire, in linea di principio, la presenza di indizi gravi e concordati che suggeriscono che l’interessato abbia commesso un reato.
66. In tali circostanze, la verifica, da parte del giudice, del carattere «strettamente necessario» della raccolta dei dati biometrici e genetici non richiede il controllo della fondatezza dell’accusa formale. Nemmeno l’articolo 10 della direttiva 2016/680 richiede, senza tuttavia ostarvi, la trasmissione dell’intero fascicolo di causa, purché la valutazione del carattere «strettamente necessario», secondo le modalità indicate dalla Corte al punto 133 della sentenza Registrazione di dati biometrici e genetici I, possa essere compiuta in modo effettivo sulla sola base del provvedimento di accusa formale.
67. Infine, poiché la formulazione della seconda questione pregiudiziale fa riferimento anche all’articolo 6, lettera a), della direttiva 2016/680, mi limiterò a ricordare, per completezza, che tale articolo obbliga, in linea di principio, gli Stati membri a provvedere affinché sia operata una chiara distinzione tra i dati delle diverse categorie di interessati in modo che non sia loro imposta indistintamente un’ingerenza della medesima intensità nel loro diritto fondamentale alla protezione dei propri dati personali a prescindere dalla categoria a cui appartengono (51). Ai sensi di tale articolo, una di dette categorie è costituita dalle «persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato».
68. La Corte ha dichiarato che l’esistenza di un numero sufficiente di elementi di prova della colpevolezza di una persona costituisce, in linea di principio, un fondato motivo di ritenere che quest’ultima abbia commesso il reato, e che l’articolo 6, lettera a), della direttiva 2016/680 non osta a una normativa nazionale che prevede la raccolta coercitiva dei dati biometrici e genetici, ai fini della loro registrazione, riguardanti persone per le quali sussistono sufficienti elementi di prova del fatto che sono colpevoli di aver commesso un reato doloso perseguibile d’ufficio e che sono state formalmente accusate per tale motivo (52). Contrariamente all’interpretazione adottata dal giudice del rinvio, tale disposizione non può imporre al giudice incaricato di verificare il carattere «strettamente necessario» di una misura di raccolta di dati sensibili di accertarsi della fondatezza dell’accusa valutando esso stesso gli elementi di prova su cui questa si basa.
69. Da tali considerazioni risulta che l’articolo 6, lettera a), e l’articolo 10 della direttiva 2016/680 devono essere interpretati nel senso che la verifica, da parte del giudice, del carattere «strettamente necessario» della raccolta dei dati biometrici e genetici non richiede il controllo della fondatezza dell’accusa formale. Essi non richiedono nemmeno, senza tuttavia ostarvi, la trasmissione dell’intero fascicolo di causa, purché la valutazione del carattere «strettamente necessario», secondo le modalità indicate dalla Corte al punto 133 della sentenza Registrazione di dati biometrici e genetici I, possa essere compiuta in modo effettivo sulla sola base del provvedimento di accusa formale.
V. Conclusione
70. Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere come segue alle questioni sollevate dal Sofiyski gradski sad (Tribunale di Sofia, Bulgaria):
In via principale:
L’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8, paragrafi 1 e 2, di tale direttiva,
dev’essere interpretato nel senso che:
– la valutazione, nelle circostanze descritte al punto 133 della sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C‑205/21, EU:C:2023:49), del carattere «strettamente necessario» della registrazione da parte della polizia, alla luce di tutte le finalità che essa dovrebbe perseguire, dev’essere compiuta, in modo effettivo, dalle autorità competenti a procedere a tale registrazione, prima che esse possano, se del caso, chiederne l’esecuzione coercitiva.
– Non è sufficiente, a tal fine, che la valutazione del carattere «strettamente necessario» della registrazione da parte della polizia sia effettuata, per la prima volta, dal giudice al quale si chiede di autorizzare l’esecuzione coercitiva, esclusivamente in caso di rifiuto della persona formalmente accusata di sottoporsi a tale registrazione e solo alla luce di una delle finalità asseritamente perseguite dalla normativa nazionale che ne costituisce la base giuridica.
In via subordinata:
L’articolo 6, lettera a), e l’articolo 10 della direttiva 2016/680
devono essere interpretati nel senso che:
la verifica, da parte del giudice, del carattere «strettamente necessario» della raccolta dei dati biometrici e genetici non richiede il controllo della fondatezza dell’accusa formale. Essi non richiedono nemmeno, senza tuttavia ostarvi, la trasmissione dell’intero fascicolo di causa, purché la valutazione del carattere «strettamente necessario», secondo le modalità indicate dalla Corte al punto 133 della sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C‑205/21, EU:C:2023:49), possa essere compiuta in modo effettivo sulla sola base del provvedimento di accusa formale.