Causa C‑118/22
NG
contro
Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti - Sofia
(domanda di pronuncia pregiudiziale proposta dal Varhoven administrativen sad)
Sentenza della Corte (Grande Sezione) del 30 gennaio 2024
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali a fini di contrasto dei reati – Direttiva (UE) 2016/680 – Articolo 4, paragrafo 1, lettere c) ed e) – Minimizzazione dei dati – Limitazione della conservazione – Articolo 5 – Termini adeguati per la cancellazione o per l’esame periodico della necessità della conservazione – Articolo 10 – Trattamento di dati biometrici e genetici – Stretta necessità – Articolo 16, paragrafi 2 e 3 – Diritto alla cancellazione – Limitazione del trattamento – Articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea – Persona fisica condannata con sentenza definitiva e successivamente riabilitata – Termine di conservazione dei dati fino al decesso – Insussistenza di diritto alla cancellazione o alla limitazione del trattamento – Proporzionalità»
Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Conservazione di dati personali, in particolare di dati biometrici e genetici, riguardanti le persone condannate in via definitiva per un reato doloso perseguibile d’ufficio – Normativa nazionale che prevede una tale conservazione fino al decesso della persona interessata, anche in caso di riabilitazione di quest’ultima – Insussistenza di un obbligo di verificare regolarmente la necessità di tale conservazione – Insussistenza del diritto alla cancellazione o alla limitazione del trattamento – Inammissibilità
[Carta dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 52, § 1; direttiva del Parlamento europeo e del Consiglio 2016/680, considerando 26 e artt. 4, § 1, c) ed e), 5, 10, 13, § 2, b), e 16, §§ 2 e 3]
(v. punti 39, 41-45, 48-52, 59-61, 66-72 e dispositivo)
Sintesi
Adita con rinvio pregiudiziale dal Varhoven administrativen sad (Corte suprema amministrativa, Bulgaria), la Grande Sezione della Corte si pronuncia sui limiti temporali della conservazione, a fini di contrasto dei reati, dei dati personali di persone condannate in via definitiva, con riferimento alla direttiva 2016/680 (1).
NG è stato iscritto nel registro di polizia nell’ambito di indagini preliminari relative al reato di falsa testimonianza. Al termine di tali indagini egli è stato accusato e successivamente riconosciuto colpevole di tale reato, e condannato a una pena detentiva di un anno con sospensione condizionale. Dopo aver scontato tale pena, egli ha beneficiato di una riabilitazione.
Sulla base di tale riabilitazione, NG ha presentato una domanda di cancellazione della sua iscrizione nel registro di polizia. Tale domanda è stata respinta con la motivazione che una condanna penale definitiva, anche in caso di riabilitazione, non rientra tra i motivi di tale cancellazione, tassativamente elencati dal diritto nazionale. A seguito di rigetto del ricorso proposto da NG avverso tale decisione, NG ha proposto un’impugnazione dinanzi al giudice del rinvio, sostenendo che dalla direttiva 2016/680 risulta che la conservazione di dati personali non può avere una durata illimitata. Orbene, secondo NG, ciò si verificherebbe de facto quando l’interessato non può mai ottenere la cancellazione di tali dati raccolti in relazione al reato per il quale è stato condannato in via definitiva, anche dopo aver scontato la sua pena e aver beneficiato di una riabilitazione.
In tale contesto, la Corte è stata investita, con rinvio pregiudiziale, della questione se la direttiva 2016/680(2), letta alla luce degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (3), osti a una normativa nazionale che prevede la conservazione, da parte delle autorità di polizia, a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, di dati personali, in particolare di dati biometrici e genetici riguardanti persone nei cui confronti è stata pronunciata una condanna penale definitiva per un reato doloso perseguibile d’ufficio, quando la conservazione è prevista fino al decesso dell’interessato, anche in caso di sua riabilitazione, senza riconoscere a quest’ultimo il diritto alla cancellazione di detti dati o, se del caso, alla limitazione del loro trattamento.
Nella sua sentenza, la Corte risponde a tale questione in senso affermativo.
Giudizio della Corte
In un primo momento, la Corte indica che la direttiva 2016/680 definisce un quadro generale che consente di garantire, tra l’altro, che la conservazione dei dati personali e, più in particolare, la durata di quest’ultima sia limitata a quanto necessario alla luce delle finalità per le quali tali dati sono conservati, lasciando agli Stati membri il compito di determinare, nel rispetto di tale quadro, le situazioni concrete in cui la tutela dei diritti fondamentali dell’interessato richiede la cancellazione di tali dati e il momento in cui quest’ultima deve avvenire. Per contro, tale direttiva non esige che gli Stati membri definiscano limiti temporali assoluti per la conservazione dei dati personali, oltre i quali questi ultimi dovrebbero essere automaticamente cancellati.
Più precisamente, anzitutto, l’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680 stabilisce il principio della «minimizzazione dei dati», secondo il quale gli Stati membri devono prevedere che i dati personali siano adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati. Inoltre, in forza dell’articolo 4, paragrafo 1, lettera e), di tale direttiva, gli Stati membri devono prevedere che tali dati siano conservati in una forma che consenta l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario per le finalità per le quali sono trattati. In tale contesto, l’articolo 5 di detta direttiva impone agli Stati membri di prevedere, in particolare, la fissazione di termini adeguati per la cancellazione dei dati personali o per la verifica periodica della necessità di conservare tali dati. Il carattere «adeguato» di tali termini richiede, in ogni caso, che essi consentano la cancellazione dei dati interessati qualora la loro conservazione non sia più necessaria rispetto alle finalità che hanno giustificato il trattamento.
Inoltre, l’articolo 10 della direttiva 2016/680, che disciplina il trattamento di categorie particolari di dati personali, in particolare di dati biometrici e genetici, autorizza il trattamento di tali dati «solo se strettamente necessario».
Infine, l’articolo 16, paragrafo 2, della direttiva 2016/680 introduce un diritto alla cancellazione di dati personali qualora il trattamento violi le disposizioni adottate in forza di tale direttiva(4) o qualora tali dati debbano essere cancellati per conformarsi a un obbligo legale al quale è soggetto il titolare del trattamento(5). Ne consegue che detto diritto alla cancellazione può essere esercitato, in particolare, quando la conservazione dei dati personali in questione non è o non è più necessaria rispetto alle finalità del loro trattamento, o quando la cancellazione è necessaria per rispettare il termine stabilito a tal fine dalla normativa nazionale.
In un secondo momento, la Corte rileva che, nel caso di specie, i dati personali contenuti nel registro di polizia e riguardanti le persone accusate di un reato doloso perseguibile d’ufficio sono conservati unicamente a fini di indagine operativa e, più in particolare, al fine di essere confrontati con altri dati raccolti nel corso di indagini relative ad altri reati. A tal riguardo, tuttavia, la nozione di «reato doloso perseguibile d’ufficio» riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura e dalla loro gravità. Orbene, le persone definitivamente condannate per un siffatto reato non presentano tutte lo stesso grado di rischio di essere coinvolte in altri reati, tale da giustificare un periodo uniforme di conservazione dei dati che le riguardano. Infatti, in taluni casi, alla luce di fattori quali la natura e la gravità del reato commesso o l’assenza di recidiva, il rischio rappresentato dalla persona condannata non giustificherà necessariamente la conservazione, fino al suo decesso, dei dati che la riguardano nel registro nazionale di polizia previsto a tal fine, cosicché non vi sarà più alcun rapporto necessario tra i dati conservati e l’obiettivo perseguito. Pertanto, in tali casi, la loro conservazione non sarà conforme al principio di minimizzazione dei dati ed eccederà il periodo di tempo necessario al conseguimento delle finalità per le quali sono trattati.
Inoltre, riguardo all’ipotesi in cui la conservazione dei dati personali nel registro di polizia di cui trattasi include dati biometrici e genetici, la Corte precisa che, certamente, la conservazione di tali dati di persone che hanno già subito una condanna penale definitiva, anche fino al decesso di tali persone, può rivestire un carattere di necessità assoluta(6), in particolare per consentire di verificare il loro eventuale coinvolgimento in altri reati e, quindi, di perseguire e condannare gli autori di tali reati. Tuttavia, la conservazione di tali dati soddisfa un siffatto requisito solo se prende in considerazione la natura e la gravità del reato punito con condanna penale definitiva, o altre circostanze quali il contesto particolare in cui tale reato è stato commesso, il suo eventuale collegamento con altri procedimenti in corso o ancora i precedenti o il profilo della persona condannata. Pertanto, quando, come previsto dalla normativa nazionale nel procedimento principale, i dati biometrici e genetici delle persone interessate inseriti nel registro di polizia sono conservati fino alla data di decesso di tali persone in caso di loro condanna penale definitiva, l’ambito di applicazione di tale conservazione è eccessivamente ampio rispetto alle finalità per le quali tali dati sono trattati.
Infine, per quanto riguarda, da un lato, l’obbligo di prevedere la fissazione di termini adeguati(7), un termine può essere considerato «adeguato», in particolare per quanto riguarda la conservazione dei dati biometrici e genetici di qualsiasi persona condannata in via definitiva per un reato doloso perseguibile d’ufficio, solo se tiene conto delle circostanze pertinenti che rendono necessario un tale periodo di conservazione. Di conseguenza, anche se il riferimento al verificarsi del decesso della persona interessata può costituire un «termine» per la cancellazione dei dati conservati, un termine del genere può essere considerato «adeguato» solo in circostanze particolari che lo giustifichino debitamente. Orbene, tale ipotesi manifestamente non ricorre quando esso è applicabile in modo generale e indifferenziato a qualsiasi persona condannata in via definitiva. Certamente, spetta agli Stati membri decidere se debbano essere fissati termini per la cancellazione di tali dati o per l’esame periodico della necessità di conservarli(8). Tuttavia, l’«adeguatezza» dei termini per un siffatto esame periodico richiede che essi consentano di ottenere la cancellazione dei dati di cui trattasi nel caso in cui la loro conservazione non sia più necessaria. Orbene, un requisito del genere non è soddisfatto quando l’unico caso in cui è prevista una siffatta cancellazione è il verificarsi del decesso della persona interessata.
Dall’altro lato, le disposizioni della direttiva 2016/680 che prevedono garanzie in merito alle condizioni relative ai diritti alla cancellazione e alla limitazione del trattamento ostano parimenti a una normativa nazionale che non consente a una persona condannata in via definitiva per un reato doloso perseguibile d’ufficio di esercitare tali diritti.