Language of document : ECLI:EU:C:2022:507

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

GIOVANNI PITRUZZELLA

presentate il 30 giugno 2022 (1)

Causa C205/21

Procedimento penale

a carico di

V.S.,

con l’intervento di

Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost

[domanda di pronuncia pregiudiziale proposta dallo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali, Bulgaria)]

«Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Persona formalmente accusata – Registrazione da parte della polizia di dati personali – Dati sensibili – Dati biometrici e genetici – Esecuzione coercitiva – Obiettivo di prevenzione e accertamento di reati – Procedimento penale in corso – Confronto eseguito su dati personali raccolti nell’ambito di indagini precedenti – Tutela giurisdizionale effettiva – Trattamento dei dati – Principi – Minimizzazione dei dati – Necessità assoluta»






1.        Se messo al servizio della repressione penale, lo sviluppo tecnologico si rivela tanto affascinante quanto minaccioso per i diritti fondamentali (2). Il presente rinvio pregiudiziale offre, ancora una volta, alla Corte l’opportunità di interpretare uno strumento del diritto dell’Unione dedicato alla protezione dei dati personali concepito come salvaguardia nei confronti di una politica penale che avrebbe come scopo l’efficienza totale, quando invece una società democratica, retta dallo Stato di diritto, dovrebbe, paradossalmente, considerare in qualche modo un pregio la fallibilità di una siffatta politica. In un certo senso, la presente causa costituisce una declinazione, nel settore della protezione dei dati personali, del principio secondo cui è meglio rischiare di salvare un colpevole che condannare un innocente (3).

I.      Contesto normativo

A.      Direttiva 2016/680

2.        L’articolo 4 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (4) è dedicato ai principi applicabili al trattamento di dati personali. La disposizione è così formulata:

«1.      Gli Stati membri dispongono che i dati personali siano:

a)      trattati in modo lecito e corretto;

b)      raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità;

c)      adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati;

(…)».

3.        L’articolo 6, lettera a), della direttiva 2016/680 così dispone:

«Gli Stati membri dispongono che il titolare del trattamento, se del caso e nella misura del possibile, operi una chiara distinzione tra i dati personali delle diverse categorie di interessati, quali:

a)      le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato».

4.        L’articolo 8 della direttiva 2016/680 disciplina la liceità del trattamento ed è così formulato:

«1.      Gli Stati membri dispongono che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente, per le finalità di cui all’articolo 1, paragrafo 1, e si basa sul diritto dell’Unione o dello Stato membro.

2.      Il diritto dello Stato membro che disciplina il trattamento nell’ambito di applicazione della presente direttiva specifica quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento».

5.        L’articolo 10 della direttiva 2016/680 così recita:

«Il trattamento di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o di dati relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto:

a)      se autorizzato dal diritto dell’Unione o dello Stato membro;

b)      per salvaguardare un interesse vitale dell’interessato o di un’altra persona fisica; o

c)      se il suddetto trattamento riguarda dati resi manifestamente pubblici dall’interessato».

B.      Diritto bulgaro

6.        L’articolo 68 dello zakon sa Ministerstvo na vatreshnite raboti (legge sul Ministero dell’Interno (5), in prosieguo: lo «ZMVR») è così formulato:

«1.      Le autorità di polizia registrano le persone formalmente accusate di un reato intenzionale perseguibile d’ufficio. Le autorità incaricate delle indagini preliminari sono tenute ad adottare i provvedimenti necessari affinché le autorità di polizia possano procedere alla registrazione.

2.      La registrazione da parte della polizia costituisce una categoria di trattamento di dati personali delle persone di cui al paragrafo 1, che si esegue alle condizioni della presente legge.

3.      Ai fini della registrazione, le autorità di polizia:

1)      raccolgono i dati personali indicati all’articolo 18 dello zakon za balgaskite lichni dokumenti [(6)];

2)      procedono al rilevamento delle impronte digitali delle persone e le fotografano;

3)      prelevano campioni per l’elaborazione di un profilo del DNA delle persone.

4.      Per svolgere le attività di cui al paragrafo 3, punto 1, non è richiesto il consenso della persona.

5.      Le persone sono tenute a dare prova di collaborazione, a non opporre ostacoli o impedimenti all’esercizio da parte delle autorità di polizia delle attività di cui al paragrafo 3. In caso di rifiuto della persona, le attività di cui al paragrafo 3, punti 2 e 3, vengono eseguite con coercizione mediante un’autorizzazione del giudice di primo grado competente sul reato perseguibile d’ufficio per il quale la persona è stata formalmente accusata.

6.      La registrazione da parte della polizia è revocata, d’ufficio, sulla base di una decisione scritta del titolare del trattamento dei dati personali o dei funzionari da quest’ultimo autorizzati, o su domanda scritta motivata della persona registrata, qualora:

1)      la registrazione sia stata effettuata in violazione di legge;

2)      il procedimento penale sia stato interrotto, ad eccezione dei casi di cui all’articolo 24, paragrafo 3, del [nakazartelno-protsesualen kodeks (codice di procedura penale; in prosieguo: il «NPK»)];

3)      una sentenza definitiva di assoluzione abbia posto fine al procedimento penale;

4)      la persona non sia stata ritenuta penalmente responsabile e le sia stata irrogata una sanzione amministrativa;

5)      la persona sia deceduta; la domanda può essere presentata, in tal caso, dai suoi eredi.

7.      Le modalità di attuazione e di revoca della registrazione da parte della polizia sono stabilite mediante regolamento del Consiglio dei ministri».

7.        L’articolo 2, paragrafo 1, del naredba za reda za izvarshvane i snemane na politseyska registratsia (regolamento che disciplina in dettaglio l’esecuzione della registrazione da parte della polizia, in prosieguo: l’«NRISPR») (7) prevede che «[l]a registrazione da parte della polizia è un’attività di trattamento di dati personali (...) effettuata alle condizioni [dello ZMVR] ai fini della salvaguardia della sicurezza nazionale, della lotta contro la criminalità e della tutela dell’ordine pubblico».

II.    Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte

8.        È stato avviato un procedimento penale a carico di V.S. per frode nella liquidazione e nel pagamento di debiti tributari in capo a due società commerciali. Il 1° marzo 2021, V.S. è stata formalmente accusata di partecipazione a un’organizzazione criminale costituita con l’intento di arricchimento. Il provvedimento di accusa formale veniva notificato a V.S. il 15 marzo 2021. In quella stessa data, le veniva chiesto di collaborare all’esecuzione di una registrazione da parte della polizia delle sue impronte digitali (8), della sua fotografia (9) nonché del prelievo di campioni per l’elaborazione di un profilo del DNA. Poiché ella si rifiutava, compilava un modulo di dichiarazione in cui indicava di essere stata informata della sussistenza dei fondamenti di legge per procedere a tale registrazione, ma di non acconsentire a che si procedesse a tale prelievo e alla registrazione che la riguardava.

9.        Il 24 marzo 2021 il vicedirettore della Glavna direktsiya za borba s organiziranata prestapnost (Direzione generale per la lotta contro la criminalità organizzata) presso il Ministerstvo na vatreshnite raboti (Ministero dell’Interno, Bulgaria) ha adito il giudice del rinvio, lo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali, Bulgaria), per chiedergli di autorizzare l’esecuzione coercitiva della registrazione da parte della polizia alla quale V.S. rifiutava di sottoporsi.

10.      La domanda fa riferimento al procedimento penale in corso a carico di V.S., nonché alla sussistenza di sufficienti prove di colpevolezza. Essa indica altresì che V.S. è formalmente accusata di aver commesso un reato e si è rifiutata di farsi fotografare, di farsi rilevare le impronte digitali e di sottoporsi al prelievo di un campione per il profilo del DNA, ai fini della registrazione da parte della polizia. Alla domanda sono allegate solo due fotocopie: quella del provvedimento di accusa e quella della dichiarazione con la quale V.S. ha negato il suo consenso alla registrazione da parte della polizia. I restanti documenti contenuti nel fascicolo non sono stati trasmessi al giudice del rinvio.

11.      In primo luogo, il giudice del rinvio si chiede se l’articolo 10 della direttiva 2016/680, che autorizza, a determinate condizioni, il trattamento dei dati biometrici e genetici, sia stato correttamente recepito nel diritto bulgaro. A tal riguardo, il giudice del rinvio rileva che le disposizioni che disciplinano la registrazione da parte della polizia si riferiscono soltanto al regolamento (UE) 2016/679 (10) e non alla direttiva 2016/680. Orbene, esso rileva che, in virtù del suo articolo 2, paragrafo 2, lettera d), il RGPD non si applica al trattamento dei dati personali effettuato dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati, poiché è la direttiva 2016/680, conformemente al suo articolo 1, paragrafo 1, che disciplina un siffatto trattamento.

12.      In secondo luogo, nell’ipotesi in cui si dovesse ritenere che l’articolo 10 della direttiva 2016/680 sia stato correttamente trasposto nel diritto nazionale o che esista un valido fondamento in tale diritto per il trattamento di dati biometrici e genetici, il giudice del rinvio si chiede se il requisito di cui all’articolo 10, lettera a), di tale direttiva, secondo cui un siffatto trattamento deve essere autorizzato dal diritto dell’Unione o dello Stato membro, sia soddisfatto, nonostante il fatto che esisterebbe una contraddizione tra le disposizioni del diritto nazionale applicabili.

13.      In terzo luogo, il giudice del rinvio osserva che, in virtù dell’articolo 6, lettera a), della direttiva 2016/680, possono essere trattati ai fini della lotta contro la criminalità i dati personali delle persone per le quali vi sono fondati motivi di ritenere che abbiano commesso un reato. Esso rileva, peraltro, che il considerando 31, terza frase, di tale direttiva precisa che il trattamento dei dati personali di soggetti indiziati, ma non condannati, non dovrebbe impedire l’applicazione del diritto alla presunzione di innocenza. Ritiene quindi che l’articolo 48 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») sia applicabile.

14.      Orbene, da un lato, il giudice del rinvio osserva che, in virtù dell’articolo 219, paragrafo 1, del NPK, è indispensabile raccogliere «prove sufficienti della colpevolezza di una determinata persona». Esso si chiede se tale criterio corrisponda al criterio che vi siano «fondati motivi di ritenere che [le persone interessate] abbiano commesso un reato» di cui all’articolo 6, lettera a), della direttiva 2016/680. È piuttosto del parere che, ai fini del trattamento di dati biometrici e genetici, siano indispensabili prove più convincenti di quelle necessarie, in virtù del diritto nazionale, per accusare formalmente una persona, nella misura in cui tale accusa serve ad informare il soggetto dei sospetti a suo carico, dandogli la possibilità di difendersi.

15.      Dall’altro lato, il giudice del rinvio constata che l’articolo 68 dello ZMVR non prevede che, nell’ambito del procedimento di esecuzione coercitiva della registrazione da parte della polizia, il giudice adito verifichi in qualche modo se sussistano fondati motivi, ai sensi dell’articolo 6, lettera a), della direttiva 2016/680, poiché è sufficiente la mera constatazione che il soggetto è stato formalmente accusato per un reato intenzionale perseguibile d’ufficio. Esso non è dunque autorizzato a valutare se sussistano prove sufficienti o convincenti a sostegno di tale accusa né ha la possibilità materiale di effettuare tale valutazione, in quanto, a sua disposizione, ha solo le fotocopie del provvedimento di accusa formale del soggetto e della dichiarazione attestante il rifiuto di sottoporsi alla registrazione da parte della polizia. Il giudice del rinvio si chiede se, in tali circostanze, si possa ritenere che la persona che si è rifiutata di sottoporsi a tale registrazione da parte della polizia benefici di una tutela giurisdizionale effettiva nonché del rispetto della presunzione di innocenza, quali garantiti dagli articoli 47 e 48 della Carta.

16.      In quarto luogo, il giudice del rinvio rileva che l’articolo 4, paragrafo 1, lettera b), della direttiva 2016/680 dispone che i dati personali vanno raccolti per finalità determinate, esplicite e legittime, e che l’articolo 8, paragrafo 2, di detta direttiva prevede che il diritto dello Stato membro deve specificare sia gli obiettivi che le finalità del trattamento. Inoltre, esso rileva che, ai sensi dell’articolo 4, paragrafo 1, lettera c), e dell’articolo 8, paragrafo 1, di detta direttiva, la raccolta dei dati personali non deve eccedere quanto necessario. Osserva altresì, per quanto riguarda più precisamente i dati biometrici e genetici, che, ai sensi dell’articolo 10 della direttiva 2016/680, il loro trattamento è autorizzato solo se «strettamente necessario».

17.      Il giudice del rinvio deduce da tali disposizioni della direttiva 2016/680 che il diritto nazionale dovrebbe conferire alle autorità competenti un certo margine discrezionale quando procedono alla registrazione, margine che dovrebbe riguardare sia la questione se effettuare la raccolta dei dati interessati, sia la decisione se tale raccolta debba includere la totalità di tali dati. Peraltro, detto giudice ritiene altresì che dal requisito della «stretta necessità» si dovrebbe dedurre il fatto che l’autorizzazione alla raccolta di tali dati può avvenire solo in presenza di un’adeguata giustificazione della sua necessità. Orbene, la registrazione da parte della polizia si applica obbligatoriamente a tutte le persone accusate di reati intenzionali perseguibili d’ufficio e ai tre tipi di raccolta di dati personali contemplati da tale articolo, vale a dire scatto di fotografie per la schedatura, rilevamento delle impronte digitali e prelievo di un campione di DNA.

18.      Il giudice del rinvio rileva inoltre che lo ZMVR menziona solo le finalità generali di tale trattamento, ossia l’esercizio di attività di informazione, compresa la salvaguardia della sicurezza nazionale, la lotta contro la criminalità e la tutela dell’ordine pubblico. Per contro, la normativa nazionale non richiede che si accerti la sussistenza di una concreta necessità di effettuare la raccolta di tutti i dati biometrici e genetici di cui trattasi o, se del caso, solo di una parte di essi. Il giudice del rinvio si chiede dunque se la condizione prevista dal diritto nazionale per la registrazione da parte della polizia – vale a dire il fatto di essere stati accusati di un reato intenzionale perseguibile d’ufficio – sia sufficiente a soddisfare i requisiti della direttiva 2016/680.

19.      Di conseguenza, lo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali) ha deciso di sospendere il procedimento e, con decisione pervenuta alla cancelleria della Corte il 31 marzo 2021, di sottoporre a quest’ultima le seguenti questioni pregiudiziali:

«1)      Se l’articolo 10 della direttiva 2016/680 sia efficacemente recepito nella legislazione nazionale (...) con il riferimento alla disposizione analoga di cui all’articolo 9 del [RGPD].

2)      Se sia soddisfatto il requisito previsto nell’articolo 10, lettera a), della direttiva 2016/680, in combinato disposto con gli articoli [3, 8 e 52] della Carta, secondo cui una limitazione dell’integrità e della protezione dei dati personali deve essere prevista dalla legge, allorché esistono disposizioni nazionali tra loro contraddittorie in merito alla legittimità di un trattamento di dati genetici e biometrici a fini di registrazione da parte della polizia.

3)      Se sia compatibile con l’articolo 6, lettera a), della direttiva 2016/680, in combinato disposto con l’articolo 48 della Carta, una normativa nazionale – l’articolo 68, paragrafo 4, [dello ZMVR] – che prevede l’obbligo per il giudice di ordinare la raccolta coercitiva di dati personali (scatto di fotografie per schedatura, rilevamento dell’impronta digitale e prelievo di campioni per l’elaborazione di un profilo del DNA), se una persona accusata di un reato intenzionale perseguibile d’ufficio si rifiuta di collaborare volontariamente al rilevamento di tali dati personali, senza che il giudice possa valutare se sussiste un fondato motivo di ritenere che tale persona abbia compiuto il reato di cui viene accusata.

4)      Se sia compatibile con gli articoli 10, 4, paragrafo 1, lettere a) e c), e 8, paragrafi 1 e 2, della direttiva 2016/680 una legge nazionale – l’articolo 68, paragrafi da 1 a 3, [dello ZMVR] – che prevede come regola generale lo scatto di fotografie per la schedatura, il rilevamento dell’impronta digitale e il prelievo di campioni per l’elaborazione di un profilo del DNA per tutte le persone accusate di un reato intenzionale perseguibile d’ufficio».

20.      Hanno depositato osservazioni scritte dinanzi alla Corte i governi bulgaro e francese nonché la Commissione europea. Il Ministero dell’Interno, i governi bulgaro e francese nonché la Commissione hanno altresì trasmesso alla Corte le risposte ai quesiti scritti che essa aveva loro rivolto.

21.      Conformemente alla richiesta della Corte, le presenti conclusioni saranno incentrate sulla terza e sulla quarta questione pregiudiziale.

III. Analisi

22.      In via preliminare, desidero ricordare quanto segue.

23.      Per quanto riguarda la classificazione dei dati raccolti e trattati (11) in sede di registrazione da parte della polizia, è evidente che il prelievo di campioni per l’elaborazione di un profilo del DNA dell’interessato costituisce un dato genetico, ai sensi dell’articolo 3, punto 12, della direttiva 2016/680. Le impronte digitali (12) sono dati biometrici, come confermato dall’articolo 3, punto 13, di tale direttiva. Quanto alle fotografie (13), anch’esse possono costituire dati biometrici, come previsto dall’articolo 3, punto 13, della direttiva 2016/680. La registrazione da parte della polizia riguarda pertanto due categorie di dati personali: i dati cosiddetti «classici», come lo stato civile, soggetti al regime generale previsto dalla direttiva 2016/680, e i cosiddetti dati «particolari», per non dire sensibili, quali le fotografie, le impronte digitali e il prelievo di campioni per l’elaborazione di un profilo del DNA dell’interessato. Rilevo tuttavia che il giudice del rinvio, nella formulazione delle sue questioni, si riferisce soltanto a tali dati «particolari». Nell’ambito delle misure che obbligano alla raccolta e al trattamento dei dati, compresi i dati sensibili, da parte di autorità inquirenti, tali misure costituiscono evidentemente, fatta salva la loro eventuale giustificazione, un’ingerenza nel diritto dell’interessato al rispetto della sua vita privata e alla protezione dei suoi dati personali (14). Tale ingerenza è tanto più grave poiché si tratta di dati sensibili (15). Tuttavia, nonostante i rischi di devianza e di abuso ben noti al legislatore dell’Unione, il trattamento di tale particolare categoria di dati da parte delle autorità di polizia, soprattutto ai fini della schedatura, non è vietato, dato che è dimostrata l’efficacia di un tale trattamento ai fini dell’adempimento dei compiti di dette autorità (16). Si tratta pertanto, nella presente causa, di ricercare un giusto equilibrio tra le esigenze legate al corretto svolgimento dell’indagine penale e l’esigenza, altrettanto categorica, di garantire un livello di protezione rafforzata a tali dati personali di natura particolare.

A.      Sulla terza questione pregiudiziale

24.      Con la sua terza questione pregiudiziale, il giudice del rinvio chiede, in sostanza, se l’articolo 6, lettera a), della direttiva 2016/680, letto alla luce degli articoli 47 e 48 della Carta, debba essere interpretato nel senso che esso osta a una normativa nazionale la quale prevede, in caso di rifiuto della persona formalmente accusata di un reato intenzionale perseguibile d’ufficio di collaborare al procedimento di raccolta dei suoi dati personali (vale a dire almeno una fotografia, le sue impronte digitali e il suo profilo del DNA elaborato in seguito a un prelievo di campioni), l’obbligo per il giudice di ordinare la raccolta coercitiva di tali dati senza poter valutare se sussista un fondato motivo per ritenere che l’interessato abbia effettivamente commesso il reato di cui è accusato.

25.      Il contesto legislativo e regolamentare nazionale è caratterizzato dai seguenti elementi. Il giudice del rinvio afferma che quasi tutti i reati previsti dal codice penale bulgaro sono perseguibili d’ufficio, vale a dire che l’accusa è avviata dalla procura. Il NPK prevede, da parte sua, che, qualora siano raccolte prove sufficienti per ritenere che una determinata persona sia colpevole di aver commesso un reato intenzionale perseguibile d’ufficio, tale persona è formalmente accusata (17). Le persone che vengono formalmente accusate di questo tipo di reato sono soggette alla registrazione da parte della polizia, come disciplinata in particolare dall’articolo 68 dello ZMVR. Tale registrazione viene eseguita dalle autorità di polizia, non dalle autorità che conducono il procedimento penale. I dati personali registrati sono i seguenti: informazioni relative allo stato civile della persona (nome, data e luogo di nascita, sesso, nazionalità), dati di contatto, numero di identificazione amministrativa e caratteristiche fisiche (altezza, colore degli occhi). Saranno altresì registrate almeno una fotografia della persona interessata e le sue impronte digitali, nonché il suo profilo del DNA in seguito all’esecuzione di un prelievo di un campione. La persona accusata ha l’obbligo di collaborare e di non ostacolare la raccolta dei suoi dati personali. La persona diventa imputata solo dopo che il pubblico ministero ha depositato l’atto di accusa dinanzi al tribunale e il procedimento penale entra in tale momento nella sua fase giudiziaria.

26.      In caso di opposizione, il consenso della persona accusata può non essere richiesto qualora il trattamento dei dati personali riguardi le attività di lotta contro la criminalità; tale persona potrà in tal caso firmare una dichiarazione scritta in cui esprime il proprio dissenso. L’autorità di polizia incaricata della registrazione si rivolge successivamente al giudice che sarà competente nel caso in cui il procedimento penale relativo al reato in questione dovesse entrare nella sua fase giudiziaria, per chiedergli l’autorizzazione a procedere all’esecuzione coercitiva di tale registrazione. Il margine discrezionale del giudice è limitato, poiché deve solo verificare che la persona sia stata accusata formalmente di un reato intenzionale perseguibile d’ufficio e che abbia effettivamente rifiutato di sottoporsi alla registrazione da parte della polizia. Il fascicolo del procedimento di esecuzione coercitiva della registrazione da parte della polizia è quindi costituito soltanto da una fotocopia del provvedimento di accusa formale e dalla dichiarazione di rifiuto alla registrazione dei dati. Una volta accertato che la persona interessata sia stata accusata formalmente e che si sia opposta alla registrazione da parte della polizia, il giudice adito è tenuto a concedere l’autorizzazione a procedere all’esecuzione coercitiva di detta registrazione.

27.      Da parte sua, l’articolo 6 della direttiva 2016/680, che è al centro della terza questione pregiudiziale, obbliga gli Stati membri, «se del caso e nella misura del possibile», a operare una chiara distinzione tra i dati delle diverse categorie di interessati, quali: «le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato» (18). L’obiettivo di tale disposizione è, come ha ricordato la Commissione, ad esempio, quello di non far subire la stessa ingerenza nel diritto fondamentale del diritto alla protezione dei dati personali sia alle vittime di reati sia alle persone sospettate di averli commessi (19).

28.      Dalla sola formulazione di tale disposizione si evince che l’intensità dell’obbligo imposto agli Stati membri è piuttosto debole e non del tutto determinata, in quanto l’elenco delle categorie di persone non è esaustivo e la direttiva lascia agli Stati membri l’onere di trarre le conseguenze della chiara distinzione che sono tenuti a operare. Da un punto di vista strettamente letterale, ritengo che sia del tutto ammissibile, alla luce di tale disposizione, che uno Stato membro stabilisca, come «categoria chiara», quella delle persone accusate, vale a dire quelle rispetto alle quali sono raccolte prove sufficienti per ritenere che abbiano commesso un reato.

29.      Per quanto riguarda l’esecuzione coercitiva, autorizzata dal giudice, della registrazione da parte della polizia, rilevo, da un lato, che l’oggetto della direttiva 2016/680 non è quello di organizzare le condizioni procedurali per la raccolta dei dati personali delle persone rientranti nell’ambito di applicazione dell’articolo 6, lettera a) (20), della medesima direttiva e che, dall’altro e in ogni caso, come rilevato dal governo francese, le autorità competenti possono ordinare alle persone fisiche di dar seguito alle richieste loro rivolte, poiché il consenso della persona interessata non costituisce peraltro una base giuridica per il trattamento dei dati da parte di tali autorità (21). Ciò vale anche per i dati personali sensibili (22).

1.      Sul controllo limitato del giudice nellambito del procedimento di autorizzazione dellesecuzione coercitiva della registrazione da parte della polizia e sul rispetto del diritto a un ricorso giurisdizionale effettivo

30.      In tali circostanze, poiché la direttiva 2016/680 non osta ad una normativa nazionale che prevede che, per quanto riguarda le persone accusate, le autorità competenti possono ordinare il rilevamento dei dati biometrici e genetici in caso di rifiuto delle suddette persone senza, tuttavia, disciplinare le modalità procedurali di una siffatta esecuzione coercitiva, è giocoforza constatare, d’accordo con il governo francese, che gli Stati membri possono, in effetti, decidere di istituire una procedura vincolante conferendole carattere giuridico o amministrativo, nonché prevedendo di attribuire il potere di decidere sull’esecuzione coercitiva della raccolta dei dati ad un’autorità giudiziaria o amministrativa.

31.      La direttiva 2016/680 specifica, al suo capo VIII, i ricorsi di cui devono poter avvalersi le persone oggetto del trattamento dei dati. Tali rimedi giuridici includono la possibilità di proporre reclamo a un’unica autorità di controllo (23), la possibilità per la persona di proporre un ricorso giurisdizionale effettivo avverso qualsiasi decisione giuridicamente vincolante dell’autorità di controllo che la riguarda (24) nonché la possibilità di proporre un ricorso giurisdizionale effettivo qualora l’interessato ritenga che i diritti di cui gode ai sensi della direttiva 2016/680, così come attuati a livello nazionale, siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali diritti (25). La situazione oggetto della terza questione pregiudiziale, tuttavia, si colloca a monte di tali differenti fattispecie.

32.      Tuttavia, poiché l’articolo 68 dello ZMVR, che prevede le condizioni per l’esecuzione coercitiva della registrazione da parte della polizia imposta alla categoria particolare delle persone formalmente accusate di un reato intenzionale perseguibile d’ufficio, costituisce un’attuazione del diritto dell’Unione (26) ai sensi dell’articolo 51, paragrafo 1, della Carta, occorre pertanto assicurarsi che esso rispetti il diritto a una tutela giurisdizionale effettiva, quale sancito dall’articolo 47 della Carta.

33.      L’articolo 47 della Carta stabilisce che ogni persona i cui diritti e le cui libertà garantiti dal diritto dell’Unione siano stati violati ha diritto a un ricorso effettivo, alle condizioni previste da tale articolo. Gli articoli 7 e 8 della Carta sanciscono il diritto al rispetto della vita privata e alla protezione dei dati di carattere personale. Come ha recentemente sottolineato la Corte, «nessuno dei tre diritti fondamentali citati rappresenta una prerogativa assoluta, in quanto ciascuno di essi deve essere, infatti, preso in considerazione rispetto alla sua funzione nella società» (27). Peraltro, l’articolo 52, paragrafo 1, della Carta prevede che possano essere apportate limitazioni all’esercizio dei diritti e delle libertà riconosciuti da quest’ultima, purché, in primo luogo, tali limitazioni siano previste dalla legge, in secondo luogo, esse rispettino il contenuto essenziale dei diritti e delle libertà in questione e, in terzo luogo, nel rispetto del principio di proporzionalità, esse siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui. Pertanto, una limitazione all’esercizio del diritto a un ricorso effettivo sancito dall’articolo 47 della Carta può essere apportata dal legislatore dell’Unione o, in mancanza di una normativa dell’Unione in materia, dagli Stati membri, ove le condizioni previste all’articolo 52, paragrafo 1, della Carta siano rispettate (28).

34.      Per quanto riguarda la prima condizione, è proprio lo ZMVR, come precisato dal NRISPR, a prevedere l’obbligo, per le persone accusate di un reato intenzionale perseguibile d’ufficio, di collaborare, volontariamente o con la coercizione, alla registrazione da parte della polizia, se del caso, in seguito all’ordine del giudice di primo grado competente per detto reato. La competenza vincolata di tale giudice e l’impossibilità di verificare, in questa fase del procedimento, la sufficienza di prove per ritenere che la persona abbia commesso il reato di cui viene accusata, in circostanze nelle quali il procedimento che ha lo scopo di ordinare l’esecuzione coercitiva della registrazione da parte della polizia è caratterizzato, peraltro, da una certa urgenza a statuire e da una natura non contraddittoria, sono certamente previsti dalla legge, ai sensi dell’articolo 52, paragrafo 1, della Carta.

35.      Per quanto riguarda la seconda condizione, la Corte ha più volte dichiarato che il contenuto essenziale del diritto a un ricorso giurisdizionale effettivo, sancito all’articolo 47 della Carta, include, in particolare, la facoltà, per il soggetto titolare del diritto stesso, di adire un giudice competente a garantire il rispetto dei diritti che gli sono attribuiti dal diritto dell’Unione e, a tal fine, ad esaminare tutte le questioni di fatto e di diritto rilevanti ai fini della decisione della controversia di cui è investito (29). Il requisito di rispettare il contenuto essenziale del diritto a un ricorso effettivo non richiede tuttavia che il titolare del diritto stesso disponga di un rimedio giurisdizionale diretto, mirante, in via principale, a contestare una misura determinata, purché esistano altresì, dinanzi ai vari giudici nazionali competenti, uno o più rimedi giurisdizionali che gli consentano di ottenere, in via incidentale, un controllo giurisdizionale di tale misura che garantisca il rispetto dei diritti e delle libertà che il diritto dell’Unione gli garantisce (30).

36.      A tal riguardo, rilevo, come spiegato dal governo bulgaro, che l’ordine di procedere alla registrazione da parte della polizia interviene nel corso della fase preliminare del procedimento penale, che costituisce la fase in cui vengono effettuati gli atti di indagine e di raccolta delle prove, al termine della quale è necessario stabilire se sia stato commesso un reato, chi ne è l’autore e se sussiste la responsabilità penale di quest’ultimo. Una volta completata l’indagine penale e rese note le prove, il pubblico ministero dovrà decidere se archiviare il procedimento penale, se sospenderlo, se proporre un’esimente da responsabilità penale corredata di una sanzione amministrativa, se proporre una transazione o se rinviare a giudizio mediante atto di accusa. È il deposito di tale atto d’accusa davanti al giudice che avvia la fase giudiziaria del procedimento penale.

37.      La sussistenza di prove a carico della persona che è stata obbligata a sottoporsi alla registrazione da parte della polizia dovrà necessariamente poter essere verificata al momento dell’avvio del procedimento penale nella sua fase giudiziaria, nel corso del quale il giudice investito deve avere la possibilità di esaminare tutte le questioni di diritto e di fatto rilevanti, in particolare, per verificare che le prove sulle quali si fonda l’accusa non siano state ottenute o utilizzate in violazione dei diritti e delle libertà garantiti all’interessato dal diritto dell’Unione (31).

38.      Per quanto riguarda la terza condizione, la normativa nazionale sottoposta all’esame della Corte deve, nel rispetto del principio di proporzionalità, essere necessaria e rispondere effettivamente ad un obiettivo di interesse generale riconosciuto dall’Unione. L’articolo 68 dello ZMVR disciplina la raccolta e il trattamento di dati particolari per una categoria particolare di persone e si inserisce, a tale riguardo, nell’ambito della direttiva 2016/680 che istituisce un regime specifico per quanto riguarda i dati personali e il loro trattamento da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati. Pertanto, l’obiettivo perseguito dalla normativa nazionale di cui trattasi nei procedimenti principali costituisce necessariamente una finalità di interesse generale riconosciuta dall’Unione (32). Peraltro, le necessità dell’indagine possono anche motivare la scelta del legislatore nazionale di sottrarre il procedimento avente ad oggetto una domanda di esecuzione coercitiva della registrazione da parte della polizia, nonostante le gravi ingerenze apportate ai diritti garantiti dagli articoli 7 e 8 della Carta, al potere di verifica del giudice quanto al rispetto dell’ambito di applicazione ratione personae di tale registrazione e di rinviare tale esame a una fase successiva del procedimento. La normativa nazionale sembra chiaramente idonea a realizzare l’obiettivo perseguito e non appare sproporzionata, a condizione che la persona accusata abbia effettivamente la possibilità di contestare la registrazione da parte della polizia in una fase successiva, dinanzi al giudice che ne ha ordinato l’esecuzione coercitiva o dinanzi ad un altro giudice.

2.      Sullassenza di verifica della sufficienza delle prove e sul rispetto della presunzione di innocenza

39.      Infine, il giudice del rinvio esprime una serie di preoccupazioni relative al rispetto della presunzione di innocenza sancita all’articolo 48 della Carta (33). Egli si chiede, in particolare, se l’impossibilità di controllare la sufficienza delle prove che hanno dato origine all’accusa, nel momento in cui il giudice competente deve ordinare la registrazione da parte della polizia, non pregiudichi la presunzione di innocenza della persona accusata.

40.      Riferito all’articolo 6, lettera a), della direttiva 2016/680, il considerando 31 della stessa, che chiarisce il significato di tale disposizione, precisa che l’istituzione di diverse categorie di persone alle quali devono corrispondere diversi trattamenti dei loro dati personali «non dovrebbe impedire l’applicazione del diritto alla presunzione di innocenza garantito dalla Carta e dalla [CEDU]».

41.      Come rammentato in precedenza, il giudice del rinvio è preoccupato dal fatto che la decisione con cui il giudice competente deve ordinare la registrazione da parte della polizia viene adottata nell’ambito di un procedimento che consente a detto giudice solo di valutare se la persona interessata sia formalmente accusata e se si sia effettivamente opposta alla registrazione da parte della polizia. In merito ai procedimenti penali, l’articolo 48 della Carta è stato attuato, nel diritto dell’Unione, dalla direttiva (UE) 2016/343 del Parlamento europeo e del Consiglio, del 9 marzo 2016, sul rafforzamento di alcuni aspetti della presunzione di innocenza e del diritto di presenziare al processo nei procedimenti penali (34). Detta direttiva si applica «alle persone fisiche che sono indagate» e «a ogni fase del procedimento penale, dal momento in cui una persona sia indagata (…) per aver commesso un reato (...) sino a quando non diventi definitiva la decisione che stabilisce se la persona abbia commesso il reato» (35). L’articolo 4, paragrafo 1, della direttiva 2016/343 obbliga gli Stati membri ad adottare «le misure necessarie per garantire che, fino a quando la colpevolezza di un indagato o imputato non sia stata legalmente provata, le dichiarazioni pubbliche rilasciate da autorità pubbliche e le decisioni giudiziarie diverse da quelle sulla colpevolezza non presentino la persona come colpevole». Tuttavia, ciò lascia «impregiudicati gli atti della pubblica accusa volti a dimostrare la colpevolezza dell’indagato o imputato e le decisioni preliminari di natura procedurale adottate da autorità giudiziarie o da altre autorità competenti e fondate sul sospetto o su indizi di reità» (36). Inoltre, l’articolo 7, paragrafo 3, della direttiva 2016/343 precisa che «[l]’esercizio del diritto di non autoincriminarsi non impedisce alle autorità competenti di raccogliere prove che possono essere ottenute lecitamente ricorrendo a poteri coercitivi legali e che esistono indipendentemente dalla volontà dell’indagato o imputato».

42.      In tali circostanze, mi sembra possibile considerare che la decisione con cui il giudice competente, dopo aver semplicemente preso atto dell’accusa che si presume, in tale fase, fondata su prove sufficienti della partecipazione della persona interessata alla commissione di un reato perseguibile d’ufficio, e del rifiuto di detta persona di sottoporsi alla registrazione da parte della polizia, autorizza le autorità di polizia a procedere all’esecuzione coercitiva di tale registrazione, non può essere interpretata come una presa di posizione sulla colpevolezza di detta persona né, pertanto, come una violazione della presunzione di innocenza della persona interessata (37).

43.      Al contrario, dato che il giudice che deve ordinare la registrazione da parte della polizia è lo stesso dinanzi al quale, eventualmente, si svolgerà il processo penale nella sua fase giudiziaria, il fatto che egli non possa valutare, in questa fase del procedimento penale, oltretutto nel contesto di un procedimento che non sembra essere in contraddittorio, la sufficienza delle prove, sembra garantire alla persona accusata che tale giudice, in conformità con la presunzione di innocenza, «quando esamin[erà] la responsabilità penale dell’accusato, [sarà] immune da qualunque parzialità e pregiudizio» (38). In ogni caso, «per verificare il rispetto della presunzione di innocenza, occorre sempre analizzare una decisione giudiziaria – e la sua motivazione – nel suo insieme ed alla luce delle particolari circostanze in cui essa è stata adottata» (39).

44.      Dall’analisi che precede risulta pertanto che l’articolo 6, lettera a), della direttiva 2016/680, letto alla luce degli articoli 47 e 48 della Carta, deve essere interpretato nel senso che esso non osta a una normativa nazionale, come quella di cui al procedimento principale, che prevede che il controllo del giudice penale competente, investito di una domanda di autorizzazione dell’esecuzione coercitiva della registrazione da parte della polizia di dati personali, in particolare biometrici e genetici, alla quale la persona accusata di un reato intenzionale perseguibile d’ufficio si è rifiutata di sottoporsi, si limiti ad accertare la decisione di accusa e il rifiuto della persona interessata senza poter valutare la sussistenza delle prove sufficienti che hanno portato alla decisione di accusare tale persona, in quanto la questione della sufficienza delle prove su cui si basa l’accusa potrà essere opportunamente sollevata davanti il giudice, se del caso, in una fase successiva del procedimento penale.

B.      Sulla quarta questione pregiudiziale

45.      Con la quarta questione pregiudiziale, il giudice del rinvio chiede alla Corte di interpretare l’articolo 4, paragrafo 1, lettere b) e c) (40), nonché gli articoli 8 e 10 della direttiva 2016/680 per potere, in definitiva, valutare la conformità a tali disposizioni dell’articolo 68 dello ZMVR, ai sensi del quale le fotografie, le impronte digitali e il prelievo di campioni per l’elaborazione di un profilo del DNA vengono sistematicamente raccolti e trattati, laddove una persona è accusata di un reato intenzionale perseguibile d’ufficio.

46.      La direttiva 2016/680 dedica una disposizione specifica al trattamento delle categorie particolari di dati personali, come quelle cui si riferisce il testo della quarta questione pregiudiziale, al suo articolo 10, che prevede, in sostanza, che il trattamento dei dati biometrici e genetici intesi a identificare in modo univoco una persona fisica «è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto (...) se autorizzato dal diritto dell’Unione o dello Stato membro» (41).

47.      L’applicazione dell’articolo 10 non osta all’assoggettamento, peraltro e a maggior ragione, del trattamento di tali dati particolari agli altri requisiti previsti dalla direttiva 2016/680, di modo che un trattamento di categorie particolari di dati personali deve, segnatamente, essere conforme all’articolo 4, paragrafo 1, lettere b) e c), nonché all’articolo 8 di tale direttiva. Tuttavia, un esame successivo di tali disposizioni condurrebbe a un risultato ridondante, cosicché mi sembra possibile integrare i requisiti specifici di tali disposizioni nell’analisi condotta sul fondamento dell’articolo 10 della direttiva 2016/680.

48.      Pertanto, ritengo che si debba verificare, in primo luogo, se il trattamento dei dati soggetti al campo di applicazione dell’articolo 10 della direttiva 2016/680 sia assolutamente necessario. Ciò comporta, da un lato, la definizione del livello di necessità richiesto e, dall’altro, l’introduzione nel test della necessità anche del principio della minimizzazione dei dati personali sancito dall’articolo 4, paragrafo 1, lettera c), di tale direttiva (42). In questa fase dell’analisi può essere effettuato anche il controllo della correlazione tra i mezzi utilizzati e la finalità perseguita, che deve essere determinata, esplicita e legittima ai sensi dell’articolo 4, paragrafo 1, lettera b), e dell’articolo 8, paragrafo 1, della direttiva 2016/680. In secondo luogo, occorre verificare che il trattamento sia effettivamente autorizzato dal diritto di uno Stato membro, il che, come dimostrerò, rinvia alla qualità della legge, alla luce di quanto prescritto in particolare all’articolo 8, paragrafo 2, della direttiva 2016/680. In terzo luogo, si dovrà valutare se il trattamento disciplinato dall’articolo 10 di tale direttiva soddisfi il requisito di offrire garanzie adeguate per i diritti e le libertà della persona interessata.

1.      Sul carattere assolutamente necessario del trattamento dei dati raccolti durante la registrazione da parte della polizia

49.      La prima condizione è dunque che il trattamento dei dati biometrici e genetici sia assolutamente necessario. Non vi è dubbio, a mio avviso, che si tratti di un requisito rafforzato, in quanto l’articolo 8, paragrafo 1, della direttiva 2016/680 si limita a fare riferimento alla sola necessità del trattamento per valutarne la liceità. Osservo, tuttavia che, senza pretendere di essere esaustivo, le versioni nelle lingue spagnola, tedesca, inglese, italiana, polacca, portoghese o rumena stabiliscono, all’articolo 10 di tale direttiva, una soglia formulata diversamente, poiché tali versioni si riferiscono a un trattamento strettamente necessario (43). Sebbene esista la sfumatura, benché sottile, ritengo che essa non comporti realmente conseguenze sulla natura del test che ne deriva. D’altro canto, l’articolo 10 della direttiva 2016/680 impone chiaramente un livello di requisito rafforzato, che si rende necessario in presenza di gravi ingerenze nel diritto alla protezione dei dati personali (44), rispetto a quanto consentito nell’ambito del regime generale applicato ai dati non particolari. Il concetto di una rigorosa necessità deve quindi essere costantemente tenuto presente.

50.      Per una maggiore coerenza di quest’ultimo, inizierò con l’esame delle finalità. I dati personali devono essere raccolti per finalità determinate, esplicite e legittime e non devono essere trattati in modo incompatibile con tali finalità, il che richiede un esame del diritto nazionale che costituisce, attraverso le sue diverse fonti, il regime giuridico della registrazione da parte della polizia, esame che spetterà al giudice del rinvio effettuare. La mera invocazione di una finalità perseguita dall’articolo 1, paragrafo 1, della direttiva 2016/680 non può essere sufficiente per constatare che il requisito di cui all’articolo 4, paragrafo 1, lettera b), di tale direttiva sia soddisfatto. Se la direttiva 2016/680 riconosce che per le autorità competenti è necessario trattare i dati personali raccolti a fini di prevenzione, indagine, accertamento o perseguimento di specifici reati al di là di tale contesto per sviluppare conoscenze delle attività criminali e mettere in collegamento i diversi reati accertati (45), il diritto nazionale che disciplina tale attività deve individuare le finalità del trattamento, che devono essere chiaramente indicate (46). Inoltre, per quanto riguarda l’obiettivo di prevenzione, ricerca, accertamento e perseguimento dei reati, «solo la lotta alle forme gravi di criminalità e la prevenzione di minacce gravi alla sicurezza pubblica sono idonee a giustificare ingerenze gravi nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta (...). Pertanto, solo le ingerenze in tali diritti fondamentali che non presentano un carattere grave possono essere giustificate dall’obiettivo di prevenzione, ricerca, accertamento e perseguimento di reati in generale» (47).

51.      Le disposizioni nazionali devono essere chiare e precise (48), affinché gli interessati siano sensibilizzati rispetto ai rischi, alle norme, alle garanzie e ai diritti (49) relativi al trattamento previsto. A mio avviso, il controllo della legittimità della finalità perseguita non può limitarsi all’esame della mera menzione, da parte del diritto nazionale, di una finalità comune a quelle della direttiva 2016/680, dal momento che la finalità è legittima anche in funzione delle condizioni per il suo perseguimento. Inoltre, se non sono sufficientemente dettagliate le condizioni della sua attuazione pratica, la finalità perseguita, sebbene legittima, non potrà essere considerata né esplicita né determinata, sempre ai sensi dell’articolo 4, paragrafo 1, lettera b), della direttiva 2016/680. Orbene, l’esplicitazione e la determinazione delle finalità sono tappe fondamentali affinché si possa effettuare l’esame della necessità assoluta.

52.      Per quanto riguarda il principio secondo cui i dati personali raccolti e trattati devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità perseguite dal loro trattamento, si tratta del principio di minimizzazione dei dati (50), quale enunciato all’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680.

53.      L’adeguatezza e la pertinenza dei dati non sembrano, a priori, costituire un problema, dato che le fotografie, le impronte digitali e il DNA sono fattori noti di identificazione univoca che consentono di dimostrare, mediante confronto, la presunta partecipazione della persona interessata alla commissione del reato, nell’ambito del procedimento penale in corso o tramite confronto con le prove raccolte nell’ambito di procedimenti precedenti.

54.      Il considerando 26 della direttiva 2016/680 ricomprende, all’interno del principio della minimizzazione dei dati, la verifica del periodo di tempo necessario per la conservazione dei dati in questione (51) e indica che «i dati dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi» (52). Inoltre, per quanto riguarda le deroghe e le restrizioni al diritto fondamentale alla protezione dei dati personali, tali deroghe e restrizioni devono avere luogo nei limiti di quanto strettamente necessario (53). Occorre stabilire una relazione ragionevole tra i dati da conservare e l’obiettivo (54) perseguito. Sebbene non si tratti di mettere in discussione l’effettivo contributo degli archivi di dati consultati dalle autorità nazionali nella repressione di taluni reati, talvolta i più gravi, tuttavia, la Corte europea dei diritti dell’uomo ha già dichiarato che tali dispositivi non possono essere utilizzati secondo una logica eccessiva di massimizzazione delle informazioni ivi collocate e del periodo della loro conservazione. Infatti, senza il rispetto di una necessaria proporzionalità rispetto agli obiettivi legittimi ad essi assegnati, i benefici che apportano sarebbero pregiudicati dalle gravi violazioni che essi causerebbero ai diritti e alle libertà che gli Stati devono garantire (55).

55.      La Corte ha recentemente ricordato, nel contesto del RGPD e in merito al principio di minimizzazione, che, per soddisfare il requisito di proporzionalità che trova espressione nella disposizione che prevede tale principio, «la normativa su cui si fonda il trattamento deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione della misura de qua e impongano requisiti minimi in modo che le persone i cui dati personali sono interessati dispongano di garanzie sufficienti che permettano di proteggere efficacemente tali dati contro il rischio di abusi. Tale normativa dev’essere giuridicamente vincolante nell’ambito dell’ordinamento nazionale e, in particolare, indicare in quali circostanze e a quali condizioni una misura che preveda il trattamento di tali dati possa essere adottata, garantendo così che l’ingerenza sia limitata allo stretto necessario» (56). Tale normativa, inoltre, «deve fondarsi su criteri oggettivi per definire le circostanze e le condizioni» (57) in cui una persona deve fornire i propri dati personali per il trattamento da parte delle autorità competenti.

2.      Sul requisito secondo cui il trattamento deve essere autorizzato dal diritto nazionale

56.      L’articolo 10 prevede, come una delle condizioni per l’autorizzazione del trattamento di categorie particolari di dati personali, che quest’ultimo sia autorizzato dal diritto dell’Unione o dal diritto nazionale. Il considerando 33 della direttiva 2016/680 specifica cosa si intende per «diritto nazionale» nonché le caratteristiche che lo stesso deve avere. Così, il diritto nazionale deve essere chiaro e preciso, e la sua applicazione prevedibile. Il suo contenuto è disciplinato dall’articolo 8, paragrafo 2, di tale direttiva, il quale prevede che una disposizione del diritto nazionale che disciplina un trattamento dei dati personali nell’ambito di applicazione della predetta direttiva specifica «quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità [di quest’ultimo]». Di primo acchito, distinguere tra gli obiettivi del trattamento e le sue finalità non appare evidente. Mi sembra tuttavia che, se la finalità può essere formulata con un certo livello di generalizzazione, gli obiettivi dovrebbero specificare l’utilità concreta e immediata del trattamento previsto (58). Il diritto nazionale deve pertanto evidenziare in modo sufficiente i motivi per cui è stato autorizzato il trattamento di tale categoria particolare di dati.

3.      Sullesistenza di garanzie adeguate per i diritti e le libertà della persona interessata

57.      Tenuto conto dei rischi derivanti dal trattamento dei dati personali cosiddetti sensibili, lo stesso deve essere soggetto a garanzie adeguate per i diritti e le libertà della persona interessata. Tali garanzie, per essere adeguate, devono, ovviamente, essere previste dalla legge (59). La valutazione dell’esistenza di tali garanzie richiede una visione d’insieme di tutte le condizioni, affinché si possa valutare l’esatta portata del trattamento in questione e garantire un’efficace tutela contro trattamenti impropri o abusivi (60). Infatti, il considerando 37 della direttiva 2016/680 menziona, quale esempio di tali garanzie, «la possibilità di raccogliere tali dati unicamente in connessione con altri dati relativi alla persona fisica interessata, la possibilità di provvedere adeguatamente alla sicurezza dei dati raccolti, norme più severe riguardo all’accesso ai dati da parte del personale dell’autorità competente e il divieto di trasmissione di tali dati». In materia di trattamento di dati sensibili, poiché si tratta di un’ingerenza grave e in considerazione dei rischi di abuso connessi alla qualità intrinseca di tali dati, le questioni relative al periodo della loro conservazione e all’accesso delle autorità competenti sono fondamentali. La valutazione della conformità del trattamento previsto alle prescrizioni dell’articolo 10 della direttiva 2016/680 implica dunque anche un esame rigoroso di tutti gli aspetti del trattamento previsto che devono, pertanto, essere formulati chiaramente dal diritto nazionale (61) e soddisfare le norme fissate dal diritto dell’Unione.

4.      Conclusione e applicazione provvisoria

58.      Da quanto precede risulta pertanto che l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, lettere b) e c), e con l’articolo 8 di tale direttiva, e interpretato alla luce degli articoli 7, 8 e dell’articolo 52, paragrafo 1, della Carta, deve essere interpretato nel senso che la raccolta e il trattamento dei dati biometrici e genetici, quali le fotografie, le impronte digitali e il prelievo di campioni per l’elaborazione di un profilo del DNA, poiché costituiscono una grave ingerenza nel diritto alla protezione dei dati personali, sono autorizzati solo se strettamente necessari per il perseguimento di obiettivi legati alle forme gravi di criminalità, che il diritto nazionale deve chiaramente identificare. La natura e il numero dei dati personali trattati devono essere strettamente adeguati e coerenti con l’obiettivo e le finalità perseguite. A tale riguardo, il diritto nazionale deve conformarsi a una delle finalità perseguite dalla direttiva 2016/680. Deve altresì indicare quali sono gli obiettivi concreti perseguiti che possono contribuire alla realizzazione di tale finalità. Devono anche essere specificati concretamente i motivi per cui, nonostante si tratti di un’ingerenza grave, il trattamento di tali dati, e in particolare dei dati genetici, appare strettamente necessario a tal fine. Il diritto nazionale deve, inoltre, enunciare chiaramente le condizioni del trattamento in tutte le sue dimensioni, vale a dire dalle condizioni della raccolta alle condizioni di accesso e cancellazione dei dati, fino alla determinazione specifica e necessariamente strettamente limitata dell’ambito di applicazione personale della misura di raccolta e di trattamento. Ciascuna di tali condizioni deve essere limitata allo stretto necessario. Il regime così definito deve risultare idoneo a proteggere efficacemente le persone dai rischi di abuso rappresentati, in particolare, dal trattamento dei dati genetici. Spetterà al giudice del rinvio assicurarsi che tutte queste prescrizioni siano scrupolosamente rispettate.

59.      Non mi sembra, infatti, che la Corte disponga pienamente di tutte le informazioni sullo stato del diritto nazionale che disciplinano la registrazione da parte della polizia per potersi pronunciare sulla compatibilità di tale registrazione con il diritto dell’Unione. Tuttavia, si deve affermare che alcuni elementi specifici di tale registrazione suscitano già alcuni interrogativi, se non addirittura preoccupazioni.

60.      Il giudice del rinvio afferma, nella sua domanda di pronuncia pregiudiziale, che il trattamento ha come obiettivo un’attività di informazione e che lo stesso rientra nell’ambito dell’esecuzione delle attività del Ministero dell’Interno. L’articolo 27 dello ZMVR precisa inoltre che i dati registrati dalla polizia ai sensi dell’articolo 68 di tale legge sono utilizzati «solo» nel contesto della salvaguardia della sicurezza nazionale, della lotta contro la criminalità e della tutela dell’ordine pubblico (62). Secondo il governo bulgaro, i dati raccolti durante la registrazione da parte della polizia saranno trattati ai fini del procedimento penale in cui la persona interessata è stata accusata, ma anche per «altri fini connessi alla lotta contro la criminalità», e se del caso, a fini di confronto. A prima vista, tali finalità sembrano ovviamente corrispondere a quelle menzionate all’articolo 1, paragrafo 1, della direttiva 2016/680, in particolare ai fini di indagine e accertamento dei reati. Tuttavia, la mancanza di una determinazione specifica della finalità perseguita, o l’accumulo delle finalità invocate, nonché la mancanza di esplicitazione dei motivi per i quali un tale fine o fini giustifichi(no) un tale mezzo (vale a dire, lo ricordo, la raccolta e il trattamento obbligatorio e sistematico di tre tipi di dati personali che rientrano nelle categorie particolari che devono godere di una protezione rafforzata ai sensi dell’articolo 10 della direttiva 2016/680, tra cui il profilo del DNA, delle persone accusate di un reato intenzionale perseguibile d’ufficio) (63) appaiono evidenti e rischiano di ostacolare le altre fasi del test da applicare. In particolare, per quanto riguarda l’alimentazione di un archivio automatizzato con un profilo del DNA della persona interessata, deve essere particolarmente sostenuto lo sforzo del diritto nazionale nell’esplicitazione della necessità di ricorrere a un siffatto trattamento, in particolare affinché sia dimostrato che il risultato al quale è pervenuto deriva da una seria ponderazione degli interessi in gioco.

61.      Anche se le finalità asseritamente perseguite dalla registrazione da parte della polizia apparivano conformi a quelle di cui all’articolo 1, paragrafo 1, della direttiva 2016/680, il diritto nazionale non ha né stabilito né precisato i legami tra la portata della raccolta – sia sul numero di interessati sia sul numero di dati raccolti e trattati – e le finalità perseguite.

62.      Poiché la Corte ha già statuito che l’efficacia delle azioni penali dipende in genere non da un solo strumento di indagine, bensì da tutti gli strumenti di indagine di cui dispongono le autorità nazionali competenti a tal fine (64), qualora uno Stato membro autorizzi tali autorità a raccogliere e trattare dati personali così sensibili come il profilo DNA, le ragioni per le quali tali dati devono essere oggetto di un trattamento ai fini dell’indagine in corso dovrebbero essere specificamente precisate.

63.      Rilevo altresì che tutte le persone accusate di un reato intenzionale perseguibile d’ufficio devono sottoporsi alla registrazione da parte della polizia. Orbene, il giudice del rinvio precisa che quasi tutti i reati previsti dal codice penale rientrano in tali categorie (reati intenzionali/reati perseguibili d’ufficio). Tutti i dati sono raccolti nella fase dell’accusa, mentre, come richiesto dal diritto penale processuale bulgaro, sono già state raccolte prove sufficienti della colpevolezza della persona accusata. Tuttavia, per quanto riguarda la registrazione da parte della polizia, le persone che saranno effettivamente giudicate colpevoli alla fine del procedimento non sono trattate in modo diverso da quelle che non lo saranno, eccetto, sembrerebbe, il diritto alla cancellazione dei dati trattati una volta che la persona sarà definitivamente assolta. Orbene, trattandosi di gravi ingerenze e di dati sensibili che richiedono una protezione rafforzata, mi chiedo perché non si inverta la logica, ossia perché non attendere la condanna per i fatti oggetto di imputazione prima di procedere alla registrazione da parte della polizia, il che avrebbe almeno il merito di rafforzare la selettività della misura. La Corte non dispone tuttavia di informazioni sulle ragioni che hanno motivato la scelta del legislatore nazionale.

64.      Né si tiene conto della natura del reato per il quale è stata pronunciata l’accusa. Se si dovesse schematizzare al massimo, si potrebbe ipotizzare che la persona accusata di un’infrazione stradale sarà trattata allo stesso modo di quella accusata di omicidio. La normativa non sembra prevedere casi in cui non si proceda alla registrazione da parte della polizia di tutti i dati interessati. Orbene, almeno per quanto riguarda i procedimenti penali in corso, non tutti richiederanno l’elaborazione di un profilo del DNA per dimostrare la colpevolezza dell’interessato. Sebbene la misura non sia, in quanto tale, generalizzata perché «limitata» alle persone accusate, tuttavia, la sua applicazione indifferenziata all’ampia categoria di tali persone solleva chiaramente dei dubbi. Inoltre, non distinguendo in base alla gravità del reato, il diritto nazionale appare, già solo su questo punto, difficilmente conciliabile con la giurisprudenza citata al paragrafo 50 delle presenti conclusioni.

65.      Particolare attenzione va prestata anche alle condizioni di conservazione e accesso ai dati, sulle quali la Corte dispone di poche informazioni.

66.      Infine, la questione del confronto dei dati così raccolti mi ispira due serie di osservazioni. Anzitutto, per quanto riguarda il confronto con le prove raccolte nel corso di indagini precedenti, un’interpretazione strettamente necessaria di tale obiettivo potrà solo eventualmente giustificare un confronto immediato degli indizi, senza che sia necessario conservare per un periodo di tempo più o meno lungo i dati delle persone accusate. Inoltre, se è vero che l’idea è quella di costituire una banca dati per facilitare la soluzione dei reati futuri, quindi in caso di recidiva, non risulta chiaramente giustificato alimentare tale banca dati con dati personali sensibili di persone nei confronti delle quali, sebbene non siano ancora state giudicate colpevoli, si metterebbero già all’opera elementi intesi a combattere il rischio del tutto ipotetico di recidiva che tali persone rappresenterebbero.

IV.    Conclusione

67.      Alla luce di tutte le suesposte considerazioni, suggerisco alla Corte di rispondere come segue alle questioni pregiudiziali terza e quarta sollevate dallo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali, Bulgaria):

L’articolo 6, lettera a), della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, letto alla luce degli articoli 47 e 48 della Carta dei diritti fondamentali dell’Unione europea, deve essere interpretato nel senso che esso non osta a una normativa nazionale, come quella di cui al procedimento principale, che prevede che il controllo del giudice penale competente, investito di una domanda di autorizzazione dell’esecuzione coercitiva della registrazione da parte della polizia di dati personali, in particolare biometrici e genetici, alla quale la persona accusata di un reato intenzionale perseguibile d’ufficio si è rifiutata di sottoporsi, si limiti ad accertare la decisione di accusa e il rifiuto della persona interessata, senza poter valutare la sussistenza delle prove sufficienti che hanno portato alla decisione di accusare tale persona, in quanto la questione della sufficienza delle prove su cui si basa l’accusa potrà essere opportunamente sollevata davanti il giudice, se del caso, in una fase successiva del procedimento penale.

L’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, lettere b) e c), e con l’articolo 8 di tale direttiva, e interpretato alla luce degli articoli 7, 8 e dell’articolo 52, paragrafo 1, della Carta dei diritti fondamentali, deve essere interpretato nel senso che la raccolta e il trattamento dei dati biometrici e genetici, quali le fotografie, le impronte digitali e il prelievo di campioni per l’elaborazione di un profilo del DNA, poiché costituiscono una grave ingerenza nel diritto alla protezione dei dati personali, sono autorizzati solo se strettamente necessari per il perseguimento di obiettivi legati alle forme gravi di criminalità, che il diritto nazionale deve chiaramente identificare. La natura e il numero dei dati personali trattati devono essere strettamente adeguati e coerenti con l’obiettivo e le finalità perseguite. A tale riguardo, il diritto nazionale deve perseguire una delle finalità perseguite dalla direttiva 2016/680. Deve altresì indicare quali sono gli obiettivi concreti perseguiti che possono contribuire alla realizzazione di tale finalità. Devono anche essere specificati concretamente i motivi per cui, nonostante si tratti di un’ingerenza grave, il trattamento di tali dati, e in particolare dei dati genetici, appare strettamente necessario a tal fine. Il diritto nazionale deve, inoltre, enunciare chiaramente le condizioni del trattamento in tutte le sue dimensioni, vale a dire dalle condizioni della raccolta alle condizioni di accesso ai dati e cancellazione dei medesimi, fino alla determinazione specifica e necessariamente strettamente limitata dell’ambito di applicazione personale della misura di raccolta e di trattamento. Ciascuna di tali condizioni deve essere limitata allo stretto necessario. Il regime così definito deve risultare idoneo a proteggere efficacemente le persone dai rischi di abuso rappresentati, in particolare, dal trattamento dei dati genetici. Spetta al giudice del rinvio assicurarsi che tutte queste prescrizioni siano rispettate.


1      Lingua originale: il francese.


2      V., altresì, le mie conclusioni nella causa Ligue des droits humains (C‑817/19, EU:C:2022:65, paragrafo 2).


3      Secondo il «grande principio» in base al quale Zadig, divenuto primo ministro del re, aveva esercitato il suo ministero (in Voltaire, Zadig o il destino, edizioni Pocket, Parigi, pag. 41).


4      GU 2016, L 119, pag. 89.


5      DV n. 53, del 27 giugno 2014, modificato e integrato da ultimo in CV n. 85, del 2 ottobre 2020, integrato in DV n. 20, del 9 marzo 2021.


6      Legge sui documenti d’identità bulgari.


7      DV n. 90, del 31 ottobre 2014, modificata da ultimo in DV n. 57, del 28 luglio 2015.


8      Il numero di impronte digitali così rilevate non è specificato nel fascicolo di cui dispone la Corte.


9      Dal fascicolo di cui dispone la Corte risulta che il contenuto della registrazione da parte della polizia è descritto come comprendente una o più fotografie, senza che siano meglio specificati il numero e il contenuto della o delle fotografie.


10      Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGPD»).


11      La registrazione da parte delle autorità competenti a tal fine, nei sistemi di ricerca di uno Stato membro, dei dati personali, quali quelli oggetto della registrazione da parte della polizia costituisce un trattamento di tali dati, ai sensi della direttiva 2016/380: v. articolo 3, punti 2 e 7, di detta direttiva. V., per analogia, sentenza del 12 maggio 2021, Bundesrepublik Deutschland (Avviso rosso dell’Interpol) (C‑505/19, EU:C:2021:376, punto 111).


12      Ricordo che il numero di impronte digitali così prelevate non è specificato.


13      Anche in questo caso, il loro numero e il loro contenuto non sono specificati.


14      V., per analogia, sentenze del 16 luglio 2020, Facebook Ireland e Schrems (C‑311/18, EU:C:2020:559, punto 171), e del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) (C‑245/19 e C‑246/19, EU:C:2020:795, punto 73).


15      Sulla relazione tra il carattere sensibile dei dati e la gravità dell’ingerenza, v., in particolare, sentenze del 24 settembre 2019, GC e a. (Deindicizzazione dei dati sensibili) (C‑136/17, EU:C:2019:773, punto 44), e del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 142).


16      Come confermato dalle statistiche fornite dal governo francese nelle sue osservazioni scritte.


17      Articolo 219, paragrafo 1, del NPK.


18      Articolo 6, lettera a), della direttiva 2016/680. Il corsivo è mio. Le altre categorie contemplate da tale disposizione sono le persone condannate per un reato [articolo 6, lettera b)], le vittime [articolo 6, lettera c)] e altre parti come i testimoni [articolo 6, lettera c)].


19      Tale articolo 6 è il risultato di uno spostamento dal principio di registrazione dei dati, sancito dal principio n. 3 della raccomandazione n. R (87)15 del Comitato dei ministri agli Stati membri tesa a regolamentare l’utilizzo dei dati a carattere personale nel settore della polizia e al quale s’ispira [v. relazione della proposta di direttiva COM(2012) 10 definitivo del 25 gennaio 2012, punto 3.4.2] al principio di registrazione delle persone i cui dati personali saranno raccolti e trattati.


20      Infatti, dall’articolo 1 della direttiva 2016/680 si evince che il suo oggetto è quello di stabilire «le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali».


21      V. considerando 35 della direttiva 2016/680.


22      V. considerando 37 della direttiva 2016/680.


23      V. articolo 52 della direttiva 2016/680.


24      V. articolo 53 della direttiva 2016/680.


25      V. articolo 54 della direttiva 2016/680.


26      Con particolare riferimento all’articolo 6, lettera a), della direttiva 2016/680.


27      Sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) (C‑245/19 e C‑246/19, EU:C:2020:795, punto 49).


28      V. sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) (C‑245/19 e C‑246/19, EU:C:2020:795, punto 60).


29      V. sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) (C‑245/19 e C‑246/19, EU:C:2020:795, punto 66).


30      V. sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) (C‑245/19 e C‑246/19, EU:C:2020:795, punto 79).


31      V., per analogia, sentenza del 6 ottobre 2020, État luxembourgeois (Diritto di ricorso contro una richiesta di informazioni in materia fiscale) C‑245/19 e 246/19, EU:C:2020:795, punto 82 e giurisprudenza ivi citata). La questione della conseguenza da trarre dall’eventuale accertamento dell’illegittimità delle prove ottenute in violazione del diritto dell’Unione in materia di protezione dei dati personali è una questione successiva.


32      V. sentenze del 2 ottobre 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, punto 57), e del 2 marzo 2021, Prokuratuur (Condizioni di accesso ai dati relativi alle comunicazioni elettroniche) (C‑746/18, EU:C:2021:152, punto 33).


33      Si ricorda che tale articolo della Carta si ispira direttamente all’articolo 6, paragrafi 2 e 3, della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), come risulta dalle spiegazioni relative alla Carta. L’articolo 48 della Carta funge da soglia di protezione minima e deve essere interpretato prendendo in considerazione l’articolo 6, paragrafi 2 e 3, della CEDU, nonché la relativa giurisprudenza della Corte europea dei diritti dell’uomo: v. sentenza del 5 settembre 2019, AH e a. (Presunzione di innocenza) (C‑377/18, EU:C:2019:670, punto 41).


34      GU 2016, L 65, pag. 1.


35      Articolo 2 della direttiva 2016/343.


36      Osservo nondimeno che, pur non essendo stata tradotta in un requisito concreto nel corpo della direttiva 2016/343, della questione della sufficienza degli elementi di prova si fa menzione al suo considerando 16, la cui ultima frase prevede che, «[p]rima di prendere una decisione preliminare di natura procedurale, l’autorità competente potrebbe prima dover verificare che vi siano sufficienti prove a carico dell’indagato o imputato tali da giustificare la decisione e la decisione potrebbe contenere un riferimento a tali elementi» (il corsivo è mio).


37      Analogamente a quanto dichiarato dalla Corte in relazione a una decisione giudiziaria il cui unico scopo è l’eventuale mantenimento di un imputato in custodia cautelare, decisione che, secondo la Corte, ha il solo scopo di accertare se tale persona debba o meno essere rimessa in libertà, tenuto conto di tutte le circostanze del caso, senza determinare se detta persona sia colpevole del reato di cui è accusata: v. sentenza del 28 novembre 2019 Spetsializirana prokuratura (C‑653/19 PPU, EU:C:2019:1024, punto 35).


38      Sentenza del 16 novembre 2021, Prokuratura Rejonowa w Mińsku Mazowieckim e a. (cause riunite da C‑748/19 a C‑754/19, EU:C:2021:931, punto 88).


39      Sentenza del 5 settembre 2019, AH e a. (Presunzione di innocenza) (C‑377/18, EU:C:2019:670, punto 46).


40      Alla luce della motivazione della domanda di pronuncia pregiudiziale (v., in particolare, punto 57 di quest’ultima), occorre riformulare il testo di tale quarta questione come vertente sull’interpretazione della lettera b), e non a), dell’articolo 4, paragrafo 1, della direttiva 2016/680.


41      Ai fini dell’analisi, ritengo che la registrazione da parte della polizia rientri nell’ipotesi di cui all’articolo 10, lettera a), della direttiva 2016/680. Dal fascicolo si evince che le fotografie sono scattate dalle autorità competenti che effettuano la registrazione da parte della polizia, e che queste ultime non utilizzano pertanto fotografie che possono essere state rese manifestamente pubbliche dalla persona interessata, ad esempio sui social network, escludendo in tal modo l’applicazione dell’articolo 10, lettera c), di detta direttiva.


42      Sulle correlazioni tra i principi della necessità del trattamento e della minimizzazione dei dati, v., per analogia, sentenza dell’11 dicembre 2019 Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punto 48).


43      Ciò è quanto generalmente richiede la Corte in caso di deroghe e restrizioni al principio della tutela dei dati personali: v., in particolare, sentenza dell’11 dicembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punto 46 e giurisprudenza ivi citata). Una tale formulazione della soglia stabilita dall’articolo 10 della direttiva 2016/680 appare conforme a quanto richiesto dalla Corte in presenza di dati cosiddetti sensibili: v., in particolare, sentenza del 6 ottobre 2020, Privacy International (C‑623/17, EU:C:2020:790, punto 68 e giurisprudenza ivi citata).


44      V. nota 15 delle presenti conclusioni.


45      V. considerando 27 della direttiva 2016/680.


46      V. sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punti 64 e 65).


47      Sentenza del 6 ottobre 2020, La Quadrature du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 140 e giurisprudenza ivi citata). Il corsivo è mio. V., altresì, sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a. (C‑140/20, EU:C:2022:258, punto 59).


48      V., per analogia, sentenza del 21 dicembre 2016, Tele2 Sverige e Watson e a. (C‑203/15 e C‑698/15, EU:C:2016:970, punto 118).


49      V. considerando 26 della direttiva 2016/680.


50      Secondo la giurisprudenza della Corte, il principio di minimizzazione dà espressione al principio di proporzionalità: v., nell’ambito del RGPD, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (punti di penalità) (C‑439/19, EU:C:2021:504, punto 98 e giurisprudenza ivi citata).


51      Per un’illustrazione di tale rapporto, sebbene nell’ambito del RGPD, v. sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punto 79).


52      Per una formulazione giurisprudenziale di tale requisito, v. sentenza dell’11 dicembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, punto 47).


53      V. sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punto 73 e giurisprudenza ivi citata).


54      Sulla distinzione tra finalità e obiettivo, v. paragrafo 56 delle presenti conclusioni.


55      V. Corte EDU, 22 giugno 2017, Aycaguer c. Francia (CE:ECHR:2017:0622JUD000880612, § 34 e giurisprudenza ivi citata).


56      Sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punto 83 e giurisprudenza ivi citata). Il corsivo è mio.


57      Sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punto 84).


58      L’obiettivo perseguito può essere accostato ai compiti delle autorità competenti menzionati all’articolo 8, paragrafo 1, della direttiva 2016/680.


59      V. considerando 37 della direttiva 2016/680.


60      Il suddetto requisito si impone anche al legislatore dell’Unione: v. sentenza del 17 ottobre 2013, Schwarz (C‑291/12, EU:C:2013:670).


61      Per quanto riguarda l’accesso ai dati, la Corte ha dichiarato che il diritto nazionale non poteva limitarsi a esigere che l’accesso delle autorità ai dati rispondesse alla finalità perseguita, ma avrebbe dovuto altresì prevedere le condizioni sostanziali e procedurali che disciplinano tale utilizzo [v. sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a. (C‑140/20, EU:C:2022:258, punto 104)].


62      Ciò è stato confermato dal governo bulgaro nella sua risposta a un quesito scritto rivolto dalla Corte. Tuttavia, tali obiettivi, formulati nella legislazione bulgara in modo generale e cumulativo, non sono idonei a giustificare, considerati singolarmente, le stesse ingerenze nel diritto alla protezione dei dati personali: v. sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a. (C‑140/20, EU:C:2022:258, punto 57 e giurisprudenza ivi citata).


63      Nel contesto della lotta contro le forme gravi di criminalità, la Corte ha in particolare già statuito, dopo aver riconosciuto la legittimità di tale obiettivo e il fatto che la sua efficacia poteva dipendere in larga misura dall’uso delle moderne tecniche di indagine, che un simile obiettivo di interesse generale, «per quanto fondamentale, non può di per sé giustificare il fatto che una misura di conservazione generalizzata e indifferenziata dei dati relativi al traffico e dei dati relativi all’ubicazione (…) sia considerata necessaria» [sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a. (C‑140/20, EU:C:2022:258), punto 94)].


64      Sentenza del 5 aprile 2022, Commissioner of An Garda Síochána e a. (C-140/20, EU:C:2022:258, punto 69).