Equilibrio tra Privacy e lotta alla criminalità
In due sentenze del 6 ottobre 2020, la Corte di giustizia dell'UE conferma che il diritto dell'Unione osta a regolamentazioni nazionali che impongano a un fornitore di servizi di comunicazione elettronica, al fine di combattere le violazioni in generale o salvaguardare la sicurezza nazionale, la trasmissione o archiviazione generalizzata e indifferenziata dei dati relativi al traffico e all'ubicazione.
La Corte poi precisa che per quanto riguarda la lotta contro i reati gravi, uno Stato membro può anche prevedere la conservazione mirata di tali dati nonché la loro rapida conservazione ove tale interferenza con i diritti fondamentali sia accompagnata da adeguato controllo giurisdizionale.
Queste sentenze potranno incidere sulle discussioni in corso sulla Proposta di Regolamento su trasmissione transnazionale delle prove elettroniche.
Sommario
- I casi Privacy International e La Quadrature du Net e.a
- Quale impatto per la Proposta di Regolamento sulla trasmissione transnazionale delle prove elettroniche?
2.1. Distinzione basata sulla sensibilità dei dati
2.2. Notifica ad una autorità giudiziaria
1. I casi Privacy International e La Quadrature du Net e.a
Nel caso Tele2 Sverige del 21 dicembre 2016, la Corte di Giustizia dell’UE riteneva che gli Stati membri non potessero imporre ai fornitori di servizi di comunicazione elettronica un obbligo generale e indiscriminato di conservazione dei dati sul traffico e sull'ubicazione. A seguito di tale sentenza, alcuni Stati hanno espresso il timore di essere ormai privati di uno strumento necessario per salvaguardare la sicurezza nazionale e combattere la criminalità[1].
Così, nei casi Privacy International e La Quadrature du Net e.a. del 6 ottobre 2020 veniva discussa la legalità delle norme adottate da alcuni Stati membri che prevedevano in particolare l'obbligo per i fornitori di servizi di comunicazione elettronica di trasmettere a un'autorità pubblica o di conservare in modo generalizzato o indiscriminato i dati degli utenti relativi al traffico e all'ubicazione in questi settori.
Innanzitutto, la Corte ha esaminato l’applicabilità della direttiva e-Privacy[2] ai casi di specie. Infatti, le autorità nazionali dei vari Stati membri pretendevano che essa non fosse applicabile in quanto l’articolo 1, §3 di detta direttiva ne esclude dal campo d’applicazione le attività che riguardano la sicurezza dello Stato o il diritto penale. Inoltre, l’articolo 4, §2 del Trattato sull’Unione europea (TUE) recita che “la sicurezza nazionale resta di esclusiva competenza di ciascuno Stato membro”. A questo riguardo, la Corte ha ricordato che “sebbene spetti agli Stati membri definire i loro interessi essenziali in materia di sicurezza e decidere le misure idonee a garantire la loro sicurezza interna ed esterna, la mera circostanza che una misura nazionale sia stata adottata ai fini della tutela della sicurezza nazionale non può comportare l’inapplicabilità del diritto dell’Unione e dispensare gli Stati membri dal necessario rispetto di tale diritto”[3]. Inoltre, se il regolamento sulla protezione dei dati (GDPR) che la direttiva e-Privacy completa non si applica al trattamento dei dati effettuati dalle autorità competenti nella lotta contro la criminalità o alla salvaguardia della sicurezza nazionale, i trattamenti di dati personali effettuati a questi stessi fini da enti privati rientrano nell’ambito di applicazione di quest’ultimo[4]. Pertanto, i trattamenti di dati personali da parte degli operatori delle telecomunicazioni che derivano da obblighi imposti dalle autorità pubbliche a fini di sicurezza nazionale o di lotta alla criminalità devono rispettare le norme europee sulla tutela dei dati personali[5].
Entrando nel merito, la Corte ha ritenuto nella causa Privacy International che la direttiva e-Privacy, letta alla luce della Carta dei diritti fondamentali dell’UE, osta la regolamentazione nazionale che impone ai fornitori di servizi di comunicazione elettronica, al fine di salvaguardare la sicurezza nazionale, la trasmissione generalizzata e indifferenziata ai servizi di sicurezza e intelligence dei dati relativi al traffico e all'ubicazione[6]. D'altro canto, in La Quadrature du Net e a., la Corte ha affermato che la stessa direttiva osta a misure legislative che impongono ai fornitori di servizi di comunicazione elettronica, come misura preventiva, di mantenere una conservazione generale e indiscriminata dei dati relativi al traffico e all’ubicazione. Invece, la direttiva e-Privacy non osta a misure legislative che consentano, al fine di contrastare forme gravi di criminalità, il ricorso a un’ingiunzione che imponga ai fornitori di servizi di comunicazione elettronica, mediante un provvedimento dell’autorità competente soggetto a un controllo giurisdizionale effettivo, di procedere, per un periodo determinato, alla conservazione rapida dei dati relativi al traffico e dei dati relativi all’ubicazione di cui detti fornitori di servizi dispongono[7].
Inoltre, la Corte ha ritenuto che nella situazione in cui uno Stato membro deve affrontare una grave minaccia per la sicurezza nazionale che si rivela reale, attuale e prevedibile, la direttiva e-Privacy letta alla luce Carta non preclude di richiedere ai fornitori di servizi di comunicazione elettronica di conservare i dati relativi al traffico e all'ubicazione in modo generalizzato e indiscriminato. Tale decisione, adottata per un periodo limitato a quanto strettamente necessario, deve essere soggetta a un controllo effettivo, da parte di un tribunale o di un organo amministrativo indipendente, la cui decisione ha effetto vincolante, al fine di verificare la sussistenza del rispetto delle condizioni e delle garanzie inanzi citate[8].
Poi, la direttiva e-Privacy non vieta agli Stati membri di adottare, per fini di lotta alla criminalità o di salvaguardia della sicurezza nazionale, misure legislative che permettano il ricorso alla conservazione mirata e limitata nel tempo a quanto strettamente necessario dei dati relativi al traffico e all'ubicazione, delimitata sulla base di elementi oggettivi e non discriminatori a seconda delle categorie di soggetti interessati[9].
Allo stesso modo, detta direttiva non esclude che tali misure prevedano la memorizzazione generalizzata e indifferenziata degli indirizzi IP attribuiti alla fonte di una comunicazione, a condizione che il periodo di conservazione sia limitato a quanto strettamente necessario, né a quelli che prevedono una tale conservazione dei dati relativi all'identità degli utenti dei mezzi di comunicazione elettronica, in quest'ultimo caso gli Stati membri non sono tenuti a limitare temporaneamente la conservazione[10]. A proposito dell’indirizzo IP, la Corte precisa che essi, “pur facendo parte dei dati relativi al traffico, sono generati senza essere collegati a una comunicazione determinata e servono principalmente a identificare, tramite i fornitori di servizi di comunicazione elettronica, la persona fisica proprietaria di un’apparecchiatura terminale a partire dalla quale viene effettuata una comunicazione via Internet”[11]. A questo proposito, vale la pena ricordare la posizione dell’European Data Protection Supervisor espressa durante l’audizione davanti alla Corte, il quale affermava che “gli indirizzi IP e gli altri dati delle comunicazioni elettroniche sono infatti in grado di fornire informazioni sul contenuto delle comunicazioni e, in molti casi, sui siti web consultati”[12].
2. Quale impatto per la Proposta di Regolamento sulla trasmissione transnazionale delle prove elettroniche?
2.1. Distinzione basata sulla sensibilità dei dati
Sebbene le sentenze inanzi citate riguardino la legalità di legislazioni nazionali che prevedono l'obbligo per i fornitori di servizi di comunicazione elettronica di trasmettere a un'autorità pubblica o di conservare in modo generalizzato o indiscriminato i dati degli utenti relativi al traffico e all'ubicazione, esse mettono in evidenza la necessità di trovare un equilibrio tra i diritti fondamentali e, inter alia, la lotta alla criminalità, potendo incidere sulle discussioni in corso sulla Proposta di Regolamento europeo sulla trasmissione transnazionale delle prove elettroniche.
Una delle critiche che ha suscitato il testo della proposta della Commissione riguardava la distinzione artificiale che veniva fatta tra dati non relativi al contenuto (dati degli abbonati, dati relativi agli accessi e dati relativi alle operazioni) e dati relativi al contenuto[13]. Tale distinzione era basata, secondo la Commissione, sulla natura più o meno sensibile dei dati in questione. L’European Data Protection Board (EDPB) esprimeva però dubbi e preoccupazioni in merito alla differenziazione tra "dati non di contenuto" e dati di contenuto, nonché alle quattro nuove categorie di dati personali stabilite dalla proposta di regolamento[14]. Questa considerazione dell’EDPB era inoltre basata sulla precedente giurisprudenza della Corte di giustizia che precisava che “presi nel loro insieme, tali dati sono idonei a consentire di trarre conclusioni molto precise riguardo alla vita privata delle persone i cui dati sono stati conservati, come le abitudini della vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati. In particolare, tali dati forniscono gli strumenti per stabilire il profilo delle persone interessate, informazione tanto sensibile, in rapporto al diritto al rispetto della vita privata, quanto il contenuto stesso delle comunicazioni” [15].
Così, un’ulteriore bozza di relazione del Parlamento europeo contiene un rifiuto delle nuove categorie di dati introdotte dalla Commissione e un ritorno a categorie di dati chiare (basate sulla legislazione UE e nazionale esistente e in linea con Giurisprudenza della CGUE). La Commissione, tuttavia, ha insistito sull’importanza della nuova categoria proposta di "dati di accesso" per consentire alle forze dell’ordine di identificare l'abbonato a un servizio nelle prime fasi dell'indagine – che pertanto non dovrebbe essere soppressa, come suggerito dalla relatrice, Birgit Sippel [16].
Inoltre, commentando sull’inaccuratezza della distinzione basata sulla sensibilità dei dati, l’EDPS ha precisato nell’audizione innanzi citata che “ricerche hanno dimostrato che una persona può essere già identificata da un insieme molto limitato di dati sulla posizione del telefono cellulare. È stato anche dimostrato che dettagli intimi sullo stile di vita e le convinzioni di una persona, come tendenze e associazioni politiche, questioni mediche, orientamento sessuale o abitudini di culto religioso possono essere scoperti attraverso i dati sul traffico dei telefoni cellulari. Alcune applicazioni per dispositivi mobili sono così specializzate che il solo sapere che vengono utilizzate consentirà di profilare una persona: un elenco di tutte le connessioni a un server Netflix potrebbe mostrare i tempi di svago”[17].
Nella sentenza La Quadrature du Net e.a., la Corte ha acconsentito finalmente alla conservazione generale e indiscriminata degli indirizzi IP delle fonti di comunicazione in relazione alla posta elettronica e alla telefonia via Internet, al fine di contrastare le forme gravi di criminalità e prevenire gravi minacce alla sicurezza pubblica. Inoltre, la conservazione generale e indiscriminata delle informazioni sugli abbonati può essere giustificabile anche per l'obiettivo di combattere qualsiasi crimine e la prevenzione di eventuali minacce alla sicurezza pubblica. Così facendo, la Corte ha aperto la discussione su nuovi tipi di distinzione dei dati personali basate sulla loro sensibilità, in linea con quanto richiesto dalla comunità delle forze dell'ordine di utilizzare strumenti più efficienti in una fase cruciale di qualsiasi indagine: identificare un sospetto sconosciuto o l’autore di un reato. Le sentenze commentate potrebbero, in questo senso, rafforzare la posizione delle forze dell’ordine e della Commissione nelle discussioni in corso sull’accesso transnazionale alle prove elettroniche[18].
2.2. Notifica ad una autorità giudiziaria
Un’altra critica emessa verso la bozza di regolamento era l’assenza nella proposta della Commissione di una notifica da parte dell’autorità di emissione ad una autorità giudiziaria dello Stato di esecuzione. Tale notifica era stata inserita con l’orientamento generale del Consiglio ma in modo molto limitato e senza effetto sospensivo dell’ordine, rendendo possibile una sua esecuzione prima che detta autorità giudiziaria potesse esprimersi[19].
Secondo la relazione di Birgit Sippel, l'autorità di esecuzione dovrebbe poter rifiutare il riconoscimento o l'esecuzione di un ordine di produzione o di conservazione qualora tale rifiuto si basi su motivi specifici e limitati elencati in un nuovo articolo del progetto di relazione, in linea con i motivi adottati nella direttiva 2014/41 / UE sull'ordine europeo di indagine, in modo da garantire la coerenza tra questi due strumenti di cooperazione giudiziaria in materia penale. Un meccanismo di notifica così significativo dovrebbe inoltre impedire ai prestatori di servizi, vale a dire soggetti privati, di diventare valutatori legali dei diritti fondamentali e li solleverà da ogni tipo di responsabilità in caso di conflitto di leggi. Di conseguenza, l'ordine europeo di produzione o l'ordine europeo di conservazione dovranno essere inviati simultaneamente al fornitore di servizi e all'autorità di esecuzione. In assenza di una reazione dell'autorità di esecuzione per un periodo di tempo determinato, il prestatore di servizi sarà obbligato a conservare o fornire i dati richiesti all'autorità di emissione[20].
La Corte nella sentenza La Quadrature du Net e.a. ha affermato che, per quanto riguarda la lotta contro i reati gravi, uno Stato membro può anche prevedere la conservazione mirata di dati relativi al traffico e all'ubicazione nonché la loro rapida conservazione ove tale interferenza con i diritti fondamentali sia accompagnata da adeguato controllo giurisdizionale.
Allo stesso modo, è quindi chiaro che la valutazione del rispetto dei diritti fondamentali di un ordine di preservazione o di produzione di prove elettroniche non possa essere lasciata ai service provider, ma debba anch’essa essere accompagnata da un adeguato controllo giurisdizionale nello stato di esecuzione. Su quest’ultimo aspetto, pertanto, pare che la sentenza della Corte di giustizia possa dare rilievo alla posizione del Parlamento europeo e di diverse associazioni di protezione dei diritti fondamentali.
In conclusione, queste sentenze sottolineano come un equilibrio tra lotta alla criminalità e diritti fondamentali sia necessario e potranno incidere positivamente nella ricerca di tale equilibrio anche nell’elaborazione del regolamento europeo sulla trasmissione transnazionale delle prove elettroniche.
[1] CGUE (grande sezione), 21 dicembre 2016, Tele2 Sverige AB c. Post- och telestyrelsen, C‑203/15 e C‑698/15, pt. 12.
[2] Direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002 relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche).
[3] CGUE (grande sezione), 6 ottobre 2020, Privacy international, C‑623/17, pt. 44.
[4] CGUE (grande sezione), 6 ottobre 2020, Privacy international, C‑623/17, pt. 47.
[5] Marta Moretti, « Privacy delle comunicazioni elettroniche, i paletti della Corte di Giustizia UE ai Governi », Agenda Digitale.
[6] CGUE (grande sezione), 6 ottobre 2020, Privacy international, C‑623/17, pt. 82.
[7] CGUE (grande sezione), 6 ottobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 e C‑520/18, pt. 168.
[8] CGUE (grande sezione), 6 ottobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 e C‑520/18, pt. 136-139.
[9] CGUE (grande sezione), 6 ottobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 e C‑520/18, pt.146-149.
[10] CGUE (grande sezione), 6 ottobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 e C‑520/18, pt.156-159.
[11] CGUE (grande sezione), 6 ottobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 e C‑520/18, pt.152.
[12] Pleading notes of the European Data Protection Supervisor (EDPS), Joint hearing in Case C-623/17 (Privacy International) with Joined Cases C-511/18 and C512/18 (La Quadrature du Net and Others) and Case C-520/18 (Ordre des barreaux francophones et germanophone and Others), 9-10 September 2019, p. 3.
[13] Marco Martorana e Lucas Pinelli, “Privacy: la Proposta di Regolamento su trasmissione transnazionale delle prove elettroniche”, Altalex.
[14] EDPB, “Opinion 23/2018 on Commission proposals on European Production and Preservation Orders for electronic evidence in criminal matters (Art. 70.1.b)”, p. 12.
[15] C.G.U.E., Digital Rights Ireland Ltd, 8 aprile 2014, C‑293/12 e C‑594/12 ; C.G.U.E., Tele2 Sverige AB, 21 dicembre 2016, C‑203/15 e C‑698/15.
[16] Theodore Christakis, “E-Evidence in the EU Parliament: Basic Features of Birgit Sippel’s Draft Report”, European Law Blog.
[17] Pleading notes of the European Data Protection Supervisor (EDPS), Joint hearing in Case C-623/17 (Privacy International) with Joined Cases C-511/18 and C512/18 (La Quadrature du Net and Others) and Case C-520/18 (Ordre des barreaux francophones et germanophone and Others), 9-10 September 2019, p. 6.
[18] Juraj Sajfert, “Bulk data interception/retention judgments of the CJEU – A victory and a defeat for privacy”, European Law Blog.
[19] Lucas Pinelli, “Toward a European Production Order for Electronic Evidence”, SCELR, 2019, pp. 69-72.
[20] Birgit Sippel, “Draft report on the proposal for a regulation of the European Parliament and of the Council on European Production and Preservation Orders for electronic evidence in criminal matters, COM(2018)0225 – C8-0155/2018 – 2018/0108(COD), LIBE Committee, 24 October 2019, p. 146.