La sentenza a cause congiunte (C-293/12 e C-594/12) della orte di giustizia europea rappresenta una pietra miliare per una tutela effettiva a livello Ue del diritto alla protezione dei dati personali come diritto fondamentale, ma nella pronuncia si asserisce anche che la conservazione massiva dei dati di traffico telefonici e telematici è legittima solo se la normativa comunitaria prevede dettagliate garanzie necessarie per la tutela di tutti i cittadini, senza le quali si viola i limiti posti dal principio di proporzionalità che guida la legislazione comunitaria. Tra gli obiettivi della Direttiva Frattini vi era quello di armonizzare i termini di conservazione tra gli Stati Membri fissando un termine tra i sei mesi e due anni, tenuto in conto dell’esigenza di lotta contro il crimine organizzato e il terrorismo così come indicato dal considerando 7 della stessa e tenendo conto di ben due gravi episodi di terrorismo, quali quello di Madrid del marzo 2004 e quello di Londra del luglio 2000. Un contesto europeo ben diverso da quello attuale nel quale la maggiore preoccupazione è di limitare un controllo di sorveglianza massiva dei cittadini europei.
La pronuncia di invalidità non implica affatto che la conservazione dei dati traffico (c.d. data retention) operata dagli Stati Membri è di sé illegale, piuttosto si afferma che la conservazione massiva di tali dati di traffico deve avvenire per reati specifici e giustificata da una stretta necessità per non ledere il diritto fondamentale alla protezione dei dati. Più nel merito la direttiva Frattini pertanto è stata criticata dalla Corte sotto il profilo della mancanza di disciplina sufficiente specifica relativa al concetto di “reati gravi”, rimesso invece esclusivamente alla definizione della normativa nazionale degli Stati Membri, nonché la mancanza di disciplina in ordine ai presupposti materiali e procedurali che consentono alle autorità nazionali competenti di avere accesso dai dati e di farne un uso successivo.
Ci sono almeno due domande cruciali a riguardo. La prima è: quali sono le conseguenze di questo pronunciamento delle Corte? Un prima risposta è che le Istituzioni comunitarie dovranno provvedere in breve tempo a porre rimedio a questo vuoto normativo. In questa situazione di incertezza generale la Commissione europea tramite la Commissaria agli Affari Interni, Cecilia Malmstrom, ha già asserito pubblicamente che l’Autorità sta esaminando la sentenza e le sue conseguenze, presumibilmente fornirà a breve indicazioni ovvero un proposta di nuova Direttiva.
E poi, quali sono i riflessi di tale invalidità sulla norme nazionali che traspongono la Direttiva Frattini e quindi anche le norme contenute nel nostro Codice della Privacy? Stante la generale retroattività dei pronunciamenti della Corte, la Direttiva comunitaria è da considerarsi come se non fosse mai esistita (ai sensi dell’art. 264 TFEU), mentre le normative nazionali rimangono valide. Inoltre, rimane aperto ancora un dubbio se in tale situazione i cittadini potrebbero in sede giudiziaria far valere pretese anche eventualmente risarcitorie sulla base disposizioni nazionali conseguenti al vuoto normativo generato dalle statuizioni della Corte per lesione del diritto fondamentale alla protezione dei dati personale.
In tale constesto, ne potrebbe derivare un rinvio innanzi alla Corte Costituzionale al fine di una valutazione sulla legittimità della norma interna in contrasto con un diritto fondamentale, essendo la normativa italiana una trasposizione letterale della Direttiva Frattini.
Vi è infine da rilevare che il quadro normativo comunitario attualmente in vigore conferisce agli Stati Membri la facoltà imporre e/o mantenere obblighi in materia conservazione dei dati di traffico per finalità di pubblica sicurezza. Se da una parte i fornitori hanno l’obbligo di conservare i dati di traffico secondo le disposizioni del Codice della Privacy, dall’altra dovranno seguire le indicazioni della Commissione europea e del Garante per la protezione dei dati personali.
