La Corte di giustizia Ue dichiara invalida la direttiva sulla conservazione dei dati (2006/24/CE) perché “comporta un’ingerenza di vasta portata e di particolare gravità nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati di carattere personale, non limitata allo stretto necessario”. Il provvedimento era stato varato nel 2006 all’indomani degli attacchi terroristici di Londra e Madrid.
Sono state l’Alta Corte irlandese e la Corte costituzionale austriaca a chiedere alla Corte di giustizia di esaminare la validità della direttiva, alla luce di due diritti fondamentali garantiti dalla Carta dei diritti dell’Unione europea, ossia il diritto al rispetto della vita privata e il diritto alla protezione dei dati di carattere personale.
La Corte irlandese ha interpellato la Corte Ue perché chiamata a pronunciarsi su una controversia tra la società irlandese Digital Rights e le autorità irlandesi sulla legittimità di provvedimenti nazionali riguardanti la conservazione di dati relativi a comunicazioni elettroniche.
Anche la Corte austriaca aveva lo stesso problema, in diversi ricorsi in materia costituzionale presentati dal governo del Land di Carinzia e da 128 ricorrenti.
“Con la sua odierna sentenza, la Corte dichiara la direttiva invalida”, si legge nella sentenza. La Corte rileva, anzitutto, che i dati da conservare consentono di sapere con quale persona e con quale mezzo un abbonato o un utente registrato ha comunicato, di determinare il momento della comunicazione nonché il luogo da cui ha avuto origine e di conoscere la frequenza delle comunicazioni dell’abbonato o dell’utente registrato con determinate persone in uno specifico periodo. Tali dati “possono fornire indicazioni assai precise sulla vita privata dei soggetti i cui dati sono conservati, come le abitudini quotidiane, i luoghi di soggiorno permanente o temporaneo, gli spostamenti giornalieri o di diversa frequenza, le attività svolte, le relazioni sociali e gli ambienti sociali frequentati”.
La Corte ritiene che la direttiva, “imponendo la conservazione di tali dati e consentendo l’accesso alle autorità nazionali competenti, ingerisca in modo particolarmente grave nei i diritti fondamentali al rispetto della vita privata e alla protezione dei dati di carattere personale”. Inoltre, “il fatto che la conservazione ed il successivo utilizzo dei dati avvengano senza che l’abbonato o l’utente registrato ne siano informati può ingenerare negli interessati la sensazione che la loro vita privata sia oggetto di costante sorveglianza”.
Il supremo tribunale europeo censura, infine, il fatto che la direttiva non impone che i dati siano conservati sul territorio dell’Unione.
“La sentenza della Corte fa chiarezza e conferma le conclusioni critiche della relazione di valutazione effettuata dalla Commissione europea mel 2011 sull’attuazione della direttiva sulla conservazione dei dati. Commenta il commissario agli Affari interni Cecilia Malmström – La Commissione europea intende ora valutare con attenzione il verdetto e le sue conseguenze. La Commissione andrà avanti col suo lavoro alla luce dei progressi compiuti in relazione alla revisione della direttiva e-privacy”.
Per il commissario alla Giustizia, Viviane Reding “la Corte di Giustizia conferma che la sicurezza non è un ‘super-diritto’ che prevale sulla protezione dei dati”
La sentenza annulla con effetto retroattivo la direttiva, ma questo annullamento non riguarda le leggi degli stati membri in tema di data retention varate al momento del recepimento del provvedimento europeo. La Commissione ora dovrà riscrivere da capo le regole sulla conservazione dei dati tenendo conto dei rilevi della Corte ma anche della nuova direttiva sul data protection.
La Commissione Europea sta studiando da tempo la possibilità di rivedere la direttiva comunitaria, includendo l’armonizzazione e la riduzione dei limiti temporali concessi alle autorità pubbliche per l’accesso ai dati elettronici riguardanti privati cittadini per ragioni di sicurezza. Ora Bruxelles dovrà tenere conto – alla luce della decisione della Corte – di tre ordine di problemi: la durata della conservazione dei dati giudicata inappropriata, l’assenza di protezione contro i rischi di abusi e la mancanza di assenza di misure per limitare allo stretto necessario l’ingerenza nella vita privata dei singoli cittadini.
Per il Garante Privacy Antonello Soro la sentenza”a nella direzione da noi sempre auspicata di una più marcata tutela dei diritti”. “I dati di traffico non sono informazioni neutre – sottolinea Soro – ma rivelano molto di tutti noi, della nostra vita privata. Una indifferenziata conservazione di questi dati per periodi molto lunghi espone quindi a grandi rischi. Con la sua decisione la Corte sottolinea, inoltre, l’esigenza che i dati oggetto di conservazione per ragioni di giustizia restino nel territorio dell’Ue con evidente riferimento alle recenti vicende del Datagate”. La sentenza “opera un riequilibrio tra due valori, sicurezza e privacy, che in questi anni si erano decisamente disallineati. “Occorrerà – conclude il presidente dell’Autorità – una revisione dell’attuale sistema nel segno del principio di proporzionalita’ e delle garanzie per i cittadini”.
La direttiva sul data retention, recepita nel 2008 anche dall’Italia, comprende la griglia legislativa per la raccolta, la conservazione e l’utilizzo di informazioni elettroniche private per motivi di sicurezza. Prevede l’obbligo per i provider di servizi Tlc di immagazzinare i dati dei clienti, compresi i numeri di telefono delle persone contattate, gli indirizzi Internet, la location delle connessioni al web, lo storico delle connessioni e le informazioni personali comunicate dai clienti. Il contenuto delle comunicazioni non viene registrato. I tempi di conservazione dei dati sono indicati nella direttiva soltanto in modo vago.
Il testo dice che i dati personali devono essere conservati per un periodo “non inferiore ai sei mesi ma non superiore a due anni dalla data della comunicazione”, una finestra temporale frutto di un delicato equilibrio fra interessi opposti. Da un lato, le esigenze delle autorità, interessate alla conservazione di dati personali per lunghi periodi da utilizzare come prove in caso di inchieste giudiziarie. Dall’altro, comitati cittadini per i diritti civili che chiedono l’accorciamento dei tempi di conservazione dei dati personali. Una battaglia civile, sposata per questioni economiche dagli operatori Tlc, costretti a pagare di tasca loro la conservazione dei dati. A livello di singoli stati membri, la vaghezza della normativa ha partorito diversi quadri normative a livello nazionale. Soltanto sei stati hanno fissato a sei mesi il periodo di conservazione dei dati. Si tratta di Germania, Spagna, Lussemburgo, Slovacchia, Cipro e Lituania.
La maggior parte degli stati ha fissato periodi più lunghi, che vanno da 12 a 24 mesi. In alcuni casi sono stati fissati periodi anche superiori ai due anni stabiliti dalla direttiva. In Polonia, per esempio, gli operatori conservano i dati per un periodo di 10 anni, in Grecia fino a 5 anni. In Irlanda, Lituania e Romania il limite è di 36 mesi.
