COSA SI INTENDE CON “DATA RETENTION” E CHE TIPO DI DATI VENGONO CONSERVATI?

Recentemente si è sviluppata, a seguito dell’intervento della Grande Sezione della Corte di Giustizia dell’Unione Europa, un’evoluzione del sistema in ambito di data retention, per intendersi, in tema di conservazione dei dati esterni delle conversazioni telefoniche (cioè numero chiamante o chiamato, cella telefonica, orario della chiamata, durata della conversazione), finalizzata all’accertamento dei reati.Il 17 novembre 2021 è stato approvato definitivamente il disegno di legge di conversione del decr. l. 30 settembre 2021, n. 132 recante “misure urgenti in materia di giustizia e di difesa, nonché proroghe in tema di referendum, assegno temporaneo e IRAP”, del quale l’art. 1 annovera “Disposizioni in materia di acquisizione dei dati di traffico telefonico e telematico a fini di indagine penale”.

LA SENTENZA DELLA CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA, GRANDE CAMERA, 2 MARZO 2021, H.K. C. PROKURATUUR, C-746/18.

Tali provvedimenti fanno riferimento alla decisione della Grande Camera della Corte di giustizia dell’Unione europea con la quale, in relazione a un caso riguardante la legislazione dell’Estonia (Corte di giustizia dell’Unione europea, Grande Camera, 2 marzo 2021, H.K. c. Prokuratuur, C-746/18; d’altronde con principi già affermati da Corte di giustizia dell’Unione europea, Grande Camera, 9 marzo 2010, Commissione Germania, C-518/07, e altresì Corte di Giustizia dell’Unione europea, Grande Camera, 21 dicembre 2016, Tele2 Sverige e Watson, C-202/15 e C-698/15). In questa sentenza la Corte di Giustizia si è pronunciata in via pregiudiziale sulla domanda proposta dalla Corte di Cassazione dell’Estonia nell’ambito di un procedimento penale, nel quale l’imputato era stato condannato nei gradi di merito per furti di beni di modico valore e di piccole somme di denaro, sulla scorta di dati inerenti comunicazioni elettroniche che l’autorità incaricata dell’indagine aveva raccolto presso il fornitore del servizio, previa autorizzazione del pubblico ministero. Nel caso di specie era dibattuto l’utilizzo dei processi verbali redatti in base ai dati relativi le predette comunicazioni elettroniche, come costituenti elementi di prova ammissibili, perché acquisiti in conformità all’art. 15, par. 1, della direttiva 2002/58, letto alla luce degli articoli 7, 8 e 11, nonché dell’art. 52, par. 1, della Carta di Nizza.

QUALE PRINCIPIO HA AFFERMATO LA CORTE DI GIUSTIZIA?

In risposta al quesito, la Corte di Giustizia ha affermato i principi, che hanno ispirato appunto la riformulazione dell’art. 132 codice della privacy, secondo cui: «il diritto dell’Unione osta ad una normativa nazionale la quale consenta l’accesso di autorità pubbliche ad un insieme di dati relativi al traffico o di dati relativi all’ubicazione, idonei a fornire informazioni sulle comunicazioni effettuate da un utente o sull’ubicazione delle apparecchiature terminali da costui utilizzate ed a permettere di trarre precise conclusioni sulla sua vita privata senza che tale accesso sia circoscritto a procedure aventi per scopo la lotta contro le forme gravi di criminalità o la prevenzione di gravi minacce alla sicurezza pubblica, e ciò indipendentemente dalla durata del periodo per il quale l’accesso ai dati suddetti viene richiesto, nonché dalla quantità o dalla natura dei dati disponibili per tale periodo. Spetta al diritto nazionale, tuttavia, stabilire le regole relative all’ammissibilità ed alla valutazione di informazioni e di elementi di prova eventualmente ottenuti mediante un accesso delle autorità nazionali ai dati suddetti che sia contrario al diritto dell’Unione. Tali regole non possono essere meno favorevoli di quelle disciplinanti situazioni analoghe assoggettate all’ordinamento interno (principio di equivalenza) e non devono rendere impossibile o eccessivamente difficile l’esercizio dei diritti garantiti dall’Unione, in particolare di quello al giusto processo (principio di effettività). Richiedendosi il controllo preventivo di un’autorità terza ed indipendente, il diritto dell’Unione osta altresì ad una normativa nazionale che attribuisca al pubblico ministero la potestà di autorizzare l’accesso ai dati medesimi, quando a tale organo spetti il compito di dirigere il procedimento istruttorio penale e di esercitare, eventualmente, l’azione penale» (cfr. report di cui al Bollettino Protocollo Cassazione-Corte di Giustizia UE 2021 n. 1 pg. 26).Il predetto art. 15, par. 1, direttiva 2002/58, letto alla luce degli artt. 7, 8 e 11 e dell’art. 52, par. 1, Carta dei diritti fondamentali, non osta, invece, a misure legislative che prevedano, per finalità di lotta alla criminalità grave e di prevenzione delle minacce gravi alla sicurezza pubblica:

• la conservazione mirata dei dati relativi al traffico e dei dati relativi all’ubicazione che sia delimitata, sulla base di elementi oggettivi e non discriminatori, in funzione delle categorie di persone interessate o mediante un criterio geografico, per un periodo temporalmente limitato allo stretto necessario, ma rinnovabile;

• la conservazione generalizzata e indifferenziata degli indirizzi IP attribuiti all’origine di una connessione, per un periodo temporalmente limitato allo stretto necessario;

• la conservazione generalizzata e indifferenziata dei dati relativi all’identità civile degli utenti di mezzi di comunicazione elettronica, e
• il ricorso a un’ingiunzione rivolta ai fornitori di servizi di comunicazione elettronica, mediante una decisione dell’autorità competente soggetta a un controllo giurisdizionale effettivo, di procedere, per un periodo determinato, alla conservazione rapida dei dati relativi al traffico e dei dati relativi all’ubicazione di cui dispongono tali fornitori di servizi, se tali misure garantiscono, mediante norme chiare e precise, che la conservazione dei dati di cui trattasi sia subordinata al rispetto delle relative condizioni sostanziali e procedurali e che le persone interessate dispongano di garanzie effettive contro il rischio di abusi.

L’ammissibilità degli elementi di prova ottenuti mediante una siffatta conservazione rientra, conformemente al principio di autonomia procedurale degli Stati membri, nell’ambito del diritto nazionale, sempreché nel rispetto, in particolare, dei principi di equivalenza e di effettività.

LA RATIO DELLA DECISIONE DELLA CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA.

Peraltro, sempre la Corte non ha mancato di sottolineare come l’obiettivo della prevenzione, della ricerca, dell’accertamento e del perseguimento dei reati è ammesso, conformemente al principio di proporzionalità, soltanto per la lotta contro «le forme gravi di criminalità e la prevenzione di gravi minacce alla sicurezza pubblica», le quali solamente sono idonee a giustificare ingerenze gravi nei diritti fondamentali sanciti dagli artt. 7 e 8 della Carta, come quelle che comporta la conservazione dei dati relativi al traffico e all’ubicazione in considerazione dell’elevato numero di informazioni che è possibile trarre anche dai dati esterni delle comunicazioni tra persone, elemento che risulta accentuato in relazione alla durata del periodo al quale si riferisce l’accesso.La Corte di giustizia, da un lato, ritiene che il requisito di indipendenza che l’autorità incaricata di esercitare il controllo preventivo deve soddisfare impone la «qualità di terzo rispetto a quella che chiede l’accesso ai dati», di modo che la prima sia in grado di esercitare tale controllo in modo obiettivo e imparziale al riparo da qualsiasi influenza esterna, non sia coinvolta nella conduzione dell’indagine penale di cui trattasi e, dall’altro, abbia una posizione di neutralità nei confronti delle parti del procedimento penale. Tali caratteri non sono riscontrabili nel pubblico ministero che dirige il procedimento di indagine ed esercita, se del caso, l’azione penale, giacché «il pubblico ministero non ha il compito di dirimere in piena indipendenza una controversia, bensì quello di sottoporla, se del caso, al giudice competente, in quanto parte nel processo che esercita l’azione penale». Ad assicurare questo status non è sufficiente il fatto che il pubblico ministero sia tenuto, conformemente alle norme che disciplinano le sue competenze e il suo status, a verificare gli elementi a carico e quelli a discarico, a garantire la legittimità del procedimento istruttorio e ad agire unicamente in base alla legge e al suo convincimento.Sarà quindi necessaria una preventiva e motivata richiesta al giudice. Solo in via di eccezione, individuata in «situazioni di urgenza debitamente giustificate», il controllo può essere successivo all’accesso, ma «deve avvenire entro termini brevi», tenendo presente che un controllo successivo è sempre inadeguato perché non consente di impedire un accesso ai dati in questione eccedente i limiti dello «stretto necessario».La ratio della decisione della C.G.U.E., richiamando precedenti conformi, è da individuare nell’obiettivo di evitare che informazioni ed elementi di prova ottenuti in modo illegittimo arrechino indebitamente pregiudizio a una persona sospettata di avere commesso dei reati, il quale può essere raggiunto non solo attraverso un divieto che precluda l’utilizzo di informazioni ed elementi di prova di tal genere, ma anche mediante norme e prassi nazionali che disciplinino la valutazione e la ponderazione delle informazioni e degli elementi di prova, ovvero tenendo conto del loro carattere illegittimo in sede di determinazione della pena. Inoltre v’è da considerare la necessità di escludere le informazioni ottenute qualora le persone da esse coinvolte «non siano in grado di svolgere efficacemente le proprie osservazioni in merito alle informazioni e agli elementi di prova suddetti, riconducibili ad una materia estranea alla conoscenza dei giudici e idonei ad influire in maniera preponderante sulla valutazione dei fatti» (cfr.: sent. 6 ottobre 2020, La Quadrature du Net e a., C-511/18, C-512/18 e C-520/18, EU:C:2020:791, punti 226 e 227).

COSA PREVEDE OGGI LA DISCIPLINA NAZIONALE?

Il quadro complessivo della disciplina in materia, pertanto, si articola secondo una sorta di “quadruplice binario” a seconda del tipo di reato perseguito. I tempi di conservazione sono di regola scanditi in ventiquattro mesi dalla data della comunicazione, per finalità di accertamento e repressione dei reati, mentre, per le medesime finalità, i dati relativi al traffico telematico, esclusi comunque i contenuti delle comunicazioni, sono conservati dal fornitore per dodici mesi dalla data della comunicazione. I dati relativi alle chiamate senza risposta, trattati temporaneamente da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico oppure di una rete pubblica di comunicazione, sono conservati per trenta giorni. Entro il termine di conservazione imposto dalla legge, se sussistono sufficienti indizi di reati per i quali la legge stabilisce la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni (determinata non tenendo conto della continuazione, della recidiva e delle circostanze del reato, eccetto le circostanze aggravanti per le quali la legge stabilisce una pena di specie diversa da quella ordinaria del reato e di quelle ad effetto speciale) e di reati di minaccia e di molestia o disturbo alle persone col mezzo del telefono, quando la minaccia, la molestia e il disturbo sono gravi, ove rilevanti per l’accertamento dei fatti, i dati sono acquisiti su richiesta del pubblico ministero o su istanza del difensore dell’imputato, della persona sottoposta a indagini, della persona offesa e delle altre parti private previa autorizzazione rilasciata dal giudice con decreto motivato. Mentre precedentemente si prevedeva al comma 3 che detti dati fossero «acquisiti presso il fornitore con decreto motivato del pubblico ministero» senza che, da un lato, fossero tipizzati, anche solo con riferimento alla sanzione applicabile, i reati rispetto ai quali ciò fosse possibile ovvero individuate categorie di reati di particolare gravità, sicché detta acquisizione risultasse indifferenziata, e, dall’altro, fosse contemplato un controllo dell’autorità giurisdizionale. Nei casi in cui vengono in rilievo reati a matrice terroristica o previsti dall’articolo 407, comma 2, lettera a), i tempi di conservazione sono dettati dall’articolo 24 della legge n. 167/2017, il quale prevede termine di settantadue mesi di conservazione dei dati di traffico telefonico e telematico nonché dei dati relativi alle chiamate senza risposta.Nell’attuale disciplina è pertanto richiesto, a differenza di quanto previsto nell’originaria versione, la sussistenza di sufficienti indizi di reato.

QUAL È LA DISCIPLINA TRANSITORIA IN TAL AMBITO?

L’art. 1, comma 1-bis della L. n. 178/2021 ha introdotto una disciplina transitoria consentendo l’utilizzabilità, a carico dell’imputato, dei dati relativi al traffico telefonico, al traffico telematico e alle chiamate senza risposta, acquisiti nei procedimenti penali in data precedente alla data di entrata in vigore del Decr. L. n. 132/2021 (nei procedimenti penali pendenti al 30 settembre 2021), a condizione che questi siano valutati unitamente ad ulteriori elementi di prova ed esclusivamente per l’accertamento dei reati per i quali la legge stabilisce la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni, determinata a norma dell’articolo 4 c.p.p., e dei reati di minaccia e di molestia o disturbo alle persone con il mezzo del telefono, quando la minaccia, la molestia o il disturbo sono gravi. Tale normativa è compatibile con l’articolo 15, paragrafo 1, della direttiva 2002/58/Ce, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni.Il legislatore ha così condizionato l’utilizzabilità dei dati di traffico esterno già acquisiti solo unitamente ad altri elementi di prova (c.d. riscontri), affinché la disciplina intertemporale della data retention segua lo stesso percorso valutativo del giudice penale ai sensi dell’articolo 192, comma 3, del Cpp, in relazione alle dichiarazioni di correità degli imputati di reati connessi. I riscontri estrinseci richiesti non devono necessariamente consistere in una prova distinta ed autonoma di colpevolezza, e quindi autosufficiente, ma possono essere di qualsiasi natura, sia rappresentativi che logici, purché tali da resistere agli elementi contrari dedotti dall’imputato, perché altrimenti non avrebbe alcun rilievo, in quanto la prova si fonderebbe già su tali elementi esterni e non sul dato di traffico esterno. Inoltre si evidenzia che la richiesta di riscontro sia ancorata alla sola utilizzabilità a carico dell’imputato e non a favore del medesimo. Tuttavia sarebbe possibile con ragionamento inverso giungere alla legittima considerazione circa l’autosufficienza del solo dato di traffico esterno come prova liberatoria, qualora dimostrata aliunde – o non sia contestata – l’effettiva appartenenza dell’apparecchio telefonico, il cui dato di traffico sia stato oggetto di tabulato, alla persona dell’indagato ovvero dell’imputato. (Cass. Sez. V Penale sent. n. 9001/2000; Cass. Sez. II Penale sent. n. 35923/2019).Dunque, la disciplina transitoria intende perseguire una logica di non dispersione dei dati già acquisiti, condizionata ai nuovi criteri di valutazione per i quali l’acquisizione dei dati è consentita e alla sussistenza di altri elementi di prova, quale requisito di “compensazione” rispetto alla mancanza di un provvedimento di acquisizione, ma ha altresì, disposto i dati conservati al contraddittorio delle parti e alla conseguente possibilità di confutazione degli stessi, in una visione di ragionevole ed equilibrato contemperamento di interessi diversi. È stata inoltre esclusa la necessità di un rinvio pregiudiziale obbligatorio ex articolo 267 T.F.U.E. per chiedere alla Corte di Giustizia di definire la portata applicativa della disciplina del diritto dell’Unione, ritenendo la nuova norma di diritto transitorio rispondente a sicuri criteri di ragionevolezza, in quanto volta a favorire una graduale applicazione nel tempo della nuova disciplina processuale concernente le modalità di acquisizione nel procedimento penale dei dati relativi al traffico telefonico, telematico e alle chiamate senza risposta (Cass. Sez. III Penale sent. n. 11991/2022; Cass. Sez. VI Penale sent. n. 9203/2022).Pertanto non può ritenersi che, sulla base di tali modalità e condizioni, la scelta del legislatore sulla data retention possa contrastare con il principio di effettività ribadito dalla C.G.U.E. e renda impossibile in pratica o eccessivamente difficile l’esercizio dei diritti conferiti dal diritto dell’Unione.

PROBLEMATICHE NEL RAPPORTO TRA LE FIGURE DEL P.M. E DEL G.I.P. E SOLUZIONI PROSPETTABILI.

La decisione della CGUE ha posto naturalmente il problema del suo recepimento nella dinamica dei rapporti tra Pm e Gip, nonché la questione preliminare della sua o meno immediata operatività. Si sono al riguardo evidenziate diversità di soluzioni: rigetto delle richieste dei pubblici ministeri; decisione di accoglimento; permanenza dell’operatività della riferita giurisprudenza, ritenendosi che la sentenza della Corte di giustizia non potesse essere immediatamente applicabile.Si è da ultimo pronunciata la Cassazione che escludendo l’applicazione immediata della decisione europea (Cassazione, sezione II, n. 28523 del 2021) ha sollecitato l’intervento del legislatore, che si è tradotto nell’articolo 1 del Decr. L. n. 132/2021.Non erano, del resto, mancate resistenze al “trasferimento” della competenza sia da parte della polizia giudiziaria, soprattutto in relazione al pregiudizio che si sarebbe determinato per le numerose quotidiane denunce di furto di cellulari, sia da parte dei pubblici ministeri che paventavano un rallentamento delle indagini e il pregiudizio per le attività, come gli attentati o gli allarmi, che richiedevano interventi immediati, nonché che sottolineavano il ruolo di indipendenza e di garanzia svolto dalla procura.

• La lettera a) dell’articolo 1 del Decr. L. n. 132/2021intervenendo sull’art. 132 del D.lgs. n. 196/2003 dopo aver confermato i termini previsti dalla legge per la conservazione dei dati, individua nei sufficienti indizi di reato per i quali è stabilita la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni, come determinato ex articolo 4 del Cpp, i reati per i quali è consentita la richiesta dei dati; a questi reati sono aggiunti specificamente quelli di minaccia e di molestia a distanza alle persone con il mezzo del telefono qualora assumano il grado della gravità.

Si tratta decisamente di un ambito piuttosto ampio che sembra superare gli ambiti delineati dalla Corte di giustizia. Si ipotizzava, invero, che l’area de qua potesse essere individuata, con qualche allargamento mirato, sulla scorta di quanto previsto in tema di intercettazioni (articoli 266 e 266-bis del Cpp). Sono attuati, invece, i profili richiesti dalla Corte di giustizia relativi alla finalità della richiesta motivata in ordine alla rilevanza per la prosecuzione delle indagini nonché il potere decisorio in capo al giudice, su richiesta (essa pure motivata) del pubblico ministero, o su istanza del difensore dell’imputato, dell’indagato, della persona offesa o delle altre parti private. Questi ultimi riferimenti sembrano indicare che la richiesta o l’istanza sarebbero proponibili anche oltre la fase delle indagini preliminari.Ancorché difetti una indicazione in tal senso, deve ritenersi che il mancato rispetto dei riferiti presupposti e dei contenuti del provvedimento si configura come un divieto probatorio sanzionato con l’inutilizzabilità.

• Con la lettera b), che inserisce nell’ art. 132 del D.lgs. n. 196/2003 un comma 3-bis trova adeguata risposta la disciplina delle ragioni di urgenza e del fondato pericolo che il ritardo possa determinare un grave pregiudizio alle indagini. In tale contesto, si prevede il pubblico ministero disponga, un decreto motivato, comunicato immediatamente e comunque non oltre le quarantotto ore al giudice competente per il rilascio dell’autorizzazione, il quale, nelle quarantotto ore successive, si pronuncia con decreto motivato sulla convalida, mancando il quale i dati sono inutilizzabili.

È stata inserita nel Decr. L. n. 132/2021 attraverso la lettera b) dell’articolo 2, un comma 3-ter nell’art. 132 del D.lgs. n. 196/2003 ove si prevede che i diritti dell’interessato al trattamento dei dati possano essere esercitati tramite il Garante per la protezione dei dati personali con le modalità di cui all’art. 160 L. n. 196/2003.Tuttavia è assente una qualsivoglia organizzazione con quanto previsto dall’articolo 254-bis c.p.p. in riferimento al sequestro anche di dati del traffico e di ubicazione.