Una sentenza appena pubblicata dalla Corte di Giustizia europea può sollevare diversi dubbi sulla legittimità delle nostre norme italiane per l’acquisizione di tabulati telefonici a scopo di indagini, quando le richieste sono fatte non da un’autorità indipendente inteso come un giudice terzo, ma da un PM o dal ministero dell’interno, come previsto dal nostro Codice Privacy.
La sentenza della Corte di Giustizia Ue
La sentenza della Corte riguarda un caso estone e ha deciso che “l’accesso, per fini penali, ad un insieme di dati di comunicazioni elettroniche relativi al traffico o all’ubicazione, che permettano di trarre precise conclusioni sulla vita privata, è autorizzato soltanto allo scopo di lottare contro gravi forme di criminalità o di prevenire gravi minacce alla sicurezza pubblica”, come si legge nel relativo comunicato stampa.
Per noi però i punti chiave sono questi e riguardano l’ammissibilità della richiesta: “il giudice del rinvio ha formulato dei dubbi quanto alla possibilità di considerare il pubblico ministero estone, alla luce dei diversi compiti che gli sono affidati dalla normativa nazionale, come un’autorità amministrativa «indipendente» ai sensi della sentenza Tele2 Sverige e Watson e a. 2 , idonea ad autorizzare l’accesso dell’autorità incaricata dell’indagine ai dati in questione”.
Dubbio confermato dalla Corte: “Per quanto riguarda la competenza conferita al pubblico ministero ad autorizzare l’accesso di un’autorità pubblica ai dati relativi al traffico e ai dati relativi all’ubicazione al fine di dirigere un’istruttoria penale, la Corte ricorda che spetta al diritto nazionale stabilire i presupposti in presenza dei quali i fornitori di servizi di comunicazioni elettroniche devono concedere alle autorità nazionali competenti l’accesso ai dati di cui essi dispongono”.
“Tuttavia, per soddisfare il requisito di proporzionalità, tale normativa deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione della misura in questione e fissino dei requisiti minimi, di modo che le persone i cui dati personali vengono in discussione dispongano di garanzie sufficienti che consentano di proteggere efficacemente tali dati contro i rischi di abusi. Tale normativa deve essere legalmente vincolante nell’ordinamento interno e precisare in quali circostanze e a quali condizioni sostanziali e procedurali possa essere adottata una misura che prevede il trattamento di dati del genere, in modo da garantire che l’ingerenza sia limitata allo stretto necessario”.
Serve un giudice terzo alle indagini per chiedere i tabulati
“Secondo la Corte, al fine di garantire, in pratica, il pieno rispetto di tali condizioni, è essenziale che l’accesso delle autorità nazionali competenti ai dati conservati sia subordinato ad un controllo preventivo effettuato o da un giudice o da un’entità amministrativa indipendente e che la decisione di tale giudice o di tale entità intervenga a seguito di una richiesta motivata delle autorità suddette presentata, segnatamente, nel quadro di procedure di prevenzione o di accertamento di reati o di azioni penali instaurate. In caso di urgenza debitamente giustificata, il controllo deve intervenire entro breve termine.”.
Insomma, per la Corte anche altre autorità richiedere i tabulati agli operatori telefonici, ma la richiesta poi deve essere subito sottoposta a un giudice.
Codice privacy
Potrebbe significare che i decreti di acquisizione dei tabulati di traffico dovrebbero essere disposti da un giudice terzo rispetto alle indagini e non dal titolare dell’accuso. E quindi si renderebbe potenzialmente illegittimi i commi 3, quattro-ter, quater e quiquies dell’art 132 del codice privacy, come modificato dal decreto di attuazione del Gdpr.
Insomma, alla luce della sentenza della Corte ci si può chiedere se i decreti di acquisizione siano leciti e se lo sia l’articolo 132 terzo comma codice privacy che consente la richiesta a un PM (senza citare il giudice). E il quattro (ter, quater, quinquies) che lo consente anche via decreto del ministero degli interni.
La sentenza insomma potrebbe equiparare la disciplina dell’acquisizione dei tabulati, presso gli operatori, a quella delle intercettazioni che richiede nella nostra normativa l’autorizzazione da parte di un giudice. Finora invece l’acquisizione dei log è sempre stata considerata meno invasiva in Italia e ha quindi avuto garanzie minori. Ma per la Corte anche questa operazione ha importanti ricadute in termini di diritti e libertà.
Le conseguenze della sentenza
La sentenza può aprire insomma alla possibilità di contestazione le prove acquisite con i suddetti decreti e alla dichiarazione di illegittimità costituzionale di quegli articoli del Codice Privacy, come modificato dal recepimento del Gdpr.
Così argomenta la Corte:
“La Corte precisa che il controllo preventivo esige, tra l’altro, che il giudice o l’entità incaricata di effettuare tale controllo disponga di tutte le attribuzioni e presenti tutte le garanzie necessarie al fine di assicurare una conciliazione dei diversi interessi e diritti in gioco. Per quanto riguarda più in particolare un’indagine penale, un controllo siffatto esige che tale giudice o tale entità sia in grado di garantire un giusto equilibrio tra, da un lato, gli interessi connessi alle necessità dell’indagine nell’ambito della lotta contro la criminalità e, dall’altro, i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali delle persone i cui dati sono interessati dall’accesso”.
“Qualora tale controllo venga effettuato non da un giudice bensì da un’entità amministrativa indipendente, quest’ultima deve godere di uno status che le permetta di agire nell’assolvimento dei propri compiti in modo obiettivo e imparziale, e deve a tale scopo essere al riparo da qualsiasi influenza esterna. A giudizio della Corte, ne consegue che il requisito di indipendenza che l’autorità incaricata di esercitare il controllo preventivo deve soddisfare impone che tale autorità abbia la qualità di terzo rispetto a quella che chiede l’accesso ai dati, di modo che la prima sia in grado di esercitare tale controllo in modo obiettivo e imparziale al riparo da qualsiasi influenza esterna. In particolare, in ambito penale, il requisito di indipendenza implica che l’autorità incaricata di tale controllo preventivo, da un lato, non sia coinvolta nella conduzione dell’indagine penale di cui trattasi e, dall’altro, abbia una posizione di neutralità nei confronti delle parti del procedimento penale. Orbene, ciò non si verifica nel caso di un pubblico ministero che, come nel caso del pubblico ministero estone, diriga il procedimento di indagine ed eserciti, se del caso, l’azione penale. Ne consegue che il pubblico ministero non è in grado di effettuare il suddetto controllo preventivo”.
