Corte Ue: gli Stati membri non possono imporre la conservazione dei dati on line

Bruxelles – Gli Stati membri non possono obbligare i fornitori di servizi di comunicazione elettronica a conservare i dati sensibili che raccolgono e con cui lavorano quotidianamente. Lo ha deciso una sentenza della Corte di giustizia dell’Unione europea, pronunciandosi su due ricorsi avanzati in Svezia e nel Regno Unito, le cui legislazioni nazionali prevedono l’obbligo generale di conservazione dei dati. La Corte di Lussemburgo ha invece stabilito che il diritto europeo prevale su quello dei vari Stati membri.

Il diritto dell’Unione impedisce una conservazione generalizzata e indifferenziata dei dati relativi al traffico e dei dati relativi all’ubicazione. La sentenza stabilisce che per gli Stati membri la conservazione è consentita solo a titolo preventivo, in casi eccezionali e in presenza di due condizioni: in caso di lotta contro gravi fenomeni di criminalità e solo se limitata allo stretto necessario per quanto riguarda le categorie di dati da conservare, i mezzi di comunicazione interessati, le persone implicate, nonché la durata di conservazione prevista.

In queste circostanze eccezionali, le autorità nazionali possono accedere ai dati conservati dai fornitori di servizi di comunicazione elettronica, ma sotto la stretta supervisione di un’autorità indipendente, come il Garante per la privacy, e rispettando per la conservazione dei dati il limite geografico del territorio dell’Unione europea.

Con la sentenza di mercoledì 21 dicembre, il raggio d’azione sui dati sensibili da parte degli Stati membri non scompare del tutto, ma viene notevolmente limitato rispetto a quanto prevedono alcune legislazioni nazionali, come quelle svedese e britannica su cui si è pronunciata la Corte.

Nel 2014 con la sentenza Digital Rights Ireland, la Corte di giustizia aveva dichiarato “invalida la direttiva sulla conservazione dei dati”, perché comportava “l’ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali” e “non era limitata allo stretto necessario”.

Questa decisione aveva dato il via a due rinvii pregiudiziali presentati dalle corti nazionali, svedese e britannica: la Corte d’appello amministrativa di Stoccolma e la Corte d’appello d’Inghilterra e Galles. Le due autorità giudiziarie chiedevano alla Corte dell’Ue di pronunciarsi sull’obbligo generale di conservazione dei dati imposto ai fornitori di servizi di comunicazione elettronica previsto in Svezia e nel Regno Unito e se le normative nazionali fossero compatibili o meno con il diritto dell’Unione.

In Svezia, dopo la sentenza Digital Rights Ireland, l’impresa di telecomunicazioni Tele2 Sverige aveva notificato all’autorità svedese di vigilanza sulle poste e telecomunicazioni la propria decisione di cessare di effettuare la conservazione dei dati, nonché la propria intenzione di cancellare i dati già registrati. Il diritto svedese obbliga, infatti, i fornitori di servizi di comunicazione elettronica a conservare in maniera sistematica e continua, senza alcuna eccezione, l’insieme dei dati relativi al traffico e dei dati relativi all’ubicazione di tutti i loro abbonati ed utenti iscritti, con riferimento a tutti i mezzi di comunicazione elettronica.

Anche nel Regno Unito la sentenza Digital Rights Ireland aveva aperto ai ricorsi contro l’obbligo di conservazione dei dati imposto dalla normativa britannica, che consente al Ministro dell’Interno di obbligare gli operatori di telecomunicazioni pubbliche a conservare tutti i dati relativi a comunicazioni per una durata massima di dodici mesi, ad eccezione del contenuto di tali comunicazioni che non può essere conservato. Le corti dei rispettivi Paesi interessati nei ricorsi hanno chiesto alla Corte di Lussemburgo se, quindi, le normative nazionali fossero compatibili con il diritto dell’Unione.

Con la sentenza di oggi la Corte dell’Unione sancisce il primato del diritto europeo su quelli nazionale, stabilendo che “l’ingerenza risultante da una normativa nazionale che preveda la conservazione dei dati relativi al traffico e dei dati relativi all’ubicazione”, si legge nella nota della Corte, “deve essere considerata particolarmente grave”.