Conclusiones del Abogado General Sr. G. Pitruzzella, presentadas el 30 de junio de 2022.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:507
• Date: 30 June 2022
• Celex Number: 62021CC0205
• Court: Court of Justice (European Union)

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

GIOVANNI PITRUZZELLA

presentate il 30 giugno 2022 (1)

Causa C‑205/21

Procedimento penale

a carico di

V.S.,

con l’intervento di

Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost

[domanda di pronuncia pregiudiziale proposta dallo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali, Bulgaria)]

«Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Direttiva (UE) 2016/680 – Persona formalmente accusata – Registrazione da parte della polizia di dati personali – Dati sensibili – Dati biometrici e genetici – Esecuzione coercitiva – Obiettivo di prevenzione e accertamento di reati – Procedimento penale in corso – Confronto eseguito su dati personali raccolti nell’ambito di indagini precedenti – Tutela giurisdizionale effettiva – Trattamento dei dati – Principi – Minimizzazione dei dati – Necessità assoluta»

1. Se messo al servizio della repressione penale, lo sviluppo tecnologico si rivela tanto affascinante quanto minaccioso per i diritti fondamentali (2). Il presente rinvio pregiudiziale offre, ancora una volta, alla Corte l’opportunità di interpretare uno strumento del diritto dell’Unione dedicato alla protezione dei dati personali concepito come salvaguardia nei confronti di una politica penale che avrebbe come scopo l’efficienza totale, quando invece una società democratica, retta dallo Stato di diritto, dovrebbe, paradossalmente, considerare in qualche modo un pregio la fallibilità di una siffatta politica. In un certo senso, la presente causa costituisce una declinazione, nel settore della protezione dei dati personali, del principio secondo cui è meglio rischiare di salvare un colpevole che condannare un innocente (3).

I. Contesto normativo

A. Direttiva 2016/680

2. L’articolo 4 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (4) è dedicato ai principi applicabili al trattamento di dati personali. La disposizione è così formulata:

«1. Gli Stati membri dispongono che i dati personali siano:

a) trattati in modo lecito e corretto;

b) raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità;

c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati;

(…)».

3. L’articolo 6, lettera a), della direttiva 2016/680 così dispone:

«Gli Stati membri dispongono che il titolare del trattamento, se del caso e nella misura del possibile, operi una chiara distinzione tra i dati personali delle diverse categorie di interessati, quali:

a) le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato».

4. L’articolo 8 della direttiva 2016/680 disciplina la liceità del trattamento ed è così formulato:

«1. Gli Stati membri dispongono che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente, per le finalità di cui all’articolo 1, paragrafo 1, e si basa sul diritto dell’Unione o dello Stato membro.

2. Il diritto dello Stato membro che disciplina il trattamento nell’ambito di applicazione della presente direttiva specifica quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento».

5. L’articolo 10 della direttiva 2016/680 così recita:

«Il trattamento di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o di dati relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto:

a) se autorizzato dal diritto dell’Unione o dello Stato membro;

b) per salvaguardare un interesse vitale dell’interessato o di un’altra persona fisica; o

c) se il suddetto trattamento riguarda dati resi manifestamente pubblici dall’interessato».

B. Diritto bulgaro

6. L’articolo 68 dello zakon sa Ministerstvo na vatreshnite raboti (legge sul Ministero dell’Interno (5), in prosieguo: lo «ZMVR») è così formulato:

«1. Le autorità di polizia registrano le persone formalmente accusate di un reato intenzionale perseguibile d’ufficio. Le autorità incaricate delle indagini preliminari sono tenute ad adottare i provvedimenti necessari affinché le autorità di polizia possano procedere alla registrazione.

2. La registrazione da parte della polizia costituisce una categoria di trattamento di dati personali delle persone di cui al paragrafo 1, che si esegue alle condizioni della presente legge.

3. Ai fini della registrazione, le autorità di polizia:

1) raccolgono i dati personali indicati all’articolo 18 dello zakon za balgaskite lichni dokumenti ^[(6)^];

2) procedono al rilevamento delle impronte digitali delle persone e le fotografano;

3) prelevano campioni per l’elaborazione di un profilo del DNA delle persone.

4. Per svolgere le attività di cui al paragrafo 3, punto 1, non è richiesto il consenso della persona.

5. Le persone sono tenute a dare prova di collaborazione, a non opporre ostacoli o impedimenti all’esercizio da parte delle autorità di polizia delle attività di cui al paragrafo 3. In caso di rifiuto della persona, le attività di cui al paragrafo 3, punti 2 e 3, vengono eseguite con coercizione mediante un’autorizzazione del giudice di primo grado competente sul reato perseguibile d’ufficio per il quale la persona è stata formalmente accusata.

6. La registrazione da parte della polizia è revocata, d’ufficio, sulla base di una decisione scritta del titolare del trattamento dei dati personali o dei funzionari da quest’ultimo autorizzati, o su domanda scritta motivata della persona registrata, qualora:

1) la registrazione sia stata effettuata in violazione di legge;

2) il procedimento penale sia stato interrotto, ad eccezione dei casi di cui all’articolo 24, paragrafo 3, del [nakazartelno-protsesualen kodeks (codice di procedura penale; in prosieguo: il «NPK»)];

3) una sentenza definitiva di assoluzione abbia posto fine al procedimento penale;

4) la persona non sia stata ritenuta penalmente responsabile e le sia stata irrogata una sanzione amministrativa;

5) la persona sia deceduta; la domanda può essere presentata, in tal caso, dai suoi eredi.

7. Le modalità di attuazione e di revoca della registrazione da parte della polizia sono stabilite mediante regolamento del Consiglio dei ministri».

7. L’articolo 2, paragrafo 1, del naredba za reda za izvarshvane i snemane na politseyska registratsia (regolamento che disciplina in dettaglio l’esecuzione della registrazione da parte della polizia, in prosieguo: l’«NRISPR») (7) prevede che «[l]a registrazione da parte della polizia è un’attività di trattamento di dati personali (...) effettuata alle condizioni [dello ZMVR] ai fini della salvaguardia della sicurezza nazionale, della lotta contro la criminalità e della tutela dell’ordine pubblico».

II. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte

8. È stato avviato un procedimento penale a carico di V.S. per frode nella liquidazione e nel pagamento di debiti tributari in capo a due società commerciali. Il 1° marzo 2021, V.S. è stata formalmente accusata di partecipazione a un’organizzazione criminale costituita con l’intento di arricchimento. Il provvedimento di accusa formale veniva notificato a V.S. il 15 marzo 2021. In quella stessa data, le veniva chiesto di collaborare all’esecuzione di una registrazione da parte della polizia delle sue impronte digitali (8), della sua fotografia (9) nonché del prelievo di campioni per l’elaborazione di un profilo del DNA. Poiché ella si rifiutava, compilava un modulo di dichiarazione in cui indicava di essere stata informata della sussistenza dei fondamenti di legge per procedere a tale registrazione, ma di non acconsentire a che si procedesse a tale prelievo e alla registrazione che la riguardava.

9. Il 24 marzo 2021 il vicedirettore della Glavna direktsiya za borba s organiziranata prestapnost (Direzione generale per la lotta contro la criminalità organizzata) presso il Ministerstvo na vatreshnite raboti (Ministero dell’Interno, Bulgaria) ha adito il giudice del rinvio, lo Spetsializiran nakazatelen sad (Tribunale specializzato per i procedimenti penali, Bulgaria), per chiedergli di autorizzare l’esecuzione coercitiva della registrazione da parte della polizia alla quale V.S. rifiutava di sottoporsi.

10. La domanda fa riferimento al procedimento penale in corso a carico di V.S., nonché alla sussistenza di sufficienti prove di colpevolezza. Essa indica altresì che V.S. è formalmente accusata di aver commesso un reato e si è rifiutata di farsi fotografare, di farsi rilevare le impronte digitali e di sottoporsi al prelievo di un campione per il profilo del DNA, ai fini della registrazione da parte della polizia. Alla domanda sono allegate solo due fotocopie: quella del provvedimento di accusa e quella della dichiarazione con la quale V.S. ha negato il suo consenso alla registrazione da parte della polizia. I restanti documenti contenuti nel fascicolo non sono stati trasmessi al giudice del rinvio.

11. In primo luogo, il giudice del rinvio si chiede se l’articolo 10 della direttiva 2016/680, che autorizza, a determinate condizioni, il trattamento dei dati biometrici e genetici, sia stato...