Avvocato Pierina Di Stefano
L’utilizzo diffuso dei dispositivi elettronici ha comportato, sul piano delle tecniche investigative e dei mezzi di ricerca della prova, la necessità di affrontare nuove sfide dettate prevalentemente dal rispetto di plurimi diritti fondamentali che vanno ad incrociarsi e, spesso, a scontrarsi su questo delicato terreno.
La sentenza della Grande Sezione della Corte di giustizia dell’Unione europea del 4 ottobre 2024, proc. C-548/21 in tema di processo penale e prova digitale[1] ha avuto un grande impatto sugli ordinamenti nazionali, tant’è che si discute della conformità ai principi stabiliti nella citata sentenza, della proposta di legge “Zanettin” (AC 1822), approvata al Senato il 10 aprile 2024 e attualmente all’esame della Camera, recante “Modifiche al codice di procedura penale in materia di sequestro di dispositivi, sistemi informatici o telematici o memorie digitali”, la quale ha l’obiettivo di introdurre una disciplina specifica sul sequestro di smartphone e altri device, prevista dall’art. 254 ter c.p.p.. [2]
Il procedimento principale ha avuto ad oggetto il sequestro di un quantitativo di cannabis contenuto in un pacco destinato ad un soggetto, il cui smarthphone era stato a sua volta sottoposto a vincolo reale, unitamente alla sim card e alla scheda SD. La necessità di eseguire la misura restrittiva era nata a seguito del rifiuto dell’interessato di fornire le credenziali di accesso. I tecnici della polizia giudiziaria, di propria iniziativa, e senza preventiva autorizzazione o vaglio del Pubblico Ministero o del Giudice avevano effettuato plurimi tentativi di sblocco del dispositivo e l’analisi integrale dei dati ivi contenuti avevano dato esito positivo. L’interessato non era stato peraltro informato di tali attività, non verbalizzate nel fascicolo d’indagine, e dallo stesso apprese solo in sede testimoniale innanzi al Giudice del rinvio, ovverosia il Tribunale amministrativo regionale del Tirolo, che il predetto aveva adito con ricorso diretto a contestare la legittimità del sequestro del suo telefono cellulare, restituito con decisione del citato Tribunale, il quale, in veste di giudice del rinvio, decideva di sospendere il procedimento e di sottoporre tre questioni pregiudiziali sull’interpretazione della Direttiva 2002/58/CE (cd. e-Privacy), art. 15, par. 1,[3] alla luce degli artt. 7, 8 e 47 della Carta di diritti fondamentali dell’UE (cd. Carta di Nizza o CDFUE).[4]
Atteso che nel caso di specie, il reato contestato era una contravvenzione punita con pena massima fino ad un anno, il Tribunale formula, quale dubbio interpretativo, la questione se l’accesso ad un dispositivo mobile che, in quanto tale, fornisce un ritratto dettagliato della vita privata di un soggetto (dati di connessione, di localizzazione, contenuto delle conversazioni, foto, cronologia di navigazione) costituisca un’ingerenza talmente grave da configurare una violazione dei principi fondamentali stabiliti dalla Carta di Nizza (artt. 7 e 8 cit.).
Il Giudice del rinvio si chiede, in secondo luogo, se sia compatibile con il diritto dell’UE una normativa nazionale che consente alla polizia giudiziaria l’accesso ai dati digitali senza la previa autorizzazione di un giudice o di un organo amministrativo indipendente.[5]
Il Tribunale, infine, mette in dubbio la legittimità di una normativa nazionale che non preveda l’obbligo di documentazione delle attività di analisi digitale nè l’obbligo di informazione postuma all’indagato, precludendo l’esercizio del diritto di difesa e di un ricorso effettivo ex art. 47 CDFUE.[6]
I punti cruciali della decisione.
Nell’avviare il procedimento, il Giudice del rinvio, su richiesta della CGUE, confermava a quest’ultima l’applicabilità, nel caso di specie, della Direttiva (UE) 2016/680 (cd. Direttiva LED)[7], relativa alla protezione dei dati personali trattati dalle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati, , individuandola come parametro di legittimità per le norme di recepimento nazionali applicate durante le indagini. Sebbene, pertanto, il rinvio originario si fondasse sulla Direttiva e-Privacy, ovverosia sulla tutela delle comunicazioni elettroniche, quindi, sui dati in transito, la Corte ha chiesto alle parti di concentrare le loro difese orali, quanto all’analisi della disciplina dell’accesso ai dati contenuti fisicamente in un dispositivo sequestrato, sulla citata Direttiva LED, ovverosia sulla tutela dei dati nei procedimenti penali, quindi sui dati archiviati su supporto fisico.
La Corte UE affronta, in primis, due temi di rilievo: il perimetro di applicazione della Direttiva 2016/680 (anche in caso di operazioni fallite) e i rapporti processuali tra la Corte procedente e i fatti nazionali.
Quanto al primo tema, la Corte esamina la questione interpretativa sollevata dal Governo austriaco circa la natura delle operazioni di polizia, chiarendo che la Direttiva de quo deve essere interpretata in modo sistematico e teleologico, ragion per cui il cd. tentativo di accesso ai dispositivi elettronici, e quindi ai dati personali ivi racchiusi, deve essere qualificato come trattamento, rilevante ai sensi dell’art. 3, pt. 2 della Direttiva, indipendentemente dalla effettiva estrazione o visualizzazione dei dati stessi.[8]
La tutela prevista da quest’ultima, a fronte di un’ingerenza nei diritti fondamentali (artt. 7 e 8 Carta di Nizza), inoltre, non si limita ai soli trattamenti andati a buon fine, ma si estende anche alle operazioni a monte, comprendendo dunque anche i casi in cui, come quello in esame, l’analisi tecnica abbia avuto esito negativo.
In relazione, invece, al secondo tema affrontato dalla Corte, ovverosia al rapporto tra fatto nazionale e giurisdizione di legittimità dell’UE, la CGUE ribadisce quanto segue:
- nell’ambito del rinvio pregiudiziale (art. 267 TFUE) esiste una netta separazione tra l’accertamento del fatto e l’interpretazione del diritto;
- è compito esclusivo del Giudice del rinvio delimitare il quadro fattuale e normativo interno in quanto la Corte non verifica l’esattezza dei fatti allegati, pronunciandosi sulla base della situazione descritta nell’ordinanza di rinvio;
- le conclusioni dell’Avvocato Generale non rese in piena indipendenza, non vincolano la Corte e il mero disaccordo con esse di una parte non giustifica la riapertura del procedimento, ai sensi dell’art. 83 Reg. Proc. CGUE).[9]
Il vaglio di ricevibilità della domanda ex art. 94 Reg. Proc. CGUE.[10]
La Corte ha respinto le contestazioni di Austria, Francia e Svezia circa i profili di irricevibilità dell’ordinanza di rinvio, ritenendo che quest’ultima rispondesse pienamente ai requisiti di scindibilità e chiarezza, avendo illustrato con precisione la fattispecie (sequestro smartphone, tentativi di accesso non autorizzati, mancanza di notifica delle operazioni e omesso deposito della documentazione), ed esplicitato compiutamente sia il legame tra norme nazionali (quali gli artt. 18 e 99 StPO) e le disposizioni UE di cui si è chiesto l’interpretazione (Direttive. 2002/58, 2016/680 e Carta di Nizza), sia le motivazioni sottostanti ai dubbi interpretativi sottoposti alla Corte.
L’articolo 18 della StPO stabilisce che:
«(1) La polizia giudiziaria è incaricata di svolgere compiti al servizio dell’amministrazione della giustizia penale (articolo 10, paragrafo 1,punto 6, del Bundes-Verfassungsgesetz [(legge costituzionale federale)]). (2) Le indagini di polizia giudiziaria sono di competenza delle autorità di sicurezza, la cui organizzazione e competenza territoriale sono disciplinate dalle disposizioni del Sicherheitspolizeigesetz [legge sulla polizia di sicurezza)] relative all’organizzazione dell’amministrazione della pubblica sicurezza. (3) Gli organi del servizio di pubblica sicurezza (articolo 5, secondo comma, del Sicherheitspolizeigesetz [(legge sulla polizia di sicurezza)]assicurano il servizio esecutivo della polizia giudiziaria, che consiste nell’indagine e nel perseguimento dei reati conformemente alle disposizioni della presente legge. (…)».
L’articolo 99, paragrafo 1, della StPO dispone: «La polizia giudiziaria indaga d’ufficio o sulla base di una denuncia, nel rispetto dei provvedimenti del pubblico ministero e dei giudici(articolo 105, paragrafo 2)».
Il principio della cd. presunzione di rilevanza.
La Corte, nella sentenza in esame, ribadisce altresì un principio cardine del sistema di tutela giurisdizionale UE (art. 267 TFUE), precisando, da un lato, che spetta unicamente al giudice del merito valutare la necessità di una pronuncia pregiudiziale per risolvere la controversia, dall’altro che, quanto ai limiti del proprio sindacato, essa può rifiutarsi di decidere sono in casi patologici, quali:
- questione manifestamente irrilevante o estranea alla realtà del procedimento principale;
- problema di natura puramente tecnica;
- carenza assoluta di elementi di fatto o di diritto necessari per l’interpretazione.
Nel caso di specie, in relazione alla tesi austriaca secondo la quale le questioni sarebbero irrilevanti perchè il diritto interno già prevederebbe l’autorizzazione del PM per effettuare l’accesso ai dispositivi, la Corte afferma di non avere competenza per sindacare l’interpretazione delle norme nazionali fornita dal giudice del rinvio, quindi se il Giudice austriaco ritiene che la legge nazionale consenta l’accesso senza autorizzazione, la Corte deve attenersi a questa premessa. La CGUE, inoltre, sostiene che ad essa non spetta verificare se vi sia stata una violazione del diritto austriaco (giudizio di fatto/merito), ma solo interpretare il diritto UE affinchè il giudice nazionale possa correttamente applicarlo.
Il merito: delimitazione del campo di applicazione e poteri della Corte.
Entrando nel merito dell’esame delle questioni ad essa sottoposte con l’ordinanza di rinvio, la Corte parte dall’esclusione dell’applicabilità alla fattispecie sottoposta al suo esame della Direttiva 2002/58/CE (e-Privacy) per l’assenza di intermediari, giacché tale normativa trova applicazione solo quando siano imposti obblighi ai fornitori di servizi di comunicazione elettronica. Nel caso di specie, infatti, la polizia aveva agito direttamente sul supporto fisico (lo smartphone), senza richiedere l’intervento di provider. Peraltro, la circostanza che il giudice del rinvio abbia errato nell’indicare la direttiva applicabile non incide sulla ricevibilità del rinvio.
Successivamente, i Giudici europei adottano una esegesi estensiva della nozione di “trattamento” ex art. 3, punto 2, Direttiva 2016/680,[11] basandosi su tre pilastri testuali:
- Ampiezza della clausola: l’uso dell’espressione “qualsiasi operazione o insieme di operazioni” indica la volontà del legislatore UE di non lasciare vuoti di tutela;
- Natura non tassativa: l’avverbio “come” (riferito ad estrazione, consultazione, etc.) conferma che l’elenco delle attività disciplinate è meramente esemplificativo e non esaustivo;
- Inizio del trattamento: la manipolazione di un dispositivo finalizzata all’estrazione di dati costituisce ex se l’inizio di un trattamento, indipendentemente dall’esito tecnico dell’operazione.
La CGUE, poi, collega l’applicabilità della Direttiva 2016/680 al principio di limitazione delle finalità (art. 4, par. 1, lett. b)[12], affermando che la finalità del trattamento deve essere legittima e determinata già in via preventiva, nella fase del tentativo di accesso, che, qualora fallito, rientrerebbe comunque nell’area di tutela offerta dalla citata normativa, ciò per evitare che gli interessati siano privati di protezione contro condotte arbitrarie, compromettendo l’obiettivo di garantire “un livello elevato di protezione” (Considerando 4, 7 e 15). L’illegittimità di una “tutela condizionata” al successo tecnico deriva dal rispetto del principio di certezza del diritto: l’applicazione delle norme non può, invero, dipendere da variabili tecniche aleatorie (come la robustezza di una password o l’efficacia di un software di sblocco) e sia le autorità inquirenti, che i singoli devono sapere ex ante quali regole governano l’azione di polizia, garantendo una disciplina uniforme per ogni attività di indagine digitale.
Sulla natura dell’attività di accesso ai dispositivi mobili, la Corte riconosce che l’accesso ai dati di uno smartphone non è un mera attività di acquisizione dei documenti, ma un’intrusione profonda nella sfera privata del soggetto possessore (artt. 7 e 8 Carta di Nizza), che deve essere, in ogni caso, limitato a dati pertinenti e adeguati (art. 4, lett. c, LED).[13]
Esclude, inoltre, che solo i “reati gravi” consentano l’accesso, giacché una simile limitazione aumenterebbe il rischio di impunità e violerebbe la natura dei compiti di polizia ex art. 1 LED, ma, d’altra parte, il legislatore nazionale deve definire in modo “chiaro e preciso” le categorie di reati che giustificano tale misura, nel rispetto del principio di proporzionalità.
Contrariamente alla prassi austriaca, la Corte precisa che poichè l’ingerenza è grave, l’accesso deve essere subordinato al controllo preventivo di un giudice o di un organo amministrativo indipendente, al fine di assicurare il giusto equilibrio tra le necessità investigative e i diritti fondamentali, prevenendo accessi che eccedano lo “stretto necessario”, consentendosi un controllo postumo solo in casi di urgenza debitamente comprovati e in tempi brevi.
In relazione al più specifico equilibrio tra esigenze del segreto istruttorio e diritto di difesa, la Corte affronta il profilo della trasparenza del trattamento e del diritto alla tutela giurisdizionale effettiva (art. 47 Carta di Nizza).
La CGUE stabilisce che la notifica del trattamento non è una mera formalità, ma un presupposto logico-giuridico della difesa, richiamando l’art. 13, par. 2, lett. d) LED in base al quale gli Stati membri devono informare l’interessato quando i dati sono raccolti a sua insaputa, atteso che senza la conoscenza dell’avvenuta intrusione (tentata o riuscita), l’individuo non potrebbe mai contestarne la legittimità dinanzi ad un giudice.
Tale diritto all’informazione, osserva la Corte, non è peraltro assoluto, ma la sua limitazione deve essere necessaria e proporzionata, tale da non compromettere indagini o procedimenti giudiziari (art. 52, par. 1, Carta di Nizza), includendo i motivi dell’autorizzazione all’accesso, per permettere un “pieno controllo sulla legittimità” (art. 54 LED).
Sotto tale profilo, nel caso concreto, la CGUE rileva un’incoerenza logica nella condotta delle autorità austriaca, in quanto la comunicazione dell’avvio delle operazioni tecniche di sblocco all’interessato non avrebbe compromesso le indagini, in quanto era già a conoscenza del sequestro del telefono, ragion per cui la Corte ritiene che l’informazione al medesimo avrebbe dovuto essere fornita tempestivamente.
La CGUE, in conclusione, fissa un doppio binario di garanzie (sostanziali e procedurali) per la legittimità delle indagini sui dispositivi mobili, affermando quanto segue.
L’accesso ai dati di un telefono cellulare per reati “non gravi” è compatibile con in diritto UE solo in presenza di tre condizioni cumulative:
- Riserva di legge rafforzata: la normativa nazionale deve definire con precisione la natura e le categorie di reati per i quali è ammessa tale ingerenza, non essendo ammessa una delega in bianco alla P:G.;
- Principio di proporzionalità: il trattamento deve essere strettamente necessario e non eccedente rispetto alle finalità perseguite (minimizzazione dei dati);
- Riserva di giurisdizione: l’accesso deve essere obbligatoriamente subordinato a un controllo preventivo operato da un giudice o da un’autorità amministrativa indipendente, salvi i casi di urgenza debitamente comprovati e sottoposti a controllo postumo immediato.
Avv. Pierina Di Stefano
[1] Il testo della sentenza è consultabile in https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:62021CJ0548.
[2] Per approfondimenti, Raucci P., Sequestro del cellulare e acquisizione dei dati: possibili patologie dell’atto alla luce della recente giurisprudenza europea, in Processo Penale & Giustizia, n. 5/2025, pag. 1243 e ss., consultabile in https://www.processopenaleegiustizia.it/Article/Archive/index_html?ida=1587&idn=94&idi=-1&idu=-1, Signorato S., Il sequestro di dispositivi e informazioni digitali, in Sistema Penale, 11.6.2025, consultabile in https://www.sistemapenale.it/it/documenti/signorato-il-sequestro-di-dispositivi-e-informazioni-digitali.
[3] Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), consultabile in https://eur-lex.europa.eu/legal-content/IT/ALL/?uri=CELEX:32002L0058. L’articolo 15, rubricato «Applicazione di alcune disposizioni della direttiva 95/46/ CE», al paragrafo 1 recita: «Gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli articoli 5 e 6, all’articolo 8, paragrafi da 1 a 4, e all’articolo 9 della presente direttiva, qualora tale restrizione costituisca, ai sensi dell’articolo 13, paragrafo 1, della direttiva 95/46/CE [del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. A tal fine gli Stati membri possono tra l’altro adottare misure legislative, le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo. Tutte le misure di cui al presente paragrafo sono conformi ai principi generali del diritto comunitario, compresi quelli di cui all’articolo 6, paragrafi 1 e 2, [TUE]».
[4] Art. 7 – Rispetto della vita privata e della vita familiare. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni.
Art. 8 – Protezione dei dati di carattere personale. 1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente.
Art. 47 – Diritto a un ricorso effettivo e a un giudice imparziale. Ogni persona i cui diritti e le cui libertà garantiti dal diritto dell’Unione siano stati violati ha diritto a un ricorso effettivo dinanzi a un giudice, nel rispetto delle condizioni previste dal presente articolo. Ogni persona ha diritto a che la sua causa sia esaminata equamente, pubblicamente ed entro un termine ragionevole da un giudice indipendente e imparziale, precostituito per legge. Ogni persona ha la facoltà di farsi consigliare, difendere e rappresentare. A coloro che non dispongono di mezzi sufficienti è concesso il patrocinio a spese dello Stato, qualora ciò sia necessario per assicurare un accesso effettivo alla giustizia.
[5] Il Giudice del rinvio si riferisce agli articoli 18 e 99, paragrafo 1, del StPO, Strafprozessordnung che è il codice di procedura penale autriaco.
[6] V. nota precedente.
[7] Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, consultabile in https://eur-lex.europa.eu/eli/dir/2016/680/oj?locale=it. Tale Direttiva è stata recepita in Italia con il Decreto Legislativo 18 maggio 2018, n. 51.
[8] Art. 3 – Definizioni. Ai fini della presente direttiva si intende per: (…) 2) «dati personali»: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione; (…).
[9] Art. 83. Apertura o riapertura della fase orale. La Corte, in qualsiasi momento, sentito l’avvocato generale, può disporre l’apertura o la riapertura della fase orale del procedimento, in particolare se essa non si ritiene sufficientemente edotta o quando, dopo la chiusura di tale fase, una parte ha prodotto un fatto nuovo, tale da influenzare in modo decisivo la decisione della Corte, oppure quando la causa dev’essere decisa in base a un argomento che non è stato oggetto di discussione tra le parti o gli interessati menzionati dall’articolo 23 dello statuto.
[10] Art. 94. Contenuto della domanda di pronuncia pregiudiziale.Oltre al testo delle questioni sottoposte alla Corte in via pregiudiziale, la domanda di pronuncia pregiudiziale contiene: a) un’illustrazione sommaria dell’oggetto della controversia nonché dei fatti rilevanti, quali accertati dal giudice del rinvio o, quanto meno, un’illustrazione delle circostanze di fatto sulle quali si basano le questioni; b) il contenuto delle norme nazionali applicabili alla fattispecie e, se del caso, la giurisprudenza nazionale in materia; c) l’illustrazione dei motivi che hanno indotto il giudice del rinvio a interrogarsi sull’interpretazione o sulla validità di determinate disposizioni del diritto dell’Unione, nonché il collegamento che esso stabilisce tra dette disposizioni e la normativa nazionale applicabile alla causa principale.
[11] V. nota 8.
[12] Art. 4 –Principi applicabili al trattamento di dati personali. 1. Gli Stati membri dispongono che i dati personali siano: (…) b) raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità;(…).
[13] Art. 4 –Principi applicabili al trattamento di dati personali. 1. Gli Stati membri dispongono che i dati personali siano: (…) c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati; (…).
