Corte di giustizia dell’Unione europea, Grande Sezione, causa C-178/22

• Leggi la sentenza
• Leggi il contributo nel fascicolo

*Contributo pubblicato nel fascicolo 5/2024. 

1. Con la sentenza in epigrafe, ancora una volta la Corte di giustizia dell’Unione europea ha impresso una svolta garantista alla disciplina italiana in materia di acquisizione dei tabulati telefonici nel procedimento penale, regolata dall’art. 132 d.lgs. n. 196/2003[1].

Tale disposizione, come noto, è stata recentemente modificata dal legislatore italiano allo specifico scopo di garantire il rispetto dei principi affermati dai giudici europei con l’importante sentenza H.K. del 2 marzo 2021[2]. È proprio in ottemperanza al dictum sovranazionale che, da un lato, si è reso necessario un provvedimento autorizzativo da parte del giudice, e, dall’altro lato, l’acquisizione dei tabulati telefonici è stata limitata ai procedimenti per i «reati per i quali la legge stabilisce la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni, determinata a norma dell’articolo 4 del codice di procedura penale, e di reati di minaccia e di molestia o disturbo alle persone col mezzo del telefono, quando la minaccia, la molestia e il disturbo sono gravi»[3].

Con una domanda di pronuncia pregiudiziale proposta ex art. 267 TFUE dal giudice per le indagini preliminari presso il Tribunale di Bolzano, la Corte di giustizia è stata oggi chiamata a valutare la compatibilità di tale delimitazione dei reati-presupposto legittimanti l’acquisizione dei tabulati telefonici con l’art. 15, par. 1, della direttiva 2002/58/CE[4], letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea.

In estrema sintesi, la Grande sezione ha affermato che la disciplina italiana può considerarsi compatibile con la normativa europea a condizione che, di fronte a una richiesta di acquisizione di dati «idonei a permettere di trarre precise conclusioni sulla vita privata dell’utente di un mezzo di comunicazione elettronica», il giudice «abbia la possibilità di negare detto accesso se quest’ultimo è richiesto nell’ambito di un’indagine vertente su un reato manifestamente non grave, alla luce delle condizioni sociali esistenti nello Stato membro interessato».

2. La vicenda procedimentale si lascia riassumere in poche battute.

A seguito di due denunce per due furti di telefono cellulare, il p.m. aveva avviato due procedimenti penali a carico di ignoti per il reato di furto aggravato (art. 625 c.p.).

Al fine di identificare gli autori di tali furti, il p.m. aveva chiesto al giudice per le indagini preliminari l’autorizzazione ad acquisire presso tutte le compagnie telefoniche i tabulati dei telefoni rubati[5]. Tali richieste riguardavano «tutti i dati [in possesso delle compagnie telefoniche], con metodo di tracciamento e localizzazione (in particolare utenze ed eventualmente codici IMEI [relativi all’identificatore internazionale apparecchiature mobili dei dispositivi] chiamati/chiamanti, siti visitati/raggiunti, orario e durata della chiamata/connessione ed indicazione delle celle e/o ripetitori interessati, utenze ed IMEI [dei dispositivi] mittenti/destinatari degli SMS o MMS e, ove possibile, generalità dei relativi intestatari) delle conversazioni/comunicazioni telefoniche e connessioni effettuate, anche in roaming, in entrata e in uscita anche se chiamate prive di fatturazione (squilli) dalla data del furto fino alla data di elaborazione della richiesta»[6].

Di fronte a una tale richiesta, tuttavia, il g.i.p. dubitava della compatibilità dell’art. 132, comma 3, del d.lgs. n 196/2003 con l’articolo 15, paragrafo 1, della direttiva 2002/58, così come interpretato dalla Corte nella sentenza H.K. In quell’occasione si era infatti chiarito che «l’accesso di autorità pubbliche ad un insieme di dati relativi al traffico o di dati relativi all’ubicazione, idonei a fornire informazioni sulle comunicazioni effettuate da un utente di un mezzo di comunicazione elettronica o sull’ubicazione delle apparecchiature terminali da costui utilizzate e a permettere di trarre precise conclusioni sulla sua vita privata» può ammettersi solo nell’ambito di «procedure aventi per scopo la lotta contro le forme gravi di criminalità o la prevenzione di gravi minacce alla sicurezza pubblica»[7]. Vero è che il legislatore ha cercato di allinearsi a tale indicazione modificando l’art. 132 d.lgs. n. 196/2003, ma, secondo il giudice a quo, la soluzione adottata, essendo imperniata sul limite edittale dei tre anni di reclusione, risulta «tale che detti tabulati potrebbero essere comunicati […] per perseguire reati che destano solo scarso allarme sociale e che sono puniti solo a querela di parte, in particolare i furti di scarso valore come i furti di telefono cellulare o di bicicletta»[8]. Sotto questo profilo, a ben vedere, il giudice non gode di alcun margine di discrezionalità: egli è tenuto unicamente a valutare, da un lato, la sussistenza di «sufficienti indizi di reato», e, dall’altro lato, la “rilevanza” dei dati di cui si chiede l’acquisizione «per l’accertamento dei fatti»; nessun giudizio gli è invece demandato quanto alla concreta gravità del reato per cui si procede, quest’ultima essendo stata apprezzata una volta per tutte e in astratto dal legislatore.

3. Affermata la ricevibilità della domanda[9], i giudici europei rispondono al quesito portato alla loro attenzione[10] ribadendo anzitutto che soltanto «gli obiettivi di lotta contro le forme gravi di criminalità o di prevenzione di gravi minacce alla sicurezza pubblica» possono giustificare una «grave ingerenza nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta»[11]. Ciò premesso, la Corte riconosce che l’accesso oggetto del procedimento a quo poteva essere considerato una “grave ingerenza nei diritti fondamentali garantiti dagli articoli 7 e 8 della Carta”. Ciò in quanto le richieste del pubblico ministero riguardavano le utenze e i codici IMEI dei dispositivi chiamati o chiamanti, i siti visitati e raggiunti, l’orario e la durata delle chiamate e delle connessioni, l’indicazione delle celle o dei ripetitori interessati, nonché le utenze e i codici IMEI dei dispositivi mittenti e destinatari degli SMS o MMS, e «un simile insieme di dati […] sembra tale da permettere di trarre precise conclusioni sulla vita privata delle persone i cui dati sono stati conservati, come le abitudini di vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati»[12].

Tanto appurato, si tratta allora di stabilire se la delimitazione dei reati-presupposto effettuata dal legislatore all’art. 132, co. 3, d.lgs. n. 196/2003 sia effettivamente funzionale alla “lotta contro le forme gravi di criminalità” ovvero alla “prevenzione di gravi minacce alla sicurezza pubblica”.

4. Su questo versante, la Corte di giustizia ricorda anzitutto che, «tenuto conto della ripartizione delle competenze tra l’Unione e gli Stati membri ai sensi del Trattato FUE e delle notevoli differenze esistenti tra gli ordinamenti giuridici degli Stati membri in materia penale», spetta agli Stati membri «definire i “reati gravi” ai fini dell’applicazione dell’articolo 15, paragrafo 1, della direttiva 2002/58»[13]. Cionondimeno, i giudici europei sottolineano che, in tale operazione, i legislatori nazionali non sono del tutto liberi, ma devono «rispettare i dettami [dell’]articolo 15, paragrafo 1, letto alla luce degli articoli 7, 8 e 11 nonché dell’articolo 52, paragrafo 1, della Carta»[14].

Due sono, al riguardo, gli argomenti principalmente valorizzati. Da un lato si osserva che, nel consentire di “limitare” il diritto alla riservatezza delle comunicazioni, l’art. 15 della direttiva 2002/58 fissa «un’eccezione alla regola generale dettata in particolare [dagli] articoli 5, 6 e 9 e deve, pertanto, […] essere oggetto di un’interpretazione restrittiva»[15]. Dall’altro lato, si pone l’accento sul terzo periodo dell’art. 15, par. 1, della direttiva 2002/58, ai sensi del quale tutte le misure adottate dagli Stati membri devono risultare «conformi ai principi generali del diritto comunitario», tra i quali figura il principio di proporzionalità[16].

Da tali coordinate discende che «gli Stati membri non possono snaturare la nozione di “reato grave” e, per estensione, quella di “grave criminalità”, includendovi […] reati che manifestamente non sono gravi, alla luce delle condizioni sociali esistenti nello Stato membro interessato»[17].

5. Confrontandosi specificamente con il quadro normativo italiano, i giudici europei rilevano l’esistenza della possibilità che una richiesta di acquisizione di dati costitutiva di una grave ingerenza nei diritti fondamentali venga presentata «al fine di perseguire reati che non rientrano, in realtà, nella criminalità grave», e ciò in quanto si è scelto di definire i “reati gravi” «con riferimento non a una pena minima applicabile, bensì ad una pena massima applicabile»[18].

Ciò, tuttavia, non comporta automaticamente l’inconciliabilità tra il quadro normativo italiano e il principio di proporzionalità, per due diverse ragioni.

Anzitutto, osservano i giudici di Lussemburgo, l’art. 132 d.lgs. 196/2003 «riguarda, in maniera generale, l’accesso ai dati conservati dai fornitori di servizi di comunicazione elettronica, senza precisare la natura di tali dati». Conseguentemente, essa trova applicazione anche laddove «l’accesso non può essere qualificato come grave ingerenza, in quanto non riguarda un insieme di dati idonei a permettere di trarre precise conclusioni sulla vita privata delle persone interessate»[19]. E in tali ipotesi nulla osta a che il giudice conceda un’autorizzazione anche rispetto a “reati non gravi”.

In secondo luogo – ed è questo il passaggio di maggiore interesse e impatto –, la disciplina italiana può essere ricondotta a sistema riconoscendo al giudice il potere di «negare o limitare [una richiesta di] accesso qualora constati che l’ingerenza nei diritti fondamentali che un tale accesso costituirebbe è grave, mentre risulta evidente che il reato in questione non rientra effettivamente nella criminalità grave»[20]. In altre parole, «allorché esamina la proporzionalità dell’ingerenza nei diritti fondamentali della persona interessata causata dalla richiesta di accesso, [il giudice] deve essere in grado di escludere detto accesso qualora quest’ultimo sia richiesto nell’ambito di un’azione penale diretta a perseguire un reato manifestamente non grave»[21]. Solo a questa condizione la soluzione adottata dal legislatore italiano può considerarsi compatibile con l’art. 15, par. 1, della direttiva 2002/58[22].

***

6. All’indomani della riformulazione dell’art. 132, co. 3, d.lgs. n. 196/2003, in dottrina si era fatto notare come la scelta operata dal legislatore italiano rispetto all’individuazione dei reati-presupposto legittimanti la richiesta di acquisizione dei dati sembrasse «superare gli ambiti delineati dalla Corte di giustizia»[23]. L’impressione ha oggi trovato conferma nell’importante sentenza appena illustrata. Vero è che la soluzione accolta dal legislatore italiano non è stata tout court bocciata dai giudici europei[24]; tuttavia, per potersi armonizzare con la normativa sovranazionale – e in particolare con la Carta di Nizza – essa deve essere integrata da un test di proporzionalità. Più precisamente, riprendendo la c.d. teoria dei tre gradini, che scompone il principio di proporzionalità in tre differenti “elementi costitutivi” (idoneità, necessità e proporzionalità in senso stretto), si può dire che, ogni qualvolta la compressione del diritto alla riservatezza risulti “grave”, si rende necessario un giudizio di proporzionalità in senso stretto, volto a valutare se anche il reato per cui si procede sia a sua volta connotato da gravità[25].

7. Se il criterio adottato dal legislatore, imperniato sul massimo edittale, assecondava esigenze di oggettività e certezza[26], l’indicazione proveniente da Lussemburgo introduce invece nella materia de qua un margine di discrezionalità, demandato al giudice. Questi, infatti, è tenuto a valutare, in prima battuta, se l’insieme dei dati di cui si chiede l’acquisizione costituisce una “grave ingerenza” nei diritti delle persone interessate, e, dall’altro lato, se il reato per cui si procede sia “manifestamente non grave”.

Si tratta di un giudizio che peraltro non è del tutto nuovo nella trama dell’art. 132 d.lgs. 196/2003. Si deve infatti ricordare che tale disposizione, oltre che per i reati puniti con la reclusione non inferiore nel massimo a tre anni, ammette l’acquisizione dei tabulati telefonici anche per i «reati di minaccia e di molestia o disturbo alle persone col mezzo del telefono, quando la minaccia, la molestia e il disturbo sono gravi». Anche questa previsione, a ben vedere, apre la strada a valutazioni discrezionali, ciò che non ha mancato di suscitare le critiche di una parte della dottrina[27].

8. Il richiamo all’osservanza del principio di proporzionalità proveniente da Lussemburgo pare peraltro poter produrre i propri effetti anche oltre la materia dei c.d. tabulati telefonici. Invero, un’architettura del tutto simile – sebbene più rigorosa – a quella dell’art. 132 d.lgs. 196/2003 la si rinviene altresì nella disciplina delle intercettazioni di conversazioni o comunicazioni di cui agli artt. 266 ss. c.p.p. Il giudice deve infatti verificare che il reato per cui si procede rientri tra quelli per i quali l’art. 266 c.p.p. ammette le intercettazioni, che sussistano gravi indizi di reato (non semplicemente “sufficienti”) e che tale mezzo di ricerca della prova sia «assolutamente indispensabile ai fini della prosecuzione delle indagini» (non semplicemente “rilevante”). Neppure in questo caso, a ben vedere, è previsto che il giudice valuti se il reato per cui si procede sia, in concreto, manifestamente non grave e tale da non giustificare una grave ingerenza nella vita privata. Né varrebbe replicare che qui il principio di proporzionalità risulta maggiormente salvaguardato per il fatto che il criterio generale del massimo edittale prende in considerazione una pena «della reclusione superiore nel massimo a cinque anni» (art. 266, co. 1, lett. a), c.p.p.), e non tre. Come fatto notare dalla Corte di giustizia nella sentenza qui commentata, il rischio di ingerenze sproporzionate deriva infatti dalla mancata considerazione del minimo edittale. Tant’è vero che proprio il reato oggetto del procedimento a quo portato all’attenzione dei giudici europei, vale a dire il furto aggravato (artt. 624-625 c.p.), potrebbe legittimare, oltre all’acquisizione dei tabulati telefonici, anche l’intercettazione di conversazioni o comunicazioni. Non sembra allora peregrino attendersi che dall’importante sentenza qui segnalata scaturisca qualche ulteriore onda tellurica, anche in settori limitrofi.