Con la sentenza Policejní prezidium (C-57/23), la Corte di Giustizia dell’Unione Europea si pronuncia su un tema cruciale per il diritto penale e la protezione dei dati: la raccolta e la conservazione dei dati biometrici e genetici da parte delle autorità di polizia. Il caso, originato in Repubblica Ceca, permette di chiarire il ruolo del diritto nazionale nell’attuazione della direttiva (UE) 2016/680 e i margini di discrezionalità concessi agli Stati membri. Il comunicato stampa della Corte fornisce indicazioni utili per avvocati, DPO, consulenti e funzionari pubblici.
1. Il contesto del rinvio e il ruolo del “diritto dello Stato membro”
La vicenda nasce dal ricorso di un funzionario pubblico ceco, sottoposto a misure di identificazione (impronte digitali, profilo genetico, fotografie e descrizione personale) inserite successivamente nelle banche dati di polizia. Ritenendo tali operazioni un’ingerenza illegittima nella propria vita privata, l’interessato aveva chiesto la cancellazione dei dati, ottenendo un primo accoglimento da parte del giudice nazionale. La Cassazione amministrativa ceca, investita del ricorso delle autorità di polizia, ha sollevato questioni interpretative sulla direttiva 2016/680.
La Corte di giustizia chiarisce innanzitutto che la nozione di “diritto dello Stato membro”, ai sensi dell’articolo 8 della direttiva, comprende anche l’elaborazione giurisprudenziale. Questa, tuttavia, deve essere accessibile e prevedibile, costituendo in sostanza una cornice normativa idonea a porre condizioni minime sulla raccolta, conservazione e cancellazione dei dati biometrici e genetici. Il messaggio della Corte è chiaro: gli Stati membri possono articolare il quadro normativo anche attraverso la giurisprudenza, purché tale quadro sia sufficientemente stabile e conoscibile.
2. Raccolta dei dati biometrici: ammissibile anche in forma indifferenziata
Uno dei profili più sensibili riguarda la possibilità di raccogliere tali dati in maniera indifferenziata per chiunque sia perseguito o sospettato di reato doloso. La Corte adotta un approccio pragmatico. Il diritto UE – in particolare gli articoli 4, 6 e 10 della direttiva 2016/680 – non vieta in astratto una normativa che consenta la raccolta indistinta di dati biometrici e genetici per queste categorie di persone.
- La finalità del trattamento deve essere tale da non richiedere una distinzione tra indagati e condannati: se la raccolta serve a fini di identificazione e prevenzione dei reati, un trattamento uniforme può essere giustificato.
- I titolari del trattamento devono rispettare i principi e i requisiti propri dei dati sensibili, tra cui necessità, proporzionalità, minimizzazione e sicurezza.
La Corte, dunque, non chiude la porta alle pratiche investigative, ma ribadisce che devono rientrare in un sistema di garanzie stringenti.
3. Conservazione dei dati senza periodo massimo: quando è possibile
Il punto più innovativo della sentenza riguarda la conservazione dei dati biometrici e genetici. La Corte afferma che il diritto UE consente l’esistenza di una normativa nazionale che non preveda un periodo massimo di conservazione, purché siano rispettati alcuni presidi essenziali.
- un termine adeguato di verifica periodica della necessità della conservazione;
- una valutazione rigorosa della “stretta necessità” di continuare a mantenere i dati in archivio;
- un obbligo effettivo per le autorità di motivare il mantenimento dei dati caso per caso.
La sentenza si muove quindi in un equilibrio tra esigenze di investigazione e tutela della privacy: il limite non è temporale, ma funzionale e motivazionale. Non è ammissibile un mantenimento “inerziale” o automatico; occorre una verifica attenta e documentata.
4. Ricadute pratiche per professionisti e amministrazioni
La decisione offre spunti applicativi immediati per chi si occupa di trattamento di dati nel settore penale. Per le autorità di polizia, la sentenza ribadisce la necessità di strutturare procedure interne che documentino le verifiche periodiche sulla conservazione dei dati. Non basta la conformità formale alla normativa nazionale: occorre dimostrare il rispetto dei principi di stretta necessità e proporzionalità.
Per gli avvocati penalisti, la sentenza rappresenta un parametro interpretativo utile: la mancanza di un termine massimo di conservazione non è, di per sé, indice di illegittimità, ma può esserlo l’assenza di controlli effettivi o la conservazione ingiustificata dopo la cessazione delle finalità di trattamento.
Per i DPO e i consulenti privacy, è essenziale verificare che le procedure interne delle amministrazioni rientrino nella cornice delineata dalla direttiva e dalla giurisprudenza. L’onere probatorio sul rispetto dei principi di trattamento rimane in capo al titolare. Infine, per i giudici nazionali, la decisione offre un’indicazione metodologica: la valutazione deve essere concreta, orientata alla funzione del trattamento e non alla mera durata.
