La problematica estensione della data retention

1. Premessa: la data retention tra esigenze di accertamento e tutela della sfera privata dei singoli

Come è stato posto in luce già da tempo, nella società digitale “le occasioni di violazioni o di semplici interferenze nella sfera privata accompagnano quasi ogni momento della nostra vita”[1]. Buona parte delle attività umane produce oggi una “traccia” elettronica sotto forma di dati personali, i quali rappresentano una vera e propria “proiezione della persona”[2]. Se la necessità di proteggere tali dati non può dunque non essere avvertita con particolare urgenza, le esigenze di accertamento esercitano una spinta nella (opposta) direzione della raccolta sempre più estensiva delle informazioni di carattere personale[3].

Su tale terreno si colloca la data retention, che consiste, come noto, nell’imposizione ai provider di servizi di telecomunicazione di obblighi di conservazione di taluni dati personali degli utenti (c.d. dati “esteriori” delle comunicazioni, o “metadati”) in funzione di un eventuale accesso da parte delle autorità per finalità di interesse generale, tra le quali l’accertamento di reati.

I dati in questione, specialmente se esaminati nel loro insieme, sono dotati di una spiccata attitudine a rivelare informazioni sulla vita privata degli individui: essi consentono, infatti, di ricostruire un quadro dettagliato delle comunicazioni, degli spostamenti, degli interessi e, in generale, delle abitudini di vita dell’interessato[4]. Per certi versi, la misura può risultare addirittura più insidiosa di quelle attività di ricerca della prova che mirano all’acquisizione del contenuto delle comunicazioni: da un lato, come si è accennato, la produzione di “tracce” elettroniche (in particolare, di “metadati”) capaci di rivelare dettagli sulle proprie attività quotidiane è pressoché inevitabile, dall’altro, le discipline che governano la data retention tendono a prevedere una conservazione molto estesa, se non generalizzata, dei dati degli utenti, per periodi di tempo prolungati[5].

Proprio su tale ultima caratteristica – vero tratto distintivo dello strumento in discorso – si intende soffermare l’attenzione nei paragrafi che seguono. Come si dirà, in relazione ai profili “quantitativi” della misura e, nello specifico, alla legittimità di un regime di conservazione “indiscriminata” dei dati, si registrano le più marcate frizioni tra limiti europei e tendenze estensive degli ordinamenti nazionali, non ultimo quello italiano.

2. Privacy, proporzionalità e data retention “indiscriminata”: limiti sovranazionali

Com’è evidente, il rango dei beni sui quali incide la data retention è particolarmente elevato. Le istanze di protezione della privacy e dei dati personali si situano infatti nel perimetro protettivo degli artt. 8 CEDU e 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, nonché, come chiarito da tempo dalla Corte costituzionale, dell’art. 15 Cost.[6].

Per apprezzare la reale portata della misura e il conseguente livello di ingerenza nei diritti fondamentali dei singoli è essenziale porre mente ai profili connessi alla sua estensione. La questione è dunque antecedente, sul piano logico e cronologico, rispetto al regime dell’accesso ai dati, e riguarda gli obblighi di conservazione imposti ai provider.

L’efficacia della data retention dipende, in una certa misura, dalla quantità di informazioni raccolte in funzione di una successiva ed eventuale analisi. Per tale ragione, è lato sensu fisiologico che la conservazione riguardi grandi quantità di dati, che solo in parte si riveleranno effettivamente funzionali agli scopi sottesi alla retention. Normalmente, dunque, la misura coinvolge soprattutto utenti rispetto ai quali non sono riscontrabili, al momento della raccolta dei dati, indizi di un coinvolgimento, neppure indiretto, in una vicenda illecita. Le caratteristiche appena tratteggiate hanno condotto a interrogarsi sulle condizioni di legittimità dei sistemi di conservazione “massiva” di dati personali.

Una conservazione “generalizzata” dei dati degli utenti dei servizi di comunicazione era prevista dalla direttiva 2006/24/CE, adottata a seguito degli attentati terroristici di Madrid e Londra. Tale estensione quantitativa della retention – unitamente ai suoi limiti cronologici e all’insufficienza delle garanzie a corredo dell’accesso alle informazioni e del loro uso successivo – ha condotto alla storica declaratoria di invalidità, nel 2014, della richiamata direttiva, ad opera della sentenza Digital Rights Ireland della Corte di giustizia[7]. Ad avviso della Grande Sezione, una simile “ingerenza nei diritti fondamentali della quasi totalità della popolazione europea” non è tollerabile alla luce del principio di proporzionalità[8]. In particolare, il legislatore europeo non aveva elaborato alcun criterio – ad esempio, di tipo soggettivo o geografico – in grado di stabilire un legame, sia pure indiretto, con gli obiettivi di prevenzione e accertamento perseguiti dalla direttiva.

Netta, dunque, la presa di posizione dei giudici di Lussemburgo, ribadita con la sentenza Tele2 con riferimento alle discipline nazionali[9]: gli obiettivi di tutela della sicurezza e di accertamento dei reati non giustificano l’intrusione nella sfera privata dei singoli derivante da una conservazione generalizzata e indifferenziata dei dati personali afferenti alle comunicazioni.

Se le sentenze cui si è appena fatto cenno hanno segnato una chiara prevalenza delle istanze connesse alla privacy e alla data protection, le successive pronunce hanno introdotto alcuni distinguo capaci di far guadagnare terreno alle istanze di sicurezza e di accertamento[10]. Infatti, lo schema di misurazione della proporzionalità delle ingerenze nella sfera privata dei singoli è progressivamente diventato sempre più articolato, mediante la messa a punto di una gerarchia degli obiettivi di interesse generale, da un lato, e di una scala di gravità delle ingerenze nei diritti fondamentali coinvolti, dall’altro[11].

Per quanto di interesse ai fini del presente lavoro, preme segnalare due linee di tendenza della traiettoria esegetica sovranazionale. In primo luogo, il divieto di conservazione generalizzata è stato attenuato con riferimento ai dati la cui conservazione comporta ingerenze comparativamente meno significative dei diritti fondamentali dei singoli: è il caso dei dati sull’identità civile degli utenti e degli indirizzi IP[12]. Una seconda modulazione del divieto, alla quale ha forse contribuito l’approccio più permissivo adottato nel frattempo dalla Corte di Strasburgo nei confronti dei sistemi di mass surveillance[13], è connessa all’importanza dell’obiettivo perseguito: per far fronte a minacce gravi e reali alla sicurezza nazionale, attuali o quanto meno prevedibili, è consentita una conservazione generalizzata anche dei dati sul traffico e sull’ubicazione, ferma la necessità di adeguati controlli indipendenti e di limiti cronologici definiti[14].

Pur a fronte degli esercizi di distinguishing operati dalla Corte di giustizia, il divieto di data retention generalizzata pare rimanere la regola. In particolare, i dati relativi al traffico e alla localizzazione degli utenti non possono essere soggetti a conservazione generalizzata per finalità di accertamento di reati, neppure quando si tratti di contrastare le forme “gravi” di criminalità.

La rigidità di un simile divieto può sorprendere. Si potrebbe infatti essere tentati di sostenere che la previsione di garanzie rafforzate e limitazioni in ordine all’accesso e all’uso dei dati conservati possa “compensare” il carattere indiscriminato della conservazione, mantenendo la limitazione delle prerogative individuali entro i confini della proporzione[15]. A un primo sguardo, del resto, può apparire che l’ingerenza nella privacy si concretizzi nel momento in cui i dati sono esaminati e utilizzati per le finalità che ne hanno motivato la raccolta.

Diametralmente opposto l’approccio progressivamente consolidato dalla Corte di giustizia, che poggia su un’attenta analisi del fenomeno. Una prima notazione è di carattere sistematico: una retention indiscriminata può indurre nella generalità dei consociati una sensazione di sorveglianza permanente, che potrebbe sortire effetti dissuasivi dell’esercizio delle libertà fondamentali degli individui (c.d. chilling effect), in particolare della libertà di espressione sancita dall’art. 11 della Carta[16]. In secondo luogo, la conservazione dei dati, specialmente se idonei a rivelare informazioni dettagliate sulla vita privata degli utenti, non può assumere carattere “neutro”, in quanto li espone a consistenti “rischi di abuso e di accesso illecito”[17]. Risulta evidente, alla luce di tali rilievi, come la conservazione dei dati personali comporti di per sé una grave ingerenza nei diritti fondamentali dei singoli, separata e autonoma rispetto a quella conseguente all’accesso ai medesimi.

Nonostante la chiarezza del divieto, il recepimento sul piano degli ordinamenti nazionali è stato alquanto difficoltoso, andando incontro talvolta a vere e proprie resistenze. In diversi ordinamenti, compreso quello italiano, sono ancora in vigore meccanismi di data retention generalizzata per scopi di accertamento[18], in manifesta violazione delle statuizioni sovranazionali. Non essendo possibile, in queste poche pagine, esaminare la questione sul piano comparatistico, pare quanto meno opportuno soffermarsi sulle conseguenze di tale mancato adeguamento nell’ambito dell’ordinamento processuale italiano. 

3. Il sistema processuale italiano: ricadute applicative e prospettive di adeguamento

Nel sistema nazionale, la data retention è regolata, come noto, dall’art. 132 cod. privacy. Nonostante l’intervento normativo con il quale il legislatore ha tentato di colmare la distanza tra la disciplina interna e i principi sovranazionali, numerosi sono ancora i profili di tensione[19]. Con riferimento all’estensione “quantitativa” della misura, in particolare, gli obblighi di conservazione imposti ai provider di servizi riguardano tutti i dati relativi al traffico telefonico e telematico della generalità degli utenti.

La violazione delle indicazioni provenienti dalla Corte di giustizia è conclamata: sembra quindi ragionevole domandarsi se tale contrasto sia destinato a produrre conseguenze sul piano processuale. Lo ha escluso, dal canto suo, la Cassazione, la quale, pur riconoscendo il vulnus, ha ritenuto la statuizione europea sprovvista dei requisiti di chiarezza, precisione e incondizionatezza che consentirebbero di riconoscerne l’effetto diretto[20]. A ben vedere, la questione non pare così scontata. È appena il caso di osservare che, sussistendo dubbi sull’effetto diretto del divieto, dovrebbe promuoversi un rinvio pregiudiziale sul punto; in alternativa, sarebbe necessario sollevare la questione di legittimità costituzionale del citato art. 132 in riferimento agli articoli 11 e 117 c. 1° Cost., in relazione alle disposizioni europee, in primis gli articoli 7 e 8 della Carta.

Ma vi è di più. Sul piano più strettamente processuale, è stata da tempo prospettata l’operatività, in casi di violazione dei diritti sanciti dal diritto dell’Unione, di una inutilizzabilità di derivazione europea dei dati acquisiti a norma dell’art. 132 cod. privacy[21]. Tale opzione esegetica pare trovare una sponda nei passaggi delle pronunce La Quadrature du Net e Prokuratuur con i quali la Corte di giustizia ha affermato che il principio di effettività impone l’esclusione di prove ottenute “mediante una conservazione generalizzata e indifferenziata dei dati (…) incompatibile con il diritto dell’Unione”[22]. La linearità di tale affermazione è peraltro scalfita dalla successiva precisazione secondo la quale l’obbligo di esclusione si innesca solo ove la difesa non si trovi nella condizione di “svolgere efficacemente le proprie osservazioni”[23], tanto che paiono ancora incerte le potenzialità applicative della statuizione in discorso[24].

Non pare in ogni caso ulteriormente procrastinabile l’adeguamento della normativa interna ai canoni europei. Certo, si tratta di un’operazione tutt’altro che agevole, a fronte delle resistenze, anche culturali, che è necessario affrontare e delle obiettive criticità in sede di attuazione delle coordinate indicate dalla giurisprudenza sovranazionale.

È, in particolare, opinione diffusa che le forme massive di sorveglianza siano indispensabili al fine di tutelare la sicurezza pubblica e di perseguire i fatti di reato. Tale avviso trae vigore, nel contiguo campo della sorveglianza massiva delle conversazioni telefoniche per scopi securitari, dalle pronunce della Corte di Strasburgo che hanno riconosciuto la “vitale importanza” di siffatte misure per la sicurezza degli Stati[25], contribuendo a quella che è stata efficacemente definita la “normalizzazione” della mass surveillance[26]. Quanto alle finalità di accertamento, si è da più parti osservato come privarsi di strumenti quali la data retention massiva comporterebbe non solo una minore efficacia dell’accertamento penale, ma addirittura l’impunità sistemica di talune categorie di reati commessi con l’ausilio di mezzi tecnologici[27].

In questa prospettiva, può apparire che il prezzo da pagare per l’adeguamento ai dicta sovranazionali sia insostenibile sul piano delle istanze di sicurezza pubblica e di accertamento di reati. A ciò si aggiunga che i criteri, di carattere geografico e soggettivo, suggeriti dalla Corte di giustizia al fine di delimitare la conservazione sono di difficile attuazione. Alcuni Stati membri hanno introdotto forme di data retention parametrate sul tasso di criminalità riscontrabile in determinate aree o sui precedenti penali degli utenti “target”[28]. Tuttavia, tali schemi normativi si espongono a critiche non agevolmente superabili, sia dal punto di vista della idoneità a delimitare utilmente la retention, sia, soprattutto, da quello della compatibilità con i criteri di ragionevolezza e non discriminazione.

In realtà, non sembra che gli spazi di manovra dischiusi dalle pronunce dei giudici sovranazionali siano eccessivamente angusti. Come sottolineato dalla stessa Corte di giustizia, l’efficacia delle indagini non dipende da una sola misura, ma da un uso coordinato di tutti gli strumenti investigativi a disposizione delle autorità. In tale prospettiva, va anzitutto ricordato che è consentita la conservazione generalizzata dei dati identificativi e, soprattutto, degli indirizzi IP degli utenti: ciò che dovrebbe essere di per sé sufficiente a scongiurare il rischio di impunità dei reati commessi online. Quanto ai dati sul traffico o sull’ubicazione, esistono forme di conservazione che superano la valutazione di proporzionalità svolta dalla Corte. Ad esempio, dal momento in cui dovessero emergere elementi indicativi dell’utilità di un insieme di dati ai fini dell’accertamento di reati gravi, potrebbe procedersi al c.d. quick freeze dei medesimi, che consiste nella conservazione “rapida” dei dati nella disponibilità dei fornitori di servizi, anche se raccolti per finalità commerciali[29]. Sembrerebbe poi senz’altro compatibile con i principi enunciati dalla Corte di giustizia una disciplina che consentisse all’autorità giudiziaria di disporre la conservazione “mirata” dei dati rispetto ai quali sia ravvisabile in concreto un fumus di utilità ai fini delle indagini[30], fermo restando lo standard probatorio per il successivo ed eventuale accesso ai medesimi.

In definitiva, pur a fronte dei limiti posti dalla giurisprudenza sovranazionale alle forme più intrusive di investigazione e ricerca della prova, pare possibile individuare un punto di equilibrio tra esigenze di accertamento e tutela dei diritti fondamentali. Naturalmente, tale equilibrio non può essere raggiunto per via esegetica: urge un calibrato intervento normativo, in grado di soddisfare le esigenze di legalità imposte tanto dal quadro costituzionale interno quanto dalle fonti sovranazionali.