Corte di giustizia UE/2025

62023CJ0057_RES [OSCURATO:PERSONA]57/23 JH contro [OSCURATO:PERSONA] prezidium (domanda di pronuncia pregiudiziale proposta dal Nejvyšší správní soud) Sentenza della Corte (Quinta Sezione) del 20 novembre 2025 «Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei loro dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e libera circolazione di tali dati – Direttiva (UE) 2016/680 – Articolo 4, paragrafo 1, lettere c) ed e) – Minimizzazione del trattamento dei dati – Limitazione della conservazione dei dati personali – Articolo 10 – Raccolta e conservazione di dati biometrici e genetici – Stretta necessità – Articolo 6, lettera a) – Obbligo di distinguere tra i dati personali di diverse categorie di interessati – Normativa nazionale che prevede la raccolta di dati biometrici e genetici di qualsiasi persona sospettata o accusata di aver commesso un reato doloso – Articolo 5 – Termini adeguati per la cancellazione o per la verifica periodica della necessità della conservazione di tali dati – Assenza di un termine massimo di conservazione – Valutazione della necessità della conservazione di dati biometrici e genetici da parte della polizia sulla base di norme interne – Articolo 8, paragrafo 2 – Liceità del trattamento di tali dati – Nozione di “diritto dello Stato membro” – Possibilità di qualificare la giurisprudenza nazionale come “diritto dello Stato membro”» Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Trattamento vertente su particolari categorie di dati – Autorizzazione di tale trattamento da parte del diritto di uno Stato membro – Nozione di diritto dello Stato membro – Giurisprudenza nazionale che interpreta una disposizione di portata generale – Inclusione – Presupposti (Carta dei diritti fondamentali dell’Unione europea, artt. 8, § 2, e 52; direttiva del Parlamento europeo e del Consiglio 2016/680, considerando 33 e artt. 4, 8 e 10) (v. punti 50-60, dispositivo 1) Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Trattamento vertente su particolari categorie di dati – Normativa nazionale che consente la raccolta indifferenziata di dati biometrici e genetici di qualsiasi persona sospettata o accusata di aver commesso un reato doloso – Ammissibilità – Presupposti [Direttiva del Parlamento europeo e del Consiglio 2016/680, artt. 1, § 1, 4 § 1, b) e c), 6, 8, § 2, e 10] (v. punti 70, 71, 75, 77, 78, 80, 81, 83-89, 94, dispositivo 2) Ravvicinamento delle legislazioni – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Direttiva 2016/680 – Trattamento vertente su particolari categorie di dati – Normativa nazionale che stabilisce la valutazione della necessità della prosecuzione della conservazione di dati biometrici e genetici da parte dei servizi di polizia sulla base di norme interne – Normativa nazionale che non prevede un periodo massimo di conservazione di tali dati – Ammissibilità – Presupposti [Carta dei diritti fondamentali dell’Unione europea, art. 52; direttiva del Parlamento europeo e del Consiglio 2016/680, artt. 4, § 1, c) ed e), 6, 8, § 2, e 16, §§ 2 e 3] (v. punti 101-104, 110, dispositivo 3) [OSCURATO:PERSONA] in via pregiudiziale dal Nejvyšší správní soud (Corte suprema amministrativa, Repubblica ceca), la Corte si pronuncia sulla legittimità, ai sensi della direttiva 2016/680 ( 1 ), della raccolta e della conservazione dei dati biometrici e genetici di qualsiasi persona sospettata o accusata di aver commesso un reato doloso. Con decisione dell’11 dicembre 2015, la polizia ceca ha avviato un procedimento penale nei confronti di JH per il reato di violazione di obbligo nella gestione di patrimonio altrui. Essa ha quindi ascoltato JH nell'ambito del procedimento penale e, nonostante egli si sia opposto, ha proceduto alla realizzazione di diversi atti di identificazione, tra cui un rilevamento delle impronte digitali e un prelievo orale per tipizzazione del profilo genetico ( 2 ). La polizia ceca ha registrato tali informazioni nelle banche dati corrispondenti. Con sentenza pronunciata nel 2017, il Městský soud v Praze (Corte regionale di Praga capitale, Repubblica ceca) ha riconosciuto JH colpevole dei fatti contestati. Nel 2022, lo stesso organo giurisdizionale ha accolto il ricorso proposto da [OSCURATO:PERSONA] nel 2016, dichiarando che gli atti di identificazione, conservazione e registrazione delle informazioni relative a JH da parte della polizia ceca erano illegittimi. Esso ha quindi ordinato alla polizia di cancellare tutti i dati personali di JH che ne derivavano. La polizia ceca ha proposto ricorso per cassazione avverso tale decisione dinanzi al giudice del rinvio. È in tale contesto che la Corte è chiamata a chiarire, in riferimento alla direttiva 2016/680, se la giurisprudenza nazionale possa essere qualificata come «diritto dello Stato membro» per inquadrare il trattamento dei dati personali sensibili, se sia accettabile una normativa nazionale che consente la raccolta di dati biometrici e genetici di qualsiasi persona sospettata o accusata di aver commesso un reato doloso e se possa essere ammessa una normativa nazionale che non prevede alcun periodo massimo di conservazione di tali dati. Giudizio della Corte In primo luogo, la Corte fornisce precisazioni sulla nozione di «diritto dello Stato membro», ai sensi degli articoli 8 e 10 della direttiva 2016/680 che stabiliscono le condizioni di liceità dei trattamenti di dati personali, compresi i dati sensibili, e che prevedono che un tale trattamento possa essere autorizzato dal diritto dello Stato membro. In tale contesto, la Corte ricorda che qualsiasi trattamento di dati personali non effettuato in base al consenso dell'interessato deve essere effettuato in base a un altro fondamento legittimo previsto dalla «legge» ( 3 ), termine che deve essere inteso nella sua accezione sostanziale, e non formale ( 4 ), e come riferito al testo in vigore quale interpretato dai giudici competenti ( 5 ). Peraltro, la condizione posta dall'articolo 52 della Carta, secondo cui qualsiasi limitazione all'esercizio di diritti fondamentali riconosciuti da quest'ultima deve essere prevista dalla legge, non esclude, da un lato, che la limitazione di cui trattasi sia formulata in termini sufficientemente ampi in modo da potersi adattare a fattispecie diverse nonché ai cambiamenti di situazioni e, dall'altro, che il giudice competente possa, se del caso, precisare, in via interpretativa, la portata concreta di detta limitazione sia rispetto ai termini stessi di tale atto che permette l’ingerenza sia rispetto all’impianto sistematico e agli obiettivi che quest’ultimo persegue ( 6 ). La Corte ne conclude che la nozione di «diritto dello Stato membro» deve essere intesa nel senso che essa può riferirsi a una disposizione che prevede espressamente la realizzazione di un trattamento dei dati personali rientrante nell'ambito di applicazione della direttiva 2016/680, come interpretata dalla giurisprudenza dei giudici nazionali. Ciò posto, da un lato, tale riferimento al «diritto» dello Stato membro che «disciplina» il trattamento implica che gli obiettivi, i dati personali da trattare e le finalità siano, almeno in linea di principio, previsti da una disposizione di portata generale. Dall'altro lato, l’articolo 8, paragrafo 2, della direttiva 2016/680 mira a che il diritto dello Stato membro titolare del trattamento sia chiaro e preciso e che la sua applicazione sia prevedibile per coloro che vi sono sottoposti, conformemente alla giurisprudenza della Corte ( 7 ) e della Corte europea dei diritti dell'uomo ( 8 ). Pertanto, la Corte constata che gli articoli 8 e 10 della direttiva 2016/680 devono essere interpretati nel senso che, per quanto riguarda la raccolta, la conservazione e la cancellazione di dati biometrici e genetici, la nozione di «diritto dello Stato membro» ai sensi di tali articoli deve essere intesa nel senso che essa si riferisce a una disposizione di portata generale che enunci le condizioni minime per la raccolta, la conservazione e la cancellazione di tali dati, come interpretata dalla giurisprudenza dei giudici nazionali, purché tale giurisprudenza sia accessibile e sufficientemente prevedibile. In secondo luogo, la Corte esamina la questione se la direttiva 2016/680 ( 9 ) osti a una normativa nazionale che consente indistintamente la raccolta di dati biometrici e genetici di qualsiasi persona sospettata o accusata di aver commesso un reato doloso. Da un lato, la Corte osserva che l'articolo 6 della direttiva 2016/680, che impone agli Stati membri di garantire che il titolare del trattamento stabilisca, «se del caso e nella misura del possibile», una chiara distinzione tra i dati personali delle diverse categorie di interessati in funzione essenzialmente del loro status penale, non osta a una normativa nazionale che consente, indistintamente, la raccolta di dati biometrici e genetici delle persone rientranti nella categoria delle persone «sottoposte a un procedimento penale per un reato doloso» e delle persone rientranti nella categoria delle persone «sospettate di aver commesso un siffatto reato», ai sensi del diritto nazionale, qualora le finalità di tale raccolta non impongano di operare una distinzione tra queste due categorie di persone i cui dati personali possono essere raccolti sul fondamento di tale normativa. Dall'altro lato, la Corte si pronuncia sull'articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, che prevede i principi relativi al trattamento dei dati personali, in combinato disposto con l'articolo 10 di tale direttiva, che riguarda i requisiti particolari applicabili al trattamento di dati personali sensibili, tra cui i dati biometrici e genetici. Essa rileva in particolare che tale trattamento deve essere strettamente necessario e che tale necessità deve essere valutata in modo particolarmente rigoroso alla luce delle finalità perseguite dal trattamento stesso. La Corte constata che la nozione di «finalità del trattamento», anche se non è definita nella direttiva 2016/680, deve essere intesa nel senso che essa si riferisce ai fini specifici e concreti perseguiti da un trattamento di dati personali alla luce del compito di cui è investito il titolare del trattamento, come un compito specifico di prevenzione, indagine, accertamento o perseguimento di reati o di esecuzione di sanzioni penali. In tale contesto, la Corte ricorda i requisiti relativi alla condizione del carattere «strettamente necessario», in particolare la presa in considerazione dell'importanza particolare della finalità perseguita dal trattamento e di tutti gli elementi pertinenti, nonché il controllo rigoroso del rispetto del principio di minimizzazione del trattamento dei dati di cui trattasi ( 10 ). Essa conclude che, se è vero che uno Stato membro può conformarsi alla direttiva 2016/680 delegando alle autorità competenti il compito di provvedere, in ciascun caso di specie, al rispetto della condizione, per qualsiasi trattamento di dati personali sensibili, di rispondere a una stretta necessità, oppure fissando, a livello legislativo, criteri di valutazione che le autorità devono successivamente applicare in modo non discrezionale, ciò non toglie che, in questa seconda ipotesi, tali criteri debbano essere idonei a soddisfare tutti i requisiti derivanti da questa stessa condizione. La Corte ne deduce che l'articolo 6 e l'articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, in combinato disposto con il suo articolo 10, non ostano a una normativa nazionale che consente, indistintamente, la raccolta di dati biometrici e genetici di qualsiasi persona sia accusata o sospettata di aver commesso un reato doloso, purché, da un lato, le finalità di tale raccolta non impongano di stabilire una distinzione tra queste due categorie di persone e, dall’altro, i titolari del trattamento siano tenuti, conformemente al diritto nazionale, compresa la giurisprudenza dei giudici nazionali, a rispettare l’insieme dei principi e dei requisiti specifici enunciati agli articoli 4 e 10 di detta direttiva. In terzo e ultimo luogo, la Corte esamina la questione se i requisiti stabiliti dalla direttiva 2016/680 ostino a una normativa nazionale in virtù della quale la necessità di mantenere la conservazione di dati biometrici e genetici è valutata dai servizi di polizia, sulla base di norme interne, senza che tale normativa preveda un periodo massimo di conservazione. A tal riguardo, da un lato, per quanto riguarda la circostanza che la normativa nazionale non prevede un periodo massimo di conservazione di tali dati, la Corte sottolinea che, qualora uno Stato membro fissi termini adeguati di verifica periodica della necessità di conservare dati personali e, in occasione di tale verifica, debba essere valutata la stretta necessità di proseguire tale conservazione, si deve ritenere che il diritto dello Stato membro interessato soddisfi i requisiti stabiliti dalla direttiva 2016/680. Pertanto, anche quando i dati conservati sono dati personali sensibili, un tale Stato membro non è tenuto a definire limiti temporali assoluti per la conservazione di tali dati, al di là dei quali questi ultimi dovrebbero essere automaticamente cancellati ( 11 ). La Corte precisa, per contro, che l'adeguatezza dei termini di verifica richiede che i dati personali ancora conservati siano cancellati qualora, in occasione di una delle verifiche effettuate, la conservazione degli stessi non appaia più strettamente necessaria. Inoltre, tali termini di verifica non possono essere considerati adeguati se i cambiamenti di status penale dell’interessato, considerati pertinenti alla luce della finalità perseguita da tale conservazione, non comportano un obbligo, per il titolare del trattamento, di riesaminare entro un termine ragionevole la necessità di conservare i dati relativi a tale persona. Dall'altro lato, per quanto riguarda la circostanza che la necessità di mantenere la conservazione di dati biometrici e genetici è valutata dai servizi di polizia sulla base di norme interne, la Corte rileva che tale circostanza non è, di per sé, contraria all'articolo 8, paragrafo 2, della direttiva 2016/680, purché tali norme impongano a questi servizi di garantire il rispetto della condizione relativa all’esistenza di una stretta necessità di conservare tali dati e il margine di discrezionalità di detti servizi sia sufficientemente inquadrato dal diritto nazionale, compresa la giurisprudenza nazionale. Pertanto, la Corte conclude che l'articolo 4, paragrafo 1, lettera e), della direttiva 2016/680 non osta a una normativa nazionale in virtù della quale la necessità di mantenere la conservazione di dati biometrici e genetici è valutata dai servizi di polizia sulla base di norme interne, senza che tale normativa preveda un periodo massimo di conservazione, purché detta normativa fissi termini adeguati di verifica periodica della necessità di conservare tali dati e, in occasione di tale verifica, sia valutata la stretta necessità di proseguire la loro conservazione. ( 1 ) Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU 2016, L 119, pag. 89 ). ( 2 ) Conformemente all'articolo 65 dello zákon č. 273/2008 Sb., o Policii České republiky (legge n. 273/2008 relativa alla polizia della Repubblica ceca), nella versione applicabile al procedimento principale. ( 3 ) Articolo 8, paragrafo 2, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»). ( 4 ) Sentenza del 16 novembre 2023, Roos e a./Parlamento ( C-458/22 P , EU:C:2023:871 , punti 60 e 61 ). ( 5 ) V., in tal senso, Corte EDU, 23 gennaio 2025, H.W. c. Francia, CE:ECHR:2025:0123JUD001380521, § 65. ( 6 ) V., per analogia, sentenza del 21 giugno 2022, Ligue des droits humains ( C-817/19 , EU:C:2022:491 , punto 114 ). ( 7 ) A tal riguardo, v. sentenze dell'8 aprile 2014, [OSCURATO:PERSONA] e a. ( C-293/12 e C-594/12 , EU:C:2014:238 , punto 54 ), e del 6 ottobre 2015, Schrems ( C-362/14 , EU:C:2015:650 , punto 91 ). ( 8 ) V., in tal senso, in particolare, Corte EDU, 26 aprile 1979, [OSCURATO:PERSONA] c. [OSCURATO:PERSONA], CE:ECHR:1979:0426JUD00065387, §§ 25 e 52; Corte EDU, 1 o luglio 2008, Liberty e a. c. [OSCURATO:PERSONA], CE:ECHR:2008:0701JUD005824300, §§ 62 e 63, e Corte EDU, 4 dicembre 2008, S. e Marper c. [OSCURATO:PERSONA] (CE:ECHR:2008:1204JUD003056204, § 95). ( 9 ) In concreto, l'articolo 6 e l'articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, in combinato disposto con l’articolo 10 di quest’ultima. ( 10 ) V., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C-205/21 , EU:C:2023:49 , punti 125 , 127 e 132 ). ( 11 ) V., in tal senso, sentenza del 30 gennaio 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR Sofia ( C-118/22 , EU:C:2024:97 , punto 52 ).