Corte di giustizia UE n. 2019/2024

62022CJ0061_RES Causa C‑61/22 [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] (domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA]) Sentenza della Corte (Grande Sezione) del 21 marzo 2024 «Rinvio pregiudiziale – Regolamento (UE) 2019/1157 – Rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione europea – Validità – Base giuridica – Articolo 21, paragrafo 2, TFUE – Articolo 77, paragrafo 3, TFUE – Regolamento (UE) 2019/1157 – Articolo 3, paragrafo 5 – Obbligo per gli [OSCURATO:PERSONA] membri di inserire nel supporto di memorizzazione delle carte d’identità due impronte digitali in formato interoperativo digitale – Articolo 7 della [OSCURATO:PERSONA] dei diritti fondamentali dell’Unione europea – Rispetto della vita privata e familiare – Articolo 8 della [OSCURATO:PERSONA] dei diritti fondamentali – Tutela dei dati personali – Regolamento (UE) 2016/679 – Articolo 35 – Obbligo di procedere a una valutazione d’impatto sulla protezione dei dati – Mantenimento degli effetti nel tempo di un regolamento dichiarato invalido» Atti delle istituzioni – Scelta della base giuridica – Criteri – Esistenza di una base giuridica specifica – Regolamento sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione – Adozione sul fondamento delle disposizioni specifiche dell’articolo 77, paragrafo 3, TFUE e non dell’articolo 21, paragrafo 2, TFUE (Artt. 21, § 2, e 77, § 3, TFUE; regolamento del Parlamento europeo e del Consiglio 2019/1157) (v. punti 46, 49‑56, 61) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Obbligo, per il titolare di un trattamento di dati personali che può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, di effettuare una previa valutazione dell’impatto – Obbligo che non è destinato ad applicarsi per l’adozione di un regolamento che non procede di per sé ad alcun trattamento di dati personali – Violazione – Insussistenza (Regolamenti del Parlamento europeo e del Consiglio 2016/679, art. 35, §§ 1 e 10, e 2019/1157) (v. punti 66, 67) Diritti fondamentali – [OSCURATO:PERSONA] dei diritti fondamentali – Rispetto della vita privata – Tutela dei dati personali – Acquisizione e memorizzazione delle impronte digitali nelle carte d’identità dei cittadini dell’Unione – Inclusione – Violazione dei diritti riconosciuti dagli articoli 7 e 8 della [OSCURATO:PERSONA] ([OSCURATO:PERSONA] dei diritti fondamentali dell’Unione europea, artt. 7 e 8; regolamento del Parlamento europeo e del Consiglio 2019/1157, art. 3, § 5) (v. punti 70, 72, 73) Diritti fondamentali – [OSCURATO:PERSONA] dei diritti fondamentali – Rispetto della vita privata – Tutela dei dati personali – Regolamento sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione – Acquisizione e memorizzazione delle impronte digitali nelle carte d’identità dei cittadini dell’Unione – Ingerenza nei suddetti diritti fondamentali – Limitazioni all’esercizio di tali diritti – Ammissibilità – Presupposti ([OSCURATO:PERSONA] dei diritti fondamentali dell’Unione europea, artt. 7, 8 e 52, § 1; regolamento del Parlamento europeo e del Consiglio 2019/1157, art. 3, § 5) (v. punti 75, 76, 79, 81, 84, 90‑92, 98‑101, 104, 108‑110, 119, 120, 123, 124) Questioni pregiudiziali – Sindacato di validità – Dichiarazione d’invalidità di un regolamento – Dichiarazione d’invalidità del regolamento sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione – Effetti – Limitazione temporale (Regolamento del Parlamento europeo e del Consiglio 2019/1157) (v. punti 126‑128, dispositivo 1 e 2) [OSCURATO:PERSONA] con un rinvio pregiudiziale da parte del [OSCURATO:PERSONA] (Tribunale amministrativo di [OSCURATO:PERSONA], [OSCURATO:PERSONA]), la Corte, riunita in Grande Sezione, dichiara invalido il regolamento 2019/1157 ( 1 ), sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione, in quanto è stato adottato secondo una base giuridica errata. Essa constata tuttavia che l’inserimento obbligatorio nelle carte d’identità di due impronte digitali, previsto da tale regolamento, è compatibile, in particolare, con i diritti fondamentali al rispetto della vita privata e alla protezione dei dati di carattere personale. La Corte ne mantiene quindi gli effetti fino all’entrata in vigore di un nuovo regolamento, fondato sulla specifica base giuridica adeguata, diretto a sostituirlo. Nel novembre 2021, il ricorrente nel procedimento principale ha chiesto alla città di [OSCURATO:PERSONA] ( 2 ) il rilascio di una nuova carta d’identità che non contenesse le sue impronte digitali. La città di [OSCURATO:PERSONA] ha respinto detta domanda con la motivazione, in particolare, che, a partire dal 2 agosto 2021, l’inserimento di due impronte digitali nel supporto di memorizzazione delle carte d’identità è obbligatorio ai sensi della disposizione di diritto nazionale che traspone, in sostanza, l’articolo 3, paragrafo 5, del regolamento 2019/1157. Il 21 dicembre 2021 il ricorrente nel procedimento principale ha proposto dinanzi al giudice del rinvio un ricorso avverso la decisione della città di [OSCURATO:PERSONA] affinché fosse ingiunto a quest’ultima di rilasciargli una carta d’identità senza che fossero rilevate le sue impronte digitali. Nutrendo dubbi sulla legittimità dei motivi della decisione impugnata, domandandosi, in particolare, se la validità del regolamento 2019/1157 non sia essa stessa contestabile, il giudice del rinvio ha sospeso il procedimento per chiedere alla Corte se tale regolamento sia invalido con la motivazione che, sotto un primo profilo, esso sarebbe stato adottato erroneamente sul fondamento dell’articolo 21, paragrafo 2, TFUE anziché dell’articolo 77, paragrafo 3, TFUE, sotto un secondo profilo, esso violerebbe il regolamento generale sulla protezione dei dati ( 3 ) e, sotto un terzo profilo, esso violerebbe gli articoli 7 e 8 della [OSCURATO:PERSONA] dei diritti fondamentali dell’Unione europea ( 4 ). Giudizio della Corte Sul primo motivo di invalidità, relativo al ricorso a una base giuridica errata Per quanto riguarda i rispettivi ambiti di applicazione dell’articolo 21, paragrafo 2, TFUE e dell’articolo 77, paragrafo 3, TFUE, la Corte rileva che la competenza conferita all’Unione dalla prima di queste due disposizioni ad adottare le disposizioni necessarie al fine di facilitare l’esercizio del diritto dei cittadini dell’Unione di circolare e di soggiornare liberamente nel territorio degli [OSCURATO:PERSONA] membri ( 5 ) viene riconosciuta fatti salvi i poteri di azione previsti a tal fine dai Trattati. Orbene, l’articolo 77, paragrafo 3, TFUE ( 6 ) prevede esplicitamente poteri di azione del genere per quanto riguarda l’adozione di disposizioni relative ai passaporti, alle carte d’identità, ai titoli di soggiorno o altro documento assimilato rilasciati ai cittadini dell’Unione al fine di facilitare l’esercizio del diritto di libera circolazione e di soggiorno. È vero che tale seconda disposizione rientra nel titolo del TFUE dedicato allo spazio di libertà, sicurezza e giustizia, e nel capo intitolato «Politiche relative ai controlli alle frontiere, all’asilo e all’immigrazione». Tuttavia, dall’articolo 77, paragrafo 1, TFUE risulta che l’Unione sviluppa una politica volta a garantire tanto l’assenza di qualsiasi controllo sulle persone, a prescindere dalla nazionalità, all’atto dell’attraversamento delle frontiere interne, quanto il controllo delle persone e la sorveglianza efficace dell’attraversamento delle frontiere esterne, nonché ad instaurare progressivamente un sistema integrato di gestione di tali frontiere. Orbene, le disposizioni ( 7 ) di cui all’articolo 77, paragrafo 3, TFUE costituiscono parte integrante di una tale politica dell’Unione. Per quanto riguarda, infatti, i cittadini dell’Unione, tali documenti consentono loro, in particolare, di attestare la loro qualità di beneficiari del diritto di libera circolazione e di soggiorno, e quindi di esercitare tale diritto. Pertanto, l’articolo 77, paragrafo 3, è idoneo a fondare l’adozione di misure relative a detti documenti quando una tale azione risulti necessaria per facilitare l’esercizio del diritto di libera circolazione e di soggiorno. Tale interpretazione della portata dell’articolo 77, paragrafo 3, TFUE non è inficiata né dall’evoluzione storica dei Trattati in materia di competenza dell’Unione ad adottare misure relative, in particolare, ai passaporti e alle carte d’identità, né dal fatto che tale disposizione prevede che essa si applichi «salvo che i [T]rattati non abbiano previsto poteri di azione a tale scopo». A tale riguardo, la Corte rileva, da un lato, che è vero che il Trattato di Lisbona ha soppresso la disposizione ( 8 ) che escludeva espressamente la possibilità per il legislatore dell’Unione di ricorrere all’articolo 18, paragrafo 2, CE (divenuto articolo 21, paragrafo 2, TFUE) come base giuridica per l’adozione, in particolare, delle «disposizioni relative ai passaporti [e] alle carte d’identità». Tuttavia, al contempo, tale Trattato ha espressamente conferito all’Unione un potere di azione in tale settore, all’articolo 77, paragrafo 3, TFUE, sottoponendo l’adozione delle misure in detto settore a una procedura legislativa speciale e, in particolare, all’unanimità in seno al Consiglio. In tali circostanze, detta soppressione non può implicare che sarebbe d’ora in poi possibile adottare disposizioni relative ai passaporti e alle carte d’identità sul fondamento dell’articolo 21, paragrafo 2, TFUE. Al contrario, secondo la Corte, dall’evoluzione storica risulta che, con l’articolo 77, paragrafo 3, TFUE, gli autori dei Trattati hanno inteso conferire all’Unione, per l’adozione di disposizioni del genere dirette a facilitare l’esercizio del diritto di libera circolazione e di soggiorno, una competenza più specifica rispetto alla competenza più generale prevista dall’articolo 21, paragrafo 2, TFUE. Dall’altro lato, la Corte interpreta la precisazione secondo la quale l’articolo 77, paragrafo 3, TFUE si applica «salvo che i [T]rattati non abbiano previsto poteri di azione a tale scopo», nel senso che i poteri di azione contemplati sono quelli conferiti non già da una disposizione dalla portata più generale, quale l’articolo 21, paragrafo 2, TFUE, bensì da una disposizione ancora più specifica. La Corte ne deduce che il regolamento 2019/1157 poteva essere adottato sul fondamento dell’articolo 21, paragrafo 2, TFUE solo a condizione che la finalità o la componente principale o preponderante di tale regolamento si collocasse al di fuori dell’ambito di applicazione specifico dell’articolo 77, paragrafo 3, TFUE, che riguarda, al fine di facilitare l’esercizio del diritto di libera circolazione e di soggiorno, il rilascio dei passaporti, delle carte d’identità, dei titoli di soggiorno o altro documento assimilato. Orbene, dalla finalità e dalle componenti principali del regolamento 2019/1157 risulta che quest’ultimo rientra nell’ambito di applicazione specifico dell’articolo 77, paragrafo 3, TFUE. Pertanto, adottando tale regolamento sulla base dell’articolo 21, paragrafo 2, TFUE, e in applicazione della procedura legislativa ordinaria, il legislatore dell’Unione ha fatto ricorso a una base giuridica errata, il che è tale da comportare l’invalidità di detto regolamento. Sul secondo motivo di invalidità, vertente sull’inosservanza dell’articolo 35, paragrafo 10, del RGPD Rilevando che il regolamento 2019/1157 non procede ad alcun trattamento applicato a dati personali, ma si limita a prevedere che gli [OSCURATO:PERSONA] membri effettuino determinati trattamenti in caso di domanda di carta d’identità, la Corte constata che l’articolo 35, paragrafo 1, del RGPD ( 9 ) non era destinato ad applicarsi al momento dell’adozione del regolamento 2019/1157. Poiché l’articolo 35, paragrafo 10, del RGPD istituisce una deroga a quest’ultima disposizione, l’adozione del regolamento 2019/1157 non ha potuto avvenire in violazione di detto articolo 35, paragrafo 10. Sul terzo motivo di invalidità, vertente sulla violazione degli articoli 7 e 8 della [OSCURATO:PERSONA] primo luogo, la Corte rileva che l’obbligo di inserire due impronte digitali complete nel supporto di memorizzazione delle carte d’identità rilasciate dagli [OSCURATO:PERSONA] membri, previsto dall’articolo 3, paragrafo 5, del regolamento 2019/1157, costituisce una limitazione tanto del diritto al rispetto della vita privata quanto del diritto alla protezione dei dati di carattere personale, sanciti rispettivamente agli articoli 7 e 8 della [OSCURATO:PERSONA] ( 10 ). Inoltre, tale obbligo implica la previa realizzazione di due trattamenti di dati personali in successione, vale a dire il rilevamento di dette impronte presso l’interessato nonché la loro memorizzazione provvisoria ai fini della personalizzazione delle carte d’identità, che costituiscono anch’essi limitazioni dei diritti sanciti dagli articoli 7 e 8 della [OSCURATO:PERSONA]. In secondo luogo, la Corte esamina se le limitazioni di cui trattasi siano giustificate e proporzionate. A tale riguardo, la Corte dichiara, da un lato, che le limitazioni di cui trattasi soddisfano il principio di legalità e non pregiudicano il contenuto essenziale dei diritti fondamentali sanciti dagli articoli 7 e 8 della [OSCURATO:PERSONA]. Dall’altro lato, per quanto riguarda il principio di proporzionalità, la Corte precisa, anzitutto, che la misura di cui trattasi persegue diverse finalità di interesse generale riconosciute dall’Unione, vale a dire la lotta contro la fabbricazione di carte d’identità false e contro l’usurpazione d’identità, nonché l’interoperabilità dei sistemi di verifica, e che essa è idonea a realizzare tali finalità. L’inserimento delle impronte digitali nelle carte d’identità rende più difficoltosa la fabbricazione di carte d’identità false. Esso consente inoltre di verificare, in modo affidabile, l’autenticità della carta d’identità e l’identità del titolare della carta, riducendo in tal modo il rischio di frode. Quanto alla finalità di interoperabilità dei sistemi di verifica delle carte d’identità, il ricorso alle impronte digitali complete consente di garantire una compatibilità con l’insieme dei sistemi automatizzati di identificazione delle impronte digitali utilizzati dagli [OSCURATO:PERSONA] membri, sebbene detti sistemi non ricorrano necessariamente al medesimo meccanismo di identificazione. La Corte dichiara poi che le limitazioni di cui trattasi rispettano i limiti dello stretto necessario al fine di realizzare le finalità perseguite. Infatti, per quanto concerne il principio stesso di inserire le impronte digitali nel supporto di memorizzazione delle carte d’identità, si tratta di un mezzo affidabile ed efficace per determinare con certezza l’identità di una persona. In particolare, il semplice inserimento di un’immagine del volto costituirebbe un mezzo di identificazione meno efficace rispetto all’inserimento, oltre che di tale immagine, di due impronte digitali, poiché diversi fattori possono alterare le caratteristiche anatomiche del volto. Il procedimento utilizzato per il rilevamento di tali impronte è, inoltre, semplice da attuare. Quanto all’inserimento di due impronte digitali complete piuttosto che di alcuni dei punti caratteristici di tali impronte, oltre al fatto che tale seconda opzione non presenterebbe le stesse garanzie di un’impronta completa, l’inserimento di un’impronta completa è altresì necessario per l’interoperabilità dei sistemi di verifica dei documenti di identificazione. [OSCURATO:PERSONA] membri utilizzano infatti diverse tecnologie di identificazione delle impronte digitali. Il fatto di inserire nel supporto di memorizzazione della carta d’identità solo alcune delle caratteristiche di un’impronta digitale comprometterebbe quindi la realizzazione della finalità di interoperabilità. Infine, la Corte ritiene che, tenuto conto della natura dei dati di cui trattasi, della natura e delle modalità dei trattamenti nonché dei meccanismi di salvaguardia previsti, le limitazioni in tal modo apportate ai diritti fondamentali sanciti dagli articoli 7 e 8 della [OSCURATO:PERSONA] non siano di gravità sproporzionata rispetto all’importanza delle finalità perseguite, ma che, al contrario, la misura di cui trattasi sia fondata su una ponderazione equilibrata tra, da un lato, le finalità da essa perseguite e, dall’altro, i diritti fondamentali coinvolti. ( 1 ) Regolamento (UE) 2019/1157 del Parlamento europeo e del Consiglio, del 20 giugno 2019, sul rafforzamento della sicurezza delle carte d’identità dei cittadini dell’Unione e dei titoli di soggiorno rilasciati ai cittadini dell’Unione e ai loro familiari che esercitano il diritto di libera circolazione ( GU 2019, L 188, pag. 67 ). ( 2 ) [OSCURATO:PERSONA] (città di [OSCURATO:PERSONA], capitale del [OSCURATO:PERSONA], [OSCURATO:PERSONA]). ( 3 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 4 ) In prosieguo: la «[OSCURATO:PERSONA]». Tali disposizioni riguardano, rispettivamente, il rispetto della vita privata e della vita familiare e la protezione dei dati di carattere personale. ( 5 ) Diritto di cui all’articolo 20, paragrafo 2, lettera a), TFUE. In prosieguo: il «diritto di libera circolazione e di soggiorno». ( 6 ) Ai sensi di tale disposizione, «[s]e un’azione dell’Unione risulta necessaria per facilitare l’esercizio del diritto, di cui all’articolo 20, paragrafo 2, lettera a), e salvo che i [T]rattati non abbiano previsto poteri di azione a tale scopo, il Consiglio, deliberando secondo una procedura legislativa speciale, può adottare disposizioni relative ai passaporti, alle carte d’identità, ai titoli di soggiorno o altro documento assimilato. Il Consiglio delibera all’unanimità previa consultazione del Parlamento europeo». ( 7 ) Vale a dire, le disposizioni relative ai passaporti e alle carte d’identità, ai titoli di soggiorno o altro documento assimilato (in prosieguo: le «disposizioni relative ai passaporti e alle carte d’identità»). ( 8 ) Precedentemente contenuta nell’articolo 18, paragrafo 3, CE. ( 9 ) Tale disposizione prevede l’obbligo, per il titolare di un trattamento di dati personali che può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, di effettuare, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. ( 10 ) Tali limitazioni all’esercizio dei diritti fondamentali garantiti dagli articoli 7 e 8 della [OSCURATO:PERSONA], da un lato, e l’obbligo di inserire due impronte digitali complete nel supporto di memorizzazione delle carte d’identità, dall’altro, saranno designati in prosieguo, rispettivamente, con «le limitazioni di cui trattasi» e «la misura di cui trattasi».