Corte di giustizia UE/2026

Edizione provvisoria CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 5 marzo 2026 ( 1 ) [OSCURATO:PERSONA]5/25 [Pilev] ( i ) Procedimento penale a carico di WE con l’intervento di Sofiyska gradska prokuratura [domanda di pronuncia pregiudiziale proposta dal [OSCURATO:PERSONA] gradski sad (Tribunale di [OSCURATO:PERSONA], [OSCURATO:PERSONA])] « Rinvio pregiudiziale – Cooperazione giudiziaria in materia penale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali in materia penale – Trattamenti effettuati dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali – Applicabilità della direttiva (UE) 2016/680 – Verifica dell’identità dell’imputato nell’udienza pubblica – Dati relativi al luogo di nascita, alla cittadinanza, alla residenza, al livello di istruzione, allo stato di famiglia, al casellario giudiziale e all’etnia » Introduzione 1. La presente causa riguarda la portata della raccolta, da parte di un giudice penale nazionale, di dati personali di un imputato al solo scopo di verificare che quest’ultimo sia effettivamente la persona oggetto dell’atto di imputazione. Essa non concerne invece la questione dell’indipendenza del giudice nell’ambito della sua funzione di giudice di merito e il suo potere discrezionale nell’interrogare l’imputato a tale riguardo. 2. Tale causa offre quindi alla Corte l’opportunità di chiarire l’ambito di applicazione della direttiva (UE) 2016/680 ( 2 ) rispetto al regolamento (UE) 2016/679 ( 3 ) e di consolidare la propria giurisprudenza in materia di proporzionalità allo scopo perseguito di un trattamento di raccolta di dati personali da parte di un’autorità giurisdizionale penale. Contesto normativo Direttiva 2016/680 3. L’articolo 1 di tale direttiva, intitolato «Oggetto e obiettivi», al paragrafo 1 prevede quanto segue: «La presente direttiva stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica». 4. L’articolo 2 di detta direttiva, intitolato «Ambito di applicazione», al paragrafo 1 così dispone: «La presente direttiva si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1». 5. L’articolo 3 della direttiva 2016/680, intitolato «Definizioni», è formulato come segue: «Ai fini della presente direttiva, si intende per: (...) 7.      “autorità competente”: a)      qualsiasi autorità pubblica competente in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica; o b)      qualsiasi altro organismo o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica; (...)». 6. Ai sensi dell’articolo 4 di tale direttiva, intitolato «Principi applicabili al trattamento di dati personali»: «1.      [OSCURATO:PERSONA] membri dispongono che i dati personali siano: (...) c)      adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati; (...)». 7. L’articolo 8 di detta direttiva, intitolato «Liceità del trattamento», al paragrafo 1 così dispone: «[OSCURATO:PERSONA] membri dispongono che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente, per le finalità di cui all’articolo 1, paragrafo 1, e si basa sul diritto dell’Unione o dello Stato membro». 8. L’articolo 10 della direttiva 2016/680, intitolato «Trattamento di categorie particolari di dati personali», è così formulato: «Il trattamento di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o di dati relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto: a)      se autorizzato dal diritto dell’Unione o dello Stato membro; b)      per salvaguardare un interesse vitale dell’interessato o di un’altra persona fisica; o c)      se il suddetto trattamento riguarda dati resi manifestamente pubblici dall’interessato». Diritto bulgaro Codice di procedura penale (NPK) 9. L’articolo 138, paragrafi 2 e 3, del nakazatelno-protsesualen kodeks (codice di procedura penale) ( 4 ), del 29 aprile 2006 (in prosieguo: il «NPK»), è così formulato: «(...) (2)      Prima dell’interrogatorio, l’organo competente accerta l’identità dell’imputato. (3)      L’interrogatorio dell’imputato inizia con la domanda se egli comprenda l’imputazione; dopodiché egli viene invitato, se lo desidera, a esporre con parole proprie tutto quello che sa riguardo alla causa». 10. L’articolo 272, paragrafo 1, NPK così recita: «Il Presidente verifica l’identità dell’imputato, chiedendogli i suoi tre nomi, la data e il luogo di nascita, l’etnia, la cittadinanza, la residenza, il livello di istruzione, lo stato di famiglia, il numero di identificazione personale e il casellario giudiziale». 11. L’articolo 311, paragrafo 1, punto 2, NPK dispone quanto segue: «Il verbale d’udienza (...) contiene (...) i dati sulla persona dell’imputato». Legge sullo stato civile (ZGR) 12. Lo zakon za grazhdanskata registratsia (legge sullo stato civile) ( 5 ), del 27 luglio 1999 (in prosieguo: lo «ZGR»), dispone, all’articolo 8, paragrafo 1, che i dati principali relativi allo stato civile delle persone sono il loro nome, data (giorno, mese, anno) e luogo di nascita, sesso, cittadinanza e numero di identificazione personale. Legge sui documenti d’identità bulgari (ZBLD) 13. Lo zakon za balgarskite lichni dokumenti (legge sui documenti d’identità bulgari) ( 6 ), del 1º aprile 1999 (in prosieguo: lo «ZBLD»), all’articolo 3, paragrafo 1, prevede quanto segue: «I documenti di identità, tramite i dati in essi contenuti, certificano l’identità e, se del caso, la cittadinanza». 14. L’articolo 6 dello ZBLD così dispone: «I cittadini sono tenuti, su richiesta dei funzionari competenti stabiliti dalla legge, a dimostrare la propria identità». 15. L’articolo 16, paragrafo 1, dello ZBLD è così formulato: «I documenti d’identità bulgari contengono i seguenti dati personali obbligatori: 1.      nomi; 2.      data di nascita; 3.      numero di identificazione personale (numero di identificazione o numero di identificazione straniero); 4.      sesso; 5.      cittadinanza». Legge sull’ordinamento giudiziario (ZSV) 16. Lo zakon za sadebnata vlast (legge sull’ordinamento giudiziario) ( 7 ), (in prosieguo: lo «ZSV»), all’articolo 8, paragrafo 2, prevede quanto segue: «Nell’esercizio delle funzioni giurisdizionali (...) non è ammesso limitare diritti o concedere vantaggi sulla base (...) dell’etnia (...)». Procedimento principale , questione pregiudiziale e procedimento dinanzi alla Corte 17. [OSCURATO:PERSONA] gradski sad (Tribunale di [OSCURATO:PERSONA], [OSCURATO:PERSONA]), giudice del rinvio, ha ricevuto dalla Sofiyska gradska prokuratura (Procura della città di [OSCURATO:PERSONA], [OSCURATO:PERSONA]) un atto di imputazione che accusa una persona fisica, da un lato, di aver corrotto alcuni agenti di polizia, il 6 settembre 2023 a [OSCURATO:PERSONA], affinché gli stessi non redigessero un verbale di accertamento di un illecito da essa commesso, in particolare la guida di un’automobile senza patente e, dall’altro, di avere esercitato, nello stesso momento e nel medesimo luogo, la professione di tassista senza essere in possesso della necessaria licenza. Secondo l’accusa, tali fatti costituiscono reati. 18. Alla prima udienza, tenutasi il 5 luglio 2024, sono comparsi un rappresentante della Procura della città di [OSCURATO:PERSONA], l’imputato e il suo difensore. Il giudice del rinvio ha avviato il procedimento e, ai sensi dell’articolo 272, paragrafo 1, NPK, il presidente di sezione doveva accertare l’identità dell’imputato interrogandolo sulle circostanze indicate in tale disposizione. 19. Sulla base del documento d’identità presentato dall’imputato, il presidente di sezione si è accertato che la persona comparsa dinanzi a lui fosse la persona indicata come imputato nell’atto di imputazione. Tuttavia, egli si è astenuto dal porre all’imputato le domande sulla sua identità previste dall’articolo 272, paragrafo 1, NPK, poiché il procedimento è stato sospeso. 20. Il giudice del rinvio ha chiesto al Konstitutsionen sad (Corte costituzionale, [OSCURATO:PERSONA]) di dichiarare l’incompatibilità dell’articolo 272, paragrafo 1, NPK con talune disposizioni della Konstitutsia na [OSCURATO:PERSONA] (Costituzione della Repubblica di [OSCURATO:PERSONA]) ( 8 ). Poiché tale Corte ha rifiutato di pronunciarsi nel merito, il giudice del rinvio ha deciso di sottoporre la presente domanda di pronuncia pregiudiziale. 21. Il giudice del rinvio sottolinea che – sebbene esso possa identificare l’imputato in modo sufficientemente certo visionando, come ha fatto nel corso della prima udienza, il documento di identità di quest’ultimo, che contiene tutti i dati identificativi necessari – la richiesta di informazioni relative ai dati identificativi prevista all’articolo 272, paragrafo 1, NPK è utile affinché la persona comparsa, con le sue risposte, dimostri con maggiore certezza di essere effettivamente l’imputato, vale a dire che il documento di identità utilizzato non appartiene a qualcun altro e non è falsificato. Tuttavia, esso rileva che, al fine di identificare la persona comparsa, è sufficiente chiederle il suo nome completo, la sua data di nascita e il suo numero di identificazione personale. 22. Di conseguenza, il giudice del rinvio nutre dubbi in merito alla questione se, interrogando la persona comparsa dinanzi ad esso, in udienza pubblica, sugli altri elementi di cui all’articolo 272, paragrafo 1, NPK – ossia il luogo di nascita, l’etnia, la cittadinanza, la residenza, il livello di istruzione, lo stato di famiglia e il casellario giudiziale – e registrando le risposte orali nel verbale d’udienza, esso violi il requisito della necessità del trattamento dei dati personali previsto dalla direttiva 2016/680. Poiché tali altri elementi non sono necessari per l’identificazione certa e completa dell’imputato, sarebbe eccessivo raccoglierli, tenuto conto della finalità dell’articolo 272, paragrafo 1, NPK, vale a dire l’identificazione dell’imputato. 23. Il giudice del rinvio rileva che una parte dei dati personali di cui all’articolo 272, paragrafo 1, NPK può essere utilizzata per altri scopi. Infatti, il luogo di residenza può servire a determinare l’indirizzo al quale inviare la citazione a comparire, mentre il casellario giudiziale può essere importante ai fini dell’individualizzazione della pena. 24. Tuttavia, il giudice del rinvio sottolinea, in sostanza, che tali dati, raccolti prima dell’inizio dell’istruttoria giudiziaria, non riguardano l’identificazione dell’imputato. Inoltre, non sarebbe sufficiente interrogare l’imputato e registrare le sue risposte per dimostrare tali circostanze in modo affidabile. Infine, ai sensi del diritto nazionale, le informazioni rivelate nel corso dell’identificazione della persona comparsa non possono essere utilizzate ai fini dell’emissione della decisione nel merito. Il giudice accerta anzitutto l’identità della persona comparsa e poi la informa dei suoi diritti. Di conseguenza, tali informazioni (etnia, casellario giudiziale, stato civile, livello di istruzione) non avrebbero valore probatorio. 25. Pertanto, il giudice del rinvio esprime dubbi sul fatto che l’articolo 272, paragrafo 1, NPK soddisfi i requisiti di cui all’articolo 4, paragrafo 1, lettera c), e all’articolo 8, paragrafo 1, della direttiva 2016/680. A suo avviso, la raccolta, la registrazione nel verbale d’udienza e, in seguito, la conservazione nel fascicolo di causa dei dati personali relativi al luogo di nascita, all’etnia, alla cittadinanza, al luogo di residenza, al livello di istruzione, allo stato di famiglia e al casellario giudiziale sono eccessive rispetto alle finalità del procedimento penale. Esso dubita inoltre della conformità dell’articolo 272, paragrafo 1, NPK, nella sua parte relativa alle informazioni sull’etnia dell’imputato, all’articolo 10 della direttiva 2016/680, poiché tali informazioni rivelano l’origine etnica di quest’ultimo. 26. In tali circostanze, il [OSCURATO:PERSONA] gradski sad (Tribunale di [OSCURATO:PERSONA]) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale: «Se una normativa nazionale – l’articolo 272, paragrafo 1, [NPK] – secondo cui, per l’accertamento dell’identità dell’imputato, vengono sottoposti a trattamento (raccolti, registrati, conservati) i suoi dati personali relativi al luogo di nascita, all’etnia (“narodnost”), alla cittadinanza, alla residenza, al livello di istruzione, allo stato di famiglia e al casellario giudiziale, sia compatibile con l’articolo 4, paragrafo 1, lettera [c], con l’articolo 8, paragrafo 1, e con l’articolo 10 (...) della direttiva 2016/680, qualora i dati personali in tal modo raccolti non siano in alcun modo necessari ai fini del procedimento penale». 27. [OSCURATO:PERSONA] europea ha depositato osservazioni scritte e ha inoltre presentato osservazioni orali all’udienza tenutasi pubblicamente il 3 dicembre 2025. Analisi 28. Sebbene dalla domanda di pronuncia pregiudiziale risulti che il giudice del rinvio considera assodato che la normativa nazionale controversa rientri nell’ambito di applicazione della direttiva 2016/680, prima di esaminare nel merito la questione sollevata dal giudice del rinvio, occorre analizzare la questione dell’applicabilità della direttiva 2016/680, questione alla quale è stata del resto in gran parte dedicata l’udienza. Sull’applicabilità della direttiva 2016/680 29. Anzitutto, nel procedimento principale non si pone la questione se si sia in presenza di un «trattamento di dati personali». Infatti, dalla domanda di pronuncia pregiudiziale risulta che i dati identificativi personali di cui trattasi sono raccolti, registrati nel verbale d’udienza e conservati nel fascicolo. Per di più, anche se si ritenesse che i dati siano stati raccolti in precedenza dall’autorità competente ai sensi del diritto nazionale ( 9 ), la nozione di «trattamento» è ampia e include la consultazione e la conservazione da parte del giudice del rinvio. La condizione relativa alla presenza di un «trattamento di dati personali» è quindi soddisfatta. 30. Inoltre, dalla formulazione dell’articolo 2, paragrafo 1, della direttiva 2016/680, in combinato disposto con l’articolo 1, paragrafo 1, di tale direttiva, risulta che sono richieste due condizioni affinché un trattamento di dati personali rientri nell’ambito di applicazione di detta direttiva. Da un lato, tale trattamento deve essere effettuato da un’ autorità competente , ai sensi dell’articolo 3, paragrafo 7, della medesima direttiva e, dall’altro, detto trattamento deve essere effettuato per uno dei fini elencati all’articolo 1, paragrafo 1, della direttiva 2016/680, vale a dire «prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica». Viceversa, il RGPD, che costituisce la lex generalis in materia di trattamento di dati personali, esclude dal proprio ambito di applicazione i trattamenti effettuati dalle «autorità competenti» a tali fini ( 10 ), poiché, in materia, è la direttiva 2016/680 la lex specialis applicabile ( 11 ). 31. Da un lato, per quanto riguarda la questione se un’ autorità giurisdizionale possa rientrare nell’ambito di applicazione ratione personae della direttiva 2016/680, la risposta è, a mio avviso, affermativa. Infatti, l’articolo 3, paragrafo 7, lettera a), di tale direttiva può riferirsi, con l’espressione «autorità pubblica competente», non solo alle autorità di polizia, ma anche alle autorità giurisdizionali penali nazionali ( 12 ). Una siffatta constatazione, sebbene non derivi esplicitamente dalla definizione della nozione di «autorità pubblica competente», si deduce logicamente dal contesto nel quale si colloca detta disposizione e, in particolare, da diverse disposizioni della direttiva 2016/680. 32. Infatti, ai sensi dell’articolo 32, paragrafo 1, di tale direttiva, gli [OSCURATO:PERSONA] membri dispongono che il titolare del trattamento designi un responsabile della protezione dei dati e possono esentare da tale obbligo le autorità giurisdizionali e le altre autorità giudiziarie indipendenti «quando esercitano le loro funzioni giurisdizionali». Analogamente, l’articolo 45, paragrafo 2, di tale direttiva, letto alla luce del considerando 80 della stessa ( 13 ), si riferisce espressamente alle autorità giurisdizionali nazionali escludendo qualsiasi competenza dell’autorità di controllo per quanto riguarda i trattamenti effettuati dalle «autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali» ( 14 ), al fine di non interferire con le norme specifiche della procedura penale e con l’indipendenza della magistratura. 33. Tali disposizioni confermano che le autorità giurisdizionali sono soggette, nell’esercizio delle loro funzioni giurisdizionali, agli obblighi imposti dalla direttiva 2016/680, fermo restando che la loro indipendenza e la loro imparzialità sono preservate in tale ambito ( 15 ). 34. Inoltre, le autorità giudiziarie sono esplicitamente menzionate nel considerando 11 della direttiva 2016/680, secondo il quale «[t]ali autorità competenti possono includere (...) autorità pubbliche quali le autorità giudiziarie». I considerando 20, 49, 107 e l’articolo 18 di tale direttiva ( 16 ) rinviano parimenti al trattamento dei dati personali effettuato «da autorità giurisdizionali e da altre autorità giudiziarie, in particolare per quanto riguarda dati personali contenuti in una decisione giudiziaria o in documentazione relativa a procedimenti penali»( 17 ). 35. Pertanto, le autorità giurisdizionali nazionali devono essere considerate «autorità pubbliche competenti» ai sensi della direttiva 2016/680 e soggette alle disposizioni di tale direttiva quando trattano dati personali nelle decisioni giudiziarie o nei documenti relativi ai procedimenti penali ( 18 ). 36. D’altro lato, la questione più delicata che si pone è se un trattamento effettuato da un giudice nell’ambito di un procedimento giurisdizionale penale possa essere considerato rientrante ratione materiae nell’ambito di applicazione della direttiva 2016/680. Tale questione – per quanto mi risulta, inedita ( 19 ) – equivale a chiedersi se detto trattamento persegua o meno uno dei fini elencati all’articolo 1, paragrafo 1, e all’articolo 3, paragrafo 7, lettera a), di tale direttiva e, in particolare, quello di «perseguimento di reati». 37. Ricordo che la Corte ha già dichiarato, nella sentenza Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale) ( 20 ), che i fini menzionati all’articolo 1 della direttiva 2016/680 costituiscono fini distinti di «prevenzione», di «indagine», di «accertamento», di «perseguimento» di reati e di «esecuzione di sanzioni penali». Tale sentenza ha quindi consentito di chiarire che il legislatore dell’Unione ha inteso adottare norme corrispondenti alle specificità che caratterizzano le attività svolte dalle autorità competenti nel settore disciplinato da tale direttiva, tenendo conto al contempo del fatto che esse costituiscono attività distinte che perseguono finalità che sono loro proprie ( 21 ). 38. È ben vero che, come affermato dall’avvocato generale [OSCURATO:PERSONA]Bordona nelle sue conclusioni, la nozione di «perseguimento» si riferisce ad un’attività che, salvo che nella versione in lingua spagnola di detta direttiva, precede il procedimento giurisdizionale ( 22 ). D’altronde, fatte salve le differenze esistenti negli ordinamenti giuridici degli [OSCURATO:PERSONA] membri, tale termine indica generalmente l’insieme degli atti e dei procedimenti compiuti dal pubblico ministero (procura o procuratore) nei confronti di una persona sospettata di aver commesso un reato, al fine di farla giudicare per stabilirne la colpevolezza o l’innocenza ( 23 ). 39. Tuttavia, per determinare l’ambito di applicazione ratione materiae della direttiva 2016/680, ritengo che, anziché cercare di distinguere il ruolo dell’«autorità di perseguimento» da quello del giudice nell’ambito del procedimento giurisdizionale penale, sia più pertinente intendere la nozione di «perseguimento» sotto il profilo della finalità del perseguimento in materia penale. Le norme di tale direttiva si applicano infatti all’attività di trattamento di dati personali «a fini» di perseguimento di reati. 40. Orbene, una siffatta accezione finalistica implica, a mio avviso, un’interpretazione estensiva della nozione di «attività di perseguimento», tale da includere alcune delle attività delle autorità giurisdizionali penali svolte nell’ambito di un procedimento giurisdizionale. Infatti, i trattamenti di dati personali effettuati da un giudice nell’ambito di un procedimento giurisdizionale penale possono, in talune circostanze che dipendono in particolare dai sistemi processuali nazionali ( 24 ), essere considerati idonei a dimostrare la sufficiente forza probatoria dei fatti ascritti all’imputato e l’esattezza della qualificazione penale di tali fatti, in modo da condurre, in fine , alla sentenza ( 25 ). In tal senso, detti trattamenti di dati da parte del giudice titolare del trattamento possono considerarsi effettuati «ai fini del perseguimento», ai sensi delle disposizioni pertinenti della direttiva 2016/680. 41. In tale contesto, l’attività di «perseguimento» può includere non solo l’indagine condotta dalla polizia e la decisione di perseguire o meno adottata dal procuratore, ma anche l’istruttoria, il rinvio dinanzi a un giudice e, se del caso, un procedimento giurisdizionale penale come quello di cui trattasi nel procedimento principale. 42. Rilevo peraltro che, come risulta dalla domanda di pronuncia pregiudiziale, dopo l’indagine di polizia, il giudice del rinvio, investito dell’atto di imputazione della procura, continua il procedimento ed esercita esso stesso un’attività di indagine giurisdizionale ( 26 ), che inizia con la verifica dell’identità dell’imputato ai sensi dell’articolo 272 NPK e prosegue con la sentenza di merito emessa dal medesimo giudice. Quest’ultimo ha quindi il compito di «condurre il procedimento giudiziario nell’ambito dell’esercizio dell’azione penale sulla base di un’imputazione formulata dal procuratore». Si tratta, secondo il giudice del rinvio, della fase giurisdizionale del procedimento penale avviato per il perseguimento di reati. In tale contesto, la nozione di «attività di perseguimento» esercitata nell’ambito del procedimento giurisdizionale penale acquisisce pieno significato. 43. Aggiungo che tale interpretazione estensiva della nozione di «attività di perseguimento», oltre a presentare il vantaggio di essere compatibile con i diversi sistemi nazionali in materia penale, non contrasta con il principio secondo cui le eccezioni all’applicazione del RGPD – lex generalis – devono essere interpretate in modo restrittivo ( 27 ). Infatti, detta interpretazione comporta non già la sottrazione del procedimento giurisdizionale penale alla normativa in materia di protezione dei dati personali, bensì l’applicazione allo stesso della lex specialis in materia, specificamente prevista all’articolo 2, paragrafo 2, lettera d), del RGPD. 44. Infine, ritengo che l’interpretazione finalistica della nozione di «attività di perseguimento» derivi dalla genesi della direttiva 2016/680 e corrisponda ai suoi obiettivi. 45. In primo luogo, infatti, per quanto riguarda la genesi della direttiva 2016/680, rilevo che, con l’entrata in vigore del Trattato di Lisbona, l’articolo 16 TFUE è apparso come la base giuridica rilevante per rivedere la decisione quadro 2008/977/GAI ( 28 ). Come ricorda il considerando 10 della direttiva 2016/680, nella dichiarazione n. 21, relativa alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, allegata all’atto finale della Conferenza intergovernativa che ha adottato il trattato di Lisbona ( 29 ), la Conferenza ha riconosciuto che avrebbero potuto rivelarsi necessarie, in considerazione della specificità dei settori in questione, norme specifiche sulla protezione dei dati personali e sulla libera circolazione di dati personali nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, in base all’articolo 16 TFUE. [OSCURATO:PERSONA] ha quindi proposto due testi, uno generale sotto forma di regolamento, che sarebbe divenuto il RGPD, e l’altro specifico per la protezione dei dati nell’ambito penale ( 30 ), ritenuto più sensibile e quindi oggetto di una direttiva da recepire da parte degli [OSCURATO:PERSONA] membri, che sarebbe divenuto la direttiva 2016/680, applicabile a tutti gli atti che possano essere compiuti dagli attori della giustizia penale, indipendentemente dal fatto che tali atti abbiano o meno una dimensione transfrontaliera ( 31 ). 46. L’approccio dell’Unione è quindi consistito nel distinguere il trattamento dei dati nel contesto di polizia e penale dagli altri trattamenti di dati personali, in modo da tenere conto della specificità del settore contemplato dalla direttiva 2016/680, vale a dire la protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, come risulta dai considerando 10 e 11 di tale direttiva. 47. In secondo luogo, per quanto riguarda gli obiettivi della direttiva 2016/680, essa mira in particolare, come risulta dai suoi considerando 4, 7 e 15, ad assicurare un livello uniforme ed elevato di protezione dei dati personali delle persone fisiche e a facilitare lo scambio di tali dati tra le autorità competenti degli [OSCURATO:PERSONA] membri, al fine di garantire un’efficace cooperazione giudiziaria in materia penale e di polizia. 48. Si noti che, come sottolineato in dottrina, il duplice regime di protezione dei dati può essere fonte di difficoltà non trascurabili nel determinare quale sia lo strumento pertinente tra il RGPD e la direttiva 2016/680 ( 32 ). 49. È quindi tanto più importante che, nell’ambito di un medesimo procedimento penale, il trattamento dei dati personali non sia soggetto a due testi diversi, per il solo motivo che tali trattamenti sono stati effettuati da autorità di contrasto differenti in fasi diverse di tale medesimo procedimento. Infatti, se le autorità giurisdizionali penali che statuiscono nel procedimento penale fossero escluse dall’ambito di applicazione della direttiva 2016/680, si avrebbe, come ha sottolineato la [OSCURATO:PERSONA] in udienza, un regime frammentato in base al quale nel medesimo procedimento penale potrebbero essere applicati due testi, a seconda della fase procedurale in questione. 50. A mio avviso, un siffatto approccio contrasterebbe non solo con il principio della certezza del diritto ( 33 ), ma anche con la protezione omogenea e coerente dei dati personali. 51. Inoltre, in taluni casi, le autorità di contrasto dispongono di maggiore flessibilità nell’esercizio delle loro funzioni nell’ambito della direttiva 2016/680 anziché nell’ambito del RGPD ( 34 ). In particolare, il trattamento delle «categorie particolari di dati personali», che includono i cosiddetti dati «sensibili», è autorizzato solo se strettamente necessario dall’articolo 10 di detta direttiva, mentre è vietato dall’articolo 9, paragrafo 1, del RGPD, salvo eccezioni previste dal paragrafo 2. Analogamente, l’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, relativo al principio di minimizzazione dei dati, dispone che i dati personali devono essere adeguati, pertinenti e non eccedenti, mentre l’articolo 5, paragrafo 1, lettera c), del RGPD prevede che essi devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. 52. L’applicazione della direttiva 2016/680 durante l’intero procedimento penale è quindi tanto più giustificata in quanto le norme in materia di protezione dei dati personali possono differire, sotto taluni aspetti, da quelle del RGPD. 53. Infine, un approccio frammentato al procedimento penale si concilia difficilmente con l’obiettivo, ricordato al considerando 7 della direttiva 2016/680, di facilitare lo scambio di dati personali tra le autorità competenti degli [OSCURATO:PERSONA] membri al fine di garantire un’efficace cooperazione giudiziaria in materia penale e di polizia. 54. Da tutto quanto precede risulta che il trattamento dei dati personali effettuato da un giudice nazionale nell’ambito dell’esame di un procedimento penale rientra nell’ambito di applicazione della direttiva 2016/680 in quanto trattamento effettuato da un’autorità competente ai fini del perseguimento di reati. Nel merito 55. Il giudice del rinvio chiede, in sostanza, se l’articolo 4, paragrafo 1, lettera c), l’articolo 8, paragrafo 1, e l’articolo 10 della direttiva 2016/680 ostino a una normativa nazionale che prevede la verifica sistematica, da parte del giudice penale, di tutte le informazioni di cui all’articolo 272, paragrafo 1, NPK, ai soli fini dell’identificazione dell’imputato nell’ambito di un procedimento giurisdizionale penale ( 35 ). 56. Ricordo che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), non sono prerogative assolute. Possono quindi esservi apportate limitazioni, a condizione che, conformemente all’articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità ( 36 ). 57. Il principio di minimizzazione dei dati, previsto all’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, e il principio di liceità del trattamento, previsto all’articolo 8, paragrafo 1, di tale direttiva, impongono pertanto agli [OSCURATO:PERSONA] membri di prevedere che i dati personali di cui trattasi siano adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati e che il trattamento sia necessario alla luce delle finalità perseguite, conformemente al principio di proporzionalità. 58. Inoltre, l’articolo 10 della direttiva 2016/680, che costituisce una disposizione specifica che disciplina i trattamenti di categorie particolari di dati personali, e segnatamente dei dati che rivelano l’origine razziale o etnica, mira a garantire una maggiore protezione dell’interessato, in quanto, a causa della loro particolare sensibilità e del contesto in cui sono trattati, i dati in questione possono creare, come risulta dal considerando 37 di tale direttiva, rischi significativi per i diritti e le libertà fondamentali, quali il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta ( 37 ). 59. Nel caso di specie, il giudice del rinvio ha il compito di condurre il procedimento giudiziario nell’ambito dell’esercizio dell’azione penale, a seguito di un’imputazione formulata dal procuratore. Per adempiere tale compito, esso deve accertare formalmente l’identità della persona comparsa e, in particolare, verificare che si tratti effettivamente dell’imputato nei confronti del quale è stata formulata l’imputazione ( 38 ). Ai fini della verifica dell’identità dell’imputato, l’articolo 272, paragrafo 1, NPK impone al giudice del rinvio di chiedere sistematicamente alla persona che compare nell’ambito di ciascuna causa una serie di dati personali, e precisamente i suoi tre nomi, la data e il luogo di nascita, l’etnia, la cittadinanza, la residenza, il livello di istruzione, lo stato di famiglia e il numero di identificazione personale nonché il casellario giudiziale. 60. L’obiettivo di verificare l’identità dell’imputato è, in quanto tale, legittimo e può corrispondere ad un interesse generale riconosciuto dall’Unione, ai sensi dell’articolo 52, paragrafo 1, della Carta, in particolare di evitare qualsiasi errore riguardo alla persona che compare in giudizio. 61. Spetta quindi al giudice del rinvio verificare se la raccolta dei dati di cui trattasi sia, in primo luogo, idonea a contribuire al conseguimento dell’obiettivo perseguito di verifica dell’identità, se essa sia, in secondo luogo, necessaria, il che implica che non esistano misure alternative meno lesive dei diritti al rispetto della protezione dei dati personali, ma altrettanto efficaci per raggiungere l’obiettivo invocato ( 39 ), e se essa sia, in terzo luogo, proporzionata a tale obiettivo, il che implica un contemperamento equilibrato tra, da un lato, l’obiettivo di interesse generale perseguito e, dall’altro, i diritti della persona i cui dati personali sono raccolti ( 40 ), mentre la Corte è competente a fornirgli gli elementi interpretativi utili. 62. Rilevo che la questione sollevata non riguarda la raccolta di taluni dati relativi allo stato civile e identificativi quali i nomi, la data di nascita e il numero di identificazione personale. D’altronde, tali dati costituiscono tradizionalmente elementi di identificazione, anche ai sensi della normativa bulgara in materia di stato civile e di documenti d’identità ( 41 ). 63. Invece, il giudice del rinvio si pone la questione della proporzionalità della raccolta sistematica di talune informazioni quali, in primo luogo, il luogo di nascita e la cittadinanza, in secondo luogo, il luogo di residenza, il livello di istruzione, lo stato di famiglia e il casellario giudiziale nonché, in terzo luogo, l’etnia, informazioni che occorre esaminare in successione. 64. In primo luogo, alcuni di tali dati, quali il luogo di nascita e la cittadinanza, costituiscono «dati principali relativi allo stato civile» ( 42 ). Essi consentono pertanto di controllare l’identità della persona oggetto dell’atto di imputazione e di evitare qualsiasi errore. Inoltre, ponderati gli interessi in gioco, l’ingerenza nel diritto alla vita privata e alla protezione dei dati personali determinata dalla raccolta di tali informazioni non appare sproporzionata rispetto all’obiettivo perseguito di verifica dell’identità. 65. In secondo luogo, per quanto riguarda la raccolta di dati supplementari relativi al livello di istruzione, allo stato di famiglia, al luogo di residenza e al casellario giudiziale, come ricordato dal giudice del rinvio e dalla [OSCURATO:PERSONA] nelle loro osservazioni scritte, essa può essere rilevante per fini diversi dall’identificazione. Infatti, il livello di istruzione e lo stato di famiglia possono rilevare ai fini dell’individualizzazione della pena. Il luogo di residenza può incidere ai fini del trasferimento dell’esecuzione della pena in un altro Stato. Analogamente, il casellario giudiziale può consentire di constatare la sussistenza o meno di una recidiva. Tuttavia, da un lato, come risulta dalle norme procedurali bulgare, tali informazioni, raccolte dal presidente di sezione in tale fase della verifica dell’identità della persona comparsa dinanzi a lui, non possono essere utilizzate per emettere la decisione nel merito e non hanno valore probatorio. D’altro lato, e in ogni caso, non sarebbe sufficiente interrogare l’imputato e registrare le sue risposte per stabilire l’affidabilità di tali dati. Infatti, dovrebbero essere consultati o prodotti documenti ufficiali come il casellario giudiziale, lo stato civile o il conseguimento di un diploma. 66. Alla luce di tali circostanze, ritengo che una normativa che impone, in modo indifferenziato e generalizzato, di interrogare sistematicamente qualsiasi imputato per quanto riguarda detti dati supplementari, e successivamente di registrare le risposte nel verbale, possa andare al di là di quanto necessario ai fini della mera finalità della sua identificazione. La necessità dell’identificazione non impone, a mio avviso, di trattare sistematicamente tutte le categorie di dati elencate, ma soltanto quelle che, alla luce delle circostanze concrete, siano necessarie per dissipare ogni ragionevole dubbio sull’identità della persona comparsa, ciò che spetta al giudice nazionale valutare. 67. Peraltro, pur ammettendo che taluni dati relativi al livello di istruzione, allo stato di famiglia, al luogo di residenza e al casellario giudiziale possano, in certi casi, essere necessari all’identificazione dell’imputato, il principio di proporzionalità implica comunque che si effettui una ponderazione di tutti gli elementi rilevanti tenendo conto, da un lato, dell’importanza dell’obiettivo di interesse generale perseguito e, dall’altro, della gravità dell’ingerenza nei diritti fondamentali e nella protezione dei dati personali dell’interessato ( 43 ). Orbene, la circostanza che tali dati siano sistematicamente richiesti, unita al fatto che tale raccolta avvenga nell’ambito di un’udienza pubblica e che detti dati siano registrati nel verbale e poi conservati nel fascicolo accessibile alle parti, può costituire un’ingerenza che va al di là di quanto necessario per l’identificazione in tale fase preliminare del procedimento penale. 68. In terzo luogo, per quanto riguarda il dato relativo all’«etnia», va ricordato che l’articolo 10 della direttiva 2016/680 prevede che il trattamento dei dati sensibili sia autorizzato «solo se strettamente necessario», il che costituisce una condizione rafforzata di liceità del trattamento di tali dati e implica, segnatamente, un controllo particolarmente rigoroso del rispetto del principio della «minimizzazione dei dati», quale derivante dall’articolo 4, paragrafo 1, lettera c), di tale direttiva, del quale tale requisito costituisce un’applicazione specifica a detti dati sensibili ( 44 ). L’utilizzo dell’avverbio «solo» davanti all’espressione «se strettamente necessario» sottolinea che il trattamento di tali categorie particolari può essere ritenuto ammissibile soltanto in un numero limitato di ipotesi, mentre il carattere «stretto» della necessità impone una valutazione particolarmente rigorosa ( 45 ). 69. Una domanda posta sistematicamente in udienza pubblica a ciascun imputato, relativa alla sua «etnia» e riguardante quindi la sua origine etnica, non soddisfa affatto i requisiti stabiliti dall’articolo 10 della direttiva 2016/680 ( 46 ). Infatti, l’identificazione dell’imputato può essere assicurata, di regola, dai dati di stato civile e dagli elementi di identificazione già disponibili, in particolare mediante documenti di identità, senza ricorre a un indicatore relativo alla sua origine etnica. Inoltre, il requisito della stretta necessità implica che sia dimostrato, sulla base di elementi concreti, che, in mancanza di tale dato particolare, l’obiettivo perseguito non può essere raggiunto in modo equivalente. Orbene, un obbligo generale e indifferenziato di raccolta di un siffatto dato personale, imposto in tale fase del procedimento ai fini dell’identificazione dell’imputato e che non dipende da una particolare difficoltà connessa a tale identificazione, mi sembra in linea di principio contrario al requisito di stretta necessità formulato all’articolo 10 di detta direttiva ( 47 ). 70. Alla luce di tutto quanto precede, ritengo che occorra rispondere al giudice del rinvio dichiarando che l’articolo 4, paragrafo 1, lettera c), l’articolo 8, paragrafo 1, e l’articolo 10 della direttiva 2016/680 devono essere interpretati nel senso che essi ostano a una normativa nazionale, quale l’articolo 272, paragrafo 1, NPK, nella parte in cui richiede che dati personali dell’imputato relativi al luogo di residenza, al livello di istruzione, allo stato di famiglia, al casellario giudiziale e all’etnia siano sistematicamente trattati (raccolti, registrati e conservati) nel corso della verifica della sua identità nell’ambito di un procedimento penale, anche qualora detti dati non siano necessari a tal fine, circostanza che spetta al giudice del rinvio verificare. Conclusione 71. Alla luce delle considerazioni che precedono, propongo alla Corte di rispondere alla questione pregiudiziale sollevata dal [OSCURATO:PERSONA] gradski sad (Tribunale di [OSCURATO:PERSONA], [OSCURATO:PERSONA]) nei seguenti termini: L’articolo 4, paragrafo 1, lettera c), l’articolo 8, paragrafo 1, e l’articolo 10 della direttiva (UE) 2016/680, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, devono essere interpretati nel senso che: essi ostano a una normativa nazionale, quale l’articolo 272, paragrafo 1, del nakazatelno-protsesualen kodeks (codice di procedura penale bulgaro), nella parte in cui richiede che dati personali dell’imputato relativi al luogo di residenza, al livello di istruzione, allo stato di famiglia, al casellario giudiziale e all’etnia siano sistematicamente trattati (raccolti, registrati e conservati) nel corso della verifica della sua identità nell’ambito di un procedimento penale, anche qualora detti dati non siano necessari a tal fine, circostanza che spetta al giudice del rinvio verificare. 1 Lingua originale: il francese. i Il nome della presente causa è un nome fittizio. Non corrisponde al nome reale di nessuna delle parti del procedimento. 2 Direttiva del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89). 3 Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»). 4 DV n. 86, del 28 ottobre 2005, come modificato e integrato dal DV n. 39, del 1º maggio 2024. 5 DV n. 67, del 27 luglio 1999, come modificato e integrato dal DV n. 85, dell’8 ottobre 2024. 6 DV n. 93, dell’11 agosto 1998, come modificato e integrato dal DV n. 67, del 4 agosto 2023. 7 DV n. 64, del 7 agosto 2007, come modificato e integrato dal DV n. 67, del 9 agosto 2024. 8 DV n. 56, del 13 luglio 1991. 9 Si può infatti discutere della questione se il giudice del rinvio raccolga direttamente i dati o se gli stessi siano già stati raccolti in precedenza dall’autorità competente (v., a tale riguardo, articolo 138, paragrafo 2, NPK). 10 V. articolo 2, paragrafo 2, lettera d), del RGPD. 11 Resta il fatto che il RGPD si applica al trattamento dei dati personali effettuato da un’«autorità competente», ai sensi dell’articolo 3, paragrafo 7, della direttiva 2016/680, quando essa agisce ad altri fini, ad esempio in materia di impiego, formazione del personale, archiviazione, ricerca o statistiche. V., in tal senso, sentenza del 21 giugno 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punto 72 e giurisprudenza citata). V., inoltre, Leiser, M. e Custers, B., «[OSCURATO:PERSONA]: [OSCURATO:PERSONA] of EU [OSCURATO:PERSONA] 2016/680», [OSCURATO:PERSONA] , vol. 5, n. 3, 2019, pagg. da 367 a 378, in particolare pag. 371. 12 Per contro, ritengo che l’articolo 3, paragrafo 7, lettera b), della direttiva 2016/680 non riguardi le autorità giurisdizionali, ma si riferisca, con l’espressione «qualsiasi altro organismo o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali», ad enti privati. Si può pensare, ad esempio, a forze di polizia privatizzate o a carceri dirette da un ente privato. V., a tale riguardo, Purtova, N., «Between the GDPR and the [OSCURATO:PERSONA]: navigating through the maze of information sharing in public–private partnerships», [OSCURATO:PERSONA] , vol. 8, n. 1, febbraio 2018, pagg. da 52 a 68. V., inoltre, [OSCURATO:PERSONA], P. e Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in [OSCURATO:PERSONA] (EU) 2016/680», in [OSCURATO:PERSONA] on EU [OSCURATO:PERSONA] , a cura di Mitsilegas, V., Bergström, M. e Quintel, T., [OSCURATO:PERSONA], 2024, 2 a ed., pagg. da 212 a 228. 13 Secondo tale considerando, «[s]ebbene la presente direttiva si applichi anche alle attività delle autorità giurisdizionali nazionali e di altre autorità giudiziarie, non è opportuno che rientri nella competenza delle autorità di controllo il trattamento di dati personali effettuato dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali, al fine di salvaguardare l’indipendenza dei giudici nell’adempimento dei loro compiti giurisdizionali». 14 V., per analogia, per quanto riguarda la disposizione analoga del RGPD, sentenza del 24 marzo 2022, [OSCURATO:PERSONA] (C‑245/20, EU:C:2022:216, punto 26). Tale sentenza riguardava un contenzioso amministrativo vertente su un trattamento effettuato da un’autorità giurisdizionale nell’ambito della messa a disposizione temporanea a giornalisti di documenti di un procedimento giurisdizionale contenenti dati personali, trattamento che è stato considerato rientrante nell’esercizio delle sue funzioni giurisdizionali ai sensi del RGPD. 15 V., a tale riguardo, Tosconi, L. e Bygrave, L.A., «Article 3 – Definitions», in The EU [OSCURATO:PERSONA] (LED): A Commentary , a cura di Kosta, E., e Boehm, F., (ed.), [OSCURATO:PERSONA], 2024, pagg. da 79 a 132, in particolare pag. 104, n. 7.2.4, i quali citano anche gli atti della 12 a riunione del gruppo di esperti della [OSCURATO:PERSONA] sul RGPD e sulla direttiva 2016/680, del 2 ottobre 2017, che menzionano l’accordo degli [OSCURATO:PERSONA] membri affinché tale direttiva si applichi alle autorità giurisdizionali penali (documento disponibile al seguente indirizzo: https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=fr&groupID=3461 ). 16 In particolare, l’articolo 18 di detta direttiva, intitolato «Diritti dell’interessato nel corso di indagini e procedimenti penali», riguarda l’esercizio dei diritti di informazione, accesso, rettifica e cancellazione, e prevede che tali diritti siano esercitati conformemente al diritto dello Stato membro qualora i dati personali figurino «in una decisione giudiziaria, in un casellario o in un fascicolo giudiziario oggetto di trattamento nel corso di un’indagine e di un procedimento penale». 17 V. considerando 20 della direttiva 2016/680. 18 Aggiungo che, come affermato al considerando 20 di detta direttiva, ciò non priva gli [OSCURATO:PERSONA] membri della possibilità di specificare tali operazioni e procedure di trattamento nelle loro norme di procedura penale nazionali. 19 Sebbene l’ambito di applicazione della direttiva 2016/680 sia stato oggetto di sentenze della Corte, queste non vertono su tale questione. Ad esempio, i vettori aerei, anche se sono tenuti a un obbligo legale di trasferimento dei dati del codice di prenotazione (PNR), non possono essere considerati autorità competenti ai sensi dell’articolo 3, paragrafo 7, della direttiva 2016/680 [v. sentenza del 21 giugno 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punto 81)]. V., inoltre, conclusioni dell’avvocato generale Pikamäe nella causa Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, paragrafo 28) per quanto riguarda la Vyriausioji tarnybinės etikos komisija ([OSCURATO:PERSONA] superiore per la prevenzione dei conflitti di interessi nel servizio pubblico, Lituania), a cui il RGPD è stato applicato (v. sentenza del 1º agosto 2022, Vyriausioji tarnybinės etikos komisija , C‑184/20; in prosieguo: la «sentenza Vyriausioji tarnybinės etikos komisija », EU:C:2022:601). Analogamente, la Ceļu satiksmes drošības direkcija (Direzione per la sicurezza stradale, Lettonia) non è un’«autorità competente» ai sensi della direttiva 2016/680 nell’esercizio delle attività in questione nel procedimento principale, consistenti nel comunicare al pubblico dati personali riguardanti i punti di penalità a fini di sicurezza stradale [v. sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) (C‑439/19, EU:C:2021:504, punto 71)]. 20 Sentenza dell’8 dicembre 2022 (C‑180/21; in prosieguo: la «sentenza Inspektor», EU:C:2022:967). In tale sentenza, si poneva la questione se dati personali, ottenuti quando la persona interessata appariva come vittima del reato oggetto dell’indagine, potessero essere successivamente trattati nei suoi confronti in qualità di imputato, sebbene fossero stati raccolti e trattati inizialmente per altre finalità, vale a dire a fini di indagine e di accertamento. È in tale contesto che la Corte ha dichiarato che, qualora dati personali siano stati raccolti a fini di «indagine» su un reato e di «accertamento» di esso, e successivamente trattati a fini di «perseguimento», detta raccolta e detto trattamento rispondono a finalità diverse (punto 44) e che la valutazione del rispetto della proporzionalità del trattamento da parte del titolare del trattamento doveva essere condotta considerando specifica e distinta ciascuna di tali finalità (punto 56). 21 Sentenza Inspektor (punto 59). 22 V. conclusioni dell’avvocato generale [OSCURATO:PERSONA]Bordona nella causa Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale) (C‑180/21, EU:C:2022:406, nota 15). È così, tra le altre, nelle versioni in lingua tedesca, francese, inglese, italiana e neerlandese della direttiva 2016/680, ad eccezione della versione in lingua spagnola, che menziona l’« enjuiciamiento » (procedimento giurisdizionale) vero e proprio, il quale è riservato esclusivamente agli organi giurisdizionali. 23 Sulla diversità degli ordinamenti nazionali e sul carattere complementare delle funzioni rispettive del giudice e del pubblico ministero, v. parere congiunto del Consiglio consultivo dei giudici europei (CCJE) e del Consiglio consultivo dei procuratori europei (CCPE) sui rapporti fra i giudici e i procuratori [1075 a riunione] [ CM(2009)192 ] . V., inoltre, per un approccio comparativo, Pradel, J., Droit pénal comparé , Dalloz, Parigi, 2016, 4 a ed ., in particolare n. 145 e segg. V., altresì, sul recepimento della direttiva 2016/680 in vari [OSCURATO:PERSONA] membri, Franssen , V. e Corhay , M., « Article 18 – Rights of the data subject in criminal investigations and proceedings », in The EU [OSCURATO:PERSONA] (LED): A Commentary , op. cit., pagg. da 321 a 330, in particolare sottotitolo B.3., intitolato «National legislation», pagg. da 325 a 328. 24 Nel suo parere n. 6/2015, Une nouvelle étape vers une protection européenne complètes des données , del 28 ottobre 2015, al punto VI relativo ai poteri delle autorità di controllo, lo stesso Comitato europeo per la protezione dei dati (CEPD) ha sottolineato l’importanza delle differenze tra i sistemi nazionali degli [OSCURATO:PERSONA] membri e il fatto che non è sempre chiaro se e quando i procuratori siano «autorità giudiziarie indipendenti» e in quale misura le loro attività costituiscano attività giudiziarie. V., inoltre, il verbale della 15 a riunione del gruppo di esperti della [OSCURATO:PERSONA] sul RGPD e sulla direttiva 2016/680, del 20 febbraio 2018, che menziona, al punto 5, le difficoltà di recepimento della direttiva a tale riguardo, mentre alcuni [OSCURATO:PERSONA] membri sottolineano che i loro procuratori godono dello stesso livello di indipendenza dei loro giudici (disponibile al seguente indirizzo: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&meetingId=3656&fromExpertGroups=true ). 25 V. sentenza Inspektor (punto 53), nella quale la Corte ha sottolineato che «nell’ambito del trattamento dei dati personali ai fini del “perseguimento”, tali dati mirano a dimostrare la sufficiente forza probatoria dei fatti ascritti agli imputati e l’esattezza della qualifica penale di tali fatti, al fine di consentire al giudice competente di statuire». 26 Come emerso in udienza, nel diritto penale bulgaro non esiste un giudice istruttore, bensì un’«indagine giurisdizionale» o «indagine giudiziaria» che succede all’indagine di polizia. 27 In merito all’interpretazione restrittiva delle eccezioni all’applicazione del RGPD, v. sentenza Inspektor (punto 78), dalla quale risulta che, quando la procura agisce ai fini della difesa dello Stato nell’ambito di un ricorso per responsabilità amministrativa, essa non ha lo scopo di garantire i compiti incombenti a tale procura ai fini enunciati all’articolo 1, paragrafo 1, della direttiva 2016/680, e pertanto si applica il RGPD. Analogamente, la raccolta, da parte dell’amministrazione tributaria di uno Stato membro, di dati personali relativi agli annunci di vendita di veicoli pubblicati sul sito Internet di un operatore economico rientra nell’ambito di applicazione materiale del RGPD, poiché tali dati non sono raccolti con lo scopo specifico di esercitare un’azione penale o nell’ambito di attività dello Stato in materia di diritto penale [v. sentenza del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C‑175/20, EU:C:2022:124, punti da 44 a 46)]. 28 Decisione quadro del Consiglio, del 27 novembre 2008, sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale (GU 2008, L 350, pag. 60). Il suo ambito di applicazione era limitato al trattamento transfrontaliero dei dati personali. 29 Conferenza dei rappresentanti dei governi degli [OSCURATO:PERSONA] membri, Atto finale, adottato a Bruxelles il 3 dicembre 2007 (CIG 15/07), disponibile al seguente indirizzo: https://data.consilium.europa.eu/doc/document/CG-15-2007-INIT/it/pdf . 30 Proposta di direttiva del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati, del 25 gennaio 2012 [COM(2012) 0010]. 31 V. [OSCURATO:PERSONA], P. e Papakonstantinou, V., «[OSCURATO:PERSONA] and [OSCURATO:PERSONA]. A [OSCURATO:PERSONA]», [OSCURATO:PERSONA] of [OSCURATO:PERSONA] , vol. 7, n. 1, 2016, pagg. da 7 a 19; e Brière, C., «Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8 e ch.), 25 février 2021, Commission européenne/Royaume d’Espagne ([OSCURATO:PERSONA] données à caractère personnel – Domaine pénal), aff. C‑658/19, EU:C:2021:138», [OSCURATO:PERSONA] des affaires européennes , vol. 1, 2021, pagg. da 223 a 233. 32 V., a tale riguardo, Sajfert, J. e Quintel, T., «[OSCURATO:PERSONA] (EU) 2016/680 for [OSCURATO:PERSONA] and [OSCURATO:PERSONA]», SSRN [OSCURATO:PERSONA] , 2017, in particolare sottotitolo I.1 intitolato «Meandering between the [OSCURATO:PERSONA] and the GDPR», secondo i quali la distinzione tra i rispettivi ambiti di applicazione del RGPD e della direttiva 2016/680 non è chiara. Essi citano l’esempio di un agente di polizia che tratta dati personali a fini di archiviazione, attività che in tale ipotesi rientra nell’ambito di applicazione del RGPD, ma affermano che lo strumento applicabile è meno chiaro nel caso in cui l’agente agisca a fini di identificazione nell’ambito della migrazione e del controllo delle frontiere: l’attraversamento illegale di una frontiera Schengen può talvolta essere considerato reato, ma se il migrante in situazione irregolare chiede l’asilo, il trattamento può rientrare nell’ambito di applicazione del RGPD o di un altro strumento settoriale pertinente, nonostante l’avvio del procedimento penale. Ciò dimostra la complessità per le autorità competenti di applicare due regimi giuridici diversi a seconda della finalità del trattamento. V., inoltre, Vogiatzoglou, P., «Article 2 – Scope», in The EU [OSCURATO:PERSONA] (LED): A Commentary , op. cit., pagg. da 67 a 78, in particolare sottotitolo C.2. intitolato «Between the LED and the GDPR», pagg. 74 e 75. V., altresì, Purtova, N., «Between the GDPR and the [OSCURATO:PERSONA]: navigating through the maze of information sharing in public–private partnerships», op. cit. 33 Il principio della certezza [del diritto] esige che l’applicazione delle norme giuridiche sia prevedibile per i singoli [v. sentenza del 4 ottobre 2024, [OSCURATO:PERSONA] (Tentativo di accesso ai dati personali memorizzati su un telefono cellulare) (C‑548/21, EU:C:2024:830, punto 76)]. 34 V., a tale riguardo, Sajfert, J. e Quintel, T., «[OSCURATO:PERSONA] (EU) 2016/680 for [OSCURATO:PERSONA] and [OSCURATO:PERSONA]», op. cit, in particolare sottotitolo I.4 intitolato « Croquis of the [OSCURATO:PERSONA]», pag. 7, secondo i quali, ad esempio, il titolare del trattamento ha maggiori possibilità di limitare il diritto di accesso e il diritto di ottenere informazioni sull’eventuale rifiuto di rettifica, di cancellazione o di limitazione del trattamento in forza dell’articolo 13, paragrafo 3, dell’articolo 15, paragrafo 3, e dell’articolo 16, paragrafo 4, della direttiva 2016/680 anziché nell’ambito dell’articolo 23 del RGPD. Si tratta infatti di «non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari» e di non compromettere, in particolare, il perseguimento di reati [v. articolo 13, paragrafo 3, lettere a) e b), della direttiva 2016/680]. V., inoltre, Purtova, N., «Between the GDPR and the [OSCURATO:PERSONA]: navigating through the maze of information sharing in public–private partnerships», op. cit., in particolare pag. 60, nonché [OSCURATO:PERSONA], P. e Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in [OSCURATO:PERSONA] (EU) 2016/680», op. cit., pag. 222. 35 A titolo indicativo, rilevo che il giudice del rinvio afferma di aver adito il Konstitutsionen sad (Corte costituzionale) affinché esso dichiarasse l’incompatibilità della disposizione nazionale di cui trattasi nel procedimento principale con la Konstitutsia na [OSCURATO:PERSONA] (Costituzione della Repubblica di [OSCURATO:PERSONA]). Tale domanda sarebbe stata tuttavia respinta in quanto irricevibile per il motivo che il giudice del rinvio non avrebbe tenuto conto dell’ottavo capo dello Zakon za zashtita na lichnite danni (legge sulla protezione dei dati personali), del 1º gennaio 2002 (DV n. 1, del 4 gennaio 2002, come modificato e integrato dal DV n. 70, del 20 agosto 2024) (in prosieguo: lo «ZZLD»), che recepisce la direttiva 2016/680. Il giudice del rinvio ritiene tuttavia che la disciplina prevista dallo ZZLD sia generale e che l’articolo 272, paragrafo 1, NPK rimanga applicabile in quanto legge speciale. Ricordo che il giudice del rinvio è competente ad interpretare il proprio diritto nazionale [v. sentenza del 30 aprile 2024, M.N. (EncroChat) (C‑670/22, EU:C:2024:372, punto 76)] e ritengo quindi che occorra rispondere alla questione quale sollevata, la cui rilevanza si presume [v. sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C‑205/21; in prosieguo: la «sentenza Ministerstvo na vatreshnite raboti», EU:C:2023:49, punto 54)]. 36 V. sentenza del 30 gennaio 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR – [OSCURATO:PERSONA] (C‑118/22; in prosieguo: la «sentenza Direktor na Glavna direktsia», EU:C:2024:97, punto 39). 37 V. sentenza Ministerstvo na vatreshnite raboti (punto 116 e giurisprudenza citata). Sulla nozione di «origine etnica» in un altro contesto, v. sentenza del 18 dicembre 2025, [OSCURATO:PERSONA], [OSCURATO:PERSONA] (C‑417/23, EU:C:2025:1017, punti 71 e segg.), riguardante la direttiva 2000/43/CE del Consiglio, del 29 giugno 2000, che attua il principio della parità di trattamento fra le persone indipendentemente dalla razza e dall’origine etnica (GU 2000, L 180, pag. 22). 38 Non si tratta, in questo caso, di una raccolta di dati da parte della polizia nel corso dell’indagine a fini di identificazione o di confronto futuro dell’imputato, come avveniva, ad esempio, nella causa che ha dato luogo alla sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici) (C‑57/23, EU:C:2025:905, punto 84). 39 V., per analogia, sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) (C‑439/19, EU:C:2021:504, punti 109 e 110). 40 V., per analogia, sentenza Vyriausioji tarnybinės etikos komisija (punto 98 e giurisprudenza citata). V., inoltre, sentenza Direktor na Glavna direktsia (punto 62). 41 V. paragrafi da 12 a 15 delle presenti conclusioni. 42 V. articolo 8, paragrafo 1, ZGR, il cui contenuto è esposto al paragrafo 12 delle presenti conclusioni. 43 V., per analogia, sentenza Vyriausioji tarnybinės etikos komisija (punto 98 e giurisprudenza citata). V., inoltre, sentenza Direktor na Glavna direktsia (punto 62). 44 V. sentenza Direktor na Glavna direktsia (punto 48 e giurisprudenza citata). 45 V. sentenze Ministerstvo na vatreshnite raboti (punti 118 e segg.) e del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici) (C‑57/23, EU:C:2025:905, punto 78). V., inoltre, conclusioni dell’avvocato generale Szpunar nella causa Comdribus (C‑371/24, EU:C:2025:631, paragrafi 43 e segg.). 46 Mi chiedo peraltro quale sia la ragion d’essere di tale domanda riguardante l’«etnia», che pone problemi alla luce dei valori dell’Unione ai sensi dell’articolo 2 TUE. 47 V., in tal senso, sentenza Ministerstvo na vatreshnite raboti (punti 128 e 129); Simon, D., «Données personnelles – Traitement des données sensibles dans les procédures pénales», [OSCURATO:PERSONA] , LexisNexis, n. 3, 2023, commento n. 112.