Corte di giustizia UE/2023

62022CC0118 CONCLUSIONI DELL’[OSCURATO:PERSONA] presentate il 15 giugno 2023 ( 1 ) Causa C‑118/22 NG Ricorso giurisdizionale amministrativo contro [OSCURATO:PERSONA] na Glavna direktsia «Natsionalna politsia» pri MVR – Sofia, con l’intervento di Varhovna administrativna prokuratura [domanda di pronuncia pregiudiziale proposta dal Varhoven administrativen sad (Corte suprema amministrativa, Bulgaria)] «Rinvio pregiudiziale – Protezione delle persone fisiche relativamente al trattamento dei dati personali – Direttiva (UE) 2016/680 – Articoli 4, 5, 8, 10 e 16 – Conservazione dei dati di una persona fisica condannata per un reato intenzionale fino al suo decesso – Persona fisica condannata con sentenza definitiva e successivamente riabilitata – Rigetto della domanda di cancellazione – Necessità e proporzionalità dell’ingerenza nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea» 1. Si pone la questione se occorra preoccuparsi della conservazione dei dati personali della persona iscritta negli archivi di polizia, eventualmente per tutta la durata della sua vita, con lo status di deviante sociale, perpetuamente pericoloso, o se, al contrario, non ci si debba compiacere di tale memoria poliziesca, in considerazione della risoluzione da parte degli inquirenti di precedenti casi insoluti, oggi meglio noti come «cold cases», con grande sollievo delle famiglie delle vittime. 2. La presente causa si inscrive precisamente nell’ambito di tale quesito basato su posizioni antagoniste, che rinvia al contemperamento dell’interesse pubblico alla lotta alla criminalità con quello dell’individuo alla protezione dei suoi dati personali e al rispetto della sua vita privata. Essa offre alla Corte l’opportunità di pronunciarsi sulla questione del trattamento di tali dati a fini di contrasto nella sua dimensione temporale, alla luce delle disposizioni rilevanti della direttiva (UE) 2016/680 ( 2 ). I. Contesto normativo A. Diritto dell’Unione 3. Nell’ambito della presente causa sono rilevanti gli articoli 4, 5, 8, 10 e 16 della direttiva 2016/680, nonché l’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»). B. Diritto bulgaro 4. L’articolo 26, paragrafi 1 e 2, dello zakon za Ministerstvo na vatreshnite raboti (legge relativa al Ministero dell’Interno; in prosieguo: lo «ZMVR») così prevede: «(1)   Quando trattano dati personali in relazione alle attività di protezione della sicurezza nazionale, di lotta alla criminalità, di mantenimento dell’ordine pubblico e di svolgimento di procedimenti penali, le autorità del Ministero dell’Interno: (...) 3. possono trattare tutte le categorie necessarie di dati personali; (...) (2)   I termini di conservazione dei dati di cui al paragrafo 1 o di verifica periodica della necessità della loro archiviazione sono stabiliti dal Ministro dell’Interno. Tali dati sono cancellati anche in forza di un atto giudiziario o di una decisione della Commissione per la protezione dei dati personali». 5. Ai sensi dell’articolo 27 dello ZMVR: «I dati provenienti dall’iscrizione delle persone nell’archivio di polizia effettuata sulla base dell’articolo 68 sono utilizzati solo ai fini della protezione della sicurezza nazionale, della lotta alla criminalità e del mantenimento dell’ordine pubblico». 6. L’articolo 68 dello ZMVR prevede quanto segue: «(1)   Le autorità di polizia iscrivono nell’archivio di polizia le persone accusate di un reato intenzionale perseguibile d’ufficio. Le autorità incaricate dell’istruzione sono tenute ad adottare le misure necessarie ai fini dell’iscrizione nell’archivio da parte delle autorità di polizia. (2)   L’iscrizione nell’archivio di polizia è un tipo di trattamento dei dati personali delle persone di cui al paragrafo 1, il quale è effettuato nell’ambito della presente legge. (3)   Ai fini dell’iscrizione nell’archivio di polizia, le autorità di polizia devono: 1. raccogliere dati personali delle persone di cui all’articolo 18 della legge relativa ai documenti d’identità bulgari; 2. rilevare le impronte digitali delle persone e fotografare queste ultime; 3. effettuare prelievi a fini di profilazione del DNA delle persone. (...) (6)   L’iscrizione nell’archivio di polizia è cancellata su ordine scritto del titolare del trattamento dei dati personali o dei funzionari da lui autorizzati, oppure d’ufficio o su domanda scritta e motivata della persona iscritta, quando: 1. l’iscrizione è stata effettuata in violazione della legge; 2. il procedimento penale è archiviato, salvo che nei casi di cui all’articolo 24, paragrafo 3, del [Nakazatelno-protsesualen kodeks (codice di procedura penale)]; 3. il procedimento penale si è concluso con un’assoluzione; 4. la persona è stata esonerata dalla responsabilità penale e le è stata comminata una sanzione amministrativa; 5 la persona è deceduta, nel qual caso la domanda può essere presentata dai suoi eredi. (7)   Le modalità d’iscrizione nell’archivio di polizia e la cancellazione di tale iscrizione sono stabilite da un regolamento del Consiglio dei ministri». II. Fatti all’origine della controversia, procedimento principale e questione pregiudiziale 7. NG è stato iscritto nell’archivio di polizia, nell’ambito di un procedimento d’istruzione, per falsa testimonianza, reato previsto dall’articolo 290, paragrafo 1, del [OSCURATO:PERSONA] (codice penale). A seguito di tale procedimento, il 2 luglio 2015 è stato formulato un capo d’imputazione a suo carico e, con sentenza del 28 giugno 2016, confermata in appello con sentenza del 2 dicembre 2016, egli è stato dichiarato colpevole e condannato a una pena detentiva di un anno con sospensione condizionale. La pena è stata scontata il 14 marzo 2018. 8. Il 15 luglio 2020, NG ha chiesto all’amministrazione territoriale competente del Ministerstvo na vatreshnite raboti (Ministero dell’Interno, Bulgaria) la cancellazione di tale iscrizione, producendo un estratto del suo casellario giudiziale attestante l’assenza di condanne a suo carico. 9. Con decisione del 2 settembre 2020, l’autorità amministrativa competente ha respinto tale domanda in quanto una condanna con sentenza definitiva non rientra tra i motivi di cancellazione dell’iscrizione all’archivio di polizia, tassativamente elencati all’articolo 68, paragrafo 6, dello ZMVR, nemmeno in caso di riabilitazione, ai sensi dell’articolo 85 del codice penale. L’8 ottobre 2020, NG ha presentato ricorso contro tale decisione dinanzi all’Administrativen sad Sofia grad (Tribunale amministrativo della città di Sofia, Bulgaria). Con decisione del 2 febbraio 2021, tale giudice ha respinto detto ricorso. 10. NG ha proposto impugnazione avverso la decisione dell’Administrativen sad Sofia grad (Tribunale amministrativo della città di Sofia) dinanzi al Varhoven administrativen sad (Corte suprema amministrativa, Bulgaria). Il principale motivo di impugnazione è relativo alla violazione del principio, desumibile dagli articoli 5, 13 e 14 della direttiva 2016/680, secondo cui il trattamento di dati personali mediante archiviazione non può avere durata illimitata. Orbene, in assenza di un motivo di cancellazione dell’iscrizione dall’archivio di polizia, una persona condannata non potrebbe chiedere, dopo la sua riabilitazione, la cancellazione dei suoi dati, raccolti in relazione al reato per il quale ha scontato la sua pena, cosicché il periodo di archiviazione di tali dati sarebbe illimitato. 11. Nutrendo dubbi sulla conformità con il diritto dell’Unione delle norme nazionali che disciplinano l’archivio di polizia di cui trattasi, il giudice del rinvio ha deciso di sospendere il giudizio nel procedimento principale e di sottoporre alla Corte la seguente questione pregiudiziale: «Se l’interpretazione dell’articolo 5 della [direttiva 2016/680], in combinato disposto con l’articolo 13, paragrafo 2, lettera b), e con l’articolo 13, paragrafo 3, di tale direttiva, ammetta misure legislative nazionali che comportano un diritto praticamente illimitato al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali e/o lo svuotamento del diritto dell’interessato ad ottenere la limitazione del trattamento, la cancellazione o la distruzione dei propri dati». III. Procedimento dinanzi alla Corte 12. I governi bulgaro, ceco, irlandese, spagnolo e polacco nonché la Commissione europea hanno presentato osservazioni scritte. Nel corso dell’udienza tenutasi il 7 febbraio 2023, anche il ricorrente nel procedimento principale, i governi bulgaro, irlandese, spagnolo, olandese e polacco e la Commissione hanno presentate le loro osservazioni orali. IV. Analisi A. Sull’applicabilità della direttiva 2016/680 13. Dalla domanda di pronuncia pregiudiziale emerge che il giudice nazionale dà chiaramente per scontato che la normativa nazionale in questione rientri nell’ambito di applicazione ratione materiae della direttiva 2016/680, una posizione che mi sembra meriti qualche osservazione. 14. In base a una lettura combinata dell’articolo 1, paragrafo 1, e dell’articolo 2, paragrafo 1, della direttiva 2016/680, quest’ultima si applica al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica. L’articolo 2, paragrafo 3, lettera a), della direttiva 2016/680 esclude dal suo ambito di applicazione il trattamento di dati personali effettuati «per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione». I considerando 12 e 14 di tale direttiva precisano il tenore di tale eccezione di inapplicabilità indicando che essa riguarda, in particolare, le attività concernenti la sicurezza nazionale, a differenza di quelle relative al mantenimento dell’ordine pubblico quale compito conferito alla polizia o ad altre autorità incaricate dell’applicazione della legge ove necessario per la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica e agli interessi fondamentali della società tutelati dalla legge che possono dar luogo a reati. 15. Interpretando l’articolo 2, paragrafo 2, lettera a), del regolamento (UE) 2016/679 ( 3 ), che prevede un’eccezione all’applicabilità di tale regolamento formulata negli stessi termini di quelli di cui all’articolo 2, paragrafo 3, lettera a), della direttiva 2016/680, la Corte ha dichiarato che tale prima disposizione, letta alla luce del considerando 16 di detto regolamento, deve essere intesa come avente come unico obiettivo quello di escludere dall’ambito di applicazione di tale norma i trattamenti di dati personali effettuati dalle autorità statali nell’ambito di un’attività volta a salvaguardare la sicurezza nazionale o di un’attività che può essere ascritta alla medesima categoria, di modo che il mero fatto che un’attività sia propria dello Stato o di un’autorità pubblica non è sufficiente affinché tale eccezione sia automaticamente applicabile a una siffatta attività. Essa ha precisato che le attività che hanno lo scopo di salvaguardare la sicurezza nazionale comprendono, in particolare, quelle volte a tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società ( 4 ). 16. Orbene, nel caso di specie, i dati registrati e conservati dalla polizia ai sensi dell’articolo 68 dello ZMVR sono registrati e conservati, conformemente all’articolo 27 di tale legge, ai fini della protezione della sicurezza nazionale, della lotta alla criminalità e del mantenimento dell’ordine pubblico. Risulta quindi che l’archivio di polizia in esame costituisce un’unica banca dati ibrida, in quanto contiene informazioni che possono essere trattate per finalità diverse, tra cui la protezione della sicurezza nazionale che non rientra nell’ambito di applicazione materiale della direttiva 2016/680. In tali circostanze, la liceità della conservazione dei dati contenuti in siffatto archivio non può essere esaminata alla luce dei requisiti di tale direttiva fintantoché tali dati siano utilizzati esclusivamente per le finalità di cui all’articolo 1, paragrafo 1, di detta direttiva, la cui verifica spetta al giudice nazionale ( 5 ). Allo stato degli atti sottoposti alla Corte, non sembra che la conservazione dei dati di NG nell’archivio di polizia, di cui egli chiede la cancellazione, possa essere considerata un trattamento che esula dall’ambito di applicazione materiale della direttiva 2016/680. 17. In tale fase è importante sottolineare che la normativa nazionale di cui trattasi nel procedimento principale è già stata oggetto di una sentenza della Corte a seguito di un quesito posto da un giudice bulgaro incaricato di valutare il rifiuto di una persona indagata per un reato di frode fiscale di sottoporsi alla raccolta dei suoi dati. In essa la Corte si è pronunciata, in particolare, sulla liceità della raccolta dei dati alla luce dei requisiti dell’articolo 10 della direttiva 2016/680, dichiarando che quest’ultimo, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8, paragrafi 1 e 2, di tale direttiva, deve essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica di dati biometrici e genetici di qualsiasi persona indagata per un reato intenzionale perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall’altro, che tali obiettivi non possono essere raggiunti mediante misure che costituiscano un’ingerenza meno grave nei diritti e nelle libertà della persona interessata ( 6 ). La presente causa porta la Corte a dover esaminare la liceità di una specifica ingerenza, ovvero la conservazione delle informazioni relative a persone fisiche oggetto di condanne penali, identificate con il loro nome e cognome nell’archivio di polizia di cui trattasi, la quale costituisce un trattamento di dati personali da parte di un’autorità pubblica competente a fini di prevenzione e accertamento di reati e di indagine, ossia il Ministero dell’Interno bulgaro, ai sensi dell’articolo 3, paragrafi 1 e 2, e dell’articolo 3, paragrafo 7, lettera a), della direttiva 2016/680. B. Sulla riformulazione della questione pregiudiziale 18. In via preliminare occorre ricordare che, nell’ambito della procedura di cooperazione tra i giudici nazionali e la Corte istituita all’articolo 267 TFUE, spetta a quest’ultima fornire al giudice nazionale una risposta utile che gli consenta di dirimere la controversia di cui è investito. In tale prospettiva, spetta alla Corte, se necessario, riformulare le questioni che le sono sottoposte. La Corte ha difatti il compito di interpretare tutte le norme del diritto dell’Unione che possano essere utili ai giudici nazionali al fine di dirimere le controversie di cui sono investiti, anche qualora tali norme non siano espressamente indicate nelle questioni ad essa sottoposte da detti giudici ( 7 ). 19. I fatti oggetto della causa nel procedimento principale riguardano una domanda di cancellazione dell’iscrizione di dati personali all’archivio di polizia, presentata da una persona fisica che, dopo essere stata condannata per falsa testimonianza, ha scontato la sua pena ed è stata riabilitata il 14 marzo 2020, ovvero quasi cinque anni dopo la suddetta iscrizione. Tale domanda è stata respinta con una decisione dell’autorità amministrativa competente, confermata in primo grado dalla decisione dell’Administrativen sad Sofia grad (Tribunale amministrativo della città di Sofia), che è stata impugnata dinanzi al giudice del rinvio, il quale nutre dubbi relativamente alla compatibilità della normativa nazionale con la direttiva 2016/680 per quanto riguarda la questione della conservazione dei dati nell’archivio di polizia. Il procedimento principale riguarda quindi chiaramente il diritto alla cancellazione dei dati personali senza ingiustificato ritardo, come previsto dall’articolo 16, paragrafo 2, della direttiva 2016/680, qualora il trattamento violi le disposizioni adottate a norma degli articoli 4, 8 o 10 della stessa o qualora tali dati debbano essere cancellati per conformarsi a un obbligo legale al quale è soggetto il titolare del trattamento. 20. L’articolo 4, paragrafo 1, lettere c) ed e), della direttiva 2016/680 dispone che gli [OSCURATO:PERSONA] membri devono garantire che i dati personali siano, nel rispetto dei principi rispettivamente di minimizzazione di tali dati e di limitazione della loro conservazione, adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati, e conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati ( 8 ). Quanto all’articolo 8 di tale direttiva, esso riguarda la liceità del trattamento, che è subordinata alla necessità di un trattamento effettuato per l’esecuzione di un compito da parte di un’autorità competente, per le finalità di cui all’articolo 1, paragrafo 1, di detta direttiva, e di una base giuridica europea o nazionale, che deve specificare quantomeno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento. Infine, per quanto riguarda l’articolo 10 della direttiva 2016/680, esso determina il regime giuridico per il trattamento di categorie particolari di dati personali, come i dati biometrici e genetici utilizzati nell’archivio di polizia per identificare in modo univoco una persona fisica. 21. È giocoforza constatare che le disposizioni richiamate al paragrafo precedente non sono menzionate nella questione pregiudiziale, sebbene siano chiaramente pertinenti ai fini della risposta che la Corte è chiamata a fornire nel caso di specie. Il giudice del rinvio ha chiesto l’interpretazione dell’articolo 5, dell’articolo 13, paragrafo 2, lettera b), e dell’articolo 13, paragrafo 3, della direttiva 2016/680, che non rientrano tra le disposizioni espressamente menzionate all’articolo 16, paragrafo 2, di tale direttiva la cui violazione da parte della normativa nazionale giustifica l’attuazione del diritto alla cancellazione riconosciuto all’interessato. Tuttavia, tale diritto è riconosciuto anche nel caso in cui i dati debbano essere cancellati per adempiere a un obbligo legale al quale è soggetto il titolare del trattamento, il che può corrispondere alle situazioni previste dall’articolo 5 e dall’articolo 13, paragrafo 2, lettera b), di tale direttiva, ovvero, rispettivamente: la fissazione di termini massimi per la conservazione dei dati o di riesami periodici della necessità di una tale conservazione ( 9 ) e, in casi specifici, la fornitura all’interessato, da parte del titolare del trattamento, di ulteriori informazioni rispetto a quelle di cui all’articolo 13, paragrafo 1, per consentirgli l’esercizio dei suoi diritti. Per contro, il paragrafo 3 di tale articolo 13 riguarda la possibilità per gli [OSCURATO:PERSONA] membri di adottare, a determinate condizioni, misure legislative intese a ritardare o limitare la comunicazione di informazioni all’interessato ai sensi del paragrafo 2, o ad escluderle, il che non può rientrare in un obbligo legale imposto al titolare del trattamento. 22. In ogni caso, dalla decisione di rinvio non risulta che nel procedimento principale sia sorta la questione se NG fosse stato informato dei suoi diritti, dal momento che l’interessato era chiaramente in grado di esercitarli, come dimostrato dal ricorso che ha presentato alle autorità amministrative e poi giudiziarie in merito alla conservazione dei suoi dati. La questione sottoposta alla Corte non sembra quindi richiedere l’interpretazione dell’articolo 13, paragrafo 2, lettera b), e paragrafo 3, della direttiva 2016/680. Pertanto, il procedimento principale verte in particolare sull’articolo 16, paragrafo 2, della direttiva 2016/680 e sugli articoli 4, 5, 8 e 10 della stessa. 23. Inoltre, come enunciato nel suo considerando 104, la direttiva 2016/680 rispetta i diritti fondamentali e osserva i principi riconosciuti dalla Carta, sanciti dal TFUE, in particolare il diritto al rispetto della vita privata e familiare e il diritto alla protezione dei dati personali. Ai sensi del considerando 46 di tale direttiva, qualsiasi limitazione dei diritti dell’interessato deve essere conforme alla Carta e alla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), come interpretate nella giurisprudenza rispettivamente della Corte e della Corte europea dei diritti dell’uomo (in prosieguo: la «Corte EDU»), e rispettare in particolare la sostanza di tali diritti e libertà. Occorre ricordare che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta, non sono prerogative assolute, ma vanno considerati alla luce della loro funzione sociale e bilanciati con altri diritti fondamentali. Limitazioni possono quindi essere apportate, a condizione che, conformemente all’articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e che rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità. In virtù di tale principio, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui. Esse devono operare nei limiti dello stretto necessario e la normativa che comporta l’ingerenza deve prevedere norme chiare e precise che disciplinano la portata e l’applicazione della misura in questione ( 10 ). 24. In tale contesto, occorre considerare che il giudice del rinvio chiede, in sostanza, se gli articoli 4, 5, 8, 10 e 16, paragrafo 2, della direttiva 2016/680, letti in combinato disposto e alla luce dell’articolo 52, paragrafo 1, della Carta, debbano essere interpretati nel senso che ostano a una legislazione nazionale che prevede la conservazione di dati personali in un archivio di polizia, compresi i dati biometrici e genetici dell’interessato, fino al decesso di quest’ultimo, e non gli consenta di ottenere la cancellazione di tali dati a seguito della riabilitazione di cui ha beneficiato successivamente alla sua condanna penale ( 11 ). C. Sulla conservazione dei dati personali a fini di contrasto 25. Prima di esaminare la compatibilità della normativa nazionale relativa all’archivio di polizia di cui trattasi, ritengo necessario considerare la questione della conservazione dei dati a fini di contrasto alla luce di alcune disposizioni della direttiva 2016/680 nonché della giurisprudenza della Corte e della Corte EDU. 26. In primo luogo, va rilevato che la direttiva 2016/680 è intesa a contribuire alla realizzazione di uno spazio di libertà, sicurezza e giustizia all’interno dell’Unione, costruendo al contempo un quadro giuridico solido e coerente in materia di protezione dei dati personali al fine di garantire il rispetto del diritto fondamentale alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, riconosciuto dall’articolo 8, paragrafo 1, della Carta e dall’articolo 16, paragrafo 1, TFUE, diritto questo strettamente collegato al diritto al rispetto della vita privata, sancito all’articolo 7 della Carta ( 12 ). A tal fine, i capi II e III della direttiva 2016/680 enunciano, rispettivamente, i principi che disciplinano i trattamenti dei dati personali e i diritti dell’interessato che devono essere rispettati da qualsiasi trattamento di tali dati. In particolare, qualsiasi trattamento di dati personali deve essere conforme ai principi relativi al trattamento dei dati e alle condizioni di liceità del trattamento stabilite agli articoli 4 e 8 di tale direttiva. Poiché i requisiti contenuti in quest’ultima disposizione costituiscono espressione di quelli derivanti dall’articolo 52, paragrafo 1, della Carta, essi devono essere interpretati alla luce di tale articolo ( 13 ). 27. Nella risposta da fornire al giudice del rinvio, occorre quindi tenere conto del principio di «minimizzazione dei dati» di cui all’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, che dà espressione al principio di proporzionalità ( 14 ). Lo stesso vale per il principio di limitazione della conservazione, contenuto nell’articolo 4, paragrafo 1, lettera e), di tale direttiva, il quale implica che si proceda ad una valutazione della proporzionalità del trattamento rispetto alla sua finalità, alla luce del tempo trascorso. Tale principio sarà violato se i dati saranno conservati più a lungo del necessario, ovvero per un arco di tempo superiore a quello necessario al conseguimento delle finalità per le quali essi sono stati conservati ( 15 ). Ne consegue che anche un trattamento dei dati inizialmente lecito può divenire, con il tempo, incompatibile con la direttiva 2016/680 qualora tali dati non siano più necessari al conseguimento di tali finalità, e che essi devono essere cancellati allorché tali finalità sono state realizzate ( 16 ). 28. La questione temporale della conservazione dei dati è affrontata anche all’articolo 5 della direttiva 2016/680, sotto forma di integrazione e precisazione dei requisiti di cui all’articolo 4 della stessa ( 17 ). Come indicato nel considerando 26 di detta direttiva, onde garantire che i dati non siano conservati più a lungo del necessario, il titolare del trattamento deve stabilire un termine per la cancellazione o per la revisione periodica. È giocoforza constatare che l’articolo 5 della direttiva 2016/680, da un lato, lascia agli [OSCURATO:PERSONA] membri il compito di valutare e stabilire il periodo rilevante di conservazione e, dall’altro, prevede un esame periodico della necessità di conservare i dati, in alternativa alla fissazione a priori di un periodo massimo di conservazione. Tale seconda osservazione mi sembra di una certa importanza nella presente causa, in quanto riflette il riconoscimento da parte del legislatore dell’Unione della possibilità di una conservazione dei dati a tempo indeterminato a fini di contrasto ( 18 ). Tale osservazione deve essere messa in relazione con la formulazione dell’articolo 16, paragrafo 3, della direttiva 2016/680, che prevede la possibilità di limitare il trattamento dei dati in alternativa alla loro cancellazione, in particolare, ai sensi della sua lettera b), quando i dati personali devono essere conservati «a fini probatori», il che dimostra che non esiste un diritto assoluto alla cancellazione ( 19 ). 29. La questione della liceità della conservazione dei dati include necessariamente quella della loro natura, che nella fattispecie comprende, in particolare, le impronte digitali, fotografie, un campione di DNA della persona sospettata di aver commesso un reato o che è condannata penalmente a tale titolo, laddove tale genere di dati comporta che il trattamento rientri nell’ambito di applicazione dell’articolo 10 della direttiva 2016/680. È importante sottolineare che, sebbene il regime giuridico definito da tale disposizione non includa, a differenza di quello previsto dall’articolo 9 del RGPD, un divieto di principio al trattamento di dati del genere, tale trattamento è autorizzato «solo se strettamente necessario», soggetto a garanzie adeguate per i diritti e le libertà dell’interessato, e, in particolare, se autorizzato dal diritto dell’Unione o dello Stato membro. 30. Secondo la giurisprudenza, la finalità dell’articolo 10 della direttiva 2016/680 è garantire una maggiore protezione nei confronti di tali trattamenti che, a causa della particolare sensibilità dei dati in questione e del contesto nel quale sono trattati, possono creare, come risulta dal considerando 37 di tale direttiva, rischi significativi per i diritti e le libertà fondamentali, quali il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta. Come risulta dai termini stessi in cui è enunciato all’articolo 10 della direttiva 2016/680, il requisito secondo cui il trattamento di simili dati è autorizzato «solo se strettamente necessario» deve essere interpretato nel senso che esso definisce condizioni rafforzate di liceità del trattamento dei dati sensibili, rispetto a quelle che risultano dall’articolo 4, paragrafo 1, lettere b) e c), e dall’articolo 8, paragrafo 1, di tale direttiva, le quali si riferiscono soltanto alla «necessità» di un trattamento di dati rientrante, in generale, nell’ambito di applicazione di detta direttiva. Così, da un lato, l’impiego dell’avverbio «solo» dinanzi all’espressione «se strettamente necessario» sottolinea che il trattamento di categorie particolari di dati, ai sensi dell’articolo 10 della direttiva 2016/680, può essere considerato necessario solo in un numero limitato di casi. Dall’altro, il carattere «strettamente» necessario di un trattamento di simili dati implica che tale necessità sia valutata in modo particolarmente rigoroso ( 20 ). 31. In secondo luogo, rilevo che, sebbene la Corte si sia già pronunciata in diverse occasioni sulla questione della liceità della conservazione dei dati a fini di contrasto, lo ha fatto in singoli contesti normativi e fattuali diversi da quello del caso di specie. Infatti, la Corte ha dichiarato ( 21 ) che il diritto dell’Unione derivante dalla direttiva 2002/58/CE ( 22 ), da cui risulta che gli utenti dei mezzi di comunicazione elettronica hanno il diritto di attendersi, in linea di principio, che le loro comunicazioni e i dati a queste correlati, in mancanza del loro consenso, rimangano anonimi e non possano essere registrati, osta a una conservazione generalizzata e indifferenziata, a titolo preventivo, dei dati relativi al traffico e all’ubicazione a fini della lotta alla criminalità, indipendentemente dal suo grado di gravità, essendo tale conservazione consentita, a determinate condizioni, solo in caso di minaccia grave, reale e attuale o prevedibile per la sicurezza nazionale. Essa ha aggiunto che, per contro, il diritto dell’Unione non osta a misure che prevedano, ai fini di lotta alle forme gravi di criminalità, la conservazione generalizzata e indifferenziata dei dati relativi all’identità civile degli utenti e, per un periodo di tempo limitato allo stretto necessario, dei loro indirizzi IP, ad una conservazione mirata dei dati delimitata, sulla base di elementi oggettivi e non discriminatori, in funzione delle categorie di persone interessate o mediante un criterio geografico, per un periodo temporalmente limitato allo stretto necessario ma rinnovabile, e alla conservazione rapida dei relativi dati di cui dispongono i fornitori di servizi per un periodo determinato, il tutto garantendo, mediante norme chiare e precise, che la conservazione dei dati di cui trattasi sia subordinata al rispetto delle relative condizioni sostanziali e procedurali e che le persone interessate dispongano di garanzie effettive contro il rischio di abusi. 32. La Corte si è inoltre avvalsa del criterio relativo al rispetto dei limiti dello stretto necessario per il trattamento dei dati personali nel contesto del trasferimento, della conservazione e dell’utilizzo dei dati contenuti nel codice di prenotazione dei passeggeri di voli extra-UE compilato dai vettori aerei (in prosieguo: i «dati PNR»), ai fini della prevenzione e dell’accertamento di reati di terrorismo e di reati gravi ( 23 ). La Corte ha avuto modo di evidenziare che, poiché il periodo di conservazione dei dati PNR, conformemente all’accordo [OSCURATO:PERSONA]‑Canada, può arrivare a cinque anni, tale accordo permette di disporre di informazioni sulla vita privata dei passeggeri aerei per una durata particolarmente lunga, e che, trattandosi di passeggeri aerei per i quali un rischio in materia di terrorismo o di reati gravi di natura transnazionale non è stato individuato al loro arrivo in Canada e fino alla loro partenza da tale paese terzo, non sembra che esista, una volta ripartiti, alcun rapporto, sia pure indiretto, tra i loro dati PNR e l’obiettivo perseguito dall’accordo in questione, che giustifichi la conservazione di tali dati. Essa ha quindi concluso che un’archiviazione continua dei dati PNR di tutti i passeggeri aerei dopo la loro partenza dal Canada ai fini di un eventuale accesso a detti dati, indipendentemente da un qualsivoglia collegamento con la lotta al terrorismo e ai reati gravi di natura transnazionale, non era giustificata ( 24 ). 33. Nell’ambito di un rinvio pregiudiziale, la Corte si è pronunciata sulla validità e sull’interpretazione della direttiva (UE) 2016/681 ( 25 ) che obbliga i vettori aerei a trasferire i dati di qualsiasi passeggero che si imbarca su un volo extra-UE, operato tra un paese terzo e l’Unione europea, all’unità designata d’informazione sui passeggeri dello Stato membro di destinazione o di partenza del volo in questione, ai fini della lotta al terrorismo e i reati gravi. I dati PNR così trasferiti sono oggetto di una valutazione preliminare da parte dell’unità designata d’informazione sui passeggeri per un periodo di sei mesi e sono poi conservati per cinque anni per un’eventuale valutazione successiva da parte delle autorità competenti degli [OSCURATO:PERSONA] membri, il che può comportare valutazioni effettuate per un periodo di tempo considerevole, o addirittura indefinito, nel caso di persone che viaggiano in aereo più di una volta ogni cinque anni. La Corte ha ritenuto che tale direttiva comporti ingerenze di una gravità certa nei diritti garantiti dagli articoli 7 e 8 della Carta, nella misura in cui, in particolare, essa mira a istituire un sistema di sorveglianza continua, indiscriminata e sistematica, che include la valutazione automatizzata di dati personali di tutte le persone che utilizzano servizi di trasporto aereo, pur prestandosi al contempo a un’interpretazione conforme agli articoli 7, 8 e 21, nonché all’articolo 52, paragrafo 1, della Carta. La Corte ha precisato che, dopo la scadenza del periodo iniziale di conservazione di sei mesi, la conservazione dei dati PNR non sembra essere limitata allo stretto necessario relativamente a quei passeggeri aerei per i quali né la valutazione preliminare né le eventuali verifiche effettuate durante il periodo iniziale di conservazione di sei mesi, né alcun’altra circostanza hanno rivelato l’esistenza di elementi obiettivi tali da determinare un rischio di reati di terrorismo o di reati gravi avente un collegamento oggettivo, quantomeno indiretto, con il viaggio aereo effettuato da tali passeggeri. Per contro, essa ha ritenuto che, durante il periodo iniziale di sei mesi, la conservazione dei dati PNR di tutti i passeggeri aerei assoggettati al sistema istituito da detta direttiva non sembra, in linea di principio, eccedere i limiti dello stretto necessario. 34. In contrasto con la giurisprudenza di cui sopra, è importante sottolineare, da un lato, che, contrariamente a quanto stabilito in materia di trattamento dei dati nella direttiva 2002/58 ( 26 ), il consenso dell’interessato non costituisce una base giuridica per il trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1, della direttiva 2016/680. Come precisato nel considerando 35 di quest’ultima, l’adempimento dei compiti di prevenzione, indagine, accertamento e perseguimento di reati, affidato istituzionalmente per legge alle autorità competenti, consente a queste ultime di richiedere od ordinare alle persone fisiche di dare seguito alle richieste formulate. D’altra parte, la presente causa non riguarda la conservazione e l’analisi automatizzata di un «mare di dati» ( 27 ) generati nel settore delle comunicazioni elettroniche o del trasporto aereo, archiviati da operatori privati e trasferiti alle autorità inquirenti, ma un singolo archivio di polizia contenente i dati di persone per le quali vi sono seri motivi di ritenere che abbiano commesso un reato, indagate e condannate penalmente, sotto il controllo esclusivo di un’autorità pubblica e strettamente riservato. 35. La specificità del contesto normativo e fattuale della citata giurisprudenza impedisce, a mio avviso, una trasposizione pura e semplice delle soluzioni ivi adottate per rispondere alla presente questione pregiudiziale, in particolare per quanto riguarda la distinzione tra gli obiettivi della conservazione dei dati (salvaguardia della sicurezza nazionale, lotta contro reati gravi o reati non rientranti nell’ambito di questi ultimi) e la necessaria correlazione tra l’importanza di tali obiettivi e il grado di gravità delle ingerenze nei diritti fondamentali giustificabili ( 28 ). In altre parole, la dichiarazione secondo cui la lotta alla criminalità in generale può giustificare solo ingerenze che non siano di natura grave ( 29 ) non può essere considerata nel caso di specie, pena una riduzione notevole dell’effetto utile della direttiva 2016/680 e degli strumenti nazionali di indagine/sicurezza pubblica, come l’archivio di polizia di cui trattasi, che rientrano nell’ambito di applicazione di tale normativa, il cui scopo esprime precisamente la necessità di poter trattare i dati a fini di polizia in modo proporzionato. Si deve rilevare che, come emerge dai considerando 10 e 11 della direttiva 2016/680, il legislatore dell’Unione ha inteso adottare norme che tengano conto della specificità del settore contemplato da tale direttiva. Al riguardo, il considerando 12 enuncia che le attività svolte dalla polizia o da altre autorità preposte all’applicazione della legge vertono principalmente sulla prevenzione, l’indagine, l’accertamento o il perseguimento di reati – senza specificare oltre –, comprese le attività di polizia condotte senza previa conoscenza della rilevanza penale di un fatto ( 30 ). 36. In terzo luogo, occorre rilevare che l’articolo 7 della Carta, relativo al diritto al rispetto della vita privata e familiare, contiene diritti corrispondenti a quelli garantiti dall’articolo 8, paragrafo 1, della CEDU, e che la protezione dei dati personali svolge un ruolo fondamentale per l’esercizio del diritto al rispetto della vita privata e familiare sancito dall’articolo 8 della CEDU. Pertanto, conformemente all’articolo 52, paragrafo 3, della Carta, occorre attribuire a detto articolo 7 lo stesso significato e la stessa portata di quelli conferiti all’articolo 8, paragrafo 1, della CEDU, come interpretato dalla giurisprudenza della Corte EDU ( 31 ). 37. La Corte EDU ritiene che la protezione dei dati personali svolga un ruolo fondamentale nell’esercizio del diritto al rispetto della vita privata sancito dall’articolo 8 della CEDU e che il semplice atto di memorizzare dati relativi alla vita privata di un individuo costituisca un’ingerenza ai sensi di tale articolo 8, indipendentemente dal fatto che le informazioni memorizzate vengano successivamente utilizzate. Secondo tale giurisprudenza, il diritto interno deve, in particolare, garantire che tali dati siano pertinenti e non eccessivi rispetto alle finalità per le quali sono conservati, e che siano conservati in una forma che consenta l’identificazione degli interessati per un periodo non superiore a quello necessario per le finalità per le quali sono conservati. Il diritto interno deve inoltre contenere garanzie idonee a proteggere efficacemente i dati personali registrati da usi impropri e abusi, fornendo al contempo una possibilità concreta di presentare una domanda di cancellazione dei dati memorizzati. La Corte EDU si è, tuttavia, premurata di precisare di essere pienamente consapevole del fatto che, per proteggere la popolazione come è loro dovere, le autorità nazionali devono istituire archivi che contribuiscano efficacemente al contrasto e alla prevenzione di alcuni reati, in particolare di quelli più gravi. Nondimeno, siffatti sistemi non devono essere attuati con una logica eccessiva di massimizzazione delle informazioni in essi contenute e della durata della loro conservazione ( 32 ). Su quest’ultimo punto, la Corte EDU ritiene che l’assenza di un termine massimo per la conservazione dei dati personali delle persone che sono state condannate non sia necessariamente incompatibile con l’articolo 8 della CEDU, ma che l’esistenza e il funzionamento di talune garanzie procedurali siano tanto più necessarie in tale ipotesi ( 33 ). D. Sull’ingerenza nei diritti fondamentali garantiti dagli articoli 7 e 8 della Carta 38. Come risulta dall’articolo 68 dello ZMVR e dalle osservazioni presentate dal governo bulgaro in udienza, i dati a cui si riferisce la normativa nazionale comprendono, in particolare, lo stato civile dell’interessato, i fatti censurabili di cui questi è sospettato o per i quali è stato condannato penalmente, le sue impronte digitali, fotografie e campioni di DNA prelevati a fini di profilazione. Dal momento che tali dati contengono, pertanto, informazioni su persone fisiche identificate, i diversi trattamenti di cui esse possono essere oggetto incidono sul diritto fondamentale al rispetto della vita privata, garantito dall’articolo 7 della Carta. Inoltre, i trattamenti di tali dati, quali quelli previsti dalla normativa nazionale, rientrano anche nell’articolo 8 della Carta a motivo del fatto che essi costituiscono trattamenti di dati personali ai sensi di tale articolo e devono, di conseguenza, soddisfare necessariamente gli obblighi di protezione dei dati previsti a detto articolo ( 34 ). 39. In linea con la Corte EDU, secondo la quale il mero fatto di conservare dati relativi alla vita privata di un individuo costituisce un’ingerenza ai sensi dell’articolo 8 della CEDU ( 35 ), la Corte ritiene che la conservazione dei dati costituisca, di per sé, un’ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, sanciti dagli articoli 7 e 8 della Carta, a prescindere dalla circostanza che le informazioni relative alla vita privata di cui trattasi abbiano o meno un carattere sensibile, che gli interessati abbiano o meno subito eventuali inconvenienti a causa di tale ingerenza o che i dati conservati siano o meno utilizzati successivamente ( 36 ). 40. Per quanto riguarda la gravità dell’ingerenza costituita dalla conservazione, questa è stabilita alla luce della natura di alcuni dati, in particolare i dati biometrici e genetici contenuti nell’archivio di polizia, in quanto la Corte ha qualificato come significativi i rischi rappresentati dal trattamento dei dati sensibili per i diritti e le libertà degli interessati, in particolare nel contesto dei compiti delle autorità competenti ai fini enunciati all’articolo 1, paragrafo 1, della direttiva 2016/680 ( 37 ). Al riguardo, il considerando 23 di tale direttiva precisa che, tenuto conto della complessità e del carattere sensibile delle informazioni di natura genetica, il rischio di utilizzo improprio e di riutilizzo dei dati da parte del titolare del trattamento per varie finalità è elevato. Quanto al considerando 51 di detta direttiva, esso enuncia che rischi per i diritti e le libertà delle persone fisiche possono derivare dal trattamento di dati suscettibili di cagionare danni fisici, materiali o morali, in particolare quando sono trattati dati genetici o biometrici per identificare in modo univoco una persona o dati relativi a condanne penali e a reati. 41. Anche la durata della conservazione dei dati nell’archivio di polizia contribuisce alla valutazione della gravità dell’ingerenza, in quanto tale conservazione può durare per tutta la vita della persona condannata penalmente. Infine, dall’articolo 26, paragrafo 6, dello ZMVR risulta che i dati personali possono essere trasferiti ad autorità competenti e destinatari degli [OSCURATO:PERSONA] membri dell’Unione, di organi e agenzie dell’Unione, di paesi terzi o di organizzazioni internazionali. Al riguardo, occorre ricordare che la direttiva 2016/680 ha lo scopo di agevolare la libera circolazione dei dati personali tra le autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione di sanzioni penali, inclusi la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica, all’interno dell’Unione e il trasferimento di tali dati verso paesi terzi e organizzazioni internazionali, al fine di garantire un’efficace cooperazione giudiziaria in materia penale e di polizia ( 38 ). A tale proposito, va ricordato che il diritto alla protezione dei dati di carattere personale richiede, in particolare, che la continuità del livello elevato di protezione delle libertà e dei diritti fondamentali riconosciuti dal diritto dell’Unione sia garantita in caso di trasferimento di dati personali dall’Unione a un paese terzo ( 39 ). 42. Alla luce di tutte le considerazioni che precedono, si deve concludere che la normativa nazionale di cui trattasi nel procedimento principale comporta ingerenze di una gravità certa nei diritti garantiti dagli articoli 7 e 8 della Carta, nella misura in cui, in particolare, essa mira a istituire uno strumento di conservazione continua di dati sensibili – suscettibili di varcare le frontiere dello Stato interessato – di persone condannate penalmente. E. Sulla giustificazione dell’ingerenza 43. Come è stato esposto, i diritti fondamentali sanciti dagli articoli 7 e 8 della Carta non appaiono come prerogative assolute e dall’articolo 52, paragrafo 1, della Carta risulta che quest’ultima ammette limitazioni all’esercizio di tali diritti, purché tali limitazioni siano previste dalla legge, rispettino il contenuto essenziale di tali diritti e, in ottemperanza al principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui ( 40 ). Secondo il considerando 26 della direttiva 2016/680, le autorità incaricate dell’applicazione della legge possono svolgere attività a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica, purché siano previste dalla legge e costituiscano una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei legittimi interessi della persona fisica interessata. 44. Per quanto riguarda il rispetto del principio di proporzionalità, occorre ricordare che la tutela del diritto fondamentale al rispetto della vita privata richiede, conformemente a una giurisprudenza costante della Corte, che le deroghe e le restrizioni alla tutela dei dati personali operino entro i limiti dello stretto necessario, fermo restando che, qualora sia possibile una scelta fra più misure appropriate al soddisfacimento dei legittimi obiettivi perseguiti, si deve ricorrere alla meno restrittiva. Inoltre, un obiettivo di interesse generale non può essere perseguito senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali interessati dalla misura, effettuando un contemperamento equilibrato tra, da un lato, l’obiettivo di interesse generale e, dall’altro, i diritti in questione, al fine di accertarsi che gli inconvenienti causati da tale misura non siano sproporzionati rispetto agli scopi perseguiti. Pertanto, la possibilità di giustificare una limitazione ai diritti garantiti dagli articoli 7 e 8 della Carta deve essere valutata misurando la gravità dell’ingerenza che una limitazione siffatta comporta, e verificando che l’importanza dell’obiettivo di interesse generale perseguito da tale limitazione sia in relazione con tale gravità ( 41 ). 1. Sul rispetto del principio di legalità 45. Il requisito secondo cui qualsiasi limitazione all’esercizio dei diritti fondamentali deve essere prevista dalla legge implica che la base giuridica che consente l’ingerenza in tali diritti deve definire essa stessa la portata della limitazione all’esercizio del diritto considerato. Al riguardo, la Corte ha dichiarato, inoltre, che la normativa recante una misura che consenta un’ingerenza siffatta deve prevedere regole chiare e precise che disciplinino la portata e l’applicazione della misura in questione e fissino requisiti minimi, di modo che le persone i cui dati personali siano stati trasferiti dispongano di garanzie sufficienti che consentano di proteggere efficacemente tali dati contro i rischi di abusi. Di conseguenza, la base giuridica di qualsiasi trattamento di dati personali che rientri nell’ambito di applicazione della direttiva 2016/680 deve – come il legislatore dell’Unione ha, del resto, sottolineato nel considerando 33 di tale regolamento – essere chiara e precisa, e la sua applicazione prevedibile per le persone che vi sono sottoposte. In particolare, queste ultime devono essere in grado di individuare le circostanze e le condizioni in cui può essere limitata la portata dei diritti conferiti loro da detta direttiva ( 42 ). 46. L’esame della normativa nazionale di cui trattasi, così come esposta nella decisione di rinvio e integrata dalle osservazioni del governo bulgaro, consente, a mio avviso, di ritenere soddisfatto il requisito relativo alla «qualità» della legge, fermo restando che quest’ultimo non esclude che la limitazione in questione sia formulata in termini sufficientemente ampi, in modo da potersi adattare a fattispecie diverse nonché ai cambiamenti di situazione ( 43 ). 47. Risulta quindi che l’iscrizione e la conservazione dei dati nell’archivio di polizia hanno come finalità esclusive, ai sensi dell’articolo 27 dello ZMVR, quelle della protezione della sicurezza nazionale, della lotta alla criminalità e del mantenimento dell’ordine pubblico, in quanto il trattamento è volto ad agevolare l’attività di indagine operativa descritta in dettaglio all’articolo 8 di tale legge ( 44 ). La portata del trattamento sotto il profilo della natura dei reati che vi rientrano, dei dati interessati, delle condizioni per la loro raccolta, delle basi informative in cui sono trattati e della durata della loro conservazione è definita in modo sufficientemente dettagliato all’articolo 68 dello ZMVR e all’articolo 28 del Naredba za reda za izvarshvane i snemane na politseyska registratsia (regolamento relativo alle modalità d’iscrizione nell’archivio di polizia e alla cancellazione di tale iscrizione; in prosieguo: lo «NRISPR»). La normativa nazionale prevede, esplicitamente e in conformità con il considerando 26 della direttiva 2016/680, procedure per garantire l’integrità e la riservatezza dei dati personali nonché la loro distruzione, attraverso informazioni fornite all’interessato, conformemente agli articoli 54 e 55 dello zakon za zashtita na lichnite danni (legge sulla protezione dei dati personali), in particolare per quanto riguarda i suoi diritti di richiedere al titolare del trattamento l’accesso ai dati, la loro rettifica o la loro cancellazione. Al riguardo, i motivi della cancellazione, la procedura e gli effetti della stessa sono precisati nell’articolo 68 dello ZMVR e negli articoli 18 e seguenti dello NRISPR. Tali disposizioni sono formulate con sufficiente precisione e chiarezza per consentire ai destinatari della legge di regolare la loro condotta e soddisfano pertanto il requisito della prevedibilità derivante dalla giurisprudenza della Corte EDU ( 45 ). 2. Sul rispetto del contenuto essenziale dei diritti fondamentali garantiti dagli articoli 7 e 8 della Carta 48. Per quanto riguarda il contenuto essenziale del diritto fondamentale al rispetto della vita privata, sancito dall’articolo 7 della Carta, la natura delle informazioni contenute nell’archivio di polizia si limita a un aspetto specifico di tale vita privata, relativo al passato penale dell’interessato, che non consente di trarre conclusioni relative, in generale, alla vita privata di tale persona, come le sue abitudini di vita quotidiana, i suoi luoghi permanenti o temporanei di soggiorno, i suoi spostamenti quotidiani o di altro tipo, le attività svolte, le sue relazioni sociali e gli ambienti sociali da esso frequentati, e quindi di tracciare il suo profilo. Per quanto riguarda il contenuto essenziale del diritto alla protezione dei dati personali, sancito dall’articolo 8 della Carta, le precedenti considerazioni mostrano che la normativa nazionale in questione circoscrive le finalità del trattamento dei dati e prevede un elenco esaustivo dei dati conservati e norme volte a garantirne l’accesso e la rettifica o la cancellazione. In tali circostanze, l’ingerenza derivante dalla conservazione dei dati prevista da tale normativa non pregiudica il contenuto essenziale dei diritti fondamentali sanciti dagli articoli citati ( 46 ). 3. Sull’obiettivo di interesse generale e sull’idoneità del trattamento dei dati in questione in relazione a tale obiettivo 49. Come osservato nelle presenti conclusioni, i dati derivanti dall’iscrizione delle persone nell’archivio di polizia ai sensi dell’articolo 68 dello ZMVR sono utilizzati ai fini della protezione della sicurezza nazionale, della lotta alla criminalità e del mantenimento dell’ordine pubblico. Il governo bulgaro ha indicato che i dati sono raccolti e trattati ai fini del procedimento penale nell’ambito del quale l’interessato è stato indagato, nonché per essere confrontati con altri dati raccolti nel corso di indagini relative ad altri reati. Tale ultima finalità riguarda, altresì, il confronto con dati raccolti in altri [OSCURATO:PERSONA] membri ( 47 ). 50. Tale governo ritiene che tale trattamento rientri nell’ambito dell’attività di indagine operativa descritta all’articolo 8 dello ZMVR, le cui finalità sono così definite: la prevenzione e l’individuazione dei reati, delle minacce alla sicurezza nazionale e delle violazioni dell’ordine pubblico; la ricerca di persone che si sottraggono alla loro responsabilità penale o che si sono sottratte all’esecuzione di una pena nell’ambito di procedimenti penali perseguibili d’ufficio, nonché la ricerca di persone scomparse; la ricerca di oggetti che costituiscono l’oggetto o lo strumento della commissione di un reato o che possono servire come prove, nonché la preparazione e la conservazione delle prove materiali e la loro presentazione alle autorità giudiziarie competenti. 51. La Corte ha precisato che l’obiettivo di protezione della sicurezza pubblica costituisce un obiettivo di interesse generale dell’Unione che può giustificare ingerenze, anche gravi, nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta. Del resto, una tale protezione contribuisce altresì alla tutela dei diritti e delle libertà altrui. A tale proposito, l’articolo 6 della Carta enuncia il diritto di ogni persona non solo alla libertà, ma anche alla sicurezza, garantendo, al contempo, diritti corrispondenti a quelli di cui all’articolo 5 della CEDU ( 48 ). Nella causa relativa alla compatibilità della raccolta dei dati registrati nel medesimo archivio di polizia bulgara, la Corte ha statuito chiaramente che tale trattamento riguardante persone indagate nell’ambito di un procedimento penale, ai fini della loro registrazione, persegue le finalità enunciate all’articolo 1, paragrafo 1, della direttiva 2016/680, in particolare quelle relative alla prevenzione, all’indagine, all’accertamento e al perseguimento di reati, che costituiscono obiettivi di interesse generale riconosciuti dall’Unione. Essa ha aggiunto che una siffatta raccolta può contribuire all’obiettivo enunciato al considerando 27 della direttiva 2016/680, secondo cui, nell’interesse della prevenzione, dell’indagine nonché del perseguimento di reati, è necessario che le autorità competenti trattino i dati personali raccolti a fini di prevenzione, indagine, accertamento o perseguimento di specifici reati al di là di tale contesto per sviluppare conoscenze delle attività criminali e mettere in collegamento i diversi reati accertati ( 49 ). Tali considerazioni si applicano certamente alla misura di conservazione dei dati. 52. Il fatto che la conservazione dei dati nell’archivio di polizia sia un trattamento che consente di raggiungere gli obiettivi di interesse generale di accertamento e, di conseguenza, di prevenzione dei reati mi sembra difficilmente contestabile. È evidente che un archivio di polizia contenente i dati relativi all’identità civile, le fotografie, i dati biometrici e genetici degli individui registrati – e quindi le caratteristiche fisiche uniche e non falsificabili di una persona – costituisce uno strumento di indagine pienamente rilevante per i servizi di sicurezza ai fini dell’accertamento dei reati e per identificarne gli autori. In tal senso, la normativa nazionale in esame soddisfa criteri oggettivi, stabilendo una relazione tra i dati da conservare e l’obiettivo perseguito ( 50 ). 4. Sul carattere necessario e proporzionato dell’ingerenza in questione 53. Se la conservazione dei dati nell’archivio di polizia in questione è manifestamente idonea a realizzare l’obiettivo di interesse generale perseguito, resta da verificare se l’ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta, risultante da siffatta conservazione, sia limitata allo stretto necessario, nel senso che l’obiettivo non potrebbe ragionevolmente essere conseguito in modo altrettanto efficace con altri mezzi meno lesivi di tali diritti fondamentali delle persone interessate, e se essa non sia sproporzionata rispetto a tale obiettivo, il che implica, in particolare, una ponderazione dell’importanza di quest’ultimo e della gravità di detta ingerenza ( 51 ). 54. Nell’effettuare tale verifica, occorre tenere conto, nel caso di specie, dell’oggetto dell’archivio di polizia, della natura dei reati in questione e del numero di persone che possono esservi iscritte, della particolare sensibilità dei dati personali raccolti e della durata della loro conservazione, delle garanzie giuridiche e/o tecniche previste dalla normativa nazionale per la consultazione dell’archivio e per il controllo sulla conservazione dei dati ivi contenuti. a) Sull’oggetto dell’archivio 55. Nelle sue osservazioni scritte, il governo irlandese ha sostenuto, in sostanza, che la conservazione dei dati poteva essere necessaria ai fini del relativo controllo, a servizio dell’interesse pubblico in materia di prevenzione della criminalità e di salvaguardia della sicurezza pubblica. Pertanto, le informazioni contenute in un archivio di polizia dovrebbero poter essere consultate, non solo per ricercare gli autori di reati, ma anche a fini di polizia amministrativa, nell’ambito delle indagini che precedono le decisioni di assunzione o di abilitazione relativamente a determinati impieghi pubblici o sensibili, in quanto lo scopo è quello di verificare che la condotta degli interessati non sia incompatibile con l’esercizio di tali funzioni. 56. Nel corso dell’udienza, il governo bulgaro ha confermato ciò che si poteva dedurre dalla formulazione esplicita dell’articolo 27 dello ZMVR, ovvero che l’archivio di polizia di cui trattasi è uno strumento di assistenza alle indagini giudiziarie e non amministrative. Tale constatazione riveste una certa importanza per quanto riguarda le conseguenze connesse all’iscrizione di una persona in un archivio dei precedenti, nel senso che lo svantaggio di essere schedati non si associa all’impossibilità di svolgere determinate attività professionali ( 52 ). L’inserimento nell’archivio di polizia in questione non è né una punizione né una sanzione aggiuntiva, il suo scopo è chiaramente limitato all’indagine giudiziaria e il suo utilizzo è riservato a servizi vincolati a un obbligo di riservatezza. 57. Ciò nondimeno, si tratta di un archivio unico con finalità di polizia giudiziaria estremamente ampie, contenente una vasta gamma di informazioni – dalle semplici informazioni relative allo stato civile ai dati biometrici e genetici – ed un elenco di persone con diversi status processuali. Piuttosto che un unico e identico trattamento comprensivo dell’insieme delle informazioni, in altri sistemi giuridici si è ritenuto preferibile prevedere una pluralità di archivi di polizia con finalità specifiche, con un unico utilizzo e dove registrare una tipologia di dati. b) Sui reati e sulle persone interessate 58. La conservazione dei dati nell’archivio di polizia riguarda le persone indagate e condannate per reati intenzionali perseguiti d’ufficio, nel senso che l’accusa è mossa dal pubblico ministero. In base alle indicazioni del governo bulgaro, tale categoria esclude i reati non intenzionali, le infrazioni e i reati di natura privata, nonché alcuni reati soggetti a sanzione amministrativa. È già stato osservato che la maggior parte dei reati previsti dal codice penale sono intenzionali e quasi tutti sono perseguibili d’ufficio ( 53 ). 59. È giocoforza constatare che la normativa nazionale non fa riferimento a reati elencati tassativamente, non distingue i reati in base alla loro natura, che è a sua volta legata alla gravità dei fatti e alla pena applicabile, né include un criterio relativo all’esatta entità di una pena detentiva. Un’unica ampia categoria racchiude quindi una varietà di comportamenti illeciti, con, certamente, una riserva connessa alla necessità del dolo intenzionale, il che porta ad escludere a priori i reati di lieve gravità per i quali è sufficiente la mera commissione materiale del reato ( 54 ), nonché i reati caratterizzati da una semplice imprudenza o negligenza. Invitato all’udienza a specificare il contenuto della categoria di reati in questione, il governo bulgaro si è purtroppo limitato a indicare che non si tratta solo di reati punibili con una pena detentiva di almeno cinque anni. 60. Per quanto riguarda le persone interessate, va osservato che il trattamento controverso dei dati trova una limitazione relativa all’età di queste ultime, poiché dall’articolo 4 dello NRISPR risulta che i minori non sono soggetti alla registrazione nell’archivio di polizia, il che riduce quindi il numero di persone iscritte in tale archivio. La misura in questione distingue due categorie di persone: quelle indagate e quelle condannate penalmente. Le persone così individuate sono state precedentemente identificate, nell’ambito delle procedure nazionali applicabili e sulla base di elementi oggettivi e non discriminatori, come soggetti che costituiscono una minaccia per la sicurezza pubblica o per il mantenimento dell’ordine pubblico. [OSCURATO:PERSONA] membri hanno la facoltà di adottare misure di conservazione di dati nei confronti di persone che, nell’ambito di una tale identificazione, sono oggetto di indagine – ovvero una categoria di persone per le quali vi sono seri motivi di ritenere che abbiano commesso un reato – oppure di una condanna che riflette il fatto che sono state dichiarate penalmente responsabili, situazioni queste che possono comportare un elevato rischio di recidiva ( 55 ). La recidiva, intesa nella più ampia accezione comune di reiterazione di un reato, è un fenomeno che ogni Stato membro tenta di misurare e di cui cerca di comprendere i fattori determinanti, un compito questo delicato perché dipende dalla disponibilità di dati statistici oggettivi e affidabili relativi alla delinquenza. Quando questi esistono, essi possono rivelare che i precedenti penali sono un importante fattore determinante di recidiva ( 56 ). 61. È inoltre importante sottolineare che le persone indagate e i loro dati sono destinati a «sparire» dall’archivio di polizia quando il procedimento penale a loro carico si conclude con una decisione di archiviazione o di assoluzione ai sensi dell’articolo 68 dello ZMVR, il che ovviamente incide sul numero di persone iscritte nell’archivio, che il governo bulgaro non è stato in grado di trasmettere ( 57 ). c) Sulla natura dei dati e sul periodo di conservazione 62. Per quanto riguarda i dati in questione, la Corte ha statuito che, in considerazione della tutela rafforzata delle persone riguardo al trattamento di dati sensibili, occorre che il titolare di tale trattamento si assicuri che tale obiettivo non possa essere soddisfatto facendo ricorso a categorie di dati diverse da quelle elencate all’articolo 10 della direttiva 2016/680 ( 58 ). Come è stato esposto, i dati di cui è prevista la conservazione sono chiaramente di natura tale da contribuire alla prevenzione, all’accertamento o al perseguimento di reati connessi alla lotta alla criminalità e al mantenimento dell’ordine pubblico. Parimenti, trovo difficile ritenere che tali finalità possano essere soddisfatte con la stessa efficacia solo sulla base di informazioni sullo stato civile o di immagini fotografiche dell’interessato, pena un’eccessiva limitazione della capacità degli inquirenti di accertare i reati sulla base di un confronto tra i dati raccolti nel corso delle indagini e quelli registrati nell’archivio nel corso di precedenti indagini ( 59 ). Fortunatamente è finito il tempo in cui la confessione era considerata la prova principale, e le prove raccolte dai servizi di polizia tecnica e scientifica hanno sostituito fruttuosamente, nella gerarchia probatoria, una prova discutibile. Si può quindi concludere che i dati in questione sono al contempo pertinenti e non eccessivi rispetto alle finalità assegnate al trattamento. 63. Si noti, inoltre, che la normativa nazionale in questione non prevede un periodo massimo preciso per la conservazione delle informazioni registrate nell’archivio, essendo i dati conservati solo per la durata del procedimento, che si conclude con una decisione di archiviazione o di assoluzione, per alcune persone indagate, ma, nel caso di persone condannate in via definitiva, per il resto della loro vita. In base alle informazioni fornite in udienza dal governo bulgaro – che spetterà al giudice verificare – la cancellazione avviene d’ufficio al decesso dell’interessato, e gli eredi dispongono del diritto di chiedere la cancellazione dell’iscrizione ai sensi dell’articolo 68, paragrafo 6, dello ZMVR. Si pone la questione se si debba ritenere che tale situazione corrisponda, in relazione ai termini dell’articolo 5 della direttiva 2016/680, alla mancata fissazione di termini adeguati per la cancellazione dei dati personali, nel senso che la nozione di termine dovrebbe necessariamente corrispondere a un periodo espresso in anni, mesi o giorni. In caso affermativo, la stessa disposizione implicherebbe, in via alternativa, la fissazione, nella normativa nazionale, di termini per la verifica periodica della necessità di conservare tali dati ( 60 ). 64. Per quanto riguarda i dati delle persone indagate e tenuto conto della scelta del legislatore bulgaro di non conservarli in assenza di condanne penali al termine del procedimento che li riguarda, la durata necessariamente aleatoria di quest’ultimo difficilmente consente altre scelte se non quella di formalizzare un limite temporale per evitare una durata eccessiva del procedimento. Per quanto riguarda i condannati, ritengo che la menzione del decesso sia effettivamente quella di un limite temporale, legato alla vita biologica dell’interessato, poiché esclude qualsiasi qualificazione di durata indefinita o illimitata per la conservazione dei dati ( 61 ). La scadenza del periodo di conservazione è predeterminata anche se la data esatta è, per definizione, indeterminata. In ogni caso, rilevo che in udienza il governo bulgaro ha indicato che esiste una verifica periodica interna delle iscrizioni nell’archivio, effettuata nel caso di specie ogni tre mesi, il che soddisfa i requisiti di cui all’articolo 5 della direttiva 2016/680. 65. Tuttavia, è innegabile che, a seconda dell’età a cui l’interessato sarà registrato nell’archivio e dell’età del suo decesso, la conservazione può rivelarsi molto lunga, di una durata superiore a quella prevista per l’accertamento di una recidiva o al temine di prescrizione dell’azione pubblica per il reato più grave ( 62 ). Tale periodo di conservazione è tuttavia giustificato dalla finalità del trattamento per la polizia giudiziaria, ossia la raccolta di indizi e di prove al fine di identificare gli autori di reati passati o futuri, considerato che il rischio relativo ai reati, gravi o meno, presenta un carattere generale e permanente ( 63 ). La risoluzione talvolta molto tardiva di casi irrisolti dimostra sia la grande difficoltà con cui si devono confrontare i servizi inquirenti, sia la rilevanza della conservazione a lungo termine dei dati biometrici e genetici raccolti negli archivi ( 64 ). d) Sull’esistenza di garanzie giuridiche e tecniche in materia di conservazione e accesso ai dati 66. La proporzionalità dell’ingerenza derivante dalla conservazione dei dati che si trovano nell’archivio di polizia non può essere esaminata indipendentemente dalle norme che disciplinano l’accesso a tale archivio e il controllo relativo alla giustificazione del mantenimento dei dati in quest’ultimo. Secondo la Corte EDU, quando uno Stato si attribuisce il più ampio potere di conservazione a tempo indeterminato, l’esistenza e il funzionamento di alcune garanzie effettive diventano decisive. Pertanto, il diritto nazionale deve contenere garanzie idonee a proteggere efficacemente i dati personali registrati da un uso improprio e abusivo e consentire la cancellazione di tali dati una volta che la continuazione della loro conservazione diventi sproporzionata, in particolare offrendo la possibilità concreta di presentare una domanda di cancellazione dei dati memorizzati ( 65 ). 1) Sulle condizioni di consultazione dell’archivio 67. Dai considerando 28, 56 e 57 della direttiva 2016/680 e dai suoi articoli 24, 25 e 29, si evince che gli [OSCURATO:PERSONA] membri devono adottare misure per assicurare che i dati personali siano trattati in modo da garantirne un’adeguata sicurezza e riservatezza, in particolare impedendo l’accesso o l’utilizzo non autorizzato dei dati personali e delle attrezzature impiegate per il trattamento. Tali misure comprendono la tenuta da parte del titolare del trattamento di registri che possono fornire all’autorità di controllo, su sua richiesta, un certo numero di informazioni sul trattamento dei dati effettuato, nonché di registri per alcune operazioni di trattamento quali la consultazione, il trasferimento e la cancellazione. Ai sensi del considerando 60 della direttiva 2016/680, il titolare del trattamento deve attuare misure per limitare i rischi, precedentemente valutati, inerenti al trattamento interessato, rischi che riguardano, in particolare, la divulgazione nonché l’accesso non autorizzati ai dati. 68. In udienza, il governo bulgaro ha dichiarato che la normativa nazionale soddisfa tali requisiti, facendo riferimento all’esistenza di un corpus normativo che prevede, in particolare, la compilazione di elenchi nominativi di funzionari aventi accesso ai dati, la necessità per ciascun utente di indicare la giustificazione del proprio diritto di accesso, la propria identità, nonché la data e l’ora dell’accesso ( 66 ). Tali garanzie relative alla cerchia delle persone autorizzate a consultare l’archivio e alle modalità di consultazione di quest’ultimo sembrano idonee ad evitare qualsiasi abuso o uso fraudolento dell’accesso agli archivi e quindi una violazione eccessiva dei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta, la cui verifica spetterà al giudice del rinvio. 2) Sul controllo della conservazione dei dati nell’archivio 69. È pacifico che il suddetto controllo, previsto dall’articolo 68, paragrafo 6, dello ZMVR, ha una duplice natura, in quanto viene effettuato d’ufficio dalle autorità competenti, sotto forma di autocontrollo, e su domanda motivata dell’interessato o dei suoi eredi, laddove i motivi di cancellazione di un’iscrizione dall’archivio sono esaustivamente indicati in tale disposizione per entrambe le ipotesi. Tra tali motivi non rientra la situazione di una persona cui è stata concessa la riabilitazione, con conseguente cancellazione della condanna in questione dal suo casellario giudiziale; solo il motivo di cui all’articolo 68, paragrafo 6, punto 1, dello ZMVR, relativo a una registrazione effettuata in violazione della legge, può giustificare una domanda di cancellazione dall’archivio da parte di una persona condannata penalmente, presentata, come nel caso di specie, mentre era ancora in vita, e quindi prima della scadenza del termine legale di conservazione fissato al momento del suo decesso. 70. Interrogato in udienza sulla portata dell’articolo 68, paragrafo 6, dello ZMVR, alla luce dell’applicazione di tale disposizione da parte delle autorità e dei giudici competenti, il governo bulgaro ha precisato che tale disposizione consentiva di modificare un’iscrizione relativa a un indagato divenuta errata a seguito di una riqualificazione del reato da parte del giudice. Esso ha escluso qualsiasi possibilità di cancellare un’iscrizione dall’archivio a seguito di una riabilitazione del condannato. Ricordo, al riguardo, che l’archivio di cui trattasi costituisce uno strumento investigativo volto ad agevolare l’attività operativa della polizia giudiziaria, e non propriamente un archivio penale come il casellario giudiziale. Tali due strumenti non rispondono alla medesima finalità: l’uno è una memoria al servizio esclusivo degli inquirenti per consentire loro, nel lungo periodo, di accertare reati passati o futuri, mentre l’altro è dedicato a guidare il lavoro dei giudici al momento della pronuncia di una sanzione penale in una determinata causa. In tal modo, a seguito della riabilitazione che ha comportato la cancellazione della condanna dal casellario giudiziale, la persona potrebbe eventualmente avere il vantaggio di trovarsi nella situazione di un individuo che ha commesso un reato per la prima volta, che può beneficiare di pene più leggere o di adeguamenti della pena. Tuttavia, la conservazione dei suoi dati nell’archivio resta necessaria, in linea di principio, in considerazione dell’obiettivo più ampio di quest’ultimo relativo all’accertamento e alla prevenzione dei reati. 71. Ciò non toglie che dalle osservazioni del governo bulgaro emerga che il motivo di cui all’articolo 68, paragrafo 6, punto 1, dello ZMVR non comprende una valutazione della necessità della conservazione dei dati nella sua dimensione temporale. Mi sembra non vi sia alcuna disposizione nella normativa nazionale, né alcuna prassi amministrativa o giudiziaria, che consenta all’autorità competente di cancellare l’iscrizione dall’archivio, nell’ambito delle verifiche trimestrali, oppure all’interessato di chiederne la cancellazione se la conservazione dei dati personali non risulta più necessaria tenuto conto del tempo trascorso dalla registrazione. Neppure il giudice del rinvio, chiamato a esaminare la legittimità della decisione di rigetto della domanda di cancellazione, sembra essere in grado di effettuare una tale valutazione. F. Conclusione intermedia 72. Si pone la questione se si possa ritenere che i criteri utilizzati ai fini della conservazione dei dati, come sopra descritti, siano sufficientemente mirati, proporzionati e specifici e che il trattamento dei dati personali di cui trattasi rispetti i limiti dello stretto necessario o dell’assoluta necessità. La Corte potrebbe dare una risposta negativa a tale interrogativo per i seguenti motivi. 73. È importante sottolineare, in primo luogo, che la questione della necessità di conservare i dati personali è particolarmente spinosa quando il trattamento di questi ultimi è autorizzato, come nel caso di specie, a fini preventivi. A tale proposito, il vero criterio che giustifica la registrazione e la conservazione dei dati nell’archivio di polizia in questione è costituito dalla pericolosità degli interessati, il che implica una valutazione dei rischi. Nel caso in esame, è giocoforza constatare che tale valutazione si limita al solo riscontro dell’esistenza di un sospetto o della commissione accertata di un reato intenzionale, il che rappresenterebbe un criterio davvero poco specifico, trattandosi di un elemento costitutivo dei reati e della base stessa della responsabilità penale. Pertanto, mi sembra che la disciplina nazionale relativa alla conservazione tenga conto di un grado minimo di gravità in relazione al reato e che copra un’ampia gamma di minacce all’ordine sociale, senza richiedere a priori una sanzione consistente in una pena detentiva, il che significa che si può ritenere che essa si applichi indipendentemente dalla natura o dalla gravità del reato ( 67 ). Ricordo che la Corte ha ritenuto che la normativa bulgara, quale quella oggetto del procedimento principale, che prevede la raccolta dei dati biometrici e genetici di qualsiasi indagato per un reato intenzionale perseguibile d’ufficio, è contraria, in linea di principio, al requisito enunciato all’articolo 10 della direttiva 2016/680, in quanto può condurre, in modo indifferenziato e generalizzato, a tale raccolta, dal momento che la nozione di «reato intenzionale perseguibile d’ufficio» riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura e dalla loro gravità ( 68 ). 74. Se da un lato gli studi statistici possano rivelare che i precedenti penali sono un importante fattore determinante della recidiva, dall’altro essi evidenziano anche l’esistenza di fattori oggettivi che aggravano il rischio di recidiva, relativi, in particolare, al genere, all’età e alla natura del reato iniziale, alla durata della reiterazione della condotta delinquenziale e al fatto che la reiterazione di reato è molto legata alla natura del reato all’origine della detenzione ( 69 ). Orbene, utilizzando qualsiasi condanna per un reato intenzionale, compresa la prima ( 70 ), come criterio per la conservazione dei dati fino al decesso dell’interessato, sembra che la logica sottesa al trattamento di tali dati sia quella di una conoscenza particolarmente estesa del percorso delinquenziale, sia in termini di natura e/o gravità degli atti criminali che dell’età del reo. In linea con la Corte EDU, ci si può chiedere se, portata in qualche modo all’estremo, tale tipo di logica non equivalga in pratica a giustificare l’archiviazione di informazioni sull’intera popolazione e sui genitori deceduti, il che sarebbe certamente eccessivo e irrilevante ( 71 ). Osservo che la Corte ha ritenuto che il solo fatto che una persona sia indagata per un reato intenzionale perseguibile d’ufficio non può essere considerato un elemento che consente, di per sé, di presumere che la raccolta dei suoi dati biometrici e genetici sia strettamente necessaria alla luce delle finalità che essa persegue ( 72 ). 75. In secondo luogo, sembra che i dati siano conservati indipendentemente dalla necessità di memorizzarli fino al decesso dell’interessato. Alla luce della formulazione dell’articolo 68, paragrafo 6, dello ZMVR e dell’interpretazione che ne è stata data, le autorità competenti sono autorizzate a cancellare i dati solo in circostanze eccezionali, non correlate a cambiamenti sopravvenuti nella situazione di tale interessato dopo l’inserimento dei dati nell’archivio. Lo stesso vale logicamente per lo strumento della cancellazione, previsto dallo stesso testo, di cui dispone detta persona, che non è sufficientemente efficace in quanto non consente di verificare che il periodo di conservazione dei dati sia proporzionato allo scopo dell’ingerenza in questione. Tale valutazione dovrebbe tenere conto di vari criteri, quali la natura e la gravità dei fatti accertati, il tempo trascorso dai fatti, il periodo legale di conservazione rimanente o l’età del richiedente nel caso di specie, e ciò alla luce della sua situazione personale, con riferimento all’età in cui ha commesso i fatti, al suo comportamento da allora (integrazione sociale, risarcimento delle vittime) e alla sua personalità, in quanto la concessione di una riabilitazione può, in tale contesto, essere un elemento della valutazione complessiva. In tali circostanze, il controllo a disposizione della persona iscritta nell’archivio appare così ristretto da risultare quasi ipotetico ( 73 ). 76. Le conclusioni di cui sopra devono essere considerate alla luce del fatto che dati sensibili possono essere conservati per un periodo molto lungo e che l’archivio di cui trattasi è in grado di offrire ai suoi utenti funzioni di utilizzo degli stessi – in particolare in termini di identificazione, analisi e confronto – altamente invasive. Occorre rilevare che, ai sensi dell’articolo 68, paragrafo 3, dello ZMVR, per esigenze relative all’iscrizione nell’archivio di polizia le autorità di polizia devono effettuare prelievi a fini di «profilazione del DNA» delle persone e fotografarle, potendo queste, se del caso, essere soggette all’applicazione di tecniche di riconoscimento facciale. V. Conclusione 77. Alla luce delle precedenti considerazioni, propongo alla Corte di rispondere come segue al Varhoven administrativen sad (Corte suprema amministrativa, Bulgaria): Gli articoli 4, 5, 8, 10 e l’articolo 16, paragrafo 2, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, letti in combinato disposto e alla luce dell’articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea, devono essere interpretati nel senso che: ostano a una legislazione nazionale che prevede la conservazione di dati personali in un archivio di polizia, inclusi i dati biometrici e genetici, di qualsiasi persona condannata penalmente per un reato intenzionale, senza alcuna ulteriore differenziazione relativamente alla natura o alla gravità del reato, e ciò fino al decesso di quest’ultima, senza alcuna possibilità di un controllo relativo al mantenimento dei dati ivi contenuti alla luce del tempo trascorso dalla loro registrazione e, se del caso, di ottenerne successivamente la cancellazione. La verifica della proporzionalità del periodo di conservazione dei dati a fini di trattamento alla luce della situazione della persona condannata può includere la riabilitazione a quest’ultima concessa. ( 1 ) Lingua originale: il francese. ( 2 ) Direttiva del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( GU 2016, L 119, pag. 89 ). ( 3 ) Regolamento del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 4 ) V., al riguardo, sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) ( C‑439/19 , EU:C:2021:504 , punti da 61 a 67 ). Nella sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punto 61 ), la Corte ha precisato che l’obiettivo di preservare la sicurezza nazionale corrisponde all’interesse primario di tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società mediante la prevenzione e la repressione delle attività idonee a destabilizzare gravemente le strutture costituzionali, politiche, economiche o sociali fondamentali di un paese, e in particolare a minacciare direttamente la società, la popolazione o lo Stato in quanto tale, quali in particolare le attività di terrorismo. ( 5 ) È vero che in pratica una tale verifica può apparire delicata da attuare in presenza di un unico archivio di polizia onnicomprensivo, considerato che la registrazione e la conservazione dei dati seguono una logica che è al contempo retrospettiva e prospettica che non si presta necessariamente a una differenziazione oggettiva dei trattamenti in questione sulla base di una finalità specifica. ( 6 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 135 ). Rilevo che la Corte si è precedentemente pronunciata su una questione di compatibilità dell’articolo 52, paragrafo 1, della Carta con la normativa bulgara che ha la particolarità di fare riferimento al RGPD e con una disposizione di diritto interno che recepisce l’articolo 10 della direttiva 2016/680, senza che quest’ultima sia formalmente richiamata. La Corte ha dichiarato che il trattamento di dati biometrici e genetici da parte delle autorità di polizia per le loro attività di ricerca, «a fini di lotta contro la criminalità e di tutela dell’ordine pubblico», è autorizzato dal diritto dello Stato membro, ai sensi dell’articolo 10, lettera a), di tale direttiva, se il diritto di tale Stato membro contiene una base giuridica sufficientemente chiara e precisa per autorizzare detto trattamento, poiché il suddetto duplice riferimento non è di per sé idoneo a rimettere in discussione l’esistenza di una simile autorizzazione, purché dall’interpretazione di tutte le disposizioni applicabili del diritto nazionale risulti in modo sufficientemente chiaro, preciso e inequivocabile che il trattamento di dati biometrici e genetici in questione rientra nell’ambito di applicazione di tale direttiva, e non del RGPD. ( 7 ) Sentenza dell’8 maggio 2019, PI ( C‑230/18 , EU:C:2019:383 , punto 42 ). ( 8 ) Il rispetto dell’articolo 4, paragrafo 1, lettera b), della direttiva 2016/680, ai sensi del quale i dati sono raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità, non è in discussione nel caso di specie, poiché la finalità del trattamento successivo alla raccolta dei dati, ossia la loro conservazione, è identica a quella della raccolta. ( 9 ) L’articolo 26 dello ZMVR stabilisce che i termini per la conservazione dei dati personali o per la verifica periodica della necessità della loro archiviazione sono fissati dal Ministro dell’Interno. In udienza, il governo bulgaro ha indicato che tale verifica avviene ogni tre mesi. ( 10 ) Sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) ( C‑439/19 , EU:C:2021:504 , punto 105 ). ( 11 ) Rilevo che l’articolo 18 della direttiva 2016/680, ai sensi del quale gli [OSCURATO:PERSONA] membri possono disporre che i diritti previsti in particolare all’articolo 16 siano esercitati conformemente al diritto di uno Stato membro qualora i dati personali figurino in una decisione giudiziaria, in un casellario o in un fascicolo giudiziario oggetto di trattamento nel corso di un’indagine e di un procedimento penale, non mi sembra pertinente, in quanto l’archivio di cui trattasi costituisce uno strumento diretto a facilitare l’attività operativa dei servizi inquirenti, di cui è responsabile il Ministro dell’Interno, e non propriamente uno strumento giudiziario del tipo di quelli summenzionati. ( 12 ) V., in tal senso, sentenze del 25 febbraio 2021, Commissione/Spagna (Direttiva sui dati personali – Settore penale) ( C‑658/19 , EU:C:2021:138 , punto 75 ), e del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , punto 61 ). ( 13 ) V., per analogia, sentenza del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , punti 62 e 69 ). ( 14 ) V., per analogia, sentenza del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) ( C‑439/19 , EU:C:2021:504 , punto 98 ). ( 15 ) V., in tal senso, sentenze del 7 maggio 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , punto 33 ), e del 13 maggio 2014, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C‑131/12 , EU:C:2014:317 , punto 92 ). ( 16 ) V., per analogia, sentenza del 20 ottobre 2022, Digi ( C‑77/21 , EU:C:2022:805 , punto 54 ). ( 17 ) Di tale questione tengono conto anche il considerando 26 e l’articolo 4, paragrafo 3, della direttiva 2016/680, da cui emerge che il legislatore dell’Unione ha previsto una possibilità di conservare a lungo termine i dati archiviati nel pubblico interesse e ai fini di un utilizzo scientifico, statistico o storico, per le finalità di cui all’articolo 1, paragrafo 1, di tale direttiva, fatte salve le garanzie adeguate per i diritti e le libertà degli interessati. Tale situazione non ricorre nel caso di specie, in quanto la conservazione dei dati nell’archivio di polizia ha uno scopo puramente operativo, ovvero quello di facilitare l’attività dei servizi inquirenti ai fini dell’accertamento dei reati. ( 18 ) È legittimo chiedersi se l’articolo 5 della direttiva 2016/680 non contenga intrinsecamente una forma di contraddizione logica. Infatti, ai sensi di tale disposizione, possono dunque esistere dati personali trattati dai servizi di contrasto, per i quali non sarebbe opportuno prevedere limiti temporali per la loro cancellazione, ma, in una tale situazione di conservazione a tempo indeterminato, occorre prevedere un esame periodico, da parte delle autorità competenti, della necessità di conservare tali dati e la possibilità di cancellarli, qualora la conservazione non sia più giustificata rispetto alle finalità del trattamento. Tuttavia, è comprensibile e accettabile che lo scopo, legittimo, sia quello di fornire un rimedio per prevenire gli abusi nell’attuazione di un dispositivo intrusivo. ( 19 ) La presente causa riguarda un rifiuto assoluto di cancellazione, le cui motivazioni devono essere fornite al ricorrente ai sensi dell’articolo 16, paragrafo 4, della direttiva 2016/680, che prevede, tuttavia, che gli [OSCURATO:PERSONA] membri possano adottare misure legislative volte a limitare in tutto o in parte tale obbligo, in particolare per non compromettere la prevenzione, l’indagine, l’accertamento e il perseguimento di reati. ( 20 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punti da 116 a 118 ). Alla luce di tali considerazioni, si pone la questione se la Corte subordini la liceità del trattamento dei dati sensibili ai sensi della direttiva 2016/680 al rispetto di un criterio che va al di là di quello solitamente applicato a qualsiasi tipo di dati nella giurisprudenza della Corte in materia di protezione dei dati personali, ossia il rispetto dei limiti di ciò che è «strettamente necessario» per il trattamento in questione. In risposta a un’osservazione del governo francese sul fatto che, in alcune versioni linguistiche, l’articolo 10 della direttiva 2016/680 fa riferimento ai casi in cui il trattamento dei dati è «strettamente necessario», la Corte ha risposto, al punto 119 di tale sentenza, che tale variazione terminologica non modifica la natura del criterio così considerato e il livello di rigore richiesto, dal momento che anche tali versioni linguistiche definiscono una condizione rafforzata affinché sia autorizzato il trattamento di dati sensibili, che implica una valutazione più rigorosa della sua necessità rispetto al caso in cui i dati trattati non rientrino nell’ambito di applicazione di detto articolo. Tuttavia, tale distinzione concettuale tra il grado di intensità della necessità del trattamento e la difficoltà della sua attuazione in un caso concreto resta discutibile. ( 21 ) V., inter alia, sentenze del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. ( C‑511/18, C‑512/18 e C‑520/18 , EU:C:2020:791 ), e del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 ). ( 22 ) Direttiva del Parlamento europeo e del Consiglio del 12 luglio 2002 relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) ( GU 2002, L 201, pag. 37 ). ( 23 ) Parere 1/15 (Accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( UE:C:2017:592 ) e sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , UE:C:2022:491 ). ( 24 ) Parere 1/15 (Accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( EU:C:2017:592 , punti 132 , 204 e 205 ). ( 25 ) Direttiva del Parlamento europeo e del Consiglio del 27 aprile 2016 sull’uso dei dati del codice di prenotazione (PNR) a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi ( GU 2016, L 119, pag. 132 ). ( 26 ) Sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punti da 35 a 37 ). Lo stesso vale per quanto riguarda il confronto con il regime giuridico previsto dal RGPD. ( 27 ) Tinière, R., Jurisprudence de la CJUE 2020: décisions et commentaires ( Giurisprudenza della CGUE 2020: Decisioni e commenti , traduzione libera), Bruylant, Bruxelles, 2021, pagg. da 130 a 139. ( 28 ) Sentenze del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punti da 56 a 59 ), e del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punto 148 ). ( 29 ) Sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punto 148 ). ( 30 ) V., in tal senso, sentenza dell’8 dicembre 2022, Inspektor contro [OSCURATO:PERSONA] kam Visshia sadeben savet (Finalità del trattamento di dati personali – Indagine penale) ( C‑180/21 , EU:C:2022:967 , punti 57 e 58 ). ( 31 ) Sentenza dell’8 dicembre 2022, [OSCURATO:PERSONA] (Deindicizzazione di informazioni asseritamente false) ( C‑460/20 , EU:C:2022:962 , punto 59 ). ( 32 ) Corte EDU, 22 giugno 2017, Aycaguer c. Francia (CE:ECHR:2017:0622JUD000880612, §§ 33, 34 e 38), e Corte EDU, 18 settembre 2014, Brunet c. Francia (CE:ECHR:2014:0918JUD002101010, § 35). ( 33 ) Corte EDU, 4 giugno 2013, Peruzzo e Martens c. Germania (CE:ECHR:2013:0604DEC000784108, § 46), e Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (CE:ECHR:2020:0213JUD004524515, § 88). ( 34 ) V., per analogia, parere 1/15 (accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( EU:C:2017:592 , punti 122 e 123 ), e sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punti 94 e 95 ). ( 35 ) Corte EDU, 22 giugno 2017, Aycaguer c. France (EC:ECHR:2017:0622JUD000880612, § 33). ( 36 ) V., per analogia, sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punto 44 ). ( 37 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 127 ). ( 38 ) V. considerando 4 e 7 della direttiva 2016/680. ( 39 ) Parere 1/15 (Accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( EU:C:2017:592 , punto 134 ). ( 40 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] ( C‑623/17 , EU:C:2020:790 , punti 63 e 64 ). ( 41 ) V., in tal senso, sentenze del 6 ottobre 2020, [OSCURATO:PERSONA] ( C‑623/17 , EU:C:2020:790 , punto 67 ), e del 22 novembre 2022, [OSCURATO:PERSONA] ( C‑37/20 e C‑601/20 , EU:C:2022:912 , punto 64 ). ( 42 ) Sentenze del 6 ottobre 2020, [OSCURATO:PERSONA] ( C‑623/17 , EU:C:2020:790 , punto 65 ), e del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) ( C‑175/20 , EU:C:2022:124 , punti da 54 a 56 ). Sebbene un tale esame sia stato affrontato in alcune sentenze della Corte nel contesto di un’analisi dettagliata della proporzionalità della restrizione, esso non è considerato congiuntamente sotto i due profili relativi al rispetto dei principi di legalità e di proporzionalità [sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punti 114 e 117 )]. In questa parte delle presenti conclusioni mi concentrerò sulla verifica del requisito della prevedibilità stricto sensu. ( 43 ) Sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punto 114 ). ( 44 ) V. punti da 33 a 35 delle osservazioni del governo bulgaro. ( 45 ) V., in tal senso, sentenza del 20 maggio 2003, [OSCURATO:PERSONA] e a. ( C‑465/00, C‑138/01 e C‑139/01 , EU:C:2003:294 , punto 77 ). ( 46 ) V., per analogia, parere 1/15 (Accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( EU:C:2017:592 , punto 150 ) e, a contrario, sentenza del 22 novembre 2022, [OSCURATO:PERSONA] ( C‑37/20 e C‑601/20 , EU:C:2022:912 , punto 51 ). ( 47 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 99 ). ( 48 ) Parere 1/15 (Accordo [OSCURATO:PERSONA]-Canada) del 26 luglio 2017 ( UE:C:2017:592 , punto 149 ), e sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. ( C‑511/18, C‑512/18 e C‑520/18 , UE:C:2020:791 , punto 123 ). ( 49 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punti 97 e 98 ). Nel contesto dell’obbligo positivo di cui all’articolo 2 della CEDU, la Corte EDU ha osservato che l’interesse pubblico a indagare e possibilmente ad assicurare il perseguimento e la condanna degli autori di atti illeciti molti anni dopo il fatto è stato fermamente riconosciuto (Corte EDU, 12 giugno 2014, Jelić c. Croazia, EC:ECHR:2014:0612JUD005785611, § 52). ( 50 ) V., in tal senso, sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punto 55 ). ( 51 ) Sentenza del 22 novembre 2022, [OSCURATO:PERSONA] ( C‑37/20 e C‑601/20 , EU:C:2022:912 , punto 66 ). ( 52 ) In generale, l’iscrizione nell’archivio non comporta alcun obbligo positivo per l’interessato. ( 53 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 78 ). ( 54 ) Reati frequenti nel campo della delinquenza stradale. ( 55 ) V., per analogia, sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punti 77 e 78 ). Rilevo che, nella sentenza del 21 giugno 2022, Ligue des droits humains ( C‑817/19 , EU:C:2022:491 , punto 198 ), la Corte ha dichiarato che dalla direttiva 2016/681 discende che i criteri utilizzati ai fini della valutazione preliminare dei passeggeri devono essere determinati in modo da focalizzarsi, specificamente, sugli individui sui quali potrebbe gravare un ragionevole sospetto di partecipazione a reati di terrorismo o a reati gravi di cui a tale direttiva. ( 56 ) Secondo il bollettino [OSCURATO:PERSONA] del Ministero della Giustizia francese, n. 183, del 2 luglio 2021, «Mesurer et comprendre les déterminants de la récidive des sortants de prison» («Misurare e comprendere i fattori determinanti della recidiva tra gli ex detenuti», traduzione libera), nel 2016 l’86% degli ex detenuti aveva già un precedente nel casellario giudiziale prima della condanna che ha portato alla loro detenzione. Il tasso di recidiva aumenta con il numero di condanne precedenti: solo il 14% degli ex detenuti che non avevano subito condanne nei cinque anni precedenti alla condanna che li ha portati in carcere è caduto in recidiva entro l’anno, rispetto al 23% di coloro che avevano subito una condanna e al 63% di coloro che erano stati condannati almeno dieci volte. ( 57 ) Tale constatazione riflette, peraltro, la conformità di tale disposizione all’articolo 6 della direttiva 2016/680 che impone al titolare del trattamento, se del caso e nella misura del possibile, di operare una chiara distinzione tra i dati delle diverse categorie di interessati, in modo che non sia loro imposta indistintamente un’ingerenza della medesima intensità nel loro diritto fondamentale alla protezione dei propri dati personali, a prescindere dalla categoria a cui appartengono [sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 83 )]. ( 58 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 126 ). ( 59 ) V., per analogia, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 100 ). Va inoltre notato che il tempo trascorso sarà inevitabilmente un ostacolo per la localizzazione dei testimoni e per la loro capacità di ricordare con precisione gli eventi. ( 60 ) L’articolo 31 del regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell’11 maggio 2016, che istituisce l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI ( GU 2016, L 135, pag. 53 ) prevede che i dati personali trattati da Europol siano da esso conservati solo per il tempo necessario e proporzionato ai fini per cui tali dati sono trattati. In ogni caso, entro tre anni dall’avvio del loro trattamento iniziale, Europol riesamina la necessità di un’ulteriore loro conservazione, e può decidere di conservarli fino all’esame successivo, che ha luogo dopo un ulteriore periodo di tre anni, qualora la loro conservazione sia ancora necessaria per consentirgli lo svolgimento dei suoi compiti. Se non è deciso nulla in merito all’ulteriore conservazione dei dati personali, questi sono automaticamente cancellati dopo tre anni. ( 61 ) Nella sentenza del 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (EC:ECHR:2020:0213JUD004524515, §§ da 79 a 81), relativa a una normativa che prevede la conservazione dei dati fino al decesso dell’interessato, è stata operata una distinzione tra, da un lato, il DNA e, dall’altro, le impronte digitali nonché le fotografie. La Corte EDU ha ritenuto che solo questi ultimi dati fossero soggetti a un periodo di conservazione assimilabile a una conservazione a tempo indeterminato. Da parte mia, rilevo che nessuno di tali dati può, nella fattispecie, essere utilizzato una volta sopravvenuto il decesso dell’interessato, poiché la conservazione post mortem del DNA avrebbe reso tecnicamente possibile una ricerca presso i parenti stretti dell’interessato. ( 62 ) Oltre all’esistenza di reati per i quali non è prevista la prescrizione, la questione del rapporto tra il periodo di conservazione dei dati e il periodo di prescrizione dell’azione pubblica deve essere relativizzata, in alcuni ordinamenti giuridici, tenuto conto dei meccanismi di sospensione o di interruzione della prescrizione e di rinvio del termine di decorrenza della prescrizione per i cosiddetti reati abituali, continuati o occulti, nonché per alcuni reati contro i minori (rinvio fino al raggiungimento della maggiore età della vittima). È inoltre importante tenere conto del fatto che la violenza sessuale è il reato che è rilevato più tardivamente. ( 63 ) V., in tal senso, sentenza del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. ( C‑140/20 , EU:C:2022:258 , punto 62 ). ( 64 ) Ricordo che la Corte EDU, nell’ambito dell’obbligo positivo derivante dall’articolo 2 della CEDU, ha fermamente riconosciuto l’interesse pubblico a indagare ed eventualmente a ottenere il perseguimento e la condanna degli autori di atti illeciti, a distanza di molti anni dal fatto (Corte EDU, 12 giugno 2014, Jelić c. Croazia, CE:CEDU:2014:0612JUD005785611, § 52), e ha indicato che anche l’indagine sui «cold cases» è di interesse pubblico, nel senso generale della lotta alla criminalità (Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA], CE:CEDU:2020:0213JUD004524515, § 93). ( 65 ) Corte EDU, 22 giugno 2017, Aycaguer c. Francia (CE:ECHR:2017:0622JUD000880612, § 38), e Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (CE:ECHR:2020:0213JUD004524515, § 88). ( 66 ) Non è stato specificato il periodo di tempo per il quale vengono conservate le tracce della consultazione dell’archivio. ( 67 ) Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (EC:ECHR:2020:0213JUD004524515, § 83). ( 68 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punti 128 e 129 ). ( 69 ) [OSCURATO:PERSONA] del Ministero della Giustizia francese, n. 183, 2 luglio 2021, «Mesurer et comprendre les déterminants de la récidive des sortants de prison». ( 70 ) La registrazione e la successiva conservazione dei dati nell’archivio riguardano, infatti, qualsiasi individuo che ha commesso un reato per la prima volta e non un individuo che sia già stato condannato una o più volte. ( 71 ) Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (EC:ECHR:2020:0213JUD004524515, § 89). ( 72 ) Sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( C‑205/21 , EU:C:2023:49 , punto 130 ). La Corte aggiunge (punti 132 e 133) che spetta al giudice del rinvio verificare se il diritto nazionale consenta di valutare se sia «strettamente necessario» procedere con la raccolta dei dati biometrici e genetici dell’interessato, ai fini della loro registrazione, tenuto conto della natura e della gravità del reato di cui tale persona è sospettata, ma anche di altri fattori pertinenti quali, segnatamente, le circostanze particolari di tale reato, l’eventuale collegamento di detto reato con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale dell’interessato. È dubbio se tale requisito di individualizzazione approfondita sia compatibile con disposizioni di natura legislativa, con il carattere sistematico e con il grado di astrazione e di generalità che esse richiedono, volte a stabilire una disciplina generale in materia di conservazione dei dati personali in un archivio. ( 73 ) Corte EDU, 13 febbraio 2020, Gaughran c. [OSCURATO:PERSONA] (EC:ECHR:2020:0213JUD004524515, § 94).