Il GDPR per le piccole (e piccolissime) imprese
Interessante pronuncia della Corte di Cassazione (Sezione I civile -Sentenza 28 gennaio 2016 n. 1625) in tema di accesso ai tabulati telefonici, che tocca anche il tema della data retention.
La pronuncia è riferita a fatti risalenti all’anno 2004 e si connette, pertanto, a un impianto normativo non più attuale, in ordine ai termini stabiliti per la conservazione, ma i principi enunciati appaiono adeguati, nei limiti che si diranno, anche all’assetto vigente.
La sentenza è riferita a circostanze già portate all’attenzione del Garante (scaturisce dall’iter processuale conseguente il rigetto da parte dell’Autorità del ricorso volto a ottenere i tabulati di traffico da provider): per una migliore comprensione della pronuncia si consiglia la lettura del relativo provvedimento (Provvedimento del 25 marzo 2008 [doc web 1507012]) .
Si precisa che l’attuale formulazione dell’articolo 132 del Codice della Privacy prevede, per quanto qui interessa, che i dati di traffico telefonico siano conservati dai fornitori per ventiquattro mesi* dalla data della comunicazione, e che questi dati possano essere acquisiti presso il fornitore solo con decreto motivato del pubblico ministero, anche su istanza del difensore dell’imputato, della persona sottoposta alle indagini, della persona offesa e delle altre parti private.
Il difensore dell’imputato o della persona sottoposta alle indagini, può richiedere direttamente al fornitore i dati relativi alle utenze intestate al proprio assistito nell’ambito delle “indagini difensive” come disciplinate e previste dal codice di procedura penale.
Decorsi i termini di conservazione i dati vanno distrutti, secondo le modalità indicate dal Garante.
Al tempo dei fatti per cui è sentenza, invece, era in vigore una diversa formulazione, che raddoppiava i termini, prevedendo un ulteriore periodo di conservazione dei dati di traffico telefonico di 24 mesi. A questa seconda fase di conservazione, tuttavia, veniva impresso dal legislatore un forte vincolo di finalità, prevedendosi che i dati conservati per gli ulteriori 24 mesi fossero accessibili esclusivamente per la repressione dei delitti di cui all’art. 407, comma 2 lettera a) del codice di procedura penale, nonché per la repressione dei delitti in danno di sistemi informatici e telematici.
Vi erano delle ipotesi di acquisizione in via d’urgenza, parimenti abrogate.
Per completezza si rammenta che sulla conservazione dei dati di traffico è intervenuta, in epoca successiva ai fatti per cui è sentenza, anche la Corte di Giustizia Europea, affermando l’illegittimità della direttiva “Frattini” (2006/24/Ce) per violazione del principio di proporzionalità nel bilanciamento tra diritto alla protezione dei dati personali ed esigenze di pubblica sicurezza.
La richiesta dei tabulati
Il legale rappresentante di una società, che aveva in uso esclusivo il telefono mobile aziendale, e la società stessa che era titolare dell’utenza, domandavano al provider di accedere ai tabulati telefonici ai sensi degli articoli 7 e 8 del Codice Privacy (altra differenza: per la normativa in vigore al tempo erano “interessati” anche le persone giuridiche). La richiesta era volta a ottenere la comunicazione in chiaro dei dati del traffico telefonico in entrata e in uscita nel periodo gennaio 2001-18 ottobre 2004 ed era motivato dalla necessità di ottenere tali informazioni perché indispensabili all’istante per svolgere investigazioni difensive in relazione a un procedimento penale incardinato nei suoi confronti per i reati di cui agli “artt. 416, prima parte 1° e 2° cpv”, 110, 81, 481 c.p., sussistendo un’inviolabile esigenza difensiva di dimostrare le effettive comunicazioni e frequentazioni telefoniche, ma il competente ufficio del GIP aveva rigettato l’istanza volta a ottenere l’autorizzazione ad acquisire i dati telefonici relativi all’utenza in questione, poiché riteneva che il tenore letterale dell’art. 132 Codice Privacy non lo consentisse.
Anche il provider negava i tabulati, così l’interessato ricorreva al Garante e infine al Tribunale, collezionando ulteriori dinieghi.
Va evidenziato come l’istanza al provider fosse datata 15 marzo 2007, ma finalizzata alle esigenze difensive scaturite dall’ordinanza di custodia cautelare emessa nei confronti dell’interessato (indagato “per i reati di cui all’art. 416, rubricato come associazione a delinquere”) che poneva alla base delle misure cautelari, oltre a riprese fotografiche e audiovisive, anche intercettazioni telefoniche dal gennaio 2001 fino all’ottobre 2004; L’interessato affermava che la conoscenza del traffico telefonico relativo all’utenza utilizzata dallo stesso fosse “necessaria ai fini dell’esercizio del suo diritto di difesa e, in particolare, al fine delle verifiche sulle intercettazioni svolte sulla sua utenza”; ma tutti i provvedimenti di rigetto della sua istanza erano motivati sulla scorta del tenore letterale dell’art. 132 Codice Privacy vigente al tempo: l’istanza, infatti incideva sul termine di conservazione di ulteriori 24 mesi, ma questo termine, come abbiamo visto sopra, era finalizzato all’accertamento di reati diversi da quelli per i quali era indagato l’interessato.
La Corte di Cassazione, investita della questione, con sentenza n. 1625 del 28 gennaio 2016, resa dalla Prima Sezione, ha confermato la correttezza delle pronunce del Garante e del Tribunale, non ammettendo interpretazioni estensive volte ad ampliare l’ambito di operatività della norma. Non è questa, tuttavia, la parte più interessante della pronuncia, dato che si sviluppa ed esaurisce in un testo legislativo ormai superato.
Più interessante, invece, appare la motivazione della sentenza in ordine al bilanciamento tra diritto di difesa e diritto d’accesso ai dati da parte dell’interessato.
Il bilanciamento degli interessi tra privacy e diritto di difesa
Le lagnanze del ricorrente in merito al bilanciamento degli interessi tra privacy e diritto di difesa, vengono respinte dalla Corte di Cassazione, che evidenzia che il bilanciamento tra le esigenze difensive dell’indagato e le esigenze di riservatezza di eventuali terzi coinvolti nelle comunicazioni delle quali si richiedono i tabulati, è stato operato a monte dal legislatore.
Anche qui la Corte si sofferma sulla normativa applicabile ratione temporis, ma l’esito dell’iter logico giudico seguito dal Collegio merita attenzione, perché applicabile anche successivamente alle modifiche normative introdotte in epoca più recente. Anzi, l’intervento della Corte di Giustizia in tema di data retention pare confortare la lettura offerta dalla Cassazione.
I ricorrenti infatti lamentavano anche la distruzione dei dati da parte del provider, avvenuta in pendenza di causa, che avrebbe compromesso irrimediabilmente l’efficacia dell’azione difensiva dell’interessato. Ebbene, secondo la Corte di Cassazione, non sussiste un obbligo di conservazione e ostensione dei dati in capo al fornitore, una volta che sia scaduto il termine previsto per la loro conservazione.
E ciò anche qualora il termine spiri nel corso del procedimento giurisdizionale, ma prima della sentenza del giudice chiamato a decidere sulla esistenza e attualità del diritto di accesso azionato.
La pronuncia in commento quindi dovrebbe mettere sull’allerta chi si trovi nella necessità di acquisire tabulati da spendere in sua difesa: infatti, il limite temporale è stringente e non soggetto a deroghe o proroghe di sorta, e, in assenza di provvedimenti del giudice o dell’autorità che dispongano l’accesso, anche qualora il termine di conservazione spiri in corso di giudizio, il provider avrà il dovere di cancellare i dati in maniera irreversibile, come previsto dalla normativa e dal Garante Privacy.
Conoscendo come, a fronte di un diniego, magari anche erroneamente motivato, i tempi possano subire importanti rallentamenti, è bene che tali richieste vengano avanzate quanto più tempestivamente possibile, prendendo le cautele più opportune e senza indugio alcuno, dato l’elevato rischio, anche in ragione dei tempi di indagine, che il termine previsto dal legislatore si eroda inutilmente e che, in caso di impedimento all’accesso, i dati vengano irrimediabilmente cancellati.
* AGGIORNAMENTO: In tema di conservazione di dati di traffico telefonico e telematico, si veda anche l’articolo 4-bis del decreto legge 18 febbraio 2015, n. 7, convertito, con modificazioni, dalla legge 17 aprile 2015, n. 43, come modificato dal decreto legge 30 dicembre 2015, n. 210, convertito con modificazioni dalla legge 25 febbraio 2016, n. 21, di cui si riporta il testo:
“Art. 4-bis Disposizioni in materia di conservazione dei dati di traffico telefonico e telematico
1. I dati relativi al traffico telefonico o telematico, esclusi comunque i contenuti di comunicazione, detenuti dagli operatori dei servizi di telecomunicazione alla data di entrata in vigore della legge di conversione del presente decreto, nonchè quelli relativi al traffico telefonico o telematico effettuato successivamente a tale data, sono conservati, in deroga a quanto stabilito dall’articolo 132, comma 1, del codice di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, fino al 30 giugno 2017, per le finalità di accertamento e di repressione dei reati di cui agli articoli 51, comma 3-quater, e 407, comma 2, lettera a), del codice di procedura penale.
2. I dati relativi alle chiamate senza risposta, effettuate a decorrere dalla data di entrata in vigore della legge di conversione del presente decreto, trattati temporaneamente da parte dei fornitori di servizi di comunicazione elettronica accessibile al pubblico oppure di una rete pubblica di comunicazione, sono conservati fino al 30 giugno 2017.
3. Le disposizioni di cui ai commi 1 e 2 cessano di applicarsi a decorrere dal 1° luglio 2017.”
AGGIORNAMENTO del 4 LUGLIO 2017: la proroga fissata dal legislatore per la conservazione dei dati di traffico telefonico e telematico è scaduta senza che vi fossero nuovi interventi normativi, tornano pertanto ad applicarsi finalità e limiti previsti dal Codice della Privacy, ossia:
- traffico telefonico: 24 mesi dalla data della comunicazione (art. 132 comma 1 del Codice della privacy), ma attenzione: 6 mesi per le chiamate senza risposta (art. 123 comma 2 del Codice della privacy);
- traffico telematico: 12 mesi dalla data della comunicazione (art. 132 comma 1 del Codice della privacy).
AGGIORNAMENTO del 12 SETTEMBRE 2017: sulle modifiche normative in fase di approvazione in tema di conservazione dei dati di traffico telefonico e telematico, ho scritto qui:
Possibili effetti dell’estensione della data retention a 6 anni
Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.
Articoli correlati
