Conservazione dei dati biometrici: la Corte UE chiarisce i limiti

Con la sentenza Policejní prezidium (C-57/23), la Corte di giustizia dell’Unione europea torna a pronunciarsi su un tema centrale per chi opera nel diritto penale e nella protezione dei dati: la raccolta e la conservazione dei dati biometrici e genetici da parte delle autorità di polizia. Il caso, sorto in Repubblica Ceca, offre l’occasione per definire meglio il ruolo del diritto nazionale nell’attuazione della direttiva (UE) 2016/680 e i margini di discrezionalità concessi agli Stati membri. Il comunicato stampa della Corte fornisce indicazioni utili anche per avvocati, DPO, consulenti e funzionari pubblici. In materia di cybersicurezza, abbiamo organizzato il corso Linee guida per la governance dei dati e dell’intelligenza artificiale. Abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon

1. Il contesto del rinvio e il ruolo del “diritto dello Stato membro”

La vicenda nasce dal ricorso di un funzionario pubblico ceco, sottoposto a misure di identificazione (impronte digitali, profilo genetico, fotografie e descrizione personale) inserite successivamente nelle banche dati di polizia. Ritenendo tali operazioni un’ingerenza illegittima nella propria vita privata, l’interessato aveva chiesto la cancellazione dei dati, ottenendo un primo accoglimento da parte del giudice nazionale.
La Cassazione amministrativa ceca, investita del ricorso delle autorità di polizia, ha sollevato questioni interpretative sulla direttiva 2016/680. La Corte di giustizia chiarisce innanzitutto che la nozione di “diritto dello Stato membro”, ai sensi dell’articolo 8 della direttiva, comprende anche l’elaborazione giurisprudenziale. Questa, tuttavia, deve essere accessibile e prevedibile, costituendo in sostanza una cornice normativa idonea a porre condizioni minime sulla raccolta, conservazione e cancellazione dei dati biometrici e genetici.
Il messaggio della Corte è chiaro: gli Stati membri possono articolare il quadro normativo anche attraverso la giurisprudenza, purché tale quadro sia sufficientemente stabile e conoscibile. Abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon.

2. Raccolta dei dati biometrici: ammissibile anche in forma indifferenziata

Uno dei profili più sensibili riguarda la possibilità di raccogliere tali dati in maniera indifferenziata per chiunque sia perseguito o sospettato di reato doloso. La Corte adotta un approccio pragmatico. Il diritto UE – in particolare gli articoli 4, 6 e 10 della direttiva 2016/680 – non vieta in astratto una normativa che consenta la raccolta indistinta di dati biometrici e genetici per queste categorie di persone.
Tale conclusione è però subordinata a due condizioni fondamentali:

• La finalità del trattamento deve essere tale da non richiedere una distinzione tra indagati e condannati: se la raccolta serve a fini di identificazione e prevenzione dei reati, un trattamento uniforme può essere giustificato.
• I titolari del trattamento devono rispettare i principi e i requisiti propri dei dati sensibili, tra cui necessità, proporzionalità, minimizzazione e sicurezza.

La Corte, dunque, non chiude la porta alle pratiche investigative, ma ribadisce che devono rientrare in un sistema di garanzie stringenti.

3. Conservazione dei dati senza periodo massimo: quando è possibile

Il punto più innovativo della sentenza riguarda la conservazione dei dati biometrici e genetici. La Corte afferma che il diritto UE consente l’esistenza di una normativa nazionale che non preveda un periodo massimo di conservazione, purché siano rispettati alcuni presidi essenziali.
In particolare, deve essere previsto:

• un termine adeguato di verifica periodica della necessità della conservazione;
• una valutazione rigorosa della “stretta necessità” di continuare a mantenere i dati in archivio;
• un obbligo effettivo per le autorità di motivare il mantenimento dei dati caso per caso.

La sentenza si muove quindi in un equilibrio tra esigenze di investigazione e tutela della privacy: il limite non è temporale, ma funzionale e motivazionale. Non è ammissibile un mantenimento “inerziale” o automatico; occorre una verifica attenta e documentata.

Potrebbero interessarti anche:

• Nuovi strumenti tecnologici e trattamento dei dati biometrici
• Videosorveglianza e protezione dei dati: le linee guida EDPB

4. Ricadute pratiche per professionisti e amministrazioni

La decisione offre spunti applicativi immediati per chi, a vario titolo, si occupa di trattamento di dati nel settore penale.
Per le autorità di polizia, la sentenza ribadisce la necessità di strutturare procedure interne che documentino le verifiche periodiche sulla conservazione dei dati. Non basta la conformità formale alla normativa nazionale: occorre dimostrare il rispetto dei principi di stretta necessità e proporzionalità.
Per gli avvocati penalisti, la sentenza rappresenta un parametro interpretativo utile: la mancanza di un termine massimo di conservazione non è, di per sé, indice di illegittimità, ma può esserlo l’assenza di controlli effettivi o la conservazione ingiustificata dopo la cessazione delle finalità di trattamento.
Per i DPO e i consulenti privacy, è essenziale verificare che le procedure interne delle amministrazioni rientrino nella cornice delineata dalla direttiva e dalla giurisprudenza. L’onere probatorio sul rispetto dei principi di trattamento rimane in capo al titolare.
Infine, per i giudici nazionali, la decisione offre un’indicazione metodologica: la valutazione deve essere concreta, orientata alla funzione del trattamento e non alla mera durata.

Formazione in materia per professionisti

Linee guida per la governance dei dati e dell’intelligenza artificiale
Un ciclo di quattro incontri per tradurre le norme su AI e protezione dei dati in procedure operative concrete. Dalla definizione delle policy alla costruzione del reporting e delle linee guida interne, il webinar offre ai professionisti della compliance strumenti immediatamenti applicabili:
• Basi giuridiche e accountability documentale: principi applicabili ai trattamenti tipici dell’ufficio legale, distinzione fra esigenze legali, difensive e operative, mappatura end-to-end del flusso “revisione clausole contrattuali” ed errori frequenti con relative contromisure.
• Criteri e controllo dei risultati: accettazione dei risultati di analisi e AI, registrazione dei casi d’uso e delle verifiche, esempi pratici di analytics.
• KPI, reporting e governance del dato: definizione e monitoraggio degli indicatori, progettazione di dashboard efficaci e policy interne per garantire tracciabilità e qualità dei dati.
• Integrazione AI e workflow aziendale: collegamento dell’AI con l’ecosistema aziendale, flusso “review automatizzata delle clausole” e linee guida “Uso dati e AI nell’ufficio legale”.
>>>Per info ed iscrizione<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!