Articolo Pubblicazioni
Data retention e tabulati: dalla direttiva 2006/24/CE alla sentenza Digital Rights Ireland (2014)
di Vincenzo Calabrò · Pubblicato il 12 maggio 2014
Abstract
L’8 aprile 2014 la Corte di giustizia dell’Unione europea ha dichiarato invalida la direttiva 2006/24/CE, che obbligava gli operatori a conservare per un periodo da sei mesi a due anni i dati di traffico di tutte le comunicazioni. L’articolo ricostruisce l’origine della direttiva, spiega i motivi della sentenza e valuta che cosa cambia per la normativa italiana sulla conservazione dei dati e per l’uso dei tabulati nelle indagini.
La direttiva del 2006
La direttiva 2006/24/CE è stata adottata dopo gli attentati di Madrid del 2004 e di Londra del 2005, con l’obiettivo di armonizzare le regole nazionali sulla conservazione dei dati di traffico per finalità di indagine. Imponeva ai fornitori di servizi di comunicazione elettronica di conservare, per un periodo compreso tra sei mesi e due anni, i dati necessari a individuare la fonte, la destinazione, la data, l’ora, la durata e il tipo di comunicazione, il dispositivo usato e, per i telefoni mobili, la cella. Il contenuto delle comunicazioni restava escluso.
L’Italia l’ha recepita con il decreto legislativo 109 del 2008, che ha modificato l’articolo 132 del Codice privacy. I termini attuali sono ventiquattro mesi per il traffico telefonico, dodici mesi per quello telematico e trenta giorni per le chiamate senza risposta.
Le questioni sollevate
La High Court irlandese, su ricorso dell’associazione Digital Rights Ireland, e la Corte costituzionale austriaca, su ricorsi di migliaia di cittadini, hanno chiesto alla Corte di giustizia se la direttiva fosse compatibile con la Carta dei diritti dell’Unione, in particolare con il rispetto della vita privata, articolo 7, e con la protezione dei dati personali, articolo 8. Le due cause, C-293/12 e C-594/12, sono state riunite.
La decisione
La Corte ha riconosciuto che la conservazione dei dati persegue un obiettivo di interesse generale, la lotta alla criminalità grave, e che è idonea a raggiungerlo. Ha però concluso che il legislatore europeo ha oltrepassato i limiti della proporzionalità, per queste ragioni:
- la direttiva riguarda in modo generalizzato tutte le persone, tutti i mezzi di comunicazione elettronica e tutti i dati di traffico, senza alcuna differenziazione o eccezione;
- non prevede criteri oggettivi per limitare l’accesso delle autorità ai soli reati sufficientemente gravi;
- non subordina l’accesso a un controllo preventivo di un giudice o di un’autorità amministrativa indipendente;
- fissa un periodo di conservazione da sei a ventiquattro mesi senza distinguere tra categorie di dati in base alla loro utilità;
- non offre garanzie sufficienti sulla sicurezza dei dati conservati e non impone che restino nel territorio dell’Unione.
La Corte osserva che i dati di traffico, presi nel loro insieme, consentono di trarre conclusioni molto precise sulla vita privata delle persone, come abitudini quotidiane, luoghi di soggiorno, spostamenti, relazioni sociali e ambienti frequentati. La conservazione generalizzata, unita al fatto che la persona non ne è informata, può generare la sensazione che la vita privata sia oggetto di costante sorveglianza. La direttiva è stata dichiarata invalida con effetto dalla data della sua entrata in vigore.
Che cosa succede alle leggi nazionali
La sentenza riguarda la direttiva. Le leggi nazionali che l’hanno recepita restano in vigore finché non vengono modificate o dichiarate illegittime dai giudici competenti. Tuttavia, le leggi nazionali che rientrano nell’ambito della direttiva 2002/58 sulla vita privata nelle comunicazioni elettroniche devono rispettare la Carta, e i criteri indicati dalla Corte diventano un parametro per valutarle. Alcuni paesi hanno già annunciato una revisione delle proprie norme, altri attendono le decisioni dei propri giudici.
Le conseguenze in Italia
L’articolo 132 del Codice privacy resta applicabile. Presenta però alcuni dei tratti criticati dalla Corte. La conservazione è generalizzata e l’acquisizione dei dati avviene con decreto motivato del pubblico ministero, anche su istanza del difensore, per qualsiasi reato. È probabile che le difese inizino a sollevare la questione nei processi in cui i tabulati sono una prova centrale, chiedendo di valutare la compatibilità della norma con la Carta. Non è possibile prevedere oggi come risponderanno i giudici.
Il difensore e i tabulati
L’articolo 132 prevede anche un canale per la difesa. Il difensore dell’imputato o della persona sottoposta a indagini può chiedere direttamente al fornitore i dati relativi alle utenze intestate al proprio assistito, con le modalità delle indagini difensive. È uno strumento spesso utile, per esempio per dimostrare dove si trovava l’assistito in un certo momento. Una futura riforma ispirata alla sentenza dovrà tenere conto anche di questo canale, per non creare uno squilibrio tra accusa e difesa nell’accesso agli stessi dati.
I tabulati nelle perizie
Per chi analizza i tabulati come consulente tecnico la sentenza non cambia il metodo di lavoro. Suggerisce però alcune attenzioni:
- documentare nella relazione il provvedimento di acquisizione e il periodo dei dati richiesti, perché la proporzionalità dell’acquisizione potrà essere discussa;
- limitare l’analisi ai periodi e alle utenze rilevanti per il quesito, evitando elaborazioni estese a dati non necessari;
- conservare i tabulati ricevuti con le stesse cautele previste per le prove digitali, con hash e accessi controllati, considerando che si tratta di dati che la Corte ha definito molto rivelatori;
- indicare con chiarezza i limiti delle conclusioni, per esempio sul significato della cella agganciata in termini di posizione.
Una questione destinata a durare
La sentenza apre una stagione di incertezza. Gli Stati hanno bisogno di strumenti per le indagini, e i tabulati sono tra i più efficaci. La Corte ha indicato le condizioni che un regime di conservazione deve rispettare, come limitazione ai reati gravi, controllo indipendente sull’accesso, differenziazione dei periodi e sicurezza dei dati. Spetterà ora ai legislatori nazionali, e forse a una nuova iniziativa europea, trovare un equilibrio che regga al giudizio della Corte.
Vedi anche: l’articolo del 2010 Analisi forense delle celle telefoniche, l’articolo del 2021 Tabulati telefonici dopo il d.l. 132/2021 e l’articolo del 2008 Legge 48/2008.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn