Lo scorso 21 dicembre 2016 la Corte di Giustizia dell’Unione europea ha stabilito, con sentenza resa nelle cause riunite C-203/15 e C-698/15, i criteri di legittimità ed i limiti alla conservazione dei dati di traffico da parte dei fornitori di servizi di comunicazione elettronica, inibendo agli Stati membri di imporre alle società del settore di trattare le informazioni dei cittadini in modo indiscriminato ed indifferenziato, anche se per finalità legate alla lotta al terrorismo.

Nelle motivazioni della pronuncia, infatti, la Corte sottolinea come tali dati permettano di identificare la fonte e la destinazione di una comunicazione, di stabilirne la data, l’ora e la durata, il nome e l’indirizzo dell’abbonato, il numero dell’utente contattato, l’indirizzo IP: nel loro insieme, proseguono i giudici, “sono idonei a consentire di trarre conclusioni molto precise riguardo alla vita privata delle persone i cui dati sono stati conservati, come le abitudini della vita quotidiana, i luoghi di soggiorno permanenti o temporanei, gli spostamenti giornalieri o di altro tipo, le attività esercitate, le relazioni sociali di tali persone e gli ambienti sociali da esse frequentati”.

Una siffatta ingerenza risulta in contrasto con gli artt. 7 e 8 della Carta e è pertanto da qualificare come “particolarmente grave”: la circostanza per la quale tale monitaraggio avviene all’insaputa dell’utente-interessato determina inoltre “la sensazione che la vita privata costituisca oggetto di sorveglianza continua”.

La sentenza in commento limita quindi la portata innovativa dell’Investigatory Power Act 2016, voluto dal governo britannico per contrastare il terrorismo: i Giudici hanno infatti posto in evidenza come anche se la lotta alla criminalità debba essere perseguita attraverso l’utilizzo delle moderne tecniche di indagine, un simile interesse di rango generale e diffuso non possa, di per sé soltanto, giustificare normative statali che impongano la conservazione indiscriminata dei dati di traffico e di ubicazione degli utenti.

Le uniche attività consentite concernono dunque il contrasto a fenomeni gravi di terrorismo e devono essere limitate alle sole categorie di informazioni strettamente necessarie, ai mezzi di comunicazione interessati e alle uniche persone coinvolte nei fatti. Infine, l’accesso da parte delle Autorità pubbliche nazionali deve essere legittimato da un vaglio preventivo di un’autorità indipendente e deve essere confinato nel territorio dell’Unione.