Privacy e diritto europeo: la proporzionalità si misura anche nell’architettura dei dati

È questo il filo conduttore che unisce due recenti interventi europei: la sentenza della Corte di giustizia dell’Unione europea del 3 settembre 2026 nella causa C-798/24, Jautiva, relativa alla pubblicazione online dei dati degli azionisti, e le conclusioni presentate nello stesso giorno dall’Avvocato generale Maciej Szpunar nella causa C-661/24, riguardante la conservazione dei dati di traffico e di ubicazione da parte degli operatori di comunicazione elettronica.

Due procedimenti diversi, un medesimo criterio di controllo

I due procedimenti riguardano contesti differenti. Nel primo si discute di trasparenza societaria e pubblicità dei registri; nel secondo di sicurezza delle reti, contrasto alle frodi e conservazione dei metadati delle comunicazioni. Il punto comune è però evidente: una normativa nazionale che interferisce con la vita privata e con la protezione dei dati deve superare il controllo imposto dal diritto dell’Unione.

Occorre, tuttavia, fare subito una distinzione. Nella causa C-798/24 la Corte si è già pronunciata con una sentenza. Nella causa C-661/24 disponiamo, allo stato, delle conclusioni dell’Avvocato generale: un parere autorevole e spesso influente, ma non vincolante per la Corte. Presentare entrambe come decisioni definitive sarebbe giuridicamente inesatto.

La causa C-798/24: trasparenza non significa accesso indiscriminato

La normativa lettone imponeva la pubblicazione nel registro delle imprese di numerosi dati personali riferiti a tutti gli azionisti di società per azioni, compresi quelli di minoranza. Erano resi accessibili, tra gli altri, dati identificativi e di contatto, categoria e quantità delle azioni, valore nominale e diritti di voto. La consultazione era disponibile online senza particolari condizioni e i dati potevano essere scaricati anche in blocco.

La Corte ha chiarito anzitutto che l’articolo 14 della direttiva (UE) 2017/1132, in materia societaria, non obbliga gli Stati membri a pubblicare le informazioni relative a tutti gli azionisti. Viene così meno l’argomento secondo il quale l’accessibilità generalizzata sarebbe stata imposta dal diritto europeo.

La disciplina nazionale deve quindi essere valutata alla luce degli articoli 5 e 6 del GDPR e degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. La comunicazione al pubblico costituisce di per sé un’ingerenza, indipendentemente dal fatto che i dati siano successivamente utilizzati o che l’interessato dimostri un danno concreto.

Il rischio non è astratto. L’aggregazione di partecipazioni, recapiti e diritti di voto può consentire di delineare il patrimonio, gli interessi economici e le strategie di investimento della persona. Il download massivo da parte di utenti non identificati moltiplica inoltre le possibilità di profilazione, riuso, incrocio con altre banche dati, frode e diffusione incontrollata.

La Corte non nega la rilevanza di obiettivi come la trasparenza del mercato, la tutela dei terzi, il contrasto al riciclaggio o l’attuazione delle sanzioni. Afferma, piuttosto, che tali finalità non giustificano automaticamente la pubblicazione indiscriminata. Quando lo stesso risultato può essere raggiunto con strumenti meno invasivi – ad esempio subordinando l’accesso alla dimostrazione di un interesse legittimo, differenziando le categorie di utenti o limitando i dati consultabili – la soluzione più invasiva non supera il test di necessità.

Il dispositivo è netto: gli articoli 5 e 6 del GDPR, letti alla luce degli articoli 7 e 8 della Carta, ostano a una disciplina che renda accessibili al pubblico i dati di tutti gli azionisti senza alcuna condizione di accesso.

La causa C-661/24: la conservazione dei metadati e il ruolo dell’architettura tecnica

Il secondo procedimento riguarda una legge belga che impone o consente agli operatori di conservare, per finalità di sicurezza delle reti e contrasto alle frodi, dati relativi al traffico e all’ubicazione: identificativi di origine e destinazione, numeri telefonici, indirizzi IP, marcature temporali, porte utilizzate, orari delle comunicazioni e localizzazione delle apparecchiature terminali.

Si tratta di metadati e non del contenuto delle comunicazioni. Questa distinzione è importante, ma non deve indurre a sottovalutarne la capacità informativa. Attraverso la correlazione di chiamate, connessioni, celle, orari e spostamenti è possibile ricostruire abitudini, relazioni, luoghi frequentati e segmenti rilevanti della vita privata.

L’Avvocato generale muove dall’articolo 15, paragrafo 1, della direttiva 2002/58/CE, la cosiddetta direttiva ePrivacy. La norma consente agli Stati membri di limitare, per obiettivi tassativamente indicati, la riservatezza delle comunicazioni e gli obblighi di cancellazione o anonimizzazione. Trattandosi di un’eccezione, essa deve essere interpretata restrittivamente e la misura nazionale deve essere necessaria, appropriata e strettamente proporzionata.

La parte più innovativa delle conclusioni consiste nella proposta di estendere il ragionamento sviluppato dalla Corte nella sentenza La Quadrature du Net II, causa C-470/21. Secondo questa impostazione, la gravità dell’ingerenza non dipende soltanto dalla categoria astratta del dato, ma anche dalla possibilità tecnica di combinarlo con altri dati e di ricavare conclusioni precise sulla vita privata.

Una conservazione generalizzata e indifferenziata non sarebbe dunque sempre vietata in assoluto. Potrebbe risultare compatibile con il diritto dell’Unione soltanto se la normativa imponesse, tra l’altro:

• una separazione effettivamente impermeabile tra le diverse categorie di dati;
• l’impossibilità, nella fase di conservazione, di effettuare utilizzi combinati capaci di ricostruire profili personali dettagliati;
• periodi non superiori a quanto strettamente necessario;
• regole chiare sulla portata dei dati, sulle finalità, sui soggetti abilitati e sulle condizioni di accesso;
• garanzie verificabili contro abusi, accessi impropri e prolungamenti indefiniti.

Applicando questi criteri, l’Avvocato generale ritiene incompatibile la disciplina belga esaminata. La legge non garantirebbe una separazione realmente stagna delle categorie, lascerebbe incertezza sui dati effettivamente trattenuti e consentirebbe proroghe rimesse in misura eccessiva alla valutazione degli operatori.

Il test di proporzionalità: dalla formula astratta alle verifiche concrete

La proporzionalità non è una clausola di stile da inserire nella legge o nel provvedimento. È un percorso di verifica composto da passaggi distinti:

Il dato più significativo è che la conformità giuridica si sposta dentro il sistema informativo. Non basta dichiarare che due archivi sono separati: occorre verificare se condividano identificativi, credenziali amministrative, motori di ricerca, chiavi crittografiche o strumenti di interrogazione capaci di ricomporli. Una separazione solo nominale non riduce davvero l’ingerenza.

Come il diritto dell’Unione si interfaccia con la legislazione nazionale

In questa materia è utile distinguere i diversi livelli normativi, perché GDPR, direttiva ePrivacy, Carta e legge italiana non operano allo stesso modo.

1. Il GDPR è direttamente applicabile

Il regolamento (UE) 2016/679 è direttamente applicabile negli Stati membri. Il legislatore italiano può disciplinare gli spazi che il GDPR gli affida e può adottare norme di coordinamento, ma non può introdurre regole che ne compromettano principi ed efficacia. Quando una legge nazionale disciplina un trattamento necessario per un compito di interesse pubblico, la base giuridica deve essere determinata e proporzionata all’obiettivo perseguito.

2. La direttiva ePrivacy richiede una disciplina nazionale, ma ne limita il contenuto

La direttiva 2002/58/CE non opera come un regolamento: richiede l’attuazione da parte degli Stati membri. Tuttavia, la discrezionalità nazionale non è libera. Le deroghe alla riservatezza delle comunicazioni devono rientrare negli obiettivi tassativi dell’articolo 15 e rispettare necessità e proporzionalità. La direttiva ePrivacy costituisce inoltre la disciplina speciale del settore delle comunicazioni elettroniche rispetto al quadro generale del GDPR.

3. La Carta diventa il parametro superiore quando lo Stato applica il diritto dell’Unione

Gli articoli 7 e 8 della Carta tutelano, rispettivamente, la vita privata e la protezione dei dati personali. L’articolo 52 stabilisce le condizioni per limitarli: previsione di legge, rispetto del contenuto essenziale, necessità e proporzionalità rispetto a una finalità riconosciuta dall’Unione o alla protezione dei diritti altrui. Quando il legislatore nazionale attua il GDPR o introduce deroghe previste dalla direttiva ePrivacy, si muove nell’ambito del diritto dell’Unione e deve rispettare la Carta.

4. La Corte di giustizia interpreta; il giudice nazionale decide il caso concreto

Nel rinvio pregiudiziale previsto dall’articolo 267 TFUE, la Corte di giustizia stabilisce il significato del diritto dell’Unione. Il giudice nazionale conserva la decisione sulla controversia e l’accertamento dei fatti, ma deve applicare l’interpretazione fornita dalla Corte. Il rinvio non è quindi un controllo astratto e distante: è il meccanismo attraverso il quale il diritto europeo entra nel giudizio nazionale.

5. Interpretazione conforme e primato

Il giudice nazionale deve anzitutto interpretare il diritto interno, per quanto possibile, in modo coerente con il diritto dell’Unione. Se il contrasto non può essere risolto interpretativamente, deve assicurare la piena efficacia della norma europea direttamente applicabile o dotata di efficacia diretta, disapplicando nel caso concreto la disposizione nazionale incompatibile. Quando vengono in rilievo direttive, rapporti tra privati o disposizioni prive di efficacia diretta, la soluzione richiede una verifica più articolata e può coinvolgere anche la Corte costituzionale. Per questo non è corretto ridurre il rapporto tra fonti alla formula automatica “la norma europea annulla quella italiana”.

Proprio su questo rapporto interviene anche la terza conclusione formulata nella causa C-661/24. Secondo l’Avvocato generale, il diritto dell’Unione impedirebbe al giudice nazionale di applicare una disposizione interna che mantenga temporaneamente gli effetti di una normativa sulla conservazione dei dati giudicata incompatibile con l’articolo 15 della direttiva ePrivacy e con la Carta. Anche questo passaggio, allo stato, costituisce una proposta alla Corte e non ancora una statuizione definitiva nella causa.

È inoltre opportuno precisare che, in questo contesto, l’espressione “diritto europeo” indica principalmente il diritto dell’Unione. La Convenzione europea dei diritti dell’uomo appartiene invece al distinto sistema del Consiglio d’Europa e viene interpretata dalla Corte di Strasburgo, pur concorrendo alla costruzione di standard comuni di tutela.

Il possibile impatto sull’ordinamento italiano

In Italia la conservazione dei dati di traffico per finalità di accertamento e repressione dei reati è disciplinata principalmente dall’articolo 132 del Codice privacy. Nel testo vigente al 10 settembre 2026, la norma prevede:

• ventiquattro mesi per i dati di traffico telefonico;
• dodici mesi per i dati di traffico telematico, escluso il contenuto delle comunicazioni;
• trenta giorni per i dati relativi alle chiamate senza risposta;
• una disciplina dell’acquisizione fondata, in via ordinaria, sull’autorizzazione motivata del giudice e, nei casi urgenti, sul decreto del pubblico ministero sottoposto a convalida;
• ordini mirati di conservazione e protezione dei dati per un periodo non superiore a novanta giorni, prorogabile per motivate esigenze entro il limite complessivo di sei mesi.

A questi termini si aggiunge l’articolo 24 della legge n. 167/2017, richiamato dallo stesso articolo 132, che stabilisce una conservazione di settantadue mesi per determinate categorie di reati particolarmente gravi.

Il sistema italiano non è privo di garanzie. L’articolo 132, comma 5, richiama le misure e gli accorgimenti prescritti dal Garante in materia di qualità, sicurezza, protezione e distruzione periodica dei dati. Tuttavia, se la Corte dovesse recepire l’impostazione proposta nella causa C-661/24, la verifica non potrebbe fermarsi all’esistenza di termini legali e regole di accesso. Occorrerebbe accertare anche se la disciplina imponga, con sufficiente precisione, la separazione delle categorie, l’impossibilità di correlazioni preventive, la delimitazione delle finalità e un’effettiva cancellazione.

La questione appare ancora più sensibile di fronte al termine di settantadue mesi. Una durata particolarmente ampia non è necessariamente illegittima per il solo dato cronologico, ma aumenta la quantità di informazioni accumulabili, il rischio di correlazione e la capacità di ricostruire retrospettivamente la vita della persona. Di conseguenza richiede una giustificazione e garanzie tanto più rigorose.

Occorre anche distinguere tre operazioni spesso confuse:

1. conservazione: il mantenimento dei dati presso l’operatore;
2. preservazione mirata: il congelamento di dati già esistenti in relazione a una specifica esigenza investigativa;
3. acquisizione: la trasmissione o messa a disposizione dei dati all’autorità procedente.

Ciascuna fase produce un’ingerenza distinta e richiede una propria base giuridica. Una corretta autorizzazione all’acquisizione non sana automaticamente eventuali criticità originarie del sistema di conservazione; allo stesso modo, l’esistenza di dubbi sulla disciplina della conservazione non determina, da sola e in modo automatico, l’inutilizzabilità processuale di ogni dato acquisito. Le conseguenze probatorie devono essere valutate in relazione alla violazione concreta, alla disciplina processuale nazionale e ai principi di effettività ed equivalenza del diritto dell’Unione.

Le ricadute per la digital forensics e per la consulenza tecnica

Questi orientamenti mostrano perché l’analisi forense non possa limitarsi alla lettura finale di un tabulato o di un report. Provenienza, struttura dell’archivio, regole di estrazione e possibilità di correlazione incidono sul significato tecnico e sulla valutazione giuridica del dato.

In un procedimento basato su dati di traffico, indirizzi IP, localizzazioni o registri di accesso, una verifica tecnicamente completa dovrebbe documentare almeno:

• la specifica categoria del dato e la finalità per la quale era conservato;
• il termine applicabile e la data di effettiva estrazione;
• il titolo autorizzativo dell’acquisizione e le eventuali convalide;
• il sistema sorgente, le modalità di segregazione e i soggetti abilitati all’accesso;
• le correlazioni effettuate prima e dopo l’acquisizione;
• i registri di audit, la tracciabilità delle operazioni e la catena di custodia;
• l’integrità, la completezza e i limiti interpretativi del dataset consegnato.

La separazione tecnica assume quindi anche un valore probatorio. Se la legittimità dell’archivio dipende dall’impossibilità di combinare preventivamente determinate categorie di dati, diventa necessario poter dimostrare che tale impossibilità sia reale, verificabile e mantenuta nel tempo. Policy interne o dichiarazioni del fornitore, da sole, potrebbero non essere sufficienti.

Una valutazione conclusiva

La sentenza C-798/24 conferma una linea rigorosa: la trasparenza non può trasformarsi in esposizione indiscriminata dei dati personali. Le conclusioni nella causa C-661/24 introducono invece una prospettiva potenzialmente evolutiva sulla data retention: l’architettura dell’archivio può contribuire a ridurre la gravità dell’ingerenza e, quindi, incidere sul giudizio di proporzionalità.

Questa apertura deve però essere letta con prudenza. La separazione tecnica non può diventare un espediente formale per legittimare raccolte generalizzate. Deve impedire concretamente la ricomposizione dei dati, essere imposta da regole chiare, sottoposta a controlli indipendenti e accompagnata da limiti temporali, accessi selettivi e cancellazioni verificabili.

La lezione più importante è che, nel diritto digitale, la proporzionalità non vive soltanto nella norma: deve essere incorporata nella progettazione dei sistemi. È il punto nel quale diritto europeo, legislazione nazionale, cybersecurity e digital forensics cessano di essere ambiti separati e diventano parti della stessa verifica.

Riferimenti essenziali

• CGUE, sentenza 3 settembre 2026, causa C-798/24, Jautiva.
• Conclusioni dell’Avvocato generale Szpunar, 3 settembre 2026, causa C-661/24.
• CGUE, sentenza 30 aprile 2024, causa C-470/21, La Quadrature du Net e altri.
• Regolamento (UE) 2016/679 – GDPR.
• Direttiva 2002/58/CE – direttiva ePrivacy.
• Articolo 132 del Codice in materia di protezione dei dati personali.
• Articolo 24 della legge 20 novembre 2017, n. 167.

Contenuto a finalità informativa e divulgativa. L’analisi non sostituisce la valutazione giuridica e tecnica del singolo caso concreto.