Conclusioni dell’avvocato generale M. Campos Sánchez-Bordona, presentate il 30 marzo 2023.#A. G. contro Lietuvos Respublikos generalinė prokuratūra.#Domanda di pronuncia pregiudiziale proposta dal Lietuvos vyriausiasis administracinis teismas.#Rinvio pregiudiziale – Telecomunicazioni – Trattamento dei dati personali nel settore delle comunicazioni elettroniche – Direttiva 2002/58/CE – Ambito di applicazione – Articolo 15, paragrafo 1 – Dati conservati dai fornitori di servizi di comunicazione elettronica e messi a disposizione delle autorità competenti in procedimenti penali – Uso successivo di tali dati nel corso di un’indagine su una condotta illecita.#Causa C-162/22.

1.

Con il presente rinvio pregiudiziale si chiede, in sintesi, se alcuni dati personali ottenuti nel corso di un’indagine penale possano essere successivamente utilizzati in un procedimento disciplinare amministrativo nei confronti di un funzionario pubblico.

2.

La risposta a questo interrogativo offre alla Corte una nuova occasione per pronunciarsi sui rispettivi ambiti di applicazione della direttiva 2002/58/CE ( 2 ), da un lato, e della direttiva (UE) 2016/680 ( 3 ) e del regolamento (UE) 2016/679 ( 4 ), dall’altro.

3.

Per quanto riguarda la direttiva 2002/58, la Corte di giustizia ha elaborato una giurisprudenza, oramai consolidata, sui casi e sulle condizioni in cui gli Stati membri possono limitare la portata dei diritti e degli obblighi che essa stabilisce ( 5 ).

4.

L’articolo 1 («Finalità e campo d’applicazione») afferma:

«1.   La presente direttiva prevede l’armonizzazione delle disposizioni nazionali necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno della Comunità.

2.   Ai fini di cui al paragrafo 1, le disposizioni della presente direttiva precisano e integrano la direttiva 95/46/CE [ ( 6 )]. Esse prevedono inoltre la tutela dei legittimi interessi degli abbonati che sono persone giuridiche.

3.   La presente direttiva non si applica alle attività che esulano dal campo di applicazione del [TFUE], quali quelle disciplinate dai titoli V e VI del trattato sull’Unione europea [TUE] né, comunque, alle attività riguardanti la sicurezza pubblica, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato ove le attività siano connesse a questioni di sicurezza dello Stato) o alle attività dello Stato in settori che rientrano nel diritto penale».

5.

L’articolo 5 («Riservatezza delle comunicazioni»), paragrafo 1, prescrive:

«Gli Stati membri assicurano, mediante disposizioni di legge nazionali, la riservatezza delle comunicazioni effettuate tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico, nonché dei relativi dati sul traffico. In particolare essi vietano l’ascolto, la captazione, la memorizzazione e altre forme di intercettazione o di sorveglianza delle comunicazioni, e dei relativi dati sul traffico, ad opera di persone diverse dagli utenti, senza consenso di questi ultimi, eccetto quando sia autorizzato legalmente a norma dell’articolo 15, paragrafo 1. Questo paragrafo non impedisce la memorizzazione tecnica necessaria alla trasmissione della comunicazione fatto salvo il principio della riservatezza».

6.

L’articolo 15 («Applicazione di alcune disposizioni della direttiva 95/46/CE») afferma:

«1.   Gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli articoli 5 e 6, all’articolo 8, paragrafi da 1 a 4, e all’articolo 9 della presente direttiva, qualora tale restrizione costituisca, ai sensi dell’articolo 13, paragrafo 1, della direttiva 95/46/CE, una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. A tal fine gli Stati membri possono tra l’altro adottare misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo. Tutte le misure di cui al presente paragrafo sono conformi ai principi generali del diritto comunitario, compresi quelli di cui all’articolo 6, paragrafi 1 e 2, del [TUE].

(…)

2.   Le disposizioni del capo III della direttiva 95/46/CE relative ai ricorsi giurisdizionali, alle responsabilità e alle sanzioni si applicano relativamente alle disposizioni nazionali adottate in base alla presente direttiva e con riguardo ai diritti individuali risultanti dalla stessa.

(…)».

7.

L’articolo 2 («Ambito di applicazione materiale») così dispone:

«1.   Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

2.   Il presente regolamento non si applica ai trattamenti di dati personali:

(…)

(…)».

8.

L’articolo 5 («Principi applicabili al trattamento di dati personali») così recita:

«1.   I dati personali sono:

(…)

(…)».

9.

L’articolo 6 («Liceità del trattamento») stabilisce quanto segue:

«1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

(…)

(…)

3.   La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:

(...)

4.   Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell’interessato o su un atto legislativo dell’Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all’articolo 23, paragrafo 1, al fine di verificare se il trattamento per un’altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l’altro:

(…)».

10.

L’articolo 1 («Oggetto e obiettivi»), paragrafo 1, così dispone:

«1.   La presente direttiva stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica».

11.

L’articolo 2 («Ambito di applicazione»), paragrafo 1, così recita:

«La presente direttiva si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1».

12.

L’articolo 4 («Principi applicabili al trattamento di dati personali») afferma:

«1.   Gli Stati membri dispongono che i dati personali siano:

(…)

(…)

2.   Il trattamento da parte dello stesso o di un altro titolare del trattamento per una qualsiasi delle finalità di cui all’articolo 1, paragrafo 1, diversa da quella per cui sono raccolti i dati personali, è consentito nella misura in cui:

(…)».

13.

L’articolo 9 («Condizioni di trattamento specifiche»), paragrafo 1, così recita:

«I dati personali raccolti dalle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1, non possono essere trattati per finalità diverse da quelle di cui all’articolo 1, paragrafo 1, a meno che tale trattamento non sia autorizzato dal diritto dell’Unione o dello Stato membro. Qualora i dati personali siano trattati per tali finalità diverse, si applica il [RGPD], a meno che il trattamento non sia effettuato nell’ambito di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione».

14.

L’articolo 65, paragrafo 2, impone ai fornitori di servizi di comunicazione elettronica l’obbligo di conservare i dati elencati di cui all’allegato 1 della stessa legge e, se del caso, di metterli a disposizione delle autorità competenti affinché possano utilizzarli nella lotta alla criminalità grave ( 8 ).

15.

Ai sensi dell’articolo 77, paragrafo 1, i fornitori di servizi di comunicazione elettronica devono fornire alle autorità competenti le informazioni in loro legittimo possesso necessarie, in particolare, per la prevenzione, l’accertamento e il perseguimento di reati.

16.

A norma dell’articolo 77, paragrafo 4, se esiste una decisione giudiziaria motivata o un’altra base giuridica prevista dalla legge, i fornitori di servizi di comunicazione elettronica devono rendere tecnicamente possibile, in particolare agli organi di indagine penale e alle autorità istruttorie, secondo le modalità previste dal diritto processuale penale, il controllo del contenuto delle comunicazioni diffuse dalle reti di comunicazione elettronica.

17.

Ai sensi dell’articolo 6, paragrafo 3, punto 1), se sono soddisfatte le condizioni stabilite dalla stessa LIC e previa autorizzazione del pubblico ministero o di un’autorità giudiziaria, gli organi di indagine penale ( 10 ) possono ottenere informazioni dai fornitori di servizi di comunicazione elettronica.

18.

A norma dell’articolo 8, paragrafi 1 e 3, gli organi di indagine penale devono agire non appena siano disponibili informazioni relative alla preparazione o alla commissione di un reato molto grave, grave o relativamente grave, e, se l’indagine rivela l’esistenza di un reato, deve essere avviata immediatamente un’istruttoria penale.

19.

Conformemente all’articolo 19, paragrafo 1, punto 5, le informazioni provenienti da operazioni di indagine penale possono essere utilizzate nei casi previsti dai paragrafi 3 e 4 del medesimo articolo, e negli altri casi previsti dalla legge.

20.

Ai sensi dell’articolo 19, paragrafo 3, le informazioni relative a un fatto che presenta le caratteristiche di un reato di natura corruttiva possono essere declassificate, d’intesa con la Procura, e utilizzate nell’ambito di un’indagine su illeciti disciplinari o di servizio.

21.

Ai sensi dell’articolo 154, paragrafo 1 («Controllo, registrazione e conservazione delle informazioni trasmesse sulle reti di comunicazione elettronica»), un inquirente può, su provvedimento di un giudice istruttore adottato su richiesta del pubblico ministero, ascoltare, captare e conservare le conversazioni trasmesse attraverso reti di comunicazione elettronica se vi è motivo di ritenere che si possano ottenere informazioni su un reato molto grave o grave in fase di preparazione, di commissione o che è già stato commesso, o su un reato relativamente grave o non grave.

22.

Ai sensi dell’articolo 177, paragrafo 1 («Divieto di divulgazione dei dati delle indagini preliminari»), i dati istruttori sono riservati e, fino alla fase giudiziale della causa, possono essere divulgati solo con l’autorizzazione della procura e solo nella misura in cui ciò sia giustificato ( 12 ).

23.

La Lietuvos Respublikos generalinė prokuratūra (Procura generale della Repubblica di Lituania; in prosieguo: la «Procura generale») ha avviato un’indagine interna sull’operato di A.G., all’epoca procuratore presso una Apygardos prokuratūra (Procura regionale), in presenza di indizi di condotta illecita nell’esercizio di funzioni pubbliche.

24.

La Commissione della Procura generale ha constatato che A.G. si è reso responsabile di condotta illecita nell’esercizio di funzioni pubbliche e ha proposto di infliggergli la sanzione disciplinare di rimozione da tali funzioni.

25.

Detta condotta sarebbe stata accertata sulla base delle informazioni, ottenute nel corso dell’indagine amministrativa, derivanti dalle attività dei servizi di informazione criminale, dalle spiegazioni di altri funzionari e del ricorrente, nonché dalle risultanze di due indagini preliminari.

26.

In particolare, vi sarebbero state comunicazioni telefoniche tra A.G. e il legale di un indagato nel corso di un’indagine preliminare condotta da A.G. riguardo a procedimenti in cui l’avvocato aveva agito in qualità di difensore ( 13 ).

27.

Il controllo e la registrazione delle informazioni trasmesse attraverso le reti di comunicazione elettronica erano stati autorizzati mediante ordinanze del giudice.

28.

Il procuratore generale ha inflitto la sanzione della rimozione dalle funzioni ad A.G., il quale ha presentato ricorso al Vilniaus apygardos administracinis teismas (Tribunale amministrativo regionale di Vilnius, Lituania), chiedendone l’annullamento.

29.

Il ricorso è stato respinto con sentenza del 16 luglio 2021, in quanto il giudice di primo grado ha ritenuto legittime le attività dei servizi di informazione criminale e l’utilizzo, nel corso del procedimento disciplinare, dei dati ottenuti da tali servizi.

30.

A.G. ha proposto appello contro la sentenza di primo grado dinanzi allo Lietuvos vyriausiasis administracinis teismas (Corte amministrativa suprema, Lituania), che sottopone alla Corte di giustizia la presente questione pregiudiziale:

«Se l’articolo 15, paragrafo 1, della direttiva 2002/58/CE (…), in combinato disposto con gli articoli 7, 8, 11 e 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea [Carta], debba essere interpretato nel senso che esso vieti alle autorità pubbliche competenti di utilizzare, nell’ambito di indagini per condotta illecita di natura corruttiva nell’esercizio di funzioni pubbliche, i dati conservati dai fornitori di servizi di comunicazione elettronica che possono fornire informazioni sui dati di un utente di un mezzo di comunicazione elettronica e sulle comunicazioni da questi effettuate, indipendentemente dal fatto che l’accesso a tali dati sia stato concesso, nel caso concreto, ai fini del contrasto di reati gravi e di prevenzione di gravi minacce alla sicurezza pubblica».

31.

La domanda di pronuncia pregiudiziale è pervenuta alla cancelleria della Corte di giustizia il 3 marzo 2022.

32.

Hanno presentato osservazioni scritte A.G., i governi ceco, estone, ungherese, irlandese, italiano e lituano, nonché la Commissione europea.

33.

All’udienza, tenutasi il 2 febbraio 2023, sono comparsi A.G., i governi francese, ungherese, irlandese e lituano, nonché la Commissione.

34.

Il giudice del rinvio è un giudice amministrativo competente per il controllo giurisdizionale delle decisioni anche amministrative. Questa è la natura della decisione adottata dal procuratore generale, che ha inflitto la sanzione della revoca dalle funzioni a un funzionario di una procura territoriale, per fatti che costituiscono un illecito nell’esercizio delle sue funzioni.

35.

La controversia di cui trattasi non verte, pertanto, sulle decisioni delle autorità giudiziarie penali. Anche se dette decisioni coesistono con il procedimento amministrativo (disciplinare) che ha dato origine alla revoca dalle funzioni ( 14 ), occorre sottolineare che la controversia sorge solo per quanto riguarda quest’ultima.

36.

Ciò premesso, dalla decisione di rinvio emerge una certa imprecisione quanto ai fatti della controversia, che delineano il contesto in cui si colloca la questione pregiudiziale.

37.

Come hanno sottolineato il governo ceco e la Commissione, non è possibile stabilire con certezza, sulla base dell’ordinanza di rinvio, se le autorità competenti: a) si siano rivolte ai fornitori di servizi di comunicazione elettronica per ottenere i dati controversi, o b) abbiano ottenuto esse stesse, direttamente, tali dati.

38.

La questione non è affatto secondaria. Da essa dipende l’individuazione di quale normativa dell’Unione sia pertinente per rispondere alla questione pregiudiziale. A seconda che i fatti si siano verificati in un modo o nell’altro, deve essere applicata:

39.

In questa seconda ipotesi, la protezione dei dati personali sarebbe disciplinata dal diritto nazionale, fatta salva l’applicazione della direttiva 2016/680 ( 15 ). La questione pregiudiziale, pertanto, ponendo l’accento sulla direttiva 2002/58, darebbe atto di un approccio inadeguato.

40.

Il governo ungherese, convinto che i dati personali siano stati ottenuti attraverso operazioni di intercettazione telefonica effettuate dai servizi di informazione criminale, mette in dubbio la ricevibilità del rinvio pregiudiziale, in quanto la direttiva 2002/58 sarebbe, per le ragioni esposte, inapplicabile.

41.

Per la Commissione, tuttavia,

42.

Concordo con questo approccio della Commissione che, peraltro, è l’unico che consenta di superare le perplessità (giustificate) generate dalla decisione di rinvio quanto alla sua ricevibilità.

43.

Così intesa la questione pregiudiziale la pertinenza della direttiva 2002/58 ai fini della risposta a detta questione:

44.

Infatti, secondo il giudice del rinvio, per il procedimento di cui è investito, sono rilevanti:

45.

Tutto sembrerebbe pertanto indicare che, al di fuori dell’eventuale concorso di dati personali il cui trattamento non potrebbe rientrare nell’ambito di applicazione della direttiva 2002/58 (ma in quello della direttiva 2016/680), nell’indagine che ha portato alla sanzione inflitta siano stati utilizzati dati personali raccolti presso i fornitori di servizi di comunicazione elettronica.

46.

La risposta della Corte di giustizia deve essere circoscritta alla richiesta del giudice del rinvio come da quest’ultimo formulata. Occorre pertanto chiarire se i dati personali ottenuti e trattati sulla base dell’articolo 15, paragrafo 1, della direttiva 2002/58 nell’ambito di un’indagine penale possano essere successivamente utilizzati in un procedimento disciplinare (amministrativo) nei confronti di un funzionario pubblico.

47.

Avendo così delimitato i termini del rinvio pregiudiziale, si può affermare, a contrario, che esulano dall’ambito dello stesso le seguenti questioni:

48.

In sintesi, le considerazioni nel merito che seguono dovranno tralasciare l’interpretazione della direttiva 2016/680 ( 21 ). Esse si limiteranno, per quanto riguarda la direttiva 2002/58, all’utilizzo dei dati personali ottenuti ai sensi della stessa mediante operazioni di trattamento di cui si deve presupporre la legittimità iniziale, dal momento che quest’ultima non viene contestata nel procedimento principale.

49.

Dall’articolo 15, paragrafo 1, prima frase, della direttiva 2002/58 si deduce che gli Stati membri possono adottare una misura che deroga al principio della riservatezza sancito dall’articolo 5, paragrafo 1, della stessa direttiva qualora essa sia «necessaria, opportuna e proporzionata all’interno di una società democratica», e risulti «strettamente» proporzionata allo scopo perseguito ( 22 ).

50.

In particolare, la possibilità per gli Stati membri di giustificare una limitazione dei diritti e degli obblighi previsti agli articoli 5, 6 e 9 della direttiva 2002/58 deve essere valutata alla luce della gravità dell’ingerenza che una restrizione siffatta comporta e verificando che l’importanza dell’obiettivo di interesse generale perseguito da tale limitazione sia adeguata a detta gravità ( 23 ).

51.

«Per soddisfare il requisito di proporzionalità, una normativa deve prevedere norme chiare e precise che disciplinino la portata e l’applicazione della misura considerata e fissino un minimo di requisiti, di modo che le persone i cui dati personali sono oggetto di attenzione dispongano di garanzie sufficienti che consentano di proteggere efficacemente tali dati contro i rischi di abuso. Tale normativa deve essere giuridicamente vincolante nell’ambito dell’ordinamento nazionale e, in particolare, indicare in quali circostanze e a quali condizioni una misura che prevede il trattamento di siffatti dati possa essere adottata (…)» ( 24 ).

52.

Per quanto riguarda i motivi d’interesse generale che possono giustificare una misura adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58, secondo il principio di proporzionalità esiste una gerarchia di obiettivi in funzione della loro rispettiva importanza: l’importanza dell’obiettivo perseguito da una simile misura deve essere rapportata alla gravità dell’ingerenza ( 25 ).

53.

In questa gerarchia di obiettivi, la salvaguardia della sicurezza nazionale, letta alla luce dell’articolo 4, paragrafo 2, TUE, supera quella degli altri obiettivi di cui all’articolo 15, paragrafo 1, della direttiva 2002/58, vale a dire la difesa, la sicurezza pubblica o la prevenzione, la ricerca, l’accertamento e il perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. L’obiettivo di lotta alla criminalità in generale, anche grave, e di salvaguardia della sicurezza pubblica rientra in quest’ultima categoria ( 26 ).

54.

Da questa classificazione degli obiettivi consegue che:

55.

Secondo il giudice del rinvio, i dati controversi sarebbero stati ottenuti mediante gravi ingerenze nei diritti garantiti dagli articoli 7, 8 e 11 della Carta ( 29 ).

56.

Non si tratta qui, ripeto, di esaminare la legittimità iniziale dell’acquisizione di tali dati, vale a dire, di valutare se l’ingerenza sia stata sufficientemente giustificata in considerazione della gravità del reato contro cui si intendeva agire.

57.

Su entrambi i punti (gravità dell’ingerenza e gravità del reato), si è pronunciato il giudice del rinvio in termini che non sono argomentati nel procedimento principale e non sono dunque pertinenti ai fini del rinvio pregiudiziale.

58.

Ciò che rileva in questa sede, come espone il giudice del rinvio, è stabilire se quei dati: a) possano essere utilizzati anche nell’ambito di indagini successive finalizzate alla lotta contro la criminalità in generale (ipotizzando che la condotta oggetto della sanzione disciplinare controversa rientri in questa nozione), o b) possano essere utilizzati solo nell’ambito di indagini finalizzate alla lotta contro la criminalità grave.

59.

I governi ceco e irlandese hanno esaminato se la condotta in causa dinanzi al giudice del rinvio meriti o meno di essere considerata un «reato grave» e hanno concluso in senso affermativo.

60.

A mio avviso, si tratta tuttavia di un punto su cui la Corte di giustizia non deve pronunciarsi, poiché la qualificazione della condotta rientra nella competenza del giudice del rinvio.

61.

Il giudice del rinvio afferma che, se l’uso di dati ottenuti mediante una grave ingerenza nei diritti fondamentali può essere giustificato solo nella lotta contro la criminalità grave e nella prevenzione contro gravi minacce alla sicurezza pubblica, non sarebbe possibile utilizzare questi dati nell’ambito di indagini su illeciti disciplinari di natura corruttiva ( 30 ), vale a dire, in indagini come quella controversa nella presente causa.

62.

Sulla base di tale valutazione, ciò che interessa è stabilire se gli illeciti disciplinari per il cui perseguimento si vorrebbero utilizzare determinati dati personali devono essere qualitativamente equivalenti, in termini di gravità, agli illeciti che hanno giustificato la raccolta di tali dati ( 31 ).

63.

In udienza, il governo lituano ha riconosciuto che la revoca dalle funzioni era stata imposta a causa di un illecito deontologico del procuratore sanzionato. Valutare se tale illecito (la fuga di notizie su un’indagine preliminare) possa essere assimilata a un reato grave o comporti un rischio grave per la salvaguardia della sicurezza pubblica dipende da una serie di fattori che solo il giudice del rinvio è in grado di verificare ( 32 ).

64.

Nel corso dell’udienza sono stati fatti numerosi riferimenti alla lotta alla corruzione, come fenomeno alla base di condotte come quella oggetto del presente procedimento. Il dibattito su questo punto richiederebbe non poche puntualizzazioni, nell’interesse del rigore esigibile in tutte le manifestazioni del potere punitivo dello Stato. Occorrerebbe stabilire, ad esempio, se il termine «corruzione» sia usato in senso generico o si riferisca a un tipo specifico di comportamento nel quale, in astratto, sarebbe forse eccessivo includere la mera violazione del dovere di segretezza se non è accompagnata da un correlativo vantaggio a favore del funzionario ( 33 ).

65.

In ogni caso, se il giudice del rinvio dovesse ritenere che l’illecito deontologico qui sanzionato sia di minore gravità rispetto al reato la cui indagine ha giustificato la misura adottata ai sensi dell’articolo 15 della direttiva 2002/58, la risposta alla sua questione pregiudiziale si desume dalle seguenti affermazioni della Corte:

66.

Si applica dunque una sorta di principio di equivalenza tra gli obiettivi di interesse pubblico che giustificano l’acquisizione dei dati personali, da un lato, e quelli che legittimano il loro uso successivo, dall’altro. L’unica eccezione al suddetto principio è, come sopra esposto, che l’importanza dell’obiettivo perseguito dall’accesso sia maggiore di quella dell’obiettivo che ha giustificato la conservazione.

67.

Dare un’interpretazione diversa significherebbe snaturare il sistema di garanzie della direttiva 2002/58: i diritti da essa tutelati potrebbero essere oggetto di gravi ingerenze al di fuori dei casi previsti dall’articolo 15 e delle condizioni stabilite dalla giurisprudenza della Corte di giustizia.

68.

In particolare, sacrificare l’integrità del diritto alla riservatezza delle comunicazioni è legittimamente ammissibile solo alla luce dello specifico obiettivo di interesse generale che si persegue. È per questo motivo che la legittimità dell’accesso ai dati conservati deve essere verificata caso per caso, soppesando la gravità che comporta, da un lato, e l’importanza dell’obiettivo di interesse generale che si intende perseguire con tale ingerenza, dall’altro.

69.

Non può invece ammettersi un’interpretazione della direttiva 2002/58 secondo cui l’accesso fornito in occasione di una fattispecie iniziale che lo giustifichi validamente apra la strada a un accesso successivo (in realtà, un riutilizzo dei dati ottenuti) basato su un obiettivo gerarchicamente inferiore a quello della fattispecie originaria.

70.

A tal fine, i requisiti per l’accesso iniziale (compresi quelli richiesti dalla Corte di giustizia in merito alla sua autorizzazione) ( 36 ) sono trasferibili all’uso successivo degli stessi dati da parte di altre autorità.

71.

Finora ho esposto quello che ritengo essere il modo più appropriato di rispondere alla domanda di pronuncia pregiudiziale nei suoi stessi termini, vale a dire, fornendo al giudice del rinvio l’interpretazione della direttiva 2002/58, così come richiesto.

72.

Nell’ipotesi in cui i dati controversi in questa causa fossero stati ottenuti non sulla base dell’articolo 15, paragrafo 2, della direttiva 2002/58, bensì direttamente dai servizi di informazione criminale dello Stato membro, nell’ambito di un procedimento penale, lo scenario sarebbe diverso.

73.

In tale ipotesi, entrerebbero in gioco le norme del diritto nazionale, fatta salva l’applicazione della direttiva 2016/680 per quanto riguarda il trattamento dei dati personali ottenuti nel corso di un’indagine penale. Parto dal presupposto che le azioni dei servizi di informazione criminale, in casi come questo, rientrino nell’ambito di applicazione della direttiva 2016/680. Ciò è stato confermato in udienza.

74.

Come ho esposto nelle conclusioni presentate nella causa Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento di dati – Istruttoria penale) ( 37 ), «l’RGPD e la direttiva 2016/680 configurano un sistema coerente in cui:

75.

Ho poi ricordato ( 39 ) che:

76.

Ebbene, secondo l’interpretazione della Corte di giustizia dell’articolo 4, paragrafo 2, della direttiva 2016/680 ( 41 ), difficilmente si potrà ammettere che i dati personali raccolti nel corso di un procedimento penale siano utilizzati per la medesima finalità nell’ambito di un ulteriore procedimento disciplinare nei confronti di un pubblico ufficiale.

77.

Devo tuttavia ricordare che, ai sensi dell’articolo 4, paragrafo 2, della direttiva 2016/680, «il trattamento da parte dello stesso o di un altro titolare del trattamento per una qualsiasi delle finalità di cui all’articolo 1, paragrafo 1, diversa da quella per cui sono raccolti i dati personali, è consentito nella misura in cui:

78.

Partendo da questa premessa, il giudice del rinvio deve valutare se la (diversa) finalità dell’ulteriore trattamento rientri tra quelle previste dall’articolo 1, paragrafo 1, della direttiva 2016/680 o se si trovi al di fuori di queste ultime:

79.

Per quanto riguarda la prima delle due condizioni richieste dalla disposizione, essa sarà soddisfatta solo se il diritto dello Stato membro assume la forma di una legge ( 42 ) che disciplina il momento in cui il titolare è autorizzato a trattare i dati personali. Detta legge deve inoltre contenere norme vincolanti, chiare e precise ( 43 ).

80.

Tuttavia, si tratta ovviamente di una questione che spetta al giudice del rinvio verificare, dopo aver analizzato l’articolo 177 del CPP, l’articolo 19, paragrafo 3, della LIC e le raccomandazioni della procura generale ( 44 ). Sulla base di questi elementi, dovrà valutare in che misura il diritto nazionale consenta che le informazioni ottenute nel corso di un procedimento penale possano essere utilizzate, a determinate condizioni, nell’ambito di indagini su illeciti disciplinari. In questa verifica possono essere utili le considerazioni della sentenza della Corte EDU Adomaitis ( 45 ).

81.

Per quanto riguarda la seconda condizione, il giudice del rinvio dovrà valutare se, nel trattamento dei dati di cui trattasi nella presente causa, l’ingerenza fosse necessaria e proporzionata ( 46 ).

82.

Ancora una volta, le affermazioni della sentenza della Corte EDU Adomaitis possono contribuire a questa valutazione:

83.

Conformemente all’articolo 9, paragrafo 1, della direttiva 2016/680, i dati personali raccolti dalle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1, possono essere trattati per finalità diverse da quelle di cui all’articolo 1, paragrafo 1, quando tale trattamento è autorizzato dal diritto dell’Unione o dello Stato membro. In tal caso, si applica l’RGPD, a meno che il trattamento non sia effettuato nell’ambito di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione ( 49 ).

84.

Nel caso in cui il giudice del rinvio ritenga inapplicabile l’articolo 4, paragrafo 2, della direttiva 2016/680, dovrà ricorrere all’RGPD. Conformemente a tale regolamento, occorrerà chiarire se, oltre alle disposizioni di legge, sia soddisfatta almeno una delle condizioni di liceità del trattamento dei dati personali elencate tassativamente all’articolo 6, paragrafo 1 dello stesso.

85.

Alla luce di quanto precede, propongo alla Corte di giustizia di rispondere allo Lietuvos vyriausiasis administracinis teismas (Corte amministrativa suprema, Lituania) nei seguenti termini: