In data 19 marzo 2026, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C‑371/24, HW, sull’interpretazione dell’articolo 4, paragrafo 1, lettere da a) a c), nonché degli articoli 8 e 10 della Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio[1]. Tale domanda era stata presentata nell’ambito di un procedimento penale a carico di HW, in esito al quale quest’ultimo era stato condannato ad una pena pecuniaria a causa del suo rifiuto di sottoporsi ad operazioni di rilievo segnaletico di tipo dattiloscopico e fotografico, sebbene egli fosse stato assolto dal reato su cui si fondava l’esecuzione di tali operazioni.
Questi i fatti.
Intervenendo per disperdere gli oltre 100 attivisti per il clima che, in data 30 maggio 2020, avevano occupato l’avenue des Champs-Elysées a Parigi, le forze dell’ordine avevano sottoposto a fermo per identificazione diverse persone, tra cui HW, per organizzazione di una manifestazione non comunicata e ribellione. Interrogato nell’ambito del suo fermo di polizia, HW aveva fornito la propria identità ma aveva rifiutato, da un lato, di sottoporsi ai rilievi dattiloscopici e fotografici e, dall’altro, di comunicare il codice di sblocco del suo telefono cellulare e di sbloccarlo egli stesso, sebbene fosse stato informato che tali rifiuti costituivano reati per i quali sarebbe incorso in pene detentive e pecuniarie. Al termine del suo fermo di polizia, HW era stato tradotto prima dinanzi al procureur de la République (procuratore della Repubblica) e poi dinanzi al juge des libertés et de la détention (giudice competente per l’adozione di misure restrittive della libertà personale), che l’aveva assoggettato a libertà vigilata comunicandogli che avrebbe dovuto comparire dinanzi al tribunal correctionnel de Paris (Tribunale penale di Parigi).
Con sentenza di primo grado, quest’ultimo aveva assolto HW per due dei reati di cui era accusato, condannandolo invece ad una pena pecuniaria pari a 300 euro per il terzo. HW e il pubblico ministero, pertanto, avevano interposto appello dinanzi alla Cour d’appel de Paris (Corte d’appello di Parigi; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia tre questioni pregiudiziali.
Con la prima questione, il giudice del rinvio chiedeva se l’articolo 10[2] della Direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c)[3], nonché con l’articolo 8[4] di tale direttiva, debba essere interpretato nel senso che esso osta ad una normativa nazionale che prevede la raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.
La Corte ha preliminarmente ricordato che l’articolo 10 della Direttiva 2016/680 prevede, per quanto riguarda i dati personali rientranti in una delle categorie ivi tassativamente elencate, che il loro trattamento debba soddisfare, oltre alla condizione di rientrare in una delle tre fattispecie elencate alle sue lettere da a) a c), altre due condizioni, ossia i) l’esistenza di “garanzie adeguate” per i diritti e le libertà dell’interessato, e ii) un trattamento “strettamente necessario”[5]. Per quanto riguarda quest’ultima condizione, la sua portata deve essere determinata alla luce delle finalità della raccolta dei dati personali in questione, che a loro volta devono essere determinate, esplicite e legittime. Più particolarmente, tale condizione richiede che i dati personali siano adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati, ciò che implica il rispetto, da parte degli Stati Membri, del principio di minimizzazione del trattamento dei dati, di cui tale articolo 10 costituisce un’applicazione specifica ai dati personali sensibili[6]. Gli Stati Membri, inoltre, devono disporre che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente, specificandone quanto meno gli obiettivi, le finalità nonché i dati personali da trattare[7].
La condizione del carattere “strettamente necessario” ai sensi dell’articolo 10 della Direttiva 2016/680 implica, in primo luogo, che tale necessità sia valutata in modo particolarmente rigoroso alla luce delle finalità perseguite dal trattamento in questione e che, di conseguenza, un siffatto trattamento possa essere considerato necessario solo in un numero limitato di casi[8], di talché le finalità del trattamento di dati personali sensibili, come la raccolta di dati biometrici e genetici, non possono essere designate in termini troppo generici, richiedendo invece di essere definite in modo sufficientemente preciso e concreto da consentire di valutarne il carattere strettamente necessario[9]. In secondo luogo, tale condizione implica un controllo particolarmente rigoroso del rispetto del principio di minimizzazione del trattamento dei dati in questione, richiedendo che il titolare del trattamento dei dati sensibili si assicuri che la finalità perseguita dal trattamento non possa essere conseguita in modo altrettanto efficace facendo ricorso a categorie di dati diverse da quelle elencate all’articolo 10 della Direttiva 2016/680[10]. In terzo luogo, in considerazione dei rischi significativi rappresentati dal trattamento dei dati personali sensibili per i diritti e le libertà degli interessati, la condizione del carattere “strettamente necessario” esige che si tenga conto della particolare rilevanza della finalità che un tale trattamento mira a conseguire[11]. Il carattere strettamente necessario della raccolta dei dati biometrici e genetici di persone perseguite per aver commesso un reato doloso o sospettate di aver commesso un siffatto reato a fini della loro identificazione e confronto futuro, infine, deve tener conto di tutti gli elementi pertinenti, quali, in particolare, la natura e la gravità del presunto reato per il quale esse sono formalmente accusate, le sue circostanze particolari, l’eventuale collegamento del reato con altri procedimenti in corso, i precedenti giudiziari nonché il profilo individuale delle persone in questione[12].
Se è vero che uno Stato Membro può conformarsi alla Direttiva 2016/680 delegando alle autorità competenti il compito di provvedere, in ciascun caso concreto, al rispetto della condizione, per qualsiasi trattamento di dati personali sensibili, di essere “strettamente necessario” ai sensi dell’articolo 10 della Direttiva 2016/680, oppure fissando, a livello legislativo, criteri di valutazione che le autorità devono successivamente applicare in modo non discrezionale, pertanto, ciò non toglie che, in questa seconda ipotesi, tali criteri debbano essere idonei a soddisfare tutti i requisiti derivanti da tale condizione[13]. Di conseguenza, una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento delle finalità specifiche e concrete perseguite e, dall’altro, che tali finalità non possono essere raggiunte mediante misure che costituiscono un’ingerenza meno grave nei diritti e nelle libertà della persona interessata, è contraria a tale condizione del carattere “strettamente necessario” ai sensi dell’articolo 10 della Direttiva 2016/680, dal momento che una normativa del genere può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati biometrici e genetici della maggior parte delle persone formalmente accusate[14].
Con la sua seconda questione, invece, il giudice del rinvio chiedeva se l’articolo 10 della Direttiva 2016/680 debba essere interpretato nel senso che esso osta ad una normativa nazionale che non prevede l’obbligo, per l’autorità competente, di motivare adeguatamente, in ciascun caso specifico, il carattere “strettamente necessario”, ai sensi di tale disposizione, della raccolta dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.
La Corte ha preliminarmente ricordato che la Direttiva 2016/680 impone esplicitamente agli Stati Membri di disporre che, qualora una persona ritenga che i diritti di cui gode ai sensi delle disposizioni adottate a norma della stessa siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali disposizioni, essa abbia diritto ad un ricorso giurisdizionale effettivo[15]. Tale diritto, in particolare, presuppone che l’interessato possa conoscere la motivazione su cui si fonda la decisione adottata nei suoi confronti al fine di consentirgli di difendere i suoi diritti nelle migliori condizioni possibili e di decidere, con piena cognizione di causa, se sia utile adire il giudice competente, nonché per consentire pienamente a quest’ultimo di esercitare il controllo di legittimità di tale decisione[16].
Sebbene tale diritto non costituisca una prerogativa assoluta, potendovi essere apportate limitazioni, queste ultime devono essere previste dalla legge, rispettare il contenuto essenziale dei diritti e delle libertà di cui trattasi nonché essere necessarie e rispondere effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui[17]. Di conseguenza, spetta all’autorità competente, autorizzata dal diritto nazionale a raccogliere dati biometrici in caso di carattere “strettamente necessario” ai sensi dell’articolo 10 della Direttiva 2016/680, fornire agli interessati, nell’ambito dei procedimenti nazionali applicabili, i motivi sui quali tale carattere si basa[18].
Con la terza questione, infine, il giudice del rinvio chiedeva se l’articolo 10 della Direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva, debba essere interpretato nel senso che esso osta ad una normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati.
La Corte ha preliminarmente ricordato che il tentativo dell’autorità competente di procedere ad un trattamento di dati personali, come quello che ha luogo quando la persona interessata rifiuta la raccolta dei suoi dati biometrici, a fini di prevenzione, indagine, accertamento e perseguimento di reati rientra nell’ambito di applicazione della Direttiva 2016/680[19], di talché, qualora tale rifiuto esponga la persona in questione, in forza del diritto nazionale, all’inflizione di una sanzione penale per un reato specifico ad esso relativo, la conformità della raccolta di dati biometrici prevista alle disposizioni di tale direttiva costituisce una condizione della legittimità di tale sanzione[20]. Una normativa nazionale che consente di perseguire penalmente e di condannare, per un reato specifico, una persona che ha rifiutato la raccolta dei suoi dati biometrici, anche se quest’ultima non è stata perseguita penalmente o condannata per il reato su cui si fondava tale raccolta, pertanto, rientra nell’ambito di applicazione della Direttiva 2016/680.
Tutto ciò premesso, la mera circostanza che la raccolta dei dati biometrici di una persona accusata di un reato avvenga prima che quest’ultima sia condannata in via definitiva non è sufficiente ad escludere che si possa ritenere che una tale raccolta presenti carattere “strettamente necessario”, ai sensi dell’articolo 10 della Direttiva 2016/680, dal momento che, tenuto conto delle finalità specifiche e concrete perseguite, la stessa, anche in considerazione del tipo di dati interessati, può rivelarsi strettamente necessaria, in particolare per consentire di determinare se, in ragione della sua eventuale appartenenza ad un’organizzazione criminale, la persona in questione possa aver partecipato ad altri reati per i quali dati di tale tipo potrebbero essere rilevanti, o, se esiste un rischio di fuga, per permettere la sua identificazione[21]. Rientrando nell’ambito di applicazione del diritto dell’Unione, tuttavia, una siffatta sanzione penale, per un reato specifico che punisce il rifiuto di una persona di consentire la raccolta dei suoi dati biometrici, deve rispettare il principio di proporzionalità, il quale esige da un lato, che la sanzione inflitta rifletta la gravità della violazione e, dall’altro lato, che, nella sua determinazione, nonché dell’importo dell’ammenda, si tenga conto delle specifiche circostanze del caso concreto[22].
Alla luce di quanto visto finora, la Corte ha pertanto statuito che:
“L’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva, deve essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, a meno che sia dimostrato, da un lato, che il diritto nazionale definisce le finalità specifiche e concrete perseguite da tale raccolta in modo adeguato e sufficientemente preciso e, dall’altro, che l’autorità competente è tenuta, in ciascun caso specifico, a valutare se detta raccolta sia strettamente necessaria alla realizzazione di tali finalità, cosicché una siffatta raccolta non riveste un carattere sistematico.
L’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 4, nonché con l’articolo 54 di tale direttiva, e alla luce dell’articolo 47 della Carta dei diritti fondamentali dell’Unione europea, deve essere interpretato nel senso che esso osta a una normativa nazionale che non prevede l’obbligo, per l’autorità competente, di motivare adeguatamente, in ciascun caso specifico, il carattere «strettamente necessario», ai sensi di tale articolo 10, della raccolta dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.
L’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8 di tale direttiva, e alla luce dell’articolo 49, paragrafo 3, della Carta dei diritti fondamentali, deve essere interpretato nel senso che esso non osta a una normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati, purché detta raccolta soddisfi la condizione del carattere «strettamente necessario», ai sensi di detto articolo 10, e la sanzione penale inflitta a tale titolo rispetti il principio di proporzionalità”.
