La Quinta Sezione penale della Corte di Cassazione, con sentenza n. 1054 del 6 ottobre 2021 (motivazione depositata il 13 gennaio 2022), ha affermato che, ai fini della utilizzabilità dei dati esterni del traffico telefonico e telematico, la nuova disciplina introdotta dall’art. 1 del d.l. 30 settembre 2021, n. 132 – che ne limita la possibilità di acquisizione, ai fini di indagine penale, ai reati più gravi, o comunque commessi col mezzo del telefono, attraverso il filtro del provvedimento motivato del giudice – non è applicabile ai dati già acquisiti nei procedimenti pendenti alla data di entrata in vigore del decreto, trattandosi di disciplina di natura processuale, come tale soggetta al principio “tempus regit actum”.
L’art. 1 del recentissimo D.L. 30 settembre 2021, n. 132, in materia di acquisizione dei dati di traffico telefonico e telematico (data retention) per fini di indagine penale, ha novellato significativamente il D.Lgs. n. 196 del 2003, art. 132. Tali modifiche hanno investito, tra l’altro, il comma 3, che risulta così riformulato: ” Entro il termine di conservazione imposto dalla legge, se sussistono sufficienti indizi di reati per i quali la legge stabilisce la pena dell’ergastolo o della reclusione non inferiore nel massimo a tre anni, determinata a norma dell’art. 4 c.p.p., e di reati di minaccia e di molestia o disturbo alle persone col mezzo del telefono, quando la minaccia, la molestia e il disturbo sono gravi, ove rilevanti ai fini della prosecuzione delle indagini, i dati sono acquisiti presso il fornitore con decreto motivato del giudice su richiesta del pubblico ministero o su istanza del difensore dell’imputato, della persona sottoposta a indagini, della persona offesa e delle altre parti private”.
Dunque, a decorrere dal 30.9.2021 (giorno della pubblicazione del D.L. n. 132 del 2021, come disposto dal medesimo D.L., art. 7) la possibilità di acquisire a fini di indagine penale i dati esterni di traffico telefonico e telematico è limitata a reati gravi, o comunque posti in essere con il mezzo del telefono (minacce e molestie gravi) ed è demandata al Giudice e non più al P.M., come nel previgente art. 132 codice della privacy, fatti salvi i casi di urgenza descritti nel nuovo comma 3 bis (secondo cui: “quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare grave pregiudizio alle indagini, il pubblico ministero dispone la acquisizione dei dati con decreto motivato che è comunicato immediatamente, e comunque non oltre quarantotto ore, al giudice competente per il rilascio dell’autorizzazione in via ordinaria. Il giudice, nelle quarantotto ore successive, decide sulla convalida con decreto motivato. Se il decreto del pubblico ministero non è convalidato nel termine stabilito, i dati acquisiti non possono essere utilizzati”).
La nuova disciplina è rivolta, come in precedenza, all’acquisizione dei “dati esteriori” di comunicazioni telefoniche od elettroniche, conservati ai fini amministrativi dai gestori telefonici (quindi, indipendentemente dall’instaurarsi di un processo penale), ossia dei dati relativi, tra gli altri, alle telefonate su apparecchi fissi o mobili, a fax, sms, mms, e-mail, ai siti internet visitati, alle geolocalizzazioni di utenze, anche in tempo reale, con la rilevazione delle celle di aggancio, anche quando non è in corso una telefonata, oltre ai tabulati telefonici, costituenti la documentazione, in forma intelligibile, del flusso informatico relativo ai dati esterni.
L’art. 132 codice della privacy è stato interessato da plurime modifiche nell’arco di oltre un decennio, nel tentativo di pervenire ad un adeguato equilibrio tra le esigenze investigative e la tutela della riservatezza, in relazione, tra l’altro, alla progressiva accresciuta capacità di raccolta dei dati e all’affinamento delle tecniche di conservazione e di lettura di essi. Infatti, se è pur vero che i dati esteriori delle comunicazioni (data retention) sono estranei al contenuto delle comunicazioni, per loro stessa definizione, e determinano una lesione solo “periferica” al diritto alla riservatezza, per la minore invasività dell’acquisizione dei dati rispetto all’intercettazione, ciononostante tali dati forniscono notizie assai rilevanti (quali tempo, durata, frequenza delle chiamate, utenze contattate ecc.) e talora sensibili, investendo la personalità e la sfera privata del titolare dell’utenza telefonica o telematica, od anche una categoria indistinta di utenti presenti in una determinata “cella di aggancio”. Inoltre, il terreno di confronto per il necessario contemperamento degli interessi in gioco nell’acquisizione dei dati suddetti non può che essere quello comunitario, essendo la complessiva disciplina del codice della privacy improntata all’adeguamento della legislazione nazionale alle direttive Europee e agli altri atti dell’Unione.
L’acquisizione di dati esterni al traffico telefonico ed informatico nel processo penale costituisce, dunque, anch’essa materia di matrice unionale, per la quale è necessaria la verifica di conformità col diritto comunitario. D’altra parte, la recentissime modifiche dell’art. 132 Codice della privacy, come testualmente evidenziato nel preambolo del D.L. n. 132 del 2021, sono state determinate dalla “straordinaria necessità ed urgenza di garantire la possibilità di acquisire dati relativi al traffico telefonico e telematico per fini di indagine penale nel rispetto dei principi enunciati dalla Grande sezione della Corte di giustizia dell’Unione Europea nella sentenza del 2 marzo 2021, causa C-746/18, e in particolare di circoscrivere le attività di acquisizione ai procedimenti penali aventi ad oggetto forme gravi di criminalità e di garantire che dette attività’ siano soggette al controllo di un’autorità giurisdizionale”.
Tanto premesso va affermata la pacifica applicabilità della nuova “disciplina”, quanto alle richieste di acquisizione dei dati relativi al traffico telefonico e telematico a decorrere dal 30.9.2021.
Con riguardo, invece, alle richieste precedenti a tale data si osserva quanto segue.
Va in primis chiarito che il novellato art. 132, comma 3 codice privacy non prevede affatto la sanzione invocata dal ricorrente, tacendo del tutto sulle conseguenze di una “patologica acquisizione” dei dati telefonici e telematici e ciò balza ancor più evidente dal confronto testuale con il comma 3 bis, introdotto ex novo, che, invece, prevede espressamente l’inutilizzabilità dei dati acquisiti, nel caso in cui il decreto del pubblico ministero non sia convalidato nel termine stabilito. In mancanza di una previsione testuale, neppure pare possa essere invocato il disposto di cui all’art. 191 c.p.p., atteso che, come già evidenziato da questa Corte, la sanzione dell’inutilizzabilità prevista in via generale dall’art. 191 c.p.p. si riferisce alle prove acquisite in violazione dei divieti stabiliti dalla legge e non a quelle la cui assunzione, pur consentita, sia avvenuta senza l’osservanza delle formalità prescritte, dovendosi applicare in tal caso la disciplina delle nullità processuali.
In ogni caso, anche a voler ritenere che il mancato rispetto delle formalità previste dall’art. 132, comma 3 sia sanzionabile con l’inutilizzabilità dei dati acquisiti – in considerazione del fatto che il mancato rispetto dei presupposti e contenuti del provvedimento integra in definitiva un divieto probatorio sanzionato con l’inutilizzabilità, alla luce delle ragioni che hanno determinato la decretazione d’urgenza e del necessario collegamento con la disposizione del comma 3 bis- tale sanzione non potrebbe, comunque, trovare applicazione nella fattispecie in esame.
Ed invero, il D.L. n. 132 del 2021 non contiene una disciplina intertemporale applicabile ai dati di traffico telefonico e telematico già acquisiti nei procedimenti pendenti alla data di entrata in vigore del decreto, sicchè in mancanza di diverse disposizioni deve ritenersi operante il generale principio tempus regit actum, trattandosi di disciplina di natura processuale. Soccorrono in tale interpretazione i principi espressi dalla sentenza delle S.U. n. 919 del 26/11/2003, Rv. 226484, Gatto, che, nel pronunciarsi in relazione all’applicabilità della sanzione di inutilizzabilità introdotta dall’art. 203 c.p.p. ha ritenuto legittime le intercettazioni ambientali autorizzate, prima dell’entrata in vigore della L. 1 marzo 2001, n. 63 (cd. giusto processo), nell’ambito di indagini per delitti di criminalità organizzata, sulla sola base di informazioni confidenziali acquisite da organi di polizia giudiziaria, atteso che la nuova disciplina (secondo cui le dichiarazioni degli informatori sono inutilizzabili quali indizi idonei a legittimare le operazioni di intercettazioni finchè non si sia provveduto alla loro audizione, ex art. 267 c.p.p., comma 1-bis) non può incidere, in mancanza di specifiche diverse indicazioni legislative, sulla loro utilizzazione, essendo la successione delle leggi processuali governata dal principio “tempus regit actum”, che comporta la persistente validità ed efficacia degli atti compiuti nell’osservanza delle leggi all’epoca vigenti. Tale principio è stato ribadito anche recentemente, laddove è stato evidenziato, in particolare, come il principio di necessaria retroattività della disposizione più favorevole, affermato dalla sentenza CEDU del 17 settembre 2009 nel caso Scoppola contro Italia, non sia applicabile in relazione alla disciplina dettata da norme processuali, che è regolata dal principio tempus regit actum (Sez. U, n. 44895 del 17/07/2014, Rv. 260927).
La questione oggetto dell’eccezione in esame è indubbio che verta su materia processuale riguardante la ricerca della prova, sicchè applicando il principio generale tempus regit actum devono ritenersi pienamente utilizzabili i dati del traffico telefonico e telematico di cui al presente procedimento, essendo stati tali dati acquisiti e trasmessi in base a provvedimento legittimamente emesso in conformità al contenuto dell’allora vigente art. 132 codice della privacy.