Dati biometrici – Stretta necessità – Motivazione – Raccolta non sistematica – Rifiuto – Proporzionalità – Direttiva 2016/680

SENTENZA DELLA CORTE (Quinta Sezione)

19 marzo 2026 (*)

« Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali a fini di contrasto dei reati – Direttiva (UE) 2016/680 – Articolo 10 – Trattamento di categorie particolari di dati personali – Raccolta di dati biometrici – Rilievi dattiloscopici e fotografici – Persona nei cui confronti sussistono una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato – Carattere strettamente necessario – Potere discrezionale – Obbligo di motivazione – Rifiuto dell’interessato di sottoporsi alla raccolta dei suoi dati biometrici – Normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce tale rifiuto anche in caso di mancato esercizio dell’azione penale o di mancata condanna per il reato su cui si fondava la prevista raccolta di tali dati»

Nella causa C-371/24 [Comdribus] (**),

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dalla cour d’appel de Paris (Corte d’appello di Parigi, Francia), con decisione del 26 aprile 2024, pervenuta in cancelleria il 24 maggio 2024, nel procedimento penale a carico di

HW

con l’intervento di:

Ministère public,

LA CORTE (Quinta Sezione),

composta da M.L. Arastey Sahún, presidente di sezione, K. Lenaerts, presidente della Corte, facente funzione di giudice della Quinta Sezione, J. Passer, E. Regan (relatore) e D. Gratsias, giudici,

avvocato generale: M. Szpunar

cancelliere: E. Sartori, amministratrice

vista la fase scritta del procedimento e in seguito all’udienza del 30 aprile 2025,

considerate le osservazioni presentate:

–        per HW, da A. Baudelin, avocat;

–        per il governo francese, da R. Bénard, B. Dourthe, F. du Couëdic e B. Fodda, in qualità di agenti;

–        per il governo ceco, da L. Brezinová e J. Vlácil, in qualità di agenti;

–        per l’Irlanda, da M. Browne, Chief State Solicitor, A. Burke e A. Joyce, in qualità di agenti, assistiti da A. Thuillier, BL;

–        per il governo polacco, da B. Majczyna, in qualità di agente;

–        per la Commissione europea, da A. Bouchagiar, H. Kranenborg e M. Wasmeier, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza del 1º agosto 2025,

ha pronunciato la seguente

Sentenza

1        La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 4, paragrafo 1, lettere da a) a c), nonché degli articoli 8 e 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89).  

2        Tale domanda è stata presentata nell’ambito di un procedimento penale a carico di HW, in esito al quale quest’ultimo è stato condannato a una pena pecuniaria a causa del suo rifiuto di sottoporsi a operazioni di rilievo segnaletico di tipo dattiloscopico e fotografico, sebbene egli sia stato assolto dal reato su cui si fondava l’esecuzione di tali operazioni.

 Contesto normativo

 Diritto dell’Unione

3        L’articolo 1 della direttiva 2016/680, intitolato «Oggetto e obiettivi», al paragrafo 1 prevede quanto segue:

«La presente direttiva stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica».

4        L’articolo 2 di tale direttiva, intitolato «Ambito di applicazione», al paragrafo 1 dispone quanto segue:

«La presente direttiva si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1».

5        Ai sensi dell’articolo 3 di detta direttiva, intitolato «Definizioni»:

«Ai fini della presente direttiva si intende per:

1.      “dati personali”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (…); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, in particolare con riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale di tale persona fisica;

2.      “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;

(…)

7.      “autorità competente”:

a)      qualsiasi autorità pubblica competente in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica; o

b)      qualsiasi altro organismo o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica;

8.      “titolare del trattamento”: l’autorità competente che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o dello Stato membro, il titolare del trattamento o i criteri specifici applicabili alla sua nomina possono essere previsti dal diritto dell’Unione o dello Stato membro;

(…)

12.      “dati genetici”: i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica, che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione;

13.      “dati biometrici”: i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici;

(…)».

6        L’articolo 4 della direttiva 2016/680, intitolato «Principi applicabili al trattamento di dati personali», stabilisce quanto segue:

«1.      Gli Stati membri dispongono che i dati personali siano:

a)      trattati in modo lecito e corretto;

b)      raccolti per finalità determinate, esplicite e legittime e trattati in modo non incompatibile con tali finalità;

c)      adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati;

(…)

4.      Il titolare del trattamento è competente per il rispetto dei paragrafi 1, 2 e 3 e in grado di comprovarlo».

7        L’articolo 8 di tale direttiva, intitolato «Liceità del trattamento», prevede quanto segue:

«1.      Gli Stati membri dispongono che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente, per le finalità di cui all’articolo 1, paragrafo 1, e si basa sul diritto dell’Unione o dello Stato membro.

2.      Il diritto dello Stato membro che disciplina il trattamento nell’ambito di applicazione della presente direttiva specifica quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento».

8        Ai sensi dell’articolo 10 di detta direttiva, intitolato «Trattamento di categorie particolari di dati personali»:

«Il trattamento di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o di dati relativi alla vita sessuale della persona fisica o all’orientamento sessuale è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell’interessato e soltanto:

a)      se autorizzato dal diritto dell’Unione o dello Stato membro;

b)      per salvaguardare un interesse vitale dell’interessato o di un’altra persona fisica; o

c)      se il suddetto trattamento riguarda dati resi manifestamente pubblici dall’interessato».

9        L’articolo 54 della medesima direttiva, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», così dispone:

«Gli Stati membri dispongono che, fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 52, l’interessato abbia il diritto a un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode ai sensi delle disposizioni adottate a norma della presente direttiva siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali disposizioni».

 Diritto francese

10      Ai sensi dell’articolo 55-1 del code de procédure pénale (codice di procedura penale), nella versione applicabile ai fatti del procedimento principale (in prosieguo: il «codice di procedura penale»):

«L’ufficiale di polizia giudiziaria può effettuare, o far effettuare sotto il suo controllo, (…) su qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere il reato, le operazioni di prelievi esterni necessarie all’esecuzione di esami tecnici e scientifici di confronto con le tracce e gli indizi raccolti ai fini dell’indagine.

Esso effettua, o fa effettuare sotto il suo controllo, le operazioni di rilievo segnaletico e, in particolare, i rilievi dattiloscopici, palmari o fotografici necessari per la compilazione e la consultazione degli archivi di polizia in conformità alle norme specifiche per ciascuno di tali archivi.

Il rifiuto, da parte di una persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, di sottoporsi alle operazioni di prelievo, menzionate al primo e al secondo comma, ordinate dall’ufficiale di polizia giudiziaria, è punito con una pena detentiva di un anno e con una pena pecuniaria di EUR 15 000».

 Procedimento principale e questioni pregiudiziali

11      Il 30 maggio 2020 oltre 100 attivisti per il clima hanno occupato l’avenue des Champs-Élysées a Parigi (Francia). Intervenendo per disperderli, le forze dell’ordine hanno sottoposto a fermo per identificazione diverse persone, tra cui HW, per organizzazione di una manifestazione non comunicata e ribellione. Interrogato nell’ambito del suo fermo di polizia, HW ha fornito la propria identità, ma ha rifiutato, da un lato, di sottoporsi ai rilievi dattiloscopici e fotografici e, dall’altro, di comunicare il codice di sblocco del suo telefono cellulare e di sbloccarlo egli stesso, sebbene fosse stato informato che tali rifiuti costituivano reati per i quali sarebbe incorso in pene detentive e pecuniarie.

12      Il 1º giugno 2020, al termine del suo fermo di polizia, HW è stato tradotto dinanzi al procureur de la République (procuratore della Repubblica, Francia), poi dinanzi al juge des libertés et de la détention (giudice competente per l’adozione di misure restrittive della libertà personale, Francia), il quale l’ha assoggettato a libertà vigilata e gli ha comunicato che avrebbe dovuto comparire dinanzi al tribunal correctionnel de Paris (Tribunale penale di Parigi, Francia). HW era imputato:

–        in primo luogo, di aver organizzato a Parigi, il 30 maggio 2020, una manifestazione sulla pubblica via che non è stata oggetto di una previa comunicazione alle condizioni stabilite dalla legge, nel caso di specie, in particolare, fomentando i partecipanti, nonché dando loro istruzioni di non esibire i loro documenti d’identità e di non ottemperare alle ingiunzioni delle forze dell’ordine, formando una catena umana, istruzioni eseguite immediatamente dagli altri manifestanti;

–        in secondo luogo, di aver rifiutato, il 31 maggio 2020, a Parigi, di consegnare o attivare su ordine dell’autorità giudiziaria, nell’ambito di un’indagine preliminare, di un’indagine in flagranza di reato o di un’indagine giudiziaria, una chiave segreta di decrittazione di un sistema di crittografia di cui era a conoscenza e che avrebbe potuto essere stata utilizzata per preparare, facilitare o commettere un delitto, rifiutando di comunicare, nel caso di specie, i codici del suo telefono;

–        in terzo luogo, di aver rifiutato, il 30 maggio 2020, a Parigi, di sottoporsi ai rilevi segnaletici, in particolare dattiloscopici, palmari o fotografici necessari alla compilazione e consultazione degli archivi di polizia in conformità alle norme di ciascuno di tali archivi, laddove sussistevano nei suoi confronti una o più ragioni plausibili di sospettare che egli avesse commesso o tentato di commettere un reato.

13      Con sentenza di primo grado dell’8 settembre 2021, il tribunal correctionnel de Paris (Tribunale penale di Parigi) ha assolto HW per i fatti rientranti nei primi due reati di cui al punto precedente. Per contro, lo ha dichiarato colpevole dei fatti contestati per il terzo reato ivi menzionato e, pertanto, l’ha condannato a una pena pecuniaria di EUR 300.

14      HW e il pubblico ministero hanno interposto appello avverso detta sentenza di primo grado dinanzi alla cour d’appel de Paris (Corte d’appello di Parigi), giudice del rinvio.

15      Tale giudice ricorda che, nella sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C-205/21, EU:C:2023:49, punto 135), la Corte ha dichiarato che l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva, deve essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica di dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento dei concreti obiettivi perseguiti e, dall’altro, che tali obiettivi non possono essere raggiunti mediante misure che costituiscono un’ingerenza meno grave nei diritti e nelle libertà dell’interessato.

16      Detto giudice ritiene che, nonostante tale sentenza, permangano taluni interrogativi per quanto riguarda l’interpretazione di tali disposizioni della direttiva 2016/680, in particolare alla luce delle differenze tra la normativa nazionale di cui trattasi nella causa che ha dato luogo alla summenzionata sentenza e l’articolo 55-1 del codice di procedura penale.

17      In primo luogo, le valutazioni effettuate dalla Corte nella medesima sentenza si applicherebbero a un procedimento penale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona contro la quale esistono prove sufficienti della commissione di un reato per giustificare la sua messa in stato di accusa formale. Per contro, la Corte non si sarebbe ancora pronunciata su una situazione giuridica, come quella prevista all’articolo 55-1 del codice di procedura penale, che prevede la raccolta sistematica dei dati biometrici di una persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato nell’ambito di un’indagine, senza che ciò implichi una messa in stato di accusa formale. Sarebbe quindi necessario stabilire se quest’ultima condizione sia sufficiente per soddisfare i requisiti derivanti da tale direttiva.

18      In secondo luogo, benché interrogata sull’obbligo, per l’autorità competente, di motivare in modo adeguato, alla luce dei requisiti derivanti da detta direttiva, la necessità di una raccolta di dati biometrici e genetici, la Corte avrebbe unicamente affermato, nella sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) (C-205/21, EU:C:2023:49), che spettava al giudice nazionale verificare se il diritto nazionale consentisse di valutare il carattere «strettamente necessario», ai sensi dell’articolo 10 della medesima direttiva, della raccolta dei dati biometrici e genetici dell’interessato. Rimarrebbe incerta la risposta alla questione di stabilire se l’obbligo di motivazione adeguata di tale carattere strettamente necessario rientri in un esame preliminare da parte dell’ufficiale di polizia giudiziaria, che è l’autorità competente ai sensi dell’articolo 55-1 del codice di procedura penale, e/o in un esame a posteriori da parte del giudice investito della legittimità di tale raccolta.

19      In terzo luogo, l’articolo 55-1 del codice di procedura penale solleverebbe una questione aggiuntiva inedita alla luce del diritto dell’Unione. Infatti, ai sensi del terzo comma di tale disposizione, il rifiuto di sottoporsi a un rilievo segnaletico costituirebbe un reato specifico che può dar luogo all’esercizio dell’azione penale e a una condanna, anche se il reato principale su cui si fondava la prevista raccolta non ha condotto a tale azione penale o a tale condanna del suo presunto autore. Si porrebbe quindi la questione di stabilire se la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, richiesta per poter procedere alla raccolta di dati biometrici, sia soddisfatta e se l’esercizio dell’azione penale o un’eventuale condanna per tale reato specifico possano essere giustificati.

20      Secondo il giudice del rinvio, la risposta a tali interrogativi è essenziale per l’esito del procedimento principale, dal momento che HW è stato condannato unicamente per il reato di rifiuto di sottoporsi a un rilievo segnaletico, mentre è stato assolto dal reato principale che ha giustificato tale misura di rilievo segnaletico, senza che fosse fornita, in nessuna fase del procedimento, una qualsivoglia motivazione adeguata del carattere strettamente necessario di detta misura.

21      Date tali circostanze, la cour d’appel de Paris (Corte d’appello di Parigi) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1)      Se l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 (…) di tale direttiva, debba essere interpretato nel senso che osta a una norma nazionale quale l’articolo 55-1 del code de procédure pénale (codice di procedura penale) (…), che prevede un sistematico rilievo segnaletico (dattiloscopico e fotografico) delle persone nei cui confronti sussistano una o più ragioni di sospettare che abbiano commesso o tentato di commettere un reato.

2)      Se l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 (…) di tale direttiva, debba essere interpretato nel senso che osta a una norma nazionale quale l’articolo 55-1 del code de procédure pénale (codice di procedura penale) (…), che non prevede l’obbligo per l’autorità competente di motivare adeguatamente in ogni singolo caso il carattere strettamente necessario del rilievo segnaletico.

3)      Se l’articolo 10 della direttiva 2016/680, in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 (…) di tale direttiva, debba essere interpretato nel senso che osta a una norma nazionale quale l’articolo 55-1 del code de procédure pénale (codice di procedura penale) (…), che consente di perseguire penalmente e di condannare a titolo autonomo la persona che abbia rifiutato di sottoporsi ad un rilievo segnaletico, anche qualora quest’ultima non sia stata perseguita o condannata per il reato su cui si fondava la misura di rilievo segnaletico».

 Sulle questioni pregiudiziali

 Sulla prima questione

22      Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8 di tale direttiva, debba essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.

23      Occorre anzitutto ricordare che l’articolo 10 di detta direttiva costituisce una disposizione specifica che, per quanto riguarda talune categorie di dati personali, quali i dati biometrici o genetici, mira a garantire loro una maggiore protezione definendo condizioni rafforzate di liceità del trattamento di tali dati. Infatti, tali categorie di dati sono, per loro natura, particolarmente sensibili sotto il profilo delle libertà e dei diritti fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà degli interessati [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 48 e giurisprudenza citata].

24      L’articolo 10 della medesima direttiva prevede, dunque, per quanto riguarda i dati personali rientranti in una delle categorie tassativamente elencate in quest’ultimo (in prosieguo: i «dati personali sensibili»), tra cui i dati biometrici e genetici, che il loro trattamento debba soddisfare, oltre alla condizione di rientrare in una delle tre fattispecie elencate alle sue lettere da a) a c), tra cui quella di cui alla lettera a), secondo la quale tale trattamento è autorizzato dal diritto dello Stato membro, altre due condizioni, vale a dire, da un lato, quella secondo cui devono esistere «garanzie adeguate» per i diritti e le libertà dell’interessato e, dall’altro, quella secondo cui il trattamento previsto deve essere «strettamente necessario» [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 77].

25      Per quanto riguarda quest’ultima condizione, poiché l’articolo 10 della direttiva 2016/680 costituisce un’attuazione particolare, applicabile ai dati personali sensibili, dei principi enunciati agli articoli 4 e 8 di tale direttiva, che devono essere rispettati da qualsiasi trattamento di dati personali rientrante nell’ambito di applicazione di detta direttiva, la portata di tale condizione deve essere determinata alla luce di detti principi [sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 121].

26      Ne consegue, da un lato, che la portata della condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, deve essere determinata, conformemente all’articolo 4, paragrafo 1, lettera b), di tale direttiva, alla luce delle finalità della raccolta dei dati personali di cui trattasi, finalità che devono essere determinate, esplicite e legittime. Inoltre, tale condizione richiede, conformemente all’articolo 4, paragrafo 1, lettera c), di detta direttiva, che i dati personali siano adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali sono trattati; quest’ultimo requisito implica quindi il rispetto, da parte degli Stati membri, del principio di minimizzazione del trattamento dei dati, di cui tale articolo 10 costituisce un’applicazione specifica ai dati personali sensibili [v., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 122].

27      Dall’altro lato, la portata di detta condizione deve, alla luce dell’articolo 4, paragrafo 1, lettera a), della direttiva 2016/680, essere determinata sotto il profilo dell’articolo 8, paragrafo 1, di tale direttiva, in virtù del quale gli Stati membri devono disporre, in particolare, che il trattamento sia lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente per le finalità di cui all’articolo 1, paragrafo 1, di detta direttiva, nonché del suo articolo 8, paragrafo 2, che richiede che il diritto dello Stato membro che disciplina il trattamento nell’ambito di applicazione della medesima direttiva specifichi quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento [sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 123].

28      Tenuto conto di tali principi derivanti dall’articolo 4, paragrafo 1, lettere da a) a c), e dall’articolo 8 della direttiva 2016/680, la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 di tale direttiva, che definisce condizioni rafforzate di liceità del trattamento dei dati sensibili alla luce di quelle risultanti da detti articoli 4 e 8, implica, in primo luogo, che tale necessità sia valutata in modo particolarmente rigoroso alla luce delle finalità perseguite dal trattamento di cui trattasi e che, di conseguenza, un siffatto trattamento possa essere considerato necessario solo in un numero limitato di casi [v., in tal senso, sentenze del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punti 117 e 118, e del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 78].

29      Pertanto, le finalità del trattamento di dati personali sensibili, come la raccolta di dati biometrici e genetici, non possono essere designate in termini troppo generici, ma richiedono di essere definite in modo sufficientemente preciso e concreto da consentire di valutare il carattere «strettamente necessario» di detto trattamento, ai sensi di tale articolo 10 [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 79 e giurisprudenza citata].

30      Al riguardo, se è vero che la direttiva 2016/680 non definisce la nozione di «finalità del trattamento», si può rilevare che, come risulta dal punto 27 della presente sentenza, l’articolo 8, paragrafo 2, di tale direttiva distingue espressamente tale nozione da quella di «obiettivi del trattamento» [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 80].

31      Orbene, la Corte ha già dichiarato che la nozione di «obiettivi del trattamento», ai sensi di tale articolo 8, paragrafo 2, rinvia alle finalità più generali menzionate all’articolo 1, paragrafo 1, della direttiva 2016/680 che un trattamento deve perseguire per rientrare nell’ambito di applicazione di tale direttiva, mentre quella di «finalità del trattamento», ai sensi, in particolare, di detto articolo 8, paragrafo 2, deve essere intesa come riferirsi ai fini specifici e concreti perseguiti da un trattamento di dati personali alla luce del compito di cui è investito il titolare del trattamento, come un compito specifico di prevenzione, indagine, accertamento o perseguimento di reati o di esecuzione di sanzioni penali [sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 81].

32      In secondo luogo, la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, implica un controllo particolarmente rigoroso del rispetto del principio di minimizzazione del trattamento dei dati di cui trattasi, enunciato all’articolo 4, paragrafo 1, lettera c), di tale direttiva, e richiede quindi che il titolare del trattamento dei dati personali sensibili si assicuri che la finalità perseguita dal trattamento di cui trattasi non possa essere conseguita in modo altrettanto efficace facendo ricorso a categorie di dati diverse da quelle elencate in tale articolo 10 [v., in tal senso, sentenze del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punti 125 e 126, nonché del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punti 82 e 85], dando tale principio espressione al principio di proporzionalità [sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 79 e giurisprudenza citata].

33      In terzo luogo, in considerazione dei rischi significativi rappresentati dal trattamento dei dati personali sensibili per i diritti e le libertà degli interessati, in particolare nel contesto dei compiti delle autorità competenti ai fini enunciati all’articolo 1, paragrafo 1, della direttiva 2016/680, la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 di tale direttiva, esige che si tenga conto della particolare rilevanza della finalità che un tale trattamento mira a conseguire. Una simile rilevanza può essere valutata, tra l’altro, in funzione della natura di tale finalità, del fatto che il trattamento persegue un obiettivo concreto connesso alla prevenzione di reati o di minacce alla pubblica sicurezza che presentino un certo livello di gravità, alla repressione di simili reati o alla protezione contro simili minacce, nonché alla luce delle circostanze specifiche in cui tale trattamento è effettuato [sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 83 nonché giurisprudenza citata].

34      In quarto luogo, per quanto riguarda la raccolta dei dati biometrici e genetici di persone perseguite per aver commesso un reato doloso o sospettate di aver commesso un siffatto reato a fini di identificazione e di confronto futuro di tali persone, dalla giurisprudenza della Corte risulta che il carattere strettamente necessario di tale raccolta deve tener conto di tutti gli elementi pertinenti, quali, in particolare, la natura e la gravità del presunto reato per il quale esse sono formalmente accusate, le circostanze particolari di tale reato, l’eventuale collegamento di detto reato con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale delle persone di cui trattasi [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 84 e giurisprudenza citata].

35      Di conseguenza, se è vero che uno Stato membro può conformarsi alla direttiva 2016/680 delegando alle autorità competenti il compito di provvedere, in ciascun caso di specie, al rispetto della condizione, per qualsiasi trattamento di dati personali sensibili, di essere «strettamente necessario», ai sensi dell’articolo 10 di tale direttiva, oppure fissando, a livello legislativo, criteri di valutazione che le autorità devono successivamente applicare in modo non discrezionale, ciò non toglie che, in questa seconda ipotesi, tali criteri debbano essere idonei a soddisfare tutti i requisiti derivanti da tale condizione, quali enunciati ai punti da 25 a 34 della presente sentenza [sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 87].

36      Pertanto, avuto riguardo all’insieme di tali requisiti, la Corte ha affermato che una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio, ai fini della loro registrazione, senza prevedere l’obbligo, per l’autorità competente, di verificare e di dimostrare, da un lato, che tale raccolta è strettamente necessaria per il raggiungimento delle finalità specifiche e concrete perseguite e, dall’altro, che tali finalità non possono essere raggiunte mediante misure che costituiscono un’ingerenza meno grave nei diritti e nelle libertà della persona interessata, è contraria a tale condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, dal momento che una siffatta normativa può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati biometrici e genetici della maggior parte delle persone formalmente accusate [v., in tal senso, in particolare, sentenze del 30 gennaio 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR – Sofia, C-118/22, EU:C:2024:97, punto 64, e del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 88 nonché giurisprudenza citata].

37      Nel caso di specie, l’articolo 55-1 del codice di procedura penale, nella misura in cui stabilisce, in sostanza, che l’ufficiale di polizia giudiziaria effettua, o fa effettuare sotto il suo controllo, le operazioni di rilievo segnaletico, in particolare, i rilievi dattiloscopici e fotografici, su qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, verte, al pari di una normativa nazionale come quella di cui al punto 36 della presente sentenza, sul «trattamento» di «dati biometrici», contemplato all’articolo 10 della direttiva 2016/680. Invero, tali rilievi danno luogo, ai sensi dell’articolo 3, punti 2 e 13, di detta direttiva, alla «raccolta», rispettivamente, di «dati dattiloscopici» e di un’«immagine facciale» che forniscono, mediante un trattamento tecnico specifico, dati relativi alle caratteristiche fisiche di una persona e che ne consentono o confermano l’identificazione univoca.

38      Come risulta dalla formulazione dell’articolo 55-1 del codice di procedura penale e come confermato dal governo francese nelle sue osservazioni scritte, tale raccolta di dati biometrici ha lo scopo di consentire un confronto dei dati biometrici di una persona sottoposta a indagine penale con le tracce e gli indizi raccolti ai fini di tale indagine nonché di identificare la persona sospettata nell’ambito di tale indagine o di altri procedimenti penali in corso o futuri.

39      Come affermato, in sostanza, dall’avvocato generale ai paragrafi da 52 a 54 delle sue conclusioni, i dati così raccolti appaiono, alla luce di tali finalità specifiche e concrete, adeguati e pertinenti, ai sensi dell’articolo 4, paragrafo 1, lettera c), di detta direttiva, a condizione che tali finalità siano, circostanza che spetta al giudice del rinvio verificare, definite in modo adeguato e sufficientemente preciso dal diritto dello Stato membro interessato, compresa la giurisprudenza dei giudici nazionali [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 90].

40      Tuttavia, occorre constatare che l’ambito di applicazione della raccolta di dati biometrici, come definito all’articolo 55-1 del codice di procedura penale, risulta particolarmente ampio, in quanto riguarda tutte le persone nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbiano commesso o tentato di commettere un reato.

41      Orbene, il solo fatto che sussistano una o più ragioni plausibili di sospettare che una persona abbia commesso o abbia tentato di commettere un siffatto reato non può essere considerato un elemento che consente, di per sé, di presumere che la raccolta dei suoi dati biometrici sia strettamente necessaria alla luce delle finalità specifiche e concrete che essa persegue e tenuto conto del pregiudizio arrecato ai diritti al rispetto della vita privata e alla protezione dei dati personali garantiti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») che ne deriva [v., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 130].

42      Infatti, da un lato, non si può escludere che, in taluni casi, la raccolta di dati biometrici non obbedirà, nonostante la sussistenza di una o più ragioni plausibili di sospettare che l’interessato abbia commesso o tentato di commettere un reato, ad alcuna necessità concreta ai fini del procedimento penale in corso [v., in tal senso, sentenza del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia), C-205/21, EU:C:2023:49, punto 131].

43      Dall’altro lato, la possibilità che la raccolta dei dati biometrici di una persona sospettata di aver commesso o tentato di commettere un reato sia strettamente necessaria nell’ambito dell’indagine a cui è sottoposta o di altri procedimenti penali in corso o futuri, deve essere valutata conformemente alla giurisprudenza ricordata al punto 34 della presente sentenza, alla luce di tutti gli elementi pertinenti.

44      Orbene, come risulta dalla formulazione stessa della prima questione, il giudice del rinvio muove dalla premessa che l’articolo 55-1 del codice di procedura penale prevede una raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, senza l’obbligo, per l’ufficiale di polizia giudiziaria, di verificare e di dimostrare, in ciascun caso specifico, il carattere «strettamente necessario» di tale raccolta, ai sensi dell’articolo 10 della direttiva 2016/680.

45      Occorre tuttavia rilevare che il governo francese contesta tale interpretazione del diritto nazionale effettuata dal giudice del rinvio.

46      Infatti, da un lato, dal termine «può», utilizzato all’articolo 55-1, primo comma, del codice di procedura penale, risulterebbe che l’ufficiale di polizia giudiziaria dispone di un margine di discrezionalità al fine di effettuare le operazioni di prelievi esterni che sono «necessarie» all’indagine, ai sensi di tale disposizione.

47      Dall’altro lato, dalla formulazione stessa dell’articolo 55-1, secondo comma, di tale codice risulterebbe altresì che l’esecuzione delle operazioni di rilievo segnaletico, in particolare, i rilievi dattiloscopici e fotografici, previste da tale disposizione, dipendono dalle norme specifiche per ciascuno degli archivi di polizia che tali operazioni alimentano, vale a dire, rispettivamente, il sistema di identificazione automatizzato delle impronte digitali e, per i soli rilievi fotografici, il trattamento dei precedenti giudiziari. Orbene, varie altre disposizioni di detto codice, che non sono menzionate dal giudice del rinvio, disciplinerebbero rigorosamente la possibilità di effettuare rilievi segnaletici e il loro utilizzo. In particolare, conformemente a tali disposizioni, si ricorrerebbe ai rilievi segnaletici solo quando l’indagine lo richieda. Inoltre, tale possibilità sarebbe soggetta a condizioni più rigorose della mera sussistenza di sospetti di aver commesso o tentato di commettere un reato, poiché sarebbe richiesta la presenza di indizi gravi o concordanti che rendano verosimile la partecipazione della persona sospettata, in quanto autore o complice, a un reato punito con una pena detentiva o la necessità di un’identificazione certa di tale persona.

48      Peraltro, il governo francese sottolinea che la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, pur non essendo menzionata all’articolo 55-1 del codice di procedura penale, figura tuttavia esplicitamente nella normativa nazionale che ha recepito specificamente detta direttiva. Orbene, la raccolta di dati biometrici sul fondamento di tale articolo 55-1 non potrebbe violare le disposizioni di detta normativa.

49      A tale riguardo, occorre ricordare che non compete alla Corte pronunciarsi sull’interpretazione delle disposizioni nazionali e giudicare se l’interpretazione o l’applicazione a cui procede il giudice nazionale sia corretta, poiché un’interpretazione del genere rientra nella competenza esclusiva di quest’ultimo [sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 53 e giurisprudenza citata].

50      Nell’ambito della ripartizione delle competenze tra i giudici dell’Unione e i giudici nazionali la Corte è dunque tenuta a prendere in considerazione il contesto materiale e normativo nel quale si inseriscono le questioni pregiudiziali così come definito dalla decisione di rinvio. Pertanto, indipendentemente dalle critiche espresse dal governo di uno Stato membro nei confronti dell’interpretazione del diritto nazionale adottata dal giudice del rinvio, l’esame delle questioni pregiudiziali dev’essere effettuato sulla base di tale interpretazione e non spetta alla Corte verificarne l’esattezza [sentenza del 29 luglio 2024, CU e ND (Assistenza sociale – Discriminazione indiretta), C-112/22 e C-223/22, EU:C:2024:636, punto 40 nonché giurisprudenza citata].

51      In tali circostanze, anche supponendo che, come affermato dal giudice del rinvio, l’articolo 55-1 del codice di procedura penale debba essere interpretato nel senso che esso conferisce carattere sistematico alle operazioni di rilievo segnaletico, in particolare ai rilievi dattiloscopici e fotografici, su qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, senza che l’autorità competente sia tenuta a valutare, in ciascun caso specifico, il carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, di tali rilievi segnaletici, una siffatta normativa nazionale sarebbe, conformemente alla giurisprudenza ricordata al punto 36 della presente sentenza, contraria a detto articolo 10, nella misura in cui sarebbe tale da condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati biometrici di dette persone.

52      Ciò detto, tenuto conto, in particolare, degli elementi di cui ai punti da 46 a 48 della presente sentenza, spetta, da un lato, a tale giudice verificare se la normativa nazionale di cui trattasi nel procedimento principale imponga all’autorità di polizia giudiziaria di procedere sistematicamente a una siffatta raccolta, senza che tale autorità sia in grado di valutare, in ciascun caso specifico, il carattere «strettamente necessario» della medesima, ai sensi di detto articolo 10.

53      Dall’altro lato, il giudice del rinvio deve altresì assicurarsi, tenuto conto, in particolare, dell’allegazione formulata da HW tanto nell’ambito del procedimento principale quanto nelle sue osservazioni scritte, menzionata anche nella motivazione della decisione di rinvio, secondo cui il sistema di identificazione automatizzato delle impronte digitali conterrebbe la registrazione delle impronte digitali di 6,5 milioni di persone, che l’attuazione effettiva della normativa nazionale di cui trattasi nel procedimento principale da parte delle autorità competenti non conduca neppure alla raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato (v., per analogia, sentenza del 23 aprile 2009, Angelidaki e a., da C-378/07 a C-380/07, EU:C:2009:250, punto 164 e giurisprudenza citata). Infatti, nell’ipotesi di cui al punto 46 della presente sentenza, secondo cui l’ufficiale di polizia giudiziaria disporrebbe di un margine di discrezionalità per l’applicazione dell’articolo 55-1, primo comma, del codice di procedura penale, il medesimo dovrebbe esercitare tale facoltà conformemente ai requisiti esposti ai punti da 28 a 36 della presente sentenza.

54      Di conseguenza, occorre rispondere alla prima questione dichiarando che l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva, deve essere interpretato nel senso che esso osta a una normativa nazionale che prevede la raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, a meno che sia dimostrato, da un lato, che il diritto nazionale definisce le finalità specifiche e concrete perseguite da tale raccolta in modo adeguato e sufficientemente preciso e, dall’altro, che l’autorità competente è tenuta, in ciascun caso specifico, a valutare se detta raccolta sia strettamente necessaria alla realizzazione di tali finalità, cosicché una siffatta raccolta non riveste un carattere sistematico.

 Sulla seconda questione

55      Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 10 della direttiva 2016/680 debba essere interpretato nel senso che esso osta a una normativa nazionale che non prevede l’obbligo, per l’autorità competente, di motivare adeguatamente, in ciascun caso specifico, il carattere «strettamente necessario», ai sensi di tale disposizione, della raccolta dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.

 Sulla ricevibilità

56      Il governo francese ritiene che tale questione sia irricevibile. Infatti, dalla domanda di pronuncia pregiudiziale risulterebbe che le ragioni che hanno indotto il giudice del rinvio a sollevare detta questione riguardano l’autorità che deve garantire il controllo del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680. Orbene, la formulazione della seconda questione non verterebbe su tale aspetto, ma riguarderebbe l’obbligo di motivare adeguatamente, caso per caso, la ragione per cui il rilievo segnaletico sugli interessati sarebbe «strettamente necessario». L’utilità della risposta alla seconda questione ai fini dell’esito del procedimento principale non sarebbe quindi suffragata. In particolare, il giudice del rinvio ometterebbe di esporre in che modo le disposizioni del diritto dell’Unione da esso menzionate, vale a dire l’articolo 4, paragrafo 1, lettere da a) a c), nonché gli articoli 8 e 10 di tale direttiva, giustifichino un qualsivoglia obbligo di motivazione.

57      Al riguardo occorre ricordare che, secondo una giurisprudenza costante, le questioni relative all’interpretazione del diritto dell’Unione sollevate dal giudice nazionale nel contesto di diritto e di fatto che esso individua sotto la propria responsabilità, del quale non spetta alla Corte verificare l’esattezza, godono di una presunzione di rilevanza [sentenze del 15 maggio 2003, Salzmann, C-300/01, EU:C:2003:283, punto 31, e del 18 dicembre 2025, Tenergie (Domanda di sgravio di dazi all’importazione), C-259/24, EU:C:2025:1013, punto 26 nonché giurisprudenza citata].

58      Il rifiuto della Corte di statuire su una questione pregiudiziale proposta da un giudice nazionale è possibile solo quando appaia in modo manifesto che l’interpretazione del diritto dell’Unione richiesta non ha alcun rapporto con la realtà effettiva o con l’oggetto del procedimento principale, quando il problema sia di natura ipotetica, o anche quando la Corte non disponga degli elementi di fatto e di diritto necessari per rispondere in maniera utile alle questioni che le vengono sottoposte [sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 62 nonché giurisprudenza citata].

59      Nel caso di specie, occorre constatare che, come risulta dal punto 18 della presente sentenza, il giudice del rinvio si interroga esplicitamente, nella motivazione della sua domanda di pronuncia pregiudiziale, sulla questione di stabilire se «l’obbligo di motivazione adeguata» del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, della raccolta di rilievi segnaletici incomba all’«autorità competente», come definita all’articolo 3, punto 7, di detta direttiva, vale a dire l’ufficiale di polizia giudiziaria, e/o al giudice nazionale che esercita il controllo sugli atti adottati da tale autorità.

60      Ne risulta quindi che, contrariamente a quanto sostenuto dal governo francese, il giudice del rinvio non si limita a interrogarsi sull’autorità che deve garantire il controllo del carattere «strettamente necessario» di una siffatta raccolta, ai sensi dell’articolo 10 di detta direttiva, ma intende altresì far precisare la portata dell’obbligo di motivazione, in particolare quanto alla sua adeguatezza, che incomberebbe, se del caso, a detta autorità.

61      In tali circostanze, non si può ritenere che l’interpretazione del diritto dell’Unione richiesta non abbia manifestamente alcun rapporto con la realtà effettiva o con l’oggetto del procedimento principale o che essa si riferisca a un problema di natura ipotetica.

62      Quanto ai motivi per i quali il diritto dell’Unione imporrebbe all’autorità competente di motivare il carattere «strettamente necessario», ai sensi dell’articolo 10 della medesima direttiva, della raccolta di dati biometrici, i quali non sarebbero esposti nella decisione di rinvio, è sufficiente rilevare che detti motivi riguardano il merito della risposta da fornire alla seconda questione e non la ricevibilità di quest’ultima.

63      Ne consegue che tale seconda questione è ricevibile.

 Nel merito

64      Come risulta dal punto 24 della presente sentenza, l’articolo 10 della direttiva 2016/680 stabilisce che il trattamento di dati personali sensibili, come la raccolta di dati biometrici, deve soddisfare, oltre alla condizione secondo la quale il trattamento previsto deve essere «strettamente necessario», quella, in particolare, secondo cui devono esistere «garanzie adeguate» per i diritti e le libertà dell’interessato.

65      Per quanto riguarda quest’ultima condizione, occorre rilevare che l’articolo 54 di tale direttiva, che dà espressione all’articolo 47 della Carta, impone esplicitamente agli Stati membri di disporre che, qualora una persona ritenga che i diritti di cui gode ai sensi delle disposizioni adottate a norma di tale direttiva siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali disposizioni, tale persona abbia diritto a un ricorso giurisdizionale effettivo [sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 117].

66      Al riguardo, dalla giurisprudenza della Corte risulta altresì che il diritto a un ricorso giurisdizionale effettivo, garantito da tale articolo 47, presuppone, in linea di principio, che l’interessato possa conoscere la motivazione su cui si fonda la decisione adottata nei suoi confronti, o in base alla lettura della decisione stessa o a seguito di comunicazione della motivazione, al fine di consentire all’interessato di difendere i suoi diritti nelle migliori condizioni possibili e di decidere, con piena cognizione di causa, se sia utile adire il giudice competente, nonché per consentire pienamente a quest’ultimo di esercitare il controllo di legittimità di tale decisione (sentenza del 13 giugno 2024, HYA e a. II, C-229/23, EU:C:2024:505, punto 52 e giurisprudenza citata).

67      Se è pur vero che tale diritto non costituisce una prerogativa assoluta e che, conformemente all’articolo 52, paragrafo 1, della Carta, possono esservi apportate limitazioni, ciò avviene a condizione che tali limitazioni siano previste dalla legge, che rispettino il contenuto essenziale dei diritti e delle libertà di cui trattasi e che, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui [sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 119 e giurisprudenza citata].

68      Spetta, pertanto, all’autorità competente, autorizzata dal diritto nazionale a raccogliere dati biometrici in caso di carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, fornire agli interessati, nell’ambito dei procedimenti nazionali applicabili, i motivi sui quali tale carattere «strettamente necessario» si basa, motivi che sono necessari per consentire a tali persone di esercitare, in particolare, il diritto di ricorso, esplicitamente previsto all’articolo 54 di tale direttiva, conformemente all’articolo 47 della Carta [v., in tal senso, sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 120 e giurisprudenza citata].

69      Tali considerazioni non sono messe in discussione dagli argomenti dei governi che hanno partecipato al presente procedimento pregiudiziale.

70      Anzitutto, un tale obbligo, per l’autorità competente, di motivare il carattere «strettamente necessario», ai sensi di detto articolo 10, della raccolta dei dati biometrici di una persona sottoposta a indagine penale non è affatto tale da comprometterla. Invero, una siffatta motivazione può essere succinta, purché sia sufficientemente chiara per consentire all’interessato di esercitare il suo diritto di ricorso.

71      Poi, tale obbligo di motivazione si impone a maggior ragione in quanto, come risulta, in particolare, dai punti da 25 a 36 della presente sentenza, l’autorità competente deve, conformemente a detto articolo 10, valutare, in ciascun caso specifico, il carattere «strettamente necessario» di tale raccolta verificando e dimostrando quest’ultimo. Orbene, se tale autorità non fosse tenuta a motivare le proprie decisioni al riguardo, il giudice nazionale investito della legittimità di detta raccolta non sarebbe in grado di controllare né l’esercizio effettivo da parte di detta autorità di tale potere discrezionale né la fondatezza della medesima raccolta [v., in tal senso, sentenza del 28 novembre 2024, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici II), C-80/23, EU:C:2024:991, punto 58].

72      Tale interpretazione è corroborata, come correttamente sostenuto dalla Commissione europea, dall’articolo 4, paragrafo 4, della direttiva 2016/680, che impone all’autorità competente che procede alla raccolta di dati biometrici, in qualità di «titolare del trattamento», ai sensi dell’articolo 3, punto 8, di tale direttiva, di poter dimostrare il rispetto, in particolare, degli obblighi enunciati al paragrafo 1, lettere da a) a c), di tale articolo 4, da cui deriva, in combinato disposto con l’articolo 10 di detta direttiva, che le finalità di tale raccolta devono, come rilevato al punto 29 della presente sentenza, essere sufficientemente precise e concrete per consentire di valutare il carattere «strettamente necessario» di detta raccolta, ai sensi di tale articolo 10.

73      Ne consegue che l’esistenza di un controllo giurisdizionale vertente sulla legittimità della raccolta di dati biometrici da parte dell’«autorità competente», quale definita all’articolo 3, punto 7, della direttiva 2016/680, non può in alcun caso ovviare all’assenza di un obbligo, per tale autorità, di motivare il carattere «strettamente necessario» di tale raccolta, conformemente all’articolo 10 della direttiva di cui trattasi, assicurando, al suo posto, il rispetto di tale obbligo, in quanto è a quest’ultima che spetta effettuare la valutazione richiesta in forza di tale articolo 10, valutazione che consente appunto di garantire, a sua volta, l’effettività di tale controllo [v., in tal senso, sentenza del 28 novembre 2024, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici II), C-80/23, EU:C:2024:991, punti 57 e 61].

74      Infine, occorre precisare che l’obbligo, per l’autorità competente, di motivare il carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, della raccolta di dati biometrici non può, come rilevato dall’avvocato generale al paragrafo 81 delle sue conclusioni, essere considerato un onere eccessivo per tale autorità, dal momento che, come risulta, in particolare, dal punto 36 della presente sentenza, tale raccolta non può, in nessun caso, rivestire un carattere sistematico per quanto riguarda le persone nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbiano commesso o tentato di commettere un reato.

75      Di conseguenza, occorre rispondere alla seconda questione dichiarando che l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 4, nonché con l’articolo 54 di tale direttiva, e alla luce dell’articolo 47 della Carta, deve essere interpretato nel senso che esso osta a una normativa nazionale che non prevede l’obbligo, per l’autorità competente, di motivare adeguatamente, in ciascun caso specifico, il carattere «strettamente necessario», ai sensi di tale articolo 10, della raccolta dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.

 Sulla terza questione

76      Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva, debba essere interpretato nel senso che esso osta a una normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati.

 Sulla ricevibilità

77      Il governo francese mette in dubbio la ricevibilità di tale questione. Quest’ultima verterebbe infatti sulla legittimità del reato specifico previsto all’articolo 55-1, terzo comma, del codice di procedura penale, il quale incrimina e punisce il rifiuto dell’interessato di sottoporsi a operazioni di rilievo segnaletico, mentre la direttiva 2016/680 non disciplinerebbe le conseguenze di un siffatto rifiuto. Inoltre, nessun atto di diritto dell’Unione stabilirebbe norme comuni concernenti la possibilità, per uno Stato membro, di incriminare e di punire un siffatto rifiuto. L’articolo 55-1, terzo comma, del codice di procedura penale non procederebbe quindi in alcun modo all’attuazione del diritto dell’Unione.

78      A tale riguardo, è tuttavia sufficiente ricordare che, secondo costante giurisprudenza, qualora non appaia in modo manifesto che l’interpretazione di un atto di diritto dell’Unione non ha alcun rapporto con la realtà effettiva o con l’oggetto della controversia principale, come avviene, nel caso di specie, per la direttiva 2016/680, l’obiezione relativa all’inapplicabilità di tale atto al procedimento principale rientra nell’esame del merito delle questioni [sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 67 e giurisprudenza citata].

79      Di conseguenza, si deve ritenere che la terza questione sia ricevibile.

 Nel merito

80      Al fine di rispondere a tale terza questione, occorre esaminare, in un primo momento, se una normativa nazionale che, al pari dell’articolo 55-1, terzo comma, del codice di procedura penale, consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati, rientri nell’ambito di applicazione del diritto dell’Unione, e in particolare, come ipotizzato dal giudice del rinvio, della direttiva 2016/680. In caso affermativo, occorre ancora stabilire, in un secondo momento, se le disposizioni di tale direttiva ostino a una siffatta normativa.

81      Per quanto riguarda, in primo luogo, l’ambito di applicazione di detta direttiva, va ricordato che, conformemente al suo articolo 2, paragrafo 1, essa si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui al suo articolo 1, paragrafo 1, vale a dire, in particolare, quelle di prevenzione, indagine, accertamento e perseguimento di reati.

82      Orbene, dalla giurisprudenza della Corte risulta che il tentativo dell’autorità competente di procedere a un trattamento di dati personali, come quello che ha luogo quando la persona interessata rifiuta la raccolta dei suoi dati biometrici, a fini di prevenzione, indagine, accertamento e perseguimento di reati, rientra nell’ambito di applicazione della direttiva 2016/680 [v., in tal senso, sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C-548/21, EU:C:2024:830, punto 77].

83      Ne discende che, come rilevato dall’avvocato generale al paragrafo 99 delle sue conclusioni, qualora tale rifiuto esponga detta persona, in forza del diritto nazionale, all’inflizione di una sanzione penale per un reato specifico relativo a detto rifiuto, la conformità della raccolta di dati biometrici prevista alle disposizioni di detta direttiva costituisce una condizione della legittimità di tale sanzione (v., per analogia, sentenza del 16 maggio 2017, Berlioz Investment Fund, C-682/15, EU:C:2017:373, punti 41 e 74).

84      Di conseguenza, una normativa nazionale che, al pari dell’articolo 55-1, terzo comma, del codice di procedura penale, consente di perseguire penalmente e di condannare, per un reato specifico, una persona che ha rifiutato la raccolta dei suoi dati biometrici, anche se quest’ultima non è stata perseguita penalmente o condannata per il reato su cui si fondava tale raccolta, rientra nell’ambito di applicazione della succitata direttiva.

85      Per quanto riguarda, in secondo luogo, la questione di stabilire se le disposizioni della direttiva 2016/680 ostino a una siffatta normativa nazionale, occorre constatare che, nella misura in cui la conformità della raccolta di dati biometrici prevista a tali disposizioni costituisce, come risulta dal punto 83 della presente sentenza, una condizione della legittimità della sanzione penale inflitta, per un reato specifico, alla persona che rifiuta tale raccolta, una siffatta sanzione può essere inflitta a tale persona solo se, come risulta, in particolare, dai punti da 24 a 36 di detta sentenza, il tentativo di raccolta soddisfa la condizione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva in parola, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 della medesima direttiva.

86      A questo proposito, come risulta dalla giurisprudenza richiamata ai punti 34 e 43 della presente sentenza, la possibilità che la raccolta dei dati biometrici prevista sia strettamente necessaria, ai sensi di detta direttiva, deve essere valutata alla luce di tutti gli elementi pertinenti nel momento in cui le autorità competenti intendono effettuare tale raccolta. Pertanto, il fatto che la persona interessata, nei cui confronti sussistevano, al momento in cui detta raccolta è stata prevista, una o più ragioni plausibili di sospettare che avesse commesso o tentato di commettere un reato, non sia, in definitiva, perseguita penalmente o condannata per tale reato, non è, di per sé, determinante per il rispetto di tale condizione del carattere «strettamente necessario».

87      In tal senso, la Corte ha già precisato che la mera circostanza che la raccolta dei dati biometrici di una persona accusata di un reato avvenga prima che quest’ultima sia condannata in via definitiva non è sufficiente ad escludere che si possa ritenere che una tale raccolta presenti carattere «strettamente necessario», ai sensi dell’articolo 10 della medesima direttiva, dal momento che, tenuto conto delle finalità specifiche e concrete perseguite, detta raccolta, anche in considerazione del tipo di dati interessati, può rivelarsi strettamente necessaria, in particolare per consentire di determinare se, in ragione della sua eventuale appartenenza a un’organizzazione criminale, detta persona possa aver partecipato ad altri reati per i quali dati di tale tipo potrebbero essere rilevanti, o, se esiste un rischio di fuga, per permettere la sua identificazione [v., in tal senso, sentenza del 20 novembre 2025, Policejní prezidium (Conservazione di dati biometrici e genetici), C-57/23, EU:C:2025:905, punto 93].

88      Ciò detto, occorre sottolineare che, poiché una siffatta sanzione penale, per un reato specifico che punisce il rifiuto di una persona di consentire la raccolta dei suoi dati biometrici, rientra nell’ambito di applicazione del diritto dell’Unione, essa deve rispettare i principi generali del diritto dell’Unione, tra i quali figura il principio di proporzionalità, sancito, in particolare, all’articolo 49, paragrafo 3, della Carta, a norma del quale le pene inflitte non devono essere sproporzionate rispetto al reato [v., in tal senso, sentenza dell’8 marzo 2022, Bezirkshauptmannschaft Hartberg-Fürstenfeld (Effetto diretto), C-205/20, EU:C:2022:168, punto 31 e giurisprudenza citata].

89      Il principio di proporzionalità esige, da un lato, che la sanzione inflitta rifletta la gravità della violazione e, dall’altro lato, che, nella determinazione della sanzione nonché dell’importo dell’ammenda, si tenga conto delle specifiche circostanze del caso di specie (sentenza del 4 ottobre 2018, Link Logistik N&N, C-384/17, EU:C:2018:810, punto 45).

90      A tale riguardo, come sottolineato, in sostanza, dall’avvocato generale ai paragrafi da 109 a 112 delle sue conclusioni, spetta al giudice nazionale competente per l’inflizione di una sanzione penale per un reato specifico che punisce il rifiuto di una persona di consentire la raccolta dei suoi dati biometrici tener conto, conformemente alla giurisprudenza ricordata al punto 34 della presente sentenza, in particolare, della condotta e del profilo di tale persona, dei suoi precedenti giudiziari e della gravità del presunto reato su cui si fondava la prevista raccolta.

91      Di conseguenza, occorre rispondere alla terza questione dichiarando che l’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8 di tale direttiva, e alla luce dell’articolo 49, paragrafo 3, della Carta, deve essere interpretato nel senso che esso non osta a una normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati, purché detta raccolta soddisfi la condizione del carattere «strettamente necessario», ai sensi di detto articolo 10, e la sanzione penale inflitta a tale titolo rispetti il principio di proporzionalità.

 Sulle spese

92      Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Quinta Sezione) dichiara:

1)      L’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), e con l’articolo 8 di tale direttiva,

deve essere interpretato nel senso che:

esso osta a una normativa nazionale che prevede la raccolta sistematica dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato, a meno che sia dimostrato, da un lato, che il diritto nazionale definisce le finalità specifiche e concrete perseguite da tale raccolta in modo adeguato e sufficientemente preciso e, dall’altro, che l’autorità competente è tenuta, in ciascun caso specifico, a valutare se detta raccolta sia strettamente necessaria alla realizzazione di tali finalità, cosicché una siffatta raccolta non riveste un carattere sistematico.

2)      L’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 4, nonché con l’articolo 54 di tale direttiva, e alla luce dell’articolo 47 della Carta dei diritti fondamentali dell’Unione europea,

deve essere interpretato nel senso che:

esso osta a una normativa nazionale che non prevede l’obbligo, per l’autorità competente, di motivare adeguatamente, in ciascun caso specifico, il carattere «strettamente necessario», ai sensi di tale articolo 10, della raccolta dei dati biometrici di qualsiasi persona nei cui confronti sussistano una o più ragioni plausibili di sospettare che abbia commesso o tentato di commettere un reato.

3)      L’articolo 10 della direttiva 2016/680, letto in combinato disposto con l’articolo 4, paragrafo 1, lettere da a) a c), nonché con l’articolo 8 di tale direttiva, e alla luce dell’articolo 49, paragrafo 3, della Carta dei diritti fondamentali,

deve essere interpretato nel senso che:

esso non osta a una normativa nazionale che consente di perseguire penalmente e di condannare una persona per un reato specifico che punisce il rifiuto della medesima di consentire la raccolta dei suoi dati biometrici, anche qualora quest’ultima non sia stata perseguita penalmente o condannata per il reato su cui si fondava la prevista raccolta di tali dati, purché detta raccolta soddisfi la condizione del carattere «strettamente necessario», ai sensi di detto articolo 10, e la sanzione penale inflitta a tale titolo rispetti il principio di proporzionalità.

Firme

*    Lingua processuale: il francese.

**   Il nome della presente causa è un nome fittizio. Non corrisponde al nome reale di nessuna delle parti del procedimento.