è conforme al diritto dell’UE?

Il sequestro dei messaggi contenuti in un telefono cellullare

Come è noto, la Corte costituzionale, con la sentenza n. 170 del 2023, ha chiarito che «lo scambio di messaggi elettronici – e-mail, sms, WhatsApp e simili – rappresenta, di per sé, una forma di corrispondenza», e ciò anche nel caso in cui si tratti di messaggi già ricevuti e letti dal destinatario, con l’unica eccezione che, in ragione del tempo trascorso, il messaggio non abbia perso ogni carattere di attualità, in rapporto all’interesse alla sua riservatezza, trasformandosi in un mero documento «storico». Con questa sentenza, la Corte ha “attualizzato” la nozione di corrispondenza adeguandola ai nuovi mezzi di comunicazione ed ha esteso anche ai messaggi elettronici la sfera di tutela prevista dall’art. 15 Cost., disposizione che assicura a tutti i consociati la libertà e la segretezza «della corrispondenza e di ogni altra forma di comunicazione», consentendone la limitazione «soltanto per atto motivato dell’autorità giudiziaria con le garanzie stabilite dalla legge». I messaggi rientrano nell’amplissima nozione di corrispondenza, che abbraccia ogni comunicazione di pensiero umano (idee, propositi, sentimenti, dati, notizie) e che prescinde dalle caratteristiche del mezzo tecnico utilizzato ai fini della trasmissione del pensiero.

Facendo tesoro delle chiare indicazioni della Corte costituzionale e conformando il proprio orientamento alla nozione di corrispondenza da essa delineata, la Corte di cassazione ha abbandonato l’orientamento consolidato secondo cui i messaggi inviati o ricevuti tramite WhatsApp hanno natura di documenti e possono, pertanto, essere acquisiti per mezzo di una mera riproduzione fotografica (cfr. tre le ultime, Cass. pen., Sez. 6, n. 22417 del 16/03/2022, in CED Cass. n. 283319), affermando che detti messaggi, come gli SMS conservati nella memoria di un dispositivo elettronico o le e-mail già ricevute, costituiscono corrispondenza anche dopo la ricezione da parte del destinatario, almeno fino a quando, per il decorso del tempo o per altra causa, essi non abbiano perso ogni carattere di attualità, in rapporto all’interesse alla sua riservatezza, trasformandosi in un mero documento «storico», sicché, fino a quel momento, la loro acquisizione deve avvenire secondo le forme previste dall’art. 254 cod. proc. pen. per il sequestro della corrispondenza. Ne consegue che la loro acquisizione agli atti del procedimento penale deve necessariamente avvenire sulla base di un provvedimento dell’autorità giudiziaria, ovvero, quanto al sequestro in questione, con decreto motivato del pubblico ministero.

È solo il caso di aggiungere che il sequestro del dispositivo elettronico costituisce soltanto un momento prodromico all’accesso ai dati ivi contenuti, che costituiscono l’obiettivo reale del mezzo di ricerca della prova.

Il cellulare, in particolare, è solo un contenitore di dati informatici.

Il “vero” oggetto del sequestro non è tanto il dispositivo elettronico, il quale, di per sé, non ha alcun interesse per le indagini, quanto piuttosto i dati ivi contenuti nella parte in cui risultano utili alle indagini.

Della scansione dei momenti – sequestro del telefono, acquisizione dei messaggi – vi è chiara previsione nel codice di rito.

L’art. 254, comma 2, cod. proc. pen., infatti, dispone che «Quando al sequestro procede un ufficiale di polizia giudiziaria, questi deve consegnare all’autorità giudiziaria gli oggetti di corrispondenza sequestrati, senza aprirli o alterarli e senza prendere altrimenti conoscenza del loro contenuto». La norma, in sostanza, consente anche alla polizia giudiziaria il sequestro del “contenitore” dei messaggi (sia esso un plico cartaceo ovvero il dispositivo elettronico che contiene messaggi trasmessi in forma telematica), ma vieta alla stessa di avere accesso al loro contenuto. Il telefono deve essere consegnato all’autorità giudiziaria, unica legittimata a verificarne il contenuto, senza che la polizia giudiziaria possa accedervi di propria iniziativa. L’accesso ai contenuti dello smartphone e, dunque, al contenuto dei messaggi, deve avvenire solo in un momento successivo, sempre a opera del pubblico ministero che, a tele scopo, dispone apposita consulenza tecnica.

La direttiva europea che regola la protezione dei dati personali trattati dalle autorità

La disciplina illustrata, dunque, è incentrata sulle prerogative del pubblico ministero e non prevede un controllo preventivo del giudice sull’acquisizione della corrispondenza.

Occorre verificare se essa sia compatibile con la normativa euro-unitaria.

La Direttiva europea 2016/680 (anche detta LED, Law Enforcement Directive) ha introdotto la regolamentazione della protezione delle persone fisiche con riferimento al trattamento dei dati da parte delle autorità a fini di prevenzione, investigazione e repressione di reati.

Essa, entrata in vigore il 5/05/2016, si occupa di disciplinare il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali.

La Corte di Giustizia, con la sentenza del 4 ottobre 2024, C-548/21, rispondendo a una questione pregiudiziale posta dall’autorità giudiziaria austriaca che chiedeva se esistano e quali siano le condizioni poste dalla normativa dell’Unione Europea, al fine della tutela dei diritti al rispetto della vita privata e alla protezione dei dati personali (artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea), perché la polizia possa accedere per finalità di indagine penale ai dati conservati in un telefono cellulare, ha ritenuto che le disposizioni della Direttiva 2016/680 si debbano estendere anche al trattamento dei dati personali conseguenti al sequestro di un cellulare.

La Corte ha precisato che, secondo tale Direttiva, la limitazione dei diritti fondamentali al rispetto della vita privata e alla protezione dei dati di carattere personale, che l’accesso ad un cellulare durante le indagini inevitabilmente implica, deve essere “necessario” – e «tale requisito non è soddisfatto quando l’obiettivo di interesse generale perseguito sia ragionevolmente conseguibile in modo altrettanto efficace con altri mezzi, meno pregiudizievoli» (CGUE 4 ottobre 2024, C-548/21).

La limitazione suddetta, inoltre, deve essere prevista dalla legge, requisito che implica che «la base giuridica che autorizza una simile limitazione ne definisca la portata in modo sufficientemente chiaro e preciso» (CGUE 4 ottobre 2024, C-548/21).

Essa, infine, deve rispettare il criterio di proporzionalità che richiede il rispetto, da parte degli Stati membri, del principio di «minimizzazione dei dati» acquisiti (CGUE 4 ottobre 2024, C-548/21).

Al fine di garantire che tali presupposti siano rispettati, secondo la sentenza indicata è necessario che l’accesso «sia subordinato a un controllo preventivo effettuato da un giudice o da un organo amministrativo indipendente» (CGUE 4 ottobre 2024, C-548/21).

Anzi, tale controllo deve intervenire prima di qualsiasi tentativo di accesso ai dati, salvi i casi di urgenza, in cui deve comunque intervenire in tempi brevi.

In sostanza, la Corte di Giustizia ha ritenuto che il trattamento di dati personali, che ha ritenuto sussistente anche nel caso di sequestro di un cellulare (e dei messaggi ivi contenuti), debba essere apprezzato da un giudice o da un organo amministrativo indipendente.

Questi principi sono stati successivamente ribaditi.

La sentenza della Corte di Giustizia dell’Unione Europea (Grande Sezione) del 16 luglio 2026 nelle cause riunite C-258/23, C-259/23 e C-260/23 (IMI – Imagens Médicas Integradas S.A. e altri contro Autoridade da Concorrência), in particolare, ha stabilito che il diritto dell’Unione non osta al sequestro di e-mail aziendali durante un’ispezione antitrust, anche in assenza di una preventiva autorizzazione giurisdizionale. La Corte, però, ha aggiunto che, al fine di garantire che il principio di proporzionalità sia rispettato in ciascun caso concreto effettuando una ponderazione di tutti gli elementi pertinenti, qualora l’accesso ai dati personali da parte delle autorità nazionali competenti comporti il rischio di un’ingerenza grave nei diritti fondamentali dell’interessato, è essenziale che tale accesso sia subordinato a un controllo preventivo effettuato da un giudice o da un organo amministrativo indipendente.

Nel caso concreto posto al vaglio della Corte, relativo ad un accertamento condotto da un’autorità garante della concorrenza, è stato ritenuto necessario che tale organo sia in grado di garantire un giusto equilibrio tra, da un lato, i legittimi interessi connessi alle necessità dell’indagine e, dall’altro, i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali delle persone i cui dati sono interessati dall’accesso. 

La tesi che ravvisa un’antinomia con il diritto europeo

Dopo la sentenza della Corte di Giustizia appena illustrata, un orientamento giurisprudenziale della Corte di cassazione ha ravvisato la sussistenza di un contrasto tra il diritto interno – che ritiene sufficiente il decreto motivato del pubblico ministero per l’acquisizione della messaggistica contenuta in un telefono – e il diritto eurounitario, segnatamente la Direttiva citata, che reputa necessario il controllo da un giudice o da un organo amministrativo indipendente.

È stato affermato che l’accesso ai dati contenuti in un dispositivo informatico a fini di indagine penale richiede, secondo la Direttiva UE 2016/680, come interpretata dalla sentenza della Corte di Giustizia dell’Unione europea del 4 ottobre 2024, in causa C-548/21, il controllo preventivo di un giudice o di un organo amministrativo indipendente, i quali, secondo la giurisprudenza della Corte di Giustizia, devono essere terzi rispetto all’organo richiedente l’accesso. Tale funzione non può essere esercitata dal pubblico ministero, avendo lo stesso, a prescindere dal suo statuto di autonomia, natura di parte processuale (Cass. pen., Sez. 6, n. 13585 del 1/04/2025, in CED Cass. n. 287867 – 01, cit.; Cass. pen., Sez. 2, n. 40451 del 13/11/2025, in CED Cass. n. 288989).

Il requisito di indipendenza che l’autorità incaricata di esercitare il controllo preventivo deve soddisfare, difatti, impone che tale autorità abbia la qualità di terzo rispetto a quella che chiede l’accesso ai dati, di modo che la prima sia in grado di esercitare tale controllo in modo obiettivo e imparziale al riparo da qualsiasi influenza esterna. In particolare, in ambito penale, il requisito di indipendenza implica che l’autorità incaricata di tale controllo preventivo, da un lato, non sia coinvolta nella conduzione dell’indagine penale di cui trattasi e, dall’altro, abbia una posizione di neutralità nei confronti delle parti del procedimento penale. Ciò non si verifica nel caso di un pubblico ministero che dirige il procedimento di indagine ed esercita, se del caso, l’azione penale. Il pubblico ministero, del resto, non ha il compito di dirimere in piena indipendenza una controversia, bensì quello di sottoporla, se del caso, al giudice competente, in quanto parte nel processo che esercita l’azione penale (cfr. in questa prospettiva, CGUE, 2 marzo 2021, C-746/18, Prokuratuur).

La normativa interna, pertanto, «non è conforme alla previsione della Direttiva 2016/680/UE come interpretata dalla Corte di Giustizia, nella parte in cui richiede che un giudice o un organo amministrativo indipendente intervengano in via preventiva con una pronuncia di carattere autorizzatorio» (così, Cass. pen., Sez. 2, n. 40451 del 13/11/2025, in CED Cass. n. 288989).

Questo orientamento giurisprudenziale, tuttavia, ha escluso effetti di tale antinomia sui procedimenti in cui sono utilizzati come prova chat tratte da telefoni cellullari in forza di decreti di sequestro emessi del pubblico ministero

È stato sostenuto che la mancanza della preventiva autorizzazione del giudice non comporta l’inutilizzabilità della prova acquisita, ma la nullità dell’atto la quale, tuttavia, non può essere dedotta qualora, sul sequestro medesimo, si sia pronunciato il tribunale del riesame, essendo stato, in tal caso, garantito un esame effettivo e indipendente sulla necessità, proporzionalità e minimizzazione dell’acquisizione dei dati (Cass. pen., sez. 6, n. 13585 del 1/04/2025, cit.).

E’ stata esclusa, inoltre, la possibilità della disapplicazione della normativa interna nella parte in cui prevede l’acquisizione, da parte del pubblico ministero, dei dati contenuti in un dispositivo informatico, per contrasto con la Direttiva UE 2016/680/UE, come interpretata dalla sentenza della Corte di Giustizia citata, che richiede un pronuncia autorizzatoria, in via preventiva, da parte di un giudice o un organo amministrativo indipendente, perché la Direttiva non ha una efficacia diretta nell’ordinamento interno (Cass. pen., Sez. 2, n. 40451 del 13/11/2025, Rv. 288989 – 02, cit.; Cass. pen., Sez. 6, n. 13585 del 1/04/2025, in CED Cass. n. 287867 – 01, cit.). Le norme della Direttiva, infatti, non sono state reputate chiare, precise e incondizionate, nel senso che la loro applicazione non richieda l’emanazione di ulteriori atti comunitari o nazionali (Corte giustizia, 5/04/1979, Ratti, C-148/78, punto 23; Corte giustizia, 1/07/2010, Gassmayr, C-194/08, punto 45), essendo necessaria l’emanazione di ulteriori atti del legislatore nazionale, alla quale non può provvedere l’autorità giudiziaria, con esiti potenzialmente contrastanti.

La Direttiva 2016/680/UE, come interpretata dalla Corte di giustizia, è stata ritenuta generica soprattutto nell’individuazione dell’ampia nozione di “trattamento” di dati personali e nella fissazione della base legale della limitazione dei diritti fondamentali e, in particolare, della natura o delle categorie dei reati da prendere in considerazione (cfr. Cass. pen., Sez. 2, n. 40451 del 13/11/2025, in CED Cass. n. 288989, cit.).

La tesi secondo cui il pubblico ministero è un’autorità giudiziaria ai sensi dell’art. 15 Cost.

Un diverso indirizzo, invece, ponendosi in consapevole contrapposizione con quello precedentemente illustrato, ha escluso la sussistenza di un contrasto tra la normativa nazionale, che attribuisce al pubblico ministero il potere di disporre il sequestro di un cellulare, ed il diritto europeo.

Secondo questa differente impostazione, nella nozione di “autorità giudiziaria” che rileva secondo la direttiva europea è incluso anche il pubblico ministero. Le garanzie apprestate dall’ordinamento interno in riferimento alla figura del pubblico ministero (in relazione all’art. 107, comma 4, Cost.), infatti, sono tali da soddisfare i requisiti di indipendenza richiesti dalla giurisprudenza eurounitaria (Cass. pen. Sez. 4, n. 26069 del 7/07/2026; Cass. pen. Sez. 5, n. 26599 del 21/04/2026; Cass. pen. Sez. 3, n. 28817 del 24/03/2026; Cass. pen. Sez. 2, n. 40451 del 13/11/2025).

A tal proposito è stato rilevato che, seppur nella materia dell’ordine europeo di indagine, la Corte di giustizia UE ha stabilito che, nella nozione di “autorità giudiziaria”, è incluso anche il pubblico ministero (Corte di giustizia, 08/12/2020, S., C584/19, punto 75; si veda anche Corte di giustizia, 30/04/2024, n. 670, secondo cui un ordine europeo di indagine inteso ad ottenere la trasmissione di prove già in possesso delle autorità competenti nello stato di esecuzione può essere emesso anche dal pubblico ministero, non dovendo essere adottato necessariamente da un giudice, pure se, in forza del diritto dello Stato di emissione, in un procedimento interno a tale Stato, la raccolta originaria di tali prove avrebbe dovuto essere ordinata da un giudice).

Anche le Sezioni Unite della Corte di cassazione hanno chiarito che la tutela prevista dall’art. 15 Cost. non richiede che, per la limitazione della libertà e segretezza della corrispondenza e, dunque, per la sua acquisizione ad un procedimento penale, sia necessario un provvedimento del giudice (Cass. Sez. U, n. 23756 del 29/02/2024, Giorgi, in motivazione; Cass. pen. Sez. U, n. 23755 del 29/02/2024, Gjuzi, in motivazione).

Secondo questa impostazione, l’art. 15 Cost. impiega l’espressione “autorità giudiziaria”, la quale indica una categoria nella quale sono inclusi sia il giudice, sia il pubblico ministero, in conformità con quanto previsto nel diritto euro-unitario.

Si è perciò ritenuto che, nel diritto interno attualmente vigente, non è necessario un provvedimento di un giudice ai fini del sequestro di dati informatici assimilabili al concetto di corrispondenza, essendo sufficiente un provvedimento del pubblico ministero (Cass. pen., Sez. 2, n. 40451 del 13/11/2025, Pagnini, Rv. 288989 – 03, in motivazione).

Nel caso di sequestro di dati contenuti in un dispositivo informatico disposto dal pubblico ministero, pertanto, non è richiesta la convalida del giudice poiché il controllo preventivo, da esercitarsi, secondo il diritto dell’Unione Europea come interpretato dalla sentenza della Corte di Giustizia dell’Unione europea del 4 ottobre 2024, C-548/21, da parte di un giudice o di un organo amministrativo indipendente, può essere effettuato anche dal pubblico ministero che, in quanto “autorità giudiziaria”, procede alle indagini, nell’esercizio delle sue funzioni pubbliche, secondo le specifiche regole dettate dal legislatore, idonee a garantire anche i diritti dell’indagato” (Cass. pen., Sez. 5, n. 8376 del 28/01/2025, in CED Cass. n. 287976 – 01. In senso conforme, cfr. anche Cass. pen., Sez. 3, n. 36028 del 01/10/2025 e Cass. pen.,Sez. 2, n. 3765 del 15/10/2025, dep. 2026,).

Anche questo secondo orientamento, peraltro, ha concluso osservando che, in ogni caso, anche a voler sostenere la tesi diversa, qualsiasi nullità deve ritenersi sanata per effetto della devoluzione della questione riguardante la legittimità del sequestro del cellulare al Tribunale del riesame.

Una recente sentenza della Corte di Giustizia

Sullo sfondo del dibattito giurisprudenziale illustrato, può essere utile collocare anche una recente decisione della Corte di Giustizia UE (Corte di giustizia 18 giugno 2026 (causa C-484/24), sebbene la stessa riguardi il processo civile.

Secondo questa decisione, il Regolamento 2016/679, Regolamento generale sulla protezione dei dati (General Data Protection Regulation, GDPR) non contiene un divieto generale e assoluto di utilizzo in giudizio di prove fondate su dati personali raccolti in violazione delle regole europee sulla privacy. L’eventuale illiceità della raccolta del dato da parte di una delle parti del processo non si trasferisce automaticamente sul successivotrattamento dello stesso dato compiuto dal giudice nell’esercizio della funzione giurisdizionale.La valutazione della liceità del comportamento della parte che abbia acquisito o conservato i dati si colloca su un piano distinto rispetto al trattamento degli stessi dati posto in essere dal giudice, il quale, nell’esercizio delle proprie attribuzioni istituzionali, è tenuto a verificarne l’ammissibilità e la rilevanza ai fini della decisione, in funzione della corretta amministrazione della giustizia e della tutela del diritto fondamentale a un equo processo.