Nel caso in esame, i giudici di Strasburgo sono stati chiamati a pronunciarsi sul ricorso proposto dal presidente del Comitato bulgaro di Helsinki e dalla medesima associazione, a seguito del rifiuto opposto dall’Agenzia statale bulgara per la sicurezza nazionale di rivelare se avesse raccolto informazioni su di loro o se avesse reclutato membri e collaboratori dell’associazione come informatori. In particolare, la vicenda traeva origine dalle dichiarazioni rese, nel 2021, dal Ministro ad interim degli Affari interni, secondo cui politici e attivisti della società civile coinvolti nelle proteste del 2020-2021 sarebbero stati sottoposti a sorveglianza segreta. I ricorrenti avevano quindi richiesto all’Agenzia statale di sicurezza nazionale bulgara di sapere se fossero stati oggetto di attività di raccolta informativa, ma l’autorità aveva negato l’accesso, invocando il carattere classificato delle informazioni. Tale rifiuto era stato confermato dai giudici amministrativi bulgari, i quali avevano ritenuto che la richiesta riguardasse, in realtà, metodi operativi dell’Agenzia e non dati personali dei ricorrenti.
La Corte EDU, dal canto suo, ha invece osservato che la richiesta mirava, nella sostanza, a ottenere conferma dell’eventuale sottoposizione a misure segrete idonee a incidere sulla vita privata e sulla corrispondenza dei ricorrenti. Pertanto, anche il rifiuto di confermare o negare l’esistenza di dati raccolti costituiva, di per sé, un’interferenza con i diritti garantiti dall’art. 8 CEDU. Secondo la Corte, una simile interferenza poteva ritenersi giustificata soltanto ove fosse «in conformità con la legge» e «necessaria in una società democratica» per il perseguimento di uno degli scopi legittimi previsti dall’art. 8, par. 2, CEDU. Pur riconoscendo che, per esigenze di sicurezza nazionale, gli Stati potessero attribuire alle autorità competenti il potere di raccogliere e conservare informazioni sulle persone in banche dati non accessibili al pubblico, i giudici di Strasburgo hanno ribadito che la legge che disciplina tali poteri doveva essere accessibile, prevedibile e compatibile con lo Stato di diritto. Essa, soprattutto, doveva essere accompagnata da garanzie effettive contro il rischio di arbitrarietà e abuso.
Tuttavia, nel caso di specie, tali garanzie sono state ritenute insufficienti: i giudici interni, infatti, non avevano esaminato il materiale eventualmente detenuto dall’Agenzia, né avevano verificato in concreto se la divulgazione delle informazioni richieste potesse arrecare un pregiudizio effettivo alla sicurezza nazionale o ad altro interesse pubblico rilevante, limitandosi a recepire la valutazione dell’autorità. Inoltre, i procedimenti avviati dai ricorrenti per contestare il rifiuto non erano stati effettivi, proprio perché non avevano consentito un controllo reale sulla legittimità e proporzionalità della decisione dell’Agenzia.
La Corte ha quindi concluso che i ricorrenti non beneficiavano di un livello minimo di protezione contro il trattamento arbitrario o illecito dei dati da parte dell’Agenzia, dichiarando la violazione dell’art. 8 CEDU.