Tribunale, Sentenza T-436/21

Responsabilità extracontrattuale di Europol per presunto trattamento illecito di dati personali

La sentenza del Tribunale, resa nella causa T-436/21, riguarda un ricorso ex articoli 268 e 340 TFUE proposto contro Europol per il presunto trattamento illecito di dati personali nell'ambito di un'attività di cooperazione di polizia e di scambio di informazioni tra Stati membri.

Fatti e procedimento principale

Il ricorrente chiedeva EUR 50 000 a titolo di risarcimento del danno morale asseritamente subito a seguito di una relazione redatta da Europol dopo un controllo incrociato di informazioni trasmesse dagli Stati membri. La relazione, inviata in forma riservata a un numero limitato di autorità di contrasto, conteneva un riferimento al suo nome in relazione a indagini svoltesi in altri Stati membri.

Il ricorrente sosteneva che Europol avesse illegittimamente riportato informazioni inesatte e non comprovate, presentandolo come coinvolto in traffico di droga e frode, e che tale condotta avesse leso il suo onore, la sua reputazione, la sua vita privata e i suoi rapporti familiari. Sosteneva inoltre che la relazione fosse stata inserita da Europol nel fascicolo di un procedimento penale slovacco a suo carico.

Normativa rilevante

Il Tribunale richiama anzitutto l'articolo 50, paragrafo 1, del regolamento (UE) 2016/794, che riconosce alla persona fisica che subisca un danno da un trattamento illecito di dati il diritto al risarcimento da Europol ai sensi dell'articolo 340 TFUE o dallo Stato membro interessato secondo il diritto nazionale.

Sono centrali anche le disposizioni del regolamento 2016/794 che definiscono i compiti di Europol e il regime di protezione dei dati: articoli 3, 4, 17, 18, 22, 28, 31 e 38. Il Tribunale richiama altresì gli articoli 7, 8, 48, paragrafo 1, e 52, paragrafo 1, della Carta dei diritti fondamentali, oltre agli articoli 21 e 53 dello Statuto della Corte e agli articoli 76, lettera d), 106, paragrafo 3, e 134, paragrafo 1, del regolamento di procedura del Tribunale.

Esame della ricevibilità

Europol eccepiva l'irricevibilità del ricorso per insufficiente chiarezza e precisione. Il Tribunale respinge l'eccezione, osservando che l'atto introduttivo individuava in modo sufficientemente comprensibile i due comportamenti contestati: la menzione di dati personali nella relazione e l'asserito inserimento di tale relazione nel fascicolo penale slovacco.

Il Tribunale precisa che le eventuali carenze probatorie non attengono alla ricevibilità ma alla fondatezza del ricorso. Il ricorso è dunque dichiarato ricevibile ai sensi dell'articolo 76, lettera d), del regolamento di procedura.

Responsabilità extracontrattuale: condizioni cumulative

Nel merito, il Tribunale ricorda che la responsabilità extracontrattuale dell'Unione richiede tre condizioni cumulative:

• illegittimità del comportamento contestato;
• esistenza effettiva di un danno;
• nesso di causalità tra comportamento e danno.

L'assenza di una sola di tali condizioni è sufficiente per respingere la domanda risarcitoria. Il Tribunale precisa inoltre che Europol rientra nella nozione di "istituzione" ai fini dell'articolo 340, secondo comma, TFUE.

Primo capo della domanda: menzione dei dati personali nella relazione

Quanto alla prima censura, il ricorrente sosteneva che Europol avesse indicato falsamente che egli era oggetto di indagini in Svezia e in Polonia. Il Tribunale rileva che la relazione, letta correttamente, non affermava che il ricorrente fosse indagato in quei paesi, ma solo che il suo nome era emerso nell'ambito di tali indagini.

Il Tribunale osserva poi che la mera menzione di dati personali in una relazione di Europol non è di per sé illecita, poiché tale agenzia è chiamata dal regolamento 2016/794 a raccogliere, trattare, analizzare e scambiare informazioni, anche mediante controlli incrociati. Tuttavia, Europol deve rispettare le garanzie in materia di protezione dei dati e, secondo il Tribunale, il ricorrente non ha dimostrato alcuna violazione degli obblighi che incombono specificamente all'agenzia.

In particolare:

• non è stato provato che Europol sia uscita dall'ambito del regolamento o abbia ecceduto i propri poteri;
• non è stata dimostrata la responsabilità di Europol per l'eventuale inesattezza dei dati, che potrebbe derivare dalle informazioni fornite dagli Stati membri;
• non esiste nel regolamento 2016/794 un obbligo di sentire previamente la persona interessata o di ottenere un'autorizzazione giudiziaria o amministrativa indipendente prima di menzionarla in una relazione destinata alle autorità di contrasto.

Il Tribunale respinge anche le doglianze fondate sulla Carta: le limitazioni ai diritti degli articoli 7 e 8 trovano base nel regolamento 2016/794, che contiene regole chiare, precise e garanzie adeguate. La censura basata sull'articolo 48, paragrafo 1, della Carta è invece dichiarata irricevibile per carenza di motivazione.

Infine, sotto il profilo del danno e del nesso causale, il ricorrente non ha dimostrato che la relazione fosse accessibile a soggetti diversi da quelli indicati né che la menzione dei dati abbia effettivamente leso il suo onore o i suoi rapporti familiari. Il primo capo della domanda è quindi respinto come infondato.

Secondo capo della domanda: inserimento della relazione nel fascicolo penale slovacco

Per quanto riguarda l'asserito inserimento della relazione nel fascicolo del procedimento penale slovacco, il Tribunale rileva che il ricorrente non ha fornito alcuna prova che tale inserimento sia stato effettuato da Europol e non dalle autorità slovacche.

La logica del regolamento 2016/794 e il ruolo di Europol nel sistema di cooperazione di polizia confermano, secondo il Tribunale, che l'agenzia trasmette le informazioni alle autorità competenti degli Stati membri, le quali possono poi utilizzarle nei procedimenti nazionali. Ne segue che il danno derivante dall'inserimento della relazione nel fascicolo non è imputabile a Europol.

Decisione

Il Tribunale respinge integralmente il ricorso e condanna il ricorrente alle spese ai sensi dell'articolo 134, paragrafo 1, del regolamento di procedura.

Principi ricavabili

La pronuncia conferma che, in materia di responsabilità extracontrattuale di Europol:

• il ricorrente deve provare un illecito specificamente imputabile all'agenzia;
• la sola circolazione o menzione di dati personali in un contesto di cooperazione di polizia non è di per sé illecita;
• l'eventuale inesattezza di informazioni fornite dagli Stati membri non è automaticamente attribuibile a Europol;
• il danno morale e il nesso causale devono essere dimostrati in concreto e non possono essere presunti.