Corte di giustizia, Ordinanza C-566/25

Responsabilità extracontrattuale di Europol per asserita illecita trattazione di dati personali

La pronuncia è un’ordinanza della Corte di giustizia, Sezione ottava, resa in sede di impugnazione ex articolo 56 dello Statuto e articolo 181 del regolamento di procedura. Il ricorso riguarda un’azione risarcitoria proposta da FF contro Europol e Eurojust, connessa al contesto investigativo "Sky ECC" e alla presunta illecita acquisizione e utilizzazione di dati personali in procedimenti penali.

Fatti e procedimento principale

FF sosteneva di aver subito un danno non patrimoniale per effetto del trattamento, da parte di Europol, di dati personali trasmessi dalle autorità nazionali nell’ambito di una joint investigation team costituita tra Belgio, Francia e Paesi Bassi. Il Tribunale aveva dichiarato l’azione manifestamente irricevibile nei confronti di Eurojust e manifestamente infondata nei confronti di Europol, ritenendo non provata la realtà del danno e, in particolare, non dimostrata l’esistenza e l’entità del pregiudizio allegato.

Contesto normativo rilevante

La Corte richiama:

• l’articolo 50, paragrafo 1, del regolamento (UE) 2016/794, che prevede il diritto al risarcimento per danni derivanti da operazioni di trattamento illecite di dati da parte di Europol;
• l’articolo 340 TFUE, quale base della responsabilità extracontrattuale dell’Unione;
• la Convenzione del 29 maggio 2000, in particolare l’articolo 13 sulle squadre investigative comuni;
• la direttiva 2014/41/UE sull’ordine europeo di indagine penale.

Primo motivo di ricorso: ordine di esame dei presupposti della responsabilità

FF sosteneva che il Tribunale avrebbe dovuto esaminare anzitutto l’illiceità del comportamento di Europol, anche perché egli lamentava un danno non patrimoniale e perché, secondo lui, il riconoscimento dell’illiceità avrebbe avuto rilevanza autonoma, anche ai fini delle spese e della riparazione morale.

La Corte respinge tale censura ricordando che la responsabilità extracontrattuale dell’Unione richiede cumulativamente:

• una violazione sufficientemente qualificata di una norma che conferisce diritti ai singoli;
• un danno;
• un nesso causale diretto.

Tali condizioni possono essere esaminate in qualsiasi ordine; se una manca, l’azione deve essere respinta integralmente e il giudice non è tenuto a pronunciarsi sulle altre. Di conseguenza, il Tribunale poteva legittimamente verificare per prima la realtà del danno e fermarsi una volta constatata la sua mancanza. La Corte aggiunge che né la giurisprudenza invocata da FF, né il fatto che si trattasse di un preteso danno non patrimoniale, né i riferimenti a prassi di altri giudici internazionali modificano questa regola, poiché l’ordinamento dell’Unione è autonomo. Anche il richiamo alla giurisprudenza della Corte EDU non può alterare il principio secondo cui la sola constatazione di un’illiceità non basta, da sola, a fondare il risarcimento se gli altri presupposti non sono soddisfatti.

Secondo motivo di ricorso: realtà del danno non patrimoniale

FF contestava poi la valutazione del Tribunale sulla prova del danno. La Corte distingue tra due ipotesi:

• il timore che i dati potessero finire in mani sbagliate, considerato dal Tribunale come danno futuro e ipotetico;
• l’allegazione che i dati fossero effettivamente finiti in mani sbagliate.

Quanto al primo profilo, la Corte conferma che un danno solo ipotetico non è risarcibile se non è dimostrato che sia imminente e sufficientemente certo.

Quanto al secondo profilo, la Corte osserva che il ricorrente non aveva fornito, dinanzi al Tribunale, elementi idonei a provare o almeno a rendere verosimile il danno. In particolare, il Tribunale non aveva imposto un onere probatorio eccessivo: il danneggiato deve dimostrare che il danno è reale, certo e personale. Nel caso di specie, l’asserita documentazione che attestava che FF fosse utilizzatore di più account Sky ECC non era stata prodotta tempestivamente, e la sua produzione in appello è stata dichiarata tardiva e quindi manifestamente irricevibile.

La Corte sottolinea inoltre che il ricorrente non poteva invocare il danno eventualmente subito da altri utenti del servizio criptato per supplire alla mancanza di prova del proprio pregiudizio individuale. Né la giurisprudenza della Corte EDU richiamata dall’interessato muta tale esito: anche lì, infatti, è richiesta la dimostrazione di appartenere al gruppo colpito dalla misura, senza che ciò autorizzi a sostituire la prova individuale del danno con mere affermazioni generali.

Prova e specificità del pregiudizio

La Corte ribadisce che, per ottenere il risarcimento ex articolo 340 TFUE, il ricorrente deve:

• produrre elementi concludenti sull’esistenza del danno e sulla sua entità;
• dimostrare che il danno lo riguarda personalmente;
• collegare il danno alla condotta contestata.

In assenza di tali elementi, il Tribunale poteva legittimamente concludere che la realtà del danno non fosse provata, senza dover passare all’esame dell’illiceità o del nesso causale.

Decisione e dispositivo

L’impugnazione è stata respinta perché in parte manifestamente irricevibile e in parte manifestamente infondata. FF è stato inoltre condannato a sopportare le proprie spese, poiché l’ordinanza è stata adottata prima della notifica del ricorso alle parti appellate, che quindi non avevano ancora sostenuto costi processuali.

Principi affermati

La pronuncia conferma in modo netto che:

• il giudice dell’Unione non è vincolato a esaminare prima l’illiceità rispetto agli altri presupposti della responsabilità extracontrattuale;
• il danno non patrimoniale deve essere attuale, certo e provato;
• il ricorrente deve dimostrare un pregiudizio personale, non potendo fare affidamento su affermazioni astratte o sul danno sofferto da terzi;
• la produzione tardiva di prove in appello è, di regola, inammissibile.