Tribunale, Ordinanza T-484/24

Responsabilità extracontrattuale e trattamento di dati nel caso Sky ECC

La pronuncia è un’ordinanza del Tribunale dell’Unione europea, Quinta Sezione, in una causa promossa da FF contro Eurojust ed Europol. La controversia riguarda, da un lato, la domanda di far dichiarare "inammissibile" un accordo di team investigativo comune relativo a Sky ECC e, dall’altro, una richiesta di risarcimento per presunto trattamento illecito di dati personali e conseguente danno non patrimoniale.

Fatti e contesto del procedimento

Il ricorrente afferma di essere coinvolto in procedimenti penali in Belgio per traffico di stupefacenti, fondati in larga parte su dati provenienti dal servizio di comunicazione criptata Sky ECC. Le autorità belghe, neerlandesi e francesi avevano avviato indagini nazionali e poi, alla fine del 2018, richiesto alla Francia, mediante ordini europei di indagine ai sensi della direttiva 2014/41/UE, di acquisire immagini dei server situati a Roubaix. Successivamente, il 13 dicembre 2019, le autorità di Belgio, Francia e Paesi Bassi hanno concluso il JIT Agreement sulla base dell’articolo 13 della Convenzione sull’assistenza giudiziaria in materia penale e della decisione quadro del 13 giugno 2002 sui team investigativi comuni.

Il JIT Agreement prevedeva la partecipazione di Eurojust ed Europol. Europol ha svolto attività di supporto analitico sui dati, li ha memorizzati nel proprio sistema informatico, li ha confrontati e ha prodotto report e grafici; Eurojust ha organizzato riunioni di coordinamento nel 2019, 2020 e 2021 con le autorità coinvolte e con Europol.

Domande del ricorrente

FF ha chiesto al Tribunale:

• di dichiarare il JIT Agreement "inammissibile";
• di condannare Eurojust ed Europol a pagare EUR 30 000 per danno non patrimoniale, che egli collega all’impossibilità di confutare le accuse, alla detenzione preventiva, alla divulgazione pubblica della vicenda, al pregiudizio alla difesa e al fatto che i suoi dati sarebbero finiti o potuti finire in mani sbagliate.

Normativa rilevante

Il Tribunale richiama anzitutto l’articolo 126 del regolamento di procedura, che consente di decidere con ordinanza motivata quando il difetto di giurisdizione, l’irricevibilità o la manifesta infondatezza risultino evidenti.

Quanto alla disciplina sostanziale, sono centrali:

• l’articolo 277 TFUE, invocato dal ricorrente per contestare il JIT Agreement;
• gli articoli 268 e 340 TFUE, base generale della responsabilità extracontrattuale dell’Unione;
• l’articolo 46, paragrafo 1, del regolamento (UE) 2018/1727 su Eurojust, che limita la responsabilità ai danni causati dal trattamento di dati effettuato da Eurojust;
• l’articolo 50, paragrafo 1, del regolamento (UE) 2016/794 su Europol, che prevede la responsabilità dell’agenzia o dello Stato membro secondo il diritto dell’Unione o nazionale.

Sul piano processuale il Tribunale richiama inoltre gli articoli 76, lettere d) e f), e 85, paragrafi 1 e 2, del regolamento di procedura, relativi al contenuto del ricorso e alla produzione della prova.

Il primo capo di domanda: difetto di giurisdizione sul JIT Agreement

Il Tribunale respinge il primo capo di domanda perché manca la giurisdizione. Osserva che né l’articolo 277 TFUE né altre disposizioni del Trattato sul funzionamento dell’Unione consentono di dichiarare un atto "inammissibile". Anche qualora la censura fosse intesa come eccezione di illegittimità o richiesta di disapplicazione, il Tribunale ricorda che non può pronunciarsi sulla legalità di un atto adottato da un’autorità nazionale, neppure se inserito in un procedimento decisionale connesso al diritto dell’Unione.

Poiché il JIT Agreement è stato concluso soltanto dalle autorità nazionali di Belgio, Francia e Paesi Bassi, la partecipazione di Eurojust ed Europol come "participants" non ne muta la natura. Di conseguenza, la domanda è stata dichiarata manifestamente proposta dinanzi a un giudice che difetta di giurisdizione.

Il secondo capo di domanda nei confronti di Eurojust: irricevibilità manifesta

Per Eurojust, il Tribunale applica gli articoli 76, lettera d), del regolamento di procedura e 46, paragrafo 1, del regolamento 2018/1727. Sottolinea che un’azione risarcitoria deve indicare con chiarezza il comportamento censurato, il nesso causale e l’entità del danno.

Nel caso di specie, il ricorrente si limita ad affermare che Eurojust ha partecipato alle attività investigative perché ha organizzato riunioni di coordinamento. Tuttavia, secondo il Tribunale, ciò non basta a dimostrare che Eurojust abbia raccolto, ricevuto, conservato, trasmesso o analizzato i suoi dati personali, né che abbia compiuto un trattamento illecito ai sensi dell’articolo 46, paragrafo 1. Il ricorrente, pur avendo depositato numerosi allegati, non ha indicato quali documenti dimostrassero effettivamente il trattamento dei suoi dati da parte dell’agenzia; il Tribunale non può sostituirsi alla parte nel cercare le prove negli allegati.

Inoltre, il Tribunale osserva che, se le autorità belghe avessero avuto bisogno di assistenza per accedere ai dati raccolti dai francesi, avrebbero dovuto rivolgersi a Eurojust; ma il ricorrente non ha nemmeno allegato che ciò sia avvenuto nel suo caso. Da qui la conclusione che la domanda contro Eurojust è manifestamente irricevibile per difetto delle allegazioni essenziali.

Il secondo capo di domanda nei confronti di Europol: infondatezza manifesta

Nei confronti di Europol il Tribunale ammette l’ammissibilità formale della domanda, ritenendo che il ricorso contenga elementi sufficienti per identificare il comportamento ascritto, il danno invocato e il nesso causale prospettato. Tuttavia, passa subito al merito e rigetta la domanda come manifestamente priva di fondamento.

Il punto decisivo è la mancanza di prova del danno. Il Tribunale ribadisce che, in materia di responsabilità extracontrattuale, il danneggiato deve dimostrare in modo concludente l’esistenza e l’entità del danno, e che esso deve essere personale, attuale e certo. Le allegazioni del ricorrente sulla detenzione provvisoria, sulla pubblicità del caso, sulle difficoltà difensive e sul timore che i dati siano finiti o possano finire in mani sbagliate restano generiche e non supportate da prove idonee.

Quanto al danno puramente futuro o ipotetico, il Tribunale precisa che non può essere risarcito se non è imminente e sufficientemente prevedibile, circostanza non dimostrata. Inoltre, il ricorrente non ha prodotto i propri dati personali asseritamente trattati illecitamente, né ha provato che tali dati fossero realmente in possesso delle autorità nazionali o di Europol. Senza l’identificazione delle informazioni personali e senza la prova del trattamento illecito, non è possibile accertare un danno non patrimoniale che derivi necessariamente da tale trattamento.

Il Tribunale richiama anche la sentenza Kočner v Europol del 5 marzo 2024, precisando però che l’articolo 50, paragrafo 1, del regolamento 2016/794, pur prevedendo una forma di responsabilità concorrente tra Europol e gli Stati membri, non esonera il ricorrente dall’onere di provare il danno effettivo richiesto dall’articolo 340 TFUE.

Decisione e spese

Il Tribunale dichiara quindi:

• il primo capo di domanda respinto per difetto manifesto di giurisdizione;
• il secondo capo di domanda contro Eurojust respinto come manifestamente irricevibile;
• il secondo capo di domanda contro Europol respinto come manifestamente privo di fondamento.

Il ricorrente è condannato alle spese di Eurojust ed Europol. Il Regno di Spagna e il Regno dei Paesi Bassi sopportano le proprie spese in qualità di intervenienti.

Principi pratici per il professionista

La pronuncia evidenzia tre profili utili in pratica:

• un atto adottato esclusivamente da autorità nazionali non diventa atto dell’Unione solo perché Eurojust o Europol vi partecipano come soggetti di supporto;
• nelle azioni di danni contro Eurojust, occorre allegare e circostanziare il trattamento di dati personali direttamente imputabile all’agenzia;
• nelle azioni contro Europol, la prova del danno non patrimoniale e del nesso causale resta indispensabile, non essendo sufficiente la mera invocazione di un presunto trattamento illecito di dati o di un danno futuro e ipotetico.