Tribunale, Sentenza T-354/22

Protezione dei dati personali, trasferimenti verso paesi terzi e responsabilità della Commissione

La pronuncia riguarda un ricorso diretto proposto da Thomas Bindl contro la Commissione europea in materia di protezione dei dati personali, con domande di annullamento, constatazione di carenza e risarcimento danni. Il Tribunale esamina in particolare il funzionamento del sito della Conferenza sul futuro dell’Europa e del servizio EU Login alla luce del regolamento (UE) 2018/1725.

Fatti e svolgimento del procedimento

Il ricorrente aveva consultato più volte il sito Internet della Conferenza sul futuro dell’Europa e, il 30 marzo 2022, si era iscritto all’evento "GoGreen" usando il proprio account Facebook tramite EU Login. Aveva poi chiesto alla Commissione informazioni sul trattamento dei suoi dati personali, sulla eventuale comunicazione a terzi e sulle garanzie per eventuali trasferimenti verso paesi terzi. La Commissione aveva risposto a una prima richiesta del novembre 2021, mentre alla richiesta del 1o aprile 2022 aveva replicato solo il 30 giugno 2022, ritenendola sostanzialmente identica alla precedente.

Normativa rilevante

Il Tribunale richiama l’articolo 16 TFUE, l’articolo 8 della Carta e il regolamento (UE) 2018/1725, in particolare gli articoli 14, 17, 46, 47, 48, 64 e 65. Sono richiamati anche l’articolo 340, secondo comma, TFUE e, per analogia e interpretazione sistematica, il regolamento (UE) 2016/679. Per la nozione di trasferimento verso paesi terzi è valorizzato il capo V del regolamento 2018/1725 e, per il contesto, i considerando 46, 63 e 79.

Domanda di annullamento: irricevibilità

Il Tribunale respinge come irricevibile la domanda di annullamento dei presunti trasferimenti di dati del 30 marzo e dell’8 giugno 2022. Secondo la Corte, tali trasferimenti sono operazioni informatiche materiali di migrazione di dati, non atti giuridici della Commissione produttivi di effetti vincolanti; mancando un atto idoneo a modificare la situazione giuridica del ricorrente, non è esperibile il ricorso ex articolo 263 TFUE.

Domanda di carenza: sopravvenuta mancanza di oggetto

Quanto alla domanda ex articolo 265 TFUE, il Tribunale osserva che la Commissione ha risposto il 30 giugno 2022 alla richiesta del 1o aprile 2022. Poiché l’istituzione ha posto fine alla carenza dopo la proposizione del ricorso, non vi è più luogo a statuire; è irrilevante che la risposta non corrisponda a quella auspicata dal ricorrente.

Responsabilità extracontrattuale: criteri applicati

Il Tribunale ricorda che il diritto al risarcimento previsto dall’articolo 65 del regolamento 2018/1725 va letto alla luce dell’articolo 340, secondo comma, TFUE. La responsabilità dell’Unione presuppone tre condizioni cumulative: illegittimità del comportamento, danno reale e certo, nesso causale diretto. È inoltre necessario, in linea di principio, che vi sia una violazione sufficientemente qualificata di una norma che conferisce diritti ai singoli.

Prima domanda risarcitoria: mancata risposta tempestiva alla richiesta di informazioni

Per il danno morale invocato a causa della tardiva risposta alla richiesta di informazioni del 1o aprile 2022, il Tribunale riconosce che l’articolo 14, paragrafi 3 e 4, e l’articolo 17, paragrafo 1, lettera c), del regolamento 2018/1725 sono norme che conferiscono diritti ai singoli. Tuttavia, rileva che il danno morale non è provato: il ritardo della Commissione è limitato, il ricorrente aveva già ottenuto una risposta sostanzialmente sovrapponibile con la mail del 3 dicembre 2021 e non è dimostrato un pregiudizio reale e certo. La domanda di EUR 800 viene dunque respinta.

Seconda domanda risarcitoria: trasferimenti controversi via Amazon CloudFront

Per i trasferimenti del 30 marzo e dell’8 giugno 2022 legati al servizio Amazon CloudFront, il Tribunale conclude che, nel primo caso, i dati del ricorrente sono stati trasmessi a un server situato in Germania e non è provato alcun trasferimento verso gli Stati Uniti; nel secondo caso, il comportamento del ricorrente è stato determinante per le connessioni a server statunitensi, sicché manca un nesso causale sufficientemente diretto tra il preteso illecito della Commissione e il danno. In entrambi i casi la domanda di risarcimento viene respinta.

Terza domanda risarcitoria: trasferimento illecito tramite EU Login e Facebook

Diversa è la conclusione per il trasferimento del 30 marzo 2022 verificatosi quando il ricorrente ha scelto di autenticarsi in EU Login tramite Facebook. Il Tribunale considera che la Commissione, mediante il collegamento "Sign in with Facebook" presente su EU Login, ha creato le condizioni perché l’indirizzo IP del ricorrente fosse trasmesso a Meta Platforms, società con sede negli Stati Uniti. Poiché non esisteva alcuna decisione di adeguatezza per gli Stati Uniti e la Commissione non aveva dimostrato l’esistenza di garanzie adeguate ai sensi dell’articolo 48 del regolamento 2018/1725, il Tribunale accerta una violazione sufficientemente qualificata dell’articolo 46.

Danno e liquidazione equitativa

Il Tribunale ritiene che il danno morale sia reale e certo, poiché il trasferimento illecito ha posto il ricorrente in una situazione di incertezza sul trattamento del suo indirizzo IP. Sussiste inoltre un nesso causale diretto tra la violazione e il pregiudizio lamentato. Valutato il danno ex aequo et bono, il Tribunale liquida EUR 400 e condanna la Commissione a pagarli.

Dispositivo

Il ricorso è respinto in quanto irricevibile nella parte relativa alla domanda di annullamento; non vi è più luogo a statuire sulla domanda di carenza; la Commissione è condannata a risarcire EUR 400 per il danno morale derivante dal trasferimento tramite EU Login/Facebook; il resto della domanda risarcitoria è respinto. Le spese sono ripartite in misura paritaria tra le parti.