Corte di giustizia, Sentenza C-479/22

Comunicazione OLAF, protezione dei dati e responsabilità extracontrattuale dell’Unione

La Corte di giustizia, Sesta Sezione, decide su un’impugnazione proposta da OC contro la sentenza del Tribunale che aveva respinto il suo ricorso risarcitorio ex articolo 268 TFUE nei confronti della Commissione. La controversia riguarda un comunicato stampa dell’OLAF del 5 maggio 2020 relativo a una presunta frode in un progetto di ricerca finanziato dall’Unione.

Fatti e procedimento principale

OC, ricercatrice greca e responsabile scientifica del progetto, sosteneva che il comunicato stampa dell’OLAF avesse illecitamente trattato i suoi dati personali, diffuso informazioni false, violato la presunzione d’innocenza e il diritto a una buona amministrazione. L’OLAF aveva avviato un’indagine nel 2015 ai sensi dell’articolo 5 del regolamento n. 883/2013 e, al termine, aveva trasmesso una relazione finale con raccomandazioni all’ERCEA e alle autorità nazionali.

Il Tribunale aveva respinto integralmente il ricorso, ritenendo in sostanza che la ricorrente non fosse identificabile nel comunicato stampa e che, quindi, non si applicasse il regolamento 2018/1725.

Normativa rilevante

La Corte richiama in particolare:

• il regolamento (UE, Euratom) n. 883/2013, soprattutto gli articoli 5, 9, 10 e 11;
• il regolamento (UE) 2018/1725, in particolare l’articolo 3, punto 1, sulla nozione di dati personali;
• il regolamento (UE) 2016/679 e il suo articolo 4, punto 1, cui il regolamento 2018/1725 è sostanzialmente allineato;
• l’articolo 48, paragrafo 1, della Carta e l’articolo 6, paragrafo 2, CEDU sulla presunzione d’innocenza;
• l’articolo 41 della Carta sul diritto a una buona amministrazione.

Primo motivo: nozione di persona fisica identificabile

La Corte ricorda che la definizione di "dati personali" nel regolamento 2018/1725 è sostanzialmente identica a quella del RGPD e deve essere interpretata in modo uniforme. Una persona è "identificabile" se può essere identificata direttamente o indirettamente, anche grazie a informazioni aggiuntive ragionevolmente utilizzabili da un terzo.

La Corte censura il Tribunale su due punti essenziali:

• non era corretto limitare l’identificazione alle sole informazioni contenute nel comunicato stampa, escludendo in astratto gli elementi esterni o complementari;
• non era corretto ritenere irrilevante la possibilità di identificazione da parte di soggetti diversi dal titolare del trattamento, come giornalisti o altri terzi.

Secondo la Corte, il comunicato conteneva molteplici elementi: genere, cittadinanza, professione, ruolo nel progetto, importo della sovvenzione, ente ospitante, localizzazione in Grecia, riferimento al padre e al numero dei ricercatori. Considerati complessivamente, tali elementi potevano consentire l’identificazione della ricorrente, almeno da parte di persone del medesimo settore scientifico o di soggetti che effettuassero ricerche ragionevoli sul web. Non occorreva provare un’identificazione effettiva; bastava l’identificabilità.

Secondo motivo: presunzione d’innocenza

Poiché il Tribunale aveva escluso erroneamente che la ricorrente fosse identificabile, aveva altresì errato nel dichiarare che essa non potesse far valere una violazione della presunzione d’innocenza. La Corte accoglie quindi il secondo motivo senza esaminare ulteriormente gli altri argomenti, osservando che il presupposto logico della decisione del Tribunale era viziato.

Terzo motivo: snaturamento delle prove e buona amministrazione

La Corte distingue tra le censure.

Quanto al punto del comunicato stampa secondo cui "nessuno" dei ricercatori contattati conosceva il proprio coinvolgimento, la Corte ritiene che il Tribunale abbia snaturato il contenuto del comunicato e della relazione finale dell’OLAF. Dalla relazione risultava infatti che dieci ricercatori avevano confermato di aver partecipato al progetto e che soltanto alcuni non avevano confermato determinate spese o conti bancari. Pertanto non era corretto affermare che l’OLAF non avesse divulgato informazioni inesatte.

Quanto invece all’affermazione relativa ai "più volte" contatti con i ricercatori, la Corte non ravvisa uno snaturamento manifesto: non emergeva in modo evidente che la relazione finale intendesse descrivere in modo esaustivo gli episodi contestati.

Decisione

La Corte annulla la sentenza del Tribunale nella parte in cui ha respinto le domande risarcitorie fondate sulla violazione del regolamento 2018/1725, della presunzione d’innocenza e, in parte, del diritto a una buona amministrazione. Per il resto, respinge l’impugnazione. La causa è rinviata al Tribunale, poiché lo stato degli atti non consente alla Corte di statuire definitivamente sulla responsabilità extracontrattuale dell’Unione.

Principi pratici per il professionista

La pronuncia conferma un approccio ampio alla nozione di dato personale: in contesti mediatici o investigativi, anche un insieme di informazioni apparentemente non nominative può bastare a rendere una persona identificabile. Per la responsabilità dell’Unione, la Corte ribadisce che l’erronea esclusione dell’applicabilità della disciplina privacy può riverberarsi anche sull’esame della presunzione d’innocenza e sulla valutazione della liceità della comunicazione istituzionale.