Tribunale, Sentenza T-1180/23

Cooperazione delle autorità di polizia e delle altre autorità di contrasto degli Stati membri – servizio Sky ECC – trattamento di dati personali

La sentenza riguarda un ricorso diretto proposto da BW, cittadino serbo detenuto nei Paesi Bassi e poi perseguito anche in Serbia, contro Europol ed Eurojust. Il caso nasce dalle indagini transnazionali sul servizio di comunicazioni cifrate Sky ECC e dalle attività di raccolta, analisi e condivisione dei dati intercettati tra autorità nazionali, Europol ed Eurojust.

Fatti e procedimento principale

Le indagini sul servizio Sky ECC sono state avviate dalle autorità belghe, francesi e neerlandesi alla fine degli anni 2010. In particolare, la Francia ha proceduto all’intercettazione delle comunicazioni tramite tecnica del cosiddetto attacco "man in the middle", mentre Belgio, Francia e Paesi Bassi hanno costituito una squadra investigativa comune (SIC) il 13 dicembre 2019.

BW contestava, da un lato, l’accordo SIC e varie attività di trattamento, analisi e scambio dei suoi dati personali e, dall’altro, chiedeva il risarcimento dei danni materiali e morali asseritamente subiti. Un punto centrale della controversia era la trasmissione del 24 giugno 2022, con cui Eurojust ha inoltrato alle autorità serbe un link a un sito di download protetto contenente informazioni su conversazioni Sky ECC riguardanti anche il ricorrente.

Questioni esaminate dal Tribunale

Il Tribunale ha affrontato tre grandi profili:

• la competenza del giudice dell’Unione rispetto ad atti imputabili a Stati membri o a un paese terzo e rispetto all’accordo SIC;
• la ricevibilità delle conclusioni di annullamento, in particolare in relazione alla nozione di atto impugnabile;
• la responsabilità extracontrattuale di Europol ed Eurojust, compresa l’eventuale responsabilità solidale di Europol con gli Stati membri ex articolo 50 del regolamento 2016/794.

Normativa rilevante

Sono stati richiamati, tra gli altri:

• gli articoli 263, 268, 276, 277 e 340 TFUE;
• il regolamento (UE) 2016/794 su Europol, in particolare gli articoli 4, 17, 18, 28, 32, 49 e 50;
• il regolamento (UE) 2018/1727 su Eurojust, in particolare l’articolo 4, l’articolo 45 e l’articolo 56;
• il regolamento (UE) 2018/1725 sulla protezione dei dati presso le istituzioni e agenzie dell’Unione, in particolare gli articoli 71, 72, 89, 91 e 92;
• la Carta dei diritti fondamentali, soprattutto gli articoli 7, 8, 47, 48 e 52.

Competenza del Tribunale e delimitazione degli atti esaminabili

Il Tribunale ha chiarito che non è competente a sindacare, in sede di ricorso ex articolo 263 TFUE, atti adottati da autorità nazionali, né l’accordo SIC, poiché quest’ultimo è stato concluso solo tra Stati membri e non costituisce atto dell’Unione. Sono quindi rimaste fuori dal controllo del giudice dell’Unione le operazioni di intercettazione francesi, la trasmissione di dati da parte delle autorità francesi a Europol, la trasmissione a Eurojust e alle autorità serbe e il procedimento penale serbo.

Sul piano risarcitorio, il Tribunale ha ricordato che la responsabilità dell’Unione può essere fatta valere solo se il fatto generatore è imputabile a un’istituzione o agenzia dell’Unione. Ha però riconosciuto che l’articolo 50 del regolamento 2016/794 introduce un regime derogatorio di responsabilità solidale di Europol con gli Stati membri per trattamenti illeciti di dati avvenuti nell’ambito della cooperazione Europol-Stati membri. Tale regime non si estende, invece, agli atti dei servizi di polizia degli Stati membri nell’esercizio delle loro operazioni di contrasto, in ragione dell’articolo 276 TFUE.

Atti imputabili a Europol ed Eurojust

Il Tribunale ha distinto accuratamente gli atti effettivamente provati da quelli solo allegati. Per Europol, sono risultati accertati: la ricezione e il trattamento dei dati Sky ECC a partire dal 27 maggio 2019, la partecipazione alla riunione del 28 agosto 2019 e al gruppo di lavoro tecnico del 23 e 24 luglio 2020, nonché la condivisione dei risultati delle analisi con gli Stati membri interessati.

Per Eurojust, sono stati accertati: la partecipazione a riunioni di coordinamento tra Belgio, Francia, Paesi Bassi e Europol il 25 aprile 2019, il 7 settembre 2020 e l’11 febbraio 2021; la partecipazione alla riunione di coordinamento tra Paesi Bassi e Serbia del 23 maggio 2022; e, soprattutto, la trasmissione del 24 giugno 2022 del link alle autorità serbe.

Ricevibilità delle conclusioni di annullamento

Il Tribunale ha qualificato come atti o comportamenti preparatori, e quindi non impugnabili, le partecipazioni alle riunioni e ai gruppi di lavoro, nonché le trasmissioni di dati da Europol agli Stati membri. Tali attività si collocavano in una fase istruttoria e non producevano effetti giuridici vincolanti nella sfera del ricorrente.

Diversamente, la trasmissione del 24 giugno 2022 è stata ritenuta impugnabile perché costituisce il momento conclusivo di un procedimento speciale di trasferimento di dati personali a un paese terzo su richiesta di quest’ultimo. Il Tribunale ha sottolineato che il controllo giurisdizionale su tale trasferimento è essenziale, in quanto altrimenti la validità della trasmissione non potrebbe più essere sindacata efficacemente.

Nonostante ciò, il Tribunale ha respinto nel merito anche la censura contro la trasmissione del 24 giugno 2022: non è emersa alcuna violazione del regolamento 2018/1727 o del regolamento 2018/1725. Il trasferimento era fondato su una richiesta di assistenza giudiziaria, su un accordo di cooperazione con la Serbia e sulla base giuridica prevista dall’articolo 56, paragrafo 2, lettera b), del regolamento 2018/1727. La trasmissione è stata giudicata proporzionata e sufficientemente sicura, essendo avvenuta mediante link a un sito protetto da password senza prova che Eurojust avesse accesso o conservato i dati nei propri sistemi.

Responsabilità extracontrattuale di Europol

Quanto alla domanda di risarcimento nei confronti di Europol, il Tribunale ha esaminato separatamente le quattro voci di danno invocate dal ricorrente.

Per la prima voce, relativa al trattamento asseritamente illecito dei dati Sky ECC, il Tribunale ha escluso che fosse dimostrata una violazione sufficientemente qualificata di norme attributive di diritti ai singoli. Ha ritenuto che i trattamenti fossero inseriti in una cooperazione specifica finalizzata all’identificazione degli utenti del servizio e alla lotta al traffico di stupefacenti, dunque in un quadro legittimo e proporzionato.

Per la seconda voce, relativa alla lesione del diritto a un processo penale equo, il Tribunale ha osservato che il ricorrente non poteva imputare a Europol l’impossibilità di contestare le prove nei procedimenti nazionali, né poteva dimostrare un trattamento illecito dei dati. La censura è stata quindi respinta.

Per la terza voce, relativa alla mancata coordinazione tra i procedimenti nei Paesi Bassi e in Serbia, il Tribunale ha affermato che Europol non ha un potere di coordinamento delle azioni penali nazionali in quanto tale; inoltre, la clausola dell’accordo SIC invocata dal ricorrente riguarda l’uso dei dati, non la scelta di avviare o coordinare i procedimenti penali.

Per la quarta voce, relativa alla sicurezza dei dati, il Tribunale ha rilevato che il ricorrente non aveva provato alcuna violazione concreta dell’articolo 32 del regolamento 2016/794, né divulgazioni o accessi non autorizzati. Un mero timore di violazione non è sufficiente.

Responsabilità extracontrattuale di Eurojust

Anche nei confronti di Eurojust il Tribunale ha respinto tutte le voci di danno. Per la censura di trattamento illecito dei dati, il Tribunale ha ritenuto che i comportamenti contestati non fossero dimostrati o non riguardassero direttamente i dati personali del ricorrente, mentre la trasmissione del 24 giugno 2022 è stata giudicata lecita.

Quanto alla presunta violazione del diritto a un processo equo, il Tribunale ha osservato che Eurojust si è limitata a effettuare la trasmissione del link e che non risultava alcuna lesione successiva imputabile all’agenzia. Il richiamo agli articoli 47 e 48 della Carta e agli articoli 14 e 15 del Patto è stato ritenuto insufficiente.

Sul mancato coordinamento tra i procedimenti nei Paesi Bassi e in Serbia, il Tribunale ha chiarito che Eurojust ha solo un obbligo di mezzi: assiste e coordina, ma non decide l’avvio delle azioni penali, che resta di competenza delle autorità nazionali. Nessuna responsabilità può quindi derivare da scelte processuali degli Stati.

Infine, per la dedotta violazione degli articoli 89, 91 e 92 del regolamento 2018/1725, il Tribunale ha escluso sia la necessità di una valutazione d’impatto preventiva nel caso concreto, sia l’esistenza di una violazione dei dati tale da imporre una notifica al GEPD.

Dispositivo e principio pratico

Il ricorso è stato integralmente respinto. BW è stato condannato alle spese, comprese quelle di Europol e Eurojust, mentre le spese sostenute dagli Stati intervenienti sono rimaste a loro carico.

Per i professionisti, la pronuncia conferma che:

• non ogni attività di scambio o analisi di dati in un’indagine transnazionale è un atto impugnabile;
• la trasmissione di dati personali a un paese terzo da parte di Eurojust può essere impugnabile, ma va contestata dimostrando specificamente l’illiceità del trasferimento;
• la responsabilità solidale di Europol ex articolo 50 del regolamento 2016/794 non copre automaticamente le operazioni di polizia degli Stati membri;
• per ottenere il risarcimento è necessaria una prova rigorosa della violazione, del danno e del nesso causale.