Tribunale, Ordinanza T-578/22

Ricorso di annullamento del GEPD contro le disposizioni transitorie del regolamento Europol modificato

L’ordinanza riguarda un ricorso ex articolo 263 TFUE proposto dal Garante europeo della protezione dei dati (GEPD) contro gli articoli 74 bis e 74 ter del regolamento (UE) 2016/794, come modificato dal regolamento (UE) 2022/991. La controversia si inserisce nel quadro del trattamento dei dati personali da parte di Europol e del rapporto tra i poteri del legislatore dell’Unione e le prerogative dell’autorità di controllo indipendente.

Fatti e contesto normativo

Il GEPD aveva adottato il 3 gennaio 2022 una decisione nei confronti di Europol, a seguito di un’indagine di propria iniziativa e di una precedente ammonizione, imponendo limiti alla conservazione e alla categorizzazione di serie di dati senza categorizzazione. Secondo il GEPD, in assenza di una disciplina espressa del periodo di conservazione, occorreva interpretare per analogia l’articolo 18, paragrafo 6, del regolamento Europol iniziale.

Successivamente, durante il procedimento di revisione del regolamento Europol, furono inseriti gli articoli 74 bis e 74 ter, che disciplinano in via transitoria:

• la categorizzazione delle serie di dati già detenute da Europol all’entrata in vigore del regolamento modificato;
• le condizioni e le procedure per il trattamento di dati personali, a sostegno di un’indagine penale in corso, relativi a categorie di interessati non rientranti nell’allegato II del regolamento, se trasferiti a Europol prima del 28 giugno 2022.

Il GEPD riteneva che tali disposizioni avessero di fatto neutralizzato la sua decisione del 3 gennaio 2022 e legalizzato retroattivamente pratiche di conservazione dei dati da esso contestate.

Questioni sottoposte al Tribunale

Il GEPD sosteneva, in via principale, di poter proporre il ricorso per tutelare le proprie prerogative istituzionali e la propria indipendenza, richiamando per analogia la sentenza Parlamento/Consiglio del 22 maggio 1990 (C‑70/88). In subordine, affermava che le disposizioni impugnate lo riguardavano direttamente e individualmente.

Il Consiglio contestava la ricevibilità del ricorso, sostenendo che il GEPD non rientra tra i soggetti privilegiati o semi-privilegiati dell’articolo 263 TFUE e che, in ogni caso, non sussisteva alcuna incidenza diretta e individuale. Il Parlamento insisteva nel senso del rigetto del ricorso e, in caso di accoglimento, chiedeva il mantenimento degli effetti delle disposizioni impugnate.

Competenza del Tribunale e natura soggettiva del GEPD

Il Tribunale ha innanzitutto chiarito di essere competente a conoscere del ricorso. Ha osservato che il GEPD non è un’istituzione dell’Unione ai sensi dell’articolo 13, paragrafo 1, TUE, ma un organo dell’Unione istituito da un atto di diritto derivato, cioè il regolamento n. 45/2001. Ha inoltre rilevato che l’articolo 263, secondo e terzo comma, TFUE non menziona gli organi e organismi dell’Unione, pur essendo questi espressamente richiamati nel primo comma quanto agli atti impugnabili.

Da ciò il Tribunale ha dedotto che il GEPD non può accedere al ricorso privilegiato o semi-privilegiato riservato alle istituzioni e ad alcuni organi espressamente indicati dal Trattato. Di conseguenza, il GEPD deve essere trattato come una parte ricorrente soggetta alle condizioni dell’articolo 263, quarto comma, TFUE.

Esclusione della legittimazione privilegiata invocata dal GEPD

Il Tribunale ha respinto l’argomento secondo cui il GEPD potrebbe, in virtù del principio di equilibrio istituzionale, agire per difendere le proprie prerogative senza soddisfare i requisiti del quarto comma dell’articolo 263 TFUE. La sentenza Parlamento/Consiglio del 1990 non è stata ritenuta applicabile per analogia, perché in quella vicenda il Parlamento era privo di una via di ricorso adeguata, mentre nel caso del GEPD esiste uno specifico quadro processuale che gli consente di agire alle condizioni dei soggetti non privilegiati.

Il Tribunale ha inoltre sottolineato che, sebbene l’articolo 16, paragrafo 2, TFUE e l’articolo 8, paragrafo 3, della Carta attribuiscano rilievo al controllo da parte di autorità indipendenti, l’indipendenza funzionale del GEPD non limita i poteri del legislatore dell’Unione. Il legislatore resta libero di modificare il quadro normativo che il GEPD è chiamato a controllare; ciò non equivale, di per sé, a ledere l’indipendenza dell’autorità, ma incide soltanto sull’oggetto del controllo.

Il Tribunale ha richiamato anche l’articolo 58, paragrafo 4, del regolamento 2018/1725, che prevede espressamente che il GEPD può adire la Corte di giustizia alle condizioni previste dai Trattati. Tale disposizione conferma, secondo il Tribunale, che il GEPD non dispone di un accesso privilegiato autonomo al giudice dell’Unione.

Ricevibilità ai sensi dell’articolo 263, quarto comma, TFUE

Passando all’esame della ricevibilità come ricorso di un soggetto non privilegiato, il Tribunale ha ricordato che occorre dimostrare l’incidenza diretta e individuale dell’atto impugnato.

Quanto all’incidenza diretta, il Tribunale ha applicato il criterio consolidato secondo cui l’atto deve produrre direttamente effetti sulla situazione giuridica del ricorrente e non lasciare alcun potere discrezionale ai destinatari incaricati dell’attuazione.

Sul primo profilo, ha osservato che le disposizioni impugnate non modificano la natura né la portata dei compiti del GEPD, che restano quelli di sorvegliare l’applicazione delle norme sulla protezione dei dati da parte delle istituzioni, degli organi e degli organismi dell’Unione. Il quadro normativo controllato è cambiato, ma non le competenze del GEPD.

Sul secondo profilo, il Tribunale ha affermato che le disposizioni impugnate lasciano a Europol un certo margine di discrezionalità. Europol deve infatti decidere come trattare le serie di dati già in suo possesso, se categorizzarle e se continuare il trattamento di determinati dati a sostegno di indagini penali in corso. Poiché l’attuazione richiede valutazioni di Europol e, in taluni casi, il coinvolgimento del GEPD in forma autorizzatoria o conoscitiva, manca un effetto automatico e immediato direttamente imputabile alle disposizioni contestate.

Il Tribunale ha quindi escluso che le disposizioni impugnate incidano direttamente sulla situazione giuridica del GEPD. Di conseguenza, non era necessario approfondire ulteriormente la prova dell’incidenza individuale: la mancanza di uno dei due requisiti cumulativi comporta l’irricevibilità del ricorso.

Esito del giudizio e spese

Il Tribunale ha accolto l’eccezione di irricevibilità sollevata dal Consiglio e ha dichiarato il ricorso in parte irricevibile e in parte manifestamente irricevibile, con riguardo rispettivamente alle conclusioni formulate nei confronti del Consiglio e a quelle rivolte contro il Parlamento. Poiché il ricorso è stato integralmente respinto, non è stata pronunciata alcuna decisione sulle istanze di intervento della Repubblica francese, della Repubblica federale di Germania, della Commissione, del Regno del Belgio e del Regno dei Paesi Bassi.

Quanto alle spese, il GEPD, rimasto soccombente, è stato condannato a sopportare le proprie spese e quelle sostenute dal Consiglio e dal Parlamento, esclusa la parte relativa agli interventi. Le spese connesse alle istanze di intervento sono state poste a carico di ciascun interveniente e delle parti principali secondo il regime di compensazione previsto dal regolamento di procedura.

Principio affermato

L’ordinanza afferma che il GEPD, pur essendo un’autorità indipendente incaricata del controllo della protezione dei dati, non è un’istituzione dell’Unione e non può invocare una legittimazione privilegiata a ricorrere per annullamento contro un atto legislativo dell’Unione; deve quindi rispettare i requisiti dell’articolo 263, quarto comma, TFUE. Inoltre, un atto che modifica il quadro normativo controllato dal GEPD ma lascia a Europol margini di discrezionalità nell’attuazione non incide direttamente sulla situazione giuridica del GEPD e non è quindi impugnabile da quest’ultimo ai sensi di tale disposizione.