Tribunale, Sentenza T-318/24

Diritto di accesso ai dati personali presso EPSO e cancellazione dei dati nel regolamento 2018/1725

La pronuncia del Tribunale riguarda due ricorsi di annullamento proposti da WS contro due decisioni di EPSO, nell’ambito di richieste di accesso a dati personali connessi a procedure di selezione del personale UE. Il caso si colloca nel quadro della protezione dei dati personali trattati dalle istituzioni, dagli organi e dagli organismi dell’Unione.

Fatti e procedimento amministrativo

WS aveva partecipato a quattro procedure di selezione EPSO, creando un account nel sistema Talent e risultando iscritto al recruitment portal per una procedura superata. Dopo una prima richiesta di accesso del 18 giugno 2022, EPSO aveva fornito alcune informazioni, ma non i log files completi né l’identità dei dipendenti che avevano consultato i dati. Il ricorrente si era quindi rivolto all’EDPS, il quale inizialmente aveva negato l’accesso ai log, per poi rivedere la propria posizione alla luce della sentenza Pankki S e ordinare a EPSO di fornire tutti i log disponibili, con tempo e finalità di ciascun accesso.

Successivamente WS ha presentato due nuove richieste, del 4 gennaio 2024 e del 1 febbraio 2024, chiedendo anche il ripristino di dati asseritamente cancellati, verbali di riunioni, comunicazioni interne ed esterne, log files conformi alla giurisprudenza e prova della cancellazione di dati relativi a tre procedure di selezione. EPSO ha respinto le richieste con le decisioni del 15 aprile 2024 e del 3 maggio 2024, poi impugnate dinanzi al Tribunale.

Questioni giuridiche esaminate

Il ricorrente deduceva la violazione di diverse disposizioni del regolamento 2018/1725, in particolare:

• il diritto di accesso di cui all’articolo 17, paragrafi 1 e 3;
• i principi di liceità, correttezza, trasparenza, esattezza, integrità e riservatezza, nonché accountability, di cui all’articolo 4;
• i diritti di limitazione del trattamento e di opposizione, di cui agli articoli 20 e 23;
• le norme sui termini di risposta dell’articolo 14.

Il nodo centrale era stabilire se EPSO fosse tenuta a fornire ulteriori dati rispetto a quelli già comunicati, a ripristinare dati cancellati e a motivare in modo più esteso l’assenza di altri log o documenti.

Normativa rilevante

Il Tribunale richiama principalmente il regolamento (UE) 2018/1725, in particolare gli articoli 4, 5, 14, 17, 19, 20 e 23. Ai fini interpretativi, richiama inoltre il regolamento (UE) 2016/679, soprattutto l’articolo 15 e la nozione di "destinatario" dell’articolo 4, punto 9. Sul piano procedurale sono citati l’articolo 263 TFUE e le norme del regolamento di procedura del Tribunale in materia di riunione delle cause e decisione senza fase orale.

Ragionamento del Tribunale sul diritto di accesso ex articolo 17

Il Tribunale osserva innanzitutto che il diritto di accesso riguarda i dati personali oggetto di trattamento e non il documento in quanto tale. Di conseguenza, se un documento non contiene dati personali del richiedente, o se tali dati non esistono più, il titolare non è tenuto a produrre il documento né a ripristinare i dati cancellati.

Quanto ai verbali di riunioni e alle comunicazioni interne/esterne, il Tribunale rileva che EPSO aveva dichiarato di non aver redatto verbali contenenti dati del ricorrente e che l’unica informazione personale presente in alcune comunicazioni consisteva nei numeri di pratica. Il ricorrente non aveva fornito elementi idonei a smentire tali affermazioni.

Quanto ai log files, il Tribunale ricorda la giurisprudenza Pankki S in tema di articolo 15 GDPR, applicabile per analogia all’articolo 17 del regolamento 2018/1725. Da tale giurisprudenza discende che il soggetto interessato può ottenere informazioni sui tempi, sulle finalità e sull’esistenza delle consultazioni, ma non, di regola, l’identità dei dipendenti del titolare che hanno operato sotto la sua autorità, poiché essi non sono "destinatari". Inoltre, il Tribunale chiarisce che quella giurisprudenza non impone al titolare di creare un sistema di logging più esteso di quello effettivamente esistente. Poiché EPSO aveva già trasmesso tutti i log disponibili, non vi era violazione dell’articolo 17.

Esclusione del diritto al ripristino dei dati cancellati

Il Tribunale afferma in modo netto che il regolamento 2018/1725 non attribuisce al data subject un diritto al ripristino di dati cancellati, né impone al titolare un corrispondente obbligo. Pertanto, il rifiuto di EPSO di restaurare i dati asseritamente cancellati non integra violazione dell’articolo 17.

Principi di trattamento e cancellazione dei dati

In relazione all’articolo 4, il Tribunale ritiene che non vi sia stata violazione dei principi di liceità, trasparenza, esattezza e integrità e riservatezza, perché EPSO aveva fornito tutte le informazioni disponibili e aveva agito nei limiti del sistema informatico in uso.

Sul punto della cancellazione dei dati relativi alle procedure di selezione non superate, il Tribunale osserva che i dati erano soggetti a un periodo di conservazione di due anni e che la cancellazione era avvenuta in conformità con l’articolo 4, paragrafo 1, lettera e), e con l’articolo 19, paragrafo 1, lettera a), del regolamento 2018/1725. Il ricorrente non ha dimostrato che la cancellazione fosse illecita.

Limitazione del trattamento e diritto di opposizione

Quanto agli articoli 20 e 23, il Tribunale rileva che la richiesta di limitazione del trattamento presuppone un trattamento illecito o un’opposizione rilevante ai sensi dell’articolo 23. Poiché la cancellazione dei dati era lecita e si fondava sull’articolo 5, paragrafo 1, lettera b), il diritto di opposizione di cui all’articolo 23 non era applicabile. Di conseguenza, non sussisteva neppure una violazione dell’articolo 20.

Ritardo nella risposta dell’amministrazione

Il Tribunale riconosce che le decisioni di EPSO erano state adottate oltre i termini previsti dall’articolo 14 del regolamento 2018/1725. Tuttavia, richiama il principio per cui la tardività della risposta non determina, di per sé, l’illegittimità della decisione sostanziale. Pertanto, il ritardo non ha comportato l’annullamento degli atti impugnati.

Esito

Il Tribunale riunisce le cause T‑318/24 e T‑362/24 e respinge integralmente i ricorsi. WS è condannato alle spese. La pronuncia conferma un’impostazione rigorosa del diritto di accesso: l’istituzione deve fornire i dati effettivamente posseduti e pertinenti, ma non è tenuta a creare dati nuovi, ripristinare quelli cancellati lecitamente o fornire informazioni che non risultino nei sistemi o che non costituiscano dati personali accessibili ai sensi del regolamento.