Corte di giustizia, Sentenza C-755/21

Responsabilità di Europol per trattamento illecito di dati e divulgazione di informazioni personali

La pronuncia è resa in sede di impugnazione contro la sentenza del Tribunale nella causa Kočner/Europol e riguarda un’azione risarcitoria proposta ai sensi degli articoli 268 e 340 TFUE e dell’articolo 50, paragrafo 1, del regolamento (UE) 2016/794. Il contenzioso nasce dall’estrazione e dalla successiva divulgazione di dati personali ricavati da telefoni cellulari e da un supporto USB nell’ambito di un’indagine penale slovacca, con particolare rilievo per la pubblicazione di conversazioni intime e per l’asserito inserimento del nome del ricorrente negli «elenchi dei mafiosi».

Fatti e procedimento

Europol aveva assistito le autorità slovacche nell’analisi di supporti informatici collegati al ricorrente. Nel corso dell’attività investigativa, dati estratti dai telefoni cellulari sarebbero stati divulgati e poi pubblicati dalla stampa slovacca; inoltre, una relazione di Europol faceva riferimento al ricorrente in collegamento con gli «elenchi cosiddetti mafiosi» e con i Panama Papers. Il ricorrente ha chiesto a Europol il risarcimento di EUR 100000 per danno morale; dinanzi al Tribunale, la domanda è stata ridotta, per il primo capo, alla sola divulgazione delle trascrizioni di conversazioni intime e sessuali, mentre il secondo capo riguardava l’asserito inserimento negli «elenchi dei mafiosi».

Normativa rilevante

La Corte si sofferma soprattutto sul regolamento (UE) 2016/794: definizioni di dati personali e trattamento (articolo 2), obiettivi e fonti di informazione (articoli 3 e 17), finalità del trattamento (articolo 18), principi di protezione dei dati (articolo 28), sicurezza del trattamento (articolo 32), responsabilità in materia di protezione dei dati (articolo 38), responsabilità generale (articolo 49, paragrafo 3) e responsabilità per trattamento illecito dei dati (articolo 50). Sono richiamati anche l’articolo 340 TFUE, l’articolo 268 TFUE, l’articolo 56 dello Statuto e, in via comparativa, l’articolo 82, paragrafo 4, del regolamento (UE) 2016/679.

Il punto centrale: natura della responsabilità ai sensi dell’articolo 50 del regolamento Europol

La Corte ha stabilito che l’articolo 50, paragrafo 1, del regolamento 2016/794, interpretato alla luce del considerando 57, istituisce un regime di responsabilità solidale tra Europol e lo Stato membro nel quale si è verificato il fatto generatore del danno, quando il danno deriva da un trattamento illecito di dati svolto nell’ambito della loro cooperazione. Il considerando 57, pur non essendo vincolante, ha un forte valore interpretativo e chiarisce che il legislatore ha voluto tutelare la persona lesa che non è in grado di sapere se il danno dipenda dall’azione di Europol o dello Stato membro.

La Corte ha inoltre chiarito che la persona lesa non deve provare quale delle due entità sia imputabile del trattamento illecito, ma solo che:

• vi sia stato un trattamento illecito di dati nell’ambito della cooperazione tra Europol e lo Stato membro;
• tale trattamento le abbia causato un danno.

Resta ferma la possibilità per l’entità convenuta di dimostrare che il danno non è collegato al trattamento illecito invocato. Il successivo articolo 50, paragrafo 2, disciplina poi la fase interna tra Europol e Stato membro relativa alla responsabilità finale.

Errore di diritto del Tribunale sul primo capo di conclusioni

Il Tribunale aveva respinto la domanda relativa alla divulgazione delle conversazioni intime ritenendo non provato il nesso causale con un comportamento imputabile a Europol e ritenendo che il considerando 57 non potesse fondare una responsabilità solidale. La Corte ha censurato questa impostazione: il Tribunale ha errato nel pretendere dal ricorrente la prova dell’imputabilità ad Europol della divulgazione, perché l’articolo 50, paragrafo 1, gli imponeva soltanto di provare il trattamento illecito e il danno.

La Corte ha rilevato che, nel caso concreto, risultava che dati personali di natura intima, estratti dai telefoni cellulari in questione e nella disponibilità di Europol nell’ambito della cooperazione con la NAKA, erano stati divulgati a soggetti non autorizzati e pubblicati dalla stampa slovacca. Tale divulgazione ha violato il diritto al rispetto della vita privata e familiare e delle comunicazioni garantito dall’articolo 7 della Carta e ha arrecato un danno morale.

Presupposti della responsabilità e liquidazione del danno

La Corte ha ricondotto la responsabilità extracontrattuale ai tre presupposti tradizionali dell’articolo 340 TFUE: illegittimità del comportamento, danno e nesso causale. Ha ritenuto che la violazione delle norme del regolamento 2016/794 sulla protezione dei dati personali costituisse, nel caso di specie, una violazione sufficientemente qualificata di una norma dell’Unione preordinata a conferire diritti ai singoli, tenuto conto del carattere sensibile e intimo dei dati e dell’assenza di margini di discrezionalità quanto all’obbligo di protezione.

In decisione definitiva, la Corte ha liquidato il danno morale in via equitativa in EUR 2000, limitando il risarcimento alle sole trascrizioni delle conversazioni intime, perché la parte relativa alle fotografie non era stata provata e tale limitazione non era stata contestata in impugnazione.

Rigetto del motivo relativo agli «elenchi dei mafiosi»

Quanto al secondo capo di conclusioni, la Corte ha respinto l’impugnazione. Pur avendo riconosciuto l’errore del Tribunale nell’escludere in astratto la responsabilità solidale, ha osservato che, nel merito, non risultava provato che gli «elenchi dei mafiosi» fossero stati elaborati e tenuti da Europol, né che la relazione di Europol fosse all’origine del preteso danno reputazionale. Inoltre, dagli elementi probatori esaminati dal Tribunale emergeva che la stampa slovacca aveva già qualificato il ricorrente come «mafioso» ben prima della relazione di Europol. Per questa ragione il quinto motivo è stato considerato inoperante e il sesto motivo, in parte irricevibile e in parte infondato.

Dispositivo e spese

La Corte ha:

• annullato la sentenza del Tribunale solo nella parte in cui respingeva il primo capo di conclusioni;
• respinto l’impugnazione per il resto;
• condannato Europol a versare al ricorrente EUR 2000;
• respinto il ricorso per il resto;
• posto le spese di primo grado e di impugnazione a carico di ciascuna parte per le rispettive spese, con la Repubblica slovacca che sopporta le proprie.

Principio affermato

La sentenza afferma che, nel sistema dell’articolo 50 del regolamento Europol, la vittima di un trattamento illecito di dati effettuato nell’ambito della cooperazione tra Europol e uno Stato membro non deve individuare quale dei due soggetti sia all’origine del fatto illecito; è sufficiente provare il trattamento illecito e il danno subito. La responsabilità solidale opera verso la vittima, mentre l’eventuale ripartizione interna della responsabilità resta da definire tra Europol e Stato membro nella fase successiva prevista dall’articolo 50, paragrafo 2.