Tribunale, Sentenza T-52/19

Annullamento di una decisione di Eurofound su domanda di assistenza per divulgazione di dati personali

La pronuncia riguarda un ricorso proposto da un agente contrattuale di Eurofound ai sensi dell’articolo 270 TFUE contro una decisione del 22 marzo 2018, redatta e firmata da uno studio legale esterno, con cui era stata respinta una domanda di assistenza connessa alla presunta divulgazione di dati personali contenuti in un file interno accessibile al personale. Il ricorrente chiedeva anche il risarcimento del danno morale asseritamente subito.

Fatti e procedimento amministrativo

Il ricorrente aveva in precedenza presentato una domanda di riclassificazione del gruppo di funzioni, respinta dall’agenzia. Dopo aver scoperto un file denominato "hrlink", contenente una cartella relativa al suo reclamo amministrativo e un’e-mail con riferimenti a possibili conseguenze disciplinari, aveva segnalato l’accaduto al GEPD, che aveva avviato una prima indagine. Successivamente, il 2 febbraio 2018, aveva presentato a Eurofound una domanda di assistenza, chiedendo un’indagine sulle mancanze dei superiori e un risarcimento provvisorio di EUR 60 000.

Eurofound, tramite uno studio legale esterno, aveva dapprima confermato la ricezione della domanda e poi adottato la decisione del 22 marzo 2018, respingendo la richiesta risarcitoria perché non risultava una divulgazione intenzionale dei dati personali, ma annunciando al contempo un’indagine interna sulla falla di sicurezza. Il successivo reclamo del 21 giugno 2018 era stato parimenti respinto dallo stesso studio legale. Parallelamente, Eurofound aveva informato il personale e il GEPD della falla, avviando attività tecniche e una revisione delle procedure IT.

Questioni sottoposte al Tribunale

Il ricorrente deduceva sette motivi contro la decisione impugnata, tra cui: incompetenza dell’autore dell’atto, violazione del dovere di assistenza, violazione del diritto di essere ascoltato e dell’obbligo di motivazione, violazione delle norme sulla protezione dei dati, conflitto di interessi e abuso di potere. Eurofound eccepiva anche l’irricevibilità sia della domanda di annullamento sia delle domande risarcitorie.

Ricevibilità della domanda di annullamento

Il Tribunale respinge l’eccezione di irricevibilità. Il ricorrente aveva interesse ad agire, poiché l’annullamento dell’atto poteva giovargli, imponendo all’agenzia di svolgere l’indagine richiesta sulla divulgazione dei dati. La domanda di annullamento viene quindi dichiarata ricevibile.

Primo motivo: incompetenza dell’autore della decisione

Il Tribunale accoglie il primo motivo, rilevando che la decisione impugnata era stata redatta e firmata da uno studio legale esterno. In base all’articolo 2 dello statuto e ai principi sulla delega di firma e sull’organizzazione interna dell’amministrazione dell’Unione, i poteri relativi alla gestione del personale devono essere esercitati all’interno dell’istituzione o dell’organismo, salvo ipotesi espressamente previste. Uno studio legale esterno può assistere l’istituzione, ma non può sostituirsi ad essa come autore dell’atto amministrativo.

Il Tribunale sottolinea inoltre che il procedimento precontenzioso previsto dagli articoli 90 e 91 dello statuto ha la funzione di instaurare un dialogo diretto tra amministrazione e agente, finalizzato a una soluzione amichevole della controversia. Nel caso di specie, l’interlocutore effettivo del ricorrente era stato il legale esterno, non Eurofound, con conseguente alterazione della funzione del procedimento. Il fatto che il diritto nazionale possa ammettere una firma esterna non è rilevante, perché Eurofound agisce nel quadro del diritto dell’Unione e del regime statutario. Neppure l’assistenza legale del ricorrente giustificava un simile assetto, e comunque Eurofound disponeva già di un supporto giuridico interno o convenzionale.

Il Tribunale evidenzia anche che, pur ipotizzando una delega o autorizzazione, essa non risultava chiaramente definita né resa pubblica, in contrasto con le esigenze di certezza del diritto e buona amministrazione. Ne consegue l’illegittimità della decisione impugnata e il suo annullamento.

Secondo motivo: violazione del dovere di assistenza

Pur non essendo necessario ai fini dell’annullamento, il Tribunale esamina anche il secondo motivo. Richiama l’articolo 24 dello statuto, secondo cui l’istituzione deve proteggere funzionari e agenti da attacchi e illeciti che possano compromettere il servizio e la serenità del lavoro. Quando vi sia un inizio di prova di un comportamento illecito, l’amministrazione deve intervenire con tempestività e, se necessario, svolgere un’indagine amministrativa.

Nel caso concreto, Eurofound aveva adottato varie misure tecniche e organizzative: ripristino della sicurezza del file, comunicazioni al personale, segnalazione al GEPD, coinvolgimento di Eurojust ed Europol, consulenza informatica esterna e revisione delle politiche IT. Tuttavia, secondo il Tribunale, non aveva svolto una vera indagine amministrativa volta ad accertare se vi fosse stata effettivamente una divulgazione dei dati personali del ricorrente e chi ne fosse responsabile.

Il Tribunale respinge l’argomento secondo cui sarebbe stata necessaria una divulgazione intenzionale per far sorgere la responsabilità: anche una divulgazione non intenzionale di dati personali in violazione del regolamento n. 45/2001 può integrare un illecito. Respinge anche il richiamo al fatto che il GEPD fosse soddisfatto delle misure adottate, osservando che la prima indagine, avviata sul reclamo del ricorrente, era ancora pendente e sospesa in attesa della sentenza. Eurofound è quindi venuta meno anche al dovere di assistenza.

Domande risarcitorie: ricevibilità e merito

Quanto alla domanda risarcitoria contenuta nell’atto introduttivo, il Tribunale ne afferma la ricevibilità: la regola di concordanza tra reclamo e ricorso è rispettata perché la causa e l’oggetto restano il risarcimento del danno morale derivante dalla medesima vicenda. Diversamente, la domanda risarcitoria formulata per la prima volta nella replica è dichiarata irricevibile, poiché introduce nuove voci di danno e modifica il fondamento stesso della responsabilità, senza il previo procedimento amministrativo richiesto dall’articolo 90, paragrafo 1, dello statuto.

Nel merito, il danno morale collegato alla decisione impugnata è respinto perché l’annullamento dell’atto costituisce, in linea di principio, riparazione sufficiente. Il danno morale connesso alla divulgazione dei dati personali è invece respinto come prematuro, poiché le indagini amministrative e quelle del GEPD non erano ancora definite e il Tribunale non poteva anticiparne gli esiti né i possibili provvedimenti di esecuzione ai sensi dell’articolo 266 TFUE.

Dispositivo

Il Tribunale:

• annulla la decisione del 22 marzo 2018, redatta e firmata da uno studio legale esterno, nella parte in cui respinge la domanda di assistenza di AH in relazione alla divulgazione dei suoi dati personali;
• respinge il ricorso per il resto;
• condanna Eurofound a sopportare, oltre alle proprie spese, quelle sostenute da AH.

Principi affermati

La sentenza conferma che, nelle controversie di funzione pubblica, l’istituzione o l’agenzia deve rimanere il soggetto che assume formalmente la decisione nel procedimento precontenzioso; l’esternalizzazione della redazione e della firma dell’atto a un soggetto privato è incompatibile con la disciplina statutaria e con la funzione del dialogo amministrativo. Ribadisce inoltre che, in presenza di una denuncia plausibile di divulgazione di dati personali, l’amministrazione deve svolgere un’indagine effettiva e non può limitarsi a misure tecniche o a un riscontro favorevole del GEPD su un diverso fronte di controllo.