Causa T‑343/13

CN

contro

Parlamento europeo

«Responsabilità extracontrattuale – Petizione indirizzata al Parlamento – Diffusione sul sito Internet del Parlamento di alcuni dati personali – Mancanza di una violazione sufficientemente qualificata di una norma di diritto che attribuisce diritti ai soggetti»

Massime – Sentenza del Tribunale (Sesta Sezione) del 3 dicembre 2015

1.      Responsabilità extracontrattuale – Presupposti – Illecito – Violazione sufficientemente qualificata del diritto dell’Unione – Necessità di un’inosservanza grave e manifesta da parte delle istituzioni dei limiti del loro potere discrezionale – Violazione delle norme relative alla tutela dei dati personali – Inclusione

(Art. 340, comma 2, TFUE; Carta dei diritti fondamentali dell’Unione europea, art. 8; regolamento del Parlamento europeo e del Consiglio n. 45/2001)

2.      Istituzioni dell’Unione europea – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento n. 45/2001 – Dati relativi alla salute – Nozione – Interpretazione ampia – Limiti

(Regolamento del Parlamento europeo e del Consiglio n. 45/2001, art. 10, § 1)

3.      Istituzioni dell’Unione europea – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento n. 45/2001 – Necessità della liceità del trattamento – Consenso dell’interessato – Nozione – Deposito di una petizione contenente informazioni delicate sul sito Internet del Parlamento europeo – Informazioni fornite al firmatario di una petizione prima del deposito che gli consentono di valutare l’accessibilità al pubblico della sua petizione – Carattere lecito del trattamento

[Regolamento del Parlamento europeo e del Consiglio n. 45/2001, artt. 2, h), 5, d), e 10, § 2, a)]

4.      Responsabilità extracontrattuale – Presupposti – Illecito – Violazione sufficientemente qualificata del diritto dell’Unione – Allegazione di illeciti derivanti da una violazione dei diritti di terzi – Inammissibilità

(Art. 340, comma 2, TFUE)

5.      Istituzioni dell’Unione europea – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento n. 45/2001 – Diritto alla cancellazione dei dati – Presupposto – Trattamento illecito dei dati – Cancellazione a titolo di cortesia di dati trattati lecitamente – Osservanza di un termine ragionevole

(Regolamento del Parlamento europeo e del Consiglio n. 45/2001, art. 16)

6.      Diritti fondamentali – Rispetto della vita privata – Tutela dei dati personali – Divulgazione di dati con il consenso dell’interessato – Ingerenza nella vita privata – Insussistenza

7.      Responsabilità extracontrattuale – Presupposti – Illecito – Danno – Nesso causale – Presupposti cumulativi – Mancanza di uno dei presupposti – Rigetto integrale del ricorso per risarcimento danni

(Art. 340, comma 2, TFUE)

8.      Responsabilità extracontrattuale – Presupposti – Danno effettivo e certo provocato da un atto illegittimo – Danno materiale e morale – Onere della prova

(Art. 340, comma 2, TFUE)

9.      Responsabilità extracontrattuale – Presupposti – Nesso causale – Danno costituito dalle spese relative al procedimento precontenzioso – Spese derivanti dalla libera scelta del ricorrente – Insussistenza di un nesso di causalità tra il danno e il comportamento dell’istituzione

(Art. 340, comma 2, TFUE)

1.      In materia di responsabilità extracontrattuale dell’Unione, il requisito del comportamento illecito delle istituzioni dell’Unione richiede la violazione sufficientemente qualificata di una norma giuridica avente lo scopo di attribuire diritti ai soggetti. Il criterio decisivo per considerare una violazione del diritto dell’Unione come sufficientemente qualificata è quello della violazione grave e manifesta, da parte di un’istituzione dell’Unione, dei limiti imposti al suo potere discrezionale.

A tale riguardo, poiché il diritto alla tutela dei dati personali, sancito dall’articolo 8 della Carta dei diritti fondamentali dell’Unione europea, è sviluppato dal regolamento n. 45/2001, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, per quanto riguarda gli atti delle istituzioni e degli organi dell’Unione, e dalle disposizioni di attuazione di detto regolamento adottate da ciascuna istituzione, queste differenti disposizioni hanno lo scopo di attribuire diritti ai soggetti. Di conseguenza, esse possono essere invocate da un ricorrente nel quadro del suo ricorso per risarcimento.

(v. punti 44, 47)

2.      All’espressione «dati relativi alla salute», di cui all’articolo 10, paragrafo 1, del regolamento n. 45/2001, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, occorre dare un’interpretazione ampia, tale da comprendere informazioni concernenti tutti gli aspetti, tanto fisici quanto psichici, della salute di una persona. Tuttavia, questa nozione non può essere ampliata sino a inglobare espressioni che non comportino la divulgazione di nessun dato relativo alla salute o alla condizione medica di una persona.

(v. punto 50)

3.      Dato che l’articolo 2, lettera h), del regolamento n. 45/2001, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, non impone nessun requisito riguardante la forma del consenso di una persona al trattamento di dati personali, il deposito di una petizione al Parlamento europeo può essere considerato una manifestazione di volontà della persona interessata.

Infatti, una lettura attenta delle informazioni fornite dal Parlamento sul suo sito Internet riguardanti la pubblicità della petizione avrebbe dovuto permettere a un firmatario di una petizione ragionevolmente attento di valutare la portata della sua azione e le sue conseguenze. A tale riguardo, con riferimento a una petizione relativa al fatto che un’istituzione dell’Unione non ha debitamente preso in considerazione, ai fini della sua carriera, lo stato di salute del suo firmatario, funzionario dell’Unione, e di suo figlio, questa manifestazione di volontà è specifica, poiché il Parlamento ha informato il ricorrente del fatto che la sua denuncia sarebbe stata accessibile su Internet, e poiché quest’ultimo ha dato il suo consenso espresso, marcando le caselle di un formulario relative al trattamento pubblico e all’iscrizione su un registro accessibile su Internet, senza che il suo consenso debba essere dedotto implicitamente da una qualsivoglia azione. In tali circostanze, occorre ritenere che il firmatario abbia dato il suo consenso espresso alla divulgazione delle informazioni delicate relative alla sua salute, ai sensi dell’articolo 10, paragrafo 2, lettera a), del regolamento n. 45/2001. Tali considerazioni si applicano mutatis mutandis al trattamento dei dati personali diversi dai dati personali delicati del firmatario.

Peraltro, per quanto concerne i dati personali non contenuti tra quelli menzionati nell’articolo 10, paragrafo 1, del regolamento n. 45/2001 (quali quelli relativi alla carriera del firmatario), il loro trattamento è soggetto al regime previsto dall’articolo 5 di tale regolamento. Ai sensi dell’articolo 5, lettera d), di detto regolamento, il trattamento può essere effettuato, segnatamente, quando l’interessato ha inequivocabilmente dato il suo consenso. In altri termini, il trattamento può essere effettuato quando l’interessato ha dato il suo consenso con certezza e senza ambiguità. A tale riguardo, mentre l’articolo 10, paragrafo 2, lettera a), del regolamento n. 45/2001 richiede che il consenso sia espresso, l’articolo 5, lettera d), di detto regolamento impone un consenso inequivocabilmente dato. È logico ritenere, in considerazione della natura dei dati personali delicati, che le condizioni richieste per il consenso ai sensi dell’articolo 5, lettera d), del regolamento n. 45/2001 non possano essere più rigorose di quelle previste dall’articolo 10, paragrafo 2, lettera a), di detto regolamento.

(v. punti 59, 70, 74, 76‑79)

4.      In materia di responsabilità extracontrattuale dell’Unione, al fine di preservare l’efficacia pratica della condizione riguardante la violazione di una norma giuridica che attribuisce diritti ai soggetti, è necessario che la tutela offerta dalla norma invocata sia effettiva nei confronti della persona che la invoca e, pertanto, che questa persona sia tra quelle alle quali la norma in questione attribuisce diritti. Non si può ammettere come fonte di risarcimento una norma che non tuteli la persona contro l’illecito che ella denuncia, ma un’altra persona. Da ciò discende che un ricorrente non può invocare, nel quadro del suo ricorso per risarcimento, illiceità derivanti dalla presunta violazione dei diritti di un terzo.

(v. punto 86)

5.      L’articolo 16 del regolamento n. 45/2001, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati, attribuisce il diritto di ottenere la cancellazione dei dati personali unicamente quando il trattamento è illecito. Di conseguenza, tale disposizione non può essere invocata a sostegno di una domanda di cancellazione quando il trattamento è lecito. Il fatto che l’istituzione dell’Unione interessata abbia deciso di accogliere una domanda di cancellazione non implica di per sé il riconoscimento dell’illiceità del trattamento iniziale.

A tale riguardo, l’articolo 12, paragrafo 3, delle disposizioni di attuazione del regolamento n. 45/2001, adottate dal Parlamento europeo, prevede che, quando una domanda di cancellazione dei dati personali è accolta, essa venga eseguita senza indugio. Tale disposizione concerne le situazioni in cui la domanda è accolta poiché è fondata, ossia poiché il trattamento è illecito. In tali ipotesi, è logico che essa debba essere eseguita senza indugio. Viceversa, quando la domanda è infondata, ma è accolta per cortesia, non c’è ragione di imporre un obbligo di esecuzione senza indugio. In tal caso, il Parlamento è tenuto unicamente a dare seguito all’impegno entro un termine ragionevole.

(v. punti 90, 100)

6.      Per quanto riguarda la divulgazione di informazioni personali da parte di un’istituzione dell’Unione, non è possibile ritenere che ci sia un’ingerenza di un’autorità pubblica nella vita privata ai sensi dell’articolo 8 della Convenzione europea dei diritti dell’uomo quando l’interessato dà il suo consenso alla divulgazione di informazioni.

(v. punto 107)

7.      V. il testo della decisione.

(v. punto 110)

8.      V. il testo della decisione.

(v. punti 118, 119)

9.      V. il testo della decisione.

(v. punti 123, 124)