CONCLUSIONI DELL’AVVOCATO GENERALE
ATHANASIOS RANTOS
presentate il 15 giugno 2023 (1)
Causa C-755/21 P
Marián Kočner
contro
Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto
«Impugnazione – Regolamento (UE) 2016/794 – Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) – Protezione dei dati personali – Articoli 49 e 50 – Responsabilità dell’Europol per trattamento non corretto dei dati personali – Considerando 57 – Natura della responsabilità – Procedimento penale avviato in Slovacchia nei confronti del ricorrente – Perizia realizzata dall’Europol ai fini dell’istruttoria – Estrazione di dati da telefoni cellulari e da una periferica USB appartenenti al ricorrente – Presunta divulgazione non autorizzata di tali dati da parte dell’Europol – Danno morale – Ricorso per risarcimento danni – Nesso di causalità»
I. Introduzione
1. Con la sua impugnazione, il sig. Marián Kočner (in prosieguo: il «ricorrente») chiede l’annullamento della sentenza del Tribunale dell’Unione europea del 29 settembre 2021, Kočner/Europol (T‑528/20, non pubblicata, in prosieguo: la «sentenza impugnata», EU:T:2021:631), con la quale il Tribunale ha respinto il suo ricorso volto ad ottenere il risarcimento del danno morale che egli ritiene di avere subito a causa della violazione del suo diritto al rispetto della vita privata e familiare risultante, in sostanza, da operazioni di trattamento dei dati da parte dell’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol), nell’ambito di un’indagine penale avviata nei suoi confronti dalle autorità slovacche a seguito dell’omicidio di un giornalista e della sua fidanzata.
2. La presente impugnazione offre alla Corte, per la prima volta, l’opportunità di pronunciarsi, tra l’altro, sulla natura della responsabilità extracontrattuale dell’Europol ai sensi degli articoli 49 e 50 del regolamento (UE) 2016/794 (2), interpretati alla luce del considerando 57 di detto regolamento e, più in particolare, sull’esistenza del regime speciale di responsabilità solidale tra l’Europol e lo Stato membro nel quale si è verificato un danno in conseguenza di un trattamento non corretto dei dati da parte dell’Europol o di tale Stato membro.
II. Contesto normativo
3. A termini dei considerando 56, 57 e 65 del regolamento Europol:
«(56) È opportuno che Europol sia soggetta alle norme generali sulla responsabilità contrattuale ed extracontrattuale applicabili alle istituzioni, alle agenzie e agli organismi dell’Unione, ad eccezione delle norme sulla responsabilità per trattamento illecito dei dati.
(57) Poiché per la persona interessata può non essere chiaro se il danno subito a seguito di un trattamento illecito dipenda dall’azione di Europol o di uno Stato membro, è opportuno che Europol e lo Stato membro in cui si è verificato il fatto generatore del danno rispondano in solido.
(...)
(65) Poiché tratta dati che, includendo informazioni sensibili non classificate e informazioni classificate UE, richiedono una protezione particolare, Europol dovrebbe stabilire norme per la riservatezza e il trattamento di tali informazioni. Le disposizioni sulla protezione delle informazioni classificate UE dovrebbero essere coerenti con la decisione 2013/488/UE del Consiglio [(3)]».
4. Ai sensi dell’articolo 17, paragrafo 1, di detto regolamento, l’Europol tratta solo informazioni fornite, in particolare, da Stati membri conformemente al loro diritto nazionale e all’articolo 7 del regolamento in parola. Ai sensi del paragrafo 2 di tale articolo 17, l’Europol può direttamente reperire e trattare informazioni, inclusi dati personali, da fonti accessibili al pubblico, compresi Internet e i dati pubblici.
5. L’articolo 32 del medesimo regolamento, intitolato «Sicurezza del trattamento», al paragrafo 1 così prevede:
«Europol mette in atto misure tecniche e organizzative adeguate per proteggere i dati personali dalla distruzione accidentale o illegale, dalla perdita accidentale, dalla comunicazione, modifica e accesso non autorizzati e da qualsiasi altra forma di trattamento non autorizzato».
6. L’articolo 49 del regolamento Europol, intitolato «Disposizioni generali in materia di responsabilità e diritto al risarcimento», al paragrafo 3 enuncia quanto segue:
«Fatto salvo l’articolo 49 [(4)], in materia di responsabilità extracontrattuale Europol risarcisce, secondo i principi generali comuni agli ordinamenti degli Stati membri, i danni causati dai suoi servizi o dal suo personale nell’esercizio delle loro funzioni».
7. L’articolo 50 di detto regolamento, intitolato «Responsabilità per trattamento non corretto dei dati personali e diritto al risarcimento», così dispone:
«1. La persona fisica che subisca un danno cagionato da un trattamento illecito dei dati ha il diritto di ottenere il risarcimento del danno da Europol, conformemente all’articolo 340 TFUE, o dallo Stato membro in cui si è verificato il fatto generatore del danno, conformemente al diritto nazionale. L’azione contro Europol è proposta dalle persone fisiche dinanzi alla Corte di giustizia dell’Unione europea, mentre quella contro lo Stato membro è da esse proposta dinanzi all’autorità giurisdizionale competente di tale Stato membro.
2. Qualsiasi controversia tra Europol e uno Stato membro in merito alla responsabilità finale del risarcimento corrisposto a una persona fisica ai sensi del paragrafo 1 è sottoposta al consiglio di amministrazione, che decide deliberando a maggioranza dei due terzi dei suoi membri, fatto salvo il diritto di impugnare tale decisione ai sensi dell’articolo 263 TFUE».
III. Fatti
8. Nell’ambito di un’indagine svolta dalle autorità penali slovacche a seguito dell’omicidio, avvenuto in Slovacchia il 21 febbraio 2018, di un giornalista e della sua fidanzata, l’Europol, su richiesta della Národná kriminálna agentúra (Agenzia nazionale per la lotta contro la criminalità, Slovacchia, in prosieguo: la «NAKA»), ha preso in custodia, il 10 ottobre 2018, due telefoni cellulari che sarebbero appartenuti al ricorrente e, il 17 ottobre 2018, un supporto di memorizzazione USB.
9. Per quanto riguarda i telefoni cellulari, il 21 giugno 2019 l’Europol ha comunicato alla NAKA le relazioni scientifiche finali riguardanti le operazioni effettuate su di essi. Detta comunicazione sarebbe stata preceduta, secondo l’Europol, prima dalla consegna alla NAKA di un disco rigido contenente i dati criptati estratti da tali telefoni, attestata da un verbale del 23 ottobre 2018 (in prosieguo: il «verbale del 23 ottobre 2018»), e poi dalla consegna dei telefoni in questione alla NAKA, certificata da un modulo di ricezione/consegna di prove del 13 febbraio 2019 (5).
10. Alcuni articoli di stampa e una pubblicazione su un sito Internet nel maggio 2019 avrebbero messo a disposizione del pubblico informazioni relative al ricorrente provenienti da detti telefoni cellulari, ivi comprese trascrizioni di sue comunicazioni intime.
11. Per quanto riguarda il supporto di memorizzazione USB, nella sua relazione del 13 gennaio 2019, trasmessa alla NAKA il 14 febbraio 2019, l’Europol ha indicato che il ricorrente era stato posto in stato di detenzione per un presunto reato finanziario dal 20 giugno 2018 e che il suo nome era, tra altri, direttamente collegato alle «cosiddette liste mafiose» e ai «Panama Papers» (6).
12. Con lettera del 4 maggio 2020, il ricorrente ha chiesto all’Europol, sul fondamento dell’articolo 50, paragrafo 1, del regolamento Europol, un risarcimento di EUR 100 000 per il danno morale che egli ritiene di avere subito a causa, da un lato, della pubblicazione sulla stampa e su Internet di dati personali e, in particolare, della pubblicazione delle trascrizioni di sue comunicazioni di carattere intimo e sessuale e, dall’altro, dell’inclusione del suo nome nelle «liste dei mafiosi», che sarebbe stata riportata dalla stampa a seguito di fughe di notizie riguardanti il fascicolo del procedimento penale nazionale relativo all’omicidio menzionato al paragrafo 8 delle presenti conclusioni.
13. A seguito dell’indagine svolta dalle autorità penali slovacche, menzionata al paragrafo 8 delle presenti conclusioni, il ricorrente, perseguito per complicità in omicidio in qualità di mandante, è stato assolto in primo grado con una sentenza che è stata annullata dal Najvyšší súd Slovenskej republiky (Corte suprema della Repubblica slovacca), il quale ha rinviato il procedimento in primo grado.
IV. Procedimento dinanzi al Tribunale e sentenza impugnata
14. Con atto depositato presso la cancelleria del Tribunale il 18 agosto 2020, il ricorrente ha proposto un ricorso fondato sugli articoli 268 e 340 TFUE nonché sull’articolo 50, paragrafo 1, del regolamento Europol e volto ad ottenere il risarcimento dei danni morali che egli ritiene di avere subito a causa dei comportamenti dell’Europol. Egli ha chiesto, rispettivamente, un risarcimento pari a EUR 50 000 per il danno morale che avrebbe subito a causa della divulgazione di dati personali (primo capo della domanda) e un risarcimento dello stesso importo per il danno morale che avrebbe subito a causa dell’inclusione nelle «liste dei mafiosi» (secondo capo della domanda).
15. Il Tribunale ha respinto tale ricorso. Esso ha concluso, per quanto riguarda il primo capo della domanda, che il ricorrente non aveva fornito la prova di un nesso di causalità tra il danno asserito e il comportamento dell’Europol (7) e, per quanto riguarda il secondo capo della domanda, che il ricorrente non aveva fornito alcun elemento di prova idoneo a dimostrare che le «liste dei mafiosi» fossero state elaborate e conservate da un’istituzione dell’Unione e in particolare dall’Europol (8). Il Tribunale ha inoltre precisato, con riferimento ad entrambi i capi della domanda, che tali conclusioni non erano rimesse in discussione dal considerando 57 del regolamento Europol, né dall’articolo 49 o dall’articolo 50 di detto regolamento (9).
V. Procedimento dinanzi alla Corte e conclusioni delle parti
16. L’8 dicembre 2021 il ricorrente ha proposto un’impugnazione avverso la sentenza impugnata. Egli chiede che la Corte voglia annullare la sentenza impugnata e rinviare la causa dinanzi al Tribunale, nonché adottare una decisione sulle spese.
17. L’Europol, sostenuta dalla Repubblica slovacca in qualità di interveniente, chiede che la Corte voglia respingere l’impugnazione e condannare il ricorrente alle spese.
VI. Analisi
A. Sull’impugnazione
18. A sostegno della sua impugnazione, il ricorrente deduce sei motivi. I motivi dal primo al quarto riguardano il danno morale subito in conseguenza della divulgazione al pubblico di dati personali (primo capo della domanda in primo grado), mentre i motivi quinto e sesto riguardano il danno morale subito in conseguenza dell’inclusione del suo nome nelle «liste dei mafiosi» (secondo capo della domanda in primo grado) (10).
19. L’Europol eccepisce, innanzitutto, l’irricevibilità dei motivi primo e quinto, questione che occorre subito esaminare.
1. Sulla ricevibilità dei motivi primo e quinto, vertenti su errori relativi alla natura della responsabilità dell’Europol
20. L’Europol sostiene, in sostanza, che il primo e il quinto motivo, vertenti sul fatto che il Tribunale avrebbe commesso un errore di diritto laddove ha escluso la responsabilità solidale dell’Europol e dello Stato membro interessato per i danni subiti a causa di un trattamento illecito dei dati in conseguenza dell’azione dell’Europol o di tale Stato membro, sono stati sollevati, per la prima volta, nella fase della replica in primo grado. Si tratterebbe quindi di motivi nuovi dedotti in corso di causa e, di conseguenza, irricevibili (11).
21. Il ricorrente ribatte di avere dedotto tali argomenti nel ricorso in primo grado, laddove ha fatto riferimento al considerando 57 del regolamento Europol nonché all’articolo 50, paragrafi 1 e 2, del medesimo regolamento.
22. A questo proposito, rilevo che, nel ricorso, il ricorrente ha fatto valere la responsabilità dell’Europol ai sensi dell’articolo 49, paragrafo 3, e dell’articolo 50 del regolamento Europol nonché per rinvio al considerando 57 di detto regolamento, che egli ha richiamato integralmente. Nella replica, il ricorrente ha ulteriormente sostenuto tale argomento precisando che, se non fosse accertato che l’Europol era responsabile del comportamento contestato, essa sarebbe responsabile del danno cagionato in solido con lo Stato membro interessato.
23. In tali circostanze, ritengo che il ricorrente abbia sollevato un motivo vertente, in sostanza, sulla responsabilità solidale dell’Europol nel ricorso in primo grado e che, pertanto, i motivi di impugnazione primo e quinto siano ricevibili.
2. Sui motivi riguardanti il danno morale subito in conseguenza della divulgazione al pubblico di dati personali (primo capo della domanda in primo grado)
a) Sul primo motivo, vertente su un errore di diritto nella qualificazione della responsabilità dell’Europol per trattamento non corretto dei dati personali
24. Con il primo motivo, il ricorrente addebita al Tribunale, in sostanza, di avere escluso che l’Europol e lo Stato membro interessato fossero responsabili in solido dei danni derivanti da un trattamento illecito dei dati in violazione del carattere vincolante del considerando 57 del regolamento Europol.
25. Il ricorrente, pur riconoscendo che il testo dell’articolo 50, paragrafi 1 e 2, del regolamento Europol non contiene una disposizione espressa che preveda la responsabilità solidale dell’Europol e dello Stato membro interessato, considera che siffatta responsabilità risulta comunque da detta disposizione, interpretata alla luce del considerando 57 del menzionato regolamento.
26. A suo avviso, sotto un primo profilo, l’articolo 50, paragrafo 2, di tale regolamento, laddove prevede la risoluzione delle controversie tra l’Europol e lo Stato membro interessato, attraverso il consiglio di amministrazione dell’Europol, non potrebbe essere interpretato diversamente, salvo privare la disposizione in parola di ogni significato.
27. Sotto un secondo profilo, l’esistenza di una responsabilità solidale dell’Europol nel caso di specie si baserebbe del pari sull’obiettivo della normativa in questione, che deriva in particolare dal considerando 57 del regolamento Europol e che consisterebbe nella maggiore protezione della parte danneggiata (12).
28. Sotto un terzo profilo, i principi generali del diritto dell’Unione consentirebbero, in ogni caso, di dedurre una responsabilità solidale anche in assenza di norme espresse, alla luce dell’articolo 340 TFUE.
29. L’Europol, sostenuta dalla Repubblica slovacca, sottolinea, in via preliminare, che la responsabilità solidale dell’Unione e dello Stato membro interessato nel caso in cui agiscano congiuntamente non è riconosciuta, in linea di principio, nell’ambito dell’articolo 340, secondo comma, TFUE, ma richiede una menzione esplicita in tal senso da parte del legislatore dell’Unione.
30. In primo luogo, l’articolo 50 del regolamento Europol non sarebbe applicabile al trattamento di dati in discussione nel caso di specie, in quanto si applicherebbe esclusivamente ai trattamenti di dati effettuati nell’ambito delle operazioni e dei compiti dell’Europol.
31. In secondo luogo, tale disposizione si applicherebbe soltanto ai danni causati congiuntamente dall’Unione e da uno Stato membro e non potrebbe essere applicata in assenza di un comportamento illecito dell’Europol e senza che sia dimostrato un nesso di causalità.
32. In terzo luogo, anzitutto, il considerando 57 di tale regolamento, pur facendo riferimento alla responsabilità solidale, non avrebbe valore vincolante e non si applicherebbe nel caso di specie. Inoltre, la nozione di responsabilità solidale presupporrebbe che più entità siano responsabili dello stesso pregiudizio e non che un’entità la cui responsabilità non è stata dimostrata debba pagare un risarcimento. Infine, il ricorrente non avrebbe nemmeno intentato un’azione per responsabilità nei confronti dello Stato membro interessato (13).
33. Ricordo che, nella sentenza impugnata, il Tribunale ha dichiarato che l’articolo 49, paragrafo 3, e l’articolo 50, paragrafo 1, del regolamento Europol si limitano a precisare che l’Europol deve risarcire i danni causati dai suoi servizi o dal suo personale nell’esercizio delle loro funzioni, conformemente alle condizioni stabilite dall’articolo 340 TFUE, e che la condizione relativa al nesso di causalità non era soddisfatta (14). A questo proposito, se il considerando 57 di tale regolamento prevedesse un meccanismo di solidarietà, esso non troverebbe né espressione né fondamento nelle disposizioni del suddetto regolamento (15).
34. Per quanto riguarda la responsabilità extracontrattuale dell’Unione, occorre rilevare che, ai sensi dell’articolo 340, secondo comma, TFUE, «[i]n materia di responsabilità extracontrattuale, l’Unione deve risarcire, conformemente ai principi generali comuni ai diritti degli Stati membri, i danni cagionati dalle sue istituzioni o dai suoi agenti nell’esercizio delle loro funzioni» (16). Secondo una giurisprudenza costante della Corte, la responsabilità extracontrattuale dell’Unione ai sensi di tale disposizione richiede la compresenza di vari presupposti per quanto riguarda l’illegittimità del comportamento addebitato alle istituzioni, l’effettività del danno e l’esistenza di un nesso di causalità tra il comportamento e il danno invocato (17). Il carattere cumulativo di detti presupposti significa che, ove uno di essi non sia soddisfatto, la responsabilità extracontrattuale dell’Unione non può sorgere (18).
35. Per quanto riguarda, più in particolare, l’eventuale responsabilità solidale dell’Europol sul fondamento dell’articolo 50 del regolamento Europol, rilevo che, in linea di principio, la responsabilità solidale extracontrattuale implica che, qualora l’atto lesivo sia imputabile a più persone, esse sono tenute in solido al risarcimento del danno (19).
36. Secondo una giurisprudenza parimenti costante della Corte, quando si interpreta una disposizione del diritto dell’Unione occorre tenere conto non soltanto della formulazione di quest’ultima, ma anche del suo contesto e degli obiettivi che persegue l’atto di cui fa parte. Inoltre, anche la genesi di una disposizione del diritto dell’Unione può fornire elementi rilevanti per la sua interpretazione (20).
37. In primo luogo, per quanto riguarda la formulazione dell’articolo 50, paragrafo 1, del regolamento Europol, tale disposizione prevede, in sostanza, che la persona fisica che subisca un danno cagionato da un trattamento illecito dei dati ha il diritto di ottenere il risarcimento del danno dall’Europol, conformemente all’articolo 340 TFUE (dinanzi al giudice dell’Unione), o dallo Stato membro in cui si è verificato il fatto generatore del danno, conformemente al diritto nazionale (dinanzi all’autorità giurisdizionale nazionale competente).
38. Mi sembra che tale disposizione non conduca, solo sulla base della sua formulazione, ad un’interpretazione univoca quanto alla natura della responsabilità in questione.
39. Infatti, da un lato, l’impiego dell’espressione «da (...) o» non è concludente a tale riguardo (21). Detta espressione potrebbe anche indicare che la responsabilità dell’Europol è alternativa a quella dello Stato membro interessato o che il soggetto danneggiato può rivolgersi indifferentemente all’istituzione interessata o allo Stato membro interessato per l’intero danno.
40. Dall’altro lato, neppure il rinvio operato dalla medesima disposizione all’articolo 340 TFUE è concludente e, alla luce del rinvio effettuato da quest’ultima disposizione ai «principi generali comuni ai diritti degli Stati membri», comporta la necessità di un’interpretazione comparata, che effettuerò più avanti nel contesto dell’interpretazione teleologica della disposizione di cui trattasi (22).
41. In secondo luogo, per quanto riguarda il contesto in cui si inserisce l’articolo 50, paragrafo 1, del regolamento Europol, rilevo, anzitutto, che il considerando 56 del regolamento Europol precisa che l’Europol è soggetta alle norme generali sulla responsabilità contrattuale ed extracontrattuale applicabili alle istituzioni, alle agenzie e agli organismi dell’Unione, «ad eccezione delle norme sulla responsabilità per trattamento illecito dei dati». Per quanto riguarda tale trattamento illecito dei dati, il considerando 57 di detto regolamento non potrebbe essere più chiaro nell’enunciare che «è opportuno che Europol e lo Stato membro in cui si è verificato il fatto generatore del danno rispondano in solido», per il motivo che «per la persona interessata può non essere chiaro se il danno subito a seguito di un trattamento illecito dipenda dall’azione di Europol o di uno Stato membro».
42. È certamente vero che, come rammenta l’Europol, il preambolo di un atto dell’Unione non ha valore giuridico vincolante e non può essere fatto valere né per derogare alle disposizioni stesse dell’atto interessato né al fine di interpretare tali disposizioni in un senso manifestamente in contrasto con la loro formulazione (23). Tuttavia, al di là di questi limiti, i considerando costituiscono importanti elementi di interpretazione, che sono idonei a chiarire la volontà dell’autore di tale atto (24).
43. Pertanto, dal momento che l’intenzione del legislatore dell’Unione, espressa inequivocabilmente al considerando 57 del regolamento Europol, di favorire il soggetto danneggiato introducendo la responsabilità solidale dell’Europol e dello Stato membro interessato non è in contrasto con la formulazione dell’articolo 50 di tale regolamento, ne traggo la conclusione che detto articolo può (e deve) essere interpretato alla luce del menzionato considerando.
44. Tale conclusione è confermata dall’articolo 50, paragrafo 2, del regolamento Europol, secondo cui qualsiasi controversia tra quest’ultima e uno Stato membro in merito alla responsabilità finale del risarcimento corrisposto a una persona fisica ai sensi dell’articolo 50, paragrafo 1, di detto regolamento è sottoposta al consiglio di amministrazione dell’Europol.
45. Per quanto riguarda, poi, l’argomento dell’Europol secondo cui, in sostanza, le attività di prelievo e di decriptazione effettuate dalla stessa sui telefoni cellulari del ricorrente non rientrano nella nozione di «trattamento dei dati personali» ai sensi dell’articolo 50 del regolamento Europol, non vedo, e l’Europol non spiega, per quali ragioni le attività di decriptazione effettuate dall’Europol nel caso di specie non rientrerebbero nell’ambito della definizione di cui all’articolo 88, paragrafo 2, lettera a), TFUE, secondo la quale i compiti dell’Europol possono comprendere «la raccolta, l’archiviazione, il trattamento, l’analisi e lo scambio delle informazioni trasmesse, in particolare dalle autorità degli Stati membri o di paesi o organismi terzi» (25).
46. In terzo luogo, mi sembra evidente che, tra gli obiettivi del regolamento Europol, quest’ultimo, come risulta dal suo considerando 57, miri a facilitare, attraverso la responsabilità solidale dell’Europol e dello Stato membro interessato, la presentazione di un ricorso per risarcimento da parte del soggetto danneggiato da un trattamento non corretto dei dati. Tale posizione è confermata dalla genesi della disposizione di cui trattasi nonché da un’interpretazione comparata della stessa alla luce dei principi generali comuni ai diritti degli Stati membri.
47. A questo proposito, per quanto riguarda, anzitutto, la genesi dell’articolo 50 del regolamento Europol, rilevo che le formulazioni di detto articolo e del considerando 57 risultano, così come sono, dalla proposta iniziale della Commissione (26), il che rafforza l’interpretazione secondo cui l’articolo citato traspone l’intenzione del legislatore dell’Unione, espressa nel suddetto considerando, di introdurre una forma di responsabilità solidale dell’Europol e dello Stato membro interessato (27).
48. Inoltre, contrariamente all’argomento sostenuto dall’Europol, l’applicazione di tale disposizione non può essere limitata alla situazione di pregiudizio causato congiuntamente dall’Unione e da uno Stato membro, dato che, in una situazione del genere, spetta, a mio avviso, al giudice competente determinare la rispettiva responsabilità delle entità o delle persone che hanno cagionato il danno (28).
49. Per quanto riguarda, poi, l’interpretazione comparata dell’articolo 50, paragrafo 1, del regolamento Europol, ricordo che, ai sensi di tale disposizione, il soggetto danneggiato può far valere la responsabilità dell’Europol «conformemente all’articolo 340 TFUE», il quale, al secondo comma, rinvia ai principi generali comuni ai diritti degli Stati membri (29).
50. A questo proposito, mi sembra che vi sia una forma di convergenza degli ordinamenti giuridici degli Stati membri per quanto riguarda l’esistenza di una responsabilità solidale in situazioni nelle quali lo stesso danno sia imputabile a più persone (30). Peraltro, i principi di diritto europeo della responsabilità civile sono orientati nello stesso senso (31).
51. Inoltre, rilevo che il meccanismo di responsabilità solidale non è estraneo al diritto dell’Unione in materia di trattamento dei dati, posto che, in particolare, l’articolo 82, paragrafo 4, del regolamento 2016/679 introduce una responsabilità siffatta quando più titolari siano coinvolti nello stesso trattamento (32).
52. Tale conclusione non è rimessa in discussione dal principio giurisprudenziale secondo cui, in situazioni di responsabilità concorrente dell’Unione e di uno Stato membro, i singoli asseritamente lesi devono anzitutto adire i giudici nazionali (33). Infatti, se detto principio si applica a situazioni di responsabilità congiunta, la sua applicazione a situazioni di responsabilità solidale svuoterebbe quest’ultima di ogni effetto utile.
53. In conclusione, ritengo che il Tribunale sia incorso in un errore di diritto nell’escludere che l’articolo 50, paragrafo 1, del regolamento Europol, interpretato alla luce del considerando 57 di tale regolamento, introduca un regime di responsabilità solidale dell’Europol e dello Stato membro interessato per i danni subiti a causa di un trattamento illecito dei dati in conseguenza dell’azione dell’Europol o di tale Stato membro.
54. Propongo pertanto di accogliere il primo motivo di impugnazione.
55. Di conseguenza, occorrerebbe annullare la sentenza impugnata nella parte in cui ha escluso qualsiasi nesso di causalità tra il danno asserito dal ricorrente e un eventuale comportamento dell’Europol per il solo motivo che, durante un certo periodo, sia l’Europol sia le autorità slovacche erano state in possesso dei dati contenuti nei telefoni cellulari in questione.
56. Ciò premesso, rilevo che, affinché l’Europol possa essere ritenuta responsabile in solido del danno asserito, occorre ancora accertare, in particolare, l’esistenza di un nesso di causalità tra il comportamento asserito e tale danno (34). Infatti, l’esistenza di una responsabilità solidale presuppone che i diversi fatti generatori del danno siano tali da provocare il danno asserito, a prescindere da quale sia la violazione che ha costituito la causa immediata e determinante dell’evento (35).
57. Orbene, è certamente vero che l’esistenza di tale nesso di causalità nel caso di specie costituisce il filo conduttore degli argomenti svolti nell’ambito dei motivi di impugnazione dal secondo al quarto e sesto.
58. Tuttavia, dal momento che, nella sentenza impugnata, il Tribunale si è limitato, in sostanza, a pronunciarsi sull’assenza di un nesso di causalità «esclusivo» tra il comportamento dell’Europol e il danno asserito, e tale analisi non consente di valutare l’esistenza di un nesso di causalità come richiesto in una situazione di responsabilità solidale, ritengo che, qualora la Corte accettasse la mia proposta di accogliere il primo motivo, occorrerebbe annullare la sentenza impugnata e rinviare la causa al Tribunale, per quanto riguarda il primo capo della domanda in primo grado, affinché si pronunci sulla questione relativa al nesso di causalità nell’ambito della responsabilità solidale, nonché, se del caso, sulle altre condizioni alle quali è subordinata la responsabilità extracontrattuale dell’Unione e delle sue istituzioni o dei suoi organi (36).
59. Tuttavia, per l’ipotesi in cui la Corte non condividesse la soluzione da me proposta, nel prosieguo esaminerò anche gli altri motivi di impugnazione (37).
b) Sul secondo motivo, vertente su un errore nell’interpretazione del diritto nazionale che disciplina il contenuto di un fascicolo di indagine
60. Con il secondo motivo, il ricorrente sostiene che, in violazione delle norme nazionali che specificano il contenuto di un fascicolo di indagine (38), il verbale del 23 ottobre 2018 non faceva parte del fascicolo di indagine che lo riguardava, il che ne pregiudicherebbe quindi l’attendibilità.
61. Nella sentenza impugnata, il Tribunale si è basato sul verbale del 23 ottobre 2018 per concludere che, a decorrere da tale data, l’Europol non era l’unica entità in possesso dei dati contenuti nei telefoni cellulari di cui trattasi, in quanto anche le autorità slovacche disponevano di detti dati (39).
62. In risposta alla contestazione del ricorrente in merito all’autenticità del verbale in parola, il Tribunale ha dichiarato che l’eventuale mancato inserimento di tale documento nel fascicolo di un procedimento penale non può, di per sé, avere conseguenze sulla sua autenticità e che il ricorrente non aveva sostenuto in alcun modo che il suddetto verbale fosse stato alterato (40).
63. A questo proposito, mi sembra che l’argomento del ricorrente, per quanto attiene all’eventuale violazione delle norme nazionali relative al contenuto del fascicolo – che peraltro non riguardano l’autenticità dei documenti ivi contenuti – sia inoperante, in quanto non è sufficiente a dimostrare che il Tribunale abbia commesso un errore nella valutazione della validità del verbale del 23 ottobre 2018, né tanto meno che esso abbia snaturato tale elemento di prova omettendo di tenere conto della normativa nazionale fatta valere dal ricorrente in primo grado. Infatti, occorre distinguere tra, da un lato, l’eventuale non conformità di detto verbale alle norme nazionali relative al contenuto del fascicolo, che pregiudicherebbe, se del caso, la validità del menzionato verbale in quanto elemento di detto fascicolo (41), e, dall’altro, l’esistenza (e quindi l’autenticità) del medesimo verbale e il suo eventuale valore probatorio nell’ambito del presente procedimento.
64. Analogamente, considerato il carattere manifestamente irrilevante della normativa nazionale invocata dal ricorrente al fine di inficiare il valore probatorio del verbale di cui trattasi, non può essere accolto l’argomento basato su una carenza di motivazione della sentenza impugnata a tale proposito, sollevato dal ricorrente.
65. Propongo pertanto respingere il secondo motivo di impugnazione.
c) Sul terzo motivo, vertente su errori di fatto nella valutazione del nesso di causalità, per quanto riguarda il primo capo della domanda in primo grado
66. Con il terzo motivo, il ricorrente sostiene, in primo luogo, che dal verbale del 23 ottobre 2018 (la cui autenticità è peraltro contestata) costituisce solo prova della trasmissione di «risultati provvisori» sotto forma di acquisizioni e di estrazioni dei dati, il che non dimostra che siano state trasmesse anche le «comunicazioni» oggetto del presente procedimento (42).
67. A questo proposito, rilevo che, al punto 68 della sentenza impugnata, il Tribunale ha concluso che, alla data del suddetto verbale, l’Europol non era più l’unica entità detentrice dei dati controversi, i quali erano accessibili alle autorità slovacche a partire da tale data (43).
68. Orbene, mi sembra che i dubbi sollevati dal ricorrente riguardo al contenuto esatto dei dati trasmessi dall’Europol alle autorità slovacche e il suo disaccordo rispetto all’interpretazione data dal Tribunale all’espressione «risultati preliminari» contenuta nel verbale del 23 ottobre 2018 non siano sufficienti a dimostrare l’esistenza di errori di fatto o di valutazione che comportino uno snaturamento degli elementi di prova da parte del Tribunale.
69. In secondo luogo, il ricorrente deduce che il Tribunale non ha accertato che l’Europol non abbia mai avuto a sua disposizione le comunicazioni controverse in forma decriptata (44), che anche una fuga di dati in forma criptata avrebbe potuto causare il presunto danno, dopo la decriptazione da parte di un terzo non autorizzato (45), e che, nel caso di specie, la decriptazione sarebbe stata particolarmente facile in considerazione del fatto che l’Europol aveva già estratto i file con le relative password.
70. Orbene, se è pur vero che non si può escludere, come afferma il ricorrente, che i dati controversi possano essere trapelati anche in forma criptata, il ricorrente non ha presentato alcun elemento o indizio tale da far supporre che una simile fuga di dati si sia verificata mentre i telefoni cellulari di cui trattasi erano a disposizione dell’Europol (46), né tanto meno che la valutazione del Tribunale, secondo la quale i dati criptati non sono stati all’origine della fuga delle comunicazioni controverse, sia viziata da uno snaturamento degli elementi di prova (47).
71. In terzo luogo, il ricorrente ribadisce l’affermazione secondo cui il verbale del 23 ottobre 2018 sarebbe stato retrodatato, respinta dal Tribunale in quanto non corredata da alcun principio di prova (48), senza fornire ulteriori elementi dai quali possa dedursi che il Tribunale ha proceduto a uno snaturamento dei fatti (49).
72. In quarto luogo, il ricorrente aggiunge che i telefoni cellulari in questione erano stati consegnati ai fini dell’acquisizione e dell’estrazione senza il previo consenso di un giudice o di un organo amministrativo indipendente, il che dimostrerebbe l’esistenza di un nesso di causalità.
73. A questo proposito, mi è difficile immaginare come un’eventuale violazione delle norme in materia di acquisizione e di estrazione dei dati controversi possa, di per sé, dimostrare l’esistenza di un nesso fra detta acquisizione o estrazione e il fatto che tali dati sono diventati di pubblico dominio (50).
74. Infatti, la circostanza che i dati controversi siano stati trasmessi dall’Europol alle autorità slovacche è sufficiente, a mio avviso, ad interrompere il nesso di causalità «esclusivo» tra la fuga di tali dati e il comportamento dell’Europol, indipendentemente dal fatto che anche quest’ultima disponesse di detti dati in forma criptata o decriptata e dal livello dell’eventuale decriptazione (51).
75. Propongo pertanto di respingere il terzo motivo di impugnazione.
d) Sul quarto motivo, vertente su una carenza di motivazione e su errori di diritto per quanto riguarda l’amministrazione della prova, sullo snaturamento degli elementi di prova e sulla violazione dei diritti della difesa
76. Con la prima parte del quarto motivo, il ricorrente addebita al Tribunale di non avere motivato la sua conclusione secondo cui non si può ritenere che l’articolo 50, paragrafi 1 e 2, del regolamento Europol fondi una responsabilità solidale e di avere violato le norme in materia di onere della prova.
77. Orbene, dall’analisi effettuata ai paragrafi da 24 a 53 delle presenti conclusioni risulta che la motivazione del Tribunale ha consentito al ricorrente di comprendere le ragioni per le quali esso ha ritenuto che l’articolo 50 del regolamento Europol non fondasse una responsabilità solidale e di formulare i suoi argomenti contro di esse. Esso permette inoltre alla Corte, a mio avviso, di esercitare il suo controllo giurisdizionale.
78. Con la seconda parte del quarto motivo, il ricorrente sostiene, in sostanza, che il Tribunale ha invertito l’onere della prova ponendo a suo carico in primo grado l’onere di dimostrare che fossero trapelate informazioni dai servizi dell’Europol.
79. Nella sentenza impugnata, il Tribunale ha concluso che il ricorrente non aveva fornito la prova di un nesso di causalità tra il danno asserito e un eventuale comportamento dell’Europol e che ciò era sufficiente per escludere qualsiasi responsabilità di quest’ultima ai sensi dell’articolo 340 TFUE.
80. Orbene, a mio avviso, la valutazione del Tribunale è stata effettuata, in linea di principio, correttamente, alla luce di una giurisprudenza costante secondo cui spetta alla parte che adduce la responsabilità extracontrattuale dell’Unione fornire prove concludenti dell’esistenza di un nesso sufficientemente diretto di causa ed effetto tra il comportamento dell’istituzione in questione e il danno asserito (52).
81. Con la terza parte del quarto motivo, il ricorrente addebita al Tribunale di non avere preso in considerazione come elemento di prova il fascicolo di indagine penale nazionale che lo riguarda e il decreto del Ministero della Giustizia slovacco (53), che stabilisce il contenuto di tale fascicolo. In sostanza, il ricorrente ribadisce l’argomento dedotto nell’ambito del secondo motivo, secondo cui il verbale del 23 ottobre 2018 dovrebbe figurare nel fascicolo di indagine penale che lo riguarda, conformemente alle prescrizioni di tale decreto.
82. A questo proposito, è sufficiente ricordare che, come ho rilevato nell’ambito dell’analisi del secondo motivo, l’argomento del ricorrente vertente sull’eventuale violazione delle norme nazionali relative al contenuto del fascicolo non è pertinente, in quanto un’eventuale carenza di conformità di detto verbale alle norme nazionali relative al contenuto del fascicolo non inficerebbe il valore probatorio del verbale in parola nel contesto del presente procedimento (54).
83. Per quanto riguarda l’argomento secondo cui il fatto che l’Europol abbia allegato solo una fotografia del verbale del 23 ottobre 2018 dimostrerebbe che quest’ultima non disponeva di tale verbale e l’avrebbe ottenuto dalle autorità slovacche nell’ambito del procedimento giurisdizionale, è giocoforza constatare che si tratta, come chiarito dal ricorrente, di una «convinzione» del suo avvocato, che non è suffragata da alcun indizio o elemento o prova (55).
84. Con la quarta parte del quarto motivo, il ricorrente addebita al Tribunale di avere violato i suoi diritti della difesa, per il motivo che egli non ha potuto esprimersi, all’udienza di discussione del 30 giugno 2021, sulla retrodatazione del verbale del 23 ottobre 2018. Senza precisarlo espressamente, egli sembra evocare una violazione del principio del contraddittorio.
85. Tuttavia, il ricorrente non spiega quali siano gli argomenti e gli elementi che egli avrebbe potuto far valere se i suoi diritti della difesa fossero stati rispettati né che, in assenza della presunta violazione del principio del contraddittorio, i suoi argomenti avrebbero potuto modificare l’esito della controversia (56).
86. Inoltre, ai punti da 74 a 78 della sentenza impugnata, il Tribunale si è pronunciato sugli argomenti del ricorrente relativi a tale presunta retrodatazione, osservando in particolare che detti argomenti non erano supportati da alcun principio di prova e che il ricorrente non aveva affermato, in fase di replica, che il verbale del 23 ottobre 2018 o la sua copia fossero stati alterati.
87. Infatti, il ricorrente si limita a rilevare che si ignora, ad oggi, dove si trovi l’esemplare originale del verbale del 23 ottobre 2018, che esso non figura nel fascicolo giudiziario della causa da cui si presume provenga e che dai documenti di un altro procedimento penale risulta che esistono almeno due distinti esemplari di detto verbale.
88. A questo proposito, occorre rilevare che, secondo il principio del libero apprezzamento della prova, sancito dalla giurisprudenza della Corte, la determinazione del valore probatorio degli elementi di prova è lasciata al potere discrezionale del Tribunale (57), fatto salvo lo snaturamento di tali elementi di prova, che, secondo una giurisprudenza costante della Corte, deve emergere in modo manifesto dagli atti di causa, senza che sia necessario procedere a una nuova valutazione dei fatti e delle prove (58), circostanza che non mi sembra ricorrere nel caso di specie.
89. Propongo pertanto di respingere il quarto motivo di impugnazione.
3. Sui motivi riguardanti il danno morale subito in conseguenza dell’inclusione del nome del ricorrente nelle «liste dei mafiosi» (secondo capo della domanda in primo grado)
a) Sul quinto motivo, vertente su un errore di diritto nella qualificazione della responsabilità dell’Europol per trattamento non corretto dei dati personali
90. Con il quinto motivo, che rinvia integralmente al primo motivo, il ricorrente addebita al Tribunale, in sostanza, di avere escluso che l’Europol e lo Stato membro interessato fossero responsabili in solido dei danni derivanti da un trattamento illecito dei dati, in violazione del carattere vincolante del considerando 57 del regolamento Europol.
91. Come risulta dall’analisi relativa al primo motivo (59), il Tribunale è incorso in un errore di diritto in quanto ha escluso che l’articolo 50, paragrafo 1, del regolamento Europol, interpretato alla luce del considerando 57 di detto regolamento, introduca un regime di responsabilità solidale tra l’Europol e lo Stato membro interessato per i danni subiti a causa di un trattamento illecito dei dati da parte dell’Europol o di tale Stato membro.
92. Ciò premesso, osservo che, per quanto riguarda il secondo capo della domanda, il Tribunale ha concluso, al punto 102 della sentenza impugnata, che il ricorrente non aveva fornito alcun elemento di prova idoneo a dimostrare che le «liste dei mafiosi» nelle quali sarebbe stato incluso il suo nome siano state elaborate e conservate da un’istituzione dell’Unione e in particolare dall’Europol.
93. A mio avviso, l’errore di diritto commesso dal Tribunale non è tale da rimettere in discussione questa constatazione, nella misura in cui essa non è rimessa in questione dagli argomenti dedotti nell’ambito del sesto motivo, come esporrò di seguito.
94. In tali circostanze, propongo di respingere il quinto motivo di impugnazione in quanto inoperante.
b) Sul sesto motivo, vertente su errori di fatto nella valutazione del nesso di causalità per quanto riguarda il secondo capo della domanda in primo grado
95. Con il sesto motivo, il ricorrente sostiene, in sostanza, che nulla consentiva all’Europol di stabilire un nesso tra lui e le cosiddette «liste dei mafiosi».
96. Tuttavia, come rilevato dal Tribunale, l’Europol, nella sua relazione del 13 gennaio 2019 (60), si è limitata ad indicare che il nome del ricorrente era, tra altri, «direttamente collegato alle cosiddette liste mafiose e ai Panama Papers», senza includerlo in alcuna lista, e aveva constatato che alcuni articoli di stampa precedenti a detta relazione avevano già menzionato possibili implicazioni mafiose del ricorrente (61).
97. Questa conclusione non è rimessa in discussione dagli argomenti del ricorrente, che si limitano, in sostanza, a far valere che l’Europol non ha spiegato per quale motivo essa avesse stabilito un nesso tra il ricorrente e le «liste dei mafiosi» e che, con tale comportamento, essa aveva violato il principio di proporzionalità, dato che il «diritto di conservare le liste di mafiosi» non ha alcun fondamento nel diritto nazionale o dell’Unione.
98. Infatti, con tali argomenti, il ricorrente muove dalla premessa, non dimostrata, che l’Europol l’abbia effettivamente incluso in dette «liste di mafiosi», senza rimettere in discussione la conclusione del Tribunale contenuta nel punto 102 della sentenza impugnata, secondo cui egli non aveva fornito alcun elemento di prova idoneo a dimostrare che le «liste dei mafiosi» nelle quali sarebbe stato incluso il suo nome siano state elaborate e conservate da un’istituzione dell’Unione e, in particolare, dall’Europol.
99. Propongo pertanto di respingere il sesto motivo di impugnazione e, di conseguenza, di respingere l’impugnazione per quanto riguarda i motivi vertenti sul secondo capo della domanda in primo grado.
B. Sul ricorso in primo grado
100. Come risulta dall’analisi che precede, propongo di annullare la sentenza impugnata per quanto riguarda il primo capo della domanda in primo grado e di respingere l’impugnazione per quanto riguarda il secondo capo della domanda in primo grado.
101. A norma dell’articolo 61 dello Statuto della Corte di giustizia dell’Unione europea, quando quest’ultima annulla la decisione del Tribunale, essa può statuire definitivamente sulla controversia qualora lo stato degli atti lo consenta.
102. Ritengo che tale ipotesi ricorra nel presente procedimento.
103. Infatti, sono dell’avviso che l’errore di diritto commesso dal Tribunale in quanto ha negato l’esistenza di una responsabilità solidale dell’Europol e dello Stato membro interessato per i danni subiti a causa di un trattamento illecito dei dati in conseguenza dell’azione dell’Europol o di tale Stato membro implichi una nuova valutazione fattuale del Tribunale relativa all’esistenza di un nesso di causalità tra il comportamento dell’Europol e il pregiudizio asserito dal ricorrente (62) e, se del caso, alle altre condizioni cui è subordinata la responsabilità extracontrattuale dell’Unione e delle sue istituzioni o dei suoi organi (63).
C. Sulle spese
104. Dal momento che propongo di rinviare la causa dinanzi al Tribunale, occorre, conformemente all’articolo 137 del regolamento di procedura della Corte, applicabile al procedimento di impugnazione in forza dell’articolo 184, paragrafo 1, di tale regolamento, riservare la decisione sulle spese delle parti relative al procedimento di impugnazione.
VII. Conclusione
105. Alla luce delle considerazioni che precedono, propongo alla Corte:
– di annullare la sentenza del Tribunale dell’Unione europea del 29 settembre 2021, Kočner/Europol (T‑528/20, non pubblicata, EU:T:2021:631), per quanto riguarda il primo capo della domanda;
– di rinviare la causa al Tribunale affinché statuisca nel merito sul primo capo della domanda;
– di respingere l’impugnazione per il resto;
– di riservare le spese.