La sentenza OC c. Commissione europea (C-479/22 P), datata 7 marzo 2024, riguarda il ricorso proposto da OC avverso la sentenza del Tribunale dell’Unione Europea del 4 maggio 2022 circa la pubblicazione di un comunicato stampa da parte dell’Ufficio europeo per la lotta antifrode (OLAF) ritenuto in violazione delle norme a tutela della riservatezza, del diritto ad una buona amministrazione e del principio della presunzione di innocenza
Fatti
La ricorrente è una ricercatrice universitaria greca la quale nel 2007 presenta un progetto di ricerca al Consiglio europeo della ricerca, ottenendo una convenzione di sovvenzione pari a 1.128.400 euro. Il progetto si conclude nel 2013 e la ricorrente richiede la copertura delle spese sostenute, pari a 1.116.189 euro.
La copertura avviene ma poco dopo l’OLAF avvia un’indagine di accertamento circa la sussistenza di uno schema criminoso, pubblicando online il comunicato stampa n. 13/2020 dove erano descritte le condotte fraudolente della ricorrente senza mai nominarla ma fornendo una serie di dati relativi a genere, cittadinanza, professione, istituto di appartenenza, giovane età, ruolo nel progetto di ricerca, importo della sovvenzione, organismo concedente, riferimento al padre.
Incrociando questi dati un giornalista investigativo tedesco riesce ad identificare la ricorrente, la quale quindi adisce il Tribunale dell’Unione sulla base dell’art. 268 TFUE, contestando il trattamento illecito dei propri dati personali e la diffusione di false informazioni sul proprio conto a causa del comunicato stampa dell’OLAF.
Il Tribunale respinge integralmente il ricorso e condanna la ricorrente alle spese, ritenendo in particolare che essa non aveva dimostrato che il comunicato stampa avrebbe permesso, di per sé e con mezzi ragionevolmente utilizzabili, la sua identificazione, secondo quanto richiesto dal Reg. 2018/1725 a tutela dei dati personali oggetto di trattamento da parte di istituzioni dell’Unione.
Ricorso e problemi di diritto
La ricorrente impugna la sentenza del Tribunale (T-384/20) dinanzi alla CGUE e a sostegno del proprio ricorso deduce tre motivi, il primo dei quali riguarda l’erronea interpretazione del concetto di persona fisica identificabile ai sensi dell’art. 3, punto 1 Reg. 2018/1725. La ricorrente sostiene che l’identificabilità della persona fisica può derivare non soltanto dalle informazioni contenute nel comunicato stampa ma anche da elementi esterni e aggiuntivi ad esso. La ricorrente sostiene inoltre che l’identificabilità è tale non solo se è accertabile da un c.d. lettore medio privo di elementi esterni, ma da qualsiasi soggetto diverso dal titolare del trattamento, compreso il giornalista tedesco. La ricorrente sostiene infine che il Reg. 2018/1725 prevede che i mezzi impiegati ai fini dell’identificazione non devono essere necessariamente minimi o irrilevanti, ma devono essere considerati di volta in volta i costi e il tempo. Perciò, secondo la ricorrente il Reg. 2018/1725 è applicabile al caso di specie e il trattamento dei dati di cui al comunicato stampa dell’OLAF deve essere considerato illecito.
Il secondo motivo di ricorso riguarda la violazione del principio di presunzione d’innocenza di cui all’art. 48, par. 1 CDFUE e all’art. 9, par. 1 Reg. 883/2013 relativo alle procedure di indagine dell’OLAF, in combinato con l’art. 6, par. 2 CEDU. In base a quanto sopra, in particolare, la ricorrente sostiene la violazione del principio da parte dell’OLAF.
Il terzo motivo di ricorso riguarda la violazione del diritto ad un buon andamento dell’amministrazione di cui all’art. 41 CDFUE. Su questo punto, la ricorrente sostiene la violazione del diritto a causa della diffusione di informazioni inesatte all’interno del comunicato stampa dell’OLAF, relative in particolare all’asserita ignoranza dello schema criminoso dei ricercatori coinvolti nel progetto di ricerca e ai tentativi di ostruzionismo delle indagini da parte della ricorrente.
Ragionamento della Corte
La CGUE accoglie il ricorso e ragiona sui motivi di esso, partendo dall’erronea interpretazione del concetto di persona fisica identificabile ex art. 3, punto 1 Reg. 2018/1725. La Corte critica l’interpretazione restrittiva del Tribunale e chiarisce che l’identificabilità non dipende soltanto dalle informazioni contenute nel comunicato stampa, ma anche da informazioni esterne ad esso, come affermato nel caso Breyer. Per la Corte è possibile, dunque, un’identificazione non solo diretta ma indiretta della persona fisica e a questa conclusione perviene richiamando anche il GDPR ed evidenziando che tale regolamento deve essere interpretato in combinato con il Reg. 2018/1725.
Per quanto riguarda i mezzi impiegati ai fini dell’identificazione, la Corte afferma che, conformemente con il considerando 26 del GDPR, occorre considerare tutti i mezzi di cui un soggetto diverso dal titolare del trattamento può ragionevolmente avvalersi, comprese informazioni supplementari provenienti in modo non fraudolento da terzi. La Corte, in particolare, afferma al par. 55 della sentenza quanto segue: «A quest’ultimo riguardo, come risulta dalle considerazioni di cui hai punti 48 e 51 della presente sentenza, è inerente all’identificazione indiretta di una persona il fatto che le informazioni aggiuntive debbano essere combinate con i dati in questione ai fini dell’identificazione dell’interessato. Ne risulta altresì che il fatto che tali informazioni aggiuntive dipendano da una persona o fonte diversa da quella del titolare del trattamento dei dati di cui trattasi non esclude in alcun modo, contrariamente a quanto dichiarato dal Tribunale ai punti 49 e 87 della sentenza impugnata, il carattere identificabile di una persona».
Su questa linea, rigettando l’idea di lettore medio, la Corte precisa che l’identificazione indiretta deve comunque essere agevole e non dispendiosa, soprattutto in riferimento alle persone che lavorano nello stesso settore professionale dell’interessato e ai giornalisti. Nel caso di specie, il fatto che un giornalista investigativo sia riuscito a risalire alla ricorrente dimostra l’agevolezza della sua identificazione. Ciò ancor più considerando che, tramite una semplice ricerca sul sito internet dell’ente finanziatore della ricerca, era rinvenibile il nome del responsabile del progetto, l’istituto ospitante e l’importo della sovvenzione controversa. Su queste basi, la Corte conclude che le informazioni contenute nel comunicato stampa dell’OLAF sono qualificabili come dato personale ai sensi dell’art. 3, punto 1 del Reg. 2018/1725 e che di conseguenza il regolamento di specie deve essere applicato.
Giunta a questo punto, la Corte si concentra sulla violazione del principio di presunzione d’innocenza di cui all’art. 48, par. 1 CDFUE e all’art. 9, par. 1 Reg. 883/2013 relativo alle procedure di indagine dell’OLAF, in combinato con l’art. 6, par. 2 CEDU. La Corte accoglie questo secondo motivo di ricorso riconoscendo che il Tribunale, avendo commesso un errore di diritto nello statuire che la ricorrente non era identificabile, ha conseguentemente commesso un errore nell’impedire alla ricorrente di dimostrare una lesione del principio di specie.
In conclusione, la Corte esamina l’asserita violazione del diritto ad un buon andamento dell’amministrazione ex art. 41 CDFUE. La Corte accoglie solo parzialmente questo motivo di ricorso, riscontrando uno snaturamento degli elementi di prova da parte del Tribunale in relazione all’affermazione contenuta nel comunicato stampa dell’OLAF circa la ignoranza del progetto dei ricercatori coinvolti e non anche circa i tentativi di ostruzionismo delle indagini, i quali appaiono accertati nella relazione finale dell’OLAF.
Sulla base di quanto sopra, la Corte annulla la sentenza del Tribunale nella parte in cui, con essa, il Tribunale ha respinto le conclusioni del ricorso dirette a risarcire il danno ex art. 268 TFUE per violazione da parte dell’OLAF degli obblighi ad esso incombenti in forza del Reg. 2018/1725, del principio della presunzione d’innocenza e del diritto ad un buon andamento dell’amministrazione. La Corte, dunque, rinvia la causa al Tribunale per una nuova pronuncia conforme all’interpretazione data.
Commento
Il caso OC richiama alcuni casi quali Volker, Digital Rights Ireland, Google Spain, in cui la CGUE ha esaminato il diritto alla protezione dei dati personali, incardinato agli artt. 7 e 8 CDFUE[1]. Il caso di specie si inserisce in questo filone giurisprudenziale ma non richiama gli articoli citati, soffermandosi invece sul diritto ad un buon andamento dell’amministrazione e sul principio di presunzione di innocenza di cui alla CDFUE ed applicando alla parte sulla tutela dei dati personali il Reg. 2018/1725 e il GDPR.
Nel caso di specie, la Corte è in grado di sganciarsi dall’interpretazione restrittiva del Tribunale e di precedenti sentenze come SRB c. EDPS[2] e di affermare una tutela più ampia della ricorrente, ampliando la nozione di dato personale alle informazioni esterne alla fonte considerata che consentano l’identificazione indiretta della persona fisica e non solamente diretta[3]. Il conseguente rigetto della nozione di lettore medio, ricavata dall’ambito consumeristico e in particolare dall’opinione dell’Avvocato generale Szpunak nel caso Planet 49 (par. 113), è posto in relazione alla nozione di mezzi ragionevolmente impiegabili dal soggetto identificante, intesi come mezzi che non richiedano costi e tempi eccessivi.
L’approccio estensivo della Corte rispetto alla nozione di dato personale, in continuità con il richiamato caso Breyer, non risulta eccessivamente ampio in quanto pare accogliere il suggerimento dell’avvocato generale Bobek in C-245/20 (par. 58), evitando di configurare il GDPR e il Reg. 2018/1725 come law of everything e definendone invece in maniera concreta lo scopo[4]. In un certo senso, la Corte impiega un ragionamento proporzionalistico, benché non formalmente applicando il test di proporzionalità, e delinea con questo il concetto di ragionevolezza dei mezzi di identificazione[5]. Tutto ciò consente alla Corte di accordare alla ricorrente tutela ex art. 48, par. 1 CDFUE in tema di principio di innocenza ed ex art. 41 CDFUE sul diritto ad un buon andamento dell’amministrazione.
Questo approccio estensivo si pone in linea con il caso IAB Europe (C-604/22) su cui la Corte si è espressa il 7 marzo 2024, lo stesso giorno della sentenza in esame, impiegando argomentazioni simili, quasi ad inaugurare una nuova corrente interpretativa della nozione di dato personale. Siffatto giudizio va tuttavia contestualizzato e bilanciato con la constatazione che le sentenze OC e IAB Europe, se è vero che limitano l’approccio relativo della Corte e del Tribunale in particolare, tuttavia non lo escludono del tutto[6].
In conclusione, il caso OC è apprezzabile in sé in quanto afferma l’identificabilità indiretta, oltre che diretta, della persona fisica i cui dati siano oggetto di trattamento, ampliando in maniera obiettiva la nozione di dato personale di cui al GDPR e al Reg. 2018/1725 e delineando pertanto un’importante impostazione interpretativa in materia di tutela dei dati personali.
[1] E. Gibson, Introductory Note to Digital Rights Ireland LTD. V. Minister for Communications & Google Spain SL v. Agencia Española de Protección de Datos (C.J.E.U.), in International Legal Materials, 5/2014, pp. 889 ss.
[2] D. Spajić, Anonymous vs. pseudonymous data: CJEU reaffirms the relative approach to the concept of personal data, 2023, https://www.law.kuleuven.be/citip/blog/anonymous-vs-pseudonymous-data-the-cjeu-reaffirms-the-relative-approach-to-the-concept-of-personal-data/, consultato in data 11/04/2025; A. LODIE, Are personal data always personal? Case T-557/20 SRB v. EDPS or when the qualification of data depends on who holds them, 2023, https://www.openlegalblogarchive.org/2023/11/06/are-personal-data-always-personal-case-t-557-20-srb-v-edps-or-when-the-qualification-of-data-depends-on-who-holds-them/, consultato in data 11/04/2025.
[3] A. Lodie, Case C-479/22 P, Case C-604/22 and the limitation of the relative approach of the definition of ‘personal data’ by the ECJ, 2024, https://halscience/hal-04609263/document, consultato in data 11/04/2025.
[4] T. Cabral, S. Hassel, T-384/20 OC v European Commission: The General Court Falls out of Line on Personal Data, 2022, https://www.europeanlawblog.eu/pub/t-384-20-oc-v-european-commission-the-general-court-falls-out-of-line-on-personal-data/release/1, consultato in data 15/04/2025.
[5] Qui, se si vuole, si può leggere un richiamo tacito ai casi Volker, Digital Rights Ireland e Google Spain, in cui tuttavia i parametri impiegati dalla Corte sono diversi e il test di proporzionalità viene effettivamente applicato, v. E. Gibson, Introductory Note, cit.
[6] A. Lodie, Case C-479/22 P, Case C-604/22 and the limitation of the relative approach, cit.
