Fons Iuris
Torna alla ricerca
Corte di giustizia UEsentenzaSezione I

Corte di giustizia UE n. 2018/2025

ECLI:EU:T:2025:4
Testo integrale del provvedimento

Testo integrale del provvedimento

62022TJ0354_RES

[OSCURATO:PERSONA]311/22

[OSCURATO:PERSONA]

contro [OSCURATO:PERSONA] europea Sentenza (Sesta Sezione ampliata) dell’8 gennaio 2025 «Trattamento dei dati personali – Tutela delle persone fisiche rispetto al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione – Regolamento (UE) 2018/1725 – Nozione di “trasferimento di dati personali verso un paese terzo” – Trasferimento di dati in occasione della consultazione di un sito Internet – [OSCURATO:PERSONA] – Ricorso di annullamento – Atto non impugnabile – Irricevibilità – Ricorso per carenza – Presa di posizione che pone fine alla carenza – Non luogo a statuire – Ricorso per risarcimento danni – Violazione sufficientemente qualificata di una norma giuridica che conferisce diritti ai singoli – Nesso causale – Danno morale» Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti –Operazioni che possono comportare un trasferimento di dati personali verso un paese terzo – Esclusione (Art. 263 TFUE; regolamento del Parlamento europeo e del Consiglio n. 2018/1725, considerando 79 e artt. 2, §5, 3, punto 3, e 64, § 1) (v. punti 22-25, 30-34) Ricorso per risarcimento danni – Autonomia rispetto ai ricorsi di annullamento e per carenza – Irricevibilità del ricorso di annullamento e non luogo a statuire sul ricorso per carenza – Domanda di risarcimento che non mira al medesimo risultato del ricorso di annullamento – Ricevibilità (Artt. 263, 265 e 340, comma 2, TFUE) (v. punti 35, 43, 56, 57) Responsabilità extracontrattuale – Presupposti – Danno effettivo e certo provocato da un atto illegittimo – Danno morale causato dall'inosservanza del termine per informare il richiedente dei motivi dell'inerzia del titolare del trattamento – Esclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio n. 2018/1725, art. 14, §§ 4 e 65) (v. punti 77-80, 83-85) Istituzioni dell’Unione europea – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2018/1725 – Trasferimento di dati personali verso paesi terzi – Nozione – Trasferimento di tali dati a un destinatario stabilito nell'Unione in occasione della consultazione di un sito web – Esclusione (Regolamento del Parlamento europeo e del Consiglio 2018/1725, considerando 63 e art. 3, §§ 1 e 46) (v. punti 92-98, 100-105, 125, 126, 129-131) Responsabilità extracontrattuale – Presupposti – Illegalità – Violazione sufficientemente qualificata del diritto dell'Unione – Rischio di accesso ai dati personali da parte di un paese terzo – Esclusione – Diritti al rispetto della vita privata, alla protezione dei dati personali e ad una tutela giurisdizionale effettiva – Insussistenza della violazione [Carta dei diritti fondamentali dell’Unione europea, art. 7, 8 e 47; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46 e 48, §§ 1 e 2, b)] (v. punti 133-137, 139, 140) Responsabilità extracontrattuale – Presupposti – Nesso causale – Danno morale derivante dalla perdita di controllo sui dati personali – Trasferimento di tali dati in un paese terzo in occasione della consultazione del sito web di un'istituzione – Trasferimento imputabile al comportamento dell’interessato – Insussistenza di un nesso di causalità tra il danno e il comportamento dell’istituzione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, art. 65) (v. punti 146-149, 156-164) Responsabilità extracontrattuale – Presupposti – Illegalità – Violazione sufficientemente qualificata del diritto dell'Unione – Trasferimento dei dati personali verso paesi terzi – Trasmissione di tali dati da parte di un'istituzione tramite un collegamento ipertestuale che consente la connessione con [OSCURATO:PERSONA] su una pagina del sito web – Assenza di una decisione sull'idoneità dell'istituzione o di garanzie adeguate per tale paese – Inclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46, 47 e 48, § § 1 e 2) (v. punti 186-193) Responsabilità extracontrattuale – Danno – Danno risarcibile – Trasferimento dei dati personali verso paesi terzi – Trasmissione di tali dati da parte di un'istituzione tramite un collegamento ipertestuale che consente la connessione con [OSCURATO:PERSONA] su una pagina Internet del servizio di autenticazione dell’istituzione – Danno morale causato al ricorrente dall'incertezza sul trattamento dei suoi dati personali – Inclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46 e 65) (v. punti 196-200) [OSCURATO:PERSONA] in composizione ampliata, il Tribunale ha parzialmente accolto le domande di risarcimento danni formulate dal sig. [OSCURATO:PERSONA], il ricorrente.

A tal riguardo, il Tribunale si pronuncia, in maniera inedita, sull'interpretazione delle disposizioni del regolamento 2018/1725 ( 1 ) e trae, per la prima volta, le conseguenze della giurisprudenza cosiddetta «[OSCURATO:PERSONA] II» ( 2 ) nell'ambito dell'applicazione di tale regolamento nonché del «principio» di interpretazione omogenea delle disposizioni analoghe dei regolamenti 2016/679 ( 3 ) e 2018/1725.

Il ricorrente ha consultato il sito Internet della Conferenza sul futuro dell'Europa (in prosieguo: la «CAE»), il 30 marzo, e si è iscritto all'evento «GoGreen» ivi contenuto, tramite il suo account [OSCURATO:PERSONA].

L’8 giugno 2022 egli ha nuovamente consultato tale sito Internet. [OSCURATO:PERSONA] europea è responsabile del trattamento dei dati personali ai fini di tale sito Internet.

Con due richieste di informazioni del 9 novembre 2021 e del 1 o aprile 2022, reiterate il 22 aprile e il 2 maggio 2022, il ricorrente ha chiesto alla [OSCURATO:PERSONA] di fornirgli informazioni sul trattamento dei suoi dati nonché sul loro trasferimento potenziale verso paesi terzi.

Egli ha indicato, in particolare, di aver osservato che, quando si è collegato sul sito Internet della CAE, si era attivata una connessione con fornitori terzi come l'impresa americana [OSCURATO:PERSONA].

Con messaggio di posta elettronica del 3 dicembre 2021, la [OSCURATO:PERSONA] le ha trasmesso un elenco dei suoi dati personali trattati e gli ha comunicato che i suoi dati non erano stati trasferiti a destinatari situati al di fuori dell'Unione europea e che il sito Internet della CAE utilizzava una rete di diffusione di contenuti gestita dalla [OSCURATO:PERSONA] [OSCURATO:PERSONA] (in prosieguo: la «[OSCURATO:PERSONA]»), con sede in Lussemburgo (Lussemburgo).

Il 9 giugno 2022 il ricorrente ha presentato il ricorso in esame.

Giudizio del Tribunale In un primo momento, il Tribunale si pronuncia sulla ricevibilità delle conclusioni dirette all'annullamento dei trasferimenti dei dati personali verso paesi terzi, che avrebbero avuto luogo il 30 marzo e il 8 giugno 2022 (in prosieguo: i «trasferimenti controversi»).

A tal riguardo, il Tribunale sottolinea che non tutte le operazioni che possono condurre a un trasferimento di dati personali, ai sensi del regolamento 2018/1725, costituiscono atti impugnabili, ai sensi dell'articolo 263 TFUE.

Nel caso di specie, anche supponendo che i trasferimenti controversi siano dimostrati, il Tribunale constata che essi costituiscono atti materiali e non atti giuridici.

Infatti, tali trasferimenti sono operazioni informatiche di migrazione di dati da un terminale o da un server verso un altro, che risultano dalle interazioni tra il ricorrente e sistemi o servizi informatici della [OSCURATO:PERSONA].

Pertanto, poiché i trasferimenti controversi non sono atti della [OSCURATO:PERSONA] produttivi di effetti vincolanti, essi non sono idonei a produrre effetti giuridici obbligatori idonei ad incidere sugli interessi del ricorrente e non possono quindi essere considerati atti impugnabili ai sensi dell'articolo 263 TFUE.

In un secondo momento, il Tribunale statuisce sulla fondatezza delle quattro domande di risarcimento formulate dal ricorrente.

Per quanto riguarda, anzitutto, la prima domanda diretta al risarcimento del danno morale derivante da una violazione del diritto di accesso alle informazioni, il Tribunale ritiene che un siffatto danno morale non sia dimostrato nel caso di specie.

Infatti, l'unica illegittimità accertata nel caso di specie è quella del mancato rispetto, da parte della [OSCURATO:PERSONA], del termine di un mese previsto dal regolamento 2018/1725 ( 4 ) per quanto riguarda la richiesta di informazioni del 1 o aprile 2022.

Orbene, poiché, da un lato, tale termine non è stato superato di oltre due mesi e, dall'altro, il ricorrente ha ricevuto quantomeno una risposta parziale alla sua richiesta di informazioni il 3 dicembre 2021, tale illegittimità non sembra idonea a causare al ricorrente il danno morale asserito, consistente in un impedimento a controllare il trattamento dei suoi dati personali.

Di conseguenza, il Tribunale respinge la prima domanda di risarcimento del ricorrente.

Per quanto riguarda, poi, la seconda domanda di risarcimento del danno morale derivante dal trasferimento contestato durante la consultazione del sito web della CAE del 30 marzo 2022, il Tribunale osserva che durante tale consultazione vi è stato un trasferimento dei dati personali del ricorrente, ai sensi del regolamento 2018/1725, in particolare del suo indirizzo IP.

Tuttavia, osserva anche che non è stato dimostrato nel caso di specie che, durante la stessa consultazione del sito web della CAE, vi sia stato un trasferimento dei dati personali del ricorrente verso un paese terzo ( 5 ) e, in particolare, verso gli [OSCURATO:PERSONA].

Inoltre, il solo rischio di accesso a dati personali da parte di un paese terzo, nell'ipotesi in cui la [OSCURATO:PERSONA], a causa della sua qualità di controllata di un'impresa americana, non fosse in grado di opporsi ad una richiesta delle autorità americane vertente sull'accesso a dati memorizzati in server ubicati nel territorio dello Spazio economico europeo (SEE), non può corrispondere ad un trasferimento di dati, ai sensi del regolamento 2018/1725.

In altri termini, il rischio di una violazione del regolamento 2018/1725 non può essere assimilato a una violazione diretta di tale regolamento.

A tal riguardo, il solo rischio di una violazione delle disposizioni del regolamento 2018/1725 relative ai trasferimenti verso paesi terzi non può, in ogni caso, essere sufficiente a dimostrare un comportamento illecito della [OSCURATO:PERSONA], corrispondente ad una violazione sufficientemente qualificata di tali disposizioni.

Per quanto riguarda, peraltro, la terza domanda diretta al risarcimento del danno morale derivante dal trasferimento controverso in occasione delle sue consultazioni sul sito Internet della CAE dell'8 giugno 2022, il Tribunale esamina, nel caso di specie, se l'utilizzo da parte della [OSCURATO:PERSONA] del servizio [OSCURATO:PERSONA] CloudFront come rete di diffusione di contenuti del sito Internet della CAE sia la causa diretta del danno morale invocato, consistente in una perdita del controllo sui dati personali del ricorrente.

Il Tribunale constata che, certamente, è il funzionamento del servizio [OSCURATO:PERSONA] CloudFront, con il suo meccanismo di instradamento che funziona secondo il principio di prossimità e che copre un'area geografica più ampia del territorio del SEE, comprendente in particolare gli [OSCURATO:PERSONA], che ha consentito che, durante le consultazioni del sito Internet della CAE, l'indirizzo IP del ricorrente abbia stabilito connessioni a server di [OSCURATO:PERSONA] CloudFront localizzati negli [OSCURATO:PERSONA].

Tuttavia, sebbene l'utilizzo, da parte della [OSCURATO:PERSONA], del servizio [OSCURATO:PERSONA] CloudFront sia una condizione necessaria per il verificarsi dei trasferimenti di dati personali verso gli [OSCURATO:PERSONA], tale circostanza non è sufficiente a dimostrare un nesso di causalità sufficientemente diretto tra il danno morale fatto valere dal ricorrente e il comportamento asseritamente illecito della [OSCURATO:PERSONA].

Infatti, è il comportamento del ricorrente che deve essere considerato come la causa diretta e immediata del danno morale asserito e non l'illecito asseritamente commesso dalla [OSCURATO:PERSONA] utilizzando il servizio [OSCURATO:PERSONA] CloudFront.

Pertanto, è il ricorrente che, trovandosi in Germania ed effettuando impostazioni tecniche al fine di modificare la sua ubicazione apparente, ha posto in essere le condizioni necessarie per provocare connessioni a server situati negli [OSCURATO:PERSONA] attraverso il funzionamento del servizio [OSCURATO:PERSONA] CloudFront, causando il rinvio da parte del meccanismo di instradamento di tale servizio delle sue richieste di consultazione dal sito Internet della CAE verso server localizzati negli [OSCURATO:PERSONA].

Inoltre, il ricorrente non può legittimamente adottare un comportamento volto a provocare un determinato risultato (ossia il trasferimento dei suoi dati personali verso un paese terzo) e, successivamente, a chiedere il risarcimento del danno asseritamente causato da tale risultato, il cui comportamento è stato la causa diretta.

Pertanto, il Tribunale considera che la situazione del ricorrente non può essere valutata in modo analogo a quella di un utente che si sia effettivamente spostato negli [OSCURATO:PERSONA] e che, di conseguenza, abbia avuto accesso al sito Internet della CAE a partire da tale paese.

Per quanto riguarda, infine, la quarta domanda diretta al risarcimento del danno morale derivante dal trasferimento controverso in occasione della connessione a EU [OSCURATO:PERSONA] del 30 marzo 2022, il Tribunale indica che, nel caso di specie, è dimostrato che, in primo luogo, tra le opzioni di connessione a EU [OSCURATO:PERSONA], il ricorrente ha scelto di collegarsi al suo account [OSCURATO:PERSONA].

In secondo luogo, il collegamento ipertestuale «connettersi a [OSCURATO:PERSONA]» contiene un link a un indirizzo URL del sito Internet di [OSCURATO:PERSONA].

In terzo luogo, quando il ricorrente ha attivato tale collegamento ipertestuale cliccando su di esso, il suo browser ha avuto accesso all'indirizzo URL del sito Internet di [OSCURATO:PERSONA] e ha successivamente trasmesso il suo indirizzo IP a [OSCURATO:PERSONA].

Il Tribunale ne deduce che, attraverso il collegamento ipertestuale «connettersi con [OSCURATO:PERSONA]», visualizzato sulla pagina Internet di EU [OSCURATO:PERSONA], la [OSCURATO:PERSONA] ha creato le condizioni che consentono di trasmettere l'indirizzo IP del ricorrente a [OSCURATO:PERSONA].

Orbene, tale indirizzo IP costituisce un dato personale del ricorrente che, attraverso tale collegamento ipertestuale, è stato trasmesso a [OSCURATO:PERSONA], impresa con sede negli [OSCURATO:PERSONA].

Tale trasmissione corrisponde quindi a un trasferimento di dati personali verso un paese terzo, ai sensi del regolamento 2018/1725.

Inoltre, al momento di tale trasferimento di dati, ossia il 30 marzo 2022, non esisteva alcuna decisione di adeguatezza della [OSCURATO:PERSONA], ai sensi del regolamento 2018/1725 ( 6 ), per quanto riguarda gli [OSCURATO:PERSONA].

In mancanza di una siffatta decisione, il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale può essere effettuato solo se il titolare del trattamento o l'incaricato del trattamento ha previsto garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e di mezzi di ricorso effettivi, conformemente al regolamento 2018/1725 ( 7 ).

Nel caso di specie, la [OSCURATO:PERSONA] non ha dimostrato, e neppure affermato, l'esistenza di una garanzia adeguata, in particolare di una clausola tipo di protezione dei dati o di una clausola contrattuale.

Per contro, è dimostrato che la visualizzazione del collegamento ipertestuale «connettersi con [OSCURATO:PERSONA]» sul sito Internet di EU [OSCURATO:PERSONA] è semplicemente disciplinata dalle condizioni generali della piattaforma [OSCURATO:PERSONA].

Di conseguenza, la [OSCURATO:PERSONA] ha creato le condizioni perché si sia verificato un trasferimento dei dati personali del richiedente verso un paese terzo, senza rispettare le condizioni stabilite dal regolamento 2018/1725 ( 8 ).

Di conseguenza, il danno morale invocato dal ricorrente deve essere considerato reale e certo, in quanto il suddetto trasferimento, effettuato in violazione del regolamento 2018/1725, ha posto il ricorrente in una situazione di insicurezza per quanto riguarda il trattamento dei suoi dati personali, in particolare del suo indirizzo IP.

Alla luce di quanto precede, il Tribunale condanna la [OSCURATO:PERSONA] a versare al ricorrente la somma di EUR 400 a titolo del danno morale subito a causa del trasferimento controverso in occasione della connessione a EU [OSCURATO:PERSONA] del 30 marzo 2022. ( 1 ) Capo V del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, relativo alla protezione delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione, nonché alla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU 2018, L 295, pag. 39 ). ( 2 ) Sentenza del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C 311/18 , EU:C:2020:559 ). ( 3 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ). ( 4 ) Ai sensi dell'articolo 14, paragrafo 4, del regolamento (CE) n. 2018/1725, il titolare del trattamento, qualora decida di non dare seguito a una richiesta di informazioni, deve informare il richiedente entro un mese dei motivi della sua inerzia. ( 5 ) Articolo 46 del regolamento 2018/1725. ( 6 ) Articolo 47 del regolamento 2018/1725. ( 7 ) Articolo 48, paragrafo 1, del regolamento 2018/1725. ( 8 ) Articolo 46 del regolamento 2018/1725.

Anonimizzato ex art. 52 D.Lgs. 196/2003
62022TJ0354_RES [OSCURATO:PERSONA]311/22 [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] europea Sentenza (Sesta Sezione ampliata) dell’8 gennaio 2025 «Trattamento dei dati personali – Tutela delle persone fisiche rispetto al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione – Regolamento (UE) 2018/1725 – Nozione di “trasferimento di dati personali verso un paese terzo” – Trasferimento di dati in occasione della consultazione di un sito Internet – [OSCURATO:PERSONA] – Ricorso di annullamento – Atto non impugnabile – Irricevibilità – Ricorso per carenza – Presa di posizione che pone fine alla carenza – Non luogo a statuire – Ricorso per risarcimento danni – Violazione sufficientemente qualificata di una norma giuridica che conferisce diritti ai singoli – Nesso causale – Danno morale» Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti –Operazioni che possono comportare un trasferimento di dati personali verso un paese terzo – Esclusione (Art. 263 TFUE; regolamento del Parlamento europeo e del Consiglio n. 2018/1725, considerando 79 e artt. 2, §5, 3, punto 3, e 64, § 1) (v. punti 22-25, 30-34) Ricorso per risarcimento danni – Autonomia rispetto ai ricorsi di annullamento e per carenza – Irricevibilità del ricorso di annullamento e non luogo a statuire sul ricorso per carenza – Domanda di risarcimento che non mira al medesimo risultato del ricorso di annullamento – Ricevibilità (Artt. 263, 265 e 340, comma 2, TFUE) (v. punti 35, 43, 56, 57) Responsabilità extracontrattuale – Presupposti – Danno effettivo e certo provocato da un atto illegittimo – Danno morale causato dall'inosservanza del termine per informare il richiedente dei motivi dell'inerzia del titolare del trattamento – Esclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio n. 2018/1725, art. 14, §§ 4 e 65) (v. punti 77-80, 83-85) Istituzioni dell’Unione europea – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2018/1725 – Trasferimento di dati personali verso paesi terzi – Nozione – Trasferimento di tali dati a un destinatario stabilito nell'Unione in occasione della consultazione di un sito web – Esclusione (Regolamento del Parlamento europeo e del Consiglio 2018/1725, considerando 63 e art. 3, §§ 1 e 46) (v. punti 92-98, 100-105, 125, 126, 129-131) Responsabilità extracontrattuale – Presupposti – Illegalità – Violazione sufficientemente qualificata del diritto dell'Unione – Rischio di accesso ai dati personali da parte di un paese terzo – Esclusione – Diritti al rispetto della vita privata, alla protezione dei dati personali e ad una tutela giurisdizionale effettiva – Insussistenza della violazione [Carta dei diritti fondamentali dell’Unione europea, art. 7, 8 e 47; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46 e 48, §§ 1 e 2, b)] (v. punti 133-137, 139, 140) Responsabilità extracontrattuale – Presupposti – Nesso causale – Danno morale derivante dalla perdita di controllo sui dati personali – Trasferimento di tali dati in un paese terzo in occasione della consultazione del sito web di un'istituzione – Trasferimento imputabile al comportamento dell’interessato – Insussistenza di un nesso di causalità tra il danno e il comportamento dell’istituzione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, art. 65) (v. punti 146-149, 156-164) Responsabilità extracontrattuale – Presupposti – Illegalità – Violazione sufficientemente qualificata del diritto dell'Unione – Trasferimento dei dati personali verso paesi terzi – Trasmissione di tali dati da parte di un'istituzione tramite un collegamento ipertestuale che consente la connessione con [OSCURATO:PERSONA] su una pagina del sito web – Assenza di una decisione sull'idoneità dell'istituzione o di garanzie adeguate per tale paese – Inclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46, 47 e 48, § § 1 e 2) (v. punti 186-193) Responsabilità extracontrattuale – Danno – Danno risarcibile – Trasferimento dei dati personali verso paesi terzi – Trasmissione di tali dati da parte di un'istituzione tramite un collegamento ipertestuale che consente la connessione con [OSCURATO:PERSONA] su una pagina Internet del servizio di autenticazione dell’istituzione – Danno morale causato al ricorrente dall'incertezza sul trattamento dei suoi dati personali – Inclusione (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1725, artt. 46 e 65) (v. punti 196-200) [OSCURATO:PERSONA] in composizione ampliata, il Tribunale ha parzialmente accolto le domande di risarcimento danni formulate dal sig. [OSCURATO:PERSONA], il ricorrente. A tal riguardo, il Tribunale si pronuncia, in maniera inedita, sull'interpretazione delle disposizioni del regolamento 2018/1725 ( 1 ) e trae, per la prima volta, le conseguenze della giurisprudenza cosiddetta «[OSCURATO:PERSONA] II» ( 2 ) nell'ambito dell'applicazione di tale regolamento nonché del «principio» di interpretazione omogenea delle disposizioni analoghe dei regolamenti 2016/679 ( 3 ) e 2018/1725. Il ricorrente ha consultato il sito Internet della Conferenza sul futuro dell'Europa (in prosieguo: la «CAE»), il 30 marzo, e si è iscritto all'evento «GoGreen» ivi contenuto, tramite il suo account [OSCURATO:PERSONA]. L’8 giugno 2022 egli ha nuovamente consultato tale sito Internet. [OSCURATO:PERSONA] europea è responsabile del trattamento dei dati personali ai fini di tale sito Internet. Con due richieste di informazioni del 9 novembre 2021 e del 1 o aprile 2022, reiterate il 22 aprile e il 2 maggio 2022, il ricorrente ha chiesto alla [OSCURATO:PERSONA] di fornirgli informazioni sul trattamento dei suoi dati nonché sul loro trasferimento potenziale verso paesi terzi. Egli ha indicato, in particolare, di aver osservato che, quando si è collegato sul sito Internet della CAE, si era attivata una connessione con fornitori terzi come l'impresa americana [OSCURATO:PERSONA]. Con messaggio di posta elettronica del 3 dicembre 2021, la [OSCURATO:PERSONA] le ha trasmesso un elenco dei suoi dati personali trattati e gli ha comunicato che i suoi dati non erano stati trasferiti a destinatari situati al di fuori dell'Unione europea e che il sito Internet della CAE utilizzava una rete di diffusione di contenuti gestita dalla [OSCURATO:PERSONA] [OSCURATO:PERSONA] (in prosieguo: la «[OSCURATO:PERSONA]»), con sede in Lussemburgo (Lussemburgo). Il 9 giugno 2022 il ricorrente ha presentato il ricorso in esame. Giudizio del Tribunale In un primo momento, il Tribunale si pronuncia sulla ricevibilità delle conclusioni dirette all'annullamento dei trasferimenti dei dati personali verso paesi terzi, che avrebbero avuto luogo il 30 marzo e il 8 giugno 2022 (in prosieguo: i «trasferimenti controversi»). A tal riguardo, il Tribunale sottolinea che non tutte le operazioni che possono condurre a un trasferimento di dati personali, ai sensi del regolamento 2018/1725, costituiscono atti impugnabili, ai sensi dell'articolo 263 TFUE. Nel caso di specie, anche supponendo che i trasferimenti controversi siano dimostrati, il Tribunale constata che essi costituiscono atti materiali e non atti giuridici. Infatti, tali trasferimenti sono operazioni informatiche di migrazione di dati da un terminale o da un server verso un altro, che risultano dalle interazioni tra il ricorrente e sistemi o servizi informatici della [OSCURATO:PERSONA]. Pertanto, poiché i trasferimenti controversi non sono atti della [OSCURATO:PERSONA] produttivi di effetti vincolanti, essi non sono idonei a produrre effetti giuridici obbligatori idonei ad incidere sugli interessi del ricorrente e non possono quindi essere considerati atti impugnabili ai sensi dell'articolo 263 TFUE. In un secondo momento, il Tribunale statuisce sulla fondatezza delle quattro domande di risarcimento formulate dal ricorrente. Per quanto riguarda, anzitutto, la prima domanda diretta al risarcimento del danno morale derivante da una violazione del diritto di accesso alle informazioni, il Tribunale ritiene che un siffatto danno morale non sia dimostrato nel caso di specie. Infatti, l'unica illegittimità accertata nel caso di specie è quella del mancato rispetto, da parte della [OSCURATO:PERSONA], del termine di un mese previsto dal regolamento 2018/1725 ( 4 ) per quanto riguarda la richiesta di informazioni del 1 o aprile 2022. Orbene, poiché, da un lato, tale termine non è stato superato di oltre due mesi e, dall'altro, il ricorrente ha ricevuto quantomeno una risposta parziale alla sua richiesta di informazioni il 3 dicembre 2021, tale illegittimità non sembra idonea a causare al ricorrente il danno morale asserito, consistente in un impedimento a controllare il trattamento dei suoi dati personali. Di conseguenza, il Tribunale respinge la prima domanda di risarcimento del ricorrente. Per quanto riguarda, poi, la seconda domanda di risarcimento del danno morale derivante dal trasferimento contestato durante la consultazione del sito web della CAE del 30 marzo 2022, il Tribunale osserva che durante tale consultazione vi è stato un trasferimento dei dati personali del ricorrente, ai sensi del regolamento 2018/1725, in particolare del suo indirizzo IP. Tuttavia, osserva anche che non è stato dimostrato nel caso di specie che, durante la stessa consultazione del sito web della CAE, vi sia stato un trasferimento dei dati personali del ricorrente verso un paese terzo ( 5 ) e, in particolare, verso gli [OSCURATO:PERSONA]. Inoltre, il solo rischio di accesso a dati personali da parte di un paese terzo, nell'ipotesi in cui la [OSCURATO:PERSONA], a causa della sua qualità di controllata di un'impresa americana, non fosse in grado di opporsi ad una richiesta delle autorità americane vertente sull'accesso a dati memorizzati in server ubicati nel territorio dello Spazio economico europeo (SEE), non può corrispondere ad un trasferimento di dati, ai sensi del regolamento 2018/1725. In altri termini, il rischio di una violazione del regolamento 2018/1725 non può essere assimilato a una violazione diretta di tale regolamento. A tal riguardo, il solo rischio di una violazione delle disposizioni del regolamento 2018/1725 relative ai trasferimenti verso paesi terzi non può, in ogni caso, essere sufficiente a dimostrare un comportamento illecito della [OSCURATO:PERSONA], corrispondente ad una violazione sufficientemente qualificata di tali disposizioni. Per quanto riguarda, peraltro, la terza domanda diretta al risarcimento del danno morale derivante dal trasferimento controverso in occasione delle sue consultazioni sul sito Internet della CAE dell'8 giugno 2022, il Tribunale esamina, nel caso di specie, se l'utilizzo da parte della [OSCURATO:PERSONA] del servizio [OSCURATO:PERSONA] CloudFront come rete di diffusione di contenuti del sito Internet della CAE sia la causa diretta del danno morale invocato, consistente in una perdita del controllo sui dati personali del ricorrente. Il Tribunale constata che, certamente, è il funzionamento del servizio [OSCURATO:PERSONA] CloudFront, con il suo meccanismo di instradamento che funziona secondo il principio di prossimità e che copre un'area geografica più ampia del territorio del SEE, comprendente in particolare gli [OSCURATO:PERSONA], che ha consentito che, durante le consultazioni del sito Internet della CAE, l'indirizzo IP del ricorrente abbia stabilito connessioni a server di [OSCURATO:PERSONA] CloudFront localizzati negli [OSCURATO:PERSONA]. Tuttavia, sebbene l'utilizzo, da parte della [OSCURATO:PERSONA], del servizio [OSCURATO:PERSONA] CloudFront sia una condizione necessaria per il verificarsi dei trasferimenti di dati personali verso gli [OSCURATO:PERSONA], tale circostanza non è sufficiente a dimostrare un nesso di causalità sufficientemente diretto tra il danno morale fatto valere dal ricorrente e il comportamento asseritamente illecito della [OSCURATO:PERSONA]. Infatti, è il comportamento del ricorrente che deve essere considerato come la causa diretta e immediata del danno morale asserito e non l'illecito asseritamente commesso dalla [OSCURATO:PERSONA] utilizzando il servizio [OSCURATO:PERSONA] CloudFront. Pertanto, è il ricorrente che, trovandosi in Germania ed effettuando impostazioni tecniche al fine di modificare la sua ubicazione apparente, ha posto in essere le condizioni necessarie per provocare connessioni a server situati negli [OSCURATO:PERSONA] attraverso il funzionamento del servizio [OSCURATO:PERSONA] CloudFront, causando il rinvio da parte del meccanismo di instradamento di tale servizio delle sue richieste di consultazione dal sito Internet della CAE verso server localizzati negli [OSCURATO:PERSONA]. Inoltre, il ricorrente non può legittimamente adottare un comportamento volto a provocare un determinato risultato (ossia il trasferimento dei suoi dati personali verso un paese terzo) e, successivamente, a chiedere il risarcimento del danno asseritamente causato da tale risultato, il cui comportamento è stato la causa diretta. Pertanto, il Tribunale considera che la situazione del ricorrente non può essere valutata in modo analogo a quella di un utente che si sia effettivamente spostato negli [OSCURATO:PERSONA] e che, di conseguenza, abbia avuto accesso al sito Internet della CAE a partire da tale paese. Per quanto riguarda, infine, la quarta domanda diretta al risarcimento del danno morale derivante dal trasferimento controverso in occasione della connessione a EU [OSCURATO:PERSONA] del 30 marzo 2022, il Tribunale indica che, nel caso di specie, è dimostrato che, in primo luogo, tra le opzioni di connessione a EU [OSCURATO:PERSONA], il ricorrente ha scelto di collegarsi al suo account [OSCURATO:PERSONA]. In secondo luogo, il collegamento ipertestuale «connettersi a [OSCURATO:PERSONA]» contiene un link a un indirizzo URL del sito Internet di [OSCURATO:PERSONA]. In terzo luogo, quando il ricorrente ha attivato tale collegamento ipertestuale cliccando su di esso, il suo browser ha avuto accesso all'indirizzo URL del sito Internet di [OSCURATO:PERSONA] e ha successivamente trasmesso il suo indirizzo IP a [OSCURATO:PERSONA]. Il Tribunale ne deduce che, attraverso il collegamento ipertestuale «connettersi con [OSCURATO:PERSONA]», visualizzato sulla pagina Internet di EU [OSCURATO:PERSONA], la [OSCURATO:PERSONA] ha creato le condizioni che consentono di trasmettere l'indirizzo IP del ricorrente a [OSCURATO:PERSONA]. Orbene, tale indirizzo IP costituisce un dato personale del ricorrente che, attraverso tale collegamento ipertestuale, è stato trasmesso a [OSCURATO:PERSONA], impresa con sede negli [OSCURATO:PERSONA]. Tale trasmissione corrisponde quindi a un trasferimento di dati personali verso un paese terzo, ai sensi del regolamento 2018/1725. Inoltre, al momento di tale trasferimento di dati, ossia il 30 marzo 2022, non esisteva alcuna decisione di adeguatezza della [OSCURATO:PERSONA], ai sensi del regolamento 2018/1725 ( 6 ), per quanto riguarda gli [OSCURATO:PERSONA]. In mancanza di una siffatta decisione, il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale può essere effettuato solo se il titolare del trattamento o l'incaricato del trattamento ha previsto garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e di mezzi di ricorso effettivi, conformemente al regolamento 2018/1725 ( 7 ). Nel caso di specie, la [OSCURATO:PERSONA] non ha dimostrato, e neppure affermato, l'esistenza di una garanzia adeguata, in particolare di una clausola tipo di protezione dei dati o di una clausola contrattuale. Per contro, è dimostrato che la visualizzazione del collegamento ipertestuale «connettersi con [OSCURATO:PERSONA]» sul sito Internet di EU [OSCURATO:PERSONA] è semplicemente disciplinata dalle condizioni generali della piattaforma [OSCURATO:PERSONA]. Di conseguenza, la [OSCURATO:PERSONA] ha creato le condizioni perché si sia verificato un trasferimento dei dati personali del richiedente verso un paese terzo, senza rispettare le condizioni stabilite dal regolamento 2018/1725 ( 8 ). Di conseguenza, il danno morale invocato dal ricorrente deve essere considerato reale e certo, in quanto il suddetto trasferimento, effettuato in violazione del regolamento 2018/1725, ha posto il ricorrente in una situazione di insicurezza per quanto riguarda il trattamento dei suoi dati personali, in particolare del suo indirizzo IP. Alla luce di quanto precede, il Tribunale condanna la [OSCURATO:PERSONA] a versare al ricorrente la somma di EUR 400 a titolo del danno morale subito a causa del trasferimento controverso in occasione della connessione a EU [OSCURATO:PERSONA] del 30 marzo 2022. ( 1 ) Capo V del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, relativo alla protezione delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione, nonché alla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU 2018, L 295, pag. 39 ). ( 2 ) Sentenza del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] ( C 311/18 , EU:C:2020:559 ). ( 3 ) Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ). ( 4 ) Ai sensi dell'articolo 14, paragrafo 4, del regolamento (CE) n. 2018/1725, il titolare del trattamento, qualora decida di non dare seguito a una richiesta di informazioni, deve informare il richiedente entro un mese dei motivi della sua inerzia. ( 5 ) Articolo 46 del regolamento 2018/1725. ( 6 ) Articolo 47 del regolamento 2018/1725. ( 7 ) Articolo 48, paragrafo 1, del regolamento 2018/1725. ( 8 ) Articolo 46 del regolamento 2018/1725.
Sentenza Corte di giustizia UE n. 2018/2025 — Fons Iuris — Fons Iuris