Corte di giustizia UE n. 2018/2026

62023TJ1180_RES Causa T‑1180/23 BW contro / a carico di Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto ([OSCURATO:PERSONA]) e Agenzia dell’Unione europea per la cooperazione giudiziaria penale ([OSCURATO:PERSONA]) Sentenza del Tribunale (Quinta Sezione) del 25 febbraio 2026 «Cooperazione delle autorità di polizia e delle altre autorità di contrasto degli Stati membri – Servizio di comunicazioni cifrate Sky ECC – Asseriti trattamenti illeciti di dati personali – Ricorso di annullamento – Atto non impugnabile – Atto preparatorio – Ricevibilità – Trattamento di dati personali da parte degli Stati membri e loro trasferimento a [OSCURATO:PERSONA] – Trasferimento di dati personali da [OSCURATO:PERSONA] a uno Stato membro – Trasferimento di dati personali da [OSCURATO:PERSONA] a un paese terzo – Responsabilità extracontrattuale – Articolo 50 del regolamento (UE) 2016/794 – Responsabilità solidale di [OSCURATO:PERSONA] e degli Stati membri per trattamenti illeciti di dati – Violazione sufficientemente qualificata di una norma giuridica che conferisce diritti ai singoli – Effettività del danno – Regolamento (UE) 2018/1727 – Insufficiente coordinamento, da parte di [OSCURATO:PERSONA], dei procedimenti penali tra uno Stato membro e un paese terzo – Articoli 71, 72, 89, 91 e 92 del regolamento (UE) 2018/1725» Ricorso di annullamento – Competenza del giudice dell’Unione – Domanda di annullamento di atti di trattamento di dati personali effettuati dalle autorità nazionali nel procedimento penale nonché di atti di trasmissione di documenti e di informazioni da parte di tali autorità a [OSCURATO:PERSONA] o a [OSCURATO:PERSONA] – Esclusione (Art. 263 TFUE) (v. punti 23‑25) Ricorso di annullamento – Competenza del giudice dell’Unione – Domanda di annullamento di un accordo volto alla costituzione di una squadra investigativa comune (SIC) – Esclusione (Art. 34 TUE; art. 263 TFUE) (v. punti 26‑31) Ricorso per risarcimento danni – Oggetto – Risarcimento del danno derivante da un trattamento illecito di dati personali – Ricorso diretto contro [OSCURATO:PERSONA] a causa degli Stati membri o di [OSCURATO:PERSONA] – Incompetenza del giudice dell’Unione (Artt. 268 e 340 TFUE; regolamento del Parlamento europeo e del Consiglio 2018/1727) (v. punti 33‑35, 41) Ricorso per risarcimento danni – Oggetto – Risarcimento del danno derivante da un trattamento illecito di dati personali – Ricorso diretto contro [OSCURATO:PERSONA] a causa degli Stati membri – Competenza del giudice dell’Unione – Limite – Incompetenza in caso di danno derivante da operazioni condotte dalla polizia o da altre autorità di contrasto degli Stati membri (Artt. 268, 276 e 340 TFUE; regolamento del Parlamento europeo e del Consiglio 2016/794, considerando 57 e artt. 49, §§ 3 e 4, e 50) (v. punti 37, 38, 42‑46) Responsabilità extracontrattuale – Responsabilità solidale dell’Unione e degli Stati membri – Regolamento 2016/794 – Responsabilità a causa di un trattamento illecito di dati personali – Responsabilità in solido di [OSCURATO:PERSONA] e dello Stato membro interessato – Criteri – Prova dell’imputabilità del trattamento illecito a [OSCURATO:PERSONA] o allo Stato membro interessato (Art. 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/794, art. 50, § 1) (v. punti 93, 136) Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti – Atti preparatori – Esclusione – Partecipazione di [OSCURATO:PERSONA] o [OSCURATO:PERSONA] a riunioni o gruppi di lavoro – Esclusione (Art. 263 TFUE) (v. punti 108‑110) Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti – Trasmissione da parte di un’agenzia dell’Unione di dati personali provenienti dal servizio di comunicazioni cifrate Sky ECC – Trasmissione a uno Stato membro – Esclusione – Trasmissione a un paese terzo – Inclusione – Presupposto (Art. 263 TFUE) (v. punti 111‑123) Responsabilità extracontrattuale – Presupposti – Regolamento 2016/794 – Responsabilità a causa di un trattamento illecito di dati personali – Natura di detta responsabilità – Responsabilità in solido di [OSCURATO:PERSONA] e dello Stato membro interessato – Portata – Valutazione della legittimità degli atti o dei comportamenti degli Stati membri diversi dalla raccolta di dati nel corso di operazioni condotte dalla polizia o da altre autorità di contrasto degli Stati membri – Valutazione sulla base del diritto dell’Unione o del diritto nazionale pertinente (Artt. 268, 276 e 340, comma 2, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/794, art. 50, § 1) (v. punti 141, 142, 162‑164) [OSCURATO:PERSONA] un ricorso di annullamento e per risarcimento danni proposto da [OSCURATO:PERSONA] contro l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto ([OSCURATO:PERSONA]) e l’Agenzia dell’Unione europea per la cooperazione giudiziaria penale ([OSCURATO:PERSONA]) nel contesto di una cooperazione di polizia e giudiziaria tra diversi Stati membri, il Tribunale fornisce, per la prima volta dalla sentenza Kočner/[OSCURATO:PERSONA] ( 1 ), precisazioni sulla portata del regime di responsabilità solidale, in particolare relativamente ai limiti risultanti dall’articolo 276 TFUE. Esso dichiara, inoltre, che le trasmissioni di dati personali effettuate da [OSCURATO:PERSONA] verso uno Stato membro non costituiscono atti impugnabili ai sensi dell’articolo 263 TFUE, pur riconoscendo, per contro, l’impugnabilità di una trasmissione di tali dati verso un paese terzo, in assenza di qualsiasi altro mezzo di controllo giurisdizionale effettivo. BW, il ricorrente, è un cittadino serbo, perseguito penalmente e detenuto nei [OSCURATO:PERSONA] dal maggio 2023 per importazione di cocaina, e perseguito anche in Serbia dall’autunno 2023 per, in particolare, fatti di traffico di stupefacenti. I procedimenti penali condotti dalle autorità dei [OSCURATO:PERSONA] e serbe traggono origine da misure di indagine avviate alla fine degli anni 2010 dalle autorità belghe, dei [OSCURATO:PERSONA] e francesi contro l’«organizzazione Sky ECC», dove «ECC» significa «[OSCURATO:PERSONA]» (crittografia a curva ellittica), sospettata di commercializzare prodotti e servizi di comunicazione cifrate diretti specificamente a facilitare la commissione di reati. A seguito di tali misure di indagine, alla fine del 2018 il Belgio e i [OSCURATO:PERSONA] hanno emesso decisioni di indagine comune chiedendo alla [OSCURATO:PERSONA] di creare un’immagine dei server utilizzati dal servizio Sky ECC e situati in tale Stato. [OSCURATO:PERSONA] ha dato seguito a tale richiesta procedendo all’intercettazione, alla registrazione e alla trascrizione delle comunicazioni cifrate in entrata e in uscita da tali server, compresi i dati riguardanti BW. Nel 2019, con un accordo di squadra investigativa comune (in prosieguo: l’«accordo SIC») ( 2 ) concluso tra loro, le autorità belghe, francesi e olandesi hanno istituito una squadra investigativa comune (in prosieguo: la «SIC»). Quest’ultima ha portato alla condivisione tra [OSCURATO:PERSONA] e i tre Stati membri interessati dei dati grezzi intercettati, che dovevano essere successivamente analizzati, nonché dei risultati di tale analisi. Nell’ambito di tale cooperazione, [OSCURATO:PERSONA] ha conservato i dati nel suo sistema informatico, proceduto a verifiche incrociate, prodotto relazioni di informazione, generato grafici di visualizzazione dei dati e interpretato insiemi di dati multilingua. Da parte sua, [OSCURATO:PERSONA] ha fornito sostegno e consulenze sulle possibilità di cooperazione giudiziaria, ha organizzato varie riunioni di coordinamento tra le autorità nazionali interessate nonché [OSCURATO:PERSONA] e ha facilitato la cooperazione giudiziaria tra la Serbia, da un lato, e i [OSCURATO:PERSONA] e la [OSCURATO:PERSONA], dall’altro. In tale contesto, BW ha chiesto al Tribunale di annullare l’accordo SIC, gli atti di [OSCURATO:PERSONA] e di [OSCURATO:PERSONA] adottati sulla base di quest’ultimo nonché gli atti di trattamento, analisi e condivisione da parte loro e degli Stati membri interessati dei dati del server Sky ECC che lo riguardano. Ha inoltre chiesto che [OSCURATO:PERSONA] ed [OSCURATO:PERSONA] siano condannate a versargli un risarcimento per i danni morali e materiali che ritiene di aver subito. Giudizio del Tribunale Per quanto riguarda, sotto un primo profilo, la questione della sua competenza, il Tribunale si dichiara, in primo luogo, non competente a conoscere, sulla base dell’articolo 263 TFUE, dell’autorizzazione da parte del giudice francese alle operazioni di intercettazione effettuate dalle autorità francesi, dello svolgimento di tali operazioni, della trasmissione a [OSCURATO:PERSONA] da parte delle autorità francesi dei documenti e delle informazioni ottenute nel corso di queste ultime, della trasmissione ad [OSCURATO:PERSONA] e alle autorità serbe da parte delle autorità francesi dei documenti e delle informazioni richiesti dalle autorità serbe nell’ambito delle richieste di assistenza giudiziaria di queste ultime, della regolarità del procedimento penale condotto dinanzi agli organi giurisdizionali serbi nonché dell’accordo SIC. Per quanto riguarda, più in particolare, tale accordo, il Tribunale rileva che il giudice dell’Unione non è competente a conoscere, direttamente sulla base dell’articolo 263 TFUE, della sua legittimità, dal momento che quest’ultimo non è un atto dell’Unione. Infatti, l’accordo SIC è stato firmato e quindi concluso solo da tre Stati membri. Tale constatazione non è messa in discussione né dal fondamento di tale accordo in una convenzione conclusa da tali Stati membri ai sensi dell’articolo 34 TUE nonché in una decisione quadro del Consiglio dell’Unione europea, né dalla creazione della SIC di cui trattasi su iniziativa di [OSCURATO:PERSONA] o [OSCURATO:PERSONA] o ancora dalla decisione del Belgio, della [OSCURATO:PERSONA] e dei [OSCURATO:PERSONA], adottata in forza dell’accordo SIC, di associare [OSCURATO:PERSONA] ed [OSCURATO:PERSONA] in quanto «partecipanti» alla SIC. In tale contesto, il Tribunale precisa che la facoltà conferita a [OSCURATO:PERSONA] o a [OSCURATO:PERSONA] di proporre o di aiutare nella costituzione di una SIC, così come agli agenti di queste ultime di partecipare a una SIC ( 3 ), non conferisce a tali agenzie lo status di «parte» dell’accordo con il quale i tre Stati membri hanno istituito la SIC di cui trattasi. In secondo luogo, il Tribunale si dichiara non competente a conoscere della domanda del ricorrente volta all’accertamento della responsabilità di [OSCURATO:PERSONA] a causa del Belgio, della [OSCURATO:PERSONA] e dei [OSCURATO:PERSONA] o ancora della Serbia, o addirittura a causa di [OSCURATO:PERSONA]. Esso deduce tale soluzione in particolare dal fatto che la responsabilità dell’Unione sul fondamento degli articoli 268 e 340 TFUE non può essere ricercata presso un’istituzione, un organo o un organismo dell’Unione distinto da quella o da quello al quale è addebitato il fatto generatore della responsabilità, salvo che il legislatore dell’Unione abbia espressamente previsto un regime derogatorio di responsabilità solidale tra una di tali istituzioni o uno di tali organi o organismi dell’Unione e uno o più Stati membri, o addirittura uno o più paesi terzi, oppure tra più istituzioni, organi o organismi dell’Unione. Esso constata che, nella fattispecie, nessun atto prevede un regime derogatorio di responsabilità solidale tra [OSCURATO:PERSONA] e gli Stati membri o tra [OSCURATO:PERSONA] e la Serbia. Tuttavia, il Tribunale si dichiara competente a conoscere della domanda volta all’accertamento della responsabilità di [OSCURATO:PERSONA] per i propri comportamenti nonché della responsabilità di [OSCURATO:PERSONA] per comportamenti imputabili tanto alla stessa quanto agli Stati membri che hanno partecipato alla cooperazione relativa al servizio Sky ECC. Ebbene, malgrado la sua competenza a conoscere della domanda di accertamento della responsabilità solidale di [OSCURATO:PERSONA] per comportamenti imputabili alle autorità in particolare francesi, il Tribunale precisa che non è competente a conoscere delle affermazioni del ricorrente relative a danni che gli sarebbero stati cagionati dalle operazioni di intercettazione dei suoi dati personali intervenute nell’ambito delle operazioni di polizia condotte da tali autorità. A questo proposito, nonostante il regime di responsabilità solidale previsto dal regolamento [OSCURATO:PERSONA], tale agenzia non può essere ritenuta responsabile in solido per l’eventuale danno derivante da trattamenti illeciti di dati personali di una persona fisica verificatisi in occasione di operazioni condotte dalla polizia o da altre autorità di contrasto di uno Stato membro, anche se tali trattamenti sono avvenuti nell’ambito di una cooperazione fondata su tale regolamento. Infatti, dall’articolo 276 TFUE risulta che, nell’esercizio delle sue attribuzioni relative alla cooperazione giudiziaria in materia penale e alla cooperazione di polizia, il giudice dell’Unione non è competente a esaminare la validità o la proporzionalità di operazioni condotte dalla polizia o da altri servizi incaricati delle attività di contrasto in uno Stato membro. Per quanto riguarda, sotto un secondo profilo, le conclusioni di annullamento, il Tribunale, pronunciandosi sulla loro ricevibilità, constata la non impugnabilità degli atti o dei comportamenti lamentati dal ricorrente, salvo per quanto riguarda la trasmissione da parte di [OSCURATO:PERSONA] alle autorità serbe, il 24 giugno 2022, di un messaggio di posta elettronica delle autorità francesi con un link verso un sito di download protetto contenente, in particolare, alcune delle sue conversazioni provenienti dal servizio Sky ECC. Relativamente a tale trasmissione, il Tribunale sottolinea che, sebbene dalla giurisprudenza in materia di trasmissione di relazioni finali e di informazioni agli Stati membri da parte dell’Ufficio europeo per la lotta antifrode (OLAF), applicabile per analogia al caso di specie, risulti che tale trasmissione non costituisce un atto impugnabile, sia la Corte sia il Tribunale stesso hanno tuttavia avuto occasione di prendere in considerazione, al fine di escludere l’impugnabilità delle trasmissioni dell’OLAF, il fatto che il ricorrente avesse a sua disposizione altri mezzi per garantire il controllo della legittimità di tali decisioni di trasmissione, compreso quello del procedimento pregiudiziale. Ebbene, il Tribunale osserva che la trasmissione del 24 giugno 2022 è avvenuta tra un’agenzia dell’Unione e le autorità di un paese terzo, nella fattispecie la Serbia. Non potendo quindi essere contestata nell’ambito del presente ricorso, la legittimità di tale trasmissione rispetto al diritto dell’Unione non potrà più essere oggetto di contestazione e i dati personali in essa contenuti potranno essere considerati legittimamente trasmessi alle autorità serbe, senza che, successivamente, il ricorrente possa ottenere dai giudici di tale paese terzo o una valutazione della validità di detta trasmissione rispetto al diritto dell’Unione o un rinvio pregiudiziale alla Corte per valutarne la validità. In tal senso, la suddetta trasmissione costituisce il momento conclusivo di un procedimento speciale con cui [OSCURATO:PERSONA] trasmette alle autorità di un paese terzo e su loro richiesta dati personali di una persona identificata. Il Tribunale aggiunge che solo il riconoscimento dell’impugnabilità della trasmissione del 24 giugno 2022 è in grado di garantire il controllo effettivo da parte di un’autorità giudiziaria o di un altro organo indipendente del trasferimento di dati personali intercettati e del loro utilizzo per fini diversi da quelli dell’organo penale per il quale essi sono stati inizialmente raccolti. Il fatto che il ricorrente possa adire i giudici francesi o la Corte europea dei diritti dell’uomo a seguito di un’eventuale condanna da parte dei giudici penali serbi è irrilevante. Da un lato, i giudici francesi non possono essere investiti di un ricorso di annullamento diretto contro un atto di un’agenzia dell’Unione. Dall’altro lato, in assenza di adesione dell’Unione alla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, la suddetta Corte [EDU] non può constatare un inadempimento dell’Unione a tale convenzione, in particolare nell’ambito di un ricorso proposto contro un paese terzo. Tuttavia, il Tribunale respinge come infondate le conclusioni di annullamento della trasmissione del 24 giugno 2022, poiché il ricorrente non ha dimostrato in che modo tale trasmissione abbia dato luogo a un trattamento illecito dei suoi dati personali. Per quanto riguarda, sotto un terzo profilo, le domande di risarcimento del ricorrente, il Tribunale considera che la prima voce di danno riguarda allegazioni di trattamenti non corretti di dati sia da parte di [OSCURATO:PERSONA] sia da parte di tre Stati membri interessati, i quali rientrano nel regime derogatorio di responsabilità solidale previsto dal regolamento [OSCURATO:PERSONA] ( 4 ), e prende quindi in considerazione non solo gli atti o i comportamenti di [OSCURATO:PERSONA], in base al regime di responsabilità generale ad essa incombente in forza di tale regolamento ( 5 ), ma anche quelli dei tre Stati membri interessati, ai sensi di detto regime derogatorio di responsabilità solidale. Il Tribunale aggiunge che [OSCURATO:PERSONA] sostiene erroneamente che essa non può essere ritenuta responsabile degli atti o dei comportamenti degli Stati membri e che il Tribunale non può valutarne la legittimità. Se è vero che, in forza dell’articolo 276 TFUE, il giudice dell’Unione non è competente a verificare la validità o la proporzionalità di operazioni condotte dalla polizia o da altre autorità di contrasto in uno Stato membro, anche nell’ambito di ricorsi fondati sugli articoli 268 e 340 TFUE, resta il fatto che, al di fuori di tali operazioni specifiche, il regime derogatorio di responsabilità solidale del regolamento [OSCURATO:PERSONA] comporta implicitamente ma necessariamente che [OSCURATO:PERSONA] possa essere ritenuta responsabile di atti o di comportamenti degli Stati membri. Ne consegue altrettanto necessariamente che, nell’ambito di ricorsi per risarcimento fondati su tale regime derogatorio, il Tribunale è autorizzato a valutare la legittimità degli atti o dei comportamenti degli Stati membri diversi da quelli i cui servizi di polizia o altre autorità di contrasto hanno proceduto alla raccolta dei dati di cui trattasi, che sia sulla base del diritto dell’Unione o sulla base del diritto nazionale dello Stato interessato. Relativamente alla seconda voce di danno, riguardante, in sostanza, soltanto la violazione del diritto a un equo processo a causa dell’impossibilità di verificare il carattere «utilizzabile» dei dati provenienti dal servizio Sky ECC nei procedimenti penali nazionali che hanno fatto seguito alle indagini a cui [OSCURATO:PERSONA] ha partecipato, il Tribunale constata che il ricorrente non contesta la liceità del trattamento dei suoi dati personali, ai sensi dell’articolo 28 del regolamento [OSCURATO:PERSONA] - unico argomento che può far rientrare una contestazione nell’ambito del regime derogatorio di responsabilità solidale previsto da tale regolamento. Pertanto, ai fini dell’esame di tale voce di danno, il Tribunale prende in considerazione soltanto gli atti o i comportamenti di [OSCURATO:PERSONA] in forza del regime di responsabilità generale derivante da detto regolamento. Quanto alla terza voce di danno, relativa alla presunta esistenza di due azioni penali contro il ricorrente per gli stessi fatti, esercitate nei suoi confronti dalle autorità penali dei [OSCURATO:PERSONA] e serbe, il Tribunale precisa che, con tale voce di danno, il ricorrente contesta a [OSCURATO:PERSONA] unicamente un inadempimento da parte sua dei suoi obblighi derivanti dall’accordo SIC. Pertanto, esso prende in considerazione solo gli atti o i comportamenti di [OSCURATO:PERSONA], ai sensi del regime di responsabilità generale derivante dal regolamento [OSCURATO:PERSONA]. Orbene, il Tribunale respinge le tre voci di danno in quanto infondate. ( 1 ) Sentenza del 5 marzo 2024, Kočner/[OSCURATO:PERSONA] ( C‑755/21 P , EU:C:2024:202 ). ( 2 ) Tale accordo è stato concluso sulla base dell’articolo 13 della convenzione stabilita dal Consiglio conformemente all’articolo 34 TUE, relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea ( GU 2000, C 197, pag. 1 ), e della decisione quadro del Consiglio, del 13 giugno 2002, relativa alle squadre investigative comuni ( GU 2002, L 162, pag. 1 ). ( 3 ) Rispettivamente conferita dall’articolo 5 del regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell’11 maggio 2016, che istituisce l’[[OSCURATO:PERSONA]] e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI ( GU 2016, L 135, pag. 53 ; in prosieguo: il «regolamento [OSCURATO:PERSONA]»), e l’articolo 8, paragrafo 1, lettera d), del regolamento (UE) 2018/1727 del Parlamento europeo e del Consiglio, del 14 novembre 2018, che istituisce l’[[OSCURATO:PERSONA]] e sostituisce e abroga la decisione 2002/187/GAI del Consiglio ( GU 2018, L 295, pag. 138 ). ( 4 ) Articolo 50, paragrafo 1, del regolamento [OSCURATO:PERSONA]. ( 5 ) Responsabilità generale di [OSCURATO:PERSONA] di cui all’articolo 49 del regolamento [OSCURATO:PERSONA].