Risarcimento del danno da illecito trattamento di dati, cosa dice la Corte UE

L’ennesimo capitolo della vicenda giudiziaria che ha coinvolto una ricercatrice greca e l’Ufficio europeo per la lotta antifrode (OLAF) segna un punto fermo nella giurisprudenza europea sul risarcimento del danno da illecito trattamento dei dati personali. 

La causa OC c. Commissione (T-384/20 RENV, sentenza 1° ottobre 2025) riguarda infatti l’applicazione del Regolamento (UE) 2018/1725, che disciplina il trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione; tuttavia, i principi di diritto esplicitati possono essere pienamente trasposti anche nel contesto del GDPR, in particolare in relazione all’art. 82, che riconosce il diritto al risarcimento per danni materiali e immateriali derivanti da violazioni del regolamento. 

Si tratta di un precedente importante che contribuisce a definire con maggiore chiarezza quali condotte integrino una violazione “sufficientemente qualificata” e quali criteri guidino la prova e la liquidazione del danno. 

Il caso della ricercatrice greca

Una ricercatrice universitaria greca, attiva nei settori della nanotecnologia e della biomedicina, ottenne nel 2007 una prestigiosa sovvenzione dal Consiglio europeo della ricerca per un importo di EUR 1.128.400. Il progetto veniva realizzato in un laboratorio diretto dal padre della ricercatrice.  A seguito di una verifica finanziaria, l’Agenzia esecutiva del Consiglio europeo della ricerca (ERCEA) contestò la rimborsabilità di parte delle spese per il personale e informò dei fatti l’OLAF, Ufficio europeo per la lotta antifrode. 

L’OLAF avviò un’indagine per presunte irregolarità e frodi nell’esecuzione del progetto. Una volta conclusa l’indagine, l’Ufficio raccomandò all’ERCEA di recuperare le somme ritenute indebite e trasmise la relazione finale alle autorità giudiziarie nazionali, raccomandando l’avvio di procedimenti penali per frode e falso a carico della ricercatrice, di suo padre e di altri membri del personale universitario. 

Il 5 maggio 2020, l’OLAF pubblicò sul proprio sito internet un comunicato stampa che riassumeva i risultati della sua indagine. La ricercatrice impugnò tale pubblicazione davanti al Tribunale UE per violazione del Regolamento 2018/1725. Con la sentenza del 4 maggio 2022 (causa T-384/20), il Tribunale respinse integralmente il ricorso, sostenendo che non poteva sussistere nessun danno in quanto sulla base delle informazioni contenute nel comunicato stampa la ricorrente non poteva essere  identificabile. Secondo il Tribunale, anche utilizzando mezzi ragionevoli, un lettore non sarebbe stato in grado di risalire alla sua identità: di conseguenza, non sussisteva né una violazione della normativa sulla protezione dei dati personali né una lesione della presunzione di innocenza. 

Il nodo della “persona fisica identificabile”

La decisione del Tribunale UE veniva impugnata davanti alla Corte di Giustizia, che con la sentenza del 7 marzo 2024 (causa C-479/22 P) annullava integralmente la pronuncia di primo grado. 

La Corte statuiva che il Tribunale aveva commesso un errore di diritto nell’applicazione della nozione di “persona fisica identificabile”, affermando invece che gli identificativi contenuti nel comunicato (nazionalità, genere, giovane età, legame di parentela con il direttore del laboratorio, ambito di ricerca, importo della sovvenzione) consentivano, letti nel loro insieme, di identificare la ricorrente.

Accertato questo errore, la Corte rinviava la causa al Tribunale UE affinché si pronunciasse nel merito sulla sussistenza delle violazioni e sull’eventuale risarcimento del danno. Da qui la sentenza 1° ottobre 2025 T-384/20 RENV.

I tre pilastri della responsabilità extracontrattuale dell’UE

I giudici affermano innanzitutto che la responsabilità extracontrattuale dell’Unione, ai sensi dell’articolo 340, secondo comma, del Trattato sul Funzionamento dell’Unione Europea (TFUE), sorge in presenza di tre presupposti cumulativi:

1. L’illiceità del comportamento contestato all’istituzione. 

2. La sussistenza di un danno reale e certo. 

3. L’esistenza di un nesso di causalità diretto tra il comportamento e il danno. 

La qualificazione dell’illiceità

Non ogni violazione del diritto UE fa sorgere automaticamente il diritto al risarcimento.

La giurisprudenza richiede invece che la violazione sia “sufficientemente qualificata”. Questo avviene quando un’istituzione viola in modo grave e manifesto i limiti imposti al suo potere discrezionale. È questo il rigoroso vaglio che distingue un mero errore amministrativo da un illecito risarcibile, un discrimine fondamentale nella prassi del contenzioso contro le istituzioni UE.

Peraltro, quando il potere discrezionale dell’istituzione è considerevolmente ridotto o inesistente — come nel caso del rispetto dei diritti fondamentali — una semplice violazione può essere considerata sufficiente per integrare questo presupposto.

Le tre violazioni dell’OLAF

Il Tribunale ha quindi accertato che la condotta dell’OLAF integrava ben tre violazioni sufficientemente qualificate. 

1. Violazione degli articoli 4 e 5 del Regolamento 2018/1725 

Tali articoli impongono che ogni trattamento sia lecito, minimizzato allo stretto necessario e limitato alle finalità per cui i dati sono stati raccolti. La pubblicazione di un comunicato stampa costituisce un “ulteriore trattamento”, che deve essere compatibile con lo scopo originario della raccolta.

Sotto questo profilo:

• Il Tribunale ha stabilito che la pubblicazione di dati personali non necessari ai fini informativi — quali la cittadinanza, l’età, il genere e il legame di parentela della ricercatrice — ha configurato un trattamento illecito, in quanto i dati raccolti per finalità investigative sono stati utilizzati per uno scopo diverso e non compatibile: la comunicazione al pubblico. 

• La Commissione ha ammesso che tali dettagli erano stati inseriti per aumentare l’interesse mediatico: il Tribunale quindi ha interpretato questa ammissione come prova di un elemento intenzionale, volto ad attirare l’attenzione dei media, rendendo la violazione non solo grave e manifesta, ma anche non scusabile. 

2. Violazione dell’art. 9 del Regolamento 883/2013 

Tale articolo codifica il principio fondamentale della presunzione di innocenza (Art. 48 della Carta) e impone all’OLAF di presentare le informazioni in modo equilibrato e fattuale, astenendosi da giudizi di colpevolezza.

Sul punto il Tribunale ha accertato:

• La condotta illecita: l’elemento centrale è stato l’uso ripetuto del termine “frode” nel comunicato stampa. Secondo il Tribunale, tale qualificazione giuridica ha superato il semplice resoconto fattuale, implicando un giudizio di colpevolezza e inducendo il pubblico a credere che la ricorrente fosse responsabile di un reato prima di qualsiasi accertamento giudiziario. 

• La qualificazione della violazione: il Tribunale ha ribadito che le istituzioni dell’Unione non dispongono di alcun margine di discrezionalità riguardo al rispetto dei diritti fondamentali: l’uso di un linguaggio che anticipa un giudizio di colpevolezza costituisce, pertanto, una violazione intrinsecamente grave e manifesta. 

3. La violazione dell’art. 41 della Carta dei Diritti Fondamentali della UE 

Tale norma garantisce il diritto a una buona amministrazione, che include l’obbligo di diligenza (agire con accuratezza e prudenza) e l’obbligo di neutralità e imparzialità.

Qui la violazione si è manifestata in un duplice modo:

• Mancanza di diligenza: il comunicato affermava che “nessuno” dei ricercatori stranieri era a conoscenza dei conti bancari, mentre la relazione OLAF riportava che solo “alcuni” non ne erano a conoscenza. Il Tribunale ha qualificato questa discrepanza non come un’imprecisione, ma come un atto con cui l’OLAF ha “volontariamente amplificato i fatti”. 

• Mancanza di neutralità e imparzialità: ancora una volta, l’uso del termine “frode” è stato ritenuto lesivo dell’obbligo imposto all’OLAF di presentare i fatti in modo neutro nella sua comunicazione pubblica. 

In conclusione, la pubblicazione di un’informazione manifestamente inesatta e amplificata ha integrato una violazione grave e non scusabile dell’obbligo di diligenza. Analogamente, l’uso del termine “frode” ha costituito una violazione grave e manifesta dell’obbligo di neutralità.

Accertata l’illiceità della condotta dell’OLAF, il Tribunale ha potuto procedere all’esame del danno e del nesso causale.

Criteri per il danno da illecito trattamento di dati

Prima di analizzare le singole voci di danno, il Tribunale ha richiamato i principi generali che governano il risarcimento nel diritto dell’Unione (art. 340 TFUE):

• Il danno deve essere reale e certo, e l’onere di fornire prove concludenti spetta al ricorrente. 

• Deve esistere un nesso di causalità sufficientemente diretto tra la condotta illecita e il danno lamentato. 

• Il diritto dell’Unione predilige la teoria della “causalità adeguata”, secondo cui l’istituzione risponde solo dei danni che sono una conseguenza diretta e prevedibile della sua condotta illegittima. 

Sulla base di questi principi, il Tribunale ha meticolosamente ricostruito le tre voci di danno lamentate dalla ricorrente.

Danno morale alla reputazione e all’onore 

La ricorrente lamentava una grave lesione del suo onore e della sua reputazione. Il Tribunale ha pienamente accolto questa prospettazione, collegando il danno a due condotte illecite specifiche: il trattamento di dati che l’ha resa identificabile e l’uso del termine “frode”, che ha creato un’inequivocabile impressione di colpevolezza.

Un elemento decisivo nella valutazione è stata la notorietà internazionale della ricorrente nel suo campo scientifico. Il Tribunale ha argomentato che tale notorietà ha inevitabilmente amplificato il danno, aumentando la risonanza del comunicato all’interno della comunità accademica.

Infine, il Tribunale ha respinto con fermezza la tesi della Commissione secondo cui il nesso causale sarebbe stato interrotto dall’intervento dei media. Al contrario, ha statuito che “gli articoli di stampa si sono limitati ad aumentare la diffusione di un’informazione già contenuta nel comunicato stampa controverso”, senza costituire una causa autonoma del pregiudizio.

Danno morale alla carriera professionale 

In questo ambito, il Tribunale ha operato una valutazione rigorosa e differenziata delle prove fornite:

• Danno non provato: la ricorrente sosteneva che il comunicato avesse causato la sua mancata promozione a professore ordinario presso l’università in cui lavorava. Il Tribunale ha ritenuto che non fossero state fornite prove sufficienti per stabilire un nesso causale diretto e certo. 

• Danno provato – Il ritiro dell’offerta di lavoro come prova inoppugnabile: è stato invece considerato reale e certo il danno derivante dal ritiro di un’offerta di lavoro ufficiale da parte di un’altra prestigiosa università. La prova decisiva è stata la corrispondenza via e-mail, in cui l’istituzione accademica faceva esplicito riferimento alle “accuse dell’OLAF” come motivo del ritiro dell’offerta, stabilendo un nesso causale inoppugnabile. 

Danno allo Stato di salute 

Il Tribunale ha riconosciuto un danno reale e certo anche sotto il profilo della salute. La prova determinante è stata la produzione di certificati medici che attestavano un nesso causale diretto tra il deterioramento della salute e la “pubblicazione del comunicato stampa”. Tali certificati documentavano “intensi disturbi psicofisici”, tra cui pensieri depressivi, crisi di panico, insonnia e una significativa perdita di peso.

Pur riconoscendo che altri fattori (l’indagine stessa, la campagna mediatica) potevano aver contribuito al danno complessivo, il Tribunale ha confermato l’esistenza di un nesso causale diretto con l’illecito commesso dall’OLAF.

Alla luce di queste tre voci di danno accertate, il Tribunale ha liquidato il risarcimento complessivo in EUR 50.000, applicando un criterio di valutazione equitativa (ex aequo et bono).

Cosa ci insegna la sentenza

È possibile che la sentenza del Tribunale venga impugnata davanti alla Corte di Giustizia, ma il suo valore sistemico è comunque evidente. Il Tribunale UE ha tracciato una linea chiara su cosa costituisca una violazione grave e manifesta, indicando criteri precisi per la prova del danno e per la sua quantificazione.

Pur riguardando il Regolamento (UE) 2018/1725, i principi giuridici enunciati — in particolare sulla qualificazione della violazione, sulla prova del danno e sul nesso causale — possono trovare piena applicazione anche nell’ambito del GDPR.

L’art. 82 del GDPR, costruito sul medesimo impianto concettuale, conferma infatti che la tutela effettiva del diritto alla protezione dei dati passa anche dal riconoscimento del diritto al risarcimento, quando la violazione comporta un pregiudizio concreto e dimostrabile. 

In questo senso, la sentenza OC c. Commissione non è solo una decisione sull’operato dell’OLAF, ma una bussola interpretativa per i giudici e gli operatori del diritto: un invito a leggere il risarcimento non come strumento punitivo, ma come garanzia di effettività dei diritti fondamentali sanciti dall’articolo 8 della Carta e dal GDPR.