Attraverso il collegamento ipertestuale «connettersi con Facebook», visualizzato sulla pagina Internet di EU Login, la Commissione ha creato le condizioni che consentono di trasmettere l’indirizzo IP dell’interessato all’impresa americana Meta Platforms…
Un cittadino residente in Germania lamenta la violazione da parte della Commissione del diritto alla protezione dei suoi dati personali in occasione della consultazione da parte sua, nel 2021 e nel 2022, del sito internet della Conferenza sul futuro dell’Europa 1, gestito dalla Commissione. Più precisamente, egli si era registrato tramite questo sito per l’evento «GoGreen», utilizzando il servizio di autenticazione EU Login della Commissione e scegliendo l’opzione offerta di accedere utilizzando il suo account Facebook.
L’interessato ritiene che, in occasione delle sue consultazioni di tale sito Internet, taluni dati personali ad esso appartenenti sarebbero stati trasferiti verso destinatari stabiliti negli Stati Uniti, in particolare il suo indirizzo IP nonché informazioni sul suo browser e sul suo terminale.
In effetti, da un lato, questi dati sarebbero stati trasferiti alla società americana Amazon Web Services, in qualità di gestore della rete di diffusione di contenuti denominata Amazon CloudFront, che sarebbe utilizzata dal sito Internet in questione. Dall’altro lato, quando si è registrato all’evento «GoGreen» utilizzando il suo account Facebook, questi dati sarebbero stati trasferiti alla società americana Meta Platforms, Inc.
Orbene, secondo l’interessato, gli Stati Uniti non hanno un livello di protezione adeguato. Tali trasferimenti avrebbero dato luogo ad un rischio di accesso ai suoi dati da parte dei servizi americani di sicurezza e di intelligence. La Commissione non avrebbe menzionato alcuna delle garanzie adeguate idonee a giustificare tali trasferimenti 2.
Egli chiede, a tale titolo, il versamento di 400 euro come risarcimento del danno morale che avrebbe subito a causa dei trasferimenti controversi.
Egli chiede altresì l’annullamento dei trasferimenti dei suoi dati personali, di constatare che la Commissione si è illegittimamente astenuta dal prendere posizione su una richiesta di informazioni e di condannare la Commissione a versargli un importo di 800 euro a titolo di risarcimento del danno morale che egli avrebbe subito a causa della violazione del suo diritto di accesso alle informazioni.
Il Tribunale respinge la domanda di annullamento in quanto irricevibile e decide che non vi è più luogo a statuire sulla domanda per carenza. Il Tribunale respinge altresì la domanda di risarcimento fondata sulla violazione del diritto di accesso alle informazioni, ritenendo che manchi il danno morale lamentato.
Per quanto riguarda la domanda di risarcimento fondata sui trasferimenti di dati controversi, il Tribunale respinge tale domanda quanto ai trasferimenti di dati attraverso Amazon CloudFront.
In effetti, il Tribunale ha concluso che, durante una delle connessioni contestate, i dati non sono stati trasferiti negli Stati Uniti ma, in base al principio di prossimità 3, a un server 4 situato a Monaco, in Germania. In base al contratto stipulato tra la Commissione e il gestore di Amazon CloudFront, la società lussemburghese Amazon Web Services, quest’ultima doveva garantire che i dati rimanessero a riposo e in transito in Europa.
Per quanto riguarda un’altra connessione, è stato l’interessato stesso a far sì che venisse inviata, tramite il meccanismo di instradamento di Amazon CloudFront, verso server negli Stati Uniti. Infatti, a causa di un aggiustamento tecnico, questi era apparentemente localizzato negli Stati Uniti.
Per contro, per quanto riguarda l’iscrizione dell’interessato all’evento «GoGreen», il Tribunale ritiene che la Commissione abbia creato, attraverso il collegamento ipertestuale «connettersi con Facebook» visualizzato sulla pagina Internet di EU Login, le condizioni che consentono di trasmettere l’indirizzo IP dell’interessato a Facebook. Tale indirizzo IP costituisce un dato personale che, tramite detto collegamento ipertestuale, è stato trasmesso a Meta Platforms, impresa con sede negli Stati Uniti. Tale trasferimento deve essere imputato alla Commissione.
Orbene, al momento del trasferimento, vale a dire il 30 marzo 2022, non esisteva alcuna decisione della Commissione che constatasse che gli Stati Uniti garantivano un livello adeguato di protezione dei dati personali dei cittadini dell’UE. Inoltre, la Commissione non ha dimostrato, o anche solo dedotto, l’esistenza di una garanzia adeguata, in particolare di una clausola standard di protezione dei dati o di una clausola contrattuale 5. La visualizzazione del collegamento ipertestuale «connettersi con Facebook» sul sito Internet di EU Login era semplicemente disciplinata dalle condizioni generali della piattaforma Facebook.
La Commissione non ha quindi rispettato le condizioni poste dal diritto dell’Unione per il trasferimento, da parte di un’istituzione, di un organismo o di un organismo dell’Unione, di dati personali verso un paese terzo.
Il Tribunale afferma che la Commissione è incorsa in una violazione sufficientemente qualificata di una norma di diritto preordinata a conferire diritti ai singoli. L’interessato ha subito un danno morale, poiché si è trovato in una situazione di incertezza riguardo al trattamento dei suoi dati personali, in particolare del suo indirizzo IP. Inoltre, esiste un nesso causale sufficientemente diretto tra la violazione nella quale è incorsa la Commissione e il danno morale subito dall’interessato.
Essendo soddisfatte le condizioni per il sorgere della responsabilità extracontrattuale dell’Unione, il Tribunale condanna la Commissione a versare all’interessato la somma di 400 euro, da lui richiesta.
