62019TJ0052
SENTENZA DEL TRIBUNALE (Prima Sezione)
8 settembre 2021 (
*1
)
«Funzione pubblica – Agenti contrattuali – Divulgazione di dati personali – Domanda di assistenza – Rigetto della domanda – Incompetenza dell’autore dell’atto lesivo – Atto elaborato e firmato da uno studio legale esterno – Responsabilità – Danno morale»
Nella causa T‑52/19,
AH, rappresentato da N. de Montigny, avvocata,
ricorrente,
contro
Fondazione europea per il miglioramento delle condizioni di vita e di lavoro (Eurofound), rappresentata da F. van Boven e M. Jepsen, in qualità di agenti, assistiti da C. Callanan, solicitor,
convenuta,
avente ad oggetto il ricorso fondato sull’articolo 270 TFUE e diretto, da un lato, all’annullamento della decisione del 22 marzo 2018, redatta e firmata da uno studio legale esterno, riguardante una domanda di assistenza del ricorrente in relazione alla divulgazione dei suoi dati personali nonché una domanda di risarcimento e, dall’altro, al risarcimento del danno morale che il ricorrente avrebbe subito a causa di tale decisione nonché di tale divulgazione,
IL TRIBUNALE (Prima Sezione),
composto da H. Kanninen, presidente, N. Półtorak e M. Stancu (relatrice), giudici,
cancelliere: L. Ramette, amministratore
vista la fase scritta del procedimento e in seguito all’udienza dell’8 dicembre 2020,
ha pronunciato la seguente
Sentenza
Fatti precedenti e successivi alla presentazione del ricorso
1
Il ricorrente, AH, è agente contrattuale della Fondazione europea per il miglioramento delle condizioni di vita e di lavoro (Eurofound).
2
Il 13 giugno 2017 il ricorrente ha presentato una domanda ai sensi dell’articolo 90, paragrafo 1, dello statuto dei funzionari dell’Unione europea (in prosieguo: lo «statuto») per una riclassificazione retroattiva del suo gruppo di funzioni. Tale domanda è stata respinta da Eurofound con decisione dell’11 luglio 2017.
3
L’8 settembre 2017 il ricorrente ha presentato un reclamo ai sensi dell’articolo 90, paragrafo 2, dello statuto contro tale decisione (in prosieguo: «il reclamo dell’8 settembre 2017»), che è stato respinto dall’autorità autorizzata a concludere i contratti di assunzione (in prosieguo: l’«AACC») di Eurofound l’8 gennaio 2018. Contro quest’ultima decisione il ricorrente non ha presentato alcun ricorso.
Sulla scoperta del file «hrlink»
4
Il 12 gennaio 2018 il ricorrente ha scoperto un file denominato «hrlink» (in prosieguo: il «file “hrlink”»), accessibile al personale di Eurofound su uno dei suoi server. Tale file conteneva diverse sottocartelle riservate, relative al personale di Eurofound, tra cui una cartella relativa al reclamo dell’8 settembre 2017 (in prosieguo: la «cartella controversa»). In tale cartella figuravano documenti relativi al trattamento di tale reclamo, tra cui un messaggio di posta elettronica del 9 settembre 2017, in cui il [riservato] (
1
) e il [riservato] discutevano, tra l’altro, della possibilità di avviare un procedimento disciplinare contro il ricorrente per false accuse fatte da quest’ultimo nel reclamo dell’8 settembre 2017.
5
In seguito a tale scoperta, il ricorrente, il 15 gennaio 2018, ha inviato il collegamento ipertestuale alla cartella controversa a diversi colleghi e ha chiesto loro di verificare se potevano avere accesso a tale cartella. Dopo aver ricevuto conferma da loro, il ricorrente ha segnalato l’incidente al Garante europeo della protezione dei dati (GEPD) via messaggio di posta elettronica lo stesso giorno. Quest’ultimo ha avviato un’indagine sulla vicenda, registrata con il numero di riferimento [riservato] (in prosieguo: la «prima indagine del GEPD»).
6
Con messaggio di posta elettronica del 30 gennaio 2018, il sindacato [riservato] ha scritto al direttore esecutivo segnalando che era avvenuta una divulgazione di dati personali nei confronti di uno dei dipendenti di Eurofound, che era anche membro del comitato esecutivo di detto sindacato all’interno di Eurofound.
Sulla domanda del 2 febbraio 2018 e sulla decisione impugnata
7
Il 2 febbraio 2018 il ricorrente inviava, tramite il suo avvocato, un messaggio di posta elettronica al direttore esecutivo e al capo delle risorse umane allora in carica (in prosieguo: la «domanda del 2 febbraio 2018»), il cui oggetto era, da un lato, una domanda di assistenza affinché Eurofound indagasse sulle gravi mancanze dei suoi superiori gerarchici scoperte leggendo la cartella controversa, relative, in particolare, alla divulgazione dei suoi dati personali e alle osservazioni formulate dal [riservato] nel messaggio di posta elettronica del 9 settembre 2017 e, dall’altro, una domanda di risarcimento sul fondamento dell’articolo 90, paragrafo 1, dello statuto, volta ad ottenere il pagamento della somma di EUR 60000 a titolo provvisorio quale risarcimento del danno subito a causa di tali mancanze.
8
Il 14 febbraio 2018 uno studio legale irlandese (in prosieguo: lo «studio legale esterno») ha confermato la ricezione della domanda del 2 febbraio 2018 per conto di Eurofound.
9
Con decisione del 22 marzo 2018 (in prosieguo: la «decisione impugnata»), lo studio legale esterno informava il ricorrente che la sua domanda di risarcimento contenuta nella domanda del 2 febbraio 2018 era stata respinta in quanto non vi era stata alcuna divulgazione intenzionale dei suoi dati personali e che, pertanto, nessun risarcimento gli era dovuto. In tale decisione, il suddetto studio legale precisava altresì che, riconoscendo che il file «hrlink» non era stato messo in sicurezza, Eurofound avrebbe aperto un’indagine interna su tale falla nella sicurezza. A tal fine, invitava il ricorrente a rispondere ad alcune domande sul modo in cui egli stesso aveva avuto accesso al fascicolo.
10
In seguito all’adozione della decisione impugnata, l’avvocato del ricorrente inviava allo studio legale esterno due e-mail del 5 aprile e del 9 maggio 2018, alle quali quest’ultimo rispondeva con e-mail del 26 aprile e del 1o giugno 2018. Queste e-mail erano dirette a chiarire il contenuto e la portata di tale decisione, compresa la portata dell’indagine di cui al punto 9 supra.
11
Il 21 giugno 2018 il ricorrente presentava un reclamo ai sensi dell’articolo 90, paragrafo 2, dello statuto contro la decisione impugnata (in prosieguo: il «reclamo del 21 giugno 2018»), chiedendo a Eurofound, in via principale, di annullare tale decisione e di procedere all’indagine da lui richiesta prima di respingere la domanda di risarcimento presentata a causa della divulgazione dei suoi dati personali e di perseguire le persone responsabili di tale divulgazione, ai sensi dell’articolo 49 del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU 2001, L 8, pag. 1). In subordine, chiedeva di concedergli un risarcimento di EUR 30000 per il danno morale.
12
Con decisione del 18 ottobre 2018 lo studio legale esterno informava il ricorrente che il suo reclamo era stato respinto. Tale decisione era firmata da uno degli avvocati di questo studio in qualità di «agente legale di Eurofound».
Sulle misure adottate da Eurofound in seguito alla domanda di assistenza del ricorrente e alla scoperta della falla di sicurezza nel file «hrlink»
13
Con due e-mail del 2 febbraio 2018, Eurofound, da un lato, informava il personale dell’esistenza di un accesso non protetto al file «hrlink» e dell’adozione di misure correttive al riguardo e, dall’altro, segnalava la falla nella sicurezza al GEPD. A seguito di quest’ultima e-mail, il GEPD avviava un’indagine, registrata con il numero di riferimento [riservato] (in prosieguo: «la seconda indagine del GEPD»).
14
In data 28 marzo 2018 la delegata alla protezione dei dati dell’Eurofound (in prosieguo: la «DPD») redigeva una prima relazione sulla falla nella sicurezza del file «hrlink».
15
Con messaggio di posta elettronica del 3 aprile 2018, il GEPD informava Eurofound che, nonostante la grave divulgazione di dati personali dovuta al fatto che l’accesso a questo file non era protetto, le misure correttive adottate fino ad allora erano soddisfacenti e che, pertanto, la sua seconda indagine sarebbe stata archiviata.
16
Con messaggio di posta elettronica del 13 aprile 2018, la DPD chiedeva al ricorrente di compilare un questionario nell’ambito dell’indagine che stava conducendo, al fine di redigere una relazione all’attenzione del GEPD e del direttore esecutivo, riguardante l’accesso non autorizzato al file «hrlink». Lo stesso giorno il ricorrente le rispondeva di rivolgersi alla sua avvocata, la quale scriveva alla DPD il 20 aprile 2018 precisando la posizione di quest’ultimo su tale indagine.
17
Con messaggio di posta elettronica del 24 maggio 2018, la DPD informava il GEPD degli sviluppi dell’indagine interna sull’accesso non autorizzato al file «hrlink». A seguito di tale messaggio di posta elettronica, il 14 dicembre 2018, il GEPD notificava nuovamente a Eurofound la sua intenzione di archiviare la sua seconda indagine.
18
Con messaggio di posta elettronica del 4 luglio 2018, il GEPD scriveva al direttore esecutivo, nella sua qualità di responsabile del trattamento dei dati personali di Eurofound, per informarlo del reclamo inviato al GEPD dal ricorrente e gli chiedeva se avesse osservazioni in merito alle affermazioni del ricorrente nell’ambito della sua prima indagine. Il suddetto direttore rispondeva a tale messaggio di posta elettronica il 1o agosto 2018.
19
Con messaggio di posta elettronica del 18 ottobre 2018, la DPD informava il GEPD che Eurofound aveva chiesto una perizia informatica ad una società esterna riguardante la falla nella sicurezza del file «hrlink», la cui relazione finale confermava che tale file era accessibile almeno dal 2014 e che non era stata apportata alcuna modifica intenzionale ai parametri di sicurezza di quest’ultimo al fine di divulgare la cartella controversa.
20
Con messaggio di posta elettronica del 21 giugno 2019, il direttore esecutivo scriveva al GEPD, informandolo degli ultimi eventi sopravvenuti riguardanti la denuncia del ricorrente nonché del ricorso pendente dinanzi al Tribunale nella presente causa. Il 3 luglio 2019 il GEPD rispondeva a Eurofound che la sua prima indagine sarebbe stata sospesa in attesa della decisione che concluderà il presente procedimento. Un messaggio di posta elettronica simile è stato inviato al ricorrente il 31 luglio 2019.
Procedimento e conclusioni delle parti
21
Con atto introduttivo depositato presso la cancelleria del Tribunale il 28 gennaio 2019, il ricorrente ha proposto il presente ricorso. Con istanza separata depositata in pari data, il ricorrente ha chiesto il beneficio dell’anonimato, conformemente all’articolo 66 del regolamento di procedura del Tribunale, beneficio che gli è stato concesso l’11 marzo 2019.
22
Eurofound ha depositato il controricorso in data 26 aprile 2019. Con istanza separata di pari data, Eurofound ha chiesto l’omissione di alcuni dati per il pubblico contenuti nell’atto introduttivo del ricorso, ai sensi dell’articolo 66 del regolamento di procedura.
23
Il 10 luglio 2019 il ricorrente ha depositato la replica, che conteneva anche una richiesta di misure di organizzazione del procedimento. Con istanza separata di pari data, ha chiesto l’omissione di alcuni dati per il pubblico contenuti nella replica.
24
Il 12 agosto 2019 il ricorrente ha depositato una nuova offerta di prova presso la cancelleria del Tribunale. Con lettera del 20 agosto 2019, il Tribunale ha invitato Eurofound a depositare le sue osservazioni su tale offerta di prova nella controreplica.
25
Eurofound ha depositato la controreplica il 18 settembre 2019. Con istanza separata in pari data, essa ha ribadito la sua richiesta di omissione di taluni dati verso il pubblico per tutti i documenti relativi alla causa l’esame, ivi compresa la replica e la controreplica.
26
Il 20 settembre 2019 il ricorrente ha chiesto, in via principale, ai sensi dell’articolo 68 del regolamento di procedura, la riunione della causa T‑630/19, AH/Eurofound alla presente causa e, in subordine e nel caso in cui la riunione non fosse concessa, la sospensione del trattamento della causa T‑630/19. Eurofound ha depositato le sue osservazioni su queste richieste il 29 ottobre 2019.
27
Il 17 ottobre 2019 il presidente del Tribunale, nell’interesse della buona amministrazione della giustizia, con decisione motivata e previa consultazione dei giudici interessati, ha designato, ai sensi dell’articolo 27, paragrafo 3, del regolamento di procedura, un nuovo giudice relatore, appartenente alla prima sezione del Tribunale.
28
Il 20 novembre 2019 la cancelleria del Tribunale ha informato le parti che la fase scritta del procedimento era conclusa e che il presidente della prima sezione aveva deciso di non unire la presente causa alla causa T‑630/19 in questa fase della procedura.
29
Il 2 dicembre 2019 il ricorrente ha presentato una domanda motivata, ai sensi dell’articolo 106, paragrafo 2, del regolamento di procedura, per essere ascoltato nella fase orale del procedimento.
30
Il 13 gennaio 2020 il ricorrente ha depositato una nuova offerta di prova, sulla quale Eurofound ha depositato le sue osservazioni il 7 febbraio 2020.
31
Con decisione del 1o ottobre 2020, il Tribunale ha riunito la presente causa alla causa T‑630/19, AH/Eurofound, ai fini della fase orale del procedimento.
32
Lo stesso giorno, il Tribunale ha aperto la fase orale del procedimento e ha deciso di rivolgere alle parti quesiti a risposta scritta nell’ambito delle misure di organizzazione del procedimento previste dall’articolo 89 del regolamento di procedura. Le parti hanno risposto a tali quesiti entro il termine impartito.
33
Il 13 novembre 2020 la Prima Sezione del Tribunale ha deciso, ai sensi dell’articolo 89 del regolamento di procedura, di rivolgere ulteriori quesiti con richiesta di risposta per iscritto a Eurofound, ai quali quest’ultima ha risposto entro il termine impartito.
34
Il 25 novembre 2020 Eurofound ha presentato un’offerta di prova. Il 30 novembre 2020 il Tribunale ha invitato il ricorrente a presentare le proprie osservazioni su tale offerta di prova oralmente all’udienza.
35
Il 1o dicembre 2020 Eurofound ha chiesto una deroga al regime linguistico per la fase orale, al fine di potersi esprimere in inglese. Il 3 dicembre 2020 il presidente della prima sezione del Tribunale ha deciso di non accogliere la richiesta di Eurofound di patrocinare in inglese all’udienza di discussione, poiché una tale domanda di deroga non poteva, ai sensi dell’articolo 1, paragrafo 2, lettera f), e dell’articolo 45, paragrafo 1, lettera c), del regolamento di procedura, essere presentata da uno degli organi o organismi dell’Unione europea.
36
Le parti hanno svolto le loro difese e hanno risposto ai quesiti orali del Tribunale all’udienza dell’8 dicembre 2020.
37
Nell’atto introduttivo del ricorso il ricorrente chiede, in sostanza, che il Tribunale voglia:
–
annullare la decisione impugnata;
–
condannare Eurofound al pagamento della somma di EUR 30000 a titolo di risarcimento del danno morale subito a causa della divulgazione dei suoi dati personali e del rigetto della domanda del 2 febbraio 2018;
–
condannare Eurofound alle spese.
38
Nel suo controricorso, Eurofound chiede che il Tribunale voglia:
–
respingere il ricorso di annullamento e per risarcimento nella sua interezza in quanto irricevibile e infondato;
–
condannare il ricorrente alla totalità delle spese.
39
Nella replica, il ricorrente chiede, in sostanza, che il Tribunale voglia:
–
accogliere la sua richiesta di produzione di documenti ordinando a Eurofound di produrre tutti i mandati conferiti ai suoi rappresentanti in tutte le fasi precontenziose e contenziose;
–
annullare la decisione impugnata;
–
condannare Eurofound al pagamento di un risarcimento valutato in EUR 200000, oltre agli interessi di mora a partire dalla data di pronuncia della sentenza al tasso fissato dalla Banca centrale europea (BCE);
–
condannare Eurofound alle spese.
40
Nella controreplica Eurofound chiede che il Tribunale voglia:
–
respingere in quanto irricevibili o, in ogni caso, infondate, tutte le richieste di produzione di documenti presentate nella replica e riguardanti il mandato dei suoi rappresentanti;
–
esaminare e giudicare solo le conclusioni formulate nell’atto introduttivo del ricorso, come richiesto nel controricorso, e respingere le nuove richieste di risarcimento, unitamente ai corrispondenti motivi e alle prove prodotte a loro sostegno, presentate per la prima volta nella replica con riferimento sia alla lettera del 1o agosto 2018 al GEPD sia ai documenti presentati negli allegati 9, 10 e 13 della replica;
–
condannare il ricorrente alle spese.
In diritto
Sulla domanda di annullamento
41
Per corroborare la sua domanda di annullamento il ricorrente deduce sette motivi, il primo dei quali riguarda l’incompetenza dell’autore dell’atto lesivo; il secondo, la violazione del dovere di assistenza e il rigetto prematuro della sua domanda di risarcimento; il terzo, la contraddittorietà della posizione dell’amministrazione e la violazione dell’obbligo di motivazione e del diritto di essere ascoltato; il quarto, la violazione dell’articolo 26 dello statuto e delle disposizioni applicabili in materia di diritto alla protezione dei dati personali; il quinto, un conflitto di interessi e la violazione dei doveri di obiettività, imparzialità e indipendenza dell’amministrazione; il sesto, un abuso di potere e il settimo la violazione dell’articolo 17 dello statuto e della riservatezza delle attività sindacali.
42
Per quanto riguarda la decisione impugnata nella parte in cui respinge la sua domanda di risarcimento, con il suo secondo motivo il ricorrente sostiene, tra l’altro, che il rigetto di tale domanda era prematuro. Orbene, secondo giurisprudenza costante, la decisione di un’istituzione che respinge una domanda risarcitoria costituisce parte integrante del procedimento amministrativo preliminare alla proposizione del ricorso diretto all’accertamento della responsabilità dinanzi al Tribunale e, conseguentemente, la domanda di annullamento di una decisione siffatta non può essere valutata in modo autonomo rispetto alla domanda di accertamento della responsabilità (v., in questo senso, sentenza del 6 maggio 2019, Mauritsch/INEA, T‑271/18, non pubblicata, EU:T:2019:286, punto 26 e giurisprudenza ivi citata). Nel caso di specie, avendo il ricorrente presentato domande risarcitorie volte, in particolare, ad ottenere il risarcimento del danno morale che egli afferma di aver subito a causa della divulgazione dei suoi dati personali (v. infra, punto 82), non occorre statuire in modo autonomo sulla domanda di annullamento diretta contro il rigetto di tale domanda di risarcimento.
Sulla ricevibilità della domanda di annullamento
43
Senza eccepire formalmente l’irricevibilità della domanda di annullamento, Eurofound sostiene che essa è irricevibile in quanto il ricorrente non possiede un interesse certo, reale e attuale ad agire, poiché essa non ha rifiutato di svolgere un’indagine sulla divulgazione dei suoi dati personali e ha sempre collaborato con il GEPD a tale riguardo. Il ricorrente contesta tali argomentazioni e replica, in sostanza, che l’indagine condotta da Eurofound non è mai stata finalizzata a rispondere alle richieste formulate il 2 febbraio 2018, ossia a individuare la causa e i responsabili della divulgazione dei suoi dati personali.
44
In base ad una giurisprudenza costante, il ricorso di annullamento proposto da una persona fisica o giuridica è ricevibile solo ove il ricorrente abbia un interesse all’annullamento dell’atto impugnato. Un tale interesse presuppone che il ricorso possa, per il suo risultato, giovare alla parte che l’ha proposto. Tale beneficio può riguardare gli interessi materiali, gli interessi morali o le aspettative dell’interessato (v. ordinanza del 20 ottobre 2009, causa T‑89/06Lebard/Commissione, non pubblicata, EU:T:2009:408, punto 35 e giurisprudenza ivi citata).
45
Nella fattispecie, il ricorrente contesta il rigetto della sua domanda di assistenza laddove essa mirava alla realizzazione, sotto controllo esterno, di un’indagine amministrativa sulla divulgazione asseritamente illecita dei suoi dati personali a terzi senza il suo previo consenso e all’individuazione delle persone responsabili di tale divulgazione. Orbene, tale constatazione è sufficiente per concludere che il presente ricorso è suscettibile di giovare al ricorrente, in quanto l’annullamento della decisione impugnata potrebbe indurre Eurofound a svolgere una tale indagine.
46
Ne consegue che la domanda di annullamento del ricorrente deve considerarsi ricevibile.
Sulla fondatezza della domanda di annullamento
– Sul primo motivo, vertente sull’incompetenza dell’autore dell’atto lesivo
47
Con il suo primo motivo, il ricorrente sostiene che la decisione impugnata e la decisione di rigetto del reclamo sono viziate da incompetenza, in quanto sono state adottate dallo studio legale esterno, che non può essere considerato un’autorità ai sensi dello statuto.
48
Eurofound conclude che questo motivo è irricevibile, in quanto non è stato sollevato nella procedura precontenziosa e, in ogni caso, è infondato. In primo luogo, la decisione impugnata è stata redatta e firmata dallo studio legale esterno, in qualità di rappresentante di Eurofound, su istruzioni di quest’ultima. A questo proposito, Eurofound precisa che i poteri dell’AACC sono rimasti nella competenza esclusiva del direttore esecutivo durante tutta la fase precontenziosa e non sono stati affidati allo studio legale esterno. In secondo luogo, la legge irlandese prevede che uno studio legale esterno può firmare una decisione presa da un’autorità amministrativa. In terzo luogo, la scelta di farsi assistere da uno studio legale esterno sarebbe stata dettata dal fatto che il ricorrente stesso aveva richiesto l’assistenza di un legale. In quarto luogo, le decisioni dell’AACC non sono soggette ad alcun requisito formale, poiché le stesse domande dei funzionari o degli agenti non devono rispettare tali requisiti.
49
Senza che sia necessario considerare se, in sostanza, nel contenuto del reclamo del 21 giugno 2018 figuri una censura collegabile al presente motivo, occorre ricordare che il motivo relativo all’incompetenza dell’autore di un atto lesivo è un motivo di ordine pubblico che spetta al Tribunale sollevare d’ufficio, eventualmente (v., in questo senso, sentenza del 17 novembre 2017, Teeäär/BCE, T‑555/16, non pubblicata, EU:T:2017:817, punto 36 e giurisprudenza ivi citata).
50
È quindi necessario esaminare il suddetto motivo nel merito.
51
Va rilevato che, in primo luogo, lo studio legale esterno è stato autorizzato a redigere e firmare la decisione impugnata. D’altra parte, non risulta dal fascicolo presentato al Tribunale, contrariamente a quanto sostiene il ricorrente, che tale studio non abbia agito su istruzioni di Eurofound. Da un lato, è noto che il suddetto studio ha sempre dichiarato di aver agito in nome e per conto di Eurofound. Dall’altro, gli elementi del contesto prodotti da Eurofound davanti al Tribunale e relativi alla sua corrispondenza con lo studio legale esterno durante la fase precontenziosa attestano che gli scritti di questo studio erano concordati con Eurofound.
52
In secondo luogo, per quanto riguarda l’autorizzazione in tal modo conferita da Eurofound allo studio legale esterno per redigere e firmare la decisione impugnata, esso sostiene, in sostanza, che tale studio legale ha ricevuto una delega di firma e che detta delega era legittima.
53
A questo proposito, a prescindere dalla natura dell’autorizzazione conferita allo studio legale esterno per redigere e firmare la decisione impugnata, occorre innanzitutto rilevare che la Corte ha precisato, a proposito della delega di poteri, che un’istituzione o un organismo dell’Unione è abilitato a prevedere un insieme di misure di organizzazione e di delega di poteri a istanze decisionali nel suo seno, in particolare, in materia di gestione del suo personale (v., in questo senso, sentenza del 26 maggio 2005, Tralli/BCE, C‑301/02 P, EU:C:2005:306, punti da 41 a 43).
54
Occorre poi ricordare che l’articolo 2 dello statuto prevede che «[o]gni istituzione determina le autorità che esercitano nel suo ambito i poteri demandati [dallo] statuto all’autorità che ha il potere di nomina» e che «[u]na o più istituzioni possono affidare ad una di esse o ad un organismo interistituzionale l’esercizio di una parte o dell’insieme dei poteri devoluti all’autorità che ha il potere di nomina, ad eccezione delle decisioni relative alle nomine, alle promozioni o ai trasferimenti di funzionari». Quindi l’autorità competente deve essere determinata «nel[l]’ambito» di detta istituzione, sicché questi poteri, in linea di principio, possono unicamente essere conferiti a una o più persone dipendenti da essa. L’unica eccezione autorizzata dallo statuto è quando una o più istituzioni decidono di affidare a una di esse o a un organismo interistituzionale detti poteri, che non possono in nessun caso estendersi alle decisioni di nomina, promozione o trasferimento di funzionari.
55
Inoltre, la delega di firma è una misura relativa all’organizzazione interna dei servizi dell’amministrazione dell’Unione ed è il mezzo ordinario con cui essa esercita le sue competenze. Ne consegue che, in virtù di una delega di firma, solo gli agenti e i funzionari possono in linea di principio essere autorizzati a prendere, in nome e sotto il controllo dell’amministrazione, misure di gestione o amministrative chiaramente definite (v., in tal senso, sentenza del 6 dicembre 1994, Lisrestal e a./Commissione, T‑450/93, EU:T:1994:290, punto 34 e giurisprudenza ivi citata).
56
Infine, la legittimità di un’autorizzazione come quella in questione nel presente caso deve essere valutata alla luce della finalità del procedimento precontenzioso previsto dagli articoli 90 e 91 dello statuto. Orbene, tale finalità consiste nello stabilire un dialogo tra l’istituzione e il suo funzionario o agente sui problemi che possono essere sorti nel rapporto di lavoro e quindi dare loro la possibilità di trovare una soluzione amichevole alla controversia (v. sentenza del 12 marzo 2019, TK/Parlamento, T‑446/17, non pubblicata, EU:T:2019:151, punto 44 e giurisprudenza ivi citata). Ne consegue che, per mantenere l’apertura di spirito e di dialogo che tale fase richiede, l’istituzione deve rimanere l’interlocutore privilegiato del funzionario o dell’agente durante tutto questo processo.
57
Nel caso di specie, alla luce dei principi sopra ricordati, si deve ritenere che, sebbene Eurofound potesse usufruire di una consulenza legale da parte dello studio legale esterno nell’ambito di un procedimento precontenzioso rientrante nello statuto, tale facoltà non può tuttavia spingersi fino a consentirle di autorizzare un soggetto privato esterno, come tale studio legale, a redigere e firmare la decisione impugnata.
58
A questo proposito, occorre constatare che l’unico interlocutore con cui il ricorrente ha interagito durante tutta la fase precontenziosa del procedimento è stato lo studio legale esterno, e non già Eurofound. Pertanto, il ruolo di primo piano svolto da tale studio nella fase precontenziosa ha impedito l’instaurazione di un dialogo sereno tra Eurofound e il ricorrente in merito ai problemi che potevano essere sorti nel rapporto di lavoro, che avrebbe offerto loro la possibilità di trovare una soluzione amichevole della controversia. Tale circostanza è stata peraltro confermata da Eurofound all’udienza, quando ha dichiarato che la scelta di farsi rappresentare da uno studio legale esterno era stata fatta anche in considerazione della natura «contenziosa» della domanda di risarcimento proposta il 2 febbraio 2018.
59
In terzo luogo, bisogna ricordare che la procedura amministrativa è disciplinata da regole e principi inerenti all’azione dei poteri pubblici. Così, in particolare, il principio di buona amministrazione richiede che la ripartizione delle competenze e dei poteri di firma all’interno delle istituzioni sia chiaramente definita e resa pubblica (v., in tal senso, sentenze del 17 novembre 2017, Teeäär/BCE, T‑555/16, non pubblicata, EU:T:2017:817, punto 53, e del 19 dicembre 2019, XG/Commissione, T‑504/18, EU:T:2019:883, punto 87). In effetti, il rispetto del principio della certezza del diritto, in base al quale un atto emanato dalle pubbliche autorità non può venir opposto agli amministrati prima che questi abbiano avuto la possibilità di venirne a conoscenza, impone, ancorché nessuna disposizione scritta lo preveda espressamente, che le decisioni relative all’esercizio dei poteri devoluti dallo statuto all’autorità che ha il potere di nomina e dal regime applicabile agli altri agenti dell’Unione europea all’AACC siano oggetto di una misura di pubblicità adeguata secondo le modalità e le forme che spetta all’amministrazione determinare (v. sentenza del 30 novembre 2009, Wenig/Commissione, F‑80/08, EU:F:2009:160, punto 90 e giurisprudenza ivi citata).
60
Orbene, nella fattispecie occorre rilevare che, anche supponendo che Eurofound potesse autorizzare lo studio legale esterno a redigere e firmare la decisione impugnata, dal fascicolo non si evince alcun elemento che dimostri che tale autorizzazione sia stata chiaramente definita, né tanto meno resa pubblica.
61
Alla luce di quanto sopra, occorre rilevare che la decisione impugnata è illegittima in quanto è stata elaborata e firmata da uno studio legale esterno.
62
Siffatta conclusione non può essere rimessa in discussione dagli argomenti dedotti da Eurofound.
63
In primo luogo, occorre ricordare che, per quanto riguarda la determinazione dell’autorità competente a respingere una domanda di assistenza basata sull’articolo 24 dello statuto e una domanda di risarcimento presentata da un funzionario ai sensi dell’articolo 90, paragrafo 1, dello statuto, Eurofound non è soggetta al diritto irlandese. Risulta infatti dal combinato disposto dell’ultimo considerando e dell’articolo 17 del regolamento (CEE) n. 1365/75 del Consiglio, del 26 maggio 1975, concernente l’istituzione di una Fondazione europea per il miglioramento delle condizioni di vita e di lavoro (GU 1975, L 139, pag. 1), come modificato dal regolamento (CE) n. 1111/2005 del Consiglio, del 24 giugno 2005 (GU 2005, L 184, pag. 1), che, da un lato, Eurofound è istituita nell’ambito dell’Unione e agisce nel rispetto del diritto dell’Unione e, dall’altro, il suo personale assunto dopo il 4 agosto 2005 è sottoposto allo statuto. Così, anche supponendo che uno studio legale esterno possa, secondo il diritto nazionale al quale è soggetto, redigere e firmare una decisione presa da un’amministrazione pubblica, tale regola non può essere applicata alle decisioni prese sulla base dello statuto.
64
In secondo luogo, Eurofound non può validamente sostenere che, poiché il ricorrente era assistito da un avvocato, anch’essa sarebbe stata obbligata a ricorrere ai servizi di uno studio legale esterno.
65
È sufficiente ricordare a questo proposito che, secondo una giurisprudenza ben consolidata, non si può vietare agli interessati di avvalersi, nella fase precontenziosa, della consulenza di un difensore (v., in tal senso, sentenza del 5 novembre 1991, Parlamento/Virgili-Schettini, C‑348/90 P, EU:C:1991:413, punto 5 e giurisprudenza ivi citata). Questo principio si spiega con il fatto che, mentre un’istituzione, che dispone di risorse più cospicue di un funzionario o altro agente, può avvalersi di un servizio giuridico ed essere assistita o ricevere consulenze dai suoi agenti, il funzionario o altro agente, che non possiede necessariamente conoscenze giuridiche, ha il diritto di ricorrere ai servizi di un legale esterno. Inoltre, va notato, in ogni caso, che, come Eurofound ha precisato nelle sue risposte alle misure di organizzazione del procedimento, essa non era obbligata a farsi assistere da uno studio legale esterno, poiché usufruisce di un accordo a livello di servizi con la direzione delle risorse umane della Commissione europea per il trattamento dei reclami amministrativi.
66
In terzo luogo, Eurofound ha torto ad affermare, basandosi in particolare sulla sentenza del 5 novembre 1991, Parlamento/Virgili-Schettini (C‑348/90 P, EU:C:1991:413), che le decisioni dell’AACC non sono soggette a particolari requisiti formali e che, pertanto, possono essere redatte e firmate da uno studio legale esterno.
67
Tale sentenza ribadisce in realtà un principio giurisprudenziale sancito dalla sentenza del 9 marzo 1978, Herpels/Commissione (54/77, EU:C:1978:45), secondo il quale una domanda ai sensi dell’articolo 90 dello statuto presentata da un funzionario non è sottoposta a condizioni di forma e il suo contenuto deve essere interpretato e valutato dall’amministrazione con tutta la diligenza che una grande organizzazione bene attrezzata deve mostrare nei confronti dei suoi amministrati, ivi compreso il suo personale. Tuttavia, contrariamente a quanto sostiene Eurofound, la flessibilità relativa ai requisiti formali si applica esclusivamente alle domande dei funzionari o degli agenti, che possono presentare tale domanda anche senza il tramite di un avvocato, e non alla decisione formale che l’istituzione è chiamata a prendere sulla base di tale domanda, la cui redazione e firma non possono essere delegate a un soggetto privato esterno, come risulta dal precedente punto 57.
68
Da quanto precede risulta che la decisione impugnata è affetta da un vizio di incompetenza che, tenuto conto in particolare delle considerazioni esposte ai precedenti punti 58 e 60, ha violato le regole di buona amministrazione in materia di gestione del personale. Per questo motivo, essa deve essere annullata (v., in tal senso, sentenza del 17 novembre 2017, Teeäär/BCE, T‑555/16, non pubblicata, EU:T:2017:817, punto 52 e giurisprudenza citata).
69
Tuttavia, al fine di garantire una buona amministrazione della giustizia, occorre esaminare anche il secondo motivo di ricorso sollevato dal ricorrente.
– Sul secondo motivo, relativo in particolare alla violazione del dovere di assistenza
70
Il ricorrente sostiene, in sostanza, che Eurofound ha violato il dovere di assistenza, in quanto ha respinto prematuramente la domanda di risarcimento, senza svolgere l’indagine che egli aveva richiesto il 2 febbraio 2018. Secondo il ricorrente, l’obiettivo di tale indagine avrebbe dovuto essere quello di chiarire la falla nella sicurezza, vale a dire di individuare i responsabili di tale falla, coloro che hanno consultato il fascicolo controverso e il motivo per cui lo hanno fatto, e quindi di permettergli di dimostrare il danno di cui chiedeva il risarcimento.
71
Eurofound contesta questi argomenti, replicando, in primo luogo, che il rigetto della domanda di risarcimento non era prematuro, in quanto essa, al momento della presentazione della domanda, disponeva delle informazioni pertinenti per prendere la sua decisione, e che il ricorrente avrebbe allora dovuto vuoi ritirare la sua domanda di risarcimento, vuoi attendere i risultati dell’indagine amministrativa sulle molestie e dell’indagine del GEPD, e successivamente presentare una domanda di risarcimento se l’esito di una di queste indagini lo avesse giustificato. In secondo luogo, sostiene che non era obbligata a svolgere un’indagine per permettere al ricorrente di valutare l’indennizzo a cui ha diritto, né a fornirgli le prove necessarie per suffragare tale richiesta.
72
Innanzi tutto occorre ricordare che dall’elenco puramente esemplificativo dei comportamenti illeciti elencati all’articolo 24 dello statuto, che si riferisce in particolare a minacce, ingiurie, diffamazioni o attentati contro la persona o i beni del funzionario a motivo della sua qualità o delle sue funzioni, si evince che l’obbligo di assistenza persegue unicamente lo scopo di tutelare i funzionari e gli agenti dell’Unione da attacchi ingiustificati, incompatibili con l’ordine e la serenità del servizio, commessi da terzi o da funzionari o agenti dell’Unione. La giurisprudenza del Tribunale precisa in proposito che l’obbligo di assistenza è dovuto solo contro atti di cui si sospetta l’illegittimità e che possano ragionevolmente essere interpretati come attentati ai diritti dei funzionari (v. sentenza del 9 settembre 2016, De Esteban Alonso/Commissione, T‑557/15 P, non pubblicata, EU:T:2016:456, punto 41 e giurisprudenza ivi citata).
73
In forza dell’obbligo di assistenza discendente dall’articolo 24, primo comma, dello statuto, l’amministrazione, in presenza di un incidente incompatibile con l’ordine e la serenità del servizio, deve intervenire con tutta l’energia necessaria e rispondere con la tempestività e la sollecitudine richieste dalle circostanze del caso di specie, al fine di accertare i fatti e di trarne, con cognizione di causa, le debite conseguenze. A tal fine, basta che il funzionario che reclama la protezione della sua istituzione apporti un inizio di prova del carattere effettivo degli attacchi di cui asserisce di essere oggetto. In presenza di siffatti elementi, spetta all’istituzione in questione adottare gli opportuni provvedimenti, in particolare facendo procedere ad un’indagine, al fine di accertare i fatti all’origine della denuncia, in collaborazione con l’autore di quest’ultima (v. sentenza del 9 settembre 2016, De Esteban Alonso/Commissione, T‑557/15 P, non pubblicata, EU:T:2016:456, punto 40 e giurisprudenza ivi citata).
74
È alla luce di questa giurisprudenza che va appurato se Eurofound ha adempiuto al suo obbligo di assistenza in seguito alla domanda presentata dal ricorrente e diretta a denunciare una divulgazione dei suoi dati personali, che può essere considerata un atto che viola i diritti dei funzionari.
75
In limine, si constata che, a seguito della domanda di assistenza del ricorrente, Eurofound ha attuato diverse misure relative alla falla nella sicurezza. Anzitutto, essa ha rimediato a tale falla e ha avvertito i membri del suo personale dell’incidente; poi, ha immediatamente segnalato la falla al GEPD con cui è rimasta in costante contatto nel contesto della seconda indagine del GEPD; inoltre, ha richiesto l’assistenza di altre agenzie, tra cui l’Agenzia dell’Unione europea per la cooperazione giudiziaria penale (Eurojust) e l’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol), al fine di analizzare gli aspetti tecnici relativi alla falla nella sicurezza; in seguito, ha commissionato una perizia informatica a una società esterna; infine, ha effettuato una revisione complessiva delle politiche e delle procedure vigenti in materia di tecnologie dell’informazione, anche dal punto di vista della protezione dei dati personali.
76
Tuttavia, il Tribunale rileva che, nonostante gli sforzi compiuti con l’emanazione di tali misure per contenere gli effetti della falla nella sicurezza del file «hrlink», non è stata effettuata alcuna indagine amministrativa propriamente detta per accertare se il ricorrente stesso avesse effettivamente subito una divulgazione dei suoi dati personali in conseguenza di tale falla, in particolare alla luce degli obblighi derivanti dal regolamento n. 45/2001 [divenuto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento n. 45/2001 e la decisione n. 1247/2002/CE (GU 2018, L 295, pag. 39)].
77
Eurofound ha sempre sostenuto, sia nella fase precontenziosa che nel procedimento dinanzi al Tribunale, che il ricorrente non ha mai dimostrato in modo giuridicamente adeguato né che la divulgazione dei suoi dati personali fosse stata intenzionale né di aver subito un danno a causa di tale divulgazione. Inoltre, poiché l’errore che ha generato la falla nella sicurezza era di natura tecnica e il GEPD era soddisfatto delle misure emanate da Eurofound, non gli sarebbe stata richiesta alcuna azione ulteriore.
78
Tuttavia, è sufficiente rilevare, a questo proposito, che Eurofound afferma erroneamente che, per poter giustificare il danno subito, tale divulgazione deve essere intenzionale. Infatti, occorre ricordare che, secondo la giurisprudenza, la divulgazione, anche non intenzionale, di informazioni personali in violazione delle disposizioni del regolamento n. 45/2001 (divenuto il regolamento 2018/1725) costituisce un illecito tale da far sorgere la responsabilità dell’istituzione interessata (v, in tal senso, sentenza del 15 gennaio 2019, HJ/EMA, T‑881/16, non pubblicata, EU:T:2019:5, punti 54 e 57).
79
Inoltre, Eurofound non può validamente basarsi sul fatto che il GEPD era soddisfatto delle misure adottate, poiché il GEPD ha chiuso solo la sua seconda indagine, avviata su segnalazione di Eurofound, e non la prima, aperta su reclamo del ricorrente, che è stata sospesa in attesa della decisione che conclude il presente procedimento.
80
Alla luce di quanto sopra, occorre dichiarare che Eurofound è venuta meno anche al suo dovere di assistenza.
81
In tali circostanze, il secondo motivo deve essere accolto e la decisione impugnata annullata, senza che sia necessario esaminare gli altri motivi sollevati dal ricorrente né le sue offerte di prova e la domanda di misure di organizzazione del procedimento da esso formulata nella replica relativa, in particolare, alla produzione del mandato ad litem dei rappresentanti di Eurofound. Inoltre, per quanto riguarda l’offerta di prova prodotta da Eurofound il 25 novembre 2020 relativa ad un reclamo ai sensi dell’articolo 90, paragrafo 2, dello statuto, presentato dal ricorrente il 13 novembre 2020 nell’ambito del suo rapporto informativo, è sufficiente rilevare che essa non riguarda nessuno dei motivi che il Tribunale ha ritenuto opportuno esaminare nell’ambito dell’annullamento della decisione impugnata, per cui non è necessario esaminarla. Lo stesso vale per gli allegati 9, 10 e 13 della replica, di cui Eurofound eccepisce l’inammissibilità nella controreplica.
Sulle domande risarcitorie
82
Nell’atto introduttivo del ricorso, il ricorrente chiede il risarcimento dei presunti danni morali derivanti dalla divulgazione dei suoi dati personali e dalla decisione impugnata. Nella replica, egli sostiene che la scoperta, alla lettura del controricorso, della divulgazione del contenuto completo al GEPD della sua domanda di assistenza per fatti relativi a molestie e il tono accusatorio e denigratorio usato da Eurofound in questa stessa memoria hanno aggravato il suo danno morale, che deve essere portato a EUR 200000.
83
Eurofound replica che le domande risarcitorie, come formulate sia nell’atto introduttivo del ricorso sia nella replica, sono irricevibili e, in ogni caso, infondate.
Sulla ricevibilità della domanda risarcitoria proposta nell’atto introduttivo del ricorso
84
Eurofound sostiene che l’oggetto del ricorso non corrisponde a quello del reclamo del 21 giugno 2018, il che costituisce una violazione della regola della concordanza, e che il ricorrente non ha rispettato la regola dell’esaurimento dei rimedi amministrativi disponibili prima del procedimento contenzioso. Eurofound sostiene, in particolare, che, in primo luogo, il ricorrente non ha chiesto, nel reclamo, l’annullamento della decisione impugnata nella parte in cui essa ha respinto la sua domanda di risarcimento e, in secondo luogo, che la sua domanda di risarcimento non faceva parte della conclusione in via principale di tale reclamo, ma era stata formulata in modo vago e in subordine. Del resto, è stato solo in sede di ricorso che il ricorrente ha precisato, per la prima volta, che la domanda diretta ad ottenere il risarcimento presentata il 2 febbraio 2018 riguardava il danno morale derivante sia dalla divulgazione dei suoi dati personali sia dai presunti atti di molestia nei suoi confronti e che l’importo di EUR 60000 era quindi suddiviso in EUR 30000 per ciascuna di queste due voci di danno. Inoltre, poiché il ricorso per risarcimento danni è strettamente connesso al ricorso di annullamento, esso dovrebbe essere respinto come irricevibile per il fatto che anche il ricorso di annullamento dovrebbe essere considerato irricevibile, o in ogni caso infondato.
85
Il ricorrente contesta tali argomenti.
86
Anzitutto si deve rilevare che i capi del reclamo del 21 giugno 2018 sono formulati in modo quasi identico a quelli presentati dal ricorrente nel suo atto introduttivo del ricorso (v. punto 11 supra), circostanza che Eurofound peraltro riconosce al punto 1.2 del controricorso.
87
Poi, sebbene nel reclamo del 21 giugno 2018 il ricorrente non spieghi il motivo del cambiamento del quantum del danno rispetto alla domanda del 2 febbraio 2018, tale circostanza non può influire sulla ricevibilità della domanda risarcitoria. Infatti, secondo la giurisprudenza, la concordanza delle censure deve sussistere soltanto tra il reclamo amministrativo e l’atto introduttivo del ricorso, al fine di evitare, in particolare, che il funzionario o l’agente facciano valere talune censure, ovvero il complesso delle stesse, solo nella fase contenziosa, con la conseguenza che la possibilità di una composizione extragiudiziale della controversia risulta significativamente ridotta (v., in tal senso, sentenza del 19 dicembre 2019, Wehrheim/BCE, T‑100/18, non pubblicata, EU:T:2019:882, punto 39 e giurisprudenza citata).
88
Infine, occorre ricordare che tale regola di concordanza non ha lo scopo di delimitare in modo definitivo e rigoroso l’oggetto dell’eventuale fase contenziosa, purché le domande proposte al giudice dell’Unione non modifichino né la causa né l’oggetto del reclamo (v., in tal senso, sentenza del 19 dicembre 2019, Wehrheim/BCE, T‑100/18, non pubblicata, EU:T:2019:882, punto 40 e giurisprudenza ivi citata). A quest’ultimo riguardo si constata che la domanda del 2 febbraio 2018, il reclamo del 21 giugno 2018 e l’atto introduttivo del ricorso si basano sulla stessa causa, cioè il risarcimento di un danno morale.
89
Pertanto, poiché il ricorrente presenta al Tribunale capi della domanda che poggiano sulla stessa causa su cui si fondano i capi della domanda addotti nel reclamo, la domanda risarcitoria è ricevibile.
90
Questa conclusione non può essere messa in discussione dall’argomento che il ricorso per risarcimento danni deve essere respinto in quanto strettamente legato al ricorso di annullamento, che deve a sua volta essere respinto. Occorre infatti ricordare a questo proposito che dall’esame del primo e del secondo motivo risulta che il ricorso è fondato.
91
Alla luce di quanto sopra, l’eccezione di irricevibilità sollevata da Eurofound deve essere respinta.
Sulla ricevibilità della domanda risarcitoria proposta nella replica
92
Eurofound sostiene che la domanda risarcitoria proposta nella replica deve essere dichiarata irricevibile in quanto, da un lato, si basa su nuove voci di danno presentate per la prima volta nella fase della replica e, dall’altro, il ricorrente non ha esaurito i mezzi di ricorso amministrativi prima di avviare il procedimento contenzioso per tali voci di danno.
93
Il ricorrente contesta tali argomenti.
94
Ai sensi dell’articolo 76, lettera e), del regolamento di procedura, la parte ricorrente è tenuta a esporre le sue conclusioni nell’atto introduttivo del ricorso. Così, in linea di principio, solo le conclusioni esposte nell’atto introduttivo possono essere prese in considerazione e la fondatezza del ricorso deve essere esaminata esclusivamente alla luce degli argomenti contenuti in esso. L’articolo 84, paragrafo 1, del regolamento di procedura autorizza la deduzione di motivi nuovi a condizione che essi si basino su elementi di diritto e di fatto emersi durante il procedimento. Dalla giurisprudenza si evince che tale condizione vale a fortiori per qualsiasi modifica delle conclusioni e che, in mancanza di elementi di diritto e di fatto emersi durante la fase scritta del procedimento, possono essere prese in considerazione solo le conclusioni dell’atto introduttivo del ricorso (v. ordinanza del 27 marzo 2017, Frank/Commissione, T‑603/15, non pubblicata, EU:T:2017:228, punto 41 e giurisprudenza ivi citata). Peraltro, un argomento che modifica lo stesso fondamento della responsabilità dell’Unione va considerato costituire un motivo nuovo, la cui deduzione è vietata in corso di giudizio (v. sentenza dell’11 giugno 2019, TO/AEE, T‑462/17, non pubblicata, EU:T:2019:397, punto 236 e giurisprudenza ivi citata).
95
Nella fattispecie, occorre rilevare che la nuova domanda risarcitoria contenuta nella replica si basa su nuove voci di danno, che modificano il fondamento stesso della responsabilità dell’Unione, e in particolare i fatti da cui è scaturito il danno morale invocato dal ricorrente nell’atto introduttivo del giudizio. Infatti, il ricorrente sostiene che sono la divulgazione del contenuto integrale del suo fascicolo al GEPD attraverso la lettera del 1o agosto 2018 e il tono accusatorio e denigratorio usato da Eurofound nel controricorso a giustificare l’aumento dell’importo richiesto per il presunto danno morale subito.
96
Pertanto, dato che queste nuove voci di danno costituiscono la conseguenza di errori asseritamente commessi dall’amministrazione, essi devono formare oggetto di un nuovo procedimento precontenzioso. A tal riguardo, occorre ricordare che, in un caso del genere, tale procedimento deve obbligatoriamente iniziare con una domanda ai sensi dell’articolo 90, paragrafo 1, dello statuto che invita l’AACC a risarcire il danno asseritamente subito, seguita, se del caso, da un reclamo contro la decisione che respingeva la detta domanda (v., in tal senso, ordinanza del 25 marzo 2020, Lucaccioni/Commissione, T‑507/19, non pubblicata, EU:T:2020:118, punti 54 e 55).
97
Di conseguenza, poiché il ricorrente non ha seguito, e nemmeno avviato, il richiesto procedimento precontenzioso per contestare tali errori, la domanda risarcitoria formulata nella replica è irricevibile, cosicché resta ricevibile solo quella formulata nell’atto introduttivo del ricorso.
Sulla fondatezza della domanda di risarcimento del presunto danno morale
98
In primo luogo, per quanto riguarda il capo della domanda relativo al danno morale derivante dalla decisione impugnata, occorre rilevare che, secondo una giurisprudenza costante, l’annullamento di un atto illegittimo costituisce di per sé il risarcimento adeguato e, in linea di principio, sufficiente di qualsiasi danno morale che detto atto possa aver cagionato, a meno che la parte ricorrente non dimostri di aver subìto un danno morale non connesso all’illegittimità che ha fondato l’annullamento e di cui con quest’ultimo non possa essere ottenuta integrale riparazione (v. sentenza del 30 gennaio 2020, BZ/Commissione, T‑336/19, non pubblicata, EU:T:2020:21, punto 54 e giurisprudenza ivi citata).
99
Orbene, nella fattispecie si constata che il ricorrente non ha dimostrato per che motivo questo capo della domanda relativo al danno non possa essere risarcito integralmente con l’annullamento della decisione impugnata dalla quale tale danno scaturisce.
100
In tali circostanze, il Tribunale ritiene che detto danno sia adeguatamente e sufficientemente risarcito dall’annullamento della decisione impugnata, cosicché la domanda risarcitoria attinente a tale danno deve essere respinta.
101
In secondo luogo, per quanto riguarda il capo della domanda concernente il danno morale derivante dalla divulgazione dei dati personali del ricorrente, occorre ricordare che spetterà a Eurofound, conformemente all’articolo 266 TFUE, prendere i provvedimenti che l’esecuzione della sentenza comporta. Inoltre, la prima indagine del GEPD avviata su reclamo del ricorrente è stata sospesa in attesa della decisione che conclude il presente procedimento.
102
Pertanto, poiché il Tribunale non può anticipare né le conclusioni di tale indagine né i provvedimenti presi in esecuzione della sentenza, in considerazione dei quali il ricorrente potrà decidere di presentare una nuova domanda di risarcimento, la domanda risarcitoria volta alla riparazione del danno morale derivante da tale divulgazione deve essere respinta in quanto prematura.
103
Alla luce di tutto quanto precede, la decisione impugnata deve essere annullata nella parte in cui respinge la domanda di assistenza del ricorrente, e il ricorso deve essere respinto per il resto.
Sulle spese
104
Ai sensi dell’articolo 134, paragrafo 3, del regolamento di procedura, se le parti soccombono rispettivamente su uno o più capi, le spese sono compensate. Tuttavia, se ciò appare giustificato alla luce delle circostanze del caso di specie, il Tribunale può decidere che una parte sostenga, oltre alle proprie spese, una quota delle spese dell’altra parte.
105
Poiché, nel caso di specie, il ricorso è stato sostanzialmente accolto, sarà fatta una giusta valutazione delle circostanze della causa decidendo che Eurofound sopporti, oltre alle proprie spese, quelle sostenute dal ricorrente.
Per questi motivi,
IL TRIBUNALE (Prima Sezione)
dichiara e statuisce:
1)
La decisione del 22 marzo 2018, redatta e firmata da uno studio legale esterno, riguardante una domanda di assistenza di AH in relazione alla divulgazione dei suoi dati personali, è annullata.
2)
Il ricorso è respinto quanto al resto.
3)
La Fondazione europea per il miglioramento delle condizioni di vita e di lavoro (Eurofound) è condannata a sopportare, oltre alle proprie spese, quelle sostenute da AH.
Kanninen
Półtorak
Stancu
Così deciso e pronunciato a Lussemburgo l’8 settembre 2021.
Firme
(
*1
)	Lingua processuale: il francese.
(
1
)	Dati riservati omessi.