CJEU: Personal data leak is grave and manifest violation; burden of proof shifts to EU
Original title: NIKOLAOU V. COMMISSION
Judgment
Non-contractual liability under EU law: The normal rule is that the burden of proof is on the applicant to establish: i) the illegal action of a EU institution; ii) damages; iii) proof that the damages were caused by the illegal action of the institution. However, the burden of proof shifts to the institution when a fact giving rise to damages could have resulted from various causes, and the institution has not introduced any element of proof as to which was the true cause, even though it was be
Full text 2 paragraphs
## Court Summary Personal data: The information published in the press release was personal data, since the data subject was easily identifiable, under the circumstances. The fact that the applicant was not named did not protect her anonymity. (¶ 222) ## Excerpt 222 Les informations concernant l’enquête qui ont été publiées dans le communiqué de presse sont couvertes par la définition des données à caractère personnel donnée à l’article 2, sous a), du règlement nº 45/2001. En effet, les recommandations faites par l’OLAF aux autorités compétentes concernant des poursuites à engager à l’encontre d’une personne sont, par hypothèse, des informations concernant une personne physique spécifique. Si la requérante n’est pas identifiée dans le rapport annuel, elle est pourtant identifiable au sens de cette même disposition, dans les circonstances de l’espèce. En effet, comme cela a été jugé ci-dessus au point 181, le fait que le communiqué de presse n’a pas nommé la requérante n’a pas suffi à cacher son identité dans les circonstances de l’espèce.
En outre, la publication du communiqué de presse relève clairement de la notion de traitement de données à caractère personnel au sens de l’article 2, sous b), du règlement nº 45/2001, laquelle comprend notamment « la communication par transmission, diffusion ou toute autre forme de mise à disposition » de telles données.