Tribunale, Ordinanza T-709/21

Ricorso contro la decisione vincolante del CEPD nel caso WhatsApp

L'ordinanza riguarda un ricorso di annullamento proposto da WhatsApp Ireland Ltd ai sensi dell'articolo 263 TFUE contro la decisione vincolante 1/2021 del Comitato europeo per la protezione dei dati (CEPD), adottata nell'ambito del meccanismo di coerenza del regolamento (UE) 2016/679. Il Tribunale, Quarta Sezione ampliata, ha esaminato d'ufficio la ricevibilità del ricorso e ha concluso per la sua irricevibilità.

Contesto fattuale e procedurale

L'autorità di controllo irlandese, quale autorità di controllo capofila ai sensi dell'articolo 56 del regolamento 2016/679, aveva avviato un'indagine sul rispetto, da parte di WhatsApp, degli obblighi di trasparenza e di informazione previsti dagli articoli 12, 13 e 14 del GDPR. Dopo il progetto di decisione dell'autorità irlandese e le obiezioni di varie autorità di controllo interessate, la questione era stata deferita al CEPD ai sensi dell'articolo 60, paragrafo 4, e dell'articolo 65, paragrafo 1, lettera a).

Il CEPD aveva adottato la decisione impugnata, con cui si pronunciava su alcune obiezioni ritenute pertinenti e motivate e imponeva all'autorità capofila di modificare il proprio approccio su diversi punti: qualificazione di alcuni elementi come dati personali, violazione di taluni obblighi di trasparenza, riduzione del termine di conformazione e riconsiderazione dei criteri di quantificazione delle sanzioni amministrative.

Successivamente, l'autorità di controllo irlandese adottava la decisione finale del 20 agosto 2021, indirizzata a WhatsApp, che recepiva le valutazioni vincolanti del CEPD e infliggeva, tra l'altro, sanzioni amministrative per complessivi 225 milioni di euro. WhatsApp aveva parallelamente impugnato tale decisione finale dinanzi ai giudici irlandesi e, nello stesso tempo, aveva adito il Tribunale per ottenere l'annullamento della decisione del CEPD.

Quadro normativo richiamato

Il Tribunale ricostruisce il sistema del GDPR in materia di cooperazione tra autorità di controllo e composizione delle controversie:

• l'articolo 51 disciplina le autorità di controllo indipendenti;
• gli articoli 55 e 56 definiscono la competenza territoriale e il ruolo dell'autorità capofila nei trattamenti transfrontalieri;
• l'articolo 58, paragrafo 2, elenca i poteri correttivi, compresi ammonimenti, ingiunzioni e sanzioni;
• l'articolo 60 regola la cooperazione tra autorità capofila e autorità interessate;
• l'articolo 63 istituisce il meccanismo di coerenza;
• l'articolo 65 attribuisce al CEPD il potere di adottare una decisione vincolante nelle controversie tra autorità;
• l'articolo 68 qualifica il CEPD come organismo dell'Unione dotato di personalità giuridica;
• l'articolo 70 elenca i compiti del CEPD;
• l'articolo 78 riconosce il diritto a un ricorso giurisdizionale effettivo contro le decisioni delle autorità di controllo;
• l'articolo 83 disciplina le sanzioni amministrative pecuniarie.

Il Tribunale richiama inoltre l'articolo 263 TFUE, l'articolo 267 TFUE, l'articolo 47 della Carta e il considerando 143 del GDPR.

Ragionamento del Tribunale sulla natura dell'atto

Il Tribunale afferma anzitutto che il CEPD è un organismo dell'Unione e che, quando adotta una decisione vincolante ai sensi dell'articolo 65 del GDPR, emana un atto di un organo dell'Unione destinato a produrre effetti giuridici verso terzi. Tuttavia, ciò non basta per riconoscere la ricevibilità del ricorso di una persona giuridica non privilegiata.

Richiamando la giurisprudenza costante sull'articolo 263, quarto comma, TFUE, il Tribunale ribadisce che l'atto deve modificare in misura rilevante la situazione giuridica del ricorrente e, se non è destinatario dell'atto, il ricorrente deve essere direttamente e individualmente interessato. Nella specie, la decisione del CEPD è individuale rispetto a WhatsApp, ma non produce effetti giuridici autonomi nei suoi confronti: non è direttamente azionabile contro di essa e richiede necessariamente l'adozione della decisione finale dell'autorità irlandese.

Assenza di incidenza diretta e carattere preparatorio

Il punto decisivo è che la decisione del CEPD non incide direttamente sulla posizione giuridica di WhatsApp. Essa costituisce una fase intermedia di un procedimento complesso che si conclude con la decisione finale dell'autorità di controllo capofila, la sola opponibile al titolare del trattamento.

Secondo il Tribunale:

• la decisione impugnata non è la fase finale del procedimento;
• l'autorità irlandese conserva un margine di discrezionalità nel trarre le conseguenze della decisione del CEPD, specie quanto alla qualificazione di alcuni elementi, alla portata complessiva delle violazioni e alla determinazione concreta delle sanzioni;
• non è possibile separare artificialmente nella decisione finale una "sub-decisione" autonoma corrispondente alla decisione del CEPD.

Di conseguenza, la decisione del CEPD è un atto preparatorio e non un atto impugnabile ex articolo 263 TFUE da parte di WhatsApp.

Tutela giurisdizionale effettiva e ruolo del giudice nazionale

Il Tribunale sottolinea che la tutela giurisdizionale effettiva è garantita tramite il ricorso contro la decisione finale dell'autorità nazionale dinanzi ai giudici irlandesi, nei quali WhatsApp può contestare anche la legittimità della decisione del CEPD. In tale contesto, il giudice nazionale può, se necessario, sottoporre alla Corte di giustizia una questione pregiudiziale sulla validità dell'atto dell'Unione ai sensi dell'articolo 267 TFUE.

Il Tribunale richiama la logica complessiva del sistema dei rimedi giurisdizionali dell'Unione: evitare duplicazioni e procedimenti paralleli sulla validità del medesimo atto tra giudice dell'Unione e giudice nazionale. Il considerando 143 del GDPR non può sovvertire tale impianto, perché non ha valore normativo vincolante e non può prevalere sulle condizioni poste dall'articolo 263 TFUE.

Esito del ricorso e statuizioni accessorie

Il ricorso viene respinto in quanto irricevibile. Di conseguenza, non vi è più luogo a statuire sulle istanze di intervento presentate da Repubblica di Finlandia, Commissione, Garante europeo della protezione dei dati e Computer & Communication Industry Association. WhatsApp è inoltre condannata alle spese, con compensazione delle spese relative agli interventi secondo il regolamento di procedura.

Principio affermato

Una decisione del CEPD adottata nel meccanismo di coerenza del GDPR non è direttamente impugnabile dal destinatario finale del procedimento nazionale quando essa si limita a vincolare l'autorità di controllo capofila nell'adozione della successiva decisione definitiva e non produce effetti giuridici autonomi nei confronti del ricorrente; in tal caso la contestazione deve avvenire contro la decisione nazionale finale, con eventuale rinvio pregiudiziale sulla validità dell'atto del CEPD.