Tribunale, Sentenza T-70/23

Competenza dell’EDPB a imporre un’ulteriore indagine e un progetto di decisione integrativa

La pronuncia riguarda tre ricorsi proposti dalla Data Protection Commission contro decisioni vincolanti dell’EDPB adottate nel contesto di controversie tra autorità di controllo su progetti di decisione concernenti Facebook, Instagram e WhatsApp. Il Tribunale era chiamato a chiarire se, nel meccanismo di coerenza del regolamento (UE) 2016/679, l’EDPB potesse imporre all’autorità di controllo capofila non solo di modificare il progetto di decisione, ma anche di ampliare l’istruttoria e di predisporre un ulteriore progetto di decisione.

Fatti e svolgimento del procedimento

La Data Protection Commission, dopo gli scambi con le altre autorità di controllo interessate, aveva constato il mancato consenso sulle obiezioni rivolte ai propri progetti di decisione e aveva adito l’EDPB ai sensi dell’articolo 60, paragrafo 4, del regolamento 2016/679. L’EDPB aveva adottato le decisioni vincolanti 3/2022, 4/2022 e 5/2022, ritenendo pertinenti e motivate la maggior parte delle obiezioni e approvandone diverse nel merito. Nelle parti impugnate, tali decisioni imponevano alla ricorrente di svolgere nuove indagini su trattamenti di dati connessi alle applicazioni in questione e di elaborare progetti di decisione integrativi.

Questione giuridica

Il motivo unico dei ricorsi verteva sull’incompetenza dell’EDPB: secondo la ricorrente, l’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679 consentirebbe soltanto di intervenire sulle questioni già trattate nel progetto di decisione, non anche di ordinare accertamenti ulteriori su aspetti ancora non esaminati. La Commissione irlandese sosteneva inoltre che l’ambito dell’indagine fosse riservato alle autorità nazionali e al controllo giurisdizionale interno.

Normativa rilevante

Il Tribunale ha esaminato in particolare:

• l’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, che attribuisce all’EDPB il potere di adottare decisioni vincolanti in presenza di un’obiezione pertinente e motivata;
• l’articolo 4, punto 24, che definisce tale obiezione;
• l’articolo 60, in particolare i paragrafi 1, 3, 4 e 6, che disciplinano cooperazione, trasmissione del progetto di decisione e soluzione dei disaccordi;
• l’articolo 57, paragrafo 1, lettere a) e f), e l’articolo 58, paragrafi 1 e 2, relativi ai compiti e ai poteri delle autorità di controllo;
• l’articolo 66, richiamato per distinguere le decisioni vincolanti d’urgenza;
• le norme e i principi primari evocati sulla competenza dell’Unione e sull’indipendenza delle autorità di controllo, in particolare articolo 5 TUE, articolo 16 TFUE, articolo 39 TUE e articolo 8 della Carta.

Ragionamento del Tribunale

Il Tribunale ha adottato un’interpretazione letterale, contestuale e teleologica del regolamento 2016/679.

Sul piano letterale, ha osservato che l’articolo 4, punto 24, non limita l’obiezione pertinente e motivata alle sole considerazioni già contenute nel progetto di decisione, ma include anche contestazioni relative all’assenza o insufficienza di analisi su un aspetto del fascicolo. Ne deriva che la decisione vincolante dell’EDPB, dovendo riguardare tutte le questioni oggetto di tale obiezione, può includere l’ordine di colmare la lacuna istruttoria e, se necessario, di approfondire l’indagine.

L’articolo 65, paragrafo 6, non è stato ritenuto una norma di delimitazione del contenuto della decisione vincolante, bensì una disposizione sulle modalità di adozione della decisione finale dopo l’intervento dell’EDPB. Anche i considerando 126 e 136 non escludono che il meccanismo di coerenza riguardi l’ampiezza dell’analisi e, in determinati casi, dell’indagine.

Sul piano contestuale, il Tribunale ha valorizzato la logica collaborativa dell’articolo 60: la cooperazione tra autorità di controllo interessa il caso nel suo complesso, non soltanto il contenuto finale del progetto di decisione. Il meccanismo non è descritto come una procedura lineare e irreversibile; può comportare ritorni a fasi precedenti, compreso l’approfondimento dell’istruttoria da parte dell’autorità capofila e la presentazione di un nuovo progetto di decisione.

Quanto alla teleologia, il Tribunale ha ritenuto che l’obiettivo di semplificazione dello sportello unico non prevale sulla finalità essenziale del regolamento, cioè la tutela effettiva del diritto fondamentale alla protezione dei dati personali. Se il progetto di decisione non esamina adeguatamente tutti gli aspetti rilevanti, l’EDPB deve poter imporre un ampliamento dell’analisi per assicurare una decisione completa e coerente.

Il Tribunale ha inoltre respinto gli argomenti fondati sulla ripartizione delle competenze tra livello nazionale e livello UE, richiamando la giurisprudenza sull’attribuzione di poteri agli organismi dell’Unione e la cd. dottrina Meroni. Ha ritenuto che il potere dell’EDPB sia sufficientemente delimitato da criteri e condizioni precise: presuppone una vera obiezione pertinente e motivata, l’approvazione da parte della maggioranza qualificata dei membri dell’EDPB e un controllo giurisdizionale sulla legittimità dell’atto. Non vi è, dunque, un margine discrezionale illimitato.

Quanto all’indipendenza delle autorità di controllo, il Tribunale ha precisato che l’indipendenza garantita dal diritto primario non equivale a un’assenza assoluta di controllo o coordinamento tra autorità indipendenti. I meccanismi di cooperazione e coerenza del regolamento 2016/679, così come il controllo giurisdizionale, sono compatibili con tale indipendenza. Inoltre, la decisione dell’EDPB non costringe l’autorità capofila a una priorità immediata rispetto agli altri compiti, salvo i casi eccezionali disciplinati dall’articolo 66.

Decisione

Il Tribunale ha respinto integralmente i ricorsi riuniti. Ha quindi confermato la validità delle decisioni vincolanti 3/2022, 4/2022 e 5/2022 nella parte in cui imponevano alla Data Protection Commission di svolgere nuove indagini e di presentare progetti di decisione integrativi. La ricorrente è stata condannata alle spese.

Principi affermati

La sentenza afferma che, nel sistema del regolamento 2016/679, il meccanismo di coerenza può incidere anche sull’estensione dell’istruttoria quando l’obiezione pertinente e motivata segnali una lacuna sostanziale del progetto di decisione. L’EDPB non si limita quindi a correggere un progetto già completo, ma può esigere che l’autorità capofila completi l’esame del caso per assicurare un’applicazione corretta e coerente del regolamento in presenza di trattamenti transfrontalieri.