Corte di giustizia, Sentenza C-645/19

Meccanismo dello sportello unico e poteri giudiziali delle autorità di controllo nel GDPR

La pronuncia riguarda un rinvio pregiudiziale proposto dalla Corte di appello di Bruxelles in una controversia tra Facebook Ireland, Facebook Inc., Facebook Belgium e l’autorità belga per la protezione dei dati. Il tema centrale è la portata dei poteri di un’autorità di controllo nazionale, diversa dall’autorità capofila, di agire in giudizio in materia di trattamenti transfrontalieri di dati personali dopo l’entrata in applicazione del regolamento (UE) 2016/679.

Fatti e procedimento principale

La controversia origina da un’azione inibitoria promossa dal presidente della precedente commissione belga per la protezione della vita privata contro le società del gruppo Facebook, per far cessare trattamenti di dati effettuati mediante cookie, social plugin e pixel. Il giudice di primo grado aveva accolto in parte l’azione; in appello, l’autorità belga per la protezione dei dati, subentrata alla commissione, ha proseguito il procedimento.

Dinanzi al giudice del rinvio, Facebook ha sostenuto che, dopo il 25 maggio 2018, l’autorità belga non potesse più agire per effetto del meccanismo dello sportello unico, poiché competente sarebbe stata solo l’autorità irlandese, in quanto Facebook Ireland sarebbe il titolare del trattamento per l’Unione.

Normativa rilevante

La Corte richiama soprattutto:

• l’articolo 55, paragrafo 1, del regolamento 2016/679, sulla competenza territoriale delle autorità di controllo;
• l’articolo 56, sul ruolo dell’autorità di controllo capofila nei trattamenti transfrontalieri;
• gli articoli 60, 61, 62, 63, 64, 65 e 66, che disciplinano cooperazione, assistenza reciproca, meccanismo di coerenza e procedura d’urgenza;
• l’articolo 58, paragrafo 5, che impone agli Stati membri di attribuire alle autorità di controllo il potere di agire in giudizio per far rispettare il regolamento;
• gli articoli 77, 78 e 79, sui reclami e sui ricorsi giurisdizionali;
• l’articolo 3, paragrafo 1, sull’ambito di applicazione territoriale.

Sono inoltre richiamati gli articoli 7, 8 e 47 della Carta e l’articolo 16 TFUE.

Ragionamento della Corte sul primo quesito

La Corte afferma che, nel sistema del GDPR, la regola è la competenza dell’autorità capofila per i trattamenti transfrontalieri, ma esistono eccezioni espressamente previste dal regolamento. Tra queste rientrano, in particolare, l’articolo 56, paragrafo 2, e la procedura d’urgenza dell’articolo 66.

Ne consegue che un’autorità non capofila può esercitare il potere di agire giudizialmente solo se, in base al regolamento, è competente ad adottare una decisione che accerti la violazione. Fuori da questi casi, l’esercizio del potere ex articolo 58, paragrafo 5, comprometterebbe l’effettività del meccanismo dello sportello unico e la necessaria cooperazione leale tra autorità.

La Corte esclude che tale soluzione contrasti con gli articoli 7, 8 e 47 della Carta, perché il sistema mantiene un livello elevato di tutela dei diritti fondamentali e preserva il diritto a un ricorso effettivo previsto dall’articolo 78 del regolamento.

Risposta alla seconda e alla terza questione

L’articolo 58, paragrafo 5, non richiede che il titolare del trattamento abbia uno stabilimento principale o un altro stabilimento nello Stato membro dell’autorità che agisce. La disposizione è formulata in termini generali e l’unico limite è che il regolamento sia territorialmente applicabile.

Quanto al destinatario dell’azione, la Corte precisa che essa può essere proposta sia contro lo stabilimento principale sia contro un altro stabilimento del titolare, purché il trattamento oggetto del giudizio sia effettuato nell’ambito delle attività di quello stabilimento e l’autorità sia competente secondo il GDPR.

Nel caso Facebook, la Corte considera che le attività della sede belga siano inscindibilmente connesse al trattamento effettuato da Facebook Ireland, sicché il trattamento rientra nell’ambito dell’articolo 3, paragrafo 1.

Risposta alla quarta questione

La Corte distingue tra violazioni anteriori e posteriori al 25 maggio 2018. Per le violazioni anteriori, un’azione già proposta può essere mantenuta sulla base della direttiva 95/46, che continua a rilevare per i fatti verificatisi prima della sua abrogazione.

Per le violazioni successive, l’azione può essere proseguita o intentata ai sensi del GDPR soltanto se ricorre una delle situazioni eccezionali in cui il regolamento attribuisce competenza all’autorità non capofila, nel rispetto delle procedure di cooperazione e coerenza.

Risposta alla quinta questione

La Corte riconosce effetto diretto all’articolo 58, paragrafo 5. Pertanto, un’autorità di controllo nazionale può invocarlo per agire o proseguire un’azione contro privati anche se lo Stato membro non lo avesse specificamente trasposto, purché l’ordinamento nazionale consenta all’autorità di intentare l’azione o di stare in giudizio.

Nel caso belga, peraltro, la norma nazionale di attuazione era già presente nell’articolo 6 della legge del 3 dicembre 2017.

Irricevibilità della sesta questione

La sesta questione è dichiarata irricevibile perché ipotetica: il giudice del rinvio non aveva dimostrato che, nel procedimento principale, l’autorità capofila stesse esaminando le stesse attività di trattamento o attività analoghe con l’intenzione di adottare una decisione di segno contrario.

Dispositivo e principi affermati

La Corte conclude che:

• l’autorità non capofila può agire in giudizio solo nei casi in cui il GDPR le attribuisce anche il potere sostanziale di accertare la violazione;
• non è necessario che il titolare abbia nel foro uno stabilimento principale o secondario;
• l’azione può essere diretta contro lo stabilimento principale o un altro stabilimento, se il trattamento è svolto nell’ambito delle sue attività;
• le azioni pre-25 maggio 2018 restano assorbite dal regime della direttiva 95/46 per i fatti anteriori;
• l’articolo 58, paragrafo 5, ha effetto diretto;
• la questione sulla possibile contraddizione con una decisione dell’autorità capofila è irricevibile.