Tribunale, Sentenza T-183/23

Accesso al fascicolo EDPB e articolo 41, paragrafo 2, lettera b), della Carta

La pronuncia riguarda un ricorso ex articolo 263 TFUE proposto da una reclamante in materia di protezione dei dati contro il diniego dell’EDPB di concederle l’accesso al fascicolo preparato ai fini della decisione vincolante n. 3/2022 adottata ai sensi dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679. La causa si colloca nel quadro del meccanismo di cooperazione e coerenza del GDPR relativo a un trattamento transfrontaliero effettuato da Meta Platforms Ireland.

Fatti e procedimento amministrativo

La ricorrente aveva presentato nel 2018 un reclamo all’autorità austriaca di protezione dei dati contro Facebook Ireland Ltd, poi divenuta Meta, per presunte violazioni del GDPR, in particolare degli articoli 6 e 9. Il reclamo fu trasmesso all’autorità irlandese quale lead supervisory authority, la quale adottò nel 2021 una bozza di decisione sottoposta alle altre autorità interessate ai sensi dell’articolo 60, paragrafo 3.

Alcune autorità sollevarono obiezioni pertinenti e motivate; poiché la lead authority non le seguì, la questione fu deferita all’EDPB, che adottò la Binding Decision 3/2022. La ricorrente, tramite NOYB, chiese di poter accedere al fascicolo dell’EDPB, sostenendo diritti fondati sull’articolo 41 della Carta e, in via subordinata, su altre basi, incluso il regolamento n. 1049/2001.

Contenuto della decisione impugnata

Con l’email del 7 febbraio 2023, l’EDPB respinse, per quanto qui rileva, la richiesta di accesso formulata sulla base dell’articolo 41, paragrafo 2, lettera b), della Carta. L’EDPB ritenne che la ricorrente non avesse diritto all’accesso perché non era "probabilmente pregiudicata" dalla Binding Decision 3/2022. Parallelamente, trattò la domanda anche come richiesta di accesso documentale ai sensi del regolamento n. 1049/2001, chiedendo chiarimenti sulla sua portata.

Eccezione di irricevibilità

L’EDPB e Meta sostenevano che il ricorso fosse irricevibile perché la decisione impugnata sarebbe stata solo un atto intermedio o meramente confermativo. Il Tribunale respinge tale eccezione.

Il Tribunale osserva che:

• la decisione impugnata rispondeva espressamente alla nuova richiesta del 25 gennaio 2023;
• essa conteneva un vero rigetto della domanda fondata sull’articolo 41, paragrafo 2, lettera b), della Carta;
• la questione dell’accesso ai sensi del regolamento n. 1049/2001 appartiene a un regime giuridico diverso e non esclude l’esistenza di una decisione finale rispetto al diritto di accesso al fascicolo;
• la lettera dell’EDPB del 21 novembre 2022 riguardava solo il diritto di essere ascoltati prima della decisione vincolante, non il diritto di accesso al fascicolo.

Ne consegue che il ricorso è ammissibile.

Questione giuridica di merito: autonomia del diritto di accesso al fascicolo

Nel merito, la controversia ruota attorno all’interpretazione dell’articolo 41 della Carta. L’EDPB e Meta sostenevano che il diritto di accesso al fascicolo sarebbe soltanto un corollario dei diritti di difesa e, quindi, potrebbe essere invocato solo da chi sia esposto a una misura potenzialmente sfavorevole. La ricorrente affermava invece che il diritto di accesso di cui alla lettera b) è autonomo e opera ogni volta che il fascicolo "concerne" la persona interessata.

Il Tribunale rileva anzitutto che non esiste, nel GDPR né nelle regole di procedura dell’EDPB, una norma specifica che regoli o limiti l’accesso del reclamante al fascicolo dell’EDPB in questa fase. Pertanto, occorre fare applicazione diretta dell’articolo 41 della Carta.

Ragionamento della Corte sul rapporto tra accesso al fascicolo e diritto di essere ascoltato

Il Tribunale chiarisce che il testo dell’articolo 41, paragrafo 2, non subordina il diritto di accesso al fascicolo alla possibilità di essere ascoltati. La lettera a) richiede che la persona possa essere sentita prima di una misura che la riguardi negativamente; la lettera b) prevede autonomamente il diritto di accesso al proprio fascicolo, nel rispetto dei legittimi interessi di riservatezza e segreto professionale e commerciale.

Secondo il Tribunale:

• il diritto di accesso al fascicolo non si riduce a un semplice strumento dei diritti di difesa;
• esso è collegato più in generale al diritto a una buona amministrazione, enunciato all’articolo 41, paragrafo 1;
• la buona amministrazione può implicare la comunicazione del fascicolo anche fuori da un procedimento ancora pendente o pregiudizievole;
• la giurisprudenza richiamata dall’EDPB e da Meta riguarda contesti normativi diversi, spesso caratterizzati da limiti espressamente previsti dal diritto dell’Unione, che qui mancano.

Il Tribunale distingue anche i precedenti in materia di aiuti di Stato, concentrazioni, intese, risoluzione bancaria e altri procedimenti, evidenziando che in tali casi esisteva una disciplina speciale che limitava l’accesso agli atti o lo riservava a soggetti determinati. Nel caso del GDPR, invece, non vi è una norma equivalente che escluda l’accesso del reclamante al fascicolo dell’EDPB.

Il fascicolo "concerne" la ricorrente

Il Tribunale passa poi a verificare se il fascicolo riguardi effettivamente la ricorrente ai sensi dell’articolo 41, paragrafo 2, lettera b), della Carta. La risposta è positiva.

La decisione vincolante dell’EDPB nasce infatti da un reclamo presentato dalla ricorrente ai sensi dell’articolo 77 del GDPR; il reclamo è il punto di avvio dell’intero procedimento; gli elementi e gli argomenti della reclamante confluiscono nelle obiezioni pertinenti e motivate; la decisione dell’EDPB cita ripetutamente la sua denuncia e la sua posizione; la ricorrente ha un interesse diretto all’esito del procedimento, che mira ad assicurare l’applicazione del GDPR alla sua situazione concreta.

Il Tribunale sottolinea che il fascicolo in questione è un fascicolo amministrativo dinamico, formato e sviluppato nel tempo, e che la richiesta di accesso è stata presentata dopo la chiusura della procedura e dopo l’adozione sia della Binding Decision 3/2022 sia della decisione finale dell’autorità irlandese. Ciò rafforza l’esigenza di consentire all’interessata di verificare come siano stati considerati i suoi elementi fattuali e di difendersi eventualmente in sede giudiziaria nazionale.

Decisione e dispositivo

Il Tribunale accoglie le prime tre parti dell’unico motivo di ricorso, annulla la decisione dell’EDPB del 7 febbraio 2023 nella parte in cui nega alla ricorrente l’accesso al fascicolo ai sensi dell’articolo 41, paragrafo 2, lettera b), della Carta, e non ritiene necessario esaminare le altre censure.

Quanto alle spese, l’EDPB, rimasto soccombente, è condannato a sopportare le proprie spese e quelle della ricorrente; Meta, interveniente, sopporta le proprie spese.

Principi ricavati dalla pronuncia

La sentenza afferma in sostanza che:

• il diritto di accesso al proprio fascicolo ex articolo 41, paragrafo 2, lettera b), della Carta è autonomo rispetto al diritto di essere ascoltato;
• esso non è limitato ai casi in cui la persona sia destinataria di una misura pregiudizievole;
• in mancanza di una disciplina settoriale che lo limiti, il diritto si applica anche a un fascicolo EDPB formato nell’ambito del meccanismo di coerenza del GDPR;
• un reclamo ex articolo 77 del GDPR può fondare un fascicolo che "concerne" il reclamante, legittimandone l’accesso.