Corte di giustizia, Sentenza C-132/21

Rinvio pregiudiziale sul coordinamento tra i rimedi previsti dal GDPR

La pronuncia riguarda un rinvio pregiudiziale della Fővárosi Törvényszék (Corte di Budapest-Capitale, Ungheria) in materia di protezione dei dati personali. Il giudice nazionale chiedeva come coordinare i rimedi previsti dagli articoli 77, 78 e 79 del regolamento (UE) 2016/679, alla luce dell’articolo 47 della Carta dei diritti fondamentali.

Fatti e procedimento principale

BE aveva partecipato a un’assemblea generale di una società per azioni e aveva chiesto l’accesso al fonogramma dell’assemblea. La società aveva fornito solo i segmenti contenenti le sue dichiarazioni, escludendo quelli degli altri partecipanti. BE si era quindi rivolta all’autorità di controllo ungherese chiedendo di accertare l’illegittimità del trattamento e di ordinare la comunicazione del fonogramma completo; l’autorità aveva respinto il reclamo.

Parallelamente, BE aveva promosso un secondo ricorso dinanzi a un giudice civile, ai sensi dell’articolo 79, paragrafo 1, del regolamento 2016/679, contro il titolare del trattamento. Tale giudice aveva accolto il ricorso e accertato la violazione del diritto di accesso, mentre il ricorso proposto dinanzi al giudice del rinvio contro la decisione dell’autorità di controllo era ancora pendente.

Questioni pregiudiziali

Il giudice del rinvio chiedeva, in sostanza:

• se il reclamo all’autorità di controllo ex articolo 77 sia uno strumento di tutela pubblicistica e il ricorso ex articolo 79 uno strumento privatistico, con conseguente priorità dell’autorità di controllo;
• se, in caso di esercizio simultaneo dei rimedi, autorità di controllo e giudice debbano accertare autonomamente la violazione oppure se la decisione dell’autorità prevalga;
• se l’indipendenza dell’autorità di controllo consenta a quest’ultima di adottare una decisione divergente rispetto a una sentenza definitiva resa su un ricorso ex articolo 79.

Normativa rilevante

La Corte richiama in particolare:

• i considerando 10, 11, 141 e 143 del regolamento (UE) 2016/679;
• gli articoli 60-63 sul meccanismo di cooperazione tra autorità di controllo;
• l’articolo 77, paragrafo 1, sul reclamo all’autorità di controllo;
• l’articolo 78, paragrafo 1, sul ricorso giurisdizionale contro una decisione giuridicamente vincolante dell’autorità di controllo;
• l’articolo 79, paragrafo 1, sul ricorso giurisdizionale effettivo contro il titolare del trattamento;
• l’articolo 81, paragrafi 1-3, sulla litispendenza in presenza di azioni pendenti dinanzi a giudici di Stati membri diversi;
• l’articolo 47 della Carta;
• l’articolo 16 TFUE, oltre agli articoli 4, paragrafo 3, TUE e 19, paragrafo 1, TUE richiamati nel ragionamento sulla tutela giurisdizionale effettiva.

Ragionamento della Corte

La Corte osserva anzitutto che il testo degli articoli 77, 78 e 79 usa formule espressamente aperte, con l’inciso «fatto salvo» ogni altro ricorso amministrativo o giurisdizionale/extragiudiziale. Da ciò deduce che il GDPR mette a disposizione più rimedi ai soggetti che si lamentano di una violazione, senza prevedere alcuna competenza prioritaria o esclusiva né alcuna regola di prevalenza tra autorità di controllo e giudici.

Il contesto conferma questa lettura: il legislatore dell’Unione ha disciplinato espressamente la cooperazione tra autorità di controllo e la litispendenza tra giudici di Stati membri diversi, ma non ha previsto un meccanismo analogo per il coordinamento interno tra reclamo ex articolo 77, ricorso ex articolo 78 e ricorso ex articolo 79 nello stesso Stato membro.

Quanto alla finalità del regolamento, la Corte richiama il considerando 10, che impone un’applicazione coerente e omogenea delle norme in tutta l’Unione, e il considerando 11, che evidenzia il rafforzamento dei diritti degli interessati. La possibilità di azionare parallelamente i diversi rimedi rafforza, secondo la Corte, la tutela effettiva richiesta dal considerando 141 e dall’articolo 47 della Carta.

La Corte precisa tuttavia che, in assenza di disciplina dell’Unione sulle modalità concrete di articolazione, spetta agli Stati membri, nel rispetto dell’autonomia procedurale, stabilire le regole applicabili. Tali regole devono però rispettare i principi di equivalenza ed effettività e non possono compromettere in modo sproporzionato il diritto a un ricorso effettivo dinanzi a un giudice.

Nel caso ungherese, il giudice del rinvio indica che il diritto nazionale non lo vincola alla sentenza definitiva del giudice civile adito ex articolo 79, pur riguardando i medesimi fatti. La Corte rileva che questa impostazione può portare a decisioni contrastanti, con conseguente compromissione della coerenza dell’applicazione del GDPR e della certezza del diritto. Ciò rafforza la conclusione che il regolamento non impone una priorità tra i rimedi, ma richiede che gli Stati membri ne disciplinino l’articolazione in modo da evitare effetti incompatibili con la tutela effettiva.

Decisione della Corte

La Corte dichiara che gli articoli 77, paragrafo 1, 78, paragrafo 1, e 79, paragrafo 1, del regolamento (UE) 2016/679, letti alla luce dell’articolo 47 della Carta, consentono un esercizio concorrente e indipendente dei rimedi previsti. Spetta agli Stati membri stabilire le modalità di coordinamento processuale tra tali rimedi, garantendo al contempo l’efficacia della protezione dei diritti, l’applicazione coerente e omogenea del regolamento e il diritto a un ricorso effettivo.

Principio affermato

Non esiste, nel GDPR, una gerarchia tra reclamo al garante, impugnazione della sua decisione e azione giudiziaria contro il titolare del trattamento: i rimedi sono autonomi e paralleli. Il coordinamento operativo è affidato al diritto processuale nazionale, che deve però evitare soluzioni idonee a frustrare l’effettività della tutela o a compromettere l’uniformità di applicazione del regolamento.