Corte di giustizia, Sentenza C-97/23

Ammissibilit�e0 del ricorso contro la decisione vincolante del Comitato europeo per la protezione dei dati

La pronuncia riguarda un'impugnazione proposta da WhatsApp Ireland Ltd contro l'ordinanza del Tribunale che aveva dichiarato irricevibile il ricorso di annullamento avverso la decisione vincolante 1/2021 del Comitato europeo per la protezione dei dati, adottata nell'ambito della controversia tra autorit�e0 di controllo relativa all'indagine sulla societ�e0 WhatsApp ai sensi del RGPD. La Corte, in Grande Sezione, si pronuncia sulla natura impugnabile della decisione del Comitato e sulla legittimazione della societ�e0 ricorrente.

Contesto normativo

Il caso ruota attorno al sistema di cooperazione e coerenza del RGPD, in particolare agli articoli 56, 60, 63 e 65. L'articolo 65 attribuisce al Comitato il potere di adottare decisioni vincolanti per risolvere le controversie tra autorit�e0 di controllo interessate; l'articolo 70 gli affida il compito di garantire un'applicazione coerente del regolamento. Rilevano inoltre gli articoli 263 TFUE e 78 RGPD, relativi ai rimedi giurisdizionali, nonch�e9 gli articoli 5, 6, 12, 13, 14 e 83 RGPD, che costituiscono il nucleo sostanziale delle violazioni contestate a WhatsApp.

Fatti e procedimento amministrativo

A seguito di diversi reclami e di un'indagine d'ufficio, l'autorit�e0 di controllo irlandese, in qualit�e0 di autorit�e0 capofila, ha avviato un procedimento transfrontaliero sugli obblighi di trasparenza e informazione di WhatsApp. Dopo la consultazione delle altre autorit�e0 interessate, alcune obiezioni hanno condotto al deferimento della questione al Comitato ai sensi dell'articolo 65, paragrafo 1, lettera a), RGPD.

Il Comitato ha adottato la decisione vincolante 1/2021, incidendo su vari punti del progetto di decisione dell'autorit�e0 irlandese: ha riconosciuto ulteriori violazioni degli articoli 13 e 5 RGPD, ha qualificato taluni dati derivanti da "lossy hashing" come dati personali, ha escluso una constatazione di violazione dell'articolo 6 per ragioni procedurali, ha modificato il termine di adeguamento e ha inciso sulla quantificazione delle sanzioni pecuniarie. Successivamente, l'autorit�e0 irlandese ha adottato la decisione finale e ha inflitto sanzioni amministrative per complessivi 225 milioni di euro.

Decisione del Tribunale e motivo di impugnazione

Il Tribunale aveva respinto il ricorso di annullamento di WhatsApp come irricevibile. Pur riconoscendo che la decisione del Comitato era un atto di un organo dell'Unione destinato a produrre effetti giuridici e che WhatsApp era individualmente interessata, il Tribunale l'aveva qualificata come atto preparatorio o intermedio, non direttamente opponibile alla societ�e0, ritenendo sufficiente la tutela giurisdizionale esperibile contro la decisione finale dinanzi al giudice nazionale, con possibile rinvio pregiudiziale sulla validit�e0.

Tempestivit�e0 del ricorso

La Corte respinge l'eccezione di tardivit�e0 sollevata dal Comitato. Ricorda che, ai sensi dell'articolo 263, sesto comma, TFUE, il termine decorre dalla pubblicazione, dalla notificazione o, in subordine, dalla conoscenza dell'atto. Poich�e9 la decisione del Comitato era soggetta a pubblicazione sul sito Internet del Comitato in forza dell'articolo 65, paragrafo 5, RGPD, il dies a quo coincide con tale pubblicazione, avvenuta il 2 settembre 2021. Il ricorso proposto il 1�b0 novembre 2021 era dunque tempestivo.

Atto impugnabile ex articolo 263, primo comma, TFUE

La Corte afferma che il criterio decisivo per l'impugnabilit�e0 �e8 oggettivo e va valutato sulla sostanza dell'atto, non sulla posizione del ricorrente. La decisione del Comitato �e8 un atto definitivo dell'organo dell'Unione che vincola le autorit�e0 di controllo interessate e fissa in modo definitivo la posizione del Comitato sulle questioni devolute alla sua competenza. Non si tratta quindi di un mero atto intermedio non impugnabile.

La Corte censura il Tribunale per aver confuso la nozione di atto impugnabile del primo comma dell'articolo 263 TFUE con la verifica della legittimazione e dell'interesse diretto del quarto comma, e per aver attribuito rilievo alla mancanza di opponibilit�e0 diretta della decisione nei confronti di WhatsApp. Tali elementi non escludono la natura impugnabile dell'atto, perch�e9 l'atto produce comunque effetti giuridici vincolanti nei confronti di terzi, cio�e8 delle autorit�e0 di controllo destinatarie.

Interesse diretto e individuale di WhatsApp

Quanto all'articolo 263, quarto comma, TFUE, la Corte ricorda che sono necessari due requisiti cumulativi: l'atto deve produrre effetti diretti sulla situazione giuridica del ricorrente e non deve lasciare alcun margine discrezionale ai destinatari incaricati della sua attuazione. Nel caso concreto, la decisione del Comitato incide direttamente sulla posizione di WhatsApp perch�e9 accerta violazioni, qualifica dati come personali e impone un aumento delle sanzioni, con effetti immediati sulla disciplina applicabile e sul rapporto con gli utenti.

La Corte sottolinea inoltre che le autorit�e0 di controllo nazionali non dispongono di alcun margine per discostarsi dalle valutazioni del Comitato sulle questioni deferite: la decisione �e8 vincolante e deve essere presa in considerazione nella decisione finale. Il fatto che la decisione finale nazionale sia pi�f9 ampia o includa aspetti non sottoposti al Comitato non incide su questa conclusione. Neppure la possibilit�e0 di ricorsi paralleli davanti al giudice nazionale e al giudice dell'Unione impedisce di riconoscere l'interesse diretto.

Esito dell'impugnazione e rinvio

La Corte accoglie la prima e la seconda parte del primo motivo di impugnazione, annulla l'ordinanza del Tribunale e dichiara il ricorso di annullamento ricevibile. Poich�e9 il Tribunale non aveva esaminato il merito, la Corte rinvia la causa al Tribunale per una nuova decisione sulla sostanza della controversia. Le spese del procedimento d'impugnazione sono riservate.

Principio affermato

Una decisione vincolante del Comitato europeo per la protezione dei dati adottata ai sensi dell'articolo 65 RGPD �e8 impugnabile dinanzi al giudice dell'Unione e pu�f2 essere oggetto di ricorso da parte del titolare del trattamento direttamente e individualmente interessato, anche se la decisione finale nazionale che ne consegue sar�e0 adottata dall'autorit�e0 di controllo capofila. L'impugnabilit�e0 va valutata in base alla sostanza e agli effetti giuridici vincolanti dell'atto, non alla sua opponibilit�e0 diretta al ricorrente o al fatto che esso si collochi in un procedimento amministrativo a pi�f9 fasi.