62023TJ0070_RES
Cause riunite T-70/23, T-84/23 e T-111/23
(pubblicazione per estratto)
Data Protection Commission
contro
Comitato europeo per la protezione dei dati
Sentenza del Tribunale del 29 gennaio 2025
«Protezione dei dati personali – Articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 – Decisione vincolante che dà istruzione a un’autorità di controllo capofila di ampliare l’ambito di un’indagine e di elaborare un progetto di decisione integrativa – Competenza del comitato europeo per la protezione dei dati»
Protezione delle persone fisiche riguardo al trattamento dei dati personali – Regolamento 2016/679 – Competenza del Comitato europeo per la protezione dei dati (EDPB) – Portata – Decisione vincolante che dà istruzione a un’autorità di controllo capofila di ampliare l’ambito di un’indagine e di elaborare un progetto di decisione integrativa – Inclusione
[Art. 39 TUE; artt. 16, §§ 1 e 2, 101 e 102 TFUE; Carta dei diritti fondamentali dell’Unione europea, art. 8, §§ 1 e 3; regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 126, 136 e 141 e artt. 4, punto 24, 57, § 1, a) e f), 58, § 2, 60, 65, §§ 1, a), 2, 3 e 6, e 66)
(v. punti 35, 36, 38-40, 43-45, 49-54, 56-59, 62, 63, 68-75, 77-82)
Sintesi
Statuendo in sezione ampliata, il Tribunale respinge i ricorsi della Data Protection Commission, autorità di controllo irlandese in materia di protezione dei dati personali, diretti all’annullamento parziale delle decisioni vincolanti del Comitato europeo per la protezione dei dati (EDPB). Nella sentenza, esso si pronuncia, per la prima volta, sulla competenza dell’EDPB ad imporre a un’autorità di controllo nazionale di ampliare la sua analisi di un caso e, se necessario, la sua indagine.
Dopo scambi di corrispondenza con le altre autorità di controllo interessate, la Data Protection Commission, in quanto autorità di controllo capofila, ha rilevato che non vi era consenso riguardo alle obiezioni formulate nei confronti dei suoi progetti di decisione sui trattamenti transfrontalieri di dati connessi all’utilizzo del social network Facebook, del social network Instagram e della messaggeria WhatsApp. Di conseguenza, la Commissione ha adito l’EDPB nel contesto del meccanismo di coerenza (
1
).
In seguito all’esame dei tre fascicoli, l’EDPB, ritenendo che la maggior parte delle obiezioni sollevate nei confronti dei progetti di decisione fossero pertinenti e motivate, ha deciso di prendere posizione sulle questioni sollevate.
Così, il 5 dicembre 2022, esso ha adottato decisioni vincolanti che ingiungevano alla Data Protection Commission di condurre nuove indagini sui trattamenti di dati connessi all’utilizzo delle tre applicazioni summenzionate e, su tale base, di elaborare progetti di decisione integrativi.
La Data Protection Commission ha quindi contestato la competenza dell’EDPB ad imporle, mediante decisioni vincolanti, siffatte misure.
Giudizio del Tribunale
In primo luogo, il Tribunale precisa la portata della competenza dell’EDPB (
2
) basandosi sull’analisi letterale, contestuale e teleologica del RGPD.
In tale contesto, anzitutto, esso rileva che, secondo un’interpretazione letterale delle disposizioni pertinenti del RGPD (
3
), l’EDPB è competente ad adottare disposizioni, come le disposizioni impugnate, che incaricano l’autorità di controllo capofila di condurre una nuova indagine su taluni aspetti dei fascicoli implicati e di adottare poi nuovi progetti di decisione. Poiché la decisione vincolante dell’EDPB deve riguardare tutte le questioni oggetto di obiezioni pertinenti e motivate, le disposizioni pertinenti del RGPD non vietano che, quando l’EDPB approva un’obiezione pertinente e motivata relativa all’assenza o all’insufficienza di analisi, nel progetto di decisione, di un aspetto, che impedisce di sapere se vi sia o meno una violazione di tale regolamento, tale decisione contenga un’ingiunzione all’autorità di controllo capofila di colmare tale mancanza di analisi e, se ciò appare necessario alla luce del fascicolo in possesso dell’EDPB, di approfondire o di ampliare a tal fine l’indagine effettuata fino a quel momento. Se risulta che il fascicolo non è sufficiente per svolgere pienamente l’analisi richiesta, l’EDPB deve poter imporre all’autorità di controllo capofila un’indagine supplementare.
Il Tribunale dichiara poi, come interpretazione contestuale delle disposizioni pertinenti del RGPD, che il contesto generale dell’obbligo di cooperazione tra le autorità di controllo interessate da un caso, sancito nel RGPD, conferma la competenza dell’EDPB ad adottare le misure contestate.
Su questo punto, esso precisa che la procedura di cooperazione tra autorità di controllo interessate da un caso (
4
), che può comportare l’attivazione del meccanismo di coerenza garantito dall’EDPB, non è una procedura «a senso unico» in cui le fasi si susseguono sempre nell’ordine delle disposizioni che le prevedono, senza possibilità di tornare a una fase precedente o di rimanere temporaneamente nella stessa fase.
Inoltre, esso osserva che l’analisi delle condizioni in cui viene effettuato il trattamento di dati personali e della sua conformità al RGPD non deve essere limitata a quanto evidenziato nel reclamo. In particolare, assicurare pienamente i compiti delle autorità di controllo previsti dal RGPD di garantire il rispetto e di trattare i reclami nella misura necessaria (
5
) implica l’individuazione di un ambito di analisi appropriato del fascicolo alla luce del reclamo che ne è all’origine, ma anche alla luce degli altri elementi che possono integrarlo. Ebbene, l’obiezione pertinente e motivata, secondo la sua definizione, verte su aspetti la cui analisi rientra effettivamente nei due compiti summenzionati. Di conseguenza, il fatto che un’obiezione pertinente e motivata riguardi l’ambito dell’analisi e, se necessario, l’ambito dell’indagine e che l’EDPB vi dia seguito non compromette in alcun modo tali compiti.
Infine, il Tribunale sottolinea che l’esame delle finalità del RGPD conferma anche l’interpretazione letterale delle disposizioni pertinenti del RGPD.
A tal riguardo, esso ricorda in particolare che il meccanismo di cooperazione tra autorità di controllo interessate da un caso trova i suoi limiti quando tali autorità non raggiungono un consenso. È in questa situazione che la questione del mancato consenso deve essere sottoposta dall’autorità di controllo capofila al meccanismo di coerenza, che sfocia in una decisione vincolante dell’EDPB. In caso di riapertura di un’indagine, l’autorità competente deve adottare una decisione definitiva sugli aspetti sostanziali analizzati e decisi dopo una decisione vincolante dell’EDPB entro il termine previsto dal RGPD. Ciò non le impedisce di condurre un’ulteriore indagine e di analizzare gli aspetti del caso che non sono ancora stati esaminati.
In secondo luogo, il Tribunale ritiene che le condizioni di attribuzione di una competenza a un organismo dell’Unione non ostino all’interpretazione accolta, secondo la quale l’EDPB ha il potere di imporre a un’autorità di controllo capofila di ampliare la sua analisi e, se necessario, la sua indagine. Infatti, l’esercizio di un siffatto potere è disciplinato da diversi criteri e condizioni che delimitano il suo ambito di azione. Pertanto, tale potere, da un lato, è esercitato solo in caso di insufficienza ben identificata dell’analisi dell’autorità di controllo capofila nel trattamento del caso, che può avere conseguenze importanti, come risulta dalla definizione dell’obiezione pertinente e motivata, e, dall’altro, risulta dalla valutazione collettiva delle autorità di controllo che compongono l’EDPB.
Inoltre, il Tribunale precisa che l’esercizio di detto potere è soggetto a controllo giurisdizionale. Più concretamente, nei limiti dei motivi dedotti dinanzi ad esso, il giudice dell’Unione sarebbe in grado di verificare la legittimità nel merito delle disposizioni contestate in funzione delle circostanze del caso di specie. In particolare, esso potrebbe, in un primo tempo, verificare se l’EDPB, adottando disposizioni di tale natura, abbia effettivamente dato seguito a un’obiezione pertinente e motivata di un’autorità di controllo. In un secondo momento, potrebbe verificare la legittimità del merito stesso di tali disposizioni che impartiscono istruzioni alle autorità di controllo.
Ciò posto, il Tribunale aggiunge che una decisione vincolante dell’EDPB che impone all’autorità di controllo capofila di ampliare la sua analisi e la sua indagine non mette in discussione la sua capacità di stabilire le priorità nello svolgimento dei suoi vari compiti in qualità di autorità indipendente, compito il cui controllo spetterebbe unicamente al giudice nazionale. Essa non mette neppure in discussione, in termini più generali, la sua indipendenza (
6
).
(
1
)	Ai sensi dell’articolo 60, paragrafo 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, in prosieguo: il «RGPD»).
(
2
)	Ai sensi dell’articolo 65, paragrafo 1, lettera f), del RGPD.
(
3
)	Articolo 65, paragrafo 1, lettera a), del RGPD, in combinato disposto con l’articolo 4, punto 24, l’articolo 65, paragrafo 6, e i considerando 126 e 136 di tale regolamento.
(
4
)	Prevista all’articolo 60 del RGPD.
(
5
)	Articolo 57, paragrafo 1, lettera a), del RGPD.
(
6
)	Sancita all’articolo 39 del Trattato TUE, all’articolo 16 TFUE e all’articolo 8 paragrafo 3 della Carta dei diritti fondamentali dell’Unione europea,