Quanto al potere di controllare i trasferimenti di dati personali verso i paesi terzi, è vero che si evince dall’articolo 28, paragrafi 1 e 6, della direttiva 95/46 che i poteri delle autorità nazionali di controllo riguardano i trattamenti di dati personali effettuati nel territorio del loro Stato membro, cosicché esse non dispongono di poteri, sulla base di tale articolo 28, con riguardo ai trattamenti di siffatti dati effettuati nel territorio di un paese terzo. Tuttavia, l’operazione consistente nel far trasferire dati personali da uno Stato membro verso un paese terzo costituisce, di per sé, un trattamento di dati personali ai sensi dell’articolo 2, lettera b), della direttiva 95/46, effettuato nel territorio di uno Stato membro. Pertanto, dato che le autorità nazionali di controllo sono incaricate, ai sensi dell’articolo 8, paragrafo 3, della Carta dei diritti fondamentali dell’Unione europea e dell’articolo 28 della direttiva 95/46, di sorvegliare il rispetto delle norme dell’Unione relative alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, ciascuna di esse è investita della competenza a verificare se un trasferimento di dati personali dal proprio Stato membro verso un paese terzo rispetti i requisiti fissati da tale direttiva.

Le autorità nazionali di controllo dispongono di un’ampia gamma di poteri e questi, elencati in maniera non esaustiva all’articolo 28, paragrafo 3, della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, costituiscono altrettanti mezzi necessari all’adempimento dei loro compiti, come sottolineato dal considerando 63 di tale direttiva. In tal senso, dette autorità godono, segnatamente, di poteri investigativi, come quello di raccogliere qualsiasi informazione necessaria all’esercizio della loro funzione di controllo, di poteri effettivi d’intervento, quale quello di vietare a titolo provvisorio o definitivo un trattamento di dati o, ancora, del potere di promuovere azioni giudiziarie.

La Commissione può adottare, sulla base dell’articolo 25, paragrafo 6, della direttiva 95/46, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, una decisione che constata che un paese terzo garantisce un livello di protezione adeguato. Conformemente al secondo comma di tale disposizione, una siffatta decisione ha come destinatari gli Stati membri, i quali devono adottare le misure necessarie per conformarvisi. Ai sensi dell’articolo 288, quarto comma, TFUE, essa ha un carattere vincolante per tutti gli Stati membri destinatari e si impone pertanto a tutti i loro organi, nella parte in cui produce l’effetto di autorizzare trasferimenti di dati personali dagli Stati membri verso il paese terzo da essa interessato.

Pertanto, fintantoché la decisione della Commissione non sia stata dichiarata invalida dalla Corte, gli Stati membri e i loro organi, fra i quali figurano le loro autorità di controllo indipendenti, non possono certo adottare misure contrarie a tale decisione, come atti intesi a constatare con effetto vincolante che il paese terzo interessato da detta decisione non garantisce un livello di protezione adeguato. Infatti, gli atti delle istituzioni dell’Unione si presumono, in linea di principio, legittimi e producono pertanto effetti giuridici, finché non siano stati revocati o annullati nel contesto di un ricorso per annullamento ovvero dichiarati invalidi a seguito di un rinvio pregiudiziale o di un’eccezione di illegittimità.

Per quanto i giudici nazionali siano effettivamente legittimati ad esaminare la validità di un atto dell’Unione, essi non sono tuttavia competenti a constatare essi stessi l’invalidità di un siffatto atto. A fortiori, in sede di esame di una domanda, ai sensi dell’articolo 28, paragrafo 4, di tale direttiva, avente ad oggetto la compatibilità di una decisione della Commissione con la protezione della vita privata e delle libertà e dei diritti fondamentali della persona, le autorità nazionali di controllo non sono competenti a constatare esse stesse l’invalidità di una siffatta decisione.

Nel caso in cui detta autorità pervenga alla conclusione che gli elementi addotti a sostegno di una siffatta domanda sono privi di fondamento e, per questo motivo, la respinga, la persona che ha proposto detta domanda deve avere accesso, come si evince dall’articolo 28, paragrafo 3, secondo comma, della direttiva 95/46, in combinato con l’articolo 47 della Carta, dei diritti fondamentali dell’Unione europea, ai mezzi di ricorso giurisdizionali che le consentono di contestare una siffatta decisione impugnandola dinanzi ai giudici nazionali. In una situazione del genere, tali giudici devono sospendere il procedimento e investire la Corte di un procedimento pregiudiziale per accertamento di validità, allorché essi ritengano che uno o più motivi di invalidità formulati dalle parti o, eventualmente, sollevati d’ufficio siano fondati.

Nell’ipotesi contraria, in cui detta autorità reputi fondate le censure sollevate dalla persona che l’ha investita di una domanda relativa alla protezione dei suoi diritti e libertà con riguardo al trattamento dei suoi dati personali, questa stessa autorità, ai sensi dell’articolo 28, paragrafo 3, primo comma, terzo trattino, della direttiva 95/46, in combinato, segnatamente, con l’articolo 8, paragrafo 3, della Carta dei diritti fondamentali dell’Unione europea, deve poter promuovere azioni giudiziarie. A tal riguardo, incombe al legislatore nazionale prevedere mezzi di ricorso che consentano all’autorità nazionale di controllo di cui trattasi di far valere le censure che essa reputa fondate dinanzi ai giudici nazionali, affinché questi ultimi procedano, qualora condividano i dubbi di tale autorità in ordine alla validità della decisione della Commissione, ad un rinvio pregiudiziale inteso all’esame della validità di tale decisione.

(v. punti 51, 52, 61, 62, 64, 65)