Ricevibile il ricorso di WhatsApp Ireland contro il Comitato europeo per la protezione dei dati

Con la sentenza sulla causa C-97/23 la Corte di giustizia dell’Unione europea ha annullato l’ordinanza del Tribunale Ue che riteneva irricevibile il ricorso di WhatsApp Ireland contro la decisione del Comitato europeo per la protezione dei dati.

La Cgue ha quindi rinviato al Tribunale Ue affinché giudichi nel merito la causa introdotta da WhatsApp Ireland sulla decisione che va asserita come atto impugnabile in quanto riguardante direttamente detta società.

La Corte di giustizia constata che una decisione vincolante del Comitato europeo per la protezione dei dati (Cepd) che risolve una controversia tra diverse autorità nazionali di controllo sulla questione se un titolare del trattamento abbia violato il regolamento generale sulla protezione dei dati e se sia, eventualmente, necessario modificare le misure correttive previste nei suoi confronti costituisce un atto impugnabile dinanzi ai giudici dell’Unione. In effetti si tratta di decisione che proviene da un organo dell’Unione europea e che dispiega effetti giuridici nei confronti di terzi.

Nel caso di specie, la Corte dichiara che la WhatsApp Ireland Ltd è direttamente interessata dalla decisione impugnata.

A seguito dell’entrata in vigore del Rgpd, l’autorità di controllo irlandese (la Data Protection Commission), ha ricevuto, da parte di utilizzatori e di non utilizzatori del servizio di messaggeria «WhatsApp», vari reclami riguardanti il trattamento di dati personali da parte di tale società. Tale autorità di controllo ha avviato d’ufficio, nel dicembre 2018, un’indagine generale sul rispetto, da parte della WhatsApp, dei suoi obblighi di trasparenza e di informazione nei confronti dei singoli.

Nel dicembre 2020, l’autorità di controllo irlandese ha sottoposto a tutte le altre autorità nazionali di controllo interessate un progetto di decisione, al fine di ottenere il loro parere. In assenza di consenso su alcuni aspetti, essa ha adito il Comitato europeo affinché risolvesse la controversia tra le autorità di controllo interessate, prendendo posizione sulle questioni che erano state oggetto di obiezioni pertinenti e motivate.

Il Cepd ha emesso la decisione n. 1/2021, vincolante per tutte le autorità di controllo interessate e con la quale ha constatato, in particolare, la violazione di talune disposizioni del Rgpd obbligando l’autorità di controllo irlandese a modificare le misure correttive previste, compreso l’importo delle sanzioni pecuniarie. Di conseguenza l’autorità irlandese ha adottato la sua decisione finale indirizzata alla WhatsApp con cui le infliggeva sanzioni pecuniarie per un totale complessivo di 225 milioni di euro.

La WhatsApp ha proposto ricorso di annullamento contro la decisione del Cepd dinanzi al Tribunale, che con la sua ordinanza del 7 dicembre 20225, ora annullata dalla Cgue, lo ha respinto dichiarandolo irricevibile, con la motivazione che la decisione del Cepd non fosse un atto impugnabile in quanto la WhatsApp non era la diretta interessata da tale decisione. Secondo il Tribunale, la decisione del Cepd costituiva soltanto un provvedimento intermedio, mentre la WhatsApp poteva impugnare solo la decisione finale dell’autorità di controllo irlandese dinanzi a un giudice nazionale.

Con la sua sentenza la Corte dichiara che la decisione del Cepd è al contrario effettivamente un atto impugnabile dinanzi al giudice dell’Unione. In quanto è un atto che promana da un organo dell’Unione e ha carattere vincolante nei confronti di terzi, vale a dire, nel caso di specie, l’autorità di controllo irlandese e tutte le altre autorità di controllo interessate. Inoltre, tale decisione fissa in modo definitivo la posizione di detto organo ed esaurisce tutte le questioni di cui è stato investito. Di conseguenza, una decisione di questo tipo non può essere considerata un provvedimento intermedio non impugnabile con ricorso.

Inoltre, la Corte constata che la WhatsApp era direttamente interessata da questa stessa decisione, poiché quest’ultima ha modificato in modo qualificato la situazione giuridica di tale società, senza lasciare alcun margine di discrezionalità ai suoi destinatari. Infatti, tale decisione vincola incondizionatamente le autorità di controllo interessate, in particolare per quanto riguarda la constatazione della violazione di talune disposizioni del Rgpd, e tali autorità non possono modificarne il risultato.

Ora il tribunale dovrà decidere la causa nel merito relativamente alla legittimità della decisione del Cepd impugnata e compresa la questione di fatto se la WhatsApp abbia realmente violato le disposizioni del Regolamento generale sulla protezione dei dati personali.