Nella causa C-97/23 P - WhatsApp/EDPB, l’Avvocato Generale Ćapeta (AG) ha reso la propria opinione, raccomandando alla Corte di Giustizia di dichiarare ammissibile il ricorso di WhatsApp per l’annullamento di una decisione vincolante dell’EDPB emessa ai sensi dell’articolo 65 del GDPR.
Il Tribunale Europeo aveva precedentemente respinto il caso come irricevibile. L'AG sostiene che le decisioni dell'EDPB sono atti impugnabili ai sensi dell'articolo 263(1) TFUE in quanto sono giuridicamente vincolanti per l'autorità di controllo nazionale e rappresentano la posizione finale dell'EDPB sulla controversia in questione. WhatsApp è anche direttamente interessata ai sensi dell'articolo 263(4) TFUE, in quanto la decisione ha un impatto diretto sulla sua posizione giuridica e non lascia all'autorità nazionale alcuna discrezionalità in merito all'attuazione delle conclusioni specifiche dell'EDPB. Il caso ha avuto origine da reclami relativi all'aggiornamento della privacy policy di WhatsApp Ireland del 2018. L'Autorità privacy irlandese (DPC), in qualità di autorità di controllo capofila, ha indagato sulle potenziali violazioni degli obblighi di informazione e trasparenza previsti dagli articoli 12-14 del GDPR. Come richiesto dal meccanismo di coerenza dell'articolo 60 del GDPR, la DPC ha presentato la sua bozza di decisione ad altre autorità di controllo interessate degli altri stati membri UE. Diverse autorità di controllo, tra cui quelle di Germania, Francia e Italia, hanno sollevato obiezioni pertinenti e motivate alla bozza di decisione della DPC, non condivise da quest'ultima. Di conseguenza, la DPC ha rinviato le obiezioni irrisolte al Comitato europeo per la protezione dei dati (EDPB) per la risoluzione delle controversie ai sensi dell'articolo 65 del GDPR. Il 28 luglio 2021, l'EDPB ha adottato la decisione vincolante 1/2021 con la quale ha incaricato la DPC di modificare in modo sostanziale la sua bozza di decisione. Le modifiche principali includevano la classificazione dei “dati hashati” come dati personali, l'identificazione di ulteriori violazioni del GDPR (ai sensi degli articoli 5, 13 e 14) e la richiesta di un aumento significativo della sanzione pecuniaria. La DPC, pertanto, ha incorporato le modifiche richieste dall'EDPB nella sua decisione nazionale finale emessa il 20 agosto 2021. WhatsApp ha quindi presentato un ricorso di annullamento direttamente contro la decisione dell'EDPB al Tribunale Europeo. Tuttavia, il Tribunale ha respinto questo ricorso come irricevibile nell'ordinanza del 7 dicembre 2022 (T-709/21), ritenendo che la decisione dell'EDPB non fosse un atto impugnabile ai sensi dell'articolo 263(1) TFUE e non riguardasse direttamente WhatsApp ai sensi dell'articolo 263(4) TFUE. WhatsApp ha presentato ricorso alla Corte di giustizia. Opinione dell'AG L'AG propone che la Corte accolga il ricorso di WhatsApp, annullando l'ordinanza del Tribunale e dichiarando ammissibile il ricorso di annullamento proposto da WhatsApp. Le sue principali argomentazioni giuridiche possono essere così sintetizzate. Atto impugnabile (articolo 263(1) TFUE) Una decisione vincolante dell'EDPB ai sensi dell'articolo 65 GDPR è un atto impugnabile in quanto rappresenta la posizione finale dell'EDPB e produce effetti giuridici vincolanti all'esterno, ivi inclusa l'autorità di supervisione capofila. Il Tribunale si è erroneamente concentrato sulla sua natura “intermedia” o sulla mancanza di esecutività diretta nei confronti di WhatsApp. Interesse diretto di Whatsapp (articolo 263(4) TFUE) WhatsApp è direttamente interessata in quanto la decisione dell'EDPB incide direttamente sulla situazione giuridica di WhatsApp (accertamento dell'infrazione, base per una multa più elevata). L'autorità capofila non ha alcuna discrezionalità in merito all'attuazione dei punti decisi dall'EDPB; l'attuazione delle modifiche richieste dall'EDPB nella propria decisione è stata automatica per tali aspetti. Le considerazioni del Tribunale sull'esecutività, sul fatto che le misure imposte dall'EDPB non siano finali o sulla discrezionalità della autorità capofila sono errate. Sistema di rimedi La logica del sistema giudiziario europeo, in particolare la giurisprudenza della Corte di Giustizia (caso TWD Textilwerke Deggendorf GmbH v Bundesrepublik Deutschland), impone di consentire un'azione diretta quando sono soddisfatti i requisiti di legittimazione. La mancata presentazione di un'azione diretta entro i termini, quando possibile, può precludere successive contestazioni indirette della validità dell'atto dinanzi ai tribunali nazionali. Implicazioni dell'Opinione Se la Corte di Giustizia dovesse seguire l'opinione dell'AG, ciò avrebbe conseguenze pratiche significative, in particolare accelerando l'interpretazione giuridica di questioni complesse a livello europeo. Consentire l'impugnabilità delle decisioni vincolanti dell'EDPB direttamente dinanzi al Tribunale evita alle imprese di attendere anni per la conclusione dei procedimenti nazionali prima che un tribunale di ultima istanza possa effettuare un rinvio pregiudiziale ai sensi dell'articolo 267 TFUE. Inoltre, secondo la giurisprudenza della Corte di Giustizia, l'azione diretta spesso non è solo un'opzione, ma una necessità. Solo presentando tempestivamente un ricorso di annullamento al Tribunale, le imprese possono assicurarsi di conservare il diritto di contestare la validità della decisione dell'EDPB quando contestano la successiva decisione nazionale basata su di essa (per quanto riguarda le parti vincolate dalla decisione dell'EDPB). Conclusioni Alla luce di quanto anticipato sopra, la mancata presentazione di un'azione diretta tempestiva potrebbe precludere la possibilità di contestare la validità della decisione vincolante dell'EDPB in un secondo momento, nell'ambito di un procedimento nazionale contro la decisione finale dell'autorità per la protezione dei dati personali (per quanto riguarda gli aspetti imposti dall'EDPB). Ciò ha un impatto diretto sulla strategia di contenzioso delle aziende interessate che dovranno attendere che la Corte di Giustizia si esprima definitivamente.