La Grande Sezione della Corte di Giustizia dell’Unione Europea (CGUE) ha stabilito un principio fondamentale in materia di tutela giurisdizionale nell’ambito del GDPR, chiarendo le condizioni di ricevibilità dei ricorsi contro le decisioni vincolanti del Comitato europeo per la protezione dei dati (EDPB).
La sentenza annulla una precedente ordinanza del Tribunale e riconosce alle società coinvolte il diritto di impugnare direttamente tali atti dinanzi ai giudici dell’Unione.
Il contesto: il meccanismo di coerenza e la controversia
La vicenda ha origine da un’indagine avviata nel 2018 dall’autorità di controllo irlandese (Data Protection Commission – DPC) nei confronti di una nota società di messaggeria, la società W., in merito al rispetto degli obblighi di trasparenza e informazione previsti dal GDPR.
A causa di divergenze e obiezioni sollevate da altre autorità nazionali di controllo europee sul progetto di decisione, è stato attivato il meccanismo di coerenza previsto dall’articolo 63 del GDPR.
Il EDPB ha quindi adottato la decisione vincolante 1/2021 per risolvere la controversia, imponendo alla DPC di accertare ulteriori violazioni e di aumentare significativamente le sanzioni pecuniarie, poi fissate in 225 milioni di euro.
La questione dell’atto impugnabile
In primo grado, il Tribunale aveva dichiarato irricevibile il ricorso della società W., qualificando la decisione del EDPB come un mero “atto preparatorio” o intermedio, privo di effetti giuridici autonomi rispetto alla decisione finale dell’autorità nazionale.
La Corte di Giustizia ha smentito tale impostazione basandosi sui seguenti punti:
- la decisione vincolante del EDPB fissa in modo definitivo la posizione di un organo dell’Unione su tutte le questioni di sua competenza;
- l’atto produce effetti giuridici vincolanti nei confronti di terzi (le autorità nazionali destinatarie), obbligandole ad adottare una decisione finale conforme ai contenuti stabiliti dal Comitato;
- non può essere considerata un provvedimento intermedio non impugnabile, poiché esaurisce l’oggetto del deferimento al Comitato.
L’interesse diretto del titolare del trattamento
Un punto cruciale della sentenza riguarda la condizione secondo cui il ricorrente deve essere “direttamente interessato” dall’atto, come previsto dall’articolo 263 TFUE. La Corte ha riscontrato la sussistenza di tale requisito in quanto:
- la decisione del EDPB modifica in modo qualificato la situazione giuridica della società W., imponendo accertamenti di violazione che incidono sui suoi rapporti contrattuali con gli utenti;
- l’atto non lascia alcun margine di discrezionalità all’autorità nazionale destinataria, la quale è tenuta incondizionatamente a recepire le valutazioni del Comitato nella propria decisione finale;
- la pendenza di un ricorso parallelo dinanzi ai giudici nazionali contro la sanzione finale non esclude la possibilità di impugnare l’atto dell’Unione che ne costituisce il fondamento vincolante.
Conclusioni e rinvio al Tribunale
Accertata la ricevibilità del ricorso, la Corte ha annullato l’ordinanza del Tribunale. Tuttavia, non potendo ancora statuire sul merito (ovvero sulla legittimità delle sanzioni e delle violazioni contestate), la causa è stata rinviata al Tribunale affinché proceda all’esame approfondito dei fatti e del diritto.
Scarica la sentenza della Corte UE
11 febbraio 2026
: la pronuncia della Corte di Giustizia sul caso WhatsApp){kind=link}