Fons Iuris
Torna alla ricerca
Corte di giustizia UEsentenza

Corte di giustizia UE n. 2023/2025

ECLI:EU:T:2025:831
Testo integrale del provvedimento

Testo integrale del provvedimento

62023TJ0553_RES

[OSCURATO:PERSONA]553/23

[OSCURATO:PERSONA]

contro [OSCURATO:PERSONA] europea Sentenza del Tribunale del 3 settembre 2025 «Trasferimento di dati personali verso gli [OSCURATO:PERSONA] – Decisione di esecuzione della [OSCURATO:PERSONA] che accerta un livello di protezione adeguato dei dati personali garantito dagli [OSCURATO:PERSONA] – Diritto a un ricorso effettivo – Diritto alla vita privata e familiare – Decisioni fondate esclusivamente sul trattamento automatizzato dei dati personali – Sicurezza del trattamento dei dati personali» Ricorso di annullamento – Ricevibilità – Rigetto di un ricorso nel merito senza statuire sulla ricevibilità – Potere discrezionale del giudice dell'Unione (Art. 263 TFUE) (v. punti 14, 15) Ricorso di annullamento – Controllo di legittimità – Criteri – Presa in considerazione dei soli elementi di fatto e di diritto esistenti al momento dell’adozione dell’atto controverso (Art. 263 TFUE) (v. punto 22) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Trasferimento di dati personali verso paesi terzi – Adozione da parte della [OSCURATO:PERSONA] di una decisione che dichiara un livello di protezione adeguato in un paese terzo – Decisione 2023/1795 che accerta un livello di protezione adeguato garantito dagli [OSCURATO:PERSONA] – Violazione del diritto a una tutela giurisdizionale effettiva – Violazione del diritto di accesso a un giudice indipendente e imparziale, precostituito per legge – Assenza (Art. 2 TUE; Carta dei diritti fondamentali dell’Unione europea, art. 47, comma 2, regolamento del Parlamento europeo e del Consiglio 2016/679, art. 45, § 2) (v. punti 24, 35-37, 39, 42, 46, 51, 53-58, 60, 62, 64, 66-82) Diritti fondamentali – Diritto a una tutela giurisdizionale effettiva – Riconoscimento agli articoli 47, secondo comma, della Carta dei diritti fondamentali e 6, paragrafo 1, della Convenzione europea dei diritti dell'uomo – Significato e portata identici – Livello di tutela garantito dalla Carta che non incide su quello garantito dalla suddetta Convenzione (Art. 6, § 3, TUE; Carta dei diritti fondamentali dell’Unione europea, artt. 47, comma 2, e 52, § 3) (v. punti 27-30) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Trasferimento di dati personali verso paesi terzi – Adozione da parte della [OSCURATO:PERSONA] di una decisione che dichiara un livello di protezione adeguato in un paese terzo – Decisione 2023/1795 che accerta un livello di protezione adeguato garantito dagli [OSCURATO:PERSONA] – Raccolta in blocco di dati personali in transito dall'Unione da parte degli enti di intelligence degli [OSCURATO:PERSONA] – Violazione dei diritti al rispetto della vita privata e alla protezione dei dati personali – Assenza – Presupposti (Carta dei diritti fondamentali dell’Unione europea, artt. 7 e 8; regolamento del Parlamento europeo e del Consiglio 2016/679, art. 45) (v. punti 83, 92, 98, 105-108, 113, 117, 119, 122, 123, 128, 137-146, 148, 150-153) [OSCURATO:PERSONA] sua sentenza, il Tribunale, riunito in composizione ampliata, respinge il ricorso di annullamento presentato da un cittadino francese contro la decisione di adeguatezza della [OSCURATO:PERSONA] europea che istituisce il nuovo quadro transatlantico per il flusso di dati personali tra l'Unione europea e gli [OSCURATO:PERSONA] ( 1 ).

In tal modo, pur rimanendo in linea con la giurisprudenza della Corte in materia ( 2 ), il Tribunale fornisce chiarimenti in merito alla valutazione dell'imparzialità e dell'indipendenza della [OSCURATO:PERSONA] ( 3 ) (Corte incaricata del controllo della protezione dei dati, [OSCURATO:PERSONA] d'America, di seguito: la «DPRC»), nonché sull'esame della legittimità della raccolta in blocco, da parte degli enti di intelligence di tale paese, dei dati personali in transito dall'Unione.

Nelle sentenze [OSCURATO:PERSONA] I e [OSCURATO:PERSONA] II, la Corte ha invalidato le due precedenti decisioni di adeguatezza, in quanto i sistemi dell’«approdo sicuro» e dello «scudo per la privacy» che disciplinano il trasferimento di dati personali dall'Unione agli [OSCURATO:PERSONA] non garantivano un livello di protezione delle libertà e dei diritti fondamentali sostanzialmente equivalente a quello garantito dal diritto dell'Unione.

Successivamente, la [OSCURATO:PERSONA] ha avviato negoziati con il governo degli [OSCURATO:PERSONA] al fine di adottare un'eventuale nuova decisione di adeguatezza che rispettasse i requisiti del regolamento generale sulla protezione dei dati ( 4 ), così come interpretati dalla Corte.

Il 7 ottobre 2022, gli [OSCURATO:PERSONA] d'America hanno adottato l'[OSCURATO:PERSONA] 14086 (decreto presidenziale n. 14086, in prosieguo: l’«E.

O. 14086»), che rafforza le misure di protezione della privacy che regolano le attività di intelligence di origine elettromagnetica condotte dagli enti di intelligence con sede negli [OSCURATO:PERSONA].

Tale decreto è stato integrato dall'[OSCURATO:PERSONA] 28 CFR Part 201 (regolamento del Procuratore generale 28 CFR Part 201, in prosieguo: il «regolamento AG»), che ha modificato le disposizioni che disciplinano la creazione e il funzionamento del DPRC.

Il 10 luglio 2023, dopo aver esaminato tali sviluppi normativi, la [OSCURATO:PERSONA] ha adottato la decisione impugnata.

Adito del presente ricorso di annullamento, il Tribunale è chiamato a esaminare la legittimità di tale decisione, in particolare alla luce del RGPD e della Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»).

Giudizio del Tribunale In un primo momento, il Tribunale si pronuncia sulla questione se la [OSCURATO:PERSONA] abbia violato l'articolo 47, secondo comma, della Carta e l'articolo 45, paragrafo 2, del RGPD, poiché, nella decisione impugnata, ha ritenuto che la DPRC offrisse un «livello di protezione adeguato» per quanto riguarda il diritto dei cittadini dell'Unione di accedere a un giudice indipendente e imparziale istituito preventivamente dalla legge.

In tale contesto, respinge, in primo luogo, il motivo relativo al fatto che la DPRC non è un giudice indipendente e imparziale, ma costituisce un organo dipendente dal potere esecutivo.

A tal fine, respinge, in primo luogo, l'argomento secondo cui il DPRC non è un giudice indipendente e imparziale, poiché la sua missione consiste nel riesaminare le decisioni del [OSCURATO:PERSONA] of the Director of [OSCURATO:PERSONA] (Responsabile della protezione delle libertà civili del direttore dell'intelligence nazionale, in prosieguo: il «CLPO»), che fa capo all'ufficio del direttore dell'intelligence nazionale degli [OSCURATO:PERSONA].

A questo proposito, rileva che l'esame delle garanzie relative all'indipendenza del CLPO non è rilevante ai fini della valutazione dell'indipendenza e dell'imparzialità del DPRC.

Infatti, la DPRC è stata istituita come organo di controllo indipendente del CLPO e nell'E.

O. 14086 sono state previste diverse garanzie affinché le decisioni del CLPO possano essere riesaminate e, se del caso, riformate in modo indipendente e imparziale dalla DPRC.

Il ricorrente non ha quindi motivo di sostenere che l'insufficienza delle garanzie applicabili al CLPO comprometta l'indipendenza e l'imparzialità della DPRC.

In secondo luogo, il Tribunale respinge l'argomento secondo cui la DPRC non è un giudice indipendente e imparziale, poiché è composta da giudici nominati dal Procuratore generale previa consultazione del Privacy and [OSCURATO:PERSONA] (Consiglio di vigilanza sulla privacy e le libertà civili, in prosieguo: il «PCLOB»), che è un organo dipendente dal potere esecutivo.

In primo luogo, rileva che, sebbene il PCLOB sia stato istituito nell'ambito del potere esecutivo, esso è, per quanto riguarda la sua composizione, un ente indipendente, il cui compito consiste nel supervisionare in modo imparziale l'attività svolta dal potere esecutivo al fine di tutelare, in particolare, la vita privata e le libertà civili.

Pertanto, il fatto che il PCLOB sia stato istituito all'interno del potere esecutivo non consente di per sé di concludere che, a causa della sua consultazione prima della nomina dei giudici della DPRC, quest'ultima non sia un giudice indipendente e imparziale.

Il Tribunale precisa quindi, da un lato, che, al fine di garantire l'indipendenza dei giudici della DPRC dal potere esecutivo, l’E.

O. 14086 prevede che, al momento della loro nomina, il procuratore generale debba rispettare una serie di criteri e condizioni.

Dall'altro lato, i giudici della DPRC possono essere revocati solo dal procuratore generale e solo per un motivo valido, dopo aver debitamente tenuto conto delle norme applicabili ai giudici federali enunciate nelle regole relative alla deontologia giudiziaria e alla procedura di incapacità giudiziaria.

Il Tribunale conclude che le norme relative alla nomina e alla revoca dei giudici della DPRC non possono mettere in discussione la sua indipendenza e imparzialità.

Infine, il Tribunale rileva che la [OSCURATO:PERSONA] è tenuta a monitorare costantemente l'applicazione del quadro giuridico su cui si basa la decisione impugnata, al fine di determinare se gli [OSCURATO:PERSONA] d'America continuano a garantire un livello di protezione adeguato.

Pertanto, se il quadro giuridico in vigore negli [OSCURATO:PERSONA] al momento dell'adozione della decisione impugnata dovesse cambiare, la [OSCURATO:PERSONA] può decidere, se necessario, di sospendere, modificare o abrogare la decisione impugnata o di limitarne il campo di applicazione.

In terzo luogo, il Tribunale respinge l’argomento secondo cui la DPRC non è un giudice indipendente e imparziale, poiché il regolamento AG non esclude la possibilità che i suoi giudici siano soggetti a forme di supervisione non quotidiana da parte del potere esecutivo.

Il Tribunale osserva a questo proposito che, sebbene dal fascicolo risulti che i giudici della DPRC non devono essere soggetti alla supervisione quotidiana del procuratore generale, la decisione impugnata indica anche che, ai sensi dell'E.

O. 14086, gli enti di intelligence e il procuratore generale non devono ostacolare o influenzare indebitamente il lavoro della DPRC.

Inoltre, dal fascicolo risulta che tale decreto presidenziale e il regolamento AG limitano la possibilità per il potere esecutivo di influenzare il lavoro della DPRC, stabilendo che i suoi giudici possono essere revocati solo dal procuratore generale e solo per un motivo valido.

In secondo luogo, il Tribunale respinge la censura secondo cui la DPRC non è stata preventivamente istituita dalla legge, in quanto non è stata creata da una legge adottata dal Congresso degli [OSCURATO:PERSONA], ma da un atto dell'esecutivo, vale a dire una decisione del procuratore generale.

Il Tribunale ricorda, innanzitutto, che, per valutare se siano soddisfatti i requisiti derivanti dall'articolo 47, secondo comma, della Carta, non ci si deve limitare a valutare la natura formale del testo giuridico che istituisce un giudice e ne definisce le regole di funzionamento, ma occorre verificare se tale testo giuridico preveda garanzie sufficienti volte ad assicurare la sua indipendenza e imparzialità rispetto agli altri poteri, in particolare rispetto al potere esecutivo.

Il Tribunale rileva poi che, come statuito dalla Corte nelle sentenze [OSCURATO:PERSONA] I e [OSCURATO:PERSONA] II, nell’ambito di una decisione di adeguatezza la [OSCURATO:PERSONA] non è tenuta ad accertare che le disposizioni pertinenti del paese terzo siano identiche a quelle vigenti nell’Unione, ma che siano sostanzialmente equivalenti a quelle garantite dal diritto dell’Unione in virtù del RGPD, letto alla luce della Carta.

Ne consegue che, nella fattispecie, il Tribunale è tenuto a verificare la fondatezza della constatazione di adeguatezza effettuata dalla [OSCURATO:PERSONA] nella decisione impugnata, secondo cui le disposizioni del diritto degli [OSCURATO:PERSONA] relative all'istituzione e al funzionamento del DPRC offrono garanzie sostanzialmente equivalenti a quelle previste dal diritto dell'Unione all'articolo 47, secondo comma, della Carta.

Tali garanzie sono offerte, in particolare, quando il testo giuridico che istituisce tale giudice e ne definisce le regole di funzionamento mira a garantirne l'indipendenza e l'imparzialità rispetto agli altri poteri, in particolare rispetto al potere esecutivo, nonostante il fatto che detto testo non costituisca, da un punto di vista formale, una legge.

Nel caso di specie, dalla decisione impugnata risulta che il DPRC non è stato istituito con una legge adottata dal potere legislativo, vale a dire il Congresso degli [OSCURATO:PERSONA], bensì con un atto emanato dal potere esecutivo.

In tale contesto, il Tribunale verifica se, in modo sostanzialmente equivalente al diritto dell'Unione, l'E.

O. 14086 e il regolamento AG prevedano garanzie volte ad assicurare l'indipendenza e l'imparzialità della DPRC.

Dopo aver esaminato, in particolare, le modalità di istituzione della DPRC come organo indipendente dotato di potere decisionale, le modalità di nomina e revoca dei suoi giudici, nonché le garanzie procedurali relative all'adempimento della loro missione, il Tribunale constata che sono state sanate le carenze rilevate dalla Corte nella sentenza [OSCURATO:PERSONA]

II. Alla luce di tutte le considerazioni che precedono, il Tribunale respinge integralmente il motivo relativo alla violazione dell'articolo 47, secondo comma, della Carta e dell'articolo 45, paragrafo 2, del RGPD.

In un secondo momento, il Tribunale si pronuncia sulla questione se la [OSCURATO:PERSONA] abbia violato gli articoli 7 e 8 della Carta, relativi rispettivamente al rispetto della vita privata e alla protezione dei dati personali, nei limiti in cui ha ritenuto che gli [OSCURATO:PERSONA] d'America garantissero un livello di protezione adeguato per quanto riguarda la raccolta in blocco, da parte degli enti di intelligence di tale paese, nonostante il fatto che l'E.

O. 14086 non stabilisca l'obbligo, per tali enti di intelligence, di ottenere, prima della raccolta in blocco di dati personali, l'autorizzazione preventiva di un'autorità giudiziaria o amministrativa.

In tale contesto, il Tribunale respinge, in primo luogo, l’argomento secondo cui la raccolta in blocco di dati personali effettuata dagli enti di intelligence degli [OSCURATO:PERSONA] non è soggetta a controllo giurisdizionale e non è disciplinata da norme sufficientemente chiare e precise.

In primo luogo, il Tribunale sottolinea che nulla nella sentenza [OSCURATO:PERSONA] II suggerisce che la raccolta in blocco di dati personali debba necessariamente essere soggetta a un'autorizzazione preventiva rilasciata da un'autorità indipendente.

Al contrario, dalla sentenza risulta che la decisione che autorizza tale raccolta deve essere almeno soggetta a un controllo giurisdizionale a posteriori.

Nel caso di specie, l’E.

O. 14086 e il regolamento AG sottopongono le attività di intelligence di origine elettromagnetica svolte dagli enti di intelligence degli [OSCURATO:PERSONA] al controllo giurisdizionale a posteriori della DPRC.

Di conseguenza, non si può ritenere che la raccolta in blocco di dati personali effettuata dagli enti di intelligence sulla base della decisione impugnata non soddisfi i requisiti derivanti dalla sentenza [OSCURATO:PERSONA] II al riguardo.

Il Tribunale osserva inoltre che l'E.

O. 14086 stabilisce che la raccolta in blocco è consentita solo per promuovere una priorità di intelligence convalidata che non può essere ragionevolmente ottenuta mediante una raccolta mirata, fissa requisiti fondamentali applicabili a tutte le attività di intelligence di origine elettromagnetica e stabilisce garanzie specifiche applicabili alla raccolta in blocco di dati personali.

In tali circostanze, il Tribunale ritiene che non possa essere validamente sostenuto che l'attuazione della raccolta in blocco non sia disciplinata in modo sufficientemente chiaro e preciso.

In secondo luogo, il Tribunale respinge l'argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall'Unione dovrebbe essere soggetta ad autorizzazione preventiva, ai sensi della sentenza [OSCURATO:PERSONA] du Net e a. ( 5 ).

Il Tribunale rileva, al riguardo, che l’ipotesi di cui alla causa che ha dato luogo alla sentenza [OSCURATO:PERSONA] du Net e a. è diversa da quella di cui trattasi nella presente causa e conclude che il riferimento a tale sentenza è irrilevante.

In terzo luogo, il Tribunale respinge l’argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione dovrebbe essere soggetta ad autorizzazione preventiva, in base alla sentenza della Corte EDU [OSCURATO:PERSONA] ( 6 ).

Il Tribunale, dopo aver constatato che un'operazione di raccolta in blocco di dati personali, come quella oggetto della decisione impugnata, rientra nell'ambito della prima delle fasi dell'intercettazione individuate dalla Corte europea dei diritti dell'uomo nella sentenza [OSCURATO:PERSONA], nei limiti in cui consiste nella raccolta, a fini di protezione della sicurezza nazionale, di dati personali in transito dall'Unione di un gran numero di persone, trae le conseguenze di tale sentenza nell'ambito della valutazione della legittimità della decisione impugnata.

Pertanto, il Tribunale rileva che la Corte europea dei diritti dell'uomo ha indicato, nella sentenza [OSCURATO:PERSONA], che l'intercettazione di massa dei dati personali deve essere soggetta a diverse garanzie, quali l'ottenimento dell'autorizzazione di un'autorità indipendente sin dalla definizione dell'oggetto e della portata dell'operazione di sorveglianza in questione, l'istituzione di un sistema di supervisione e di un controllo giurisdizionale indipendente a posteriori, nonché la previsione di norme giuridiche che consentissero di garantire, per ciascuna delle fasi dell'intercettazione, la necessità e la proporzionalità delle misure adottate.

Inoltre, la Corte europea dei diritti dell'uomo ha sottolineato che la necessità di prevedere garanzie aumenta man mano che il processo attraversa le diverse fasi e, di conseguenza, l'intensità della violazione del diritto alla vita privata diventa più significativa.

In tale contesto, il Tribunale ricorda che la [OSCURATO:PERSONA] non è tenuta, nell’ambito di una decisione di adeguatezza, ad accertarsi che le disposizioni pertinenti del paese terzo siano identiche a quelle in vigore nell’Unione, ma che siano sostanzialmente equivalenti.

Pertanto, il Tribunale ritiene, nel caso di specie, che la necessità di prevedere, per questa fase specifica della raccolta in blocco, garanzie che limitino il potere discrezionale degli enti di intelligence sia più limitata, tenuto conto del contesto in cui viene effettuata l'intercettazione.

Infatti, ciò che è in questione nel caso di specie è solo l'intercettazione iniziale in blocco di dati personali da parte degli enti di intelligence, ad esclusione delle attività successive.

Inoltre, il Tribunale ricorda che la previsione di un’autorizzazione preventiva non è l’unica garanzia che deve accompagnare l’intercettazione di massa di dati personali, ma costituisce uno degli elementi che, nel loro insieme, costituiscono la pietra angolare di qualsiasi regime di intercettazione di massa.

A tale riguardo, la normativa vigente negli [OSCURATO:PERSONA] prevede norme giuridiche che disciplinano in modo sufficientemente chiaro e preciso l’attuazione, da parte degli enti di intelligence degli [OSCURATO:PERSONA], della raccolta in blocco di dati personali e conferisce alle persone interessate dal trasferimento dei loro dati il diritto a un ricorso giurisdizionale effettivo dinanzi alla DPRC.

Inoltre, i considerando da 162 a 169 della decisione impugnata indicano, senza che il ricorrente lo contesti, che le attività di intelligence svolte dagli enti di intelligence sono controllate dal PCLOB, che è stato concepito dal suo statuto costitutivo come un ente indipendente.

Allo stesso modo, tali attività sono soggette alla supervisione, in primo luogo, da parte dei responsabili legali e dei delegati che, all'interno di ciascun ente di intelligence, sono incaricati della sorveglianza e del rispetto di tale diritto, in secondo luogo dell'ispettore generale indipendente incaricato, per ciascun ente di intelligence, di controllare le attività di intelligence esterna svolte dall'ente in questione e, in terzo luogo, dell'[OSCURATO:PERSONA] (Consiglio di sorveglianza dell'intelligence, [OSCURATO:PERSONA]), istituito nell'ambito del [OSCURATO:PERSONA] (Consiglio consultivo dell'intelligence del presidente, [OSCURATO:PERSONA]) e incaricato di vigilare sul rispetto della legge da parte delle autorità statunitensi nonché, in quarto luogo, delle commissioni speciali istituite nell'ambito del Congresso degli [OSCURATO:PERSONA] che esercitano funzioni di controllo su tutte le attività di intelligence esterna di tale paese.

Alla luce di tali considerazioni, il Tribunale ritiene che il fatto di non prevedere un’autorizzazione preventiva applicabile alla raccolta iniziale in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione non sia sufficiente per ritenere che il diritto degli [OSCURATO:PERSONA] non fornisca garanzie sostanzialmente equivalenti a quelle previste dal diritto dell’Unione.

In quarto e ultimo luogo, il Tribunale respinge l’argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione dovrebbe essere soggetta ad autorizzazione preventiva ai sensi del parere 5/2023, formulato dal Comitato europeo per la protezione dei dati (CEPD) ( 7 ).

Il Tribunale osserva, a tale riguardo, che il parere 5/2023 è stato emesso sulla base dell’articolo 70, paragrafo 1, lettera s), del RGPD.

Orbene, quando agisce su tale base, il GEPD si limita a svolgere una funzione consultiva.

Pertanto, tale parere non è vincolante per la [OSCURATO:PERSONA].

In ogni caso, il Tribunale rileva che, in tale parere, il GEPD non ha indicato che la mancata istituzione di un controllo preventivo relativo alla raccolta in blocco di dati personali compromettesse necessariamente la valutazione positiva, da parte della [OSCURATO:PERSONA], dell'adeguatezza del livello di protezione dei dati personali offerto dal quadro di protezione dei dati UE-[OSCURATO:PERSONA].

Pertanto, il Tribunale respinge il motivo relativo alla violazione degli articoli 7 e 8 della Carta, nonché il presente ricorso nel suo complesso. ( 1 ) Decisione di esecuzione (UE) 2023/1795 della [OSCURATO:PERSONA] del 10 luglio 2023 a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sul livello di protezione adeguato dei dati personali nell'ambito del quadro UE-USA per la protezione dei dati personali ( GU 2023, L 231, pag. 118 , in prosieguo: la «decisione impugnata»). ( 2 ) Sentenze del 6 ottobre 2015, [OSCURATO:PERSONA] (C-362/14, in prosieguo: la «sentenza [OSCURATO:PERSONA] I, EU:C:2015:650 ), e del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (C-311/18, in prosieguo: la «sentenza [OSCURATO:PERSONA] II, EU:C:2020:559 ). ( 3 ) Si tratta dell’organismo incaricato, negli [OSCURATO:PERSONA], di controllare la legittimità del trasferimento di dati personali dall’Unione europea. ( 4 ) Articolo 45, paragrafo 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE ( GU 2016, L 119, pag. 1 , rettifica in GU 2018, L 127, pag. 2 , in prosieguo: il «RGPD»). ( 5 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. (C-511/18, C-512/18 e C-520/18, in prosieguo: la «sentenza [OSCURATO:PERSONA] du Net e a., EU:C:2020:791 ). ( 6 ) Sentenza della Corte EDU del 25 maggio 2021, [OSCURATO:PERSONA] e a. c. [OSCURATO:PERSONA] (CE:ECHR:2021 :0525JUD005817013, in prosieguo: la «sentenza [OSCURATO:PERSONA]»). ( 7 ) Parere 5/2023, del 28 febbraio 2023, relativo al progetto di decisione di esecuzione della [OSCURATO:PERSONA] che accerta un livello di protezione adeguato dei dati personali garantito dall’ambito di protezione dei dati UE - [OSCURATO:PERSONA] (in prosieguo: il «parere 5/2023»).

Anonimizzato ex art. 52 D.Lgs. 196/2003
62023TJ0553_RES [OSCURATO:PERSONA]553/23 [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] europea Sentenza del Tribunale del 3 settembre 2025 «Trasferimento di dati personali verso gli [OSCURATO:PERSONA] – Decisione di esecuzione della [OSCURATO:PERSONA] che accerta un livello di protezione adeguato dei dati personali garantito dagli [OSCURATO:PERSONA] – Diritto a un ricorso effettivo – Diritto alla vita privata e familiare – Decisioni fondate esclusivamente sul trattamento automatizzato dei dati personali – Sicurezza del trattamento dei dati personali» Ricorso di annullamento – Ricevibilità – Rigetto di un ricorso nel merito senza statuire sulla ricevibilità – Potere discrezionale del giudice dell'Unione (Art. 263 TFUE) (v. punti 14, 15) Ricorso di annullamento – Controllo di legittimità – Criteri – Presa in considerazione dei soli elementi di fatto e di diritto esistenti al momento dell’adozione dell’atto controverso (Art. 263 TFUE) (v. punto 22) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Trasferimento di dati personali verso paesi terzi – Adozione da parte della [OSCURATO:PERSONA] di una decisione che dichiara un livello di protezione adeguato in un paese terzo – Decisione 2023/1795 che accerta un livello di protezione adeguato garantito dagli [OSCURATO:PERSONA] – Violazione del diritto a una tutela giurisdizionale effettiva – Violazione del diritto di accesso a un giudice indipendente e imparziale, precostituito per legge – Assenza (Art. 2 TUE; Carta dei diritti fondamentali dell’Unione europea, art. 47, comma 2, regolamento del Parlamento europeo e del Consiglio 2016/679, art. 45, § 2) (v. punti 24, 35-37, 39, 42, 46, 51, 53-58, 60, 62, 64, 66-82) Diritti fondamentali – Diritto a una tutela giurisdizionale effettiva – Riconoscimento agli articoli 47, secondo comma, della Carta dei diritti fondamentali e 6, paragrafo 1, della Convenzione europea dei diritti dell'uomo – Significato e portata identici – Livello di tutela garantito dalla Carta che non incide su quello garantito dalla suddetta Convenzione (Art. 6, § 3, TUE; Carta dei diritti fondamentali dell’Unione europea, artt. 47, comma 2, e 52, § 3) (v. punti 27-30) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Trasferimento di dati personali verso paesi terzi – Adozione da parte della [OSCURATO:PERSONA] di una decisione che dichiara un livello di protezione adeguato in un paese terzo – Decisione 2023/1795 che accerta un livello di protezione adeguato garantito dagli [OSCURATO:PERSONA] – Raccolta in blocco di dati personali in transito dall'Unione da parte degli enti di intelligence degli [OSCURATO:PERSONA] – Violazione dei diritti al rispetto della vita privata e alla protezione dei dati personali – Assenza – Presupposti (Carta dei diritti fondamentali dell’Unione europea, artt. 7 e 8; regolamento del Parlamento europeo e del Consiglio 2016/679, art. 45) (v. punti 83, 92, 98, 105-108, 113, 117, 119, 122, 123, 128, 137-146, 148, 150-153) [OSCURATO:PERSONA] sua sentenza, il Tribunale, riunito in composizione ampliata, respinge il ricorso di annullamento presentato da un cittadino francese contro la decisione di adeguatezza della [OSCURATO:PERSONA] europea che istituisce il nuovo quadro transatlantico per il flusso di dati personali tra l'Unione europea e gli [OSCURATO:PERSONA] ( 1 ). In tal modo, pur rimanendo in linea con la giurisprudenza della Corte in materia ( 2 ), il Tribunale fornisce chiarimenti in merito alla valutazione dell'imparzialità e dell'indipendenza della [OSCURATO:PERSONA] ( 3 ) (Corte incaricata del controllo della protezione dei dati, [OSCURATO:PERSONA] d'America, di seguito: la «DPRC»), nonché sull'esame della legittimità della raccolta in blocco, da parte degli enti di intelligence di tale paese, dei dati personali in transito dall'Unione. Nelle sentenze [OSCURATO:PERSONA] I e [OSCURATO:PERSONA] II, la Corte ha invalidato le due precedenti decisioni di adeguatezza, in quanto i sistemi dell’«approdo sicuro» e dello «scudo per la privacy» che disciplinano il trasferimento di dati personali dall'Unione agli [OSCURATO:PERSONA] non garantivano un livello di protezione delle libertà e dei diritti fondamentali sostanzialmente equivalente a quello garantito dal diritto dell'Unione. Successivamente, la [OSCURATO:PERSONA] ha avviato negoziati con il governo degli [OSCURATO:PERSONA] al fine di adottare un'eventuale nuova decisione di adeguatezza che rispettasse i requisiti del regolamento generale sulla protezione dei dati ( 4 ), così come interpretati dalla Corte. Il 7 ottobre 2022, gli [OSCURATO:PERSONA] d'America hanno adottato l'[OSCURATO:PERSONA] 14086 (decreto presidenziale n. 14086, in prosieguo: l’«E. O. 14086»), che rafforza le misure di protezione della privacy che regolano le attività di intelligence di origine elettromagnetica condotte dagli enti di intelligence con sede negli [OSCURATO:PERSONA]. Tale decreto è stato integrato dall'[OSCURATO:PERSONA] 28 CFR Part 201 (regolamento del Procuratore generale 28 CFR Part 201, in prosieguo: il «regolamento AG»), che ha modificato le disposizioni che disciplinano la creazione e il funzionamento del DPRC. Il 10 luglio 2023, dopo aver esaminato tali sviluppi normativi, la [OSCURATO:PERSONA] ha adottato la decisione impugnata. Adito del presente ricorso di annullamento, il Tribunale è chiamato a esaminare la legittimità di tale decisione, in particolare alla luce del RGPD e della Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»). Giudizio del Tribunale In un primo momento, il Tribunale si pronuncia sulla questione se la [OSCURATO:PERSONA] abbia violato l'articolo 47, secondo comma, della Carta e l'articolo 45, paragrafo 2, del RGPD, poiché, nella decisione impugnata, ha ritenuto che la DPRC offrisse un «livello di protezione adeguato» per quanto riguarda il diritto dei cittadini dell'Unione di accedere a un giudice indipendente e imparziale istituito preventivamente dalla legge. In tale contesto, respinge, in primo luogo, il motivo relativo al fatto che la DPRC non è un giudice indipendente e imparziale, ma costituisce un organo dipendente dal potere esecutivo. A tal fine, respinge, in primo luogo, l'argomento secondo cui il DPRC non è un giudice indipendente e imparziale, poiché la sua missione consiste nel riesaminare le decisioni del [OSCURATO:PERSONA] of the Director of [OSCURATO:PERSONA] (Responsabile della protezione delle libertà civili del direttore dell'intelligence nazionale, in prosieguo: il «CLPO»), che fa capo all'ufficio del direttore dell'intelligence nazionale degli [OSCURATO:PERSONA]. A questo proposito, rileva che l'esame delle garanzie relative all'indipendenza del CLPO non è rilevante ai fini della valutazione dell'indipendenza e dell'imparzialità del DPRC. Infatti, la DPRC è stata istituita come organo di controllo indipendente del CLPO e nell'E. O. 14086 sono state previste diverse garanzie affinché le decisioni del CLPO possano essere riesaminate e, se del caso, riformate in modo indipendente e imparziale dalla DPRC. Il ricorrente non ha quindi motivo di sostenere che l'insufficienza delle garanzie applicabili al CLPO comprometta l'indipendenza e l'imparzialità della DPRC. In secondo luogo, il Tribunale respinge l'argomento secondo cui la DPRC non è un giudice indipendente e imparziale, poiché è composta da giudici nominati dal Procuratore generale previa consultazione del Privacy and [OSCURATO:PERSONA] (Consiglio di vigilanza sulla privacy e le libertà civili, in prosieguo: il «PCLOB»), che è un organo dipendente dal potere esecutivo. In primo luogo, rileva che, sebbene il PCLOB sia stato istituito nell'ambito del potere esecutivo, esso è, per quanto riguarda la sua composizione, un ente indipendente, il cui compito consiste nel supervisionare in modo imparziale l'attività svolta dal potere esecutivo al fine di tutelare, in particolare, la vita privata e le libertà civili. Pertanto, il fatto che il PCLOB sia stato istituito all'interno del potere esecutivo non consente di per sé di concludere che, a causa della sua consultazione prima della nomina dei giudici della DPRC, quest'ultima non sia un giudice indipendente e imparziale. Il Tribunale precisa quindi, da un lato, che, al fine di garantire l'indipendenza dei giudici della DPRC dal potere esecutivo, l’E. O. 14086 prevede che, al momento della loro nomina, il procuratore generale debba rispettare una serie di criteri e condizioni. Dall'altro lato, i giudici della DPRC possono essere revocati solo dal procuratore generale e solo per un motivo valido, dopo aver debitamente tenuto conto delle norme applicabili ai giudici federali enunciate nelle regole relative alla deontologia giudiziaria e alla procedura di incapacità giudiziaria. Il Tribunale conclude che le norme relative alla nomina e alla revoca dei giudici della DPRC non possono mettere in discussione la sua indipendenza e imparzialità. Infine, il Tribunale rileva che la [OSCURATO:PERSONA] è tenuta a monitorare costantemente l'applicazione del quadro giuridico su cui si basa la decisione impugnata, al fine di determinare se gli [OSCURATO:PERSONA] d'America continuano a garantire un livello di protezione adeguato. Pertanto, se il quadro giuridico in vigore negli [OSCURATO:PERSONA] al momento dell'adozione della decisione impugnata dovesse cambiare, la [OSCURATO:PERSONA] può decidere, se necessario, di sospendere, modificare o abrogare la decisione impugnata o di limitarne il campo di applicazione. In terzo luogo, il Tribunale respinge l’argomento secondo cui la DPRC non è un giudice indipendente e imparziale, poiché il regolamento AG non esclude la possibilità che i suoi giudici siano soggetti a forme di supervisione non quotidiana da parte del potere esecutivo. Il Tribunale osserva a questo proposito che, sebbene dal fascicolo risulti che i giudici della DPRC non devono essere soggetti alla supervisione quotidiana del procuratore generale, la decisione impugnata indica anche che, ai sensi dell'E. O. 14086, gli enti di intelligence e il procuratore generale non devono ostacolare o influenzare indebitamente il lavoro della DPRC. Inoltre, dal fascicolo risulta che tale decreto presidenziale e il regolamento AG limitano la possibilità per il potere esecutivo di influenzare il lavoro della DPRC, stabilendo che i suoi giudici possono essere revocati solo dal procuratore generale e solo per un motivo valido. In secondo luogo, il Tribunale respinge la censura secondo cui la DPRC non è stata preventivamente istituita dalla legge, in quanto non è stata creata da una legge adottata dal Congresso degli [OSCURATO:PERSONA], ma da un atto dell'esecutivo, vale a dire una decisione del procuratore generale. Il Tribunale ricorda, innanzitutto, che, per valutare se siano soddisfatti i requisiti derivanti dall'articolo 47, secondo comma, della Carta, non ci si deve limitare a valutare la natura formale del testo giuridico che istituisce un giudice e ne definisce le regole di funzionamento, ma occorre verificare se tale testo giuridico preveda garanzie sufficienti volte ad assicurare la sua indipendenza e imparzialità rispetto agli altri poteri, in particolare rispetto al potere esecutivo. Il Tribunale rileva poi che, come statuito dalla Corte nelle sentenze [OSCURATO:PERSONA] I e [OSCURATO:PERSONA] II, nell’ambito di una decisione di adeguatezza la [OSCURATO:PERSONA] non è tenuta ad accertare che le disposizioni pertinenti del paese terzo siano identiche a quelle vigenti nell’Unione, ma che siano sostanzialmente equivalenti a quelle garantite dal diritto dell’Unione in virtù del RGPD, letto alla luce della Carta. Ne consegue che, nella fattispecie, il Tribunale è tenuto a verificare la fondatezza della constatazione di adeguatezza effettuata dalla [OSCURATO:PERSONA] nella decisione impugnata, secondo cui le disposizioni del diritto degli [OSCURATO:PERSONA] relative all'istituzione e al funzionamento del DPRC offrono garanzie sostanzialmente equivalenti a quelle previste dal diritto dell'Unione all'articolo 47, secondo comma, della Carta. Tali garanzie sono offerte, in particolare, quando il testo giuridico che istituisce tale giudice e ne definisce le regole di funzionamento mira a garantirne l'indipendenza e l'imparzialità rispetto agli altri poteri, in particolare rispetto al potere esecutivo, nonostante il fatto che detto testo non costituisca, da un punto di vista formale, una legge. Nel caso di specie, dalla decisione impugnata risulta che il DPRC non è stato istituito con una legge adottata dal potere legislativo, vale a dire il Congresso degli [OSCURATO:PERSONA], bensì con un atto emanato dal potere esecutivo. In tale contesto, il Tribunale verifica se, in modo sostanzialmente equivalente al diritto dell'Unione, l'E. O. 14086 e il regolamento AG prevedano garanzie volte ad assicurare l'indipendenza e l'imparzialità della DPRC. Dopo aver esaminato, in particolare, le modalità di istituzione della DPRC come organo indipendente dotato di potere decisionale, le modalità di nomina e revoca dei suoi giudici, nonché le garanzie procedurali relative all'adempimento della loro missione, il Tribunale constata che sono state sanate le carenze rilevate dalla Corte nella sentenza [OSCURATO:PERSONA] II. Alla luce di tutte le considerazioni che precedono, il Tribunale respinge integralmente il motivo relativo alla violazione dell'articolo 47, secondo comma, della Carta e dell'articolo 45, paragrafo 2, del RGPD. In un secondo momento, il Tribunale si pronuncia sulla questione se la [OSCURATO:PERSONA] abbia violato gli articoli 7 e 8 della Carta, relativi rispettivamente al rispetto della vita privata e alla protezione dei dati personali, nei limiti in cui ha ritenuto che gli [OSCURATO:PERSONA] d'America garantissero un livello di protezione adeguato per quanto riguarda la raccolta in blocco, da parte degli enti di intelligence di tale paese, nonostante il fatto che l'E. O. 14086 non stabilisca l'obbligo, per tali enti di intelligence, di ottenere, prima della raccolta in blocco di dati personali, l'autorizzazione preventiva di un'autorità giudiziaria o amministrativa. In tale contesto, il Tribunale respinge, in primo luogo, l’argomento secondo cui la raccolta in blocco di dati personali effettuata dagli enti di intelligence degli [OSCURATO:PERSONA] non è soggetta a controllo giurisdizionale e non è disciplinata da norme sufficientemente chiare e precise. In primo luogo, il Tribunale sottolinea che nulla nella sentenza [OSCURATO:PERSONA] II suggerisce che la raccolta in blocco di dati personali debba necessariamente essere soggetta a un'autorizzazione preventiva rilasciata da un'autorità indipendente. Al contrario, dalla sentenza risulta che la decisione che autorizza tale raccolta deve essere almeno soggetta a un controllo giurisdizionale a posteriori. Nel caso di specie, l’E. O. 14086 e il regolamento AG sottopongono le attività di intelligence di origine elettromagnetica svolte dagli enti di intelligence degli [OSCURATO:PERSONA] al controllo giurisdizionale a posteriori della DPRC. Di conseguenza, non si può ritenere che la raccolta in blocco di dati personali effettuata dagli enti di intelligence sulla base della decisione impugnata non soddisfi i requisiti derivanti dalla sentenza [OSCURATO:PERSONA] II al riguardo. Il Tribunale osserva inoltre che l'E. O. 14086 stabilisce che la raccolta in blocco è consentita solo per promuovere una priorità di intelligence convalidata che non può essere ragionevolmente ottenuta mediante una raccolta mirata, fissa requisiti fondamentali applicabili a tutte le attività di intelligence di origine elettromagnetica e stabilisce garanzie specifiche applicabili alla raccolta in blocco di dati personali. In tali circostanze, il Tribunale ritiene che non possa essere validamente sostenuto che l'attuazione della raccolta in blocco non sia disciplinata in modo sufficientemente chiaro e preciso. In secondo luogo, il Tribunale respinge l'argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall'Unione dovrebbe essere soggetta ad autorizzazione preventiva, ai sensi della sentenza [OSCURATO:PERSONA] du Net e a. ( 5 ). Il Tribunale rileva, al riguardo, che l’ipotesi di cui alla causa che ha dato luogo alla sentenza [OSCURATO:PERSONA] du Net e a. è diversa da quella di cui trattasi nella presente causa e conclude che il riferimento a tale sentenza è irrilevante. In terzo luogo, il Tribunale respinge l’argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione dovrebbe essere soggetta ad autorizzazione preventiva, in base alla sentenza della Corte EDU [OSCURATO:PERSONA] ( 6 ). Il Tribunale, dopo aver constatato che un'operazione di raccolta in blocco di dati personali, come quella oggetto della decisione impugnata, rientra nell'ambito della prima delle fasi dell'intercettazione individuate dalla Corte europea dei diritti dell'uomo nella sentenza [OSCURATO:PERSONA], nei limiti in cui consiste nella raccolta, a fini di protezione della sicurezza nazionale, di dati personali in transito dall'Unione di un gran numero di persone, trae le conseguenze di tale sentenza nell'ambito della valutazione della legittimità della decisione impugnata. Pertanto, il Tribunale rileva che la Corte europea dei diritti dell'uomo ha indicato, nella sentenza [OSCURATO:PERSONA], che l'intercettazione di massa dei dati personali deve essere soggetta a diverse garanzie, quali l'ottenimento dell'autorizzazione di un'autorità indipendente sin dalla definizione dell'oggetto e della portata dell'operazione di sorveglianza in questione, l'istituzione di un sistema di supervisione e di un controllo giurisdizionale indipendente a posteriori, nonché la previsione di norme giuridiche che consentissero di garantire, per ciascuna delle fasi dell'intercettazione, la necessità e la proporzionalità delle misure adottate. Inoltre, la Corte europea dei diritti dell'uomo ha sottolineato che la necessità di prevedere garanzie aumenta man mano che il processo attraversa le diverse fasi e, di conseguenza, l'intensità della violazione del diritto alla vita privata diventa più significativa. In tale contesto, il Tribunale ricorda che la [OSCURATO:PERSONA] non è tenuta, nell’ambito di una decisione di adeguatezza, ad accertarsi che le disposizioni pertinenti del paese terzo siano identiche a quelle in vigore nell’Unione, ma che siano sostanzialmente equivalenti. Pertanto, il Tribunale ritiene, nel caso di specie, che la necessità di prevedere, per questa fase specifica della raccolta in blocco, garanzie che limitino il potere discrezionale degli enti di intelligence sia più limitata, tenuto conto del contesto in cui viene effettuata l'intercettazione. Infatti, ciò che è in questione nel caso di specie è solo l'intercettazione iniziale in blocco di dati personali da parte degli enti di intelligence, ad esclusione delle attività successive. Inoltre, il Tribunale ricorda che la previsione di un’autorizzazione preventiva non è l’unica garanzia che deve accompagnare l’intercettazione di massa di dati personali, ma costituisce uno degli elementi che, nel loro insieme, costituiscono la pietra angolare di qualsiasi regime di intercettazione di massa. A tale riguardo, la normativa vigente negli [OSCURATO:PERSONA] prevede norme giuridiche che disciplinano in modo sufficientemente chiaro e preciso l’attuazione, da parte degli enti di intelligence degli [OSCURATO:PERSONA], della raccolta in blocco di dati personali e conferisce alle persone interessate dal trasferimento dei loro dati il diritto a un ricorso giurisdizionale effettivo dinanzi alla DPRC. Inoltre, i considerando da 162 a 169 della decisione impugnata indicano, senza che il ricorrente lo contesti, che le attività di intelligence svolte dagli enti di intelligence sono controllate dal PCLOB, che è stato concepito dal suo statuto costitutivo come un ente indipendente. Allo stesso modo, tali attività sono soggette alla supervisione, in primo luogo, da parte dei responsabili legali e dei delegati che, all'interno di ciascun ente di intelligence, sono incaricati della sorveglianza e del rispetto di tale diritto, in secondo luogo dell'ispettore generale indipendente incaricato, per ciascun ente di intelligence, di controllare le attività di intelligence esterna svolte dall'ente in questione e, in terzo luogo, dell'[OSCURATO:PERSONA] (Consiglio di sorveglianza dell'intelligence, [OSCURATO:PERSONA]), istituito nell'ambito del [OSCURATO:PERSONA] (Consiglio consultivo dell'intelligence del presidente, [OSCURATO:PERSONA]) e incaricato di vigilare sul rispetto della legge da parte delle autorità statunitensi nonché, in quarto luogo, delle commissioni speciali istituite nell'ambito del Congresso degli [OSCURATO:PERSONA] che esercitano funzioni di controllo su tutte le attività di intelligence esterna di tale paese. Alla luce di tali considerazioni, il Tribunale ritiene che il fatto di non prevedere un’autorizzazione preventiva applicabile alla raccolta iniziale in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione non sia sufficiente per ritenere che il diritto degli [OSCURATO:PERSONA] non fornisca garanzie sostanzialmente equivalenti a quelle previste dal diritto dell’Unione. In quarto e ultimo luogo, il Tribunale respinge l’argomento secondo cui la raccolta in blocco, da parte degli enti di intelligence degli [OSCURATO:PERSONA], di dati personali in transito dall’Unione dovrebbe essere soggetta ad autorizzazione preventiva ai sensi del parere 5/2023, formulato dal Comitato europeo per la protezione dei dati (CEPD) ( 7 ). Il Tribunale osserva, a tale riguardo, che il parere 5/2023 è stato emesso sulla base dell’articolo 70, paragrafo 1, lettera s), del RGPD. Orbene, quando agisce su tale base, il GEPD si limita a svolgere una funzione consultiva. Pertanto, tale parere non è vincolante per la [OSCURATO:PERSONA]. In ogni caso, il Tribunale rileva che, in tale parere, il GEPD non ha indicato che la mancata istituzione di un controllo preventivo relativo alla raccolta in blocco di dati personali compromettesse necessariamente la valutazione positiva, da parte della [OSCURATO:PERSONA], dell'adeguatezza del livello di protezione dei dati personali offerto dal quadro di protezione dei dati UE-[OSCURATO:PERSONA]. Pertanto, il Tribunale respinge il motivo relativo alla violazione degli articoli 7 e 8 della Carta, nonché il presente ricorso nel suo complesso. ( 1 ) Decisione di esecuzione (UE) 2023/1795 della [OSCURATO:PERSONA] del 10 luglio 2023 a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sul livello di protezione adeguato dei dati personali nell'ambito del quadro UE-USA per la protezione dei dati personali ( GU 2023, L 231, pag. 118 , in prosieguo: la «decisione impugnata»). ( 2 ) Sentenze del 6 ottobre 2015, [OSCURATO:PERSONA] (C-362/14, in prosieguo: la «sentenza [OSCURATO:PERSONA] I, EU:C:2015:650 ), e del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (C-311/18, in prosieguo: la «sentenza [OSCURATO:PERSONA] II, EU:C:2020:559 ). ( 3 ) Si tratta dell’organismo incaricato, negli [OSCURATO:PERSONA], di controllare la legittimità del trasferimento di dati personali dall’Unione europea. ( 4 ) Articolo 45, paragrafo 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE ( GU 2016, L 119, pag. 1 , rettifica in GU 2018, L 127, pag. 2 , in prosieguo: il «RGPD»). ( 5 ) Sentenza del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. (C-511/18, C-512/18 e C-520/18, in prosieguo: la «sentenza [OSCURATO:PERSONA] du Net e a., EU:C:2020:791 ). ( 6 ) Sentenza della Corte EDU del 25 maggio 2021, [OSCURATO:PERSONA] e a. c. [OSCURATO:PERSONA] (CE:ECHR:2021 :0525JUD005817013, in prosieguo: la «sentenza [OSCURATO:PERSONA]»). ( 7 ) Parere 5/2023, del 28 febbraio 2023, relativo al progetto di decisione di esecuzione della [OSCURATO:PERSONA] che accerta un livello di protezione adeguato dei dati personali garantito dall’ambito di protezione dei dati UE - [OSCURATO:PERSONA] (in prosieguo: il «parere 5/2023»).