Corte di giustizia UE n. 3/2025

62023TJ0070 SENTENZA DEL TRIBUNALE (Decima Sezione ampliata) 29 gennaio 2025 ( *1 ) «Protezione dei dati personali – Articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 – Decisione vincolante che dà istruzione a un’autorità di controllo capofila di ampliare l’ambito dell’indagine e di elaborare un progetto di decisione integrativa – Competenza del [OSCURATO:PERSONA] europeo per la protezione dei dati» Nelle cause riunite T‑70/23, T‑84/23 e T‑111/23, [OSCURATO:PERSONA] , con sede a Dublino (Irlanda), rappresentata da D. Young, A. Bateman, R. Minch, M. Delargy, K. Donnelly, solicitors, B. Kennelly, SC, D. Fennelly, E. Synnott e R. Costello, barristers, ricorrente, contro [OSCURATO:PERSONA] europeo per la protezione dei dati , rappresentato da I. Vereecken, C. Foglia e M. Gufflet, in qualità di agenti, assistite da G. Ryelandt, E. de Lophem e P. Vernet, avvocati, convenuto, IL TRIBUNALE (Decima Sezione ampliata), composto da O. [OSCURATO:PERSONA], presidente, M. [OSCURATO:PERSONA], L. [OSCURATO:PERSONA] (relatore), P. [OSCURATO:PERSONA] e S. [OSCURATO:PERSONA], giudici, cancelliere: M. Zwozdziak-Carbonne, amministratrice vista la fase scritta del procedimento, in seguito all’udienza del 16 aprile 2024, ha pronunciato la seguente Sentenza ( 1 ) ( 2 ) 1 Con ricorsi ai sensi dell’articolo 263 TFUE, la [OSCURATO:PERSONA], ricorrente, autorità di controllo irlandese in materia di protezione dei dati personali, chiede l’annullamento parziale delle decisioni vincolanti 3/2022, 4/2022 e 5/2022, del 5 dicembre 2022, del [OSCURATO:PERSONA] europeo per la protezione dei dati (in prosieguo: l’«EDPB»), relative alle controversie tra le autorità di controllo interessate derivanti dai progetti di decisione della ricorrente riguardanti rispettivamente il social network [OSCURATO:PERSONA], il social network Instagram e la messaggeria WhatsApp, nella parte in cui tali decisioni vincolanti le impongono di condurre nuove indagini sui trattamenti di dati connessi all’utilizzo di tali applicazioni e di elaborare progetti di decisione integrativi su tale base. Fatti e procedimento [ omissis ] 6 Dopo scambi di corrispondenza con le altre autorità di controllo interessate, la ricorrente ha rilevato che non vi era consenso riguardo alle obiezioni formulate nei confronti dei suoi progetti di decisione e ha adito l’EDPB nell’ambito del meccanismo di coerenza istituito nel regolamento 2016/679, conformemente all’articolo 60, paragrafo 4, di quest’ultimo. 7 A seguito dell’esame dei tre fascicoli, l’EDPB ha adottato le decisioni vincolanti 3/2022, 4/2022 e 5/2022 il 5 dicembre 2022, sulla base dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679. In queste tre decisioni vincolanti, l’EDPB ha anzitutto ritenuto che la maggior parte delle obiezioni formulate nei confronti dei progetti di decisione della ricorrente fosse pertinente e motivata, ai sensi dell’articolo 4, punto 24, del regolamento 2016/679, e di poter prendere posizione sulle questioni che esse sollevavano. A tale riguardo, l’EDPB ha approvato nel merito una serie di obiezioni che aveva ritenuto pertinenti e motivate. [ omissis ] Conclusioni delle parti 15 La ricorrente chiede che il Tribunale voglia: – nella causa T‑70/23, annullare la seconda frase dei punti 198 e 487 della decisione vincolante 3/2022 dell’EDPB; – nella causa T‑84/23, annullare la seconda frase dei punti 203 e 454 della decisione vincolante 4/2022 dell’EDPB; – nella causa T‑111/23, annullare i punti 222 e 326.8 della decisione vincolante 5/2022 dell’EDPB; – in tutte e tre le cause, condannare l’EDPB a farsi carico delle spese da essa sostenute. 16 L’EDPB, nelle tre cause, chiede che il Tribunale voglia: – respingere i ricorsi; – in subordine, limitare l’annullamento delle decisioni impugnate alle loro parti pertinenti; – condannare la ricorrente alle spese. In diritto 17 La ricorrente deduce nelle tre cause un motivo unico sostenendo che l’EDPB ha oltrepassato la competenza conferitagli dall’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679 imponendole, in ciascuna delle decisioni vincolanti di cui trattasi, da un lato, di condurre una nuova indagine su aspetti non ancora esaminati e, dall’altro, di presentare un progetto di decisione integrativa, conformemente all’articolo 60, paragrafo 3, del medesimo regolamento, sulla base dei risultati di tale nuova indagine. [ omissis ] Sul motivo unico vertente sull’incompetenza dell’EDPB ad adottare le disposizioni impugnate [ omissis ] 29 Ciò precisato, occorre ricordare che da una giurisprudenza costante si evince che, in linea di principio, ai fini dell’interpretazione di una norma del diritto dell’Unione, si deve tener conto non soltanto della lettera della stessa, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (v., in tal senso, sentenza del 29 novembre 2018, Mensing, C‑264/17 , EU:C:2018:968 , punto 24 e giurisprudenza citata). Nel caso di specie, alcuni argomenti della ricorrente derivano anche da considerazioni o principi che vanno oltre lo stesso regolamento 2016/679. Il Tribunale si pronuncerà quindi sulla portata della competenza dell’EDPB ai sensi dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/69 esaminando, se necessario, anzitutto gli argomenti della ricorrente dedotti nell’ambito di un’analisi letterale, contestuale, teleologica e storica di tale regolamento, poi quelli vertenti sulle condizioni di attribuzione di una competenza a un organismo dell’Unione, sulle caratteristiche del controllo giurisdizionale operato a livello nazionale e sull’indipendenza delle autorità di controllo incaricate della protezione dei dati personali. Sugli argomenti relativi alla portata della competenza dell’EDPB ai sensi dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679 dedotti nell’ambito di un’analisi letterale, contestuale, teleologica e storica di detto regolamento 30 La ricorrente si basa sul tenore letterale dell’articolo 65, paragrafo 1, lettera a), dell’articolo 65, paragrafo 6, nonché dell’articolo 4, punto 24, del regolamento 2016/679 per sostenere che l’EDPB non è competente a imporre a un’autorità di controllo capofila, in una decisione vincolante adottata ai sensi della prima di tali disposizioni, di ampliare la sua indagine e di presentare un nuovo progetto di decisione per trarre le conclusioni di tale indagine integrativa. A tal fine, richiama anche i considerando 126 e 136 di tale regolamento. 31 L’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679 così dispone: «Al fine di assicurare l’applicazione corretta e coerente del presente regolamento nei singoli casi, [l’EDPB] adotta una decisione vincolante (...) se, (...) un’autorità di controllo interessata ha sollevato un’obiezione pertinente e motivata a un progetto di decisione dell’autorità capofila o l’autorità capofila ha rigettato tale obiezione in quanto non pertinente o non motivata. La decisione vincolante riguarda tutte le questioni oggetto dell’obiezione pertinente e motivata, in particolare se sussista una violazione del presente regolamento». 32 L’articolo 4, punto 24, del regolamento 2016/679 definisce l’obiezione pertinente e motivata come segue: «[U]n’obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento, oppure che l’azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme al presente regolamento, la quale obiezione dimostra chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all’interno dell’Unione». 33 L’articolo 65, paragrafo 6, del regolamento 2016/679 dispone, in particolare, quanto segue: «L’autorità di controllo capofila o, se del caso, l’autorità di controllo a cui è stato proposto il reclamo adotta la sua decisione definitiva in base alla decisione di cui al paragrafo 1 del presente articolo senza ingiustificato ritardo e al più tardi entro un mese dalla notifica della decisione da parte [dell’EDPB]. (...) La decisione definitiva delle autorità di controllo interessate è adottata ai sensi dell’articolo 60, paragrafi 7, 8 e 9. La decisione finale fa riferimento alla decisione di cui al paragrafo 1 del presente articolo e precisa che la decisione di cui a tale paragrafo sarà pubblicata sul sito web [dell’EDPB] conformemente al paragrafo 5 del presente articolo. La decisione finale deve accludere la decisione di cui al paragrafo 1 del presente articolo». 34 Secondo la ricorrente, le tre disposizioni citate ai precedenti punti da 31 a 33 limitano la portata di una decisione vincolante dell’EDPB, adottata sulla base dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, all’ambito delle analisi effettuate nel progetto di decisione dell’autorità di controllo capofila comunicato alle altre autorità di controllo interessate dal fascicolo. Infatti, una simile decisione vincolante non potrebbe che dar seguito ad un’obiezione pertinente e motivata, la quale dovrebbe vertere sul contenuto del progetto di decisione e non su ciò che non vi figura. L’effetto giuridico della decisione vincolante sarebbe limitato alle modifiche che, ai sensi dell’articolo 65, paragrafo 6, del medesimo regolamento, l’autorità di controllo competente deve apportare, entro un mese dalla sua notifica, nella decisione definitiva rispetto al progetto di decisione. Pertanto, la decisione vincolante potrebbe riguardare solo la corretta interpretazione del regolamento 2016/679 rispetto a quanto figura nel progetto di decisione dell’autorità di controllo capofila e le disposizioni in questione non conferirebbero all’EDPB alcun potere di impartire a tale autorità istruzioni riguardanti un altro argomento, ad esempio richiedendole di indagare o di presentare un nuovo progetto di decisione. 35 Tuttavia, tale lettura è restrittiva alla luce del testo delle disposizioni citate ai precedenti punti da 31 a 33. Infatti, occorre ricordare che l’articolo 4, punto 24, del regolamento 2016/679 include nel concetto di «obiezione pertinente e motivata»«un’obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento (...) la quale (...) dimostri chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati». Ora, sebbene l’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679 preveda che una decisione vincolante adottata a tale titolo «riguard[i] tutte le questioni oggetto dell’obiezione pertinente e motivata», nulla vieta che un’obiezione del genere verta sull’assenza o sull’insufficienza di analisi, in tale progetto di decisione dell’autorità di controllo capofila, di un aspetto del fascicolo, che impedisca di sapere se vi sia o meno una violazione di detto regolamento su tale aspetto. I termini «obiezione al progetto di decisione» non sono limitati, contrariamente a quanto sostiene la ricorrente, alle obiezioni a considerazioni contenute nel progetto di decisione. Di conseguenza, poiché la decisione vincolante dell’EDPB deve riguardare tutte le questioni oggetto di obiezioni pertinenti e motivate, nulla vieta che, qualora l’EDPB approvi un’obiezione pertinente e motivata relativa a un’assenza o a un’insufficienza di tale natura, tale decisione contenga un’ingiunzione all’autorità di controllo capofila di colmare tale mancanza di analisi e, se ciò appare necessario alla luce del fascicolo in possesso dell’EDPB, di approfondire o ampliare a tal fine l’indagine condotta fino a quel momento. Infatti, se risulta che il fascicolo non è sufficiente a svolgere l’analisi richiesta in modo completo, l’EDPB deve essere in grado di imporre all’autorità di controllo capofila un’ulteriore indagine. 36 Va inoltre notato che la formulazione delle tre disposizioni citate ai precedenti punti da 31 a 33, considerate congiuntamente, non limita la portata di una decisione vincolante alle sole modifiche immediate da apportare al progetto di decisione presentato dall’autorità di controllo capofila in vista dell’adozione di una decisione definitiva alle condizioni precisate all’articolo 65, paragrafo 6, del regolamento 2016/679, vale a dire alle sole modifiche vertenti sul contenuto del progetto di decisione e non su ciò che non vi figura. A tal riguardo, contrariamente a quanto sostiene la ricorrente, quest’ultima disposizione è intesa solo a precisare le modalità per l’adozione della decisione definitiva quando quest’ultima può immediatamente seguire una decisione vincolante dell’EDPB, in particolare quando non è necessaria una nuova indagine o un’analisi più ampia o approfondita di alcuni aspetti del fascicolo. Non è una disposizione relativa al possibile contenuto di una decisione vincolante, il quale è determinato dalla base giuridica su cui si fonda l’adozione di tale decisione, nel caso di specie l’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, che deve essere letto esso stesso in combinato disposto con l’articolo 4, punto 24, di tale regolamento per quanto riguarda la definizione del concetto di «obiezione pertinente e motivata». Si deve sottolineare, a tal riguardo, che l’articolo 65, paragrafo 1, del regolamento 2016/679 prevede vari tipi di decisioni vincolanti dell’EDPB che non implicano automaticamente l’adozione consecutiva e immediata di una decisione definitiva di un’autorità di controllo. [ omissis ] 38 L’analisi letterale svolta ai precedenti punti 35 e 36 delle tre disposizioni citate ai precedenti punti da 31 a 33 non può essere stravolta dalla formulazione dei considerando 126 e 136 del regolamento 2016/679, contrariamente a quanto sostiene la ricorrente. Infatti, al primo di tali considerando, affermando che «[l]a decisione dovrebbe essere adottata congiuntamente dall’autorità di controllo capofila e dalle autorità di controllo interessate», il legislatore non sottrae affatto la questione dell’ambito di analisi che una siffatta decisione deve coprire in un caso particolare alla valutazione delle autorità di controllo interessate diverse dall’autorità di controllo capofila; al contrario, poiché «la decisione» si concretizza non solo attraverso le valutazioni in essa contenute, ma anche attraverso l’ambito degli aspetti che essa abbraccia. Di conseguenza, se non vi è consenso su questo punto tra le autorità di controllo interessate e l’EDPB è chiamato a pronunciarsi al riguardo, la formulazione di tale considerando non esclude che l’EDPB possa imporre un’analisi più ampia e, se necessario, un’indagine più ampia. Analogamente, il considerando 136 del regolamento 2016/679 precisa che l’EDPB «dovrebbe adottare (...) decisioni giuridicamente vincolanti in casi chiaramente determinati in cui vi siano pareri divergenti tra le autorità di controllo segnatamente nell’ambito del meccanismo di cooperazione tra l’autorità di controllo capofila e le autorità di controllo interessate sul merito del caso, in particolare sulla sussistenza di una violazione del presente regolamento». Diversamente da quanto sostiene la ricorrente, l’ambito dell’indagine non è una questione procedurale, bensì di merito del fascicolo, poiché determina la portata di ciò che deve essere esaminato per valutare se l’operazione o le operazioni di trattamento dei dati di cui trattasi rispettino il regolamento 2016/679. 39 A tal proposito, può fin d’ora essere respinto un altro argomento della ricorrente, secondo il quale l’interpretazione del concetto di «obiezione pertinente e motivata», accolta al precedente punto 35, darebbe all’EDPB la possibilità di emettere ingiunzioni nei confronti dell’autorità in merito a tutti i poteri detenuti da tale autorità alla sola condizione che la questione sollevata da un’autorità di controllo interessata sia qualificata come obiezione pertinente e motivata nel senso così accolto. Come precisato all’articolo 4, punto 24, del regolamento 2016/679, un’obiezione pertinente e motivata al progetto di decisione dell’autorità di controllo capofila può riguardare solo un aspetto relativo alla conformità a tale regolamento o il fatto che i provvedimenti correttivi previsti nei confronti del titolare del trattamento o del responsabile del trattamento siano a loro volta conformi. Una simile obiezione può quindi riguardare unicamente il merito del fascicolo e i poteri decisionali finali dell’autorità di controllo capofila, in particolare previsti all’articolo 58, paragrafo 2, del medesimo regolamento, che rientrano anch’essi nel merito. Di conseguenza, un’obiezione del genere non può riguardare lo svolgimento dell’indagine propriamente detta (in contrapposizione all’ambito dell’indagine), che si basa sui poteri di indagine delle autorità di controllo menzionati all’articolo 58, paragrafo 1, del regolamento 2016/679. 40 L’analisi letterale dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, tenendo conto della formulazione dell’articolo 4, punto 24, dell’articolo 65, paragrafo 6, e dei considerando 126 e 136 del medesimo regolamento, depone quindi nel senso della competenza dell’EDPB ad adottare disposizioni, come le disposizioni impugnate, che incaricano la ricorrente di condurre una nuova indagine su taluni aspetti dei fascicoli di cui trattasi e di adottare successivamente nuovi progetti di decisione al riguardo. È necessario valutare se gli argomenti della ricorrente dedotti nell’ambito delle sue interpretazioni contestuale e teleologica del regolamento 2016/679 siano tali da contraddire i risultati di questa prima analisi. [ omissis ] 43 A questo proposito, diversamente da quanto sostiene la ricorrente, la procedura di cooperazione tra autorità di controllo interessate da un caso, descritta all’articolo 60 del regolamento 2016/679, che può comportare l’attivazione del meccanismo di coerenza garantito dall’EDPB, previsto al paragrafo 4, non è una procedura «a senso unico» in cui le fasi si susseguono sempre nell’ordine delle disposizioni che le prevedono, senza la possibilità di tornare a una fase precedente o di rimanere temporaneamente nella stessa fase. Così, ad esempio, partendo dalla situazione presentata dalla ricorrente, prevista al paragrafo 5, in cui l’autorità di controllo capofila ha inteso dare seguito da sola alle obiezioni di altre autorità di controllo interessate formulate nei confronti del suo progetto di decisione trasmesso ai sensi del paragrafo 3, e in cui essa ha presentato a tali autorità un progetto di decisione riveduto, la procedura può evolversi in vari modi. Se tali autorità non sollevano obiezioni al progetto riveduto, la decisione o le decisioni definitive sono successivamente adottate direttamente a norma dei paragrafi da 6 a 9. In caso contrario, ossia quando ci sono obiezioni al progetto riveduto, se l’autorità di controllo capofila accetta tali obiezioni in tutto o in parte, si ripete la fase di cui al paragrafo 5 ed è necessario che l’autorità di controllo capofila presenti un nuovo progetto riveduto che tenga conto delle obiezioni che ha accettato. Se l’autorità di controllo capofila non accetta in tutto o in parte le obiezioni al progetto riveduto, essa, a norma del paragrafo 4, deve attivare il meccanismo di coerenza sottoponendo la questione all’EDPB sulla base del progetto di decisione riveduto il più completo. 44 L’EDPB, nel controricorso, fornisce un altro esempio che illustra che la procedura di cooperazione tra autorità di controllo interessate da un caso, prevista all’articolo 60 del regolamento 2016/679, non è inevitabilmente «a senso unico». A seguito di obiezioni di altre autorità di controllo interessate formulate nei confronti del suo progetto di decisione trasmesso ai sensi del paragrafo 3 di tale articolo, l’autorità di controllo capofila può essa stessa ritenere che, invece di presentare subito un progetto di decisione riveduto o di attivare il meccanismo di coerenza, occorra tornare indietro e approfondire l’esame prima di presentare nuovamente un progetto di decisione ai sensi del medesimo paragrafo 3. L’EDPB afferma che l’autorità di controllo francese ha agito in tal senso in un caso. 45 Allo stesso modo, nel caso in cui l’EDPB intervenga ai sensi del paragrafo 4 del medesimo articolo e adotti una decisione vincolante, sono possibili diversi scenari. Se tutti gli aspetti pertinenti del caso sono stati sufficientemente affrontati nel progetto di decisione dell’autorità di controllo capofila, quest’ultima o, se del caso, l’autorità di controllo alla quale è stato presentato il reclamo, può adottare, ai sensi dei paragrafi da 6 a 9 del medesimo articolo, una o più decisioni definitive che chiudono il caso, tenendo conto in particolare della decisione vincolante dell’EDPB. Se, invece, nella decisione vincolante dell’EDPB si ritiene, a seguito di obiezioni formulate in tal senso, che il progetto di decisione dell’autorità di controllo capofila non affronti, o non affronti sufficientemente, tutti gli aspetti pertinenti del caso e, eventualmente, che sia pertanto necessaria una riapertura dell’indagine, possono semmai essere adottate dall’autorità di controllo capofila o dall’autorità di controllo a cui è stato presentato il reclamo una o più decisioni definitive parziali, ai sensi delle disposizioni summenzionate, ma l’autorità di controllo capofila deve in parallelo completare la sua analisi, dopo aver eventualmente condotto una nuova indagine, al fine di presentare, conformemente al paragrafo 3 dello stesso articolo, un progetto di decisione integrativa alle altre autorità di controllo interessate. 46 La ricorrente deduce un secondo argomento nell’ambito dell’interpretazione contestuale secondo il quale, letto alla luce del considerando 141 del regolamento 2016/679, l’articolo 57, paragrafo 1, lettera f), del medesimo regolamento, ai sensi del quale l’autorità di controllo tratta i reclami e svolge le indagini opportune sull’oggetto del reclamo, dimostra che l’ambito dell’indagine da svolgere a seguito di un reclamo rientra nella valutazione delle autorità di controllo nazionali, con la sola riserva di un sindacato giurisdizionale nazionale. 47 Il considerando 141 del regolamento 2016/679 recita, in particolare, quanto segue: «Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo (...) qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. Successivamente al reclamo si dovrebbe condurre un’indagine, soggetta a controllo giurisdizionale, nella misura in cui ciò sia opportuno nel caso specifico. (…)». 48 L’articolo 57, paragrafo 1, lettera f), del regolamento 2016/679 e le considerazioni addotte dalla ricorrente non portano tuttavia a sottrarre la questione dell’adeguatezza dell’ambito dell’indagine ai meccanismi di cooperazione tra autorità di controllo interessate e di coerenza da parte dell’EDPB. 49 Infatti, l’articolo 57 del regolamento 2016/679, che verte sull’insieme dei compiti delle autorità di controllo, prevede come primo compito, al paragrafo 1, lettera a), quello di sorvegliare e assicurare l’applicazione di detto regolamento. Pertanto, contrariamente a quanto sostanzialmente sostenuto dalla ricorrente in udienza, l’analisi delle condizioni in cui viene effettuato il trattamento di dati personali e della sua conformità a tale regolamento non deve limitarsi a quanto evidenziato nel reclamo. 50 Soprattutto, svolgere appieno i compiti previsti all’articolo 57, paragrafo 1, lettere a) e f), del regolamento 2016/679, di assicurarne l’applicazione e trattare opportunamente i reclami implica la selezione di un ambito di analisi appropriato del fascicolo alla luce del reclamo che ne è all’origine, ma anche alla luce di altri elementi che possono integrarlo. Tale analisi deve portare, dal momento che il trattamento di dati personali di cui trattasi è transfrontaliero, all’adozione di decisioni oggetto della procedura di cooperazione prevista all’articolo 60 di tale regolamento. Nel contesto di tale procedura, il criterio da soddisfare affinché una questione possa essere oggetto di una decisione vincolante dell’EDPB, adottata sulla base dell’articolo 65, paragrafo 1, lettera a), di detto regolamento, è che essa abbia dato luogo a un’obiezione pertinente e motivata, come definita all’articolo 4, punto 24, del medesimo regolamento. Ebbene, l’obiezione pertinente e motivata, secondo la sua definizione, si riferisce ad aspetti la cui analisi rientra effettivamente nei due compiti summenzionati. Di conseguenza, il fatto che un’obiezione pertinente e motivata riguardi l’ambito dell’analisi e, se del caso, l’ambito dell’indagine e che l’EDPB vi dia seguito non compromette in alcun modo tali compiti. Inoltre, il fatto che le decisioni intermedie delle autorità di controllo a seguito di un reclamo possano essere impugnate dinanzi ai giudici nazionali non impedisce che il progetto di decisione dell’autorità di controllo capofila possa, dal canto suo, essere oggetto, entro i limiti ratione materiae assegnati al meccanismo di coerenza istituito dal regolamento 2016/679, di un controllo dell’EDPB. 51 Gli argomenti della ricorrente sull’interpretazione contestuale non supportano pertanto la sua posizione secondo cui l’EDPB non era competente ad adottare le disposizioni impugnate. 52 Al contrario, il contesto generale dell’obbligo di cooperazione tra le autorità di controllo interessate da un caso, sancito nel regolamento 2016/679, conferma la competenza dell’EDPB al riguardo. Infatti, l’articolo 60, paragrafo 1, di detto regolamento dispone in particolare che «[l]’autorità di controllo capofila cooper[i] con le altre autorità di controllo interessate conformemente al presente articolo nell’impegno per raggiungere un consenso». L’articolo 60, paragrafo 3, del medesimo regolamento precisa che «[l]’autorità di controllo capofila comunica senza indugio le informazioni utili sulla questione alle altre autorità di controllo interessate» e che essa «sottopone [loro] senza indugio (...) un progetto di decisione per ottenere il loro parere e tiene debitamente conto delle loro opinioni». 53 Ne consegue che la collaborazione tra le autorità di controllo interessate si riferisce in particolare all’analisi del caso nel suo complesso e all’elaborazione della decisione, e che l’autorità di controllo capofila deve cercare l’accordo delle altre autorità di controllo interessate a tale riguardo. Non vi è nulla nelle suddette disposizioni che consenta di escludere da tale dovere di collaborazione la questione dell’ambito dell’analisi da effettuare né, eventualmente, la questione dell’ambito dell’indagine preliminare da svolgere. Nella sentenza del 15 giugno 2021, [OSCURATO:PERSONA] e a. ( C‑645/19 , EU:C:2021:483 , punti 63 e 64 ), la Corte ha ricordato il carattere indispensabile del dialogo e della cooperazione leale ed efficace tra autorità di controllo interessate da un caso. 54 Dai precedenti punti da 41 a 53 si evince che l’esame del contesto risultante dalle disposizioni del regolamento 2016/679 conferma l’analisi letterale effettuata in precedenza. 55 In base a un’interpretazione teleologica, la ricorrente sostiene, anzitutto, che riconoscere all’EDPB il potere di imporre a un’autorità di controllo capofila di elaborare un progetto di decisione integrativa e di ampliare preliminarmente a tal fine l’ambito della sua indagine è incompatibile con le finalità del meccanismo dello «sportello unico» voluto dal legislatore quando ha adottato il regolamento 2016/679. L’istituzione di un’autorità di controllo unica per gli interessati avrebbe in particolare avuto lo scopo di evitare loro costi superflui ed eccessivi disagi come precisa il considerando 129 di tale regolamento. Riaprire un’indagine a causa di un semplice disaccordo tra autorità di controllo sarebbe contrario a tale obiettivo, in quanto obbligherebbe gli autori di reclami e le imprese interessate ad affrontare la ripresa dell’indagine, con costi e disagi, mentre tale fase avrebbe dovuto essere conclusa. 56 Tuttavia, senza che sia necessario pronunciarsi sulle intenzioni del legislatore, è sufficiente rilevare che lo sportello unico risponde a un obiettivo di semplificazione di natura procedurale che non può prevalere sull’obiettivo essenziale del regolamento 2016/679 di far rispettare il diritto fondamentale delle persone fisiche alla protezione dei loro dati personali. Il primo considerando di detto regolamento ricorda a tal proposito che l’articolo 8, paragrafo 1, della Carta dei diritti fondamentali e l’articolo 16, paragrafo 1, TFUE stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. Un ampliamento delle indagini, necessariamente richiesto da almeno la metà delle autorità di controllo nel contesto dell’EDPB, non è destinato, contrariamente a quanto sostiene la ricorrente, a complicare il compito della persona che ha presentato un reclamo o quello del titolare del trattamento a cui è rivolto il reclamo, ma costituisce una misura per difendere i loro rispettivi diritti. Del resto, un’indagine e un’analisi dell’autorità di controllo capofila che coprano subito tutti gli aspetti necessari all’elaborazione di una decisione definitiva completa sul caso di cui trattasi consentono di evitare gli inconvenienti menzionati dalla ricorrente. 57 Anche l’argomento della ricorrente, secondo cui la riapertura dell’indagine ritarda il regolamento definitivo degli aspetti già analizzati e decisi, deve essere respinto. 58 Infatti, come del resto ha fatto la ricorrente nel caso di specie, in una situazione del genere, l’autorità competente deve, invece, adottare una decisione definitiva sugli aspetti di merito analizzati e decisi dopo una decisione vincolante dell’EDPB entro il termine previsto all’articolo 65, paragrafo 6, del regolamento 2016/679. Ciò non le impedisce di condurre un’ulteriore indagine e di analizzare gli aspetti del caso che non sono ancora stati esaminati. 59 La ricorrente sostiene inoltre che il mancato intervento dell’EDPB nella determinazione dell’ambito dell’analisi che un caso deve suscitare, che costituirebbe una questione preliminare o procedurale, non impedisce al meccanismo di cooperazione tra autorità di controllo di funzionare. 60 Tuttavia, il meccanismo di cooperazione trova i suoi limiti quando le autorità di controllo interessate non raggiungono un consenso. È in tale situazione, espressamente prevista all’articolo 60, paragrafo 4, del regolamento 2016/679, che la questione su cui manca il consenso deve essere sottoposta dall’autorità di controllo capofila al meccanismo di coerenza, che s si traduce in una decisione vincolante dell’EDPB, come stabilito da tale disposizione. 61 La ricorrente sostiene infine che una tale mancanza di consenso può essere risolta ricorrendo al controllo giurisdizionale nazionale. Essa ricorda che l’articolo 58, paragrafo 4, e il considerando 141 del regolamento 2016/679 stabiliscono che l’indagine è soggetta a un controllo giurisdizionale effettivo. 62 Naturalmente, se l’EDPB non fosse in grado di risolvere un problema relativo alla portata dell’analisi condotta dall’autorità di controllo capofila, il giudice nazionale potrebbe intervenire al riguardo. Tuttavia, il regolamento 2016/679 prevede che i problemi sollevati nel contesto di un’obiezione pertinente e motivata di un’autorità di controllo interessata, ai sensi dell’articolo 4, punto 24, di detto regolamento, siano risolti nell’ambito dei meccanismi di cooperazione e, eventualmente, di coerenza, tra autorità di controllo. Ebbene, come analizzato in precedenza, un problema relativo alla portata dell’analisi e, eventualmente, a quella dell’indagine condotte dall’autorità di controllo capofila può dare origine a un’obiezione pertinente e motivata nel senso sopra indicato. Di conseguenza, l’eventuale deferimento al tribunale nazionale di un problema di questa natura, che peraltro non sarebbe per forza agevole per l’attore del reclamo [OSCURATO:IDENTITA_RESIDUA] quello dell’autorità di controllo capofila, non può far sì che i persistenti disaccordi tra le autorità di controllo interessate sulle questioni che sono state oggetto di obiezioni pertinenti e motivate non possano risolversi in seno all’EDPB. 63 Dai precedenti punti da 55 a 62 si evince che l’esame delle finalità del regolamento 2016/679 conferma anche l’analisi letterale effettuata in precedenza. [ omissis ] Sugli argomenti relativi alle condizioni di attribuzione di una competenza a un organismo dell’Unione, alle caratteristiche del controllo giurisdizionale operato a livello nazionale e all’indipendenza delle autorità di controllo incaricate della protezione dei dati personali 65 In primo luogo, la ricorrente ritiene, in sostanza, che i principi che regolano il conferimento di competenze a un organismo dell’Unione non consentano di interpretare il regolamento 2016/679 nel senso delineato dalle analisi precedenti, ossia quello secondo cui esso conferisce la competenza contestata all’EDPB. 66 La ricorrente fa riferimento all’articolo 5 TUE per ricordare che l’Unione può agire solo nei limiti delle competenze che le sono state attribuite. Tale principio si applicherebbe alle istituzioni e agli organismi dell’Unione, come l’EDPB. Questi ultimi sarebbero inoltre soggetti alla «dottrina Meroni» derivante dalla sentenza del 13 giugno 1958, Meroni/[OSCURATO:PERSONA] ( 9/56 , EU:C:1958:7 ), applicabile agli organismi dell’Unione, come dichiarato dalla Corte a proposito dell’[OSCURATO:PERSONA] europea degli strumenti finanziari e dei mercati (ESMA) nella sentenza del 22 gennaio 2014, [OSCURATO:PERSONA]/Parlamento e Consiglio ( C‑270/12 , EU:C:2014:18 , punti 53 e 54 ). Tale dottrina imporrebbe che i poteri degli organismi dell’Unione siano disciplinati in modo preciso e siano soggetti a sindacato giurisdizionale alla luce degli obiettivi fissati all’organismo interessato. In particolare, al punto 45 della seconda sentenza summenzionata, è stato osservato che il potere dell’ESMA discusso in tale causa, infine confermato dalla Corte, era disciplinato da vari criteri e condizioni che delimitano il campo di azione di tale autorità. Nella sentenza del 15 luglio 2021, FBF ( C‑911/19 , EU:C:2021:599 , punti 67 e 75 ), relativa all’[OSCURATO:PERSONA] bancaria europea (ABE), la Corte ha precisato che un potere di un organismo dell’Unione doveva essere espressamente previsto dal legislatore e che il sindacato giurisdizionale su tale potere doveva essere rigoroso. 67 Tali principi applicati nella giurisprudenza riguardano effettivamente l’EDPB che è stato istituito quale organismo dell’Unione all’articolo 68 del regolamento 2016/679. 68 Si deve quindi anzitutto verificare se l’interpretazione precedentemente accolta nella presente sentenza consenta di ritenere che l’esercizio del potere dell’EDPB, quando impone a un’autorità di controllo capofila di ampliare la sua analisi e, se del caso, la sua indagine, «sia disciplinato da vari criteri e condizioni che delimitano il [suo] campo di azione», come rilevato dalla Corte riguardo al potere dell’ESMA contestato nella causa che ha dato luogo alla sentenza del 22 gennaio 2014, [OSCURATO:PERSONA]/Parlamento e Consiglio ( C‑270/12 , EU:C:2014:18 ). 69 A tal riguardo, come risulta dall’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, in combinato disposto con l’articolo 4, punto 24, di detto regolamento, tale potere di imporre a un’autorità di controllo capofila di ampliare la sua analisi e, se del caso, la sua indagine può essere attuato solo a seguito della formulazione, da parte di un’autorità di controllo interessata, di un’obiezione pertinente e motivata al progetto di decisione dell’autorità di controllo capofila sul caso in questione, relativa alla mancata analisi di un aspetto del fatto «che vi sia o meno una violazione del (...) regolamento [2016/679] oppure che l’azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme [a tale] regolamento» e che dimostri «chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all’interno dell’Unione». 70 Inoltre, in forza dell’articolo 65, paragrafi 2 e 3, del regolamento 2016/679, l’attuazione del suddetto potere presuppone che, in seno all’EDPB, la maggioranza dei due terzi, o almeno la metà dei suoi membri in determinate circostanze, tra cui, in caso di parità di voti, il presidente, abbiano sostanzialmente approvato tale obiezione pertinente e motivata e il seguito da darvi. È quindi necessario che un numero significativo di autorità di controllo confermi la mancanza o l’insufficienza di analisi di un aspetto importante del caso di specie e si accordi sul seguito che l’autorità di controllo capofila deve dare per porvi rimedio. Si deve tener conto, a tal proposito, del fatto che l’EDPB è esso stesso composto da un gran numero di autorità indipendenti specializzate in materia e, di conseguenza, del fatto che un parere convergente della maggioranza di queste autorità al suo interno fornisce garanzie quanto all’esercizio di tale potere. Inoltre, sebbene il concetto di «obiezione pertinente e motivata», ricordato al precedente punto 69, lasci certamente spazio a un margine di discrezionalità, in particolare per determinare se sussista una violazione del regolamento 2016/679 da parte del titolare del trattamento o del responsabile del trattamento interessato o se sia necessario esaminare un aspetto particolare per scoprirlo, tali questioni si riferiscono tutte a precise norme giuridiche stabilite in tale regolamento, il che non consente l’esercizio di un «ampio potere discrezionale». 71 Per riassumere, per quanto riguarda la questione della delimitazione del potere dell’EDPB, contestata dalla ricorrente, si deve quindi rilevare, da un lato, che tale potere è esercitato solo in caso di insufficienza chiaramente identificata dell’analisi dell’autorità di controllo capofila nel trattamento del caso, che può avere conseguenze importanti, come risulta dalla definizione di obiezione pertinente e motivata di cui all’articolo 4, punto 24, del regolamento 2016/679, e, dall’altro, che tale potere risulta dalla valutazione collettiva delle autorità di controllo che compongono l’EDPB che interviene alle condizioni delineate al precedente punto 70. 72 Per quanto riguarda la questione se il potere di cui trattasi sia «esplicitamente» previsto dal legislatore, si deve sottolineare che l’avverbio «esplicitamente» così come gli avverbi «espressamente» e «chiaramente», che sono sinonimi e che rinviano rispettivamente agli aggettivi «esplicito», «espresso» e «chiaro», significano che non vi sono dubbi sulla portata di ciò che viene espresso. Ebbene, dall’interpretazione letterale, contestuale e teleologica di cui sopra si evince che non vi è dubbio sul fatto che l’EDPB disponga della competenza contestata e quindi sul fatto che quest’ultima sia esplicitamente prevista dal legislatore. Si può osservare che, nella sentenza del 15 luglio 2021, FBF ( C‑911/19 , EU:C:2021:599 ), riguardante l’ABE, gli orientamenti di tale autorità, di cui si contestava il potere di adozione, riguardavano «i dispositivi di «governance» e di controllo sui prodotti bancari al dettaglio». Nessuno dei testi applicabili a tale autorità prevedeva espressamente che essa potesse adottare orientamenti al riguardo. È attraverso un’analisi dei testi nel loro complesso, vale a dire del regolamento che istituisce l’ABE, che prevedeva in generale la sua competenza ad adottare orientamenti per determinati scopi, e di varie direttive relative a istituti e prodotti finanziari, che la Corte ha ritenuto che gli orientamenti controversi rientrassero nell’ambito di tale competenza. 73 Inoltre, si deve rilevare che l’esercizio del potere dell’EDPB di imporre a un’autorità di controllo capofila di ampliare la sua analisi e, se necessario, la sua indagine è effettivamente soggetto a controllo giurisdizionale. È vero che, nel caso di specie, la ricorrente ha scelto di contestare le disposizioni impugnate unicamente per l’incompetenza dell’EDPB senza mettere in discussione la valutazione concreta di quest’ultimo sulle obiezioni mosse da alcune autorità di controllo nei confronti dei suoi progetti di decisione, valutazione che ha portato all’adozione di tali disposizioni. Tuttavia, nei limiti dei motivi dedotti dinanzi ad esso, il giudice dell’Unione sarebbe in grado di verificare la legittimità nel merito di tali disposizioni alla luce delle circostanze del caso di specie. In particolare, esso potrebbe, in un primo momento, verificare se l’EDPB, nell’adottare disposizioni di tale natura, abbia effettivamente dato seguito a un’obiezione pertinente e motivata di un’autorità di controllo, ai sensi dell’articolo 4, punto 24, del regolamento 2016/679. In un secondo momento, potrebbe verificare la legittimità del merito stesso di tali disposizioni che impartiscono istruzioni alle autorità di controllo. 74 Un tale tipo di sindacato giurisdizionale è «rigoroso», nel senso utilizzato nella sentenza del 15 luglio 2021, FBF ( C‑911/19 , EU:C:2021:599 , punto 67 ). Questo perché, il giudice della legittimità è, in generale, vincolato dalla sua funzione oltre che dalle regole di procedura e il suo sindacato è necessariamente rigoroso se adempie pienamente la sua funzione nell’ambito di tali regole. Per quanto riguarda le questioni di merito, è in base al margine di discrezionalità di cui dispone o meno l’autore dell’atto impugnato che il giudice di legittimità esercita un sindacato normale (in linea di principio per quanto riguarda gli aspetti giuridici, l’accertamento dei fatti e i casi di competenza vincolata) o un sindacato ristretto (in linea di principio sugli aspetti tecnici complessi o quando l’autorità dispone di un margine di discrezionalità, casi in cui il giudice sanziona solo l’errore manifesto di valutazione) [v., in tal senso e per analogia per quanto riguarda il sindacato del giudice nazionale sulle decisioni delle autorità nazionali in materia di protezione dei dati personali, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22 , EU:C:2023:958 , punti 68 e 69 ]. 75 Dai precedenti punti da 67 a 74 si evince che le condizioni di attribuzione di una competenza a un organismo dell’Unione non precludono l’analisi fatta in precedenza nella presente sentenza. 76 In secondo luogo, la ricorrente adduce varie ragioni per dimostrare che i giudici nazionali sono il «foro appropriato» per trattare le contestazioni connesse all’indagine, vale a dire che essi sono nella posizione migliore per farlo. 77 Tuttavia, come esposto al precedente punto 62, il legislatore dell’Unione ha scelto che i persistenti disaccordi tra le autorità di controllo interessate, relativi all’ambito dell’analisi di un caso e, eventualmente, all’ambito dell’indagine su di esso, siano risolti nell’ambito del meccanismo di coerenza in seno all’EDPB. Di conseguenza, gli argomenti della ricorrente volti a dimostrare che i giudici nazionali sono il «foro appropriato» per trattare le contestazioni relative all’indagine sono inconferenti. 78 Va aggiunto, qualora sia il giudice nazionale sia l’EDPB possano essere chiamati a pronunciarsi sull’ambito dell’analisi e dell’indagine, che, nella sfera di applicazione delle norme di concorrenza stabilite agli articoli 101 e 102 TFUE, in cui anche le responsabilità sono ripartite tra il livello nazionale e il livello dell’Unione per attuare una politica dell’Unione, nella giurisprudenza della Corte è stata elaborata una serie di principi per coordinare l’azione dei giudici nazionali e dell’organismo dell’Unione incaricato di garantire la coerenza nell’applicazione della politica in questione, ossia la Commissione (sentenze del 28 febbraio 1991, Delimitis, C‑234/89 , EU:C:1991:91 , e del 14 dicembre 2000, Masterfoods e HB, C‑344/98 , EU:C:2000:689 ). Sebbene non si escluda che, in applicazione di tali principi, un giudice nazionale ritenga preferibile sospendere il procedimento in attesa di una decisione dell’organismo competente dell’Unione o che, qualora tale decisione sia stata adottata, possa esserne vincolato, a meno che non nutra dubbi sulla sua validità e chieda alla Corte, nell’ambito di un rinvio pregiudiziale, la sua valutazione al riguardo, tali situazioni sono insite in una siffatta ripartizione delle responsabilità e nella necessità di garantire in tutta l’Unione la coerenza nell’applicazione della politica di cui trattasi. 79 Si deve altresì aggiungere che, contrariamente a quanto sostiene la ricorrente in terzo luogo, una decisione vincolante dell’EDPB, adottata sulla base dell’articolo 65, paragrafo 1, lettera a), del regolamento 2016/679, che le impone di ampliare la sua analisi e la sua indagine non mette in discussione la sua capacità di stabilire le priorità nello svolgimento dei suoi vari compiti in qualità di autorità indipendente, compito il cui controllo spetterebbe unicamente al giudice nazionale. Né mette in discussione, più in generale, la sua indipendenza sancita all’articolo 39 TUE, all’articolo 16, paragrafo 2, TFUE e all’articolo 8, paragrafo 3, della Carta dei diritti fondamentali. 80 Infatti, da un lato, che sia di propria iniziativa, nella fase della cooperazione tra autorità di controllo interessate a seguito di interventi in tal senso dei suoi omologhi, o dopo una siffatta decisione vincolante, se l’autorità di controllo capofila è indotta a dover completare la sua analisi e la sua indagine su un caso, essa non è obbligata a farlo immediatamente, in via prioritaria rispetto alle sue altre missioni. Può, ad esempio, annunciare che un primo progetto di decisione o una prima decisione adottati affrontano solo una parte delle questioni sollevate dal caso in questione e che continuerà poi le sue analisi e la sua indagine. 81 Solo nelle circostanze previste all’articolo 66 del regolamento 2016/679, qualora un’altra autorità di controllo interessata ritenga che sia urgente intervenire per proteggere i diritti e le libertà degli interessati, una decisione vincolante d’urgenza dell’EDPB può obbligare l’autorità di controllo capofila a rivedere senza indugio l’ordine delle sue priorità per trattare un caso. Il legislatore ha quindi previsto tale possibilità solo per casi eccezionali. Infatti, le decisioni vincolanti 3/2022, 4/2022 e 5/2022 non sono state adottate sul fondamento di detto articolo 66 e, di conseguenza, non imponevano alla ricorrente un ordine di priorità tra i suoi diversi compiti. 82 Dall’altro lato, le disposizioni di diritto primario invocate dalla ricorrente non implicano un’indipendenza assoluta, nel senso di assenza di qualsiasi controllo, delle autorità degli Stati membri incaricate in primis di garantire l’applicazione delle norme sulla protezione dei dati personali. Tali disposizioni si limitano a stabilire che il controllo del rispetto di dette norme è affidato ad autorità indipendenti, il che quindi non impedisce affatto un sistema di controllo reciproco tra autorità indipendenti, come i meccanismi di cooperazione e di coerenza previsti nel regolamento 2016/679, né, beninteso, il controllo giurisdizionale sulle decisioni adottate dalle varie autorità coinvolte. L’importante è che i controllori dei controllori siano essi stessi indipendenti. È il caso dell’EDPB, che è composto dalle autorità di controllo degli Stati membri e dal garante europeo della protezione dei dati, che a sua volta è indipendente dalle istituzioni e dagli altri organismi dell’Unione da esso controllati. [ omissis ] Sulle spese 84 Ai sensi dell’articolo 134, paragrafo 1, del regolamento di procedura, la parte soccombente è condannata alle spese se ne è stata fatta domanda. La ricorrente, rimasta soccombente, dev’essere condannata alle spese, conformemente alla domanda dell’EDPB. Per questi motivi, IL TRIBUNALE (Decima Sezione ampliata) dichiara e statuisce: 1) I ricorsi nelle cause T‑70/23, T‑84/23 e T‑111/23 sono respinti. 2) [OSCURATO:PERSONA] è condannata alle spese. [OSCURATO:PERSONA] Così deciso e pronunciato a Lussemburgo il 29 gennaio 2025. Firme ( *1 ) Lingua processuale: l’anglais. ( 1 ) Sono riprodotti soltanto i punti della presente sentenza la cui pubblicazione è ritenuta utile dal Tribunale. ( 2 ) Sono riprodotti soltanto i punti della presente sentenza la cui pubblicazione è ritenuta utile dal Tribunale. Per quanto riguarda i punti omessi, si rinvia alla sentenza del Tribunale del...,.../... (T-..., EU:...).