Fons Iuris
Torna alla ricerca
Corte di giustizia UEsentenzaSezione I

Corte di giustizia UE/2026

ECLI:EU:C:2026:81
Testo integrale del provvedimento

Testo integrale del provvedimento

62023CJ0097_RES

Causa C‑97/23 P WhatsApp [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] europeo per la protezione dei dati Sentenza della Corte (Grande Sezione) del 10 febbraio 2026 «Impugnazione – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 63 – Meccanismo di coerenza – Articolo 65 – Composizione delle controversie da parte del [OSCURATO:PERSONA] europeo per la protezione dei dati – Decisione vincolante – Ricorso di annullamento – Articolo 263, primo comma, TFUE – Atto impugnabile – Articolo 263, quarto comma, TFUE – Condizione secondo cui il ricorrente deve essere direttamente interessato dal provvedimento che costituisce l’oggetto del suo ricorso» Ricorso di annullamento – Termini – Dies a quo – Pubblicazione o notifica – [OSCURATO:PERSONA] in cui si è avuta conoscenza dell’atto – Natura subordinata – Pubblicazione sul sito Internet dell’autore dell’atto (Art. 263, comma 6, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 143, 3 a frase, e art. 65, § 5, 3 a frase) (v. punti 44‑48) Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici obbligatori nei confronti dei terzi – Decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati relativa a una controversia tra autorità di controllo – Decisione che costituisce un atto di un organo dell’Unione europea destinato a produrre effetti giuridici nei confronti di terzi ed espressione della sua posizione definitiva – Atto impugnabile [Art. 263, comma 1, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 58, 60, 65, §§ 1, a), 2 e 6, e 68, § 1] (v. punti 64‑78) Ricorso di annullamento – Persone fisiche o giuridiche – Atti che le riguardano direttamente e individualmente – Incidenza diretta – Criteri – Modifica significativa della situazione giuridica della parte ricorrente – Assenza di potere discrezionale dei destinatari dell’atto – Decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati relativa a una controversia tra autorità di controllo – Decisione con effetti diretti sulla situazione giuridica del ricorrente – Decisione che non lascia alcun potere discrezionale ai suoi destinatari – Ricevibilità [Art. 263, comma 4, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 56, 58, 60, 65, 70, § 1, a), e 83] (v. punti 90‑110, 118) [OSCURATO:PERSONA] con un’impugnazione proposta dalla WhatsApp [OSCURATO:PERSONA] (in prosieguo: la «WhatsApp»), la Corte, riunita in Grande Sezione, annulla l’ordinanza del Tribunale nella causa WhatsApp [OSCURATO:PERSONA]/[OSCURATO:PERSONA] europeo per la protezione dei dati ( 1 ).

La Corte si pronuncia, per la prima volta, sui mezzi di ricorso a disposizione di un’impresa nei confronti di una decisione vincolante adottata dal [OSCURATO:PERSONA] europeo per la protezione dei dati (in prosieguo: il «[OSCURATO:PERSONA]») in forza del regolamento generale sulla protezione dei dati ( 2 ), nel contesto del meccanismo di coerenza istituito da tale regolamento.

In tale quadro, pronunciandosi sulle condizioni di ricevibilità del ricorso di annullamento proposto dalla WhatsApp, la Corte precisa la portata della nozione di «atto impugnabile», ai sensi dell’articolo 263, primo comma, TFUE, e della condizione secondo cui il ricorrente deve essere direttamente interessato dal provvedimento oggetto del suo ricorso, ai sensi dell’articolo 263, quarto comma, TFUE.

A seguito dell’entrata in vigore del RGPD, la [OSCURATO:PERSONA] (Autorità di controllo in materia di protezione dei dati, Irlanda) (in prosieguo: l’«autorità di controllo irlandese») ha ricevuto vari reclami da parte di utilizzatori e non utilizzatori del servizio di messaggistica «WhatsApp» in ordine al trattamento di dati personali da parte di tale società.

In tale contesto, detta autorità di controllo, nella sua qualità di autorità di controllo capofila ( 3 ), ha avviato un’indagine vertente sul rispetto, da parte della WhatsApp, degli obblighi di trasparenza e di informazione nei confronti dei singoli previsti dal RGPD.

In esito a tale indagine, nell’ambito della cooperazione istituita dal RGPD, l’autorità di controllo irlandese ha sottoposto alle altre autorità di controllo interessate dal trattamento dei dati personali in questione un progetto di decisione, al fine di ottenere il loro parere.

Non riscontrando un consenso in ordine a tale progetto, l’autorità di controllo irlandese ha adito il [OSCURATO:PERSONA] affinché risolvesse la controversia tra le autorità di controllo interessate ( 4 ).

Quest’ultimo ha adottato, il 28 luglio 2021, la decisione vincolante 1/2021 (in prosieguo: la «decisione controversa»), nella quale ha preso posizione sulle questioni che erano state oggetto di obiezioni pertinenti e motivate di talune delle autorità di controllo interessate.

Sulla base di tale decisione vincolante, vertente, in particolare, su una constatazione di violazione di talune disposizioni del RGPD, sulla qualificazione come dati personali dei dati risultanti da una procedura di compressione con perdita, nonché sulla necessità di aumentare l’importo delle sanzioni pecuniarie previste nel progetto di decisione iniziale, l’autorità di controllo irlandese ha adottato, il 20 agosto 2021, una decisione finale.

In tale decisione, l’autorità ha constatato che la WhatsApp aveva violato alcune disposizioni del RGPD e le ha inflitto, in particolare, sanzioni per un importo complessivo pari a EUR 225 milioni.

La WhatsApp ha impugnato tale decisione finale dinanzi a un giudice irlandese e, in parallelo, ha chiesto al Tribunale l’annullamento della decisione controversa, ai sensi dell’articolo 263 TFUE.

Con l’ordinanza impugnata, il Tribunale ha respinto il ricorso di annullamento in quanto irricevibile.

Pur riconoscendo che la WhatsApp era individualmente interessata dalla decisione controversa, il Tribunale ha considerato, in particolare, che tale decisione non costituiva un atto impugnabile e che la WhatsApp non fosse direttamente interessata da detta decisione.

Giudizio della Corte In primo luogo, la Corte si pronuncia sull’asserita tardività del ricorso in primo grado, che è stata eccepita dal [OSCURATO:PERSONA].

Essa ricorda che, ai sensi dell’articolo 263, sesto comma, TFUE, i ricorsi di annullamento devono essere proposti entro un termine di due mesi a decorrere, secondo i casi, dalla pubblicazione dell’atto, dalla sua notificazione al ricorrente oppure, in mancanza, dal giorno in cui il ricorrente ne ha avuto conoscenza.

Il termine per il ricorso di annullamento inizia a decorrere, in via principale, dalla pubblicazione dell’atto o dalla notificazione di quest’ultimo al ricorrente; tali due criteri principali sono collocati su un piano di parità, nel senso che nessuno di questi due criteri è subordinato rispetto all’altro.

Per contro, il criterio della data in cui si è avuta conoscenza dell’atto impugnato presenta carattere subordinato rispetto a quello della pubblicazione o della notificazione del medesimo atto.

La Corte rileva che, nel caso di specie, la decisione controversa non è stata notificata alla WhatsApp, ma è stata oggetto di pubblicazione sul sito Internet del [OSCURATO:PERSONA] ( 5 ).

A tal riguardo, essa precisa che la nozione di «pubblicazione» non riguarda esclusivamente la pubblicazione nella Gazzetta ufficiale dell’Unione europea e, al contrario, deve essere interpretata estensivamente.

Rientra in tale nozione, fra l’altro, una pubblicazione sul sito Internet di un’istituzione, di un organo o di un organismo dell’Unione qualora essa sia prevista dal diritto derivato.

Pertanto, il termine per il ricorso, che doveva essere calcolato a partire dalla pubblicazione della decisione controversa sul sito Internet del [OSCURATO:PERSONA], non è stato violato nella fattispecie.

In secondo luogo, la Corte fornisce precisazioni sulla nozione di «atto impugnabile» ai sensi dell’articolo 263, primo comma, TFUE, in forza del quale il giudice dell’Unione controlla, in particolare, la legittimità degli atti degli organi o organismi dell’Unione destinati a produrre effetti giuridici nei confronti di terzi.

La Corte sottolinea in particolare che l’impugnabilità di un atto deve essere valutata in modo oggettivo, in funzione della sua sostanza, e non in funzione della parte ricorrente.

Pertanto, il terzo nei confronti del quale l’atto in questione produce effetti giuridici non deve necessariamente essere la parte ricorrente.

Infatti, riveste la qualità di terzo qualsiasi persona fisica o giuridica distinta dal soggetto da cui tale atto promana.

Pertanto, non è necessario verificare se un atto produca effetti idonei a incidere sulla situazione giuridica della parte ricorrente, poiché questa verifica è pertinente soltanto nell’ambito dell’esame del rispetto delle condizioni stabilite dall’articolo 263, quarto comma, TFUE.

Inoltre, la Corte precisa che, in presenza di atti la cui elaborazione sia effettuata in più fasi procedurali, costituisce, in linea di principio, un atto impugnabile solo il provvedimento che fissa in modo definitivo la posizione dell’istituzione, dell’organo o dell’organismo dell’Unione competente, ad esclusione dei provvedimenti intermedi destinati a preparare tale provvedimento definitivo e che non producono effetti giuridici autonomi nei confronti di terzi.

Per quanto riguarda il contenuto della decisione controversa, la Corte osserva che tale decisione è un atto emanato da un organo dell’Unione che ha carattere vincolante nei confronti di terzi.

Infatti, esso vincola l’autorità di controllo capofila, che deve adottare la sua decisione finale sulla base di tale decisione vincolante, e tutte le autorità di controllo interessate, che ne sono destinatarie e che sono terzi rispetto al [OSCURATO:PERSONA].

Inoltre, per quanto riguarda il contesto dell’adozione della decisione controversa, la Corte rileva che, sebbene tale decisione sia stata elaborata nell’ambito di un processo decisionale che comporta più fasi procedurali e sia stata preceduta dall’adozione di un altro atto da parte dell’autorità di controllo irlandese, detta decisione fissa tuttavia in modo definitivo la posizione del [OSCURATO:PERSONA] ed esaurisce tutte le questioni che quest’ultimo è chiamato a risolvere.

La Corte conclude che, sebbene non costituisca l’ultima fase della procedura di controllo della coerenza prevista dal RGPD, la decisione controversa non può essere qualificata come provvedimento intermedio non impugnabile.

Essa aggiunge che, poiché la decisione del [OSCURATO:PERSONA] produce effetti giuridici vincolanti nei confronti di terzi, sono irrilevanti le circostanze che la portata della decisione finale dell’autorità nazionale di controllo comprenda questioni che non rientrerebbero nell’ambito del deferimento o della competenza del [OSCURATO:PERSONA] e che la decisione controversa non sia opponibile ad entità diverse dai suoi destinatari, dato che quest’ultima circostanza non si riferisce né alla sostanza della decisione controversa né ai suoi effetti giuridici vincolanti alla luce di criteri oggettivi.

Pertanto, la Corte constata che la decisione controversa costituisce un atto impugnabile e che il Tribunale ha commesso un errore di diritto, da un lato, operando una confusione tra i requisiti risultanti, rispettivamente, dal primo e dal quarto comma dell’articolo 263 TFUE e, dall’altro, formulando un criterio erroneo, relativo all’assenza di opponibilità diretta dell’atto in questione nei confronti della WhatsApp, e qualificando la decisione controversa come provvedimento intermedio privo di effetti giuridici autonomi.

In terzo e ultimo luogo, la Corte ricorda che la ricevibilità di un ricorso proposto da una persona fisica o giuridica contro un atto di cui essa non è destinataria, ai sensi dell’articolo 263, quarto comma, TFUE, è subordinata segnatamente alla condizione che tale atto la riguardi direttamente e individualmente.

A tale riguardo, la Corte precisa che l’assenza di opponibilità diretta dell’atto impugnato nei confronti della parte ricorrente, così come la circostanza che tale atto non costituisca l’ultima fase di un procedimento composito, non ostano a che tale parte ricorrente possa essere direttamente interessata da detto atto, qualora il destinatario del medesimo non disponga di alcun potere discrezionale.

Di conseguenza, essa constata che il Tribunale ha commesso un errore di diritto quando ha ritenuto che la WhatsApp non potrebbe essere direttamente interessata dalla decisione controversa, con la motivazione che quest’ultima non sarebbe opponibile alla WhatsApp e non costituirebbe l’ultima fase della procedura prevista dal RGPD.

In tale contesto, la Corte ricorda, infatti, che la condizione secondo cui una persona fisica o giuridica deve essere direttamente interessata dalla decisione oggetto del suo ricorso richiede la compresenza di due criteri cumulativi, ossia che il provvedimento contestato, da un lato, produca effetti direttamente sulla situazione giuridica del soggetto in questione e, dall’altro, non lasci alcun potere discrezionale ai destinatari incaricati della sua applicazione.

Per quanto riguarda il rispetto della prima condizione, la Corte rileva che occorre valutare se l’atto impugnato modifichi in modo qualificato la situazione della parte ricorrente, riferendosi alla sostanza di tale atto e valutando gli effetti di quest’ultimo in funzione di criteri obiettivi.

Nel caso di specie, la Corte constata che, avendo il [OSCURATO:PERSONA] deciso segnatamente che la WhatsApp aveva violato talune disposizioni del RGPD, la decisione controversa modifica la situazione giuridica di tale società, essendo quest’ultima in particolare indotta, a causa dell’intervento del [OSCURATO:PERSONA], a modificare il suo rapporto contrattuale con gli utilizzatori del servizio di messaggistica da essa fornito.

Pertanto, esiste un nesso diretto tra tale decisione e i suoi effetti sulla situazione della WhatsApp.

Per quanto riguarda la seconda condizione, la Corte precisa che l’esistenza di un margine di discrezionalità deve essere esclusa, in particolare, qualora sia stabilito che le disposizioni dell’atto che sono oggetto del ricorso hanno avuto come conseguenza diretta di assoggettare tale persona ad obblighi il cui esito non poteva essere modificato dall’entità incaricata di attuare successivamente tale atto.

In tale contesto, la Corte ricorda che la decisione controversa è vincolante per l’autorità di controllo capofila e per le autorità di controllo interessate, le quali non possono discostarsi dalla posizione adottata dal [OSCURATO:PERSONA] in tale decisione.

Infatti, detta decisione risolve le questioni di diritto oggetto del deferimento a quest’ultimo e vincola incondizionatamente tali autorità, per quanto riguarda in particolare la constatazione della violazione di talune disposizioni del RGPD, la qualificazione come dati personali dei dati sottoposti a compressione con perdita nonché l’obbligo di aumentare l’importo delle sanzioni pecuniarie previste.

Tali autorità non hanno la possibilità di modificare il risultato delle valutazioni effettuate, per quanto riguarda tali questioni, dal [OSCURATO:PERSONA].

La Corte aggiunge che, in tale contesto, è di scarso rilievo il fatto che la portata della decisione finale si estenda a questioni che non rientrano nel deferimento al [OSCURATO:PERSONA], vale a dire ad aspetti che non sono stati oggetto di obiezioni pertinenti e motivate, oppure a questioni che non rientrano nella competenza di tale organo, quali, in particolare, la fissazione dell’importo preciso della sanzione pecuniaria da infliggere al titolare del trattamento o a un responsabile del trattamento, la quale spetta all’autorità di controllo adita ai sensi del RGPD.

Infine, la Corte osserva che, se è vero che esiste un nesso di interdipendenza tra la decisione controversa e la decisione finale, resta il fatto che queste ultime costituiscono atti distinti e che la portata della decisione controversa è ben delimitata.

Ciò posto, tale vincolo d’interdipendenza non è tale da ostare alla constatazione che la WhatsApp sia direttamente interessata dalla decisione controversa.

La Corte rileva che, se è vero che la proposizione simultanea di un ricorso di annullamento dinanzi al giudice dell’Unione, ai sensi dell’articolo 263 TFUE, avverso la decisione vincolante del [OSCURATO:PERSONA], e dinanzi al giudice nazionale, avverso la decisione finale adottata dall’autorità nazionale di controllo, dà luogo a due procedure parallele, tale situazione non comporta che gli effetti della decisione del [OSCURATO:PERSONA] debbano essere considerati indiretti, nel caso di specie, nei confronti della WhatsApp.

Infatti, da un lato, quando la soluzione della controversia pendente dinanzi al giudice nazionale dipende dalla validità della decisione di un organo dell’Unione, dall’obbligo di leale cooperazione deriva che il giudice nazionale, al fine di evitare di emettere una decisione incompatibile con quella di detto organo, dovrebbe sospendere il procedimento fino alla pronuncia di una sentenza definitiva sul ricorso di annullamento da parte degli organi giurisdizionali dell’Unione, a meno che esso non ritenga che, nelle circostanze del caso di specie, sia giustificato deferire alla Corte una questione pregiudiziale sulla validità della decisione di tale organo.

Dall’altro lato, nel caso in cui vengano contemporaneamente aditi il Tribunale, nell’ambito di un ricorso di annullamento, e la Corte, nell’ambito di un rinvio pregiudiziale, il principio di buona amministrazione della giustizia può giustificare il fatto che la Corte, se lo considera opportuno, sospenda ( 6 ) il procedimento dinanzi ad essa pendente in favore di quello avviato presso il Tribunale Di conseguenza, la Corte conclude che la WhatsApp è direttamente interessata dalla decisione controversa.

Pertanto, tenuto conto degli errori di diritto commessi dal Tribunale, la Corte annulla l’ordinanza impugnata.

Inoltre, la Corte dichiara che, essendo soddisfatte le condizioni sancite dall’articolo 263 TFUE, ed in assenza di qualsiasi altro motivo di irricevibilità, il ricorso di annullamento proposto dalla WhatsApp è ricevibile.

Tuttavia, poiché lo stato degli atti non consente di statuire sul merito della controversia, la Corte rinvia la causa al Tribunale affinché statuisca al riguardo. ( 1 ) Ordinanza del 7 dicembre 2022, WhatsApp [OSCURATO:PERSONA]/[OSCURATO:PERSONA] europeo per la protezione dei dati (T‑709/21; in prosieguo: l’«ordinanza impugnata», EU:T:2022:783 ). ( 2 ) Articolo 65, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) Ai sensi dell’articolo 56, paragrafo 1, del RGPD, che conferisce, in particolare, la competenza ad agire all’autorità di controllo dello stabilimento principale del titolare del trattamento in caso di trattamento transfrontaliero effettuato da quest’ultimo. ( 4 ) Conformemente alle disposizioni di cui all’articolo 60, paragrafo 4, e dell’articolo 65, paragrafo 1, lettera a), del RGPD. ( 5 ) Come previsto dall’articolo 65, paragrafo 5, terza frase, del RGPD. ( 6 ) In forza articolo 54, terzo comma, dello Statuto della Corte di giustizia dell’Unione europea.

Anonimizzato ex art. 52 D.Lgs. 196/2003
62023CJ0097_RES Causa C‑97/23 P WhatsApp [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] europeo per la protezione dei dati Sentenza della Corte (Grande Sezione) del 10 febbraio 2026 «Impugnazione – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 63 – Meccanismo di coerenza – Articolo 65 – Composizione delle controversie da parte del [OSCURATO:PERSONA] europeo per la protezione dei dati – Decisione vincolante – Ricorso di annullamento – Articolo 263, primo comma, TFUE – Atto impugnabile – Articolo 263, quarto comma, TFUE – Condizione secondo cui il ricorrente deve essere direttamente interessato dal provvedimento che costituisce l’oggetto del suo ricorso» Ricorso di annullamento – Termini – Dies a quo – Pubblicazione o notifica – [OSCURATO:PERSONA] in cui si è avuta conoscenza dell’atto – Natura subordinata – Pubblicazione sul sito Internet dell’autore dell’atto (Art. 263, comma 6, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 143, 3 a frase, e art. 65, § 5, 3 a frase) (v. punti 44‑48) Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici obbligatori nei confronti dei terzi – Decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati relativa a una controversia tra autorità di controllo – Decisione che costituisce un atto di un organo dell’Unione europea destinato a produrre effetti giuridici nei confronti di terzi ed espressione della sua posizione definitiva – Atto impugnabile [Art. 263, comma 1, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 58, 60, 65, §§ 1, a), 2 e 6, e 68, § 1] (v. punti 64‑78) Ricorso di annullamento – Persone fisiche o giuridiche – Atti che le riguardano direttamente e individualmente – Incidenza diretta – Criteri – Modifica significativa della situazione giuridica della parte ricorrente – Assenza di potere discrezionale dei destinatari dell’atto – Decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati relativa a una controversia tra autorità di controllo – Decisione con effetti diretti sulla situazione giuridica del ricorrente – Decisione che non lascia alcun potere discrezionale ai suoi destinatari – Ricevibilità [Art. 263, comma 4, TFUE; regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 56, 58, 60, 65, 70, § 1, a), e 83] (v. punti 90‑110, 118) [OSCURATO:PERSONA] con un’impugnazione proposta dalla WhatsApp [OSCURATO:PERSONA] (in prosieguo: la «WhatsApp»), la Corte, riunita in Grande Sezione, annulla l’ordinanza del Tribunale nella causa WhatsApp [OSCURATO:PERSONA]/[OSCURATO:PERSONA] europeo per la protezione dei dati ( 1 ). La Corte si pronuncia, per la prima volta, sui mezzi di ricorso a disposizione di un’impresa nei confronti di una decisione vincolante adottata dal [OSCURATO:PERSONA] europeo per la protezione dei dati (in prosieguo: il «[OSCURATO:PERSONA]») in forza del regolamento generale sulla protezione dei dati ( 2 ), nel contesto del meccanismo di coerenza istituito da tale regolamento. In tale quadro, pronunciandosi sulle condizioni di ricevibilità del ricorso di annullamento proposto dalla WhatsApp, la Corte precisa la portata della nozione di «atto impugnabile», ai sensi dell’articolo 263, primo comma, TFUE, e della condizione secondo cui il ricorrente deve essere direttamente interessato dal provvedimento oggetto del suo ricorso, ai sensi dell’articolo 263, quarto comma, TFUE. A seguito dell’entrata in vigore del RGPD, la [OSCURATO:PERSONA] (Autorità di controllo in materia di protezione dei dati, Irlanda) (in prosieguo: l’«autorità di controllo irlandese») ha ricevuto vari reclami da parte di utilizzatori e non utilizzatori del servizio di messaggistica «WhatsApp» in ordine al trattamento di dati personali da parte di tale società. In tale contesto, detta autorità di controllo, nella sua qualità di autorità di controllo capofila ( 3 ), ha avviato un’indagine vertente sul rispetto, da parte della WhatsApp, degli obblighi di trasparenza e di informazione nei confronti dei singoli previsti dal RGPD. In esito a tale indagine, nell’ambito della cooperazione istituita dal RGPD, l’autorità di controllo irlandese ha sottoposto alle altre autorità di controllo interessate dal trattamento dei dati personali in questione un progetto di decisione, al fine di ottenere il loro parere. Non riscontrando un consenso in ordine a tale progetto, l’autorità di controllo irlandese ha adito il [OSCURATO:PERSONA] affinché risolvesse la controversia tra le autorità di controllo interessate ( 4 ). Quest’ultimo ha adottato, il 28 luglio 2021, la decisione vincolante 1/2021 (in prosieguo: la «decisione controversa»), nella quale ha preso posizione sulle questioni che erano state oggetto di obiezioni pertinenti e motivate di talune delle autorità di controllo interessate. Sulla base di tale decisione vincolante, vertente, in particolare, su una constatazione di violazione di talune disposizioni del RGPD, sulla qualificazione come dati personali dei dati risultanti da una procedura di compressione con perdita, nonché sulla necessità di aumentare l’importo delle sanzioni pecuniarie previste nel progetto di decisione iniziale, l’autorità di controllo irlandese ha adottato, il 20 agosto 2021, una decisione finale. In tale decisione, l’autorità ha constatato che la WhatsApp aveva violato alcune disposizioni del RGPD e le ha inflitto, in particolare, sanzioni per un importo complessivo pari a EUR 225 milioni. La WhatsApp ha impugnato tale decisione finale dinanzi a un giudice irlandese e, in parallelo, ha chiesto al Tribunale l’annullamento della decisione controversa, ai sensi dell’articolo 263 TFUE. Con l’ordinanza impugnata, il Tribunale ha respinto il ricorso di annullamento in quanto irricevibile. Pur riconoscendo che la WhatsApp era individualmente interessata dalla decisione controversa, il Tribunale ha considerato, in particolare, che tale decisione non costituiva un atto impugnabile e che la WhatsApp non fosse direttamente interessata da detta decisione. Giudizio della Corte In primo luogo, la Corte si pronuncia sull’asserita tardività del ricorso in primo grado, che è stata eccepita dal [OSCURATO:PERSONA]. Essa ricorda che, ai sensi dell’articolo 263, sesto comma, TFUE, i ricorsi di annullamento devono essere proposti entro un termine di due mesi a decorrere, secondo i casi, dalla pubblicazione dell’atto, dalla sua notificazione al ricorrente oppure, in mancanza, dal giorno in cui il ricorrente ne ha avuto conoscenza. Il termine per il ricorso di annullamento inizia a decorrere, in via principale, dalla pubblicazione dell’atto o dalla notificazione di quest’ultimo al ricorrente; tali due criteri principali sono collocati su un piano di parità, nel senso che nessuno di questi due criteri è subordinato rispetto all’altro. Per contro, il criterio della data in cui si è avuta conoscenza dell’atto impugnato presenta carattere subordinato rispetto a quello della pubblicazione o della notificazione del medesimo atto. La Corte rileva che, nel caso di specie, la decisione controversa non è stata notificata alla WhatsApp, ma è stata oggetto di pubblicazione sul sito Internet del [OSCURATO:PERSONA] ( 5 ). A tal riguardo, essa precisa che la nozione di «pubblicazione» non riguarda esclusivamente la pubblicazione nella Gazzetta ufficiale dell’Unione europea e, al contrario, deve essere interpretata estensivamente. Rientra in tale nozione, fra l’altro, una pubblicazione sul sito Internet di un’istituzione, di un organo o di un organismo dell’Unione qualora essa sia prevista dal diritto derivato. Pertanto, il termine per il ricorso, che doveva essere calcolato a partire dalla pubblicazione della decisione controversa sul sito Internet del [OSCURATO:PERSONA], non è stato violato nella fattispecie. In secondo luogo, la Corte fornisce precisazioni sulla nozione di «atto impugnabile» ai sensi dell’articolo 263, primo comma, TFUE, in forza del quale il giudice dell’Unione controlla, in particolare, la legittimità degli atti degli organi o organismi dell’Unione destinati a produrre effetti giuridici nei confronti di terzi. La Corte sottolinea in particolare che l’impugnabilità di un atto deve essere valutata in modo oggettivo, in funzione della sua sostanza, e non in funzione della parte ricorrente. Pertanto, il terzo nei confronti del quale l’atto in questione produce effetti giuridici non deve necessariamente essere la parte ricorrente. Infatti, riveste la qualità di terzo qualsiasi persona fisica o giuridica distinta dal soggetto da cui tale atto promana. Pertanto, non è necessario verificare se un atto produca effetti idonei a incidere sulla situazione giuridica della parte ricorrente, poiché questa verifica è pertinente soltanto nell’ambito dell’esame del rispetto delle condizioni stabilite dall’articolo 263, quarto comma, TFUE. Inoltre, la Corte precisa che, in presenza di atti la cui elaborazione sia effettuata in più fasi procedurali, costituisce, in linea di principio, un atto impugnabile solo il provvedimento che fissa in modo definitivo la posizione dell’istituzione, dell’organo o dell’organismo dell’Unione competente, ad esclusione dei provvedimenti intermedi destinati a preparare tale provvedimento definitivo e che non producono effetti giuridici autonomi nei confronti di terzi. Per quanto riguarda il contenuto della decisione controversa, la Corte osserva che tale decisione è un atto emanato da un organo dell’Unione che ha carattere vincolante nei confronti di terzi. Infatti, esso vincola l’autorità di controllo capofila, che deve adottare la sua decisione finale sulla base di tale decisione vincolante, e tutte le autorità di controllo interessate, che ne sono destinatarie e che sono terzi rispetto al [OSCURATO:PERSONA]. Inoltre, per quanto riguarda il contesto dell’adozione della decisione controversa, la Corte rileva che, sebbene tale decisione sia stata elaborata nell’ambito di un processo decisionale che comporta più fasi procedurali e sia stata preceduta dall’adozione di un altro atto da parte dell’autorità di controllo irlandese, detta decisione fissa tuttavia in modo definitivo la posizione del [OSCURATO:PERSONA] ed esaurisce tutte le questioni che quest’ultimo è chiamato a risolvere. La Corte conclude che, sebbene non costituisca l’ultima fase della procedura di controllo della coerenza prevista dal RGPD, la decisione controversa non può essere qualificata come provvedimento intermedio non impugnabile. Essa aggiunge che, poiché la decisione del [OSCURATO:PERSONA] produce effetti giuridici vincolanti nei confronti di terzi, sono irrilevanti le circostanze che la portata della decisione finale dell’autorità nazionale di controllo comprenda questioni che non rientrerebbero nell’ambito del deferimento o della competenza del [OSCURATO:PERSONA] e che la decisione controversa non sia opponibile ad entità diverse dai suoi destinatari, dato che quest’ultima circostanza non si riferisce né alla sostanza della decisione controversa né ai suoi effetti giuridici vincolanti alla luce di criteri oggettivi. Pertanto, la Corte constata che la decisione controversa costituisce un atto impugnabile e che il Tribunale ha commesso un errore di diritto, da un lato, operando una confusione tra i requisiti risultanti, rispettivamente, dal primo e dal quarto comma dell’articolo 263 TFUE e, dall’altro, formulando un criterio erroneo, relativo all’assenza di opponibilità diretta dell’atto in questione nei confronti della WhatsApp, e qualificando la decisione controversa come provvedimento intermedio privo di effetti giuridici autonomi. In terzo e ultimo luogo, la Corte ricorda che la ricevibilità di un ricorso proposto da una persona fisica o giuridica contro un atto di cui essa non è destinataria, ai sensi dell’articolo 263, quarto comma, TFUE, è subordinata segnatamente alla condizione che tale atto la riguardi direttamente e individualmente. A tale riguardo, la Corte precisa che l’assenza di opponibilità diretta dell’atto impugnato nei confronti della parte ricorrente, così come la circostanza che tale atto non costituisca l’ultima fase di un procedimento composito, non ostano a che tale parte ricorrente possa essere direttamente interessata da detto atto, qualora il destinatario del medesimo non disponga di alcun potere discrezionale. Di conseguenza, essa constata che il Tribunale ha commesso un errore di diritto quando ha ritenuto che la WhatsApp non potrebbe essere direttamente interessata dalla decisione controversa, con la motivazione che quest’ultima non sarebbe opponibile alla WhatsApp e non costituirebbe l’ultima fase della procedura prevista dal RGPD. In tale contesto, la Corte ricorda, infatti, che la condizione secondo cui una persona fisica o giuridica deve essere direttamente interessata dalla decisione oggetto del suo ricorso richiede la compresenza di due criteri cumulativi, ossia che il provvedimento contestato, da un lato, produca effetti direttamente sulla situazione giuridica del soggetto in questione e, dall’altro, non lasci alcun potere discrezionale ai destinatari incaricati della sua applicazione. Per quanto riguarda il rispetto della prima condizione, la Corte rileva che occorre valutare se l’atto impugnato modifichi in modo qualificato la situazione della parte ricorrente, riferendosi alla sostanza di tale atto e valutando gli effetti di quest’ultimo in funzione di criteri obiettivi. Nel caso di specie, la Corte constata che, avendo il [OSCURATO:PERSONA] deciso segnatamente che la WhatsApp aveva violato talune disposizioni del RGPD, la decisione controversa modifica la situazione giuridica di tale società, essendo quest’ultima in particolare indotta, a causa dell’intervento del [OSCURATO:PERSONA], a modificare il suo rapporto contrattuale con gli utilizzatori del servizio di messaggistica da essa fornito. Pertanto, esiste un nesso diretto tra tale decisione e i suoi effetti sulla situazione della WhatsApp. Per quanto riguarda la seconda condizione, la Corte precisa che l’esistenza di un margine di discrezionalità deve essere esclusa, in particolare, qualora sia stabilito che le disposizioni dell’atto che sono oggetto del ricorso hanno avuto come conseguenza diretta di assoggettare tale persona ad obblighi il cui esito non poteva essere modificato dall’entità incaricata di attuare successivamente tale atto. In tale contesto, la Corte ricorda che la decisione controversa è vincolante per l’autorità di controllo capofila e per le autorità di controllo interessate, le quali non possono discostarsi dalla posizione adottata dal [OSCURATO:PERSONA] in tale decisione. Infatti, detta decisione risolve le questioni di diritto oggetto del deferimento a quest’ultimo e vincola incondizionatamente tali autorità, per quanto riguarda in particolare la constatazione della violazione di talune disposizioni del RGPD, la qualificazione come dati personali dei dati sottoposti a compressione con perdita nonché l’obbligo di aumentare l’importo delle sanzioni pecuniarie previste. Tali autorità non hanno la possibilità di modificare il risultato delle valutazioni effettuate, per quanto riguarda tali questioni, dal [OSCURATO:PERSONA]. La Corte aggiunge che, in tale contesto, è di scarso rilievo il fatto che la portata della decisione finale si estenda a questioni che non rientrano nel deferimento al [OSCURATO:PERSONA], vale a dire ad aspetti che non sono stati oggetto di obiezioni pertinenti e motivate, oppure a questioni che non rientrano nella competenza di tale organo, quali, in particolare, la fissazione dell’importo preciso della sanzione pecuniaria da infliggere al titolare del trattamento o a un responsabile del trattamento, la quale spetta all’autorità di controllo adita ai sensi del RGPD. Infine, la Corte osserva che, se è vero che esiste un nesso di interdipendenza tra la decisione controversa e la decisione finale, resta il fatto che queste ultime costituiscono atti distinti e che la portata della decisione controversa è ben delimitata. Ciò posto, tale vincolo d’interdipendenza non è tale da ostare alla constatazione che la WhatsApp sia direttamente interessata dalla decisione controversa. La Corte rileva che, se è vero che la proposizione simultanea di un ricorso di annullamento dinanzi al giudice dell’Unione, ai sensi dell’articolo 263 TFUE, avverso la decisione vincolante del [OSCURATO:PERSONA], e dinanzi al giudice nazionale, avverso la decisione finale adottata dall’autorità nazionale di controllo, dà luogo a due procedure parallele, tale situazione non comporta che gli effetti della decisione del [OSCURATO:PERSONA] debbano essere considerati indiretti, nel caso di specie, nei confronti della WhatsApp. Infatti, da un lato, quando la soluzione della controversia pendente dinanzi al giudice nazionale dipende dalla validità della decisione di un organo dell’Unione, dall’obbligo di leale cooperazione deriva che il giudice nazionale, al fine di evitare di emettere una decisione incompatibile con quella di detto organo, dovrebbe sospendere il procedimento fino alla pronuncia di una sentenza definitiva sul ricorso di annullamento da parte degli organi giurisdizionali dell’Unione, a meno che esso non ritenga che, nelle circostanze del caso di specie, sia giustificato deferire alla Corte una questione pregiudiziale sulla validità della decisione di tale organo. Dall’altro lato, nel caso in cui vengano contemporaneamente aditi il Tribunale, nell’ambito di un ricorso di annullamento, e la Corte, nell’ambito di un rinvio pregiudiziale, il principio di buona amministrazione della giustizia può giustificare il fatto che la Corte, se lo considera opportuno, sospenda ( 6 ) il procedimento dinanzi ad essa pendente in favore di quello avviato presso il Tribunale Di conseguenza, la Corte conclude che la WhatsApp è direttamente interessata dalla decisione controversa. Pertanto, tenuto conto degli errori di diritto commessi dal Tribunale, la Corte annulla l’ordinanza impugnata. Inoltre, la Corte dichiara che, essendo soddisfatte le condizioni sancite dall’articolo 263 TFUE, ed in assenza di qualsiasi altro motivo di irricevibilità, il ricorso di annullamento proposto dalla WhatsApp è ricevibile. Tuttavia, poiché lo stato degli atti non consente di statuire sul merito della controversia, la Corte rinvia la causa al Tribunale affinché statuisca al riguardo. ( 1 ) Ordinanza del 7 dicembre 2022, WhatsApp [OSCURATO:PERSONA]/[OSCURATO:PERSONA] europeo per la protezione dei dati (T‑709/21; in prosieguo: l’«ordinanza impugnata», EU:T:2022:783 ). ( 2 ) Articolo 65, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) Ai sensi dell’articolo 56, paragrafo 1, del RGPD, che conferisce, in particolare, la competenza ad agire all’autorità di controllo dello stabilimento principale del titolare del trattamento in caso di trattamento transfrontaliero effettuato da quest’ultimo. ( 4 ) Conformemente alle disposizioni di cui all’articolo 60, paragrafo 4, e dell’articolo 65, paragrafo 1, lettera a), del RGPD. ( 5 ) Come previsto dall’articolo 65, paragrafo 5, terza frase, del RGPD. ( 6 ) In forza articolo 54, terzo comma, dello Statuto della Corte di giustizia dell’Unione europea.
Sentenza Corte di giustizia UE/2026 — Fons Iuris — Fons Iuris