Corte di giustizia UE n. 1049/2025

62023TJ0183_RES Causa T‑183/23 [OSCURATO:PERSONA] contro [OSCURATO:PERSONA] europeo per la protezione dei dati Sentenza del Tribunale del 16 luglio 2025 «Protezione dei dati personali – Reclamo contro il titolare del trattamento dei dati personali degli utenti di un social network online nell’Unione – Articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 – Decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati – Domanda di accesso dell’autore del reclamo al fascicolo preparatorio della decisione vincolante – Diniego di accesso – Ricorso di annullamento – Atto impugnabile – Ricevibilità – Articolo 41, paragrafo 2, lettera b), della Carta dei diritti fondamentali» Ricorso di annullamento – Atti impugnabili – Nozione – Atti che producono effetti giuridici vincolanti – Decisione di diniego di accesso, in forza della Carta, al fascicolo preparatorio della decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati (EDPB) – Atto che modifica la situazione giuridica della ricorrente – Atto che stabilisce in modo definitivo la posizione dell’EDPB riguardo al diritto di accesso al fascicolo – Inclusione – Domanda di accesso esaminata in parallelo in base al diritto di accesso del pubblico ai documenti – Irrilevanza [Art. 263 TFUE; Carta dei diritti fondamentali dell’Unione europea, art. 41, § 2, b); regolamenti del Parlamento europeo e del Consiglio nn. 1049/2001 e 2016/679, art. 65, paragrafo 1, a)] (v. punti 26‑28, 32‑37) Diritti fondamentali – Carta dei diritti fondamentali – Diritto a una buona amministrazione – Diritto di ogni persona di accedere al fascicolo che la riguarda – Portata – Esercizio di tale diritto subordinato a quello del diritto di essere ascoltati – Insussistenza – Fascicolo privo di nesso con un procedimento che può sfociare in un atto sfavorevole per detta persona – Inclusione – Presupposto – Assenza di norme specifiche che limitano il diritto di accesso al fascicolo nel settore di cui trattasi (Carta dei diritti fondamentali dell’Unione europea, art. 41) (v. punti 61‑66, 75) Diritti fondamentali – Carta dei diritti fondamentali – Diritto a una buona amministrazione – Diritto di ogni persona di accedere al fascicolo che la riguarda – Portata – Fascicolo preparatorio della decisione vincolante del [OSCURATO:PERSONA] europeo per la protezione dei dati (EDPB) – Decisione risultante dal meccanismo di coerenza attuato in occasione del disaccordo tra autorità di controllo – Diritto di accesso a tale fascicolo da parte dell’autore di un reclamo proposto a un’autorità di controllo nazionale vertente su violazioni del regolamento generale sulla protezione dei dati – Ammissibilità [Carta dei diritti fondamentali dell’Unione europea, art. 41, § 2, b); regolamento del Parlamento europeo e del Consiglio 2016/679, artt. 56, paragrafo 1, 60 e 65, paragrafo 1, a)] (v. punti 83‑86) [OSCURATO:PERSONA] un ricorso di annullamento avverso una decisione del [OSCURATO:PERSONA] europeo per la protezione dei dati (EDPB) recante rigetto di una domanda di accesso (in prosieguo: la «decisione impugnata»), presentata sulla base dell’articolo 41, paragrafo 2, lettera b), della Carta europea dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), al fascicolo preparatorio della sua decisione vincolante ( 1 ), il Tribunale chiarisce la portata e la natura del diritto di accesso al fascicolo ai sensi di tale disposizione della Carta. Nel 2018 la ricorrente, tramite l’associazione senza scopo di lucro NOYB - [OSCURATO:PERSONA] for [OSCURATO:PERSONA] (in prosieguo: la «NOYB»), l’[OSCURATO:PERSONA] (Autorità austriaca per la protezione dei dati) ha presentato un reclamo all’[OSCURATO:PERSONA] (Autorità austriaca per la protezione dei dati) ai sensi del regolamento generale sulla protezione dei dati ( 2 ), contro [OSCURATO:PERSONA] (divenuta, nel 2022, Meta) per violazione del RGPD in occasione dei trattamenti di dati personali connessi all’utilizzo del social network [OSCURATO:PERSONA]. L’Autorità austriaca per la protezione dei dati ha trasmesso tale reclamo alla [OSCURATO:PERSONA] (Autorità per la protezione dei dati, Irlanda; in prosieguo: l’ «autorità di controllo irlandese»), autorità di controllo capofila ( 3 ). A seguito della sua indagine, l’autorità di controllo irlandese ha sottoposto alle altre autorità nazionali di controllo interessate un progetto di decisione ( 4 ), che è stato oggetto di varie obiezioni pertinenti e motivate. A causa di un disaccordo tra l’autorità di controllo irlandese e le altre autorità di controllo, quest’ultima ha adito l’EDPB nell’ambito del meccanismo di coerenza istituito dal RGPD ( 5 ) affinché prendesse posizione su tali obiezioni ( 6 ). Dopo aver ricevuto comunicazione del progetto di decisione, la ricorrente non è stata più coinvolta nel procedimento e non ha avuto copia di tali obiezioni né la possibilità di presentare osservazioni. La NOYB ha chiesto all’EDPB di consentire alla ricorrente di essere ascoltata dopo aver avuto accesso al fascicolo completo del caso, ma il 21 novembre 2022 l’EDPB ha risposto che la decisione vincolante non poteva recare pregiudizio alla ricorrente e che quest’ultima non aveva quindi il diritto di essere ascoltata dinanzi ad esso. Il 5 dicembre 2022 l’EDPB ha adottato la decisione vincolante, che riprendeva gli stessi elementi della risposta. Il 31 dicembre 2022 l’autorità di controllo irlandese ha adottato una decisione definitiva che attuava tale decisione vincolante. Con messaggio di posta elettronica del 6 gennaio 2023, la NOYB, invocando l’articolo 41 della Carta, il RGPD e il «diritto di accesso ai documenti in forza del diritto dell’Unione», ha chiesto all’EDPB di trasmetterle la decisione vincolante, la decisione definitiva dell’autorità di controllo irlandese nonché le obiezioni pertinenti e motivate formulate dalle altre autorità di controllo nazionali nei confronti del progetto di decisione. L’EDPB ha risposto che i link verso il testo di tali decisioni le sarebbero stati dati dopo la loro pubblicazione e che la domanda di accesso alle obiezioni sarebbe stata trattata come una domanda di accesso ai documenti ai sensi del regolamento n. 1049/2001 ( 7 ). Successivamente, l’autorità irlandese ha trasmesso la decisione definitiva alla NOYB, mentre l’EDPB le ha fornito il link verso il testo della decisione vincolante e le ha dato, sulla base del regolamento n. 1049/2001, un accesso completo a talune delle obiezioni pertinenti e motivate e un accesso parziale ad altre. Il 25 gennaio 2023 la NOYB ha presentato all’EDPB una nuova domanda di accesso al fascicolo completo di quest’ultimo, invocando principalmente i diritti della ricorrente derivanti dall’articolo 41 della Carta «in quanto parte» nonché da «qualsiasi altra base giuridica», come il regolamento n. 1049/2001. Con la decisione impugnata contenuta in un messaggio di posta elettronica del 7 febbraio 2023, l’EDPB, prendendo in considerazione la domanda di accesso al fascicolo alla luce del regolamento n. 1049/2001, da un lato, ha invitato la NOYB a chiarire la portata di tale domanda e ad accettare una soluzione equa. Dall’altro, esso ha indicato che, parallelamente, aveva valutato in modo approfondito la domanda di accesso al fascicolo ai sensi della Carta e che riteneva che la ricorrente, in quanto autrice del reclamo, non disponesse di un diritto di accesso a tale titolo. Dopo che la ricorrente ha adito il Tribunale il 7 aprile 2023, l’EDPB ha concesso alla NOYB, il 12 aprile 2023, sulla base del regolamento n. 1049/2001, un accesso completo a taluni dei documenti richiesti da quest’ultima e un accesso parziale ad altri. Giudizio del Tribunale In primo luogo, il Tribunale, ricordando ( 8 ) che costituiscono atti impugnabili, in linea di principio, i provvedimenti che stabiliscono in modo definitivo la posizione di un’istituzione dell’Unione europea al termine di un procedimento amministrativo e che sono intesi a produrre effetti giuridici obbligatori tali da incidere sugli interessi della parte ricorrente, respinge l’eccezione di irricevibilità sollevata dall’EDPB. A tal riguardo, esso rileva che l’EDPB ha indicato nella decisione impugnata di aver valutato «in modo approfondito» la domanda di accesso al fascicolo fondata sulla Carta prima di concludere per il suo rigetto. Inoltre, poiché tale domanda di accesso e la decisione impugnata sono intervenute in un momento in cui tanto la decisione vincolante quanto la decisione definitiva dell’autorità di controllo irlandese erano già state adottate, la decisione impugnata esprime in modo definitivo la posizione dell’EDPB rispetto a tale domanda di accesso, incidendo così immediatamente e in modo irreversibile sulla situazione giuridica della ricorrente quanto al suo eventuale diritto di accesso al fascicolo dell’EDPB. L’esame, in parallelo, da parte dell’EDPB della domanda di accesso sulla base del regolamento n. 1049/2001 non rimette in discussione tale conclusione, poiché questi due canali di accesso ai documenti rientrano in due regimi giuridici diversi. Anzitutto, questi due diritti non hanno gli stessi beneficiari, poiché il diritto di accesso ai documenti è riconosciuto a qualsiasi cittadino dell’Unione e a qualsiasi persona fisica o giuridica che risieda o abbia la sede sociale in uno Stato membro, mentre il diritto di accesso al fascicolo spetta alla persona interessata da quest’ultimo. Inoltre, essi non hanno ad oggetto necessariamente gli stessi documenti: la Carta si applica al fascicolo della persona interessata, mentre il regolamento n. 1049/2001 si applica a qualsiasi documento di un’istituzione. Peraltro, se il regolamento n. 1049/2001 prevede un procedimento amministrativo in due fasi, preliminare a un eventuale ricorso dinanzi al giudice dell’Unione, un siffatto requisito non sussiste per una domanda di accesso al fascicolo fondata sulla Carta. Infine, il diritto di accesso ai documenti è soggetto a determinate limitazioni fondate su motivi di interesse pubblico o privato, mentre il diritto di accesso al fascicolo è limitato solo dal «rispetto dei legittimi interessi della riservatezza e del segreto professionale e commerciale». Pertanto, non è garantito che una domanda di accesso fondata sul regolamento n. 1049/2001 conduca, in ogni caso, allo stesso risultato, per quanto riguarda i documenti comunicati, di una domanda formulata sulla base della Carta. In secondo luogo, nel merito, per quanto riguarda, in primo luogo, il carattere autonomo del diritto di accesso al fascicolo rispetto al diritto di essere ascoltato, il Tribunale osserva anzitutto che non esiste alcun testo normativo che disciplini specificamente né, a fortiori, limiti il diritto dell’autore di un reclamo proposto ai sensi del RGPD di avere accesso al fascicolo dell’EDPB preparatorio all’adozione di una decisione vincolante. In particolare, non risulta alcuna limitazione né dal RGPD né dal regolamento interno dell’EDPB. Per quanto riguarda l’articolo 41, paragrafo 2, lettera b), della Carta, anzitutto, il Tribunale constata che la formulazione di tale disposizione non limita il diritto di accesso di una persona al fascicolo che la riguarda alla circostanza che tale fascicolo sia afferente a una misura che può arrecarle pregiudizio. È vero che un siffatto requisito figura alla lettera a) del medesimo paragrafo per quanto riguarda il diritto di essere ascoltato, tuttavia né la formulazione di tali disposizioni né quella dell’articolo 41 della Carta, considerato nel suo insieme, subordina, in linea di principio, l’esercizio del diritto di accesso al fascicolo al diritto di essere ascoltato. È vero che il diritto di accesso al fascicolo costituisce un presupposto necessario per l’esercizio effettivo dei diritti della difesa, ma il suo ambito di applicazione può essere più esteso e non può limitarsi ad essere un corollario del principio del rispetto dei diritti della difesa. Ciò si verifica nel caso della ricorrente, la quale ha chiesto l’accesso al fascicolo dell’EDPB al fine di valutare, sulla base del suo contenuto, l’opportunità di proporre un ricorso giurisdizionale. Inoltre, l’articolo 41, paragrafo 2, lettera b), della Carta deve essere letto in combinato disposto con il paragrafo 1 del medesimo articolo, nel senso che il diritto di accesso al fascicolo è associato al diritto di ogni persona a che le questioni che lo riguardano siano trattate in modo imparziale, equo ed entro un termine ragionevole dall’amministrazione dell’Unione. Orbene, quest’ultima non si limita ad adottare provvedimenti che siano o possano essere sfavorevoli agli amministrati. Il fatto di dover trattare i casi di una persona in modo equo può, in particolare, essere interpretato nel senso che implica l’obbligo di trasmettere a tale persona il fascicolo amministrativo che la riguarda. Inoltre, il Tribunale rileva che il diritto di accesso al fascicolo previsto dalla Carta costituisce una componente del «diritto ad una buona amministrazione» ( 9 ), che non riguarda unicamente l’esercizio del diritto di essere ascoltato da parte dell’amministrazione dell’Unione, ma ha una portata più ampia. Esso comprende anche altri diritti o principi che tale amministrazione deve rispettare nei suoi rapporti con gli amministrati ( 10 ), che non si limitano alle situazioni in cui devono essere applicati i diritti della difesa. Pertanto, il Tribunale conclude che una persona dispone del diritto di accedere al fascicolo che la riguarda sulla base della Carta, anche senza trovarsi in una situazione in cui potrebbe far valere il suo diritto di essere ascoltata, fatta salva, tuttavia, l’assenza di norme specifiche nel settore in questione che limitino l’esercizio di tale diritto di accesso al fascicolo ( 11 ). In secondo luogo, per quanto riguarda la questione se la domanda della ricorrente di accesso al fascicolo ai sensi della Carta avesse ad oggetto un fascicolo che la riguardava, il Tribunale rileva, anzitutto, che la decisione vincolante trae origine da un reclamo presentato dalla ricorrente ai sensi del RGPD. Orbene, quest’ultimo ( 12 ) conferisce a ogni interessato non solo il diritto di proporre reclamo a un’autorità di controllo se ritiene che il trattamento dei suoi dati personali costituisca una violazione di tale regolamento, ma anche quello di essere informato, da parte di tale autorità di controllo, dello stato o dell’esito del suo reclamo. Il Tribunale ricorda poi che quando, come nel caso di specie, il trattamento di dati presenta un carattere transfrontaliero ( 13 ), l’autorità di controllo capofila, essendo tenuta nell’ambito della procedura di cooperazione a cercare un consenso tra le autorità di controllo, trasmette senza indugio un progetto di decisione a tali altre autorità al fine di ottenere il loro parere ( 14 ). Qualora una delle altre autorità di controllo interessate sollevi un’obiezione pertinente e motivata, l’autorità di controllo capofila, ove non dia seguito all’obiezione o ritenga che tale obiezione non sia pertinente o motivata, sottopone la questione al meccanismo di coerenza, al fine di ottenere dall’EDPB una decisione vincolante ( 15 ). Poiché tale meccanismo mira a risolvere i conflitti di opinioni tra l’autorità capofila e le altre autorità di controllo interessate, la competenza dell’EDPB è limitata alle sole questioni che sono state oggetto di un’obiezione pertinente e motivata. Pertanto, la decisione vincolante si rivolge a tutte le autorità interessate e verte unicamente su tali questioni ( 16 ). Tuttavia, anche se l’autore di un reclamo ai sensi del RGPD non è formalmente parte del procedimento di adozione di una decisione vincolante, tale reclamo svolge un ruolo essenziale in tale procedimento. Infatti, esso costituisce, anzitutto, il punto di partenza dell’intero processo decisionale. Inoltre, le obiezioni sulle quali l’EDPB statuisce nell’ambito di un procedimento avviato a seguito di tale reclamo tengono spesso conto dei fatti e degli argomenti addotti dalla persona interessata. Tale persona può quindi legittimamente voler verificare se gli elementi del suo reclamo siano stati presi in considerazione dall’EDPB o in quale misura essi abbiano influenzato il contenuto della decisione vincolante. A tal riguardo, il Tribunale rileva che, nel caso di specie, la decisione vincolante fa più volte riferimento non solo al reclamo presentato dalla ricorrente, ma anche a quest’ultima in quanto tale. Infine, la ricorrente, in quanto autrice del reclamo, ha un interesse diretto all’esito del procedimento, in quanto quest’ultimo mira a garantire un’applicazione concreta del RGPD a una situazione che implica il trattamento dei suoi dati personali. Pertanto, il Tribunale conclude che il fascicolo dell’EDPB preparatorio all’adozione della decisione vincolante riguarda la ricorrente ai sensi dell’articolo 41, paragrafo 2, lettera b), della Carta. ( 1 ) Decisione vincolante 3/2022 dell’EDPB. ( 2 ) Articolo 77 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) Conformemente all’articolo 56, paragrafo 1, del RGPD, che attribuisce in particolare la competenza ad agire all’autorità di controllo dello stabilimento principale del titolare del trattamento nel caso del trattamento transfrontaliero effettuato da quest’ultimo. ( 4 ) Conformemente all’articolo 60, paragrafo 3, del RGPD. ( 5 ) Articolo 60, paragrafo 4, del RGPD. ( 6 ) Articolo 65, paragrafo 1, lettera a), del RGPD. ( 7 ) Regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all’accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della [OSCURATO:PERSONA] ( GU 2001, L 145, pag. 43 ). ( 8 ) Sentenza del 25 giugno 2020, CSUE/KF ( C‑14/19 P , EU:C:2020:492 , punto 70 ). ( 9 ) Sancito dall’articolo 41 della Carta. ( 10 ) Quali la trattazione delle cause entro un termine ragionevole, l’obbligo di motivazione delle decisioni, la responsabilità dell’Unione per risarcire i danni causati dalla sua amministrazione e l’obbligo di comunicazione nella lingua dell’Unione utilizzata dagli amministrati, previsti rispettivamente dalle disposizioni dell’articolo 41, paragrafo 1, paragrafo 2, lettera c), paragrafi 3 e 4, della Carta. ( 11 ) Conformemente ai requisiti di cui all’articolo 52, paragrafo 1, della Carta. ( 12 ) Articolo 77 del RGPD ( 13 ) Ai sensi dell’articolo 4, punto 23, del RGPD. ( 14 ) Conformemente all’articolo 60, paragrafo 3, del RGPD. ( 15 ) Articolo 60, paragrafo 4, articolo 63 e articolo 65, paragrafo 1, lettera a), del RGPD. ( 16 ) Articolo 65, paragrafo 1, lettera a), e paragrafo 2, del RGPD.