(AGENPARL) - Roma, 10 Febbraio 2026 - RGPD: il ricorso della WhatsApp Ireland contro la decisione vincolante 1/2021 del Comitato europeo per la protezione dei dati è ricevibile.
Poiché tale decisione costituisce un atto impugnabile che riguarda direttamente detta società, la Corte annulla l’ordinanza del Tribunale e rinvia la causa dinanzi a quest’ultimo affinché statuisca sul merito
La Corte di giustizia constata che una decisione vincolante del Comitato europeo per la protezione dei dati (CEPD) che risolve una controversia tra diverse autorità nazionali di controllo sulla questione se un titolare del trattamento abbia violato il regolamento generale sulla protezione dei dati (RGPD) e se, eventualmente, sia necessario modificare le misure correttive previste nei suoi confronti costituisce un atto impugnabile dinanzi ai giudici dell’Unione. Infatti, tale decisione promana da un organo dell’Unione ed è destinata a produrre effetti giuridici nei confronti di terzi. Inoltre, nel caso di specie, la Corte dichiara che la WhatsApp Ireland Ltd (in prosieguo: la «WhatsApp») è direttamente interessata dalla
decisione di cui trattasi. Poiché il ricorso di annullamento della WhatsApp è ricevibile ma il Tribunale dell’Unione europea non ha ancora esaminato il merito della controversia, la Corte annulla l’ordinanza impugnata e rinvia la causa dinanzi al Tribunale.
A seguito dell’entrata in vigore del RGPD, l’autorità di controllo irlandese, vale a dire la Data Protection Commission, ha ricevuto, da parte di utilizzatori e di non utilizzatori del servizio di messaggeria «WhatsApp», vari reclami riguardanti il trattamento di dati personali da parte di tale società. Tale autorità di controllo ha avviato d’ufficio, nel dicembre 2018, un’indagine generale sul rispetto, da parte della WhatsApp, dei suoi obblighi di trasparenza e di informazione nei confronti dei singoli.
Nel dicembre 2020, l’autorità di controllo irlandese ha sottoposto a tutte le altre autorità nazionali di controllo interessate un progetto di decisione, al fine di ottenere il loro parere . In assenza di consenso su taluni aspetti, essa ha adito il CEPD affinché esso risolvesse la controversia tra le autorità di controllo interessate, prendendo posizione sulle questioni che erano state oggetto di obiezioni pertinenti e motivate.
Il CEPD ha emesso una decisione vincolante per tutte le autorità di controllo interessate, vale a dire la decisione 1/2021, nella quale ha constatato, in particolare, la violazione di talune disposizioni del RGPD e ha obbligato l’autorità di controllo irlandese a modificare le misure correttive previste, compreso l’importo delle sanzioni pecuniarie. Su questa base, tale autorità ha adottato la sua decisione finale, che è stata indirizzata alla WhatsApp e che le ha inflitto, in particolare, sanzioni pecuniarie per un totale complessivo di EUR 225 milioni.
La WhatsApp ha proposto ricorso di annullamento contro la decisione del CEDP dinanzi al Tribunale. Con la sua ordinanza del 7 dicembre 20225, il Tribunale ha tuttavia respinto detto ricorso in quanto irricevibile, con la motivazione che la decisione del CEPD non era un atto impugnabile e che la WhatsApp non era direttamente interessata da tale decisione.
Secondo il Tribunale, la decisione del CEPD costituiva soltanto un provvedimento intermedio, mentre la WhatsApp poteva impugnare dinanzi a un giudice nazionale solo la decisione finale dell’autorità di controllo irlandese. La WhatsApp ha allora impugnato l’ordinanza del Tribunale dinanzi alla Corte di giustizia.
Nella sua sentenza odierna, la Corte dichiara che la decisione del CEPD è effettivamente un atto impugnabile dinanzi al giudice dell’Unione. Infatti, tale decisione è un atto che promana da un organo dell’Unione e che ha carattere vincolante nei confronti di terzi, vale a dire, nel caso di specie, l’autorità di controllo irlandese e tutte le altre autorità di controllo interessate. Inoltre, tale decisione fissa in modo definitivo la posizione di detto organo ed esaurisce tutte le questioni di cui è stato investito. Di conseguenza, una decisione di questo tipo non può essere considerata un provvedimento intermedio non impugnabile con ricorso.
Inoltre, la Corte constata che la WhatsApp era direttamente interessata da questa stessa decisione, poiché quest’ultima ha modificato in modo qualificato la situazione giuridica di tale società, senza lasciare alcun margine di discrezionalità ai suoi destinatari. Infatti, tale decisione vincola incondizionatamente le autorità di controllo interessate, in particolare per quanto riguarda la constatazione della violazione di talune disposizioni del RGPD, e tali autorità non possono modificarne il risultato.
Il ricorso della WhatsApp è quindi dichiarato ricevibile e l’ordinanza del Tribunale è annullata. La Corte rinvia la causa al Tribunale affinché esso statuisca sul merito della causa, ivi inclusa la questione se la WhatsApp abbia violato le disposizioni del RGPD di cui è causa.