Nell’ultimo anno solare (ottobre 2022 – ottobre 2023) la Corte di giustizia UE (CGUE) ha emesso decisioni interpretative di numerosi passaggi del GDPR, dell’ePrivacy e della direttiva 2016/680. 

Le pronunce della CGUE aiutano ad una lettura corretta delle prescrizioni normative, facendo chiarezza su aspetti che hanno sollevato dubbi da parte dei giudici nazionali degli Stati membri. 

Questa carrellata spesso offre un interessante spaccato sulla regolamentazione a protezione dei dati personali, su una varietà di profili. 

CGUE 

La Corte, che ha sede a Lussemburgo, ha tra le sue principali competenze quelle di  

• interpretare il diritto dell’Unione mediante pronunce pregiudiziali 
• dirimere le controversie giuridiche tra governi e istituzioni  
• decidere come giudice d’appello sulle questioni di diritto relative a decisioni adottate dal cosiddetto Tribunale europeo. 

Tribunale europeo 

Il Tribunale europeo – organo giurisdizionale insieme alla CGUE – è giudice di prima istanza competente, tra l’altro, a conoscere dei ricorsi diretti da privati contro le istituzioni dell’Unione; come nel caso di ricorsi da parte di aziende contro provvedimenti dell’EDPS o dell’EDPB o della stessa Commissione UE. Si veda, ad esempio, i ricorsi di CRU contro l’EDPS o di Meta contro l’EDPB, di cui si dirà in seguito. 

Come accennato, le decisioni del Tribunale possono essere impugnate entro due mesi dinanzi alla CGUE per questioni di diritto. 

Pronunce pregiudiziali della CGUE

L’attività interpretativa della CGUE viene promossa dai giudici nazionali – cui compete la corretta applicazione del diritto dell’Unione nel proprio ordinamento – mediante istanze di pronunce pregiudiziali:  

• su aspetti del diritto su cui si hanno dubbi interpretativi  

• in merito alla compatibilità del diritto nazionale con il diritto UE. 

La Corte risponde ai quesiti posti dai giudici nazionali con decisioni che, ancorché riferite al caso di specie, hanno valore giuridico generale. Spetta al giudice nazionale di rinvio decidere nel merito sulla controversia di riferimento, applicando il principio di diritto oggetto della decisione della CGUE. 

Appelli di decisioni del Tribunale europeo 

Due decisioni del Tribunale europeo che hanno sollevato clamore – la T-557/20, CRU c. EDPS e la T-709/21 WhatsApp Ireland c. EDPB – sono state impugnate in appello dinanzi alla CGUE. 

T-557/20

La decisione T-557/20 concludeva nel senso che la determinazione se dati pseudonimizzati forniti ad una terza parte possano inquadrarsi come “dati personali” richiede una valutazione, caso per caso, della ragionevole probabilità del ricorso da parte di quest’ultima a mezzi idonei a re-identificare gli interessati. 

I due profili maggiormente innovativi e rilevanti, sollevati dal Tribunale, riguardavano: 

• il rifiuto dell’automatica equazione “pseudonimo = dato personale”, sostituita da una valutazione delle circostanze oggettive del singolo caso 
• il rilievo dell’importanza di porsi nella prospettiva della terza parte che riceve i dati pseudonimizzati, quando si effettua questa valutazione. 

L’EDPS ha impugnato la decisione del Tribunale il 5 luglio 2023, chiedendone l’annullamento integrale per l’erronea interpretazione della norma (nel caso, il Regolamento 2018/1725, ma estensibile anche alla speculare disciplina del GDPR) in quanto: 

• il giudice di prima istanza avrebbe omesso di prendere in considerazione la definizione di “pseudonimizzazione” ponendo a carico dell’EDPS di assumere la prospettiva del destinatario nell’accertamento della natura di “dati personali” delle informazioni controverse 
• sarebbe stato disatteso il principio di accountability, in quanto il tribunale avrebbe posto a carico dell’autorità l’onere di provare che il titolare avesse effettivamente resi anonimi (o meno) i dati personali che stava trattando. 

In proposito, per un approfondimento, si vedano gli Editoriali dell’11 maggio 2023 e del 25 maggio 2023. 

T-709/21 

Nella causa T-709/21, tra WhatsApp Ireland Ltd. e EDPB, WA aveva impugnato dinanzi al giudice di prima istanza la decisione vincolante dell’EDPB in merito alla decisione dell’autorità di controllo capofila (nella specie, quella irlandese) verso cui le altre autorità nazionali coinvolte avevano sollevato obiezioni pertinenti e motivate. La decisione vincolante dell’EDPB riguardava la determinazione delle sanzioni pecuniarie che l’autorità irlandese intendeva applicare, ritenuta non corretta dal Comitato europeo in applicazione dei criteri di effettività, proporzionalità e dissuasività, dettati dal regolamento.  

Il Tribunale aveva respinto il ricorso di WA in quanto irricevibile, in sostanza, perché: 

• pur essendo l’EDPB un organo dell’Unione munito di personalità giuridica e pur trattandosi nella specie di “decisione vincolante” che produce effetti giuridici nei confronti dei terzi (elementi essenziali per il diritto all’azione giudiziaria) 
• il provvedimento dell’EDPB non è destinato al ricorrente WA, né modifica la sua situazione giuridica in quanto, a differenza della decisione finale dell’autorità irlandese, essa non può essere fatta valere direttamente nei confronti di WA e costituisce solo un atto preparatorio o intermedio di un procedimento; al contrario, il criterio della modifica della situazione giuridica del ricorrente si realizza in relazione alla decisione definitiva dell’autorità di controllo, di cui l’impresa stessa sia destinataria (v. T-709/21, p. 42).  

Di conseguenza, secondo il Tribunale, «WA non è direttamente interessata dalla decisione impugnata» e, pertanto, non è legittimata ad agire in giudizio contro di essa. 

Il 17 febbraio 2023 WA ha impugnato l’ordinanza del Tribunale dell’UE del 7/12/2022 sostenendo che il Tribunale ha interpretato erroneamente la nozione di “atto impugnabile” e di “decisione vincolante”.

Continua…