La sentenza pronunciata dalla Corte di giustizia dell’Unione europea (“CGUE”) il 10 febbraio 2026 nella causa WhatsApp Ireland contro European Data Protection Board (C-97/23 P) rappresenta uno sviluppo significativo nel contenzioso europeo in materia di protezione dei dati. In particolare, la CGUE ha affrontato una questione sistemica relativa all’effettività e all’impugnabilità delle decisioni vincolanti adottate dal Comitato europeo per la protezione dei dati (“EDPB”) nell’ambito del meccanismo di cooperazione previsto dal GDPR. Riconoscendo che alcune decisioni dell’EDPB costituiscono atti impugnabili ai sensi dell’articolo 263 TFUE, la Corte ha rafforzato le garanzie procedurali per le imprese coinvolte in procedimenti transnazionali ai sensi del GDPR.
Il caso
La controversia trae origine da reclami presentati alla Data Protection Commission irlandese riguardanti la conformità di WhatsApp agli obblighi di trasparenza e informazione previsti dal GDPR, che hanno portato l’autorità irlandese, nel dicembre 2018, ad avviare un’indagine d’ufficio sulle pratiche di trattamento dei dati della società.
A seguito dell’indagine e in conformità con il meccanismo di cooperazione del GDPR, l’autorità di controllo irlandese ha trasmesso, nel dicembre 2020, un progetto di decisione alle altre autorità di controllo interessate. Sono emersi disaccordi su aspetti fondamentali del progetto, tra cui l’interpretazione di alcune disposizioni del GDPR e le misure correttive da adottare. Non essendo stato possibile raggiungere un consenso, la questione è stata deferita all’EDPB ai sensi dell’articolo 65 GDPR.
L’EDPB ha quindi adottato la Decisione vincolante 1/2021, risolvendo la controversia tra le autorità nazionali. In tale decisione, l’EDPB ha accertato violazioni di alcune disposizioni del GDPR e ha richiesto all’autorità irlandese di modificare le misure correttive previste, inclusa l’entità delle sanzioni amministrative da erogare. Sulla base di tale determinazione vincolante, l’autorità irlandese ha adottato la decisione finale, imponendo a WhatsApp sanzioni per un totale di 225 milioni di euro.
WhatsApp ha quindi cercato di impugnare direttamente la decisione dell’EDPB dinanzi ai giudici dell’Unione europea, proponendo un ricorso di annullamento davanti al Tribunale dell’UE.
Le decisioni giudiziarie
Con ordinanza del 7 dicembre 2022, il Tribunale ha dichiarato il ricorso irricevibile, ritenendo che la decisione vincolante dell’EDPB non costituisse un atto impugnabile ai sensi dell’articolo 263 TFUE, in quanto espressivo di una fase intermedia del procedimento amministrativo. Secondo il Tribunale, solo la decisione finale dell’autorità di controllo irlandese risultava produttiva di effetti giuridici nei confronti di WhatsApp, che avrebbe potuto quindi ottenere tutela giurisdizionale dinanzi ai giudici nazionali impugnando tale decisione.
In sede di impugnazione, la CGUE ha adottato un approccio nettamente diverso, ponendo particolare enfasi sugli effetti giuridici e sulla natura vincolante delle decisioni dell’EDPB adottate nell’ambito della risoluzione delle controversie, e riconoscendo che tali decisioni costituiscono atti impugnabili dinanzi ai giudici dell’Unione.
Il ragionamento della Corte si fonda sulla natura vincolante delle decisioni dell’EDPB nei confronti delle autorità di controllo nazionali. Tali decisioni risolvono definitivamente le questioni sottoposte e vincolano le autorità nazionali senza lasciare loro alcun margine di discrezionalità in merito all’accertamento delle violazioni o alle misure correttive da adottare.
Vincolando le autorità nazionali, le decisioni dell’EDPB finiscono dunque per incidere direttamente sulle imprese interessate, poiché – sebbene la misura di enforcement finale nei confronti dell’impresa sia formalmente adottata dall’autorità nazionale – il suo fondamento legale è determinato dall’interpretazione e dalle conclusioni dell’EDPB. Di conseguenza, le decisioni dell’EDPB non costituiscono un atto intermedio, ma un atto pienamente impugnabile.
La CGUE ha pertanto annullato l’ordinanza del Tribunale e rinviato la causa a quest’ultimo per l’esame nel merito, comprese le conclusioni relative alle presunte violazioni del GDPR.
Conclusioni
La sentenza fornisce un chiarimento importante su una questione ampiamente dibattuta sin dall’entrata in vigore del GDPR ed è destinata ad avere rilevanti implicazioni pratiche significative. Confermando l’impugnabilità delle decisioni vincolanti dell’EDPB, la CGUE rafforza la tutela giurisdizionale delle imprese soggette a procedimenti di enforcement transfrontalieri, garantendo che le aziende possano contestare non solo le decisioni nazionali delle autorità di protezione dei dati, ma anche le determinazioni dell’EDPB che ne costituiscono il fondamento giuridico.
La futura sentenza del Tribunale nel merito determinerà le implicazioni sostanziali del caso. In ogni caso, la CGUE ha già fornito un chiarimento procedurale fondamentale: le decisioni vincolanti dell’EDPB non sono semplici misure interne di coordinamento, ma atti idonei a incidere direttamente sulle imprese e come tali pienamente impugnabili.
