L’impugnabilità ex art. 263 TFUE delle decisioni dell’European Data Protection Board di fronte alla CGUE: l’impatto della sentenza WhatsApp c. EDPB

Nel panorama del Diritto dell’Unione Europea, la linea di demarcazione tra un semplice atto endoprocedimentale e un provvedimento vincolante è spesso sottile, ma determina le sorti di ogni strategia difensiva. Comprendere i presupposti dell'Articolo 263 TFUE è una necessità pratica per le imprese che operano nel mercato unico, specialmente nell'era del GDPR. ⚖️

Recentemente, la Corte di Giustizia UE è intervenuta con una pronuncia chiarificatrice nel celebre caso WhatsApp, fissando criteri oggettivi per l'impugnabilità degli atti emessi dagli organismi dell'Unione. 🏛️ In questo approfondimento si analizza come la natura di un atto, la sua sostanza e il concetto di interesse diretto definiscano il perimetro della tutela giurisdizionale, offrendo alle società gli strumenti necessari per contestare decisioni che incidono direttamente sulla loro sfera giuridica e contrattuale. 📱🔍

📖 I FATTI ALL’ORIGINE DEL CASO
A seguito dell’entrata in vigore del GDPR (Regolamento Generale sulla Protezione dei Dati), l’autorità di controllo irlandese - la Data Protection Commission - aveva deciso di avviare una serie di indagini per verificare la conformità agli obblighi di trasparenza e di informazione della Whatsapp a causa di numerosi reclami pervenuti da utenti e non utenti dell’app.

All’esito di un lungo procedimento che aveva coinvolto anche altre autorità di controllo nazionali, non era stato trovato un accordo relativamente ad un progetto di decisione da adottare nei confronti della Whatsapp, dunque, la questione era stata rimessa all’European Data Protection Board (EDPB) affinché risolvesse la controversia tra le autorità di controllo interessate, accertando definitivamente eventuali violazioni del GDPR da parte della Whatsapp.

L'EDPB emanava una decisione vincolante per tutte le autorità di controllo interessate, ovvero la Decisione 1/2021, nella quale accertava, tra l'altro, la violazione di alcune disposizioni del GDPR. Sulla base di tale decisione vincolante, l’autorità di controllo irlandese adottava, il 20 agosto 2021, una decisione finale. In tale decisione, l’autorità constatava la violazione del GDPR da parte della WhatsApp e, contestualmente, le infliggeva sanzioni per un importo complessivo pari a € 225 milioni.

La WhatsApp ha, quindi, deciso di impugnare la decisione dell'EDPB dinanzi al Tribunale dell’UE ai sensi dell’articolo 263 TFUE e la decisione dell’autorità di controllo irlandese di fronte ai giudici nazionali.

Per quanto riguarda la decisione dell’EDPB, impugnata di fronte al Tribunale dell’UE, con l’ordinanza del 7 dicembre 2022 il ricorso veniva respinto in quanto irricevibile per due motivi: il primo riguardante la qualità dell’atto impugnato e il secondo riferito alla mancanza di incidenza diretta sulla ricorrente.

Secondo il Tribunale, la decisione dell’EDPB non era un atto impugnabile in quanto costituiva solo un atto intermedio e preparatorio indirizzato all’autorità di controllo irlandese e, dunque, non suscettibile di rientrare tra gli atti impugnabili in quanto non produttivo di effetti giuridici propri nei confronti della ricorrente. Pertanto, la WhatsApp avrebbe potuto impugnare solo la decisione finale di dell'autorità di controllo irlandese dinanzi a un giudice nazionale.

Inoltre, l’atto in questione non riguardava direttamente la Whatsapp poiché la decisione impugnata non era in grado, di per sé, di produrre degli obblighi nei confronti della ricorrente in assenza di ulteriori atti procedurali finalizzati alla sua attuazione. La decisione, infatti, era indirizzata all’autorità di controllo irlandese la quale, tuttavia, aveva un certo margine di discrezionalità in relazione alla decisione finale da adottare.

WhatsApp ha quindi impugnato l'ordinanza del Tribunale presentando un ricorso dinanzi alla Corte di Giustizia che ha statuito sul caso con la sentenza del 10 febbraio 2026 WhatsApp Ireland Ltd contro Comitato europeo per la protezione dei dati.

📑 L’ART. 263, PAR. 1, TFUE: LA NOZIONE DI ATTO IMPUGNABILE

Nell'ambito del contenzioso dinanzi alla Corte di Giustizia UE, la qualificazione di un provvedimento come "atto impugnabile" è un presupposto fondamentale per l'ammissibilità del ricorso. Secondo quanto previsto dall’art. 263, par. 1, del TFUE la legittimità degli atti di organi e organismi dell'Unione è soggetta a controllo giurisdizionale qualora tali atti siano destinati a produrre effetti giuridici verso terzi. La condizione di impugnabilità consistente nell’idoneità dell’atto a produrre effetti giuridici obbligatori implica, inoltre, che siano impugnabili solo gli atti definitivi e non anche quelli preparatori o procedimentali.

Nel caso della Whatsapp, il Tribunale dell’UE aveva ritenuto che la decisione assunta dall’EDPB non rientrasse nella nozione di atto impugnabile.

🖋️La produzione di effetti giuridici verso terzi

La Corte di giustizia dell’UE, con questa recente sentenza, chiarisce che l'impugnabilità di un atto deve essere valutata secondo criteri oggettivi, tenendo conto della sostanza dell’atto e non della parte ricorrente. Secondo quanto evidenziato dalla Corte, il criterio di valutazione relativo all’identificazione di un atto impugnabile va distinto rispetto alla capacità di quest’ultimo di produrre effetti giuridici nei confronti dei ricorrenti.

• Effetti giuridici verso terzi: L’art. 263, par. 1, del TFUE precisa infatti che l’atto impugnato debba essere suscettibile di produrre effetti giuridici verso terzi, ciò però non implica che tali “terzi” debbano necessariamente coincidere con i ricorrenti. È considerato "terzo" qualsiasi persona fisica o giuridica distinta dall'autorità che ha emanato l'atto.

• Distinzione tra Impugnabilità e Legittimazione ad agire: La natura dell'atto (se sia impugnabile o meno) è distinta dalla verifica dell'interesse ad agire del ricorrente. Quest'ultima attiene ai requisiti di ricevibilità previsti dall'Art. 263, comma 4, TFUE, che disciplina la situazione giuridica specifica della parte che presenta il ricorso.

Ne consegue che non è rilevante accertare se la decisione assunta dall’ EDPB produca effetti giuridici nello specifico riguardo della Whatsapp al fine di valutare se l’atto in questione rientri tra quelli impugnabili.

🖋️La decisione dell’ EDPB: una nuova interpretazione di atto definitivo

Con questa sentenza, inoltre, la Corte di giustizia si pronuncia, per la prima volta, sui mezzi di ricorso a disposizione di un’impresa nei confronti di una decisione adottata dal Comitato europeo per la protezione dei dati in forza del GDPR.

I giudici hanno smentito quanto precedentemente affermato nell’ordinanza del Tribunale relativamente alla natura procedimentale dell’atto impugnato. Secondo quanto riportato nella sentenza, sebbene la decisione impugnata fosse un atto emanato nell’ambito di un processo decisionale che comporta più fasi procedurali essa, nondimeno, cristallizza in modo definitivo la posizione del Comitato europeo per la protezione dei dati.

Posto che, ai fini dell’impugnabilità di un atto ai sensi dell’art. 263, par. 1, del TFUE in presenza di atti la cui elaborazione sia effettuata in più fasi procedurali, costituisce, in linea di principio, un atto impugnabile solo il provvedimento che fissa in modo definitivo la posizione dell’istituzione, dell’organo o dell’organismo dell’Unione competente, è indubbio che la decisione del Comitato rientri in tale nozione. La decisione impugnata, come evidente, costituisce un atto promanante da una istituzione dell’Unione, che fissa definitivamente la sua posizione e che produce effetti giuridici nei confronti di terzi (in questo caso specifico, nei riguardi dell’autorità di controllo capofila – la Data Protection Commission - che deve adottare la sua decisione finale sulla base di tale decisione vincolante, e di tutte le autorità di controllo interessate, che ne sono destinatarie e che sono terzi rispetto al Comitato).

📑 L’ ART. 263, PAR. 4, TFUE: L’ESISTENZA DI UN INTERESSE DIRETTO

Nel diritto dell’Unione Europea, la possibilità per una persona fisica o giuridica di impugnare una decisione dipende dal soddisfacimento del criterio dell'interesse diretto. La giurisprudenza della Corte di Giustizia (CGUE) definisce i contorni di questa condizione attraverso due criteri cumulativi fondamentali, essenziali per l'ammissibilità di qualsiasi ricorso per annullamento.

Perché un ricorso sia ammissibile, il provvedimento dell'Unione deve rispondere a due requisiti:

• Effetto Diretto sulla Situazione Giuridica: L'atto deve modificare in modo qualificato la posizione legale del ricorrente.

• Assenza di Discrezionalità nell'Esecuzione: I destinatari incaricati di applicare l'atto (come le autorità nazionali) non devono avere margini di scelta; l'applicazione deve essere automatica e derivare esclusivamente dalla normativa UE

 Il tribunale, nell’ordinanza, aveva negato che la decisione impugnata producesse effetti diretti nei confronti della Whatsapp, stante un margine di discrezionalità dell’autorità di controllo capofila – la Data Protection Commission – in relazione alla decisione finale da adottare e stante la non opponibilità di quest’ultima nei confronti della ricorrente.

🧩 La Corte ha chiarito che se una decisione del Comitato accerta la violazione del GDPR da parte di una società (come nel caso WhatsApp), tale atto incide direttamente sulla sua sfera giuridica. L'impatto non è solo formale: l'obbligo di modificare i rapporti contrattuali con gli utenti o i termini di servizio configura un nesso diretto tra la decisione UE e la situazione del ricorrente, rendendo l'atto impugnabile.

🎯 Per quanto riguarda la seconda condizione, ovvero l’esistenza di un margine di discrezionalità, la Corte ricorda che la decisione controversa è vincolante per l’autorità di controllo capofila e per le autorità di controllo interessate, le quali non possono discostarsi dalla posizione adottata dal Comitato in tale decisione. Infatti, la decisione assunta dal Comitato per la protezione dei dati vincola incondizionatamente le autorità di controllo all’accertamento da esso svolto e alle violazioni del GDPR da esso rilevate. Tali autorità non hanno la possibilità di modificare il risultato delle valutazioni effettuate, per quanto riguarda tali questioni, dal Comitato.

Perché l'errore del Tribunale UE è un precedente fondamentale ?

La Corte di Giustizia ha recentemente sanzionato l'errore del Tribunale UE, che aveva confuso i requisiti di impugnabilità con le condizioni di accesso individuale alla giustizia. Questa sentenza conferma che anche se un atto non rappresenta l'ultima fase formale di una procedura, esso è pienamente impugnabile se definisce autoritativamente aspetti sostanziali della controversia.

🛡️💡Se necessiti di rappresentanza legale dinanzi alla CGUE o di una consulenza strategica sulla legittimità degli atti dell'Unione, il nostro team offre assistenza specializzata, supportando persone fisiche e giuridiche nella difesa dei propri diritti dinanzi alle istituzioni europee.