L’arrêt Whatsapp c. CEPD ou des actes du Comité européen de la protection des données susceptibles de recours

Il chiarimento della Corte di giustizia

Con la sentenza WhatsApp Ireland Ltd c. CEPD, resa il 10 febbraio 2026, la Corte di giustizia ha annullato l’ordinanza del 7 dicembre 2022 con la quale il Tribunale aveva dichiarato irricevibile un ricorso proposto dalla WhatsApp Ireland Ltd avverso la decisione adottata dal Comitato europeo per la protezione dei dati (CEPD) nel contesto del meccanismo di coerenza. Questo meccanismo, stabilito dal Regolamento UE 2016/679 per promuovere cooperazione e coerenza nell’applicazione della disciplina della protezione dei dati personali, prevede che, qualora insorgano divergenze tra le autorità nazionali di controllo circa una decisione da adottare in merito ad un trattamento di dati transfrontaliero, il CEPD sia investito della questione e adotti una decisione indirizzata all’autorità nazionale competente. La decisione è vincolante per l’autorità nazionale alla quale, tuttavia, spetta l’adozione della decisione finale che verrà poi notificata al titolare o al responsabile del trattamento.

Richiamando un orientamento giurisprudenziale per il quale, nelle procedure che conducono all’elaborazione di atti in più fasi, i provvedimenti provvisori diretti a preparare la decisione finale non costituiscono atti impugnabili a meno che il provvedimento provvisorio non produca effetti giuridici autonomi nei confronti del ricorrente¹, il Tribunale aveva rilevato come la decisione impugnata, nei confronti della WhatsApp, non fosse produttiva di alcun effetto giuridico autonomo rispetto alla decisione finale dell’autorità di controllo irlandese e pertanto la ricorrente non avesse dimostrato un interesse diretto nel ricorso². Cogliendo le sollecitazioni dell’avvocata generale Ćapeta sul punto, la Corte di giustizia ha chiarito che i passaggi analitici per stabilire se un atto costituisce un atto impugnabile e per determinare se il ricorrente sia legittimato ad impugnarlo debbano invece essere tenuti distinti.

Quanto al primo, il carattere di impugnabilità dell’atto dipende dal suo essere destinato a produrre effetti giuridici nei confronti di terzi, senza che sia necessario verificare in questo passaggio che tali effetti siano destinati ad incidere sulla situazione giuridica della parte ricorrente. L’impugnabilità va valutata «in modo obiettivo, in funzione della sostanza [dell’atto], e non in funzione della parte ricorrente»³. Inoltre, un atto è considerato impugnabile solo se il provvedimento fissa in modo definitivo la posizione dell’istituzione, dell’organo o dell’organismo dell’Unione, ad esclusione dei provvedimenti intermedi destinati a preparare tale provvedimento definitivo (ad esempio quelli che esprimono soltanto una posizione provvisoria)⁴. Nel caso di specie, anche se non opponibile nei confronti di WhatsApp, la decisione del CEPD ha effetti giuridici vincolanti nei confronti dell’autorità nazionale competente. Con essa, il CEPD esprime la sua posizione definitiva: costituisce dunque un atto impugnabile.

Quanto al secondo, la Corte di giustizia ricorda innanzitutto come «l’assenza di opponibilità diretta dell’atto impugnato nei confronti della parte ricorrente, così come la circostanza che tale atto non costituisca l’ultima fase di un procedimento composito, non ostano a che tale parte ricorrente possa essere direttamente interessata da detto atto qualora il destinatario del medesimo non disponga di alcun potere discrezionale»⁵. In particolare, si è direttamente interessati da un atto qualora (i) produca direttamente effetti sulla situazione giuridica del ricorrente, e (ii) non lasci alcun potere discrezionale ai destinatari incaricati della sua attuazione. Nel caso di specie, il contenuto dell’atto è proprio l’accertamento della violazione dell’art. 13 del Regolamento da parte di WhatsApp, la quale di conseguenza è obbligata a modificare il rapporto contrattuale con i propri utenti. Vi è quindi una modifica della situazione giuridica della ricorrente e un nesso di causalità tra questa e la decisione. Inoltre, poiché la decisione del CEPD è vincolante per l’Autorità irlandese, quest’ultima non ha un margine di discrezionalità sull’accertamento della violazione. Il fatto che l’Autorità irlandese sia l’unica interlocutrice di WhatsApp e che la sua decisione finale possa contenere elementi ulteriori rispetto a quanto deciso dal CEPD non mette in discussione questa conclusione.

La Corte di giustizia ha sancito quindi l’impugnabilità della decisione del CEPD prevista all’interno del meccanismo di coerenza e la legittimità del titolare o responsabile del trattamento in questione ad impugnare la decisione ai sensi dell’art. 263(4) TFUE. La Corte ha infine rinviato la causa al Tribunale per l’esame del merito.

Il contributo della sentenza alla questione delle procedure composite

La sentenza della Corte costituisce un chiarimento importante in relazione alla tutela giurisdizionale assicurata alle persone fisiche e giuridiche nel quadro dell’applicazione del Regolamento europeo sulla protezione dei dati e, in particolare, del meccanismo di coerenza. Questo chiarimento contribuisce indubbiamente a portare certezza giuridica in una procedura che, sia da un punto di vista teorico sia pratico, si è manifestata sin da subito come di difficile inquadramento e foriera di dubbi applicativi⁶, tanto che il legislatore europeo è recentemente intervenuto per semplificare alcuni dei suoi aspetti⁷. La sentenza avrà pertanto un impatto immediato sulle molteplici cause pendenti davanti al Tribunale proprio su questo meccanismo⁸.

Tuttavia, l’importanza della sentenza risiede anche nel suo contributo alla più ampia questione del sindacato degli atti che rappresentano la conclusione di una delle fasi in un procedimento c.d. composito. In queste procedure, si susseguono «più fasi, caratterizzate dalla partecipazione di soggetti amministrativi appartenenti a giurisdizioni diverse e da una cooperazione a livello verticale, tra istituzioni e organi dell’Unione e degli Stati membri, od orizzontale, tra varie istituzioni e organi degli Stati membri»⁹, le quali rendono spesso complesso determinare la giurisdizione competente, l’impugnabilità dei diversi atti e la legittimità ad agire dei soggetti coinvolti in un sistema giurisdizionale basato sulla netta separazione di competenze tra i giudici nazionali ed europei.  Il meccanismo di coerenza, in particolare, costituisce una procedura in dottrina definita composita “diagonale”¹⁰ o “triangolare”¹¹, poiché in questo caso vi è inizialmente una cooperazione in senso orizzontale, attraverso la proposta di decisione dell’autorità di controllo nazionale e le obiezioni delle altre autorità nazionali interessate, e successivamente in verticale, con l’intervento del Comitato europeo. A differenza della maggior parte dei casi che prevedono una “verticalizzazione” della procedura, il meccanismo di coerenza prevede un’ulteriore fase in cui la decisione finale è adottata a livello nazionale.

La giurisprudenza più recente in materia di procedure composite tende a privilegiare una tutela giurisdizionale “unitaria”¹², permettendo che, nei procedimenti “verticali”, il sindacato davanti alla Corte di giustizia comprenda anche gli atti preliminari adottati a livello nazionale quando la decisione finale spetta ad una istituzione europea¹³ e, in quelli “orizzontali”, quello davanti al giudice dello Stato la cui autorità ha preso la decisione finale comprenda anche gli atti preparatori svolti in altri Stati membri¹⁴. La sentenza in esame si discosta da questa tendenza, di fatto ammettendo un doppio binario di tutela giurisdizionale, davanti al giudice europeo per l’atto preparatorio del CEPD e davanti al giudice nazionale per l’atto finale dell’Autorità nazionale. In questo senso, può essere accostata alla più risalente sentenza Borelli che imponeva alle giurisdizioni nazionali di ammettere l’impugnabilità delle misure preparatorie nazionali quando il loro contenuto era vincolante per la decisione finale adottata dalle autorità europee¹⁵. Come nella causa in esame, il margine di discrezionalità dell’autorità che prende la decisione finale appare cruciale per individuare il “vero” decisore e per determinare la competenza giurisdizionale¹⁶. Nel complesso, l’approccio della Corte appare giustificato non soltanto da esigenze di tutela giurisdizionale effettiva, ma anche dai principi di autonomia e uniformità del diritto dell’Unione.

La soluzione adottata, tuttavia, solleva alcuni problemi applicativi che, in larga parte, trovano rimedio nelle regole procedurali del sistema. Infatti, come sottolineato nella sentenza stessa, qualora ci fossero due procedimenti pendenti sulla stessa questione (uno di annullamento di fronte al Tribunale e uno davanti al giudice nazionale), in ottemperanza al principio di leale collaborazione il giudice nazionale dovrebbe sospendere il giudizio nazionale fino alla pronuncia del Tribunale sull’annullamento della decisione del CEPD, oppure potrebbe sollevare una questione pregiudiziale sulla validità della decisione dell’autorità europea. In quest’ultimo caso, la coesistenza di un ricorso per annullamento davanti al Tribunale e di un rinvio pregiudiziale davanti alla Corte di giustizia sarebbe risolta tramite il ricorso alla sospensione prevista all’art. 54 dello Statuto della Corte di giustizia dell’Unione europea¹⁷. Tuttavia, non è chiaro quali sarebbero le conseguenze in caso di una sentenza del giudice nazionale che, non a conoscenza del ricorso per annullamento pendente, non avesse sospeso il procedimento addivenendo ad un giudizio in contraddizione con quello del Tribunale, né quale sarebbe la sorte del rinvio pregiudiziale di validità proposto dopo la scadenza dei termini per l’impugnazione dell’atto. Infatti, una conseguenza di questa sentenza è l’applicabilità agli atti del CEPD della giurisprudenza TWD, che determina l’irricevibilità del rinvio di validità proposto dal soggetto che aveva la possibilità di proporre un ricorso per annullamento e non l’ha fatto¹⁸. Al titolare o responsabile del trattamento che abbia aspettato di ricevere la decisione finale dell’Autorità nazionale (comportamento comprensibile dato che questa si pone come unica interlocutrice nei suoi confronti) e con ogni probabilità abbia lasciato quindi passare il termine di due mesi previsto dall’art. 263(6) TFUE, sarà dunque precluso di contestare la validità della decisione del CEPD.

Nonostante queste complicazioni applicative, peraltro non inedite nel contesto delle procedure composite¹⁹, è indubbio che la sentenza WhatsApp c. CEPD costituisca un importante tassello del complesso puzzle giurisprudenziale in materia di procedure composite e di integrazione amministrativa dell’ordinamento dell’Unione, nonché che apporti una significativa svolta nell’assetto della tutela giurisdizionale nel contesto del meccanismo di coerenza e nell’applicazione della disciplina della protezione transfrontaliera dei dati personali.

¹ Corte giust., 11 novembre 1981, causa C-60/81, IBM/Commissione, punti 11-12; 13 ottobre 2011, cause riunite C-463/10 P e C-475/10 P, Deutsche Post e Germania c. Commissione, punti 53-54.

² Trib., 7 dicembre 2022, causa T-709/21, WhatsApp Ireland c. Comitato europeo per la protezione dei dati, punto 62.

³ Corte giust., 10 febbraio 2026, causa C-97/23 P, WhatsApp Ireland c. Comitato europeo per la protezione dei dati, punto 68. In senso analogo, v. Corte giust., 13 febbraio 2025, causa C-21/23 P, Swissgrid c. Commissione, punto 46.

⁴ Corte giust., WhatsApp Ireland c. Comitato europeo per la protezione dei dati, cit., punto 69.

⁵ Ibidem, punto 95.

⁶ Per un’analisi esaustiva, si veda L. Mustert, Cross-border enforcement of the GDPR by independent administrative authorities, tesi di dottorato discussa presso l’Università di Lussemburgo, 2023. V. anche F. Brito Bastos, P. Pałka, Is Centralised General Data Protection Regulation Enforcement a Constitutional Necessity?, in European Constitutional Law Review, 2023, p. 487 ss.; G. Gentile, O. Lynskey, Deficient by design? The transnational enforcement of the GDPR, in International and Comparative Law Quarterly, 2022, p. 799 ss.

⁷ Regolamento (UE) 2025/2518 del Parlamento europeo e del Consiglio, del 26 novembre 2025, che stabilisce norme procedurali aggiuntive sull’applicazione del regolamento (UE) 2016/679, in GUUE, L 2518 del 12 dicembre 2025.

⁸ V. Trib., causa T-682/22, Meta Platforms Ireland c. Comitato europeo per la protezione dei dati; causa T-128/23, Meta Platforms Ireland c. Comitato europeo per la protezione dei dati; causa T-129/23, Meta Platforms Ireland c. Comitato europeo per la protezione dei dati; causa T-153/23, WhatsApp Ireland c. Comitato europeo per la protezione dei dati; causa T-325/23, Meta Platforms Ireland c. Comitato europeo per la protezione dei dati; causa T-1030/23, Tiktok Technology c. Comitato europeo per la protezione dei dati; causa T-8/24 Meta Platforms Ireland c. Comitato europeo per la protezione dei dati.

⁹ H.C.H. Hofmann, Composite decision making procedures in EU administrative law, in H. C. H. Hofmann, A.H. Türk (eds.), Legal Challenges in EU Administrative Law, Cheltenham, 2009, p. 136.

¹⁰ H.C.H. Hofmann, Multi-jurisdictional composite procedures – the backbone to the EU’s single regulatory space, University of Luxembourg Law Working Paper n. 003, 2019 disponibile sul sito: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3399042.

¹¹ M. Eliantonio, Access to justice in composite procedures for the implementation of EU law: the story so far, in P. Van Creynenbreugel, J. Wildemeersch (dirs.), Questions choisies de droit européen des affaires, Bruxelles, 2023, p. 189 ss.

¹² F. Brito Bastos, Judging Composite Decision-Making, Oxford, 2024, pp. 141-167.

¹³ Corte giust., 19 dicembre 2018, causa C-219/17, Berlusconi e Fininvest c. Banca d’Italia e IVASS, punto 44.

¹⁴ In particolare per i vizi legati all’errata applicazione del diritto UE, v. Corte giust., 16 maggio 2017, causa C‑682/15, Berloiz Investment Fund SA c. Directeur de l’administration des contributions directes, punto 56.

¹⁵ Corte giust., 3 dicembre 1992, causa C-97/91, Oleificio Borelli c. Commissione europea, punto 13.

¹⁶ V. F. Brito Bastos, Derivative Illegality in European Composite Procedures, in Common Market Law Review, 2018, p. 101 ss., pp. 114-119.

¹⁷ Corte giust., WhatsApp Ireland c. Comitato europeo per la protezione dei dati, cit., punti 107-108.

¹⁸ Corte giust., 9 marzo 1994, causa C-188/92, TWD Textilwerke Deggendorf, punto 26.

¹⁹ V. Corte giust., 3 dicembre 2019, causa C-414/18, Iccrea Banca.