CGUE: le decisioni vincolanti dell’EDPB sono impugnabili (C‑97/23)
Con la sentenza del 10 febbraio 2026 (C-97/23), la Corte di giustizia dell’Unione europea ha stabilito che le decisioni vincolanti del Comitato europeo per la protezione dei dati (EDPB), adottate nella procedura di composizione delle controversie transfrontaliere ex art. 65 del Regolamento UE 2016/679 (GDPR), possono essere impugnate.
Il caso trae origine nel dicembre 2018, quando l’autorità irlandese ha indagato su WhatsApp a seguito di reclami relativi al trattamento dei dati personali, agendo come autorità capofila poiché la sede principale della società si trova in Irlanda.
Conclusa l’indagine, l’autorità irlandese ha sottoposto un progetto di decisione alle altre autorità coinvolte. Non essendo stato possibile raggiungere un consenso, la questione è passata all’EDPB ai sensi dell’art. 65 GDPR. Il 28 luglio 2021, l’EDPB ha adottato una decisione vincolante, sulla base della quale l’autorità irlandese ha adottato la decisione finale e ha inflitto a WhatsApp sanzioni per € 225 milioni.
Con atto introduttivo del 1° novembre 2021, WhatsApp ha proposto ricorso ex art. 263 TFUE, impugnando direttamente la decisione vincolante dell’EDPB su cui si fondava la sanzione. Il Tribunale dell’Unione europea ha dichiarato il ricorso irricevibile, ritenendo tale decisione un atto preparatorio destinato a concludersi con la decisione finale dell’autorità nazionale.
Di diverso avviso è stata la Corte che, esaminando l’impugnazione dell’ordinanza, ha chiarito i criteri di impugnabilità degli atti ai sensi dell’art. 263 TFUE. Secondo la Corte, è impugnabile ogni atto che esprima in modo definitivo la posizione di un organo dell’Unione e produca effetti giuridici vincolanti nei confronti di terzi. Nel caso di specie, la decisione dell’EDPB vincolava l’autorità capofila e le altre autorità interessate, incidendo sul contenuto della decisione finale nazionale; per tale ragione è stata ritenuta idonea a incidere sulla situazione giuridica di WhatsApp e quindi impugnabile (cfr. parr. 69-71 della sentenza).
La Corte ha accolto l’impugnazione e ha rinviato la causa al Tribunale per l’esame nel merito.
La pronuncia amplia la tutela delle imprese, che possono ora impugnare non solo le decisioni finali delle autorità nazionali, ma anche le determinazioni vincolanti dell’EDPB che ne costituiscono il fondamento.