SENTENZA DELLA CORTE (Prima Sezione)
12 gennaio 2023 (*)
«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articoli da 77 a 79 – Mezzi di ricorso – Esercizio parallelo – Articolazione – Autonomia procedurale – Efficacia delle norme di protezione stabilite da tale regolamento – Applicazione coerente ed omogenea di tali norme nell’insieme dell’Unione europea – Articolo 47 della Carta dei diritti fondamentali dell’Unione europea»
Nella causa C‑132/21,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dalla Fővárosi Törvényszék (Corte di Budapest-Capitale, Ungheria), con decisione del 2 marzo 2021, pervenuta in cancelleria il 3 marzo 2021, nel procedimento
BE
contro
Nemzeti Adatvédelmi és Információszabadság Hatóság,
con l’intervento di:
Budapesti Elektromos Művek Zrt.,
LA CORTE (Prima Sezione),
composta da A. Arabadjiev, presidente di sezione, L. Bay Larsen, vicepresidente, facente funzione di giudice della Prima Sezione, P.G. Xuereb, A. Kumin e I. Ziemele (relatrice), giudici,
avvocato generale: J. Richard de la Tour
cancelliere: I. Illéssy, amministratore
vista la fase scritta del procedimento e in seguito all’udienza dell’11 maggio 2022,
considerate le osservazioni presentate:
– per BE, da I. Kulcsár, ügyvéd;
– per la Nemzeti Adatvédelmi és Információszabadság Hatóság, da G. Barabás, jogtanácsos, G.J. Dudás e Á. Hargita, ügyvédek;
– per il governo ungherese, da Zs. Biró-Tóth e M.Z. Fehér, in qualità di agenti;
– per il governo ceco, da O. Serdula, M. Smolek e J. Vláčil, in qualità di agenti;
– per il governo italiano, da G. Palmieri, in qualità di agente, assistita da E. De Bonis e M.F. Severi, avvocati dello Stato;
– per il governo polacco, da B. Majczyna e J. Sawicka, in qualità di agenti;
– per la Commissione europea, da H. Kranenborg, Zs. Teleki e P.J.O. Van Nuffel, in qualità di agenti;
sentite le conclusioni dell’avvocato generale, presentate all’udienza dell’8 settembre 2022,
ha pronunciato la seguente
Sentenza
1 La presente domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 77, paragrafo 1, dell’articolo 78, paragrafo 1, e dell’articolo 79, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1).
2 Tale domanda è stata presentata nell’ambito di una controversia tra BE e la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autorità nazionale incaricata della protezione dei dati e della libertà dell’informazione, Ungheria; in prosieguo: l’«autorità di controllo») in merito al rigetto della domanda di BE volta a ottenere la comunicazione di segmenti del fonogramma di un’assemblea generale degli azionisti di una società alla quale BE aveva partecipato.
Contesto normativo
Diritto dell’Unione
3 Ai sensi dei considerando 10, 11, 141 e 143 del regolamento 2016/679:
«10 Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (...).
11 Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali (...).
(...)
141 Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell’articolo 47 della Carta qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. (...).
(...)
143 (...) ogni persona fisica o giuridica dovrebbe poter proporre un ricorso giurisdizionale effettivo dinanzi alle competenti autorità giurisdizionali nazionali contro una decisione dell’autorità di controllo che produce effetti giuridici nei confronti di detta persona. (...) Le azioni contro l’autorità di controllo dovrebbero essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’autorità di controllo è stabilita e dovrebbero essere effettuate in conformità del diritto processuale dello Stato membro in questione. Tali autorità giurisdizionali dovrebbero esercitare i loro pieni poteri giurisdizionali, ivi compreso quello di esaminare tutte le questioni di fatto e di diritto che abbiano rilevanza per la controversia dinanzi a esse pendente».
4 Gli articoli da 60 a 63 di tale regolamento stabiliscono meccanismi di cooperazione, di assistenza reciproca e di controllo della coerenza tra le autorità di controllo degli Stati membri.
5 L’articolo 77, paragrafo 1, di detto regolamento così dispone:
«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione».
6 L’articolo 78, paragrafo 1, del medesimo regolamento così recita:
«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda».
7 L’articolo 79, paragrafo 1, del regolamento 2016/679 prevede quanto segue:
«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento».
8 L’articolo 81 di tale regolamento, rubricato, «Sospensione delle azioni», è così formulato:
«1. L’autorità giurisdizionale competente di uno Stato membro che venga a conoscenza di azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento pendenti presso un’autorità giurisdizionale di un altro Stato membro, prende contatto con tale autorità giurisdizionale nell’altro Stato membro per confermare l’esistenza delle azioni.
2. Qualora azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento siano pendenti presso un’autorità giurisdizionale in un altro Stato membro, qualunque autorità giurisdizionale competente successivamente adita può sospendere le azioni.
3. Se tali azioni sono pendenti in primo grado, qualunque autorità giurisdizionale successivamente adita può parimenti dichiarare la propria incompetenza su richiesta di una delle parti a condizione che l’autorità giurisdizionale adita per prima sia competente a conoscere delle domande proposte e la sua legge consenta la riunione dei procedimenti».
Diritto ungherese
9 L’articolo 22 dell’az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (legge n. CXII del 2011 sul diritto di autodeterminazione in materia di informazione e sulla libertà di informazione), dispone quanto segue:
«Nell’esercizio dei suoi diritti, l’interessato può, conformemente alle disposizioni del capo VI:
a) chiedere che [l’autorità di controllo] avvii un’indagine sulla liceità di una misura adottata dal titolare del trattamento, qualora quest’ultimo abbia limitato l’esercizio dei diritti dell’interessato ai sensi dell’articolo 14 o abbia respinto una richiesta dell’interessato con cui quest’ultimo intendeva esercitare i suoi diritti, nonché
b) richiedere al[l’autorità di controllo] di istruire un procedimento amministrativo di protezione dei dati, qualora l’interessato ritenga che, nel corso del trattamento dei suoi dati personali, il titolare del trattamento o, se del caso, il suo rappresentante o il responsabile del trattamento che operi su mandato di quest’ultimo, abbia violato le disposizioni in materia di trattamento dei dati personali previste dalla legge o da un atto giuridico vincolante dell’Unione europea».
10 L’articolo 23 della legge n. CXII del 2011, nella versione applicabile al procedimento principale, dispone quanto segue:
«1. L’interessato può presentare un ricorso giurisdizionale contro il titolare del trattamento o il responsabile del trattamento – per le operazioni relative al trattamento rientranti nell’ambito delle attività di quest’ultimo – qualora ritenga che, nel trattare i suoi dati personali, il titolare del trattamento o, se del caso, il suo rappresentante o il responsabile del trattamento che operi su mandato di quest’ultimo, abbia violato le disposizioni in materia di trattamento dei dati personali previste dalla legge o da un atto giuridico vincolante dell’Unione europea.
(...)
4. Possono essere parti del procedimento giudiziale anche coloro i quali non hanno altrimenti capacità di stare in giudizio. L’[autorità di controllo] può intervenire nel processo a sostegno delle conclusioni dell’interessato.
5. Se il giudice accoglie la domanda, accerta l’esistenza di una violazione e ordina al titolare del trattamento o, se del caso, al responsabile del trattamento:
a) la cessazione dell’operazione di trattamento illecita,
b) il ripristino della liceità del trattamento dei dati e/o
c) di tenere un comportamento determinato con precisione per garantire l’esercizio dei diritti dell’interessato,
e, se del caso, decide contemporaneamente sulle domande di risarcimento dei danni materiali e morali».
Fatti del procedimento principale e questioni pregiudiziali
11 Il 26 aprile 2019 BE ha assistito all’assemblea generale di una società per azioni di cui è azionista e, in tale occasione, ha posto quesiti ai membri del consiglio di amministrazione di tale società nonché ad altri partecipanti a tale assemblea generale. Successivamente, BE ha chiesto a detta società, in qualità di titolare del trattamento di tali dati, la messa a disposizione del fonogramma realizzato in occasione di detta assemblea generale.
12 La società in questione ha messo a disposizione di BE soltanto i segmenti di tale fonogramma che riproducevano i suoi interventi, ad esclusione di quelli degli altri partecipanti all’assemblea generale di cui trattasi.
13 BE ha quindi chiesto all’autorità di controllo, da un lato, di dichiarare che, non avendole rilasciato il suddetto fonogramma, incluse le risposte alle sue domande, tale società ha agito in modo illegittimo e in violazione del regolamento 2016/679 e, dall’altro, di ordinare alla società suddetta di mettere a disposizione il fonogramma in questione. L’autorità di controllo ha respinto tale domanda con decisione del 29 novembre 2019.
14 BE ha proposto un ricorso contro tale decisione dell’autorità di controllo dinanzi al giudice del rinvio, ai sensi dell’articolo 78, paragrafo 1, di tale regolamento, al fine di ottenere la modifica, in via principale, o l’annullamento, in subordine, di detta decisione.
15 Parallelamente al ricorso all’autorità di controllo BE ha proposto un secondo ricorso, questa volta, ai sensi dell’articolo 79, paragrafo 1, di tale regolamento, dinanzi a un giudice civile, la Fővárosi Ítélőtábla (Corte d’appello regionale di Budapest-Capitale, Ungheria) e diretto contro la decisione del responsabile del trattamento dei dati.
16 Mentre il primo di tali ricorsi è ancora pendente dinanzi al giudice del rinvio, la Fővárosi Ítélőtábla (Corte d’appello regionale di Budapest-Capitale, Ungheria), con sentenza passata in giudicato, ha accolto il secondo ricorso in quanto il titolare del trattamento aveva violato il diritto di accesso di BE ai suoi dati personali.
17 Il giudice del rinvio afferma di dover esaminare gli stessi fatti e la stessa allegazione di violazione del regolamento 2016/679 sui quali la Fővárosi Ítélőtábla (Corte d’appello regionale di Budapest-Capitale) ha già statuito in modo definitivo. Esso chiede in che modo gli spetti articolare la valutazione, da parte dei giudici civili, della legittimità di una decisione adottata dal titolare del trattamento di dati personali con il procedimento amministrativo che ha condotto all’adozione della decisione dell’autorità di controllo di cui al punto 13 della presente sentenza, oggetto del ricorso dinanzi ad essa pendente e, in particolare, se un mezzo di ricorso sarebbe prioritario rispetto all’altro.
18 Infatti, l’esperimento parallelo dei mezzi di ricorso previsti agli articoli da 77 a 79 del regolamento 2016/679 potrebbe dar luogo all’adozione di decisioni contraddittorie in relazione a fatti identici.
19 Una situazione del genere rischierebbe di compromettere la certezza del diritto per quanto riguarda sia i privati sia le autorità di controllo.
20 Il giudice del rinvio fa presente che, tenuto conto dell’indipendenza delle autorità di controllo nonché della preponderanza delle loro competenze, definite dal regolamento 2016/679, nel sistema della protezione dei dati personali, le funzioni e i poteri di tali autorità sarebbero compromessi se queste fossero vincolate, nelle loro valutazioni, da quelle di un giudice civile preventivamente investito dei medesimi fatti, sulla base dell’articolo 79, paragrafo 1, di tale regolamento.
21 Poiché le disposizioni di detto regolamento non prevedono alcuna regola di priorità tra i mezzi di ricorso previsti agli articoli da 77 a 79 dello stesso, il giudice del rinvio ritiene che spetti alla Corte chiarire il rapporto esistente tra tali mezzi di ricorso.
22 Date tali circostanze, la Fővárosi Törvényszék (Corte di Budapest-Capitale, Ungheria) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se gli articoli 77, paragrafo 1, e 79, paragrafo 1, del regolamento [2016/679] debbano essere interpretati nel senso che il ricorso amministrativo previsto dall’articolo 77 costituisce uno strumento per l’esercizio di diritti pubblici, mentre il ricorso giurisdizionale previsto dall’articolo 79 costituisce uno strumento per l’esercizio di diritti privati. In caso di risposta affermativa, se da ciò possa dedursi che l’autorità di controllo, incaricata di esaminare i ricorsi amministrativi, abbia la competenza prioritaria a determinare l’esistenza una violazione.
2) Nel caso in cui l’interessato – che ritenga che il trattamento che lo riguarda abbia violato il regolamento [2016/679] – eserciti contemporaneamente il suo diritto di proporre reclamo ai sensi dell’articolo 77, paragrafo 1, di detto regolamento e il suo diritto ad esercitare un ricorso giurisdizionale ai sensi dell’articolo 79, paragrafo 1, del medesimo regolamento, se si debba ritenere che un’interpretazione conforme all’articolo 47 della Carta dei diritti fondamentali implichi:
a) che l’autorità di controllo e l’autorità giurisdizionale siano obbligate a verificare l’esistenza di una violazione in modo autonomo e, di conseguenza, possano anche giungere a risultati divergenti; o
b) che la decisione dell’autorità di controllo prevalga per quanto riguarda la valutazione della commissione di una violazione, tenuto conto delle facoltà di cui all’articolo 51, paragrafo 1, del regolamento [2016/679] e dei poteri conferiti dall’articolo 58, paragrafo 2, lettere b) e d), del medesimo regolamento.
3) Se l’indipendenza dell’autorità di controllo, garantita dagli articoli 51, paragrafo 1, e 52, paragrafo 1, del regolamento [2016/679], debba essere interpretata nel senso che tale autorità, quando tratta e decide in merito alla procedura di reclamo di cui all’articolo 77 [di tale regolamento], è indipendente dal disposto della sentenza definitiva dell’autorità giurisdizionale competente ai sensi dell’articolo 79 [di tale regolamento], con la conseguenza che essa può anche adottare una decisione divergente in merito alla stessa presunta violazione».
Sulle questioni pregiudiziali
Sulla ricevibilità
23 La Commissione europea esprime dubbi in ordine alla ricevibilità delle questioni pregiudiziali. Essa rileva che, come risulta dalla domanda di pronuncia pregiudiziale, alla data di quest’ultima, sia l’autorità di controllo sia il giudice civile avevano adottato le loro decisioni, cosicché tali questioni sono, in quanto tali, ipotetiche. In realtà, il giudice del rinvio si interrogherebbe sul rapporto tra le rispettive decisioni di due giudici nazionali, vale a dire il giudice amministrativo e il giudice civile. Tuttavia, tale questione non è stata formulata nella decisione di rinvio.
24 A tale riguardo, è opportuno ricordare che le questioni relative all’interpretazione del diritto dell’Unione sollevate dal giudice nazionale nel contesto di diritto e di fatto che esso individua sotto la propria responsabilità, e del quale non spetta alla Corte verificare l’esattezza, godono di una presunzione di rilevanza. Il rigetto, da parte della Corte, di una domanda proposta da un giudice nazionale è possibile soltanto qualora appaia in modo manifesto che l’interpretazione del diritto dell’Unione richiesta non ha alcun rapporto con la realtà effettiva o con l’oggetto del procedimento principale, qualora la questione sia di tipo ipotetico o, ancora, qualora la Corte non disponga degli elementi di fatto e di diritto necessari per rispondere in modo utile alle questioni che le sono sottoposte [sentenza del 10 febbraio 2022, Bezirkshauptmannschaft Hartberg-Fürstenfeld (Termine di prescrizione), C‑219/20, EU:C:2022:89, punto 20 e giurisprudenza ivi citata].
25 Inoltre, ai sensi dell’articolo 94, lettera c), del regolamento di procedura della Corte, la domanda di pronuncia pregiudiziale deve contenere l’illustrazione dei motivi che hanno indotto il giudice del rinvio a interrogarsi sull’interpretazione di determinate disposizioni del diritto dell’Unione, nonché il collegamento che esso stabilisce tra dette disposizioni e la normativa nazionale applicabile al procedimento principale.
26 Nella presente causa, è certamente pacifico che l’autorità di controllo, che era stata adita sulla base dell’articolo 77, paragrafo 1, del regolamento 2016/679, ha pronunciato la propria decisione prima che fosse adito il giudice civile che ha statuito sul ricorso proposto da BE sul fondamento dell’articolo 79, paragrafo 1, del medesimo regolamento 2016/679. Dai fatti esposti dal giudice del rinvio risulta che tale ricorso ha dato luogo ad una sentenza divenuta definitiva. Inoltre, è vero che il giudice del rinvio ha menzionato unicamente queste due disposizioni nelle questioni pregiudiziali che ha sottoposto alla Corte.
27 Tuttavia, il fatto che il giudice del rinvio abbia formulato una questione pregiudiziale facendo riferimento soltanto a talune disposizioni del diritto dell’Unione non osta a che la Corte fornisca a detto giudice tutti gli elementi di interpretazione che possano essere utili alla decisione della causa di cui è investito, indipendentemente dalla circostanza che esso vi abbia fatto riferimento o meno nella formulazione delle sue questioni. Spetta, al riguardo, alla Corte trarre dall’insieme degli elementi forniti dal giudice nazionale, e, in particolare, dalla motivazione della decisione di rinvio, gli elementi di diritto dell’Unione che richiedano un’interpretazione, tenuto conto dell’oggetto della controversia [sentenza del 10 febbraio 2022, Bezirkshauptmannschaft Hartberg-Fürstenfeld (Termine di prescrizione), C‑219/20, EU:C:2022:89, punto 34 e giurisprudenza ivi citata].
28 Orbene, da un lato, il giudice del rinvio fa presente che, in forza del diritto processuale nazionale, non è vincolato dalla sentenza definitiva emessa dal giudice civile che ha statuito sul ricorso proposto da BE sulla base dell’articolo 79, paragrafo 1, del regolamento 2016/679. Dall’altro, poiché BE non ha rinunciato al suo ricorso dinanzi al giudice del rinvio, proposto sulla base dell’articolo 78, paragrafo 1, di tale regolamento e diretto a ottenere la riforma o l’annullamento della decisione dell’autorità di controllo di cui al punto 13 della presente sentenza, spetterebbe a quest’ultimo giudice pronunciarsi sulla legittimità di tale decisione emessa prima della pronuncia della sentenza del giudice civile.
29 Pertanto, con le sue questioni, il giudice del rinvio, che è investito di un ricorso, sulla base dell’articolo 78, paragrafo 1, del regolamento 2016/679, avverso tale decisione dell’autorità di controllo adottata sulla base dell’articolo 77, paragrafo 1, di tale regolamento, intende sapere se, in forza delle disposizioni di detto regolamento, la sentenza definitiva adottata da un giudice, adito ai sensi dell’articolo 79, paragrafo 1, di detto regolamento, sia vincolante per quanto riguarda l’accertamento dell’esistenza o meno di una violazione dei diritti garantiti dal medesimo regolamento.
30 Date tali circostanze, al fine di fornire al giudice del rinvio una risposta utile, occorre considerare che, con le sue questioni, che devono essere esaminate congiuntamente, tale giudice chiede, in sostanza, se l’articolo 77, paragrafo 1, l’articolo 78, paragrafo 1, e l’articolo 79, paragrafo 1, del regolamento 2016/679, letti alla luce dell’articolo 47 della Carta dei diritti fondamentali (in prosieguo: la «Carta»), debbano essere interpretati nel senso che i mezzi di ricorso previsti, da un lato, da tale articolo 77, paragrafo 1, nonché dall’articolo 78, paragrafo 1, di tale regolamento 2016/679 e, dall’altro, da tale articolo 79, paragrafo 1, possono essere esercitati in modo concorrente e indipendente, o se uno di essi abbia carattere prioritario.
31 Le questioni pregiudiziali così riformulate sono, pertanto, ricevibili.
Nel merito
32 In via preliminare, occorre ricordare che, conformemente a una giurisprudenza costante della Corte, ai fini dell’interpretazione di una norma di diritto dell’Unione si deve tener conto non soltanto della lettera della stessa, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (sentenza del 2 dicembre 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, punto 19 e giurisprudenza ivi citata).
33 Per quanto riguarda il tenore letterale delle disposizioni del regolamento 2016/679 di cui al punto 30 della presente sentenza, occorre ricordare, innanzitutto, che l’articolo 77, paragrafo 1, di tale regolamento precisa che è «fatto salvo qualsiasi altro ricorso amministrativo o giurisdizionale» che ogni interessato ha il diritto di presentare un reclamo presso un’autorità di controllo. Inoltre, ai sensi dell’articolo 78, paragrafo 1, di detto regolamento, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante di un’autorità di controllo che la riguardi «[f]atto salvo ogni altro ricorso amministrativo o extragiudiziale». Infine, l’articolo 79, paragrafo 1, del medesimo regolamento garantisce a ciascun interessato il diritto a un ricorso giurisdizionale effettivo «[f]atto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di presentare un reclamo a un’autorità di controllo ai sensi dell’articolo 77».
34 Pertanto, tali disposizioni del regolamento 2016/679 offrono diversi mezzi di ricorso ai soggetti che lamentano una violazione di tale regolamento, fermo restando che ciascuno di tali mezzi di ricorso deve poter essere esercitato «fatto salvo» ogni altro.
35 Risulta, anzitutto, dal tenore letterale di tali disposizioni che il regolamento 2016/679 non prevede alcuna competenza prioritaria o esclusiva né alcuna regola di prevalenza della valutazione effettuata da detta autorità o dai giudici a cui essa si riferisce relativa all’esistenza di una violazione dei diritti conferiti da tale regolamento. Il ricorso previsto all’articolo 78, paragrafo 1, di tale regolamento, il cui oggetto è l’esame della legittimità della decisione di un’autorità di controllo adottata sulla base dell’articolo 77 di detto regolamento, e quello previsto all’articolo 79, paragrafo 1, del medesimo regolamento, possono quindi essere esercitati in modo concorrente e indipendente.
36 Inoltre, una siffatta constatazione è confermata dal contesto nel quale si inseriscono le disposizioni del regolamento 2016/679 di cui trattasi.
37 Infatti, mentre il legislatore dell’Unione ha espressamente disciplinato il rapporto tra i ricorsi previsti dal regolamento 2016/679 in caso siano adite simultaneamente autorità di controllo o giudici di più Stati membri riguardo a un trattamento di dati personali effettuato dallo stesso titolare del trattamento, è giocoforza constatare che ciò non avviene per quanto riguarda i mezzi di ricorso previsti agli articoli da 77 a 79 di tale regolamento.
38 Da un lato, gli articoli da 60 a 63 del regolamento 2016/679 prevedono meccanismi di cooperazione, di assistenza reciproca e di coordinamento in base ai quali le autorità di controllo si prestano assistenza reciproca, si informano e conducono operazioni congiunte al fine di garantire un’applicazione coerente ed efficace delle disposizioni di tale regolamento in tutta l’Unione.
39 Dall’altro lato, l’articolo 81, paragrafi 2 e 3, di detto regolamento prevede norme che riguardano casi in cui siano aditi più giudici di Stati membri diversi.
40 Norme del genere non sono invece previste dal regolamento 2016/679 quando un reclamo presso un’autorità di controllo e i ricorsi giurisdizionali sono proposti nell’ambito di uno stesso Stato membro in merito ad un medesimo trattamento di dati personali.
41 Inoltre, dall’articolo 78, paragrafo 1, del regolamento 2016/679, letto alla luce del considerando 143 di tale regolamento, discende che i giudici investiti di un ricorso avverso una decisione di un’autorità di controllo dovrebbero disporre della piena competenza e, in particolare, di quella a esaminare tutte le questioni di fatto e di diritto relative alla controversia ad essi sottoposta.
42 Infine, per quanto riguarda gli obiettivi perseguiti da detto regolamento, risulta, segnatamente, dal considerando 10 dello stesso che quest’ultimo mira ad assicurare un elevato livello di protezione delle persone fisiche all’interno dell’Unione con riguardo al trattamento dei dati personali. Il considerando 11 del medesimo regolamento enuncia, inoltre, che un’efficace protezione di tali dati presuppone un rafforzamento dei diritti delle persone interessate. Come rilevato dall’avvocato generale al paragrafo 55 delle sue conclusioni, la scelta operata dal legislatore dell’Unione di consentire agli interessati di esperire parallelamente e in modo indipendente i mezzi di ricorso previsti, da un lato, dall’articolo 77, paragrafo 1 e dall’articolo 78, paragrafo 1, del regolamento 2016/679 e, dall’altro, dall’articolo 79, paragrafo 1, di tale regolamento rientra nell’obiettivo di detto regolamento.
43 Infatti, il regolamento 2016/679 impone, segnatamente, alle autorità competenti degli Stati membri il compito di assicurare un livello elevato di tutela dei diritti garantiti dall’articolo 16 TFUE e dall’articolo 8 della Carta (v., in tal senso, sentenza del 15 giugno 2021, Facebook Ireland e a., C‑645/19, EU:C:2021:483, punto 45).
44 La messa a disposizione di diversi mezzi di ricorso rafforza, altresì, l’obiettivo enunciato al considerando 141 del regolamento 2016/679 di garantire a qualsiasi persona interessata che ritenga che i diritti di cui gode a norma di tale regolamento siano violati di disporre del diritto a un ricorso giurisdizionale effettivo conformemente all’articolo 47 della Carta.
45 In assenza di una disciplina dell’Unione in materia, spetta a ciascuno Stato membro, in forza del principio di autonomia processuale degli Stati membri, stabilire le modalità delle procedure amministrative e quelle relative alla procedura giurisdizionale intese a garantire la tutela dei diritti spettanti agli amministrati in forza del diritto dell’Unione.
46 Pertanto, è sulla base delle disposizioni procedurali nazionali che spetta al giudice del rinvio determinare come i mezzi di ricorso previsti dal regolamento 2016/679 debbano essere attuati in un caso come quello di cui al procedimento principale.
47 Ciò premesso, le modalità di attuazione di detti mezzi di ricorso concorrenti e indipendenti non dovrebbero mettere in discussione l’effetto utile e la tutela effettiva dei diritti garantiti da tale regolamento.
48 Infatti, tali modalità non devono essere meno favorevoli di quelle che riguardano ricorsi simili previsti per la protezione dei diritti che derivano dall’ordine giuridico interno (principio di equivalenza), né essere strutturate in modo da rendere in pratica impossibile o eccessivamente difficile l’esercizio dei diritti conferiti dall’ordinamento giuridico dell’Unione (principio di effettività) (v., in tal senso, sentenza del 14 luglio 2022, EPIC Financial Consulting, C‑274/21 e C‑275/21, EU:C:2022:565, punto 73 e giurisprudenza ivi citata).
49 Orbene, spetta ai giudici degli Stati membri, in forza del principio di leale cooperazione enunciato all’articolo 4, paragrafo 3, TUE, garantire la tutela giurisdizionale dei diritti spettanti ai singoli in forza del diritto dell’Unione, dato che l’articolo 19, paragrafo 1, TUE impone, peraltro, agli Stati membri di stabilire i rimedi giurisdizionali necessari per assicurare una tutela giurisdizionale effettiva nei settori disciplinati dal diritto dell’Unione (sentenza del 27 settembre 2017, Puškár, C‑73/16, EU:C:2017:725, punto 57).
50 In particolare, nel definire le modalità procedurali dei ricorsi giurisdizionali destinati ad assicurare la salvaguardia dei diritti conferiti dal regolamento 2016/679, gli Stati membri devono garantire il rispetto del diritto ad un ricorso effettivo e a un giudice imparziale, sancito dall’articolo 47 della Carta, che costituisce una riaffermazione del principio della tutela giurisdizionale effettiva (v., per analogia, sentenza del 27 settembre 2017, Puškár, C‑73/16, EU:C:2017:725, punto 59).
51 Pertanto, gli Stati membri devono assicurarsi che le modalità concrete di esperimento dei mezzi di ricorso di cui all’articolo 77, paragrafo 1, all’articolo 78, paragrafo 1, e all’articolo 79, paragrafo 1, del regolamento 2016/679 non pregiudichino in modo sproporzionato il diritto a un ricorso effettivo dinanzi a un giudice, sancito dall’articolo 47 della Carta (v., in tal senso, sentenza del 27 settembre 2017, Puškár, C‑73/16, EU:C:2017:725, punto 76).
52 Nel caso di specie, dalla decisione di rinvio risulta che il sistema di mezzi di ricorso previsto dal diritto ungherese è concepito in modo tale che i ricorsi previsti all’articolo 78, paragrafo 1, e all’articolo 79, paragrafo 1, del regolamento 2016/679 sono indipendenti. Infatti, il giudice del rinvio precisa che, in forza di tale diritto, esso non è vincolato alla decisione emessa dal giudice investito di un ricorso proposto sulla base di tale articolo 79, paragrafo 1, benché i fatti di cui tali giudici sono aditi siano i medesimi.
53 Pertanto, non si può escludere che le decisioni emesse da questi due giudici si contraddicano, una che accerta una violazione delle disposizioni del regolamento 2016/679 e l’altra l’assenza di una siffatta violazione.
54 In tale ipotesi, da un lato, l’esistenza di due decisioni contraddittorie metterebbe in discussione l’obiettivo di garantire un’applicazione coerente ed omogenea delle norme in materia di tutela delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione, enunciato al considerando 10 di tale regolamento.
55 Infatti, la protezione concessa in forza di una decisione emessa a seguito di un ricorso proposto sulla base dell’articolo 79, paragrafo 1, di detto regolamento, che accerta una violazione delle disposizioni di quest’ultimo, non sarebbe coerente con una seconda decisione giurisdizionale risultante da un ricorso proposto sulla base dell’articolo 78, paragrafo 1, del medesimo regolamento, avente un esito opposto.
56 Dall’altro lato, ne deriverebbe un indebolimento della protezione delle persone fisiche con riguardo al trattamento di dati personali che li riguardano, dal momento che una tale incoerenza creerebbe una situazione di incertezza giuridica.
57 Alla luce di tutte le considerazioni che precedono, occorre rispondere alle questioni poste dichiarando che l’articolo 77, paragrafo 1, l’articolo 78, paragrafo 1, e l’articolo 79, paragrafo 1, del regolamento 2016/679, letti alla luce dell’articolo 47 della Carta, devono essere interpretati nel senso che essi consentono un esercizio concorrente e indipendente dei mezzi di ricorso previsti, da un lato, da tale articolo 77, paragrafo 1, e da tale articolo 78, paragrafo 1, nonché, dall’altro, da tale articolo 79, paragrafo 1. Spetta agli Stati membri, in linea con il principio dell’autonomia procedurale, prevedere le modalità di articolazione di tali mezzi di ricorso affinché siano garantiti l’efficacia della protezione dei diritti garantiti da tale regolamento, l’applicazione coerente ed omogenea delle disposizioni dello stesso nonché il diritto a un ricorso effettivo dinanzi a un giudice, come sancito dall’articolo 47 della Carta.
Sulle spese
58 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
L’articolo 77, paragrafo 1, l’articolo 78, paragrafo 1, e l’articolo 79, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), letti alla luce dell’articolo 47 della Carta dei diritti fondamentali dell’Unione europea,
devono essere interpretati nel senso che:
essi consentono un esercizio concorrente e indipendente dei mezzi di ricorso previsti, da un lato, da tale articolo 77, paragrafo 1, e da tale articolo 78, paragrafo 1, nonché, dall’altro, da tale articolo 79, paragrafo 1. Spetta agli Stati membri, in linea con il principio dell’autonomia procedurale, prevedere le modalità di articolazione di tali mezzi di ricorso affinché siano garantiti l’efficacia della protezione dei diritti garantiti da tale regolamento, l’applicazione coerente ed omogenea delle disposizioni dello stesso nonché il diritto a un ricorso effettivo dinanzi a un giudice, come sancito dall’articolo 47 della Carta dei diritti fondamentali.
Firme