1

Con la sua impugnazione, la WhatsApp Ireland Ltd., ricorrente, chiede l’annullamento dell’ordinanza del Tribunale dell’Unione europea del 7 dicembre 2022, WhatsApp Ireland/Comitato europeo per la protezione dei dati (T‑709/21, EU:T:2022:783), con cui esso ha respinto il suo ricorso diretto all’annullamento della decisione 1/2021 del Comitato europeo per la protezione dei dati, del 28 luglio 2021, adottata sulla base dell’articolo 5 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»), in seguito ad un’indagine condotta dalla Data Protection Commission (Autorità di vigilanza in materia di protezione dei dati delle persone fisiche, Irlanda), in forza dell’articolo 56 di tale regolamento riguardo al trattamento transfrontaliero della WhatsApp Ireland nell’ambito della fornitura dei suoi servizi nell’Unione europea.

2

Con atto depositato nella cancelleria della Corte il 15 maggio 2023, la Computer & Communications Industry Association (in prosieguo: la «CCIA»), associazione internazionale che riunisce aziende operanti nel settore delle tecnologie dell’informazione e delle comunicazioni, ha chiesto, sul fondamento dell’articolo 40, secondo comma, dello Statuto della Corte di giustizia dell’Unione europea e dell’articolo 130 del regolamento di procedura della Corte, applicabile al procedimento di impugnazione in forza dell’articolo 190, paragrafo 1, di tale regolamento, di essere ammessa all’intervento nel presente procedimento a sostegno delle conclusioni della WhatsApp Ireland.

3

A sostegno della sua domanda, la CCIA ricorda le condizioni stabilite dalla giurisprudenza della Corte e del Tribunale, in particolare, con l’ordinanza del presidente della Corte del 10 marzo 2023, Illumina/Commissione (C‑611/22 P, EU:C:2023:205, punto 10) e con l’ordinanza del 23 settembre 2019, Google e Alphabet/Commissione (T‑604/18, EU:T:2019:743, punto 51), riguardanti il diritto di intervento delle associazioni di categoria, secondo cui un’associazione può essere ammessa a intervenire in una causa se, in primo luogo, essa è rappresentativa di un numero significativo di aziende operanti nel settore interessato, se, in secondo luogo, tra i suoi obiettivi rientra quello della tutela degli interessi dei suoi membri, se, in terzo luogo, la causa può sollevare questioni di principio che si ripercuotono sul funzionamento del settore considerato e se, pertanto, in quarto luogo, l’emananda sentenza può incidere in misura considerevole sugli interessi dei suoi membri.

4

A tal riguardo, la CCIA osserva, con riferimento alla prima e alla seconda condizione stabilita da tale giurisprudenza, che le decisioni del Comitato europeo per la protezione dei dati, adottate sul fondamento dell’articolo 65, paragrafo 1, lettera a) del RGPD, possono essere emesse soltanto in casi riguardanti il trattamento di dati personali che presentano carattere transfrontaliero, in quanto tale trattamento è tipicamente effettuato da società tecnologiche di primo piano, un vasto numero delle quali aderirebbe alla CCIA. Inoltre, sarebbe già stato riconosciuto dai giudici dell’Unione che lo scopo di tale associazione include la tutela degli interessi dei suoi membri.

5

Riguardo alla terza condizione stabilita da tale giurisprudenza, la CCIA ricorda che la presente causa solleva la questione se una società colpita da una decisione del Comitato europeo per la protezione dei dati, adottata sul fondamento dell’articolo 65, paragrafo 1, lettera a) del RGPD, disponga del diritto di contestare tale decisione direttamente dinanzi ai giudici dell’Unione. Orbene, le decisioni del Comitato europeo per la protezione dei dati sarebbero vincolanti nei confronti dell’autorità di controllo capofila ai sensi di tale disposizione, cosicché quest’ultima potrebbe essere tenuta a concludere che un determinato comportamento della società interessata costituisca una violazione del RGPD ed essere tenuta ad aumentare l’importo dell’ammenda da applicare, ammenda che ha carattere di sanzione penale, ai sensi dell’articolo 6 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950.

6

Il fatto di negare alla società interessata il diritto di proporre un ricorso dinanzi al giudice dell’Unione, come avrebbe fatto il Tribunale nell’ordinanza del 7 dicembre 2022, WhatsApp Ireland/Comitato europeo per la protezione dei dati (T‑709/21, EU:T:2022:783), avrebbe l’effetto di privare tale società del suo diritto ad un controllo giurisdizionale effettivo, come garantito da detto articolo 6 e dall’articolo 47 della Carta dei diritti fondamentali dell’Unione europea. Tale decisione obbligherebbe tale società a proporre ricorso dinanzi ai giudici nazionali, i quali disporrebbero non del potere di annullare un atto dell’Unione, bensì tutt’al più della possibilità di adire la Corte in via pregiudiziale, in caso di dubbi sull’interpretazione delle norme del diritto dell’Unione. Orbene, il procedimento pregiudiziale non può essere sostituito ad un ricorso di annullamento, in quanto la Corte non avrebbe, nell’ambito di tale procedimento, una competenza completa riguardo a tutte le questioni di fatto e di diritto, mentre le decisioni del Comitato europeo per la protezione dei dati solleverebbero questioni in fatto complesse. In tal contesto, la presente causa solleverebbe questioni importanti per la CCIA e per i suoi membri.

7

Quanto alla quarta condizione stabilita dalla giurisprudenza citata al punto 3 della presente ordinanza, la CCIA asserisce che l’esito del presente procedimento è idoneo a incidere sul funzionamento del settore delle tecnologie dell’informazione e della comunicazione, e, in particolare, a coinvolgere i suoi membri, in quanto i servizi e i prodotti che essi offrono implicano, per loro natura, il trattamento transfrontaliero dei dati personali. Pertanto, tale settore sarebbe specificamente interessato dal procedimento di cui all’articolo 65, paragrafo 1, lettera a), del RGPD e, quindi, dalle decisioni del Comitato europeo per la protezione dei dati.

8

A seguito della notifica alle parti effettuata dal cancelliere della Corte, ai sensi dell’articolo 131, paragrafo 1, del regolamento di procedura, applicabile al procedimento di impugnazione in forza dell’articolo 190, paragrafo 1, del medesimo regolamento, della domanda di intervento proposta dalla CCIA, il Comitato europeo per la protezione dei dati ha presentato osservazioni su tale domanda entro il termine impartito, concludendo per il suo rigetto.

9

Inoltre, con lettere depositate nella cancelleria della Corte il 30 maggio e il 1o giugno 2023, la WhatsApp Ireland e il Comitato europeo per la protezione dei dati hanno chiesto, rispettivamente, sulla base dell’articolo 131 del regolamento di procedura, che taluni passi degli allegati del ricorso d’impugnazione e del controricorso siano sottoposti a un trattamento riservato nei confronti della CCIA.

10

In forza dell’articolo 40, secondo e terzo comma, dello Statuto della Corte di giustizia dell’Unione europea, ogni persona che possa dimostrare di avere un interesse alla soluzione di una controversia sottoposta alla Corte, diversa dalle cause fra Stati membri, fra istituzioni dell’Unione o fra Stati membri da una parte e istituzioni dell’Unione dall’altra, può intervenire in detta controversia.

11

Secondo una giurisprudenza costante della Corte, la nozione di «interesse alla soluzione della controversia», ai sensi di tale disposizione, deve essere definita con riferimento all’oggetto della controversia ed essere intesa come un interesse diretto e attuale all’esito riservato alle conclusioni stesse, e non come un interesse rispetto ai motivi o agli argomenti dedotti. Infatti, i termini «soluzione della controversia» rinviano alla decisione finale richiesta, quale può risultare dal dispositivo dell’emananda sentenza od ordinanza (ordinanza del presidente della Corte del 1o settembre 2022, Google e Alphabet/Commissione, C‑48/22 P, EU:C:2022:667, punto 6 e giurisprudenza ivi citata).

12

A tal proposito, occorre, in particolare, verificare se il soggetto che ha proposto la domanda d’intervento sia direttamente colpito dall’atto impugnato e se il suo interesse alla soluzione della controversia sia certo. Orbene, in linea di principio, un interesse alla soluzione della controversia può ritenersi sufficientemente diretto soltanto nei limiti in cui tale soluzione sia idonea a modificare la posizione giuridica del soggetto che ha chiesto di intervenire (ordinanza del presidente della Corte del 1o settembre 2022, Google e Alphabet/Commissione, C‑48/22 P, EU:C:2022:667, punto 7 e giurisprudenza ivi citata).

13

Tuttavia, risulta altresì da una giurisprudenza costante che un’associazione di categoria rappresentativa, che ha per oggetto la protezione degli interessi dei suoi membri, può essere ammessa a intervenire quando la controversia solleva questioni di principio idonee a ledere detti interessi. Pertanto, il requisito della titolarità, da parte di una siffatta associazione, di un interesse diretto e attuale alla soluzione della controversia deve essere considerato soddisfatto qualora detta associazione dimostri di trovarsi in una siffatta situazione, a prescindere dalla questione se la soluzione della controversia sia idonea a modificare la posizione giuridica dell’associazione in quanto tale (ordinanza del presidente della Corte del 10 marzo 2023, Illumina/ Commissione, C‑611/22 P, EU:C:2023:205, punto 8 e giurisprudenza ivi citata).

14

Infatti, una tale interpretazione estensiva del diritto di intervento a favore delle associazioni di categoria rappresentative mira a consentire una migliore valutazione del contesto in cui insorgono le controversie sottoposte al giudice dell’Unione evitando una molteplicità di interventi individuali che comprometterebbero l’efficacia e il regolare svolgimento del procedimento. Orbene, a differenza delle persone fisiche e giuridiche che agiscono per proprio conto, le associazioni di categoria rappresentative possono chiedere di intervenire in una controversia sottoposta alla Corte non per difendere interessi individuali, bensì per difendere gli interessi collettivi dei propri membri. Infatti, l’intervento di una siffatta associazione offre una prospettiva d’insieme di detti interessi collettivi, interessati da una questione di principio da cui dipende la definizione della controversia e può così consentire alla Corte di meglio valutare il contesto in cui una causa le viene sottoposta (ordinanza del presidente della Corte del 10 marzo 2023, Illumina/Commissione, C‑611/22 P, EU:C:2023:205, punto 9 e giurisprudenza ivi citata).

15

Così, conformemente alla giurisprudenza ricordata al punto 13 della presente ordinanza e, più precisamente, come risulta dalla giurisprudenza del Tribunale, un’associazione può essere ammessa a intervenire in una causa se, in primo luogo, essa è rappresentativa di un numero significativo di aziende operanti nel settore interessato, se, in secondo luogo, tra i suoi obiettivi rientra quello della tutela degli interessi dei suoi membri, se, in terzo luogo, la causa può sollevare questioni di principio che si ripercuotono sul funzionamento del settore considerato e se, pertanto, in quarto luogo, l’emananda sentenza può incidere in misura considerevole sugli interessi dei suoi membri (ordinanza del presidente della Corte del 10 marzo 2023, Illumina/Commissione, C‑611/22 P, EU:C:2023:205, punto 10).

16

Occorre sottolineare, tuttavia, che la domanda di intervento oggetto dell’ordinanza del presidente della Corte del 10 marzo 2023, Illumina/Commissione (C‑611/22 P, EU:C:2023:250) è stata accolta alla luce del fatto che la controversia di cui trattavasi poteva avere «una particolare incidenza» su tre settori che la Commissione aveva considerato, in modo esplicito, nei suoi orientamenti riguardanti l’applicazione della disposizione la cui interpretazione e portata costituivano il nodo della controversia, tra cui lo specifico settore in cui erano operativi taluni membri dell’associazione che chiedeva di intervenire (v. ordinanza del presidente della Corte del 10 marzo 2023, Illumina/Commissione,C‑611/22 P, EU:C:2023:250, punti da 15 a 17). Occorre precisare quindi che un’associazione che chiede di intervenire in una controversia non può dimostrare che la prima e la terza condizione di cui al punto 15 della presente ordinanza sono soddisfatte limitandosi a dedurre che la controversia solleva questioni di principio che riguardano il settore in cui i suoi membri sono operativi, in circostanze in cui tali questioni incidono anche su un numero significativo di altri settori di attività. Se così non fosse, l’obiettivo menzionato al punto 14 della presente ordinanza, consistente, segnatamente, nell’evitare una molteplicità di interventi, sarebbe compromesso. Un’associazione siffatta deve pertanto dimostrare, inoltre, sulla base di elementi obiettivi e credibili, che il settore in cui i suoi membri sono operativi è coinvolto in un modo qualitativamente diverso rispetto a tali altri settori.

17

Orbene, nel caso di specie, la CCIA non ha dimostrato che il settore delle tecnologie dell’informazione e della comunicazione sia il «settore interessato» dalla questione di principio sollevata dalla presente causa, nel senso che la soluzione della controversia si ripercuote sul funzionamento di tale settore in un modo qualitativamente diverso rispetto ad altri settori di attività.

18

Non c’è dubbio che la procedura di cui all’articolo 65, paragrafo 1, lettera a) del RGPD, incide sul settore delle tecnologie dell’informazione e della comunicazione, in quanto i servizi e i prodotti che le aziende di tale settore offrono implicano un trattamento di dati personali che ha carattere transfrontaliero.

19

Tuttavia, come fa giustamente osservare il Comitato europeo per la protezione dei dati nelle sue osservazioni relative alla domanda di intervento, tali procedimenti riguardano tutti i settori di attività in cui le aziende trattano quantità significative di dati personali in diversi Stati membri. Orbene, la CCIA si è limitata a dedurre le conseguenze per l’esercizio del diritto ad una tutela giurisdizionale effettiva che la soluzione della presente controversia presenterà, in particolare, in quanto è sostanzialmente idonea a risolvere la questione di principio se una decisione, adottata dal Comitato europeo per la protezione dei dati, a norma dell’articolo 65, paragrafo 1, lettera a) del RGPD, modifichi la posizione giuridica della società dei cui dati si tratta, in modo da costituire un atto impugnabile da parte di tale società.

20

Occorre constatare che tali conseguenze coinvolgeranno le aziende in ogni settore che possa essere oggetto di un procedimento a norma dell’articolo 65, paragrafo 1, lettera a) del RGPD. Orbene, la CCIA non ha esposto i motivi per i quali la risposta che potrebbe essere fornita a tale questione di principio, relativa al carattere impugnabile delle decisioni adottate in base a tale disposizione, inciderebbe oggettivamente sugli interessi delle aziende operative nel settore delle tecnologie dell’informazione e della comunicazione in modo qualitativamente diverso rispetto a quelle operative in altri settori, che trattano, anch’esse, quantità significative di dati personali.

21

Dalle considerazioni che precedono risulta che la CCIA non ha dimostrato di avere interesse alla soluzione della controversia, ai sensi dell’articolo 40, secondo comma, dello Statuto della Corte di giustizia dell’Unione europea e che, pertanto, la sua domanda d’intervento deve essere respinta.

22

Poiché la domanda d’intervento della CCIA è stata respinta, la domanda di trattamento riservato formulata congiuntamente dalla WhatsApp Ireland e dal Comitato europeo per la protezione dei dati, nei confronti di tale associazione, è divenuta priva di oggetto, di modo che non occorre statuire su di essa.

23

Ai sensi dell’articolo 138, paragrafo 1, del regolamento di procedura, applicabile al procedimento di impugnazione in forza dell’articolo 184, paragrafo 1, del medesimo regolamento, la parte soccombente è condannata alle spese se ne è stata fatta domanda. Poiché la CCIA è rimasta soccombente nella sua domanda d’intervento, ma il Comitato europeo per la protezione dei dati non ha chiesto la sua condanna alle spese, occorre che la CCIA e tale Comitato siano condannati a farsi carico delle proprie spese relative alla domanda d’intervento della CCIA.

Per questi motivi, il presidente della Corte così provvede: