Edizione provvisoria

SENTENZA DELLA CORTE (Prima Sezione)

18 giugno 2026 (*)

« Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articoli 77 e 79 – Mezzi di ricorso – Esercizio parallelo – Articolazione tra la presentazione di un reclamo a un’autorità nazionale di controllo e l’esercizio di un ricorso giurisdizionale – Rischio di decisioni contraddittorie – Principio della tutela giurisdizionale effettiva – Autonomia procedurale degli Stati membri – Principio di effettività – Principio di equivalenza »

Nella causa C-414/24,

avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Verwaltungsgerichtshof (Corte amministrativa, Austria), con decisione del 17 maggio 2024, pervenuta in cancelleria il 13 giugno 2024, nel procedimento

Datenschutzbehörde,

dott.ssa G S

con l’intervento di:

Bundesministerin für Justiz,

D GmbH,

LA CORTE (Prima Sezione),

composta da F. Biltgen, presidente di sezione, I. Ziemele (relatrice), A. Kumin, S. Gervasoni e M. Bošnjak, giudici,

avvocato generale: J. Richard de la Tour

cancelliere: A. Calot Escobar

vista la fase scritta del procedimento,

considerate le osservazioni presentate:

– per la Datenschutzbehörde, da M. Schmidl e E. Wagner;

– per la dott.ssa G S, da S. Binder-Novak, Rechtsanwältin;

– per D GmbH, da S. Korab, Rechtsanwalt;

– per il governo austriaco, da A. Posch, J. Schmoll e C. Gabauer, in qualità di agenti;

– per il governo italiano, da S. Fiorentino, in qualità di agente, assistito da E. De Bonis, avvocato dello Stato;

– per il governo ungherese, da Zs. Biró-Tóth e M. Z. Fehér, in qualità di agenti;

– per la Commissione europea, da A. Bouchagiar, M. Heller e H. Kranenborg, in qualità di agenti,

sentite le conclusioni dell’avvocato generale, presentate all’udienza del 4 settembre 2025,

ha pronunciato la seguente

Sentenza

1 La domanda di pronuncia pregiudiziale verte sull’interpretazione degli articoli 77 e 79 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1) (in prosieguo: il «RGPD»).

2 Tale domanda è stata presentata nell’ambito di una controversia tra la dott.ssa G S e la Datenschutzbehörde (Autorità per la protezione dei dati, Austria) (in prosieguo: la «DSB») in merito al rigetto da parte di tale autorità del reclamo proposto dalla dott.ssa G S, sulla base di un’asserita violazione del suo diritto alla protezione dei dati personali che la riguardano, in quanto l’interessata aveva previamente proposto un ricorso giurisdizionale avente lo stesso oggetto e rimasto pendente dinanzi all’autorità giurisdizionale adita.

Contesto normativo

Diritto dell’Unione

3 Ai sensi dei considerando 10, 11, 129 e 141 del RGPD:

«(10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all’interno dell’Unione [europea], il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un’applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l’Unione. (…)

(11) Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali (…).

(…)

(129) Al fine di garantire un monitoraggio e un’applicazione coerenti del presente regolamento in tutta l’Unione, le autorità di controllo dovrebbero avere in ciascuno Stato membro gli stessi compiti e poteri effettivi, fra cui poteri di indagine, poteri correttivi e sanzionatori, e poteri autorizzativi e consultivi, segnatamente in caso di reclamo proposto da persone fisiche, e fatti salvi i poteri delle autorità preposte all’esercizio dell’azione penale ai sensi del diritto degli Stati membri, il potere di intentare un’azione e di agire in sede giudiziale o stragiudiziale in caso di violazione del presente regolamento. Tali poteri dovrebbero includere anche il potere di imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento. Gli Stati membri possono precisare altri compiti connessi alla protezione dei dati personali ai sensi del presente regolamento. È opportuno che i poteri delle autorità di controllo siano esercitati nel rispetto di garanzie procedurali adeguate previste dal diritto dell’Unione e degli Stati membri, in modo imparziale ed equo ed entro un termine ragionevole. In particolare ogni misura dovrebbe essere appropriata, necessaria e proporzionata al fine di assicurare la conformità al presente regolamento, tenuto conto delle circostanze di ciascun singolo caso, rispettare il diritto di ogni persona di essere ascoltata prima che nei suoi confronti sia adottato un provvedimento individuale che le rechi pregiudizio ed evitare costi superflui ed eccessivi disagi per le persone interessate. I poteri di indagine per quanto riguarda l’accesso ai locali dovrebbero essere esercitati nel rispetto dei requisiti specifici previsti dal diritto processuale degli Stati membri, quale l’obbligo di ottenere un’autorizzazione giudiziaria preliminare. Ogni misura giuridicamente vincolante dell’autorità di controllo dovrebbe avere forma scritta, essere chiara e univoca, riportare l’autorità di controllo che ha adottato la misura e la relativa data di adozione, recare la firma del responsabile o di un membro dell’autorità di controllo da lui autorizzata, precisare i motivi della misura e fare riferimento al diritto a un ricorso effettivo. Ciò non dovrebbe precludere requisiti supplementari ai sensi del diritto processuale degli Stati membri. L’adozione di una decisione giuridicamente vincolante implica che essa può essere soggetta a controllo giurisdizionale nello Stato membro dell’autorità di controllo che ha adottato la decisione.

(…)

(141) Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell’articolo 47 della [Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la “Carta”] qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. Successivamente al reclamo si dovrebbe condurre un’indagine, soggetta a controllo giurisdizionale, nella misura in cui ciò sia opportuno nel caso specifico. È opportuno che l’autorità di controllo informi gli interessati dello stato e dell’esito del reclamo entro un termine ragionevole. (…)».

4 L’articolo 17 del RGPD, intitolato «Diritto alla cancellazione (“diritto all’oblio”)», al paragrafo 1, lettera d), prevede quanto segue:

«L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

(…)

d) i dati personali sono stati trattati illecitamente».

5 Il capo VI del RGPD, intitolato «Autorità di controllo indipendenti», comprende gli articoli da 51 a 59 del medesimo.

6 L’articolo 57 di tale capo, intitolato «Compiti», al paragrafo 1, lettera f), è così formulato:

«Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo:

(…)

f) tratta i reclami proposti da un interessato, o da un organismo, un’organizzazione o un’associazione ai sensi dell’articolo 80, e svolge le indagini opportune sull’oggetto del reclamo e informa il reclamante dello stato e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo».

7 L’articolo 58 del RGPD, intitolato «Poteri», al paragrafo 2 prevede quanto segue:

«Ogni autorità di controllo ha tutti i poteri correttivi seguenti:

a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;

b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;

c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti loro derivanti dal presente regolamento;

d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;

e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;

f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;

g) ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell’articolo 17, paragrafo 2, e dell’articolo 19;

h) revocare la certificazione o ingiungere all’organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all’organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti;

i) infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e

j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale».

8 Il capo VIII del RGPD, intitolato «Mezzi di ricorso, responsabilità e sanzioni», contiene gli articoli da 77 a 84.

9 L’articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all’autorità di controllo», così dispone:

«1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.

2. L’autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell’esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell’articolo 78».

10 L’articolo 78 del RGPD, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo», ai paragrafi 1 e 2 così recita:

«1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda.

2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l’autorità di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell’esito del reclamo proposto ai sensi dell’articolo 77».

11 L’articolo 79 del RGDP, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento», prevede quanto segue:

«1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento.

2. Le azioni nei confronti del titolare del trattamento o del responsabile del trattamento sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un’autorità pubblica di uno Stato membro nell’esercizio dei pubblici poteri».

12 L’articolo 81 del RGPD, intitolato «Sospensione delle azioni», ai paragrafi 2 e 3 enuncia quanto segue:

«2. Qualora azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento siano pendenti presso un’autorità giurisdizionale in un altro Stato membro, qualunque autorità giurisdizionale competente successivamente adita può sospendere le azioni.

3. Se tali azioni sono pendenti in primo grado, qualunque autorità giurisdizionale successivamente adita può parimenti dichiarare la propria incompetenza su richiesta di una delle parti a condizione che l’autorità giurisdizionale adita per prima sia competente a conoscere delle domande proposte e la sua legge consenta la riunione dei procedimenti».

Diritto austriaco

13 L’articolo 94, paragrafo 1, del Bundes-Verfassungsgesetz (legge costituzionale federale), ripubblicata il 2 gennaio 1930 (BGBl. 1/1930), nella versione applicabile ai fatti di cui al procedimento principale, dispone quanto segue:

«La giustizia è indipendente dall’amministrazione in tutte le istanze.

(…)».

14 L’articolo 24 del Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG) [legge federale in materia di protezione delle persone fisiche riguardo al trattamento dei dati personali (legge in materia di protezione dei dati – DSG)], del 17 agosto 1999 (BGBl. I, 165/1999), nella versione applicabile ai fatti di cui al procedimento principale, intitolato «Reclami all’autorità per la protezione dei dati», ai paragrafi 1 e 4 enuncia quanto segue:

«(1) Ogni interessato ha il diritto di proporre un reclamo all’autorità per la protezione dei dati se ritiene che il trattamento dei dati personali che lo riguardano costituisca una violazione del RGPD o dell’articolo 1 o dell’articolo 2, prima parte principale.

(…)

(4) Il diritto all’esame di un reclamo si estingue se l’interessato non lo esercita entro il termine di un anno dal momento in cui è venuto a conoscenza dell’evento lesivo, e comunque entro un termine massimo di tre anni dalla data in cui si è asseritamente verificato l’evento. I ricorsi tardivi sono respinti. (…)».

Procedimento principale e questioni pregiudiziali

15 La dott.ssa G S, in data 3 luglio 2017, ha presentato alla società D, gestore una piattaforma per la ricerca di medici che consente a terzi di riportare valutazioni ed esperienze in relazione a medici, una domanda diretta a ottenere la cancellazione di taluni dati personali che la riguardavano, sulla base della situazione giuridica esistente prima dell’entrata in vigore del RGPD. Il 10 luglio 2017 la società D ha respinto tale domanda di cancellazione.

16 A seguito di tale rifiuto, la dott.ssa G S ha proposto un ricorso, nel novembre 2017, dinanzi a un giudice civile contro tale società, facendo valere, in particolare, una violazione del diritto alla protezione dei dati personali e chiedendo la cancellazione dei dati pubblicati che la riguardavano. Essa ha inoltre chiesto che fosse ingiunto a tale società di astenersi da qualsiasi ulteriore trattamento di tali dati.

17 Il 22 giugno 2018, a seguito dell’entrata in vigore del RGPD, la dott.ssa G S ha nuovamente sottoposto alla società D una domanda diretta a ottenere la cancellazione dei dati personali che la riguardavano pubblicati sulla piattaforma gestita da quest’ultima. Anche tale richiesta è stata respinta con lettera del 6 luglio 2018.

18 Pertanto, il 26 luglio 2018 la dott.ssa G S ha proposto un reclamo alla DSB ai sensi dell’articolo 77, paragrafo 1, del RGPD, basandosi, in particolare, sull’articolo 17 di tale regolamento, che sancisce il diritto alla cancellazione. Con tale reclamo essa chiedeva alla DSB di accertare la violazione del suo diritto alla protezione dei dati personali, di ingiungere alla società D di cancellare l’insieme dei dati personali che la riguardavano presenti sulla sua piattaforma nonché di astenersi da qualsiasi ulteriore trattamento degli stessi.

19 Con decisione del 4 gennaio 2019, la DSB ha respinto tale reclamo con la motivazione che quest’ultimo e l’azione civile proposta nel mese di novembre 2017, quale menzionata al punto 16 della presente sentenza, avevano il medesimo oggetto, vale a dire la cancellazione dei dati personali riguardanti la dott.ssa G S, quali pubblicati su detta piattaforma.

20 A tal riguardo, la DSB ha ritenuto che lo svolgimento parallelo o successivo di un procedimento dinanzi a un’autorità di controllo e di un procedimento giurisdizionale sarebbe, da un punto di vista sistematico, contrario al meccanismo di tutela giuridica istituito dal RGPD. A suo avviso, in una situazione del genere, l’autorità di controllo dovrebbe pronunciarsi sulla stessa questione sottoposta al giudice civile. Orbene, l’esercizio contemporaneo del diritto di presentare un reclamo all’autorità di controllo e del diritto di proporre un ricorso giurisdizionale avente lo stesso oggetto non può essere ammesso.

21 La dott.ssa G S ha contestato la decisione della DSB del 4 gennaio 2019 dinanzi al Bundesverwaltungsgericht (Tribunale amministrativo federale, Austria), il quale, con sentenza del 4 dicembre 2020, ha respinto il suo ricorso in un momento in cui la sentenza pronunciata dal giudice civile il 23 luglio 2020, che ha respinto la domanda della dott.ssa G S, non aveva ancora acquisito carattere definitivo.

22 A tal riguardo, il Bundesverwaltungsgericht (Corte amministrativa federale) ha ritenuto che il RGPD avesse deliberatamente introdotto un duplice sistema di tutela giuridica. Esso ha ricordato che, essendo tale regolamento direttamente applicabile, le disposizioni nazionali contrastanti dovevano essere disapplicate. Pertanto, il reclamo proposto dalla dott.ssa G S ai sensi dell’articolo 77, paragrafo 1, di detto regolamento non poteva essere respinto per i motivi addotti dalla DSB, cosicché occorreva, al contrario, confermare la competenza di principio di tale autorità di controllo a statuire su tale reclamo.

23 In tale contesto, detto giudice ha tuttavia considerato tardivo tale reclamo in quanto non avrebbe rispettato il termine di decadenza di un anno previsto all’articolo 24, paragrafo 4, della legge sulla protezione dei dati, nella versione applicabile ai fatti oggetto del procedimento principale. Poiché la presentazione tardiva di un reclamo ai sensi dell’articolo 77, paragrafo 1, del RGPD comporta parimenti il rigetto di quest’ultimo, il reclamo della dott.ssa G S sarebbe stato correttamente respinto.

24 Successivamente, sia la dott.ssa G S, dopo che il Verfassungsgerichtshof (Corte costituzionale, Austria) ha rifiutato di esaminare il suo ricorso, sia la DSB hanno proposto un ricorso per Revision avverso la sentenza del Bundesverwaltungsgericht (Tribunale amministrativo federale) dinanzi al Verwaltungsgerichtshof (Corte amministrativa, Austria), giudice del rinvio.

25 Tale giudice non condivide la valutazione del Bundesverwaltungsgericht (Tribunale amministrativo federale) secondo cui il ricorso della dott.ssa G S sarebbe tardivo. Esso intende tuttavia esaminare se il rigetto di tale reclamo non potesse essere legittimamente fondato su altri motivi. Dopo aver ricordato la giurisprudenza derivante dalle sentenze del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2) e del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C-26/22 e C-64/22, EU:C:2023:958), tale giudice si interroga, in particolare, sul motivo dedotto dalla DSB, vertente sull’esistenza di un ricorso giurisdizionale pendente avente lo stesso oggetto di detto reclamo. A tal riguardo, esso osserva che l’articolo 94, paragrafo 1, della legge costituzionale federale, nella sua versione applicabile ai fatti oggetto del procedimento principale, dispone che la giustizia è indipendente dall’amministrazione in tutte le istanze. Secondo le indicazioni fornite dal giudice del rinvio, tale disposizione sancisce un principio di separazione tra la giustizia e l’amministrazione, il che implica che una causa debba essere assegnata, integralmente, o ai giudici o alle autorità amministrative ai fini del suo trattamento. Detta disposizione osterebbe, pertanto, a che giudici e autorità amministrative statuiscano contemporaneamente o in successione su una stessa controversia.

26 In tale contesto, detto giudice nutre dubbi quanto alla questione se un reclamo proposto all’autorità di controllo ai sensi dell’articolo 77, paragrafo 1, del RGPD possa essere respinto con la motivazione che un ricorso giurisdizionale effettivo, ai sensi dell’articolo 79 di tale regolamento e avente il medesimo oggetto, è stato proposto in precedenza e che il relativo procedimento è ancora pendente dinanzi al giudice adito.

27 A tal riguardo, al fine di evitare l’esistenza di decisioni contraddittorie, il giudice del rinvio tende a ritenere che, ispirandosi al meccanismo previsto all’articolo 81, paragrafi 2 e 3, del RGPD, si possa prevedere di ammettere che, quando una controversia è pendente dinanzi ai giudici civili e alle autorità amministrative, l’organo successivamente adito sia tenuto, in forza del principio di anteriorità, a respingere la domanda dell’interessato.

28 Tuttavia, esso aggiunge che, in caso di rigetto di un reclamo proposto ai sensi dell’articolo 77, paragrafo 1, del RGPD per il solo motivo che è pendente un ricorso giurisdizionale, non risulta ancora alcuna decisione nel merito riguardo all’asserita violazione della protezione dei dati personali al momento di tale rigetto, cosicché il rischio di decisioni contraddittorie non è ancora configurato.

29 Sulla base di quanto precede, si pone la questione se occorra distinguere il caso in cui un ricorso giurisdizionale è pendente da quello in cui una decisione nel merito è già stata emessa, sebbene non sia ancora definitiva.

30 Alla luce di tali circostanze, il Verwaltungsgerichtshof (Corte amministrativa) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

«1) Se gli articoli 77 e 79 del [RGPD], alla luce delle considerazioni formulate dalla Corte nelle sentenze del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2), e del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C-26/22 e C-64/22, EU:C:2023:958), debbano essere interpretati nel senso che la possibilità, prevista dal diritto nazionale, di respingere un reclamo proposto dinanzi a un’autorità di controllo ai sensi dell’articolo 77 [di tale regolamento], per il motivo che un ricorso giurisdizionale ai sensi dell’articolo 79 di [detto regolamento] è già stato proposto nell’ambito della stessa azione, e che tale ricorso è pendente dinanzi a un organo giurisdizionale, rappresenta una modalità ammissibile di articolazione di tali mezzi di ricorso (ai sensi della citata giurisprudenza della Corte di giustizia).

2) In caso di risposta negativa alla prima questione, se [gli articoli 77 e 79 del RGPD, alla luce delle considerazioni formulate dalla Corte nelle sentenze del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2), e del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C-26/22 e C-64/22, EU:C:2023:958), debbano essere interpretati] nel senso che la possibilità, prevista dal diritto nazionale, del rigetto di un reclamo proposto a un’autorità di controllo ai sensi dell’articolo 77 del RGPD per il motivo che nel procedimento relativo al ricorso giurisdizionale ai sensi dell’articolo 79 [di tale regolamento] instaurato nell’ambito della stessa azione è già stata adottata una decisione nel merito (seppure non ancora definitiva), rappresenta una modalità ammissibile di articolazione di tali mezzi di ricorso (ai sensi della citata giurisprudenza della Corte di giustizia)».

Sulle questioni pregiudiziali

31 Con le sue due questioni, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l’articolo 77, paragrafo 1, e l’articolo 79, paragrafo 1, del RGPD debbano essere interpretati nel senso che essi ostano a che un’autorità di controllo, investita di un reclamo ai sensi di tale articolo 77, paragrafo 1, possa respingerlo per il solo motivo che un ricorso giurisdizionale, proposto conformemente a tale articolo 79, paragrafo 1, e avente il medesimo oggetto, è stato proposto in precedenza e sebbene la decisione emessa nell’ambito di tale ricorso non abbia ancora acquisito carattere definitivo.

32 In via preliminare, occorre ricordare che, conformemente a una giurisprudenza costante, ai fini dell’interpretazione di una norma di diritto dell’Unione si deve tener conto non soltanto della lettera della stessa, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság C-132/21, EU:C:2023:2, punto 32).

33 In primo luogo, occorre rilevare che gli articoli 77 e 79 del RGPD rientrano nel capo VIII di tale regolamento, il quale disciplina, in particolare, i mezzi di ricorso che permettono di tutelare i diritti dell’interessato qualora i dati personali che lo riguardano siano stati oggetto di un presunto trattamento contrario alle disposizioni di detto regolamento. La tutela di tali diritti può quindi essere reclamata, in particolare, direttamente dall’interessato, in applicazione degli articoli da 77 a 79 del medesimo regolamento (v., in tal senso, sentenza del 4 ottobre 2024, Lindenapotheke, C-21/23, EU:C:2024:846, punto 47 e giurisprudenza citata).

34 A tale proposito, per quanto riguarda il tenore letterale di tali articoli da 77 a 79, occorre ricordare, innanzitutto, che l’articolo 77, paragrafo 1, del RGPD precisa che, fatto salvo ogni altro ricorso amministrativo o giurisdizionale, ogni interessato ha il diritto di proporre reclamo a un’autorità di controllo. Inoltre, ai sensi dell’articolo 78, paragrafo 1, di tale regolamento, fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda. Infine, l’articolo 79, paragrafo 1, di detto regolamento garantisce a ogni interessato il diritto a un ricorso giurisdizionale effettivo, fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, paragrafo 1, del medesimo regolamento (sentenza del 4 ottobre 2024, C-21/23, punto 48 e giurisprudenza citata).

35 La Corte ha già dichiarato che tali disposizioni del RGPD offrono diversi mezzi di ricorso ai soggetti che lamentano una violazione di tale regolamento, fermo restando che ciascuno di tali mezzi di ricorso deve poter essere esercitato «fatto salvo» ogni altro (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 34).

36 Ne consegue, come rilevato dall’avvocato generale al paragrafo 46 delle sue conclusioni, che il RGPD non prevede alcuna competenza prioritaria o esclusiva né introduce alcuna regola di prevalenza della valutazione effettuata dall’autorità o dai giudici ivi menzionati quanto all’esistenza di una violazione dei diritti conferiti da tale regolamento. Infatti, la Corte ha già dichiarato che il ricorso previsto all’articolo 78, paragrafo 1, di quest’ultimo, il cui oggetto è l’esame della legittimità della decisione di un’autorità di controllo adottata sulla base dell’articolo 77 di detto regolamento, e quello previsto all’articolo 79, paragrafo 1, del medesimo regolamento, possono essere esercitati anche in modo concorrente e indipendente (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 35).

37 In secondo luogo, per quanto riguarda il contesto in cui si inseriscono dette disposizioni del RGPD, occorre ricordare che, a norma dell’articolo 57, paragrafo 1, lettera f), di tale regolamento, ogni autorità di controllo è tenuta, nel suo territorio, a trattare i reclami che qualsiasi persona, ai sensi dell’articolo 77, paragrafo 1, di detto regolamento, ha il diritto di proporre quando considera che un trattamento di dati personali che la riguardano costituisca una violazione del medesimo regolamento, ad esaminarne l’oggetto nella misura necessaria e ad informare l’autore del reclamo dello stato e dell’esito dell’indagine entro un termine ragionevole. L’autorità di controllo deve trattare un siffatto reclamo con la dovuta diligenza [sentenza del 26 settembre 2024, Land Hessen (Obbligo di agire dell’autorità per la protezione dei dati), C-768/21, EU:C:2024:785, punto 32 e giurisprudenza citata]. Come confermato dal considerando 129 del RGPD, tale autorità svolge quindi un ruolo indispensabile nel sistema di protezione dei dati personali, contribuendo all’applicazione coerente del regolamento in questione negli Stati membri.

38 In terzo luogo, tale interpretazione contestuale è corroborata dagli obiettivi perseguiti dal RGPD. A tal riguardo, occorre rilevare che la scelta del legislatore dell’Unione di concedere alle persone interessate dal trattamento di dati personali la possibilità di esperire simultaneamente e in modo indipendente i mezzi di ricorso previsti all’articolo 77, paragrafo 1, e all’articolo 79, paragrafo 1, di tale regolamento è conforme all’obiettivo perseguito da detto regolamento, consistente, come risulta dal suo considerando 10, nell’assicurare un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali nell’Unione. Il considerando 11 del medesimo regolamento enuncia, inoltre, che un’efficace protezione di tali dati presuppone un rafforzamento dei diritti degli interessati.

39 La Corte ha già dichiarato che la messa a disposizione di diversi mezzi di ricorso rafforza l’obiettivo enunciato al considerando 141 del RGPD di garantire che qualsiasi interessato che ritenga che i diritti di cui gode a norma di tale regolamento siano violati abbia il diritto a un ricorso giurisdizionale effettivo conformemente all’articolo 47 della Carta (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 44).

40 La Corte ha altresì sottolineato che la scelta operata dal legislatore dell’Unione di consentire agli interessati di esperire parallelamente e in modo indipendente i mezzi di ricorso previsti, da un lato, dall’articolo 77, paragrafo 1, e dall’articolo 78, paragrafo 1, del RGPD e, dall’altro, dall’articolo 79, paragrafo 1, di tale regolamento rientra nell’obiettivo di detto regolamento (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 42).

41 Ciò posto, in assenza di una disciplina dell’Unione in materia, spetta a ciascuno Stato membro, in forza del principio di autonomia processuale degli Stati membri, stabilire le modalità delle procedure amministrative e quelle relative alla procedura giurisdizionale intese a garantire la tutela dei diritti spettanti agli amministrati in forza del diritto dell’Unione (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 45).

42 Pertanto, è sulla base delle disposizioni procedurali nazionali che spetta al giudice del rinvio determinare il modo in cui devono essere attuati i mezzi di ricorso previsti agli articoli da 77 a 79 del RGPD (v., in tal senso, sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 46).

43 In particolare, le modalità di attuazione dei mezzi di ricorso concorrenti e indipendenti non devono rimettere in discussione l’effetto utile e la tutela effettiva dei diritti garantiti da tale regolamento (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 47).

44 A tal riguardo, tali modalità non devono essere meno favorevoli di quelle che riguardano ricorsi simili previsti per la protezione dei diritti che derivano dall’ordine giuridico interno (principio di equivalenza), né essere strutturate in modo da rendere in pratica impossibile o eccessivamente difficile l’esercizio dei diritti conferiti dall’ordinamento giuridico dell’Unione (principio di effettività) (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, punto 48).

45 In tale contesto, la Corte ha sottolineato che, nel definire le modalità procedurali dei ricorsi giurisdizionali destinati ad assicurare la salvaguardia dei diritti conferiti dal RGPD, gli Stati membri devono garantire il rispetto del diritto ad un ricorso effettivo e a un giudice imparziale, sancito dall’articolo 47 della Carta, che costituisce una riaffermazione del principio della tutela giurisdizionale effettiva (sentenza del 12 gennaio 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-73/21, EU:C:2023:2, punto 50).

46 Nel caso di specie, dalla domanda di pronuncia pregiudiziale risulta che il sistema di mezzi di ricorso previsto dal diritto austriaco osta a che giudici e autorità amministrative statuiscano parallelamente o in successione su una stessa controversia. In tale contesto, si pone la questione se un reclamo proposto all’autorità di controllo ai sensi dell’articolo 77, paragrafo 1, del RGPD possa essere respinto per il solo motivo che un ricorso giurisdizionale, fondato sull’articolo 79 di tale regolamento e avente il medesimo oggetto, è stato proposto in precedenza e il relativo procedimento è ancora pendente.

47 Secondo il giudice del rinvio, una siffatta articolazione dei mezzi di ricorso contribuirebbe ad evitare l’adozione di decisioni contraddittorie in merito a una stessa domanda. Tuttavia, essa sottolinea che, quando la DSB respinge un reclamo proposto ai sensi dell’articolo 77, paragrafo 1, del RGPD con la motivazione che un ricorso giurisdizionale proposto conformemente all’articolo 79, paragrafo 1, di tale regolamento è pendente dinanzi al giudice adito, tale autorità non può essere certa che una decisione nel merito sarà effettivamente emessa nell’ambito di tale ricorso. Ciò si verificherebbe, ad esempio, se tale ricorso fosse respinto in quanto irricevibile, senza che sia statuito nel merito.

48 A tal riguardo, occorre ricordare che, come menzionato al punto 37 della presente sentenza, ai sensi dell’articolo 57, paragrafo 1, lettera f), del RGDP, ogni autorità di controllo è tenuta, nel suo territorio, a trattare i reclami che qualsiasi persona, ai sensi dell’articolo 77, paragrafo 1, di tale regolamento, ha il diritto di proporre quando considera che un trattamento di dati personali che la riguardano costituisca una violazione di detto regolamento, e ad esaminarne l’oggetto nella misura necessaria. L’autorità di controllo deve trattare un siffatto reclamo con la dovuta diligenza [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) C-26/22 e C-64/22, EU:C:2023:958, punto 56 e giurisprudenza citata].

49 Nell’ambito di tale trattamento, detta autorità dispone, per quanto riguarda le misure correttive elencate all’articolo 58, paragrafo 2, del RGPD, di un margine di discrezionalità per quanto riguarda la scelta dei mezzi appropriati e necessari [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C-26/22 e C-64/22, EU:C:2023:958, punto 68 e giurisprudenza citata].

50 A tal riguardo, la Corte ha dichiarato che la procedura di reclamo, che non è simile a quella di una petizione, è concepita come un meccanismo idoneo a salvaguardare efficacemente i diritti e gli interessi delle persone coinvolte [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C-26/22 e C-64/22, EU:C:2023:958, punto 58].

51 Infatti, l’autorità di controllo è tenuta ad intervenire qualora l’adozione di una o più delle misure correttive previste all’articolo 58, paragrafo 2, del RGPD sia appropriata, necessaria e proporzionata al fine di porre rimedio all’inadeguatezza constatata e garantire il pieno rispetto di tale regolamento (v., in tal senso, sentenza del 30 aprile 2025, Inspektorat kam Visshia sadeben savet, C-313/23, C-316/23 e C-332/23, EU:C:2025:303, punto 132).

52 È vero che tale obbligo di intervenire richiede che, qualora l’autorità di controllo sia investita di un reclamo ai sensi dell’articolo 77, paragrafo 1, del RGPD e sia informata dell’esistenza di un procedimento giurisdizionale avviato sulla base dell’articolo 79, paragrafo 1, di tale regolamento e avente il medesimo oggetto, essa tenga debitamente conto, nell’ambito dell’esame di tale reclamo, della decisione che chiuderà definitivamente tale procedimento.

53 Tuttavia, sarebbe contrario a questo stesso obbligo privare un interessato al trattamento dei dati personali del beneficio di un siffatto meccanismo di protezione consentendo all’autorità di controllo di respingere il suo reclamo per il solo motivo che un ricorso giurisdizionale, proposto conformemente all’articolo 79, paragrafo 1, del RGPD e avente il medesimo oggetto, è stato proposto in precedenza e sebbene la decisione emessa nell’ambito di tale ricorso non abbia ancora acquisito carattere definitivo.

54 In tale contesto, per quanto riguarda il rischio che siano adottate decisioni contraddittorie riguardo al medesimo trattamento di dati personali all’interno di uno stesso Stato membro, come rilevato, in sostanza, dall’avvocato generale ai paragrafi 55 e 56 delle sue conclusioni, tale Stato membro, in una situazione come quella del procedimento principale, potrebbe prendere in considerazione, ad esempio, l’istituzione di un meccanismo di sospensione in forza del quale l’autorità di controllo, investita di un reclamo ai sensi dell’articolo 77, paragrafo 1, del RGPD, avrebbe la facoltà o sarebbe tenuta a sospendere il procedimento dinanzi ad essa pendente qualora un ricorso giurisdizionale, esercitato conformemente all’articolo 79, paragrafo 1, di tale regolamento e avente il medesimo oggetto, sia stato proposto in precedenza. Une tale sospensione potrebbe essere mantenuta fino alla pronuncia di una prima sentenza emessa nell’ambito di tale ricorso e, se del caso, ove tale sentenza fosse impugnata, fino al momento in cui una decisione giudiziaria chiude definitivamente la causa di cui si tratta.

55 A tal riguardo, occorre rilevare che l’eventuale sospensione dell’esame di un reclamo proposto all’autorità di controllo ai sensi dell’articolo 77, paragrafo 1, di detto regolamento in attesa di una decisione giurisdizionale appare conforme sia all’esigenza di garantire il diritto a un ricorso giurisdizionale effettivo, sia a quella di tutelare effettivamente i diritti garantiti dal RGPD e di evitare l’adozione di decisioni contraddittorie che possano pregiudicare la certezza del diritto.

56 Per contro, quando l’autorità di controllo respinge un reclamo per il solo motivo che è pendente un ricorso giurisdizionale proposto sulla base dell’articolo 79, paragrafo 1, di tale regolamento, da un lato, come menzionato al punto 47 della presente sentenza, tale autorità non può avere la certezza che una decisione nel merito sarà effettivamente emessa nell’ambito di tale ricorso giurisdizionale. Dall’altro, la presentazione di un nuovo reclamo può rivelarsi impossibile nell’ipotesi in cui il diritto nazionale subordini quest’ultimo al rispetto di un termine di ricevibilità, come nel caso di specie, e tale termine sia già scaduto. Pertanto, non si può escludere che l’interessato dal trattamento di dati personali sia privato di qualsiasi tutela effettiva qualora il suo ricorso giurisdizionale sia respinto per un motivo procedurale senza che sia stata presa una decisione nel merito o qualora intenda rinunciare al suo ricorso giurisdizionale.

57 Pertanto, come rilevato, in sostanza, dall’avvocato generale al paragrafo 57 delle sue conclusioni, il rigetto di un reclamo proposto all’autorità di controllo in una situazione come quella di cui al procedimento principale sarebbe contrario al principio di effettività, dal momento che tale modalità di articolazione dei mezzi di ricorso può compromettere la tutela effettiva dei diritti garantiti dal RGPD.

58 Ne consegue che spetta al giudice del rinvio verificare se le disposizioni del diritto nazionale di cui si tratta nel procedimento principale siano idonee a garantire la tutela effettiva dei diritti garantiti dal RGPD, in particolare per quanto riguarda l’articolazione dei mezzi di ricorso concorrenti e indipendenti a disposizione degli interessati dal trattamento di dati personali.

59 Sulla base di tutte le considerazioni sin qui svolte, occorre rispondere alla prima e alla seconda questione dichiarando che l’articolo 77, paragrafo 1, e l’articolo 79, paragrafo 1, del RGPD devono essere interpretati nel senso che essi ostano a che un’autorità di controllo, investita di un reclamo ai sensi di tale articolo 77, paragrafo 1, possa respingerlo per il solo motivo che un ricorso giurisdizionale, proposto conformemente a tale articolo 79, paragrafo 1, e avente il medesimo oggetto, è stato proposto in precedenza e sebbene la decisione emessa nell’ambito di tale ricorso non abbia ancora acquisito carattere definitivo.

Sulle spese

60 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara:

L’articolo 77, paragrafo 1, e l’articolo 79, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),

devono essere interpretati nel senso che:

essi ostano a che un’autorità di controllo, investita di un reclamo ai sensi di tale articolo 77, paragrafo 1, possa respingerlo per il solo motivo che un ricorso giurisdizionale, proposto conformemente a tale articolo 79, paragrafo 1, e avente il medesimo oggetto, è stato proposto in precedenza e sebbene la decisione emessa nell’ambito di tale ricorso non abbia ancora acquisito carattere definitivo.

Firme

---

* Lingua processuale: il tedesco.