Regolamento - 27/04/2016 - n. 679 art. 79 - Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento

Legittimazione attiva e passiva

Sono legittimati attivi, a mente della norma in commento, l'interessato (art. 79, par. 1) e gli enti rappresentativi di diritti degli interessati ai sensi dell'art. 80, par. 1 su loro mandato oppure anche in assenza di mandato, se ciò è consentito dalla legge nazionale applicabile (art. 80, par. 2). Quest'ultimo non è il caso dell'Italia, cfr. combinato disposto artt. 142, comma 2 cod. privacy e 10, comma 5 d.lgs. 150/2011. Si tenga tuttavia presente CGUE, 28 aprile 2022, Meta Platforms Ireland, MC-319/20. Quanto alla legittimazione passiva, è possibile promuovere l'azione nei confronti dei titolari e, nei casi in cui siano direttamente destinatari di precetti normativi, dei responsabili del trattamento. Non appaiono ragioni per escludere l'azione nei confronti di altri soggetti coinvolti nel trattamento. Si tenga anche presente, relativamente al risarcimento del danno, il disposto del l'art. 82, par. 2 GDPR. Rispetto ai contitolari cfr. anche art. 26, par. 3 GDPR.

Rinvio pregiudiziale alla Corte di giustizia UE

Il Giudice nazionale potrà o dovrà, a seconda dei casi, investire la Corte di giustizia in via pregiudiziale rispetto a questioni di interpretazione o di validità di disposizioni del Regolamento, in osservanza dell'art. 267 TFUE (cfr. anche considerando 143 GDPR).

Giurisdizione

La disposizione chiarisce i criteri di riparto tra Stati membri. Sono indicati due fori nazionali alternativi ai sensi del paragrafo 2 dell'art. 79 in commento:

1) foro dello Stato membro in cui il titolare o il responsabile del trattamento ha uno stabilimento;

2) foro dello Stato membro in cui si trova la residenza abituale dell'interessato.

Nel caso in cui sia convenuta una pubblica autorità nell'esercizio di pubblici poteri, il foro esclusivo invece è quello dello Stato membro in cui la stessa ha sede, cfr. anche il considerando 145 GDPR. Per la concreta determinazione della competenza a livello nazionale si rimanda al commento all'art. 10 d.lgs. n. 150/2011.

Il legislatore non precisa alla disposizione in commento la nozione di «stabilimento», tuttavia essa non può che essere la stessa scolpita al considerando 22 GDPR. Sul punto si rimanda in senso più ampio al commento all'art. 3 GDPR.

Si deroga espressamente a disposizioni eventualmente contrastanti contenute nel Reg. 1215/2012, cd. “Bruxelles 1-bis” (cfr. considerando 147 GDPR). Per apprezzare la portata della deroga, pur circoscritta a un considerando e non approdata quindi alla parte dell'articolato normativo del GDPR (ma questo è in ogni caso lex specialis), giova rilevare che il cons. 16 del regolamento Bruxelles 1-bis fa espresso riferimento alle «controversie in materia di obbligazioni extracontrattuali derivanti da violazioni della privacy e dei diritti della personalità». In particolare, l'art. 7.2 del menzionato regolamento individua, in materia di obbligazione da illecito civile (tort, delict or quasi-delict), quale foro alternativo a quello del domicilio del convenuto, il «luogo il cui l'evento dannoso [nel senso di “pregiudizievole”, «harmful event», n.d.a.] è avvenuto o può avvenire».

Legge processuale applicabile

Si segue la lex fori (cfr. considerando 143, ispirato a un generale principio di territorialità della legge processuale).

Rimedio giurisdizionale “effettivo”.

La nozione di rimedio giurisdizionale «effettivo» rimanda all'art. 47 della Carta dei diritti fondamentali dell'UE, che al primo paragrafo dispone: «Ogni persona i cui diritti e le cui libertà garantiti dal diritto dell'Unione siano stati violati ha diritto a un ricorso effettivo dinanzi a un giudice [...]», e al secondo reca: «Ogni persona ha diritto a che la sua causa sia esaminata equamente, pubblicamente ed entro un termine ragionevole da un giudice indipendente e imparziale, precostituito per legge». Al terzo paragrafo è garantito il gratuito patrocinio. Sono dunque questi i parametri di riferimento da tenere presenti anche rispetto all'applicazione dell'art. 79 (come pure dell'art. 78).

Il diritto al rimedio giurisdizionale effettivo deve considerarsi un principio fondamentale dell'Unione, cfr. in proposito, giova richiamare il par. 95 della decisione CGUE, 6 ottobre 2015, C-362/14, Schrems: «[...] L'esistenza stessa di un controllo giurisdizionale effettivo, destinato ad assicurare il rispetto delle disposizioni del diritto dell'Unione, è inerente all'esistenza di uno Stato di diritto (v., in tal senso, sentenze Les Verts/Parlamento, 294/83, EU:C:1986:166, punto 23; Johnston, 222/84, EU:C:1986:206, punti 18 e 19; Heylens e a., 222/86, EU:C:1987:442, punto 14, nonché, UGT-Rioja e a., da C-428/06 a C-434/06, EU:C:2008:488, punto 80)».

Si veda, sul tema del controllo giurisdizionale effettivo, anche l'Opinione 1/2016 dell'ex Gruppo di lavoro 29, p. 11. Il documento è di interesse anche per un approfondimento sulla tessitura dei rapporti tra la Carte UE e la CEDU. In particolare, il Gruppo di lavoro fa riferimento alla giurisprudenza della Corte EDU elaborata ad esempio nelle cause Klass et al., n. Corte EDU 6 settembre 1978 5029/71, e Kennedy, Corte EDU 18 maggio 2010 n. 26839/05. Ai fini della nozione di «rimedio effettivo», il requisito del «giudice indipendente» non implica necessariamente l'Autorità giudiziaria ordinaria, ma è soddisfatto anche da organismi giurisdizionali concretamente indipendenti, dotati di regole di procedura, i cui componenti provengano dalle magistrature superiori o siano avvocati esperti, che abbiano accesso a ogni informazione funzionale al caso, incluse quelle ad accesso riservato, e che dispongano di poteri sanzionatori nel caso di inottemperanza.

Sospensione per litispendenza internazionale.

Per quanto riguarda la disciplina della sospensione del procedimento nel caso di litispendenza tra autorità giurisdizionali di Stati membri diversi si rimanda allo specifico commento subart. 81 GDPR, limitandoci qui ad alcune sintetiche note. La sospensione richiede i seguenti presupposti:

1) identità di oggetto tra i procedimenti;

2) identità di ruolo attivo del trattamento (ossia titolare o responsabile del trattamento).