Corte di Giustizia UE: un reclamo amministrativo all’Autorità di protezione dei dati personali e un ricorso giurisdizionale per lo stesso oggetto possono procedere in parallelo.

Con la sentenza nella causa C-414/24, Datenschutzbehörde, la Corte di giustizia dell’Unione europea ha chiarito che un’autorità di controllo non può respingere un reclamo ai sensi dell’art. 77 GDPR per il solo fatto che, sulla stessa vicenda, sia già pendente un giudizio civile promosso ai sensi dell’art. 79 GDPR.

Il caso riguardava una professionista che aveva chiesto la cancellazione dei propri dati da una piattaforma di valutazione dei medici. Dopo il diniego del gestore, l’interessata aveva dapprima adito il giudice civile e successivamente presentato reclamo all’autorità austriaca per la protezione dei dati. Quest’ultima aveva dichiarato il reclamo inammissibile proprio a causa della pendenza del procedimento giudiziario.

La Corte ha ritenuto tale soluzione incompatibile con il GDPR. Il reclamo all’autorità di controllo e il ricorso giurisdizionale costituiscono infatti rimedi autonomi e concorrenti, destinati a svolgere funzioni diverse: il primo attiva i poteri di indagine, correttivi e sanzionatori dell’autorità; il secondo assicura la tutela davanti al giudice, anche ai fini dell’inibitoria e del risarcimento del danno.

Il rischio di decisioni contrastanti non giustifica, da solo, il rigetto del reclamo. Una simile impostazione potrebbe lasciare l’interessato privo di tutela qualora il giudizio civile si concludesse senza una decisione di merito, ad esempio per ragioni processuali, mentre nel frattempo fosse scaduto il termine per proporre reclamo.

La pronuncia conferma quindi che gli Stati membri possono disciplinare le modalità di coordinamento tra i due rimedi, ma non possono limitarne l’effettività né compromettere il livello di protezione garantito dal GDPR e dall’art. 47 della Carta dei diritti fondamentali dell’Unione europea.

La pronuncia, pur collocandosi nel solco dei precedenti Hatóság del 12 gennaio 2023, causa C-132/21, e Schufa Holding (Esdebitazione) del 7 dicembre 2023, cause riunite C-26/22 e C-64/22, è destinata a riaprire il dibattito sul coordinamento tra il reclamo all’autorità di controllo e il ricorso giurisdizionale previsti dal GDPR. La decisione assume particolare rilievo anche per l’ordinamento italiano, poiché l’art. 140-bis del Codice Privacy prevede un regime di alternatività tra reclamo al Garante e ricorso giurisdizionale. Alla luce della sentenza, tale disciplina potrebbe richiedere una nuova valutazione di compatibilità con il diritto dell’Unione.