Verso un GDPR più incisivo e coordinato: il nuovo regolamento procedurale europeo
Il Consiglio dell’Unione europea ha recentemente approvato un orientamento generale sulla proposta di Regolamento del Parlamento europeo e del Consiglio che introduce norme procedurali aggiuntive per l’applicazione del GDPR (Reg. UE 2016/679), con particolare riferimento ai procedimenti transfrontalieri (premrere qui per leggere).
Questa proposta, attualmente designata con il numero interistituzionale 2023/0202(COD), rappresenta una delle modifiche più strutturate alla governance del GDPR sin dalla sua entrata in vigore, mirando a sanare lacune operative emerse nei meccanismi di cooperazione tra le autorità di controllo.
Obiettivi dichiarati e ratio normativa
Il nuovo regolamento intende:
- garantire un funzionamento fluido ed efficiente dei procedimenti transfrontalieri;
- rafforzare il ruolo del meccanismo di coerenza e della lead supervisory authority;
- tutelare in modo più effettivo i diritti procedurali degli interessati e delle parti soggette a indagine.
Non si tratta di una modifica sostanziale al GDPR, ma di un potenziamento dell’architettura procedurale su cui si fonda la sua attuazione concreta nei casi che coinvolgono più Stati membri.
Reclami e gestione transfrontaliera: più trasparenza, meno ambiguità
Uno dei punti cardine del nuovo regolamento è la standardizzazione della ricezione e gestione dei reclami transfrontalieri. Viene introdotta una definizione più stringente di “reclamo” (art. 3, §1), distinguendolo dalle mere segnalazioni o richieste generiche.
I requisiti minimi per la ricevibilità sono chiaramente stabiliti. Non potranno essere richieste informazioni aggiuntive ai fini della ricevibilità oltre a quelle tassativamente previste.
Le autorità di controllo mantengono discrezionalità, ma devono decidere sulla ricevibilità entro 4 settimane, prorogabili di ulteriori 2 per casi complessi.
🔎 Punto chiave: L’autorità che riceve il reclamo ha l’ultima parola sulla sua ricevibilità e la decisione è vincolante per l’autorità capofila.
Accelerazione procedurale e risoluzione rapida
In nome dell’efficienza e della decongestione dei procedimenti, l’art. 5 introduce la “procedura di risoluzione rapida” per i reclami che possono essere definiti prima dell’avvio formale della cooperazione interstatale.
Ciò può avvenire se:
- la richiesta del reclamante è stata soddisfatta in modo documentato;
- vi è una composizione amichevole, con silenzio-assenso se il reclamante non si oppone entro 4 settimane (prorogabili a 6).
Questa norma bilancia rapidità ed equità, ma lascia spazio a tensioni interpretative sulla soglia di “soddisfazione” del diritto reclamato.
Diritto ad essere ascoltati: dalla formalità alla sostanza
Il diritto ad essere ascoltati – già riconosciuto in astratto dal GDPR – trova ora una codificazione dettagliata. Il nuovo regolamento prevede:
- l’accesso alle constatazioni preliminari e al fascicolo amministrativo;
- la possibilità per le parti indagate di esprimersi prima dell’adozione del progetto di decisione;
- l’adozione di formati chiari e sintetici, anche per le sintesi delle questioni chiave condivise tra autorità.
Si rafforza così il principio di buona amministrazione e si limita il rischio di decisioni arbitrarie, restituendo coerenza ai procedimenti multi-giurisdizionali.
Meccanismi cooperativi potenziati e nuove prerogative per le autorità
La proposta attribuisce una rilevanza cruciale alla cooperazione anticipata e proattiva tra le autorità di controllo. Si incoraggia la condivisione:
- di documenti investigativi rilevanti;
- di sintesi tecniche e giuridiche preliminari;
- di progetti decisionali semplificati nei casi di risoluzione rapida.
L’obiettivo è chiaro: ridurre il ricorso al meccanismo di composizione delle controversie (art. 65 GDPR) e garantire una gestione armonizzata e spedita delle indagini.
Implicazioni pratiche
Il testo in esame rappresenta un intervento regolatorio maturo, che recepisce le disfunzioni emerse nella prassi applicativa del GDPR e ne propone una riforma chirurgica ma incisiva.
Dal punto di vista operativo:
- le aziende titolari o responsabili del trattamento dovranno rivedere le proprie strategie difensive e le prassi documentali;
- i professionisti del diritto sono chiamati a padroneggiare le nuove dinamiche procedurali, anche in sede contenziosa;
- per le autorità garanti, la sfida sarà quella di adattarsi rapidamente a standard uniformi senza sacrificare l’efficacia degli interventi.
Si prevede l’approvazione definitiva entro la fine del 2025, ma la traiettoria normativa è già tracciata.
📌 Parola chiave per il futuro: interoperabilità giuridica.
Solo una macchina procedurale armonica potrà sostenere la complessità del diritto alla protezione dei dati in un’Unione realmente digitale.
The post GDPR: le nuove regole UE che (forse) cambiano tutto – cosa devono sapere aziende e avvocati first appeared on Osservatorio Italiano sul Diritto delle Nuove Tecnologie.
