Dati personali: come identificare l’Autorità competente per i trattamenti transfrontalieri

Identificare con precisione l’Autorità di Regolazione competente a vagliare la correttezza e la liceità dei trattamenti dei dati personali è esigenza imprescindibile per ogni titolare/responsabile dei medesimi.

In particolare, tale esigenza diventa insopprimibile allorché il trattamento dei dati ha natura transfrontaliera; natura che, ai sensi dell’art. 4.23 del GDPR, contraddistingue:

1. il trattamento posto in essere da un titolare/responsabile “stabilito” in più Stati Membri dell’Unione Europea;
2. il trattamento posto in essere da un titolare/responsabile stabilito in un solo Stato Membro dell’Unione, ma influente in modo sostanziale o con rilevante probabilità di influire sostanzialmente sui titolari dei dati in più di uno Stato Membro.

Questa esigenza è stata presa in considerazione dalle Linee Guida redatte dall’EDPB in passato, di recente aggiornate con riferimento ai casi di contitolarità del trattamento.

Può dunque essere utile riepilogarne il contenuto, ponendo una particolare attenzione proprio all’ipotesi di contitolarità del trattamento transfrontaliero, che per la sua complessità costituisce di certo lo scenario più delicato, in relazione al quale individuare l’Autorità di Regolazione competente.

Organigramma e funzionigramma privacy: come gestire la “responsabilità generale” dei trattamenti dati

Quando definire “transfrontaliero” il trattamento

La prima difficoltà per i titolari del trattamento consiste nel definire quando un trattamento è di natura transfrontaliera, valutandone l’impatto sostanziale e la rilevante probabilità dello stesso.

Come si evince dall’art. 4.23 del GDPR, i criteri utili a identificare un trattamento dei dati come “transfrontaliero” sono i seguenti:

1. il primo pone pochi problemi in ragione della sua natura intrinsecamente oggettiva: è transfrontaliero il trattamento posto in essere da uno o più titolari/responsabili stabilito/stabiliti in più Stati Membri dell’Unione;
2. più complesso è capire cosa significhi l’espressione “trattamento che impatta sostanzialmente od è in grado di impattare sostanzialmente, ovvero con elevato grado di probabilità, su persone che si trovano in più Stati Membri dell’Unione”.

Impattare significa influire mediante conseguenze o effetti sulle persone fisiche; inoltre, tale impatto, per essere “sostanziale”, deve essere altamente rilevante, importante, di grande portata. Il rilevante impatto, infine, non deve per forza essere concreto e attuale; esso, infatti può essere anche semplicemente “altamente probabile”.

Nell’effettuare questa prima riflessione sul trattamento, le Autorità di Regolazione procedono innanzitutto a un esame del contesto nel quale il trattamento si incardina e dei casi nei quali l’impatto “sostanziale” coincide con situazioni che si verificano (o è altamente probabile che si verifichino) in capo a persone fisiche e dunque:

1. danni o perdite economiche;
2. limitazioni dei diritti o diniego dei medesimi;
3. compromissioni della salute o del benessere psicofisico;
4. compromissioni dello status finanziario o economico;
5. discriminazioni o trattamenti ingiusti;
6. analisi di dati sensibili e/o riferibili a minori;
7. influenze sul comportamento;
8. compromissione della reputazione e/o dell’immagine;
9. coinvolgimento non necessario di un rilevante ed eccessivo numero di dati personali.

Il concetto di Autorità di regolazione principale

Quando un trattamento ha natura transfrontaliera, le Autorità di Regolazione concretamente coinvolte sono per definizione almeno 2. Le linee Guida aiutano (o dovrebbero aiutare) a comprendere quale di esse debba assumere la direzione delle indagini finalizzate ad accertarne la liceità.

Il criterio deputato a risolvere questo aspetto è quello dello “stabilimento principale” del titolare/responsabile del trattamento in uno piuttosto che in un altro Stato Membro dell’Unione.

Ai sensi dell’art. 4.16 del GDPR lo stabilimento principale del titolare del trattamento coincide con il luogo ove si trova la sua sede amministrativa centrale (a meno che le finalità del trattamento e/o i mezzi con i quali questo viene posto in essere siano gestiti/determinati in una sede situata in altro Stato dell’Unione).

Quanto al responsabile del trattamento, il suo stabilimento coincide con la sede della sua amministrazione centrale nell’Unione ovvero, laddove essa non esista, con la sede ove si svolgono le principali attività di trattamento.

Identificare lo stabilimento principale del titolare

Come si è già detto, il luogo dello stabilimento principale del titolare del trattamento coincide con il luogo ove si trova la sua sede principale.

Questo concetto deve peraltro essere interpretato in modo sostanzialistico: la sede principale, infatti, è quella dove vengono assunte le decisioni in ordine alle finalità del trattamento e ai mezzi per svolgerlo.

Dunque, qualora non sia la sede amministrativa a prendere le decisioni in ordine al trattamento ma una altra sede, l’autorità di Regolazione leader sarà quella del luogo di stabilimento di quest’ultima. Se, come talvolta accade, il trattamento sia gestito da più centri decisionali diversi, le Autorità deputate a gestire le indagini, coordinandosi tra loro, saranno quelle corrispondenti ai rispettivi luoghi di stabilimento.

È dunque fondamentale, anche e soprattutto nell’interesse dei titolari dei trattamenti, che essi individuino chiaramente quale sia la sede deputata a gestire concretamente le attività finalizzate ai medesimi.

Casi particolari di individuazione del luogo

Ma quali sono i criteri di individuazione del luogo di stabilimento principale del responsabile del trattamento quando esso non corrisponde al luogo dove si trova la sede amministrativa principale?

Il Considerando 36 del GDPR (n.b. i “Considerando” sono indicazioni di fondamentale importanza che aiutano a capire meglio il testo del GDPR) spiega che quando il luogo di stabilimento principale del responsabile del trattamento non coincide con la sede amministrativa principale dello stesso, esso deve essere individuato nel luogo dove vengono svolte le attività e prese le decisioni che incidono su scopi e mezzi di attuazione del trattamento.

Di norma il responsabile del trattamento indica esso stesso dove si trovi il suo stabilimento principale; tuttavia l’Autorità di Regolazione, sulla base del criterio sopra individuato, può contestare la scelta del titolare del trattamento, identificando un diverso stabilimento principale.

Alcuni elementi, a titolo esemplificativo, possono aiutare ad individuare il luogo dello stabilimento principale del titolare del trattamento, laddove questo non coincida con il luogo della sua sede amministrativa principale:

1. il luogo dove vengono sottoscritte e siglate le decisioni in ordine a finalità e mezzi del trattamento;
2. il luogo dove vengono prese ed attuate le decisioni riguardanti il trattamento dei dati;
3. il luogo dove viene esercitato il potere sostanziale che può prendere decisioni in ordine al trattamento;
4. il luogo dove il manager che esercita il proprio potere sul trattamento svolge le proprie mansioni;
5. il luogo di iscrizione del titolare del trattamento al registro delle imprese (laddove non ve ne sia una pluralità, come nel caso di più sedi amministrative nazionali).

Il caso del gruppo di società

Come ci si deve comportare quando il titolare del trattamento è un gruppo di società cui sono riconducibili diversi stabilimenti nel territorio dell’Unione?

In questo caso si deve presumere che il luogo di stabilimento principale del titolare del trattamento coincida con la sede amministrativa della società controllante, a meno che il trattamento, quanto a scopi e mezzi, sia gestito da un soggetto diverso con diverso luogo di stabilimento principale.

La contitolarità del trattamento

Come anticipato in premessa, le Linee Guida in esame sono identiche alla loro precedente versione, tranne per ciò che concerne lo scenario della contitolarità del trattamento, preso per la prima volta in considerazione proprio dalla attuale release.

I contenuti dedicati a tale scenario, pertanto, costituiscono la vera novità delle Linee Guida sulla identificazione della Autorità di Regolazione principale nel contesto del trattamento transfrontaliero.

Per comprendere i termini della questione conviene partire dalla definizione di contitolarità del trattamento posta dal GDPR con l’art. 26: si ha contitolarità del trattamento allorché più soggetti determinano le finalità, le modalità e i mezzi di attuazione del trattamento dei dati personali.

Ove ciò si verifichi, la medesima norma prevede che i contitolari del trattamento stipulino un accordo col quale determinare le rispettive competenze e responsabilità con riferimento al trattamento, indicando, tra le altre cose, i rispettivi dati di contatto cui rivolgersi qualora i titolari dei dati trattati ne abbiano necessità.

Quello che le Linee Guida aggiungono a tale concetto è in realtà poco altro:

1. nell’ambito dell’accordo tra i contitolari del trattamento, essi non possono designare in modo vincolante una Autorità di Regolazione principale;
2. se lo fanno, tale designazione è, appunto, puramente indicativa, nel senso che le Autorità di Regolazione potranno e dovranno autonomamente decidere quale tra esse sia l’Autorità principale;
3. sempre le Linee Guida precisano che il GDPR, per sua impostazione generale, da un lato non contempla la compresenza di più Autorità principali nel caso di contitolarità del trattamento, mentre dall’altro consente ai titolari dei dati di rivolgersi a tutte le Autorità di Regolazione di riferimento dei vari contitolari del trattamento.

Di conseguenza (e per quanto ciò possa apparire surreale, considerando che il passaggio sulla contitolarità del trattamento è l’unica vera novità rispetto alla versione precedente delle Linee Guida), per determinare quale sia l’Autorità principale in caso di contitolarità del trattamento si dovrà ricorrere ai criteri sopra esaminati con riferimento ai trattamenti transfrontalieri caratterizzati da una titolarità semplice (un solo titolare del trattamento).

Casi limite

Le Linee Guida prendono in considerazione la possibilità che si verifichino scenari particolari, potenzialmente in grado di porre sotto stress il GDPR nella sua attuale versione.

Si immagini, per esempio, che il titolare del trattamento transfrontaliero sia stabilito in più Stati Membri senza peraltro che in alcuno di essi sia possibile individuare una sede amministrativa principale e, dunque, senza possibilità di individuare un’Autorità di Regolazione principale. In un frangente simile, le Linee Guida si limitano a raccomandare che sia il titolare del trattamento stesso a designare la sede di riferimento per il trattamento transfrontaliero e di conseguenza l’Autorità di Regolazione Principale.

Poiché, tuttavia, il GDPR non consente il forum shopping (ovvero la possibilità accordata alle parti di una controversia giudiziaria di affidarla alla cognizione del giudice di uno Stato piuttosto che a quello di un altro), le Autorità di Regolazione o l’EDPB in caso di conflitto tra esse, potranno ritenere che l’Autorità di Regolazione principale sia diversa da quella designata dal titolare del trattamento.

Va da sé che il titolare del trattamento potrà – e, se richiesto, dovrà – fornire evidenze oggettive della correttezza della sua scelta.

E se è presente un responsabile del trattamento?

L’individuazione dell’Autorità di Regolazione principale di riferimento per il responsabile del trattamento segue i criteri sopra individuati con riferimento al medesimo aspetto per il titolare.

Va tuttavia aggiunto che in questo caso l’Autorità di Regolazione principale per il responsabile del trattamento dovrà essere qualificata come “Autorità di Regolazione coinvolta” (il termine inglese è “concerned”) ovvero competente a investigare sul trattamento in coordinamento e sotto la direzione della Autorità di Regolazione principale individuata con riferimento al titolare del trattamento. Che in questo frangente diviene Autorità principale di coordinamento.

Si deve ulteriormente precisare che questa regola vale esclusivamente quando il titolare del trattamento sia stabilito in un solo Stato Membro.

Viceversa, nei casi nei quali un responsabile del trattamento fornisca i suoi servizi a più titolari stabiliti in diversi Stati Membri (come, per esempio, nel caso del fornitore di un servizio di cloud su scala globale), esso si dovrà interfacciare e relazionare con le diverse Autorità di Regolazione principali dei vari titolari del trattamento e con la propria Autorità di Regolazione coinvolta (che di volta in volta si coordinerà con ciascuna di esse).

Il medesimo principio, infine, vale altresì qualora sia il titolare del trattamento a non essere stabilito in alcuno Stato Membro: in questo caso, dunque, esso dovrà nominare uno o più rappresentanti nazionali, i quali dovranno interfacciarsi e interagire, di volta in volta, con le rispettive diverse Autorità di Regolazione nazionali.