Le linee guida sull’applicazione dell’Art. 65(1)(a) emanate dall’EDPB alla fine di maggio si propongono di delineare le fasi chiave della procedura prevista dal GDPR e di spiegare la competenza del Comitato europeo per la protezione dei dati nell’emanazione di una decisione giuridicamente vincolante in base proprio all’art. 65, comma 1, lettera a) del Regolamento.
La ratio che sta dietro all’articolo 65 del GDPR (“Composizione delle controversie da parte del comitato”), lo ricordiamo, è quella di “risolvere” i disaccordi al fine di garantire un’interpretazione e un’applicazione uniforme e precisa del GDPR nel contesto del trattamento transfrontaliero dei dati personali.
Esso è dunque finalizzato a dirimere le divergenze di opinione tra le autorità capo-luogo di vigilanza (LSA) e le autorità di vigilanza coinvolte (CSA) su specifici aspetti di un caso, in particolare riguardo alla presenza o meno di un’inosservanza del GDPR, per assicurare una sua corretta applicazione in ogni singolo caso.
Indice degli argomenti
Lo scopo delle linee guida EDPB
Suddetto paragrafo dell’art. 65 del GDPR prescrive che l’EDPB emetta una decisione vincolante quando un’autorità di vigilanza capo-luogo (LSA) formula una bozza di decisione e riceve obiezioni da parte delle autorità di vigilanza coinvolte (CSA) che sceglie di non seguire o ritiene non siano pertinenti e motivate.
Le nuove linee guida introdotte vanno ulteriormente a rimarcare la competenza dell’EDPB quando emette una decisione vincolante ai sensi del paragrafo 1, punto a, dell’articolo 65 del GDPR. Secondo tale articolo, la decisione vincolante dell’EDPB riguarda tutti gli argomenti oggetto dell’obiezione rilevante e motivata.
Di conseguenza, l’EDPB valuterà prima di tutto se le obiezioni presentate raggiungono lo standard di “rilevanza e motivazione” come previsto dall’articolo 4, paragrafo 24, del GDPR.
Solo per le obiezioni che superano questa soglia, l’EDPB prenderà una posizione sul merito delle questioni sostanziali sollevate. Le direttive analizzano esempi di obiezioni che evidenziano disaccordi tra l’LSA e le CSA su questioni specifiche e chiariscono la competenza dell’EDPB in ogni situazione.
Le linee guida inoltre elencano le garanzie procedurali e i ricorsi disponibili, in linea con le disposizioni rilevanti della Carta dei diritti fondamentali dell’Unione Europea, del GDPR e del regolamento interno dell’EDPB. In particolare, trattano il diritto di essere ascoltato, il diritto di accedere al dossier, l’obbligo per l’EDPB di motivare le proprie decisioni, oltre a descrivere i rimedi legali disponibili.
Le linee guida, tuttavia, non trattano la risoluzione dei conflitti da parte dell’EDPB nei casi in cui:
- vi sono divergenze di opinione su quale delle autorità di vigilanza coinvolte sia responsabile per lo stabilimento principale (articolo 65, paragrafo 1, punto b, del GDPR);
- un’autorità di vigilanza competente non richiede il parere del Comitato nei casi dell’articolo 64, paragrafo 1, o
- non segue il parere del Comitato emesso ai sensi dell’articolo 64 (articolo 65, paragrafo 1, punto c, del GDPR).
Le fasi cruciali della procedura dell’EDPB
Da un punto di vista più pratico, le linee guida comprendono principalmente due parti:
- le condizioni per l’adozione di una decisione vincolante;
- la valutazione della completezza del fascicolo.
Per quanto riguarda le condizioni per l’adozione di una decisione vincolante, le norme generali dell’EDPB sono delineate dagli articoli 60 e 65 del GDPR.
L’EDPB ha il potere di emettere decisioni vincolanti quando le seguenti condizioni sono soddisfatte:
- un progetto di decisione viene presentato dalle autorità di controllo principali (LSA) alle autorità di controllo interessate (CSA);
- almeno una CSA ha presentato obiezioni alla bozza di decisione entro un termine definito;
- la LSA ha scelto di non seguire o di respingere le obiezioni sulla bozza di decisione.
In tali circostanze, l’EDPB può adottare una decisione vincolante che riguarda tutte le questioni oggetto di obiezioni pertinenti e motivate, in particolare eventuali violazioni del GDPR.
Un aspetto importante da sottolineare è che un semplice “commento” espresso da un CSA su un progetto di decisione non è pari a un’obiezione secondo l’articolo 4 del GDPR.
I commenti non obbligano quindi l’attivazione della procedura dell’articolo 65. Tuttavia, la LSA deve considerare i pareri espressi da tutti i CSA.
La valutazione della completezza del fascicolo, responsabilità del presidente e della LSA, è una fase chiave della procedura. L’obiettivo è assicurare che tutte le condizioni per l’adozione di una decisione vincolante siano soddisfatte e che l’EDPB disponga di tutte le informazioni necessarie. Questa fase serve anche a garantire il rispetto del diritto di essere ascoltati secondo l’articolo 41 del TUE.
Nel sottoporre la questione all’EDPB per la risoluzione delle controversie, l’LSA deve includere vari elementi, tra cui il progetto di decisione, una sintesi dei fatti e dei motivi rilevanti, l’obiezione o le obiezioni sollevate, l’indicazione se la LSA non segue l’obiezione o se ritiene che l’obiezione non sia pertinente o motivata, la documentazione comprovante la tempistica e il formato della fornitura del progetto di decisione e delle obiezioni, e infine, le osservazioni scritte raccolte dalla LSA da coloro che potrebbero essere danneggiati dalla decisione della commissione.
L’articolo 60 del GDPR e l’articolo 11 del RdP[1] stabiliscono che la LSA è responsabile della completezza del fascicolo e della presentazione di tutte le informazioni pertinenti all’EDPB.
La procedura prevede anche l’assicurazione del diritto al contraddittorio secondo l’articolo 41 del TUE. Inoltre, una volta che il fascicolo è stato dichiarato completo, l’EDPB procede alla fase di deliberazione. Il comitato si riunisce e discute il caso, esaminando le obiezioni sollevate e valutando se la bozza di decisione della LSA sia conforme al GDPR. L’obiettivo di questa fase è raggiungere un consenso, che viene raggiunto quando la maggioranza dei membri dell’EDPB concorda con la decisione.
Se non si raggiunge un consenso, l’EDPB può procedere al voto. Per approvare una decisione, è necessaria una maggioranza qualificata dei membri, come previsto dall’articolo 65(1) del GDPR.
In tutto il processo, l’EDPB deve rispettare i principi del buon amministratore, compresa la trasparenza, l’equità e la tempestività delle sue decisioni. L’obiettivo è garantire la tutela dei diritti degli interessati e la conformità al GDPR da parte delle organizzazioni.
Conclusioni
Il meccanismo di coerenza delineato GDPR svolge un ruolo cruciale per garantire l’applicazione omogenea del regolamento in tutta l’Unione Europea.
Il suo scopo principale è quello di risolvere le eventuali controversie tra le Autorità di vigilanza leader (LSA) e le Autorità di vigilanza coinvolte (CSA), assicurando la consistenza e la legalità delle decisioni prese in merito alla protezione dei dati.
Quando si verificano disaccordi tra queste autorità, l’EDPB interviene, valutando le obiezioni sollevate e prendendo una decisione vincolante a maggioranza di due terzi dei suoi membri con diritto di voto. Questa decisione viene poi notificata alle autorità di controllo interessate, la LSA e/o la CSA, che devono adottare una decisione finale sulla base della decisione dell’EDPB nel mese successivo alla notifica.
È importante sottolineare che un’obiezione, per essere ritenuta “pertinente e motivata”, deve essere coerente, chiara, precisa, dettagliata e deve illustrare le ragioni dell’obiezione. In caso di mancato rispetto di questi requisiti, l’EDPB avrà il diritto di non considerarla nel processo decisionale.
Riguardo alla pubblicazione delle decisioni, l’EDPB è tenuto a pubblicare le decisioni vincolanti sul suo sito web “senza indebito ritardo”. Tuttavia, l’articolo 339 del TFUE impone la riservatezza per le informazioni coperte dal segreto professionale, il che può comportare l’omissione di certe parti delle decisioni pubblicate.
In conclusione, il meccanismo di coerenza sancito dal GDPR garantisce un’interpretazione e un’applicazione uniformi del regolamento su tutto il territorio dell’Unione Europea, facilitando la risoluzione delle controversie tra le autorità di vigilanza e garantendo la protezione dei dati personali dei cittadini europei.
NOTE
Regolamento interno dell’EDPB, adottato il 25 maggio 2018, modificato da ultimo e adottato l’8 ottobre 2020 ↑
