Il Regolamento Europeo dedica il Capo VI alla figura dell’Autorità di Controllo intesa come l’Autorità pubblica e indipendente istituita da ogni Stato membro.
Il termine “controllo” non deve indurre in errore dal momento che tale organo somma in sé poteri reattivi e propulsivi.
L’art. 55 del Regolamento individua una regola di carattere territoriale prevedendo che ciascuna Autorità di controllo è competente ad esercitare le funzioni a questa spettante e attribuitegli dal Regolamento Europeo nell’ambito territoriale dello Stato di riferimento.
Quanto ai compiti dell’Autorità, rinviando all’art. 57 del Regolamento per un elenco esaustivo, tali compiti si suddividono in quattro categorie relative: all’interessato, all’attività dei titolari e dei responsabili nonché alla cooperazione con le altre autorità di controllo a livello sovranazionale.
Al fine di garantire l’applicazione del Regolamento e per poter esercitare i compiti suindicati le autorità di controllo dispongono di diversi poteri che possono essere raggruppati in quattro categorie. La prima corrisponde al potere di indagine che implica la possibilità per l’Autorità di acquisire notizie o informazioni necessarie ad investigare su possibili violazioni.
Il secondo gruppo di poteri può definirsi come di tipo correttivo tale per cui l’Autorità può ingiungere al titolare o al responsabile di tenere un determinato comportamento o di astenersi da una determinata condotta perché ritenuta lesiva dei diritti degli interessati.
Vi sono infine i poter consultivi e autorizzativi con i quali si fornisce consulenza al titolare del trattamento nel corso di una consultazione preventiva oppure si rilasciano di propria iniziativa pareri destinati al Parlamento nazionale.
L’art 2-bis del “Codice della Privacy”, così come modificato dal Dlgs. n. 101/2018, contiene la specificazione che a livello nazionale l’Autorità di controllo è individuata nel Garante per la protezione dei dati personali.
L’art. 153 del sopra citato Codice è interamente dedicato ad illustrare la struttura dell’Autorità di controllo italiana.
Il Garante è composto dal Collegio, che ne costituisce il vertice, e dall’Ufficio. Ha una struttura collegiale: è composto da 4 membri, due eletti dalla Camera dei deputati e due dal Senato della Repubblica, che al loro interno nominano un Presidente.
Si elencano all’art 154 nel dettaglio i compiti del Garante, i provvedimenti che lo stesso può adottare, nonché gli accertamenti che può effettuare nello svolgimento delle sue funzioni.
Tali compiti sono individuati sulla base di un adeguamento di quanto previsto dal Regolamento; degna di segnalazione perché costituisce un’innovazione rispetto al previgente Codice è la previsione del potere assegnato al Garante dal nuovo art. 154-ter del “Codice della Privacy” di agire in giudizio nei confronti del titolare o del responsabile trattamento nel caso di violazioni delle disposizioni in materia di protezione dati personali.
Al Garante è riconosciuta ai sensi dell’art. 157 del Codice la facoltà di chiedere di esibire documenti, effettuare accessi a banche dati e archivi o ispezioni e verifiche nei luoghi del trattamento.
Quanto agli accertamenti si precisa all’art. 158 Cod. che a queste attività possano prendere parte membri o personale di Autorità di controllo di altri Stati membri dell’unione Europea.
Le autorità di controllo di ciascun stato membro, infatti, non operano in maniera isolata le une dalle altre, ma cooperano fra loro in modo da assicurare un’applicazione omogenea del Regolamento.
Si può pertanto parlare di un principio di collaborazione che si estende su tutto il territorio europeo.
Tale collaborazione si attua con due diversi modalità: la prima è quella della cooperazione fra Autorità di controllo capofila e altre Autorità; l’altra riguarda l’assistenza reciproca fra Autorità di controllo.
Per quest’ultima attività è previsto che le Autorità debbano collaborare non solo nel fornire le informazioni richieste dall’interessato in merito all’esercizio dei propri diritti, ma anche scambiarsi informazioni sulla base delle quali svolgere le proprie indagini e prestarsi assistenza reciproca per favorire una corretta applicazione del Regolamento Europeo.
A tal fine, recita il Regolamento all’art. 61, “L’assistenza reciproca comprende le richieste di informazioni e le misure di controllo, quali richieste di autorizzazioni e consultazioni preventive e le richieste di effettuare ispezioni e indagini”.
Ogni Autorità di controllo adotta tutte le misure necessarie per dare seguito alle richieste provenienti da altre Autorità senza ritardo.
Altro corollario in tema di collaborazione fra le autorità di controllo è la necessità di assicurare omogeneità di soluzioni e approccio in diversi Stati membri.
La disciplina prevede che se il titolare del trattamento o il responsabile del trattamento sia stabilito in uno o più di uno Stato membro o se il trattamento incida o possa verosimilmente incidere su interessati in più di uno Stato membro, l’autorità di controllo dello stabilimento principale del titolare o del responsabile del trattamento o dello stabilimento unico funga da autorità capofila.
In entrambi i casi quindi, in virtù del fatto che l’attività del titolare coinvolge più di uno Stato membro – in un caso dal punto di vista dello stabilimento, nell’altro rispetto agli effetti prodotti dai trattamenti effettuati – dovrà essere individuata un’autorità di controllo deputata a coordinare la cooperazione con le altre autorità appartenenti agli Stati membri interessati.
Si attiva così il cosiddetto meccanismo dello Sportello Unico o “One stop shop”, l’Autorità capofila coopera con le altre Autorità interessate ed è competente ad adottare decisioni vincolanti.
Il meccanismo dello sportello unico è volto a migliorare l’armonizzazione e l’applicazione uniforme della legislazione dell’Ue in materia di protezione dei dati in diversi Stati membri.
Tuttavia, se da un lato la presenza dell’autorità capofila è volta a garantire un’applicazione omogenea del Regolamento questo è vantaggioso anche per le aziende, in quanto devono trattare solo con l’Autorità capofila anziché con le diverse autorità di controllo.
Da un punto di vista procedurale, a seguito della segnalazione da parte di un’Autorità di controllo, è possibile che l’Autorità capofila decida di trattare il caso attivando la procedura prevista dall’art. 60 Reg. e relativa alla cooperazione fra l’Autorità di controllo capofila e le altre.
Riveste particolare importanza in questa procedura l’assistenza reciproca tra le autorità di controllo che comprende richieste di informazioni, trasmissione di elementi utili per lo svolgimento delle indagini o lo svolgimento di operazioni congiunte.
L’Autorità capofila è competente ad emanare la decisione finale ma dovrà coordinarsi con tutte le autorità interessate e tenere conto di tutte le obiezioni che verranno sollevate alla capofila.
Tuttavia, il principio del “One stop shop” subisce delle eccezioni. Infatti, l’Autorità di controllo che riceve un reclamo può invocarne il carattere esclusivamente locale e chiedere all’Autorità capofila di rinunciare al suo ruolo.
Il 25 giugno di quest’anno il Comitato Europeo per la protezione dei dati ha reso pubblico un registro che conterrà tutte le decisioni prese nell’ambito della cooperazione tra l’Autorità di controllo capofila e le altre Autorità di controllo interessate.
Stando alle intenzioni del Comitato, il registro consentirà un accesso immediato a tutte le decisioni prese nell’ambito del meccanismo dello sportello unico, al fine di favorire una più una più facile reperibilità delle pronunce adottate.
Al momento, il registro contiene 110 decisioni finali che riguardano principalmente questioni relative ai diritti degli interessati e alla liceità dei trattamenti.
La pubblicazione di tale registro costituisce il risultato tangibile della collaborazione tra le Autorità di controllo nell’ambito del meccanismo dell’Autorità capofila.
di Giuseppina Tofalo
