REGOLAMENTO (UE) 2025/2518 - norme procedurali aggiuntive sull’applicazione del GDPR
SCHEDA DI APPROFONDIMENTO A CURA DI SIMONE CHIARELLI
Sintesi in 10 Punti del Regolamento (UE) 2025/2518
Il documento stabilisce norme procedurali aggiuntive per rendere più efficace l’applicazione transfrontaliera del GDPR. Ecco i 10 aspetti più importanti:
- Armonizzazione dei Reclami (Art. 4): Definisce requisiti standard per l’ammissibilità di un reclamo transfrontaliero (es. dati di contatto, prova del mandato per le ONG, identità del titolare). Se mancano informazioni, l’autorità deve informare il reclamante entro precisi termini.
- Ruolo dell’Autorità Ricevente: L’autorità che riceve il reclamo effettua il controllo preliminare di ammissibilità e determina se il caso è transfrontaliero, trasmettendolo poi all’Autorità di Controllo Capofila (LSA).
- Risoluzione Rapida (Art. 5): Introduce una procedura per chiudere velocemente i casi in cui la violazione è cessata o il reclamo è divenuto privo di oggetto (es. il titolare ha risolto il problema amichevolmente), evitando indagini lunghe e complesse.
- Cooperazione Semplice (Art. 6): Per casi chiari e non complessi, l’Autorità Capofila può procedere con iter semplificati se non vi sono obiezioni da parte delle altre autorità interessate (CSA).
- Sintesi delle Questioni Principali (Art. 10): L’Autorità Capofila è obbligata a condividere con le altre autorità una “Sintesi delle questioni principali” (fatti, ambito dell’indagine, analisi giuridica) nelle fasi iniziali, per allineare subito le opinioni ed evitare conflitti tardivi.
- Termini Perentori (Art. 12): Fissa scadenze precise per evitare l’inerzia. Ad esempio, l’Autorità Capofila deve presentare un progetto di decisione entro 15 mesi dalla conferma della propria competenza (prorogabile solo in casi eccezionali).
- Diritto di Essere Ascoltati (Art. 19): Formalizza il diritto delle parti indagate di ricevere le “Constatazioni Preliminari” (l’atto di accusa) e di presentare memorie difensive scritte prima che venga redatto il progetto di decisione finale.
- Coinvolgimento del Reclamante (Art. 20): Anche il reclamante ha diritto a ricevere una versione (non riservata) delle constatazioni preliminari e a esprimere la propria opinione se il provvedimento tocca i suoi diritti.
- Accesso al Fascicolo e Riservatezza (Art. 24-25): Regola l’accesso al fascicolo amministrativo per le parti indagate, bilanciandolo con la rigorosa protezione dei segreti commerciali e delle informazioni riservate (obbligo di fornire versioni “omissate”).
- Risoluzione delle Controversie (Art. 27-33): Struttura in modo dettagliato come e quando le questioni devono essere deferite al Comitato Europeo (EDPB) in caso di disaccordo tra autorità o nei casi di urgenza, specificando la documentazione necessaria.
Integrazioni con il GDPR
Questo Regolamento non sostituisce il GDPR (Regolamento UE 2016/679), ma lo integra proceduralmente, colmando le lacune che avevano rallentato l’applicazione della legge nei primi anni.
- Da “Soft Law” a “Hard Law”: Molte pratiche che prima erano solo suggerite nelle linee guida dell’EDPB (come la condivisione precoce delle informazioni) diventano ora obblighi giuridici vincolanti.
- Supporto all’Articolo 60 (Cooperazione): Il GDPR definisce cosa fare (cooperare), questo regolamento definisce come farlo (moduli, scadenze, formato degli scambi).
- Uniformità Amministrativa: Prima del 2025, le procedure amministrative (es. come accedere agli atti, come presentare un reclamo) variavano in base alla legge nazionale di ogni Stato membro (Irlanda vs Italia vs Germania). Ora queste procedure sono armonizzate a livello UE per i casi transfrontalieri, riducendo la frammentazione e il “forum shopping”.
- Potenziamento dell’Art. 65 (Dispute): Rende più difficile per un’Autorità Capofila ignorare le obiezioni delle altre autorità, costringendo a un confronto formale sui “fatti pertinenti” e sulle “motivazioni giuridiche” prima di arrivare allo scontro finale.
10 Esempi di Applicazione Pratica
Ecco come queste norme si applicheranno nella realtà operativa:
- Il “Filtro” del Reclamo: Un utente italiano invia un reclamo contro un social network irlandese. Il Garante italiano verifica che il modulo contenga tutti i campi dell’Art. 4. Se incompleto, lo dichiara inammissibile subito; se valido, lo passa all’Irlanda vincolando quest’ultima sulla ricevibilità.
- Chiusura per “Cessata Materia”: Un cittadino francese segnala che un sito di e-commerce polacco non lo ha cancellato dalla newsletter. L’azienda provvede subito e si scusa. L’autorità polacca usa la “Risoluzione Rapida” (Art. 5) per chiudere il caso senza sanzioni e senza attivare la complessa macchina della cooperazione UE.
- Accordo sull’Ambito (Scope): L’Irlanda indaga su una Big Tech per un data breach. La Germania ritiene che si debba indagare anche sulla “base giuridica” del trattamento. Grazie all’Art. 10, questo disaccordo emerge subito (nella “Sintesi delle questioni principali”) e viene risolto all’inizio, non alla fine dell’indagine.
- Diritto di Difesa Preventivo: Un’azienda svedese riceve le “Constatazioni Preliminari” dall’autorità capofila. Scopre che l’autorità ha frainteso un aspetto tecnico. Presenta una memoria difensiva (Art. 19) prima che la bozza di decisione venga inviata a tutti gli altri garanti europei, correggendo il tiro in tempo.
- Accesso agli Atti “Omissato”: L’azienda indagata chiede accesso al fascicolo. L’autorità fornisce i documenti ma oscura le email interne scambiate con altri Garanti (escluse dall’accesso ex Art. 24) e le parti tecniche coperte da segreto industriale.
- Voce del Reclamante: Un’associazione (NOYB, ad esempio) che ha presentato reclamo riceve la versione non riservata delle accuse mosse all’azienda. Nota che la sanzione proposta è troppo bassa e invia osservazioni scritte (Art. 20) chiedendo maggiore severità.
- Sblocco dell’Inerzia: L’Autorità Capofila non produce una bozza di decisione entro 15 mesi. Le altre autorità interessate (es. Italia, Spagna) possono segnalare la violazione del termine e attivare la procedura d’urgenza o il deferimento all’EDPB per costringere a una decisione (Art. 12).
- Procedura Semplificata: Un’app di incontri ha un’informativa privacy leggermente carente. È una violazione minore e chiara. L’autorità capofila notifica alle altre che userà la “Cooperazione Semplice” (Art. 6): niente sintesi complesse, si va dritti al provvedimento finale se nessuno si oppone in 2 settimane.
- Protezione dei Segreti: Durante un’indagine su un algoritmo di AI, l’azienda fornisce il codice sorgente all’autorità ma lo marca come “Riservato” (Art. 25). L’autorità garantisce che questo non venga mostrato al reclamante o reso pubblico nella decisione finale.
- Caso d’Urgenza (TikTok/ChatGPT scenario): Un trattamento dati mette a rischio immediato i minori in Italia. Il Garante italiano adotta un blocco provvisorio. Il Regolamento (Art. 32) specifica esattamente quali documenti l’Italia deve inviare all’EDPB entro scadenze strettissime per trasformare quel blocco nazionale in una decisione vincolante europea.
TESTO INTEGRALE DEL REGOLAMENTO
OJ_L_202502518_IT_TXT.pdf (1,2 MB)
