Nel corso di un meeting di alto livello tenutosi a Vienna, i membri dell’European Data Protection Board (nel seguito, anche “EDPB”) hanno concordato sulla necessità di intensificare e rafforzare la cooperazione nella risoluzione di casi strategici, anche al fine di diversificare la gamma di metodi sinora utilizzati.
L’azione congiunta e coordinata delle Autorità di controllo, infatti, è oggi più che mai un bisogno fortemente sentito, ed è fondamentale per poter garantire un’interpretazione coerente e uniforme del GDPR, oltre ad un’applicazione dei suoi principi più rapida e maggiormente efficace.
Si tratta di tematiche sempre affrontate da parte dell’EDPB, che stanno trovando accoglimento anche fra le Autorità nazionali: la complessità di molte casistiche, infatti, specie se transfrontaliere e relative all’uso di tecnologie innovative il cui funzionamento potrebbe non essere ancora pienamente analizzato, richiede il dispiego di risorse ingenti.
Non solo: i casi più rilevanti costituiscono dei precedenti che – in assenza di una trattazione congiunta – potrebbero portare a un’interpretazione frammentata del Regolamento.
Digital services act: molti vantaggi per utenti ed Europa, ma sarà una sfida attuare le nuove norme
Indice degli argomenti
Gli obiettivi strategici dell’EDPB
Andrea Jelinek, presidente del comitato europeo per la protezione dei dati, commentando l’intesa raggiunta con le Autorità di Controllo ha affermato che negli ultimi quattro anni, l’EDPB ha investito “una grande quantità di risorse nell’interpretazione e nell’applicazione coerente del GDPR approvando e adottando non meno di 57 linee guida e 6 raccomandazioni.
L’applicazione da parte delle autorità di protezione dei dati (DPA) è aumentata con multe cumulative fino a 1,55 miliardi di euro alla fine del 2021. Più che mai, un’applicazione forte e rapida è fondamentale per garantire un’interpretazione coerente del GDPR.
Per rimanere al passo con questo crescente carico di lavoro e sfruttare nel modo più efficiente le possibilità di cooperazione previste dal GDPR, identificheremo annualmente una serie di casi transfrontalieri di importanza strategica per i quali verrà fissato un piano d’azione con un calendario fisso per la cooperazione.
Tutti i membri dell’EDPB sono impegnati in una stretta cooperazione e ci concentriamo su soluzioni pratiche per rafforzare la capacità delle autorità di protezione dei dati di far rispettare”.
Lo scopo, quindi, è quello di:
- identificare e classificare i casi di importanza strategica all’interno dei diversi Stati Membri, al fine di prioritizzarne la trattazione a livello europeo;
- stimolare lo scambio di opinioni sui principi e sugli obblighi previsti dal GDPR;
- incentivare lo scambio di informazioni fra le Autorità, per semplificare la trattazione dei casi nazionali;
- creare un sistema efficace per la futura necessaria armonizzazione e applicazione coerente del GDPR e delle normative ad esso connesse (Data Act, Digital Markets Act, Digital Services Act, AI Act, Data Governance Act).
La trattazione dei casi strategici
Come riportato all’interno del comunicato, le Autorità avranno il compito di identificare, su base regolare, dei casi transfrontalieri di importanza strategici all’interno dei diversi Stati Membri, che necessitano di una trattazione prioritaria e congiunta, oltre che del supporto dell’EDPB nella loro definizione.
Affinché possano definirsi “di importanza strategica” i casi da affrontare dovranno soddisfare una serie di criteri qualitativi e quantitativi: a titolo esemplificativo, potranno essere ritenuti tali casi che coinvolgono un numero ingente di interessati all’interno dello Spazio Economico Europeo, casi che riguardano un problema strutturale o ricorrente in diversi Stati membri, oppure casi relativi all’intersezione della protezione dei dati con altri settori giuridici.
Sotto la direzione dell’autorità di vigilanza capofila, sarà stabilito un piano d’azione a livello del Comitato Europeo per la Protezione dei dati, al fine di garantire che “i lavori siano condotti nel modo più efficiente ed entro un termine prestabilito”.
Particolare enfasi sarà posta, dalle Autorità di protezione dei dati, sulla condivisione “precoce e duratura” di tutte le informazioni pertinenti per la trattazione dei casi, al fine di consentire alle stesse di raggiungere un accordo circa i punti essenziali degli stessi, e la loro risoluzione.
Inoltre, le autorità di protezione dei dati si impegneranno a scambiarsi delle informazioni anche sulle strategie nazionali di applicazione, al fine di concordare le priorità annuali di applicazione a livello di Comitato, che possono riflettersi nei programmi nazionali di applicazione. Le autorità di protezione dei dati possono preparare un quadro comune di applicazione, compresi strumenti comuni per le ispezioni.
Alle Autorità in materia di protezione dei dati sarà dunque data la facoltà di decidere se agire congiuntamente e unire le forze nello svolgimento delle attività di indagine e di applicazione del GDPR, condividendo il proprio lavoro all’interno di gruppi appositamente costituiti, oltre che con l’ausilio di una task force dell’EDPB.
L’EDPB faciliterà l’uso di tutti gli strumenti previsti dal GDPR, comprese le indagini congiunte di cui all’articolo 62. I membri dell’EDPB hanno stabilito che le indagini congiunte potranno essere svolte da un numero limitato di autorità di protezione dei dati, per motivi di efficienza delle indagini stesse.
L’EDPB, inoltre “razionalizzerà l’uso del meccanismo di risoluzione delle controversie di cui all’articolo 65 [del GDPR] e delle procedure d’urgenza di cui all’articolo 66 [del GDPR] da parte delle autorità di protezione dei dati”.
Le procedure di cooperazione
Al fine di raggiungere gli obiettivi descritti, saranno formalizzate delle procedure che consentiranno alle Autorità nazionali ed all’EDPB di cooperare in modo efficace, nel rispetto non solo di quanto previsto dalla normativa europea ma anche dalle singole legislazioni procedurali nazionali, nei cui confronti sarà necessario un processo di armonizzazione.
All’EDPB sarà affidato, infatti, l’espresso compito di individuare un elenco degli aspetti procedurali che potrebbero dover essere ulteriormente armonizzati nel contesto del diritto europeo, così da “massimizzare l’impatto positivo della cooperazione in materia di GDPR”. Disposizioni orizzontali armonizzate nel diritto processuale amministrativo potrebbero, secondo quanto riporta l’EDPB medesimo, colmare le differenze nello svolgimento dei procedimenti (transfrontalieri) da parte delle autorità di protezione dei dati per aumentare l’efficienza degli stessi.
L’EDPB raccoglierà, inoltre, le best practices relative all’interpretazione del diritto processuale nazionale, allo scopo di garantire un’applicazione più efficace del GDPR.
Sempre per facilitare lo scambio transfrontaliero di informazioni, l’EDPB:
- proporrà un modello per i reclami degli interessati, che dovrà essere utilizzato dalle autorità di protezione dei dati su base volontaria;
- continuerà a migliorare i suoi strumenti di cooperazione informatica, con il sostegno della Commissione europea.
Conclusioni
Fondamentale, negli anni a venire, sarà anche “integrare solidamente il GDPR e le DPA nell’architettura normativa complessiva che si sta sviluppando per il mercato digitale (Data Act, DMA, DSA, AI Act, DGA).
Sarà necessario garantire una chiara distribuzione delle competenze tra le autorità di regolamentazione e una cooperazione efficiente”.
