Regolamento (UE) 2025/2518 del Parlamento europeo e del Consiglio, del 26 novembre 2025, che stabilisce norme procedurali aggiuntive sull’applicazione del regolamento (UE) 2016/679, (Testo rilevante ai fini del SEE)

Gazzetta ufficiale
dell'Unione europea

IT

Serie L

2025/2518

12.12.2025

REGOLAMENTO (UE) 2025/2518 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO

del 26 novembre 2025

che stabilisce norme procedurali aggiuntive sull’applicazione del regolamento (UE) 2016/679

(Testo rilevante ai fini del SEE)

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16,

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

visto il parere del Comitato economico e sociale europeo (1),

previa consultazione del Comitato delle regioni,

deliberando secondo la procedura legislativa ordinaria (2),

considerando quanto segue:

(1)

Il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (3) istituisce un sistema di applicazione decentrata inteso a garantirne un’interpretazione e un’applicazione coerenti nei casi riguardanti un trattamento transfrontaliero. In tali casi, il sistema di applicazione decentrato richiede la cooperazione tra le autorità di controllo nell’adoperarsi per raggiungere un consenso. Qualora le autorità di controllo non riescano a raggiungere un consenso, il regolamento (UE) 2016/679 prevede la risoluzione delle controversie da parte del comitato europeo per la protezione dei dati («comitato»).

(2)

Al fine di garantire un regolare ed efficace funzionamento del meccanismo di cooperazione e del meccanismo di composizione delle controversie previsti rispettivamente dagli articoli 60 e 65 del regolamento (UE) 2016/679, è necessario stabilire norme relative allo svolgimento dei procedimenti da parte delle autorità di controllo nei casi riguardanti un trattamento transfrontaliero e da parte del comitato durante la composizione delle controversie, compresa la gestione dei reclami. Per tale motivo è inoltre necessario stabilire norme relative all’esercizio del diritto di essere ascoltati prima dell’adozione delle decisioni da parte delle autorità di controllo e, a seconda dei casi, del comitato.

(3)

In mancanza di norme dell’Unione in materia, spetta a ciascuno Stato membro, conformemente al principio dell’autonomia procedurale degli Stati membri, stabilire le modalità dei procedimenti amministrativi e giudiziari intesi a garantire un livello elevato di tutela dei diritti spettanti ai singoli in forza del diritto dell’Unione. Il diritto processuale di ciascuno Stato membro dovrebbe pertanto applicarsi alle autorità di controllo nella misura in cui il presente regolamento non armonizzi una questione, e purché tali norme procedurali nazionali non ostacolino i principi di effettività e di equivalenza del diritto dell’Unione.

(4)

Il presente regolamento mira a garantire che le indagini nei casi riguardanti un trattamento transfrontaliero siano svolte secondo il principio di buona amministrazione, in particolare che siano svolte in modo imparziale, equo ed entro un termine ragionevole. Il presente regolamento stabilisce pertanto alcuni principi orizzontali relativi alle procedure di esecuzione del regolamento (UE) 2016/679 per tali casi.

(5)

I reclami costituiscono una fonte essenziale di informazioni per l’accertamento delle violazioni delle norme in materia di protezione dei dati. Le informazioni fornite da un reclamante nell’ambito del reclamo presentato, ovvero al momento di presentare le sue osservazioni, possono includere argomentazioni ed elementi di prova che possano contribuire allo svolgimento dell’indagine. L’istituzione di procedure chiare ed efficienti per la gestione dei reclami nei casi riguardanti un trattamento transfrontaliero è necessaria in quanto è possibile che il reclamo sia trattato da un’autorità di controllo diversa da quella cui esso è stato presentato.

(6)

Un reclamo dovrebbe essere inteso come una domanda presentata da un interessato a un’autorità di controllo a norma dell’articolo 77, paragrafo 1, o dell’articolo 80, del regolamento (UE) 2016/679. Non sono da considerarsi come reclamo la semplice segnalazione di presunte violazioni che non riguardano il trattamento di dati personali dell’interessato, le richieste di consulenza dei titolari o dei responsabili del trattamento o le richieste generali relative all’applicazione del regolamento (UE) 2016/679 da parte di titolari del trattamento, di responsabili del trattamento o di persone fisiche.

(7)

Affinché un reclamo riguardante un trattamento transfrontaliero sia ricevibile, esso dovrebbe contenere informazioni specifiche. Ai fini della ricevibilità di tale reclamo non dovrebbe essere richieste informazioni ulteriori rispetto a quelle specificate nel presente regolamento. Continuano ad applicarsi le modalità e i requisiti amministrativi per la ricevibilità dei reclami previsti dal diritto nazionale dell’autorità di controllo cui è stato presentato il reclamo, quali la lingua, i termini di prescrizione, i mezzi di identificazione, la forma elettronica, il modello specifico o la firma specifica.

(8)

I dati di contatto della persona che presenta il reclamo potrebbero includere un indirizzo postale, il luogo di residenza e, se disponibile, un indirizzo di posta elettronica. Il fatto che un reclamante sia una persona fisica che non è in grado di esercitare il suo diritto di proporre un reclamo senza l’assistenza di un rappresentante legale, ad esempio perché è un minore o perché ha una disabilità o una vulnerabilità, e, pertanto, esercita i propri diritti tramite un’altra persona, quale un genitore, un tutore legale o un familiare, a condizione che tale rappresentanza sia consentita dal diritto nazionale, deve essere chiaramente indicato al momento della presentazione del reclamo.

(9)

Se il reclamo è presentato da un organismo, un’organizzazione o un’associazione senza scopo di lucro di cui all’articolo 80 del regolamento (UE) 2016/679, dovrebbe essere fornita la prova che l’organismo, l’organizzazione o l’associazione sono debitamente costituiti secondo il diritto di uno Stato membro, unitamente alla denominazione e ai dati di contatto di tale organismo o associazione nonché alla prova che tale organismo, organizzazione o associazione agisce sulla base del mandato conferito dall’interessato. Le modalità e le procedure relative a tale prova sono stabilite in conformità del diritto dello Stato membro dell’autorità di controllo cui è stato presentato il reclamo.

(10)

Affinché il reclamo sia ricevibile, il reclamante non dovrebbe essere tenuto a contattare la parte sottoposta a indagine prima di presentarlo. Se il reclamo riguarda l’esercizio di un diritto dell’interessato che si fonda sulla presentazione da parte di quest’ultimo di una richiesta al titolare del trattamento, tale richiesta dovrebbe essere rivolta al titolare del trattamento prima che sia presentato il reclamo.

(11)

L’autorità di controllo cui è stato presentato il reclamo dovrebbe determinare, in via preliminare, se esso riguarda un trattamento transfrontaliero, l’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila conformemente all’articolo 56, paragrafo 1, del regolamento (UE) 2016/679, e se si applica l’articolo 56, paragrafo 2, di tale regolamento. Qualora non sia stata avviata una procedura di risoluzione rapida, l’autorità di controllo cui è stato presentato il reclamo dovrebbe trasmettere i reclami ricevibili all’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila e informarne il reclamante. La determinazione della ricevibilità del reclamo da parte dell’autorità di controllo cui è stato presentato il reclamo dovrebbe vincolare l’autorità di controllo capofila.

(12)

È importante che le autorità di controllo facilitino la presentazione da parte del reclamante di tutte le informazioni richieste, ad esempio fornendo modelli o moduli elettronici, tenendo conto dei pertinenti orientamenti del comitato. Le autorità di controllo possono agevolare la presentazione dei reclami in un formato elettronico di facile impiego e tenendo conto delle esigenze delle persone con disabilità, purché le informazioni richieste al reclamante corrispondano alle informazioni necessarie specificate. Non dovrebbero essere richieste informazioni aggiuntive ai fini dell’ammissibilità del reclamo.

(13)

Al fine di agevolare il trattamento di un reclamo, le autorità di controllo dovrebbero poter chiedere informazioni supplementari al reclamante. Qualora mancassero alcune delle informazioni necessarie al fine di ritenere il reclamo ricevibile, l’autorità di controllo cui è presentato il reclamo potrebbe contattare il reclamante al fine di ottenere, ove possibile, le informazioni mancanti. Qualora un reclamo fosse irricevibile, l’autorità di controllo dovrebbe dichiararlo irricevibile e informare il reclamante in merito alle informazioni mancanti entro il termine previsto dal presente regolamento, al fine di consentirgli di presentare un reclamo ricevibile.

(14)

Qualora, a seguito del ricevimento di un reclamo ammissibile riguardante un trattamento transfrontaliero da parte di un’autorità di controllo, l’autorità di controllo capofila richieda al reclamante informazioni supplementari al fine di consentire un’indagine completa in merito al reclamo, l’autorità di controllo cui è stato presentato il reclamo dovrebbe assistere l’autorità di controllo capofila, anche contattando il reclamante per sollecitare le informazioni richieste, se necessario.

(15)

Qualora l’autorità di controllo capofila avvii un’indagine sulla base di un reclamo, le parti sottoposte a indagine dovrebbero essere informate senza ritardo della presentazione di tale reclamo e dei suoi principali elementi. La comunicazione di tali informazioni da parte dell’autorità di controllo capofila potrebbe tuttavia essere rinviata per il tempo necessario a tutelare l’integrità dell’indagine e a consentire lo svolgimento efficace delle misure di indagine.

(16)

Al fine di garantire l’efficace funzionamento del meccanismo di cooperazione e del meccanismo di coerenza di cui al capo VII del regolamento (UE) 2016/679, è importante che i casi riguardanti un trattamento transfrontaliero siano risolti tempestivamente e in linea con lo spirito di leale ed efficace cooperazione sotteso all’articolo 60 del regolamento (UE) 2016/679. È opportuno che l’autorità di controllo capofila eserciti la propria competenza in un quadro di stretta cooperazione con le altre autorità di controllo interessate. Allo stesso modo, le autorità di controllo interessate dovrebbero impegnarsi attivamente nell’indagine nelle prime fasi, nell’adoperarsi per raggiungere un consenso, sfruttando appieno gli strumenti forniti dal regolamento (UE) 2016/679. È opportuno che la cooperazione tra le autorità di controllo interessate si basi su un dialogo aperto che consenta alle autorità di controllo interessate di incidere in modo significativo sul corso dell’indagine condividendo le loro esperienze e opinioni con l’autorità di controllo capofila, tenendo in debito conto il margine di discrezionalità di cui gode ciascuna autorità di controllo. Le autorità di controllo dovrebbero condurre le procedure in modo rapido ed efficiente e cooperare tra loro in modo sincero ed efficace, anche fornendo assistenza ove necessario e rispondendo senza ritardo alle richieste.

(17)

Le autorità di controllo dovrebbero decidere in merito ai reclami entro un periodo di tempo ragionevole. Per questo motivo, il presente regolamento ne stabilisce i termini. La ragionevolezza del termine dipende dalle circostanze di ciascun caso, in particolare dal contesto, dalle diverse fasi procedurali seguite dall’autorità di controllo capofila, dal comportamento delle parti sottoposte a indagine, e dal reclamante nel corso della procedura e dalla complessità del caso. Al fine di tutelare efficacemente i diritti e le libertà fondamentali degli interessati in relazione al trattamento dei dati personali, è importante che i reclami siano trattati in modo efficiente e rapido. A seconda delle circostanze del caso, il tempo necessario per trattare un reclamo potrebbe essere più breve del termine previsto dal presente regolamento. Anche una cooperazione efficiente tra l’autorità di controllo interessata e le altre autorità di controllo interessate può avere un impatto positivo sul rapido trattamento dei casi.

(18)

Il reclamante dovrebbe avere la possibilità di comunicare esclusivamente con l’autorità di controllo alla quale è stato presentato il suo reclamo. Tale possibilità non impedisce al reclamante di comunicare direttamente con un’altra autorità di controllo, compresa l’autorità di controllo capofila.

(19)

È importante considerare i dati personali trattati e la situazione dell’interessato, ad esempio quando un reclamo riguarda il trattamento di dati personali di minori.

(20)

È opportuno che l’autorità di controllo capofila fornisca all’autorità di controllo cui è stato presentato il reclamo le informazioni necessarie sullo stato di avanzamento dell’indagine al fine di fornire aggiornamenti al reclamante.

(21)

Al fine di porre rapidamente fine alle violazioni del regolamento (UE) 2016/679 e di fornire una rapida risoluzione ai reclamanti, è opportuno che le autorità di controllo si adoperino, se del caso, per risolvere i reclami mediante la procedura di risoluzione rapida a norma del presente regolamento. A tal fine, l’autorità di controllo dovrebbe stabilire se è stata posta fine alla violazione contestata nel reclamo, così da rendere il reclamo privo di oggetto. Gli Stati membri non sono tenuti a introdurre nuove procedure ai sensi del diritto nazionale per consentire alle loro autorità di controllo di risolvere un reclamo mediante una procedura di risoluzione rapida.

(22)

Un reclamo dovrebbe risolversi tramite una procedura di risoluzione rapida solo se il reclamante non ha sollevato tempestivamente obiezioni alla constatazione secondo cui, essendo stata posta fine alla presunta violazione, il reclamo è privo di oggetto. La risoluzione rapida di un reclamo dovrebbe pertanto applicarsi ai casi in cui il reclamante è debitamente in grado di valutare l’esito proposto.

(23)

La risoluzione rapida di un reclamo può essere particolarmente utile per risolvere rapidamente i reclami relativi a violazioni dei diritti dell’interessato di cui al capo III del regolamento (UE) 2016/679, con esito positivo per il reclamante. Tale risoluzione rapida dovrebbe consentire all’autorità di controllo cui è stato presentato il reclamo o all’autorità di controllo capofila di stabilire, sulla base di un dialogo preliminare con il titolare del trattamento, e purché siano stati ottenuti elementi di prova, che il reclamo è privo di oggetto.

(24)

La risoluzione rapida di un reclamo mediante la procedura di risoluzione rapida non dovrebbe pregiudicare l’esercizio da parte dell’autorità di controllo capofila dei suoi poteri conformemente al regolamento (UE) 2016/679 sulla stessa questione, ad esempio in caso di violazioni sistemiche o ripetute di tale regolamento.

(25)

Se l’autorità di controllo capofila alla quale è stato trasmesso il reclamo ritiene che un reclamo possa essere risolto mediante una procedura di risoluzione rapida, un progetto di decisione a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 dovrebbe essere presentato alle altre autorità di controllo interessate, al fine di adottare una decisione definitiva conformemente all’articolo 60, paragrafo 7, del regolamento (UE) 2016/679, che stabilisca che è stata posta fine alla presunta violazione e che il reclamo, o parte di esso, è stato risolto dall’autorità di controllo capofila. Il progetto di decisione trasmesso potrebbe pertanto essere semplificato e limitarsi all’informazione che il reclamo è stato risolto, del tutto o in parte, mediante una procedura di risoluzione rapida, indicando i motivi alla base della decisione e l’ambito di applicazione della risoluzione e confermando che il reclamo è dunque privo di oggetto. In tali casi, l’autorità di controllo capofila dovrebbe trasmettere direttamente il suo progetto di decisione alle altre autorità di controllo interessate, senza dover redigere e diffondere una sintesi delle questioni principali o constatazioni preliminari.

(26)

Qualora l’autorità di controllo capofila abbia formulato un’opinione preliminare sulle questioni principali di un’indagine, dovrebbe essere possibile per l’autorità di controllo capofila cooperare con le altre autorità di controllo interessate attraverso una procedura di cooperazione semplice. La procedura di cooperazione semplice dovrebbe essere applicata caso per caso, a condizione che l’autorità di controllo capofila ritenga che non esista alcun ragionevole dubbio sull’ambito dell’indagine e che le questioni di fatto e di diritto individuate non richiedano un’ulteriore cooperazione che sarebbe necessaria ai fini di un’indagine complessa, in particolare quando tali questioni possono essere affrontate sulla base delle peculiarità del caso e di precedenti decisioni in casi analoghi. Inoltre, è importante che la giurisprudenza esistente e gli orientamenti adottati dal comitato sulle presunte violazioni del regolamento (UE) 2016/679 che saranno oggetto di indagine siano tenuti in considerazione anche dall’autorità di controllo capofila nel valutare la probabilità di raggiungere un consenso sugli elementi principali di un caso. In linea di principio, la procedura di cooperazione semplice non si applica qualora il caso sollevi problemi sistemici o ricorrenti in diversi Stati membri, riguardi una questione giuridica generale sull’interpretazione, l’applicazione o l’esecuzione del regolamento (UE) 2016/679, sia connesso all’intersezione della protezione dei dati con altri settori giuridici, riguardi un gran numero di interessati in diversi Stati membri, o sia collegato a un gran numero di reclami in diversi Stati membri o qualora vi sia un rischio elevato per i diritti e le libertà degli interessati.

(27)

Qualora intenda applicare la procedura di cooperazione semplice, l’autorità di controllo capofila dovrebbe informare le altre autorità di controllo interessate della sua intenzione e fornire tutte le informazioni pertinenti sulle caratteristiche del caso e del reclamo, compresi i principali fatti pertinenti e la presunta violazione che sarà oggetto di indagine. Qualora si applichi la procedura di cooperazione semplice, l’autorità di controllo capofila dovrebbe continuare a cooperare con le altre autorità di controllo interessate e presentare un progetto di decisione entro i termini di cui al presente regolamento.

(28)

Qualora un’autorità di controllo sia tenuta ad adottare determinate misure procedurali entro determinati termini, lo scopo di tali termini è garantire che la procedura avanzi e si concluda entro un termine ragionevole. Tali termini non impediscono alle autorità di controllo di adottare le misure procedurali necessarie dopo la loro scadenza. È pertanto necessario garantire che l’adozione di tali misure procedurali dopo la scadenza dei termini corrispondenti non possa essere considerata un motivo di illegittimità o di nullità dell’atto procedurale in questione o della decisione finale.

(29)

L’autorità di controllo capofila dovrebbe poter prorogare il termine per la presentazione di un progetto di decisione. Tali proroghe dovrebbero essere applicate solo in via eccezionale in considerazione della complessità di un caso. Le altre autorità di controllo interessate dovrebbero essere informate e avere la possibilità di presentare obiezioni alla proroga, di cui l’autorità di controllo capofila dovrebbe tenere conto nel determinare se applicare una proroga del termine e, se del caso, la durata della stessa.

(30)

Qualora l’autorità di controllo capofila proroghi il termine per la presentazione di un progetto di decisione, le altre autorità di controllo interessate dovrebbero poter informare l’autorità di controllo capofila della loro valutazione circa la necessità di agire per tutelare i diritti e le libertà degli interessati. Qualora l’autorità di controllo capofila sia stata informata di tale valutazione e non presenti un progetto di decisione entro il termine prorogato, si dovrebbe presumere che sussista l’urgenza di intervenire a norma dell’articolo 66, paragrafo 1, del regolamento (UE) 2016/679. Fatta salva tale possibilità, la procedura d’urgenza rimane a disposizione delle autorità di controllo alle condizioni di cui all’articolo 66 del regolamento (UE) 2016/679.

(31)

Al fine di garantire che il procedimento si svolga in modo efficiente, fatta salva l’autonomia procedurale degli Stati membri, è preferibile che i mezzi di ricorso contro le misure procedurali adottate dalle autorità di controllo siano disponibili solo in combinazione con un ricorso avverso una decisione definitiva, a meno che l’atto procedurale di per sé non pregiudichi in modo irreversibile i diritti della parte sottoposta a indagine o del reclamante, indipendentemente dalla decisione definitiva.

(32)

È particolarmente importante che le autorità di controllo raggiungano un consenso sugli aspetti fondamentali del caso il prima possibile e prima dell’adozione del progetto di decisione di cui all’articolo 60 del regolamento (UE) 2016/679.

(33)

Lo scambio di informazioni utili tra l’autorità di controllo capofila e le altre autorità di controllo interessate costituisce un importante elemento a sostegno dello spirito di efficace e leale cooperazione. Tale scambio e la fornitura tempestiva di informazioni specifiche da parte dell’autorità di controllo capofila costituiscono un processo costante nel corso di un’indagine e i documenti e le informazioni specifiche richiesti possono variare a seconda della complessità del caso. In funzione della fase dell’indagine e delle circostanze del caso, le informazioni utili potrebbero includere, tra l’altro, lo scambio di corrispondenza con il titolare del trattamento o l’interessato in relazione a un reclamo o un’indagine, i documenti preparatori di un audit o di un’ispezione o una valutazione preliminare tecnica o giuridica da parte dell’autorità di controllo capofila a seguito di una fase specifica della sua indagine.

(34)

Così come l’autorità di controllo capofila dovrebbe fornire senza ritardo alle altre autorità di controllo interessate tutte le informazioni utili una volta che esse divengano disponibili, anche le altre autorità di controllo interessate dovrebbero mettere a disposizione in modo proattivo tutte le informazioni pertinenti ritenute utili per valutare gli elementi di fatto e di diritto di un caso. Lo scambio di informazioni utili dovrebbe favorire la cooperazione rapida ed efficace tra le autorità di controllo e può, in determinati casi, essere sostenuto da sintesi, estratti o copie dei documenti al fine di facilitare la rapida comprensione di un caso, consentendo nel contempo la comunicazione di informazioni complementari ove necessario. Al fine di agevolare lo scambio efficace e adeguato di informazioni utili tra le autorità di controllo, il comitato dovrebbe essere in grado di specificare le modalità e i requisiti per lo scambio di tali informazioni.

(35)

Tra le informazioni utili per un caso specifico, l’autorità di controllo capofila dovrebbe fornire alle altre autorità di controllo interessate una sintesi delle questioni principali che illustri la sua opinione preliminare sulle questioni principali dell’indagine. Tale sintesi dovrebbe essere fornita in una fase sufficientemente precoce per consentire l’effettiva inclusione delle opinioni fornite dalle altre autorità di controllo interessate, ma allo stesso tempo in una fase in cui l’autorità di controllo capofila abbia elementi sufficienti per formarsi le proprie opinioni sul caso, se necessario mediante un’analisi preliminare ed eventuali misure di indagine iniziali. La sintesi delle questioni principali dovrebbe anche comprendere, se del caso, l’individuazione preliminare di potenziali misure correttive qualora l’autorità di controllo capofila disponga di elementi sufficienti per avere un’opinione preliminare su tali misure, in particolare qualora sia possibile individuare facilmente, in una fase iniziale, le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione.

(36)

Le autorità di controllo interessate dovrebbero avere l’opportunità di formulare le proprie osservazioni sulla sintesi delle questioni principali, ivi inclusa un’ampia varietà di questioni, come l’ambito dell’indagine, l’individuazione delle presunte violazioni e l’individuazione di questioni di fatto e di diritto pertinenti per l’indagine. Dal momento che l’ambito dell’indagine determina le questioni su cui l’autorità di controllo capofila deve svolgere l’indagine, le autorità di controllo dovrebbero adoperarsi per raggiungere quanto prima un consenso sull’ambito dell’indagine.

(37)

Nell’interesse di una cooperazione efficace e inclusiva tra l’autorità di controllo capofila e tutte le altre autorità di controllo interessate, è importante che la sintesi delle questioni principali e le osservazioni delle autorità di controllo interessate siano concise e formulate in termini sufficientemente chiari e precisi da essere facilmente comprensibili per tutte le autorità di controllo. Gli argomenti giuridici dovrebbero essere raggruppati in base alla parte della sintesi delle questioni principali a cui si riferiscono. La sintesi delle questioni principali e le osservazioni delle autorità di controllo interessate possono essere integrate da documenti supplementari. Tuttavia, un semplice riferimento a documenti supplementari nelle osservazioni di un’autorità di controllo interessata non può compensare l’assenza degli argomenti essenziali, di diritto o di fatto, che devono figurarvi. Gli elementi essenziali di fatto e di diritto contenuti in tali documenti devono essere indicati, almeno in forma sintetica, in modo coerente e comprensibile nell’osservazione stessa.

(38)

È opportuno che le autorità di controllo possano utilizzare tutti i mezzi necessari per raggiungere un consenso in uno spirito di leale ed efficace cooperazione. Laddove vi sia una divergenza di opinioni tra l’autorità di controllo capofila e le altre autorità di controllo interessate in merito all’ambito di un’indagine basata su un reclamo, comprese le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione che sarà oggetto di indagine, o laddove le osservazioni delle autorità di controllo interessate riguardino un cambiamento importante nella valutazione giuridica o fattuale complessa, o l’individuazione preliminare di potenziali misure correttive, le autorità di controllo interessate possono utilizzare gli strumenti previsti dagli articoli 61 e 62 del regolamento (UE) 2016/679.

(39)

Il regolamento (UE) 2016/679 consente all’autorità di controllo di richiedere una decisione vincolante d’urgenza del comitato qualora un’autorità di controllo competente non abbia adottato misure adeguate in una situazione in cui sussiste l’urgenza di intervenire per proteggere i diritti e le libertà degli interessati. A norma del presente regolamento, qualora, a seguito dell’uso dei mezzi di cui al presente regolamento, le autorità di controllo non riescano a raggiungere un consenso sull’ambito di un’indagine basata su un reclamo, è opportuno presupporre che le condizioni di cui all’articolo 66, paragrafo 3, del regolamento (UE) 2016/679 per richiedere una decisione vincolante d’urgenza siano soddisfatte ed è opportuno che l’autorità di controllo capofila chieda una decisione vincolante d’urgenza del comitato. La decisione vincolante d’urgenza del comitato in merito all’ambito di un’indagine basata su un reclamo non può pregiudicare l’esito dell’indagine svolta dall’autorità di controllo capofila o l’effettività del diritto di essere ascoltate delle parti sottoposte a indagine.

(40)

Al reclamante dovrebbero essere conferiti diritti procedurali nella misura in cui sono in discussione i suoi diritti e le sue libertà in qualità di interessato. Le fasi procedurali stabilite dal presente regolamento, relative alla cooperazione tra le autorità di controllo, non conferiscono diritti al reclamante o alle parti sottoposte a indagine. Il presente regolamento chiarisce pertanto quali disposizioni relative alle fasi procedurali non conferiscono diritti ai singoli o alle parti sottoposte a indagine, o non limitano tali diritti.

(41)

È opportuno che i reclamanti abbiano la possibilità di esprimersi prima che sia adottata una decisione che arrechi loro pregiudizio. Pertanto, in caso di rigetto o archiviazione totali o parziali di un reclamo nell’ambito di un caso riguardante un trattamento transfrontaliero, il reclamante dovrebbe avere la possibilità di esprimersi prima della trasmissione di un progetto di decisione ai sensi dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679, di un progetto di decisione riveduto ai sensi dell’articolo 60, paragrafo 5, di tale regolamento o di una decisione vincolante del comitato ai sensi dell’articolo 65, paragrafo 1, lettera a), di tale regolamento.

(42)

In caso di rigetto o archiviazione totali o parziali di un reclamo nell’ambito di un caso riguardante un trattamento transfrontaliero, è necessario chiarire la ripartizione delle responsabilità tra l’autorità di controllo capofila e l’autorità di controllo cui è stato presentato il reclamo. In quanto punto di contatto per il reclamante durante l’indagine, l’autorità di controllo cui è stato presentato il reclamo dovrebbe offrire al reclamante la possibilità di esprimersi sulla proposta di rigetto o archiviazione totali o parziali del reclamo e tale autorità dovrebbe essere responsabile di tutte le comunicazioni con il reclamante. Tutte queste comunicazioni dovrebbero essere trasmesse all’autorità di controllo capofila. Poiché ai sensi dell’articolo 60, paragrafi 8 e 9, del regolamento (UE) 2016/679 l’autorità di controllo cui è stato presentato il reclamo ha la responsabilità di adottare la decisione definitiva di rigetto o archiviazione totali o parziali del reclamo, l’autorità di controllo capofila dovrebbe preparare il progetto di decisione ai sensi dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 in collaborazione con l’autorità di controllo cui è stato presentato il reclamo. Tale collaborazione include la possibilità di richiedere l’assistenza dell’autorità di controllo cui è stato presentato il reclamo per la preparazione di tale progetto di decisione.

(43)

È opportuno che l’applicazione efficace delle norme dell’Unione in materia di protezione dei dati rispetti pienamente i diritti della difesa delle parti sottoposte a indagine, il che costituisce un principio fondamentale del diritto dell’Unione da rispettare in ogni circostanza, e tali diritti sono di particolare importanza nei procedimenti che potrebbero dare luogo a sanzioni.

(44)

Al fine di salvaguardare efficacemente il diritto a una buona amministrazione e i diritti della difesa sanciti dalla Carta dei diritti fondamentali dell’Unione europea («Carta»), è importante prevedere norme chiare sull’esercizio del diritto di ogni persona di essere ascoltata prima che nei suoi confronti sia adottato un provvedimento individuale che le rechi pregiudizio.

(45)

Le norme relative alla procedura amministrativa applicata dalle autorità di controllo nell’applicazione del regolamento (UE) 2016/679 dovrebbero garantire che le parti sottoposte a indagine siano messe effettivamente in grado di esprimere il proprio punto di vista sulla realtà e sulla rilevanza dei fatti presunti e sulle obiezioni addotti dall’autorità di controllo nel corso dell’intera procedura, consentendo loro così di esercitare i propri diritti della difesa. Le constatazioni preliminari illustrano la posizione preliminare sulla presunta violazione del regolamento (UE) 2016/679 a seguito delle indagini. Pertanto, esse costituiscono una garanzia procedurale fondamentale che assicura il rispetto del diritto di essere ascoltati. È opportuno che alle parti sottoposte a indagine siano forniti i documenti necessari per difendersi efficacemente e presentare osservazioni in merito alle accuse mosse contro di loro, ottenendo l’accesso al fascicolo amministrativo.

(46)

Tali norme non dovrebbero pregiudicare la possibilità per le autorità di controllo di concedere maggiore accesso al fascicolo amministrativo al fine di ascoltare le opinioni delle parti sottoposte a indagine o del reclamante nel corso del procedimento, conformemente al diritto nazionale dell’autorità di controllo capofila.

(47)

Le constatazioni preliminari definiscono l’ambito dell’indagine e quindi l’ambito di qualsivoglia futura decisione definitiva, a seconda dei casi, adottata sulla base di una decisione vincolante emessa dal comitato ai sensi dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679, che può essere indirizzata ai titolari o ai responsabili del trattamento. È opportuno che le constatazioni preliminari, sebbene sintetiche, siano sufficientemente chiare da consentire alle parti sottoposte a indagine di individuare correttamente la natura della presunta violazione del regolamento (UE) 2016/679. L’obbligo di fornire alle parti sottoposte a indagine tutte le informazioni necessarie per consentire loro di difendersi adeguatamente è soddisfatto laddove la decisione definitiva non sostenga che le stesse abbiano commesso violazioni diverse da quelle indicate nelle constatazioni preliminari e qualora prenda in considerazione solo i fatti sui quali le parti sottoposte a indagine hanno avuto la possibilità di esprimersi. La decisione definitiva dell’autorità di controllo capofila, tuttavia, non deve necessariamente essere una ripetizione delle constatazioni preliminari. È opportuno che l’autorità di controllo capofila sia autorizzata a tener conto, nella sua decisione definitiva, delle risposte fornite dalle parti sottoposte a indagine in merito alle constatazioni preliminari e, se del caso, al progetto di decisione riveduto ai sensi dell’articolo 60, paragrafo 5, del regolamento (UE) 2016/679. L’autorità di controllo capofila dovrebbe essere in grado di effettuare la propria valutazione dei fatti e degli argomenti giuridici esposti dalle parti sottoposte a indagine, al fine di rigettare gli argomenti, qualora l’autorità di controllo capofila li ritenga infondati, o di integrare e riformulare le proprie constatazioni, sia di fatto che di diritto, a sostegno degli argomenti che sostiene. Ad esempio, il fatto di tenere conto di un argomento avanzato da una parte sottoposta a indagine nel corso della procedura amministrativa, senza che le sia stata data la possibilità di esprimersi al riguardo prima dell’adozione della decisione definitiva, non può di per sé costituire una violazione dei diritti della difesa.

(48)

Il presente regolamento prevede norme per le situazioni in cui il diritto nazionale impone all’autorità di controllo capofila di prendere parte ai procedimenti nazionali successivi relativi al medesimo caso, come i procedimenti di ricorso amministrativo.

(49)

È opportuno che alle parti sottoposte a indagine sia riconosciuto il diritto di essere ascoltate prima della trasmissione di un progetto di decisione riveduto ai sensi dell’articolo 60, paragrafo 5, del regolamento (UE) 2016/679 o dell’adozione di una decisione vincolante da parte del comitato ai sensi dell’articolo 65, paragrafo 1, lettera a), di tale regolamento. I nuovi elementi giuridici comprendono obiezioni pertinenti e motivate qualora tali obiezioni contengano valutazioni giuridiche diverse da quelle proposte dall’autorità di controllo capofila nel progetto di decisione presentato a norma dell’articolo 60, paragrafo 4, del regolamento (UE) 2016/679.

(50)

È opportuno che ai reclamanti sia data la possibilità di essere associati ai procedimenti avviati da un’autorità di controllo al fine di individuare o chiarire le questioni relative a una potenziale violazione del regolamento (UE) 2016/679. Il fatto che un’autorità di controllo abbia già avviato un’indagine relativa all’oggetto del reclamo o il fatto che essa si occuperà del reclamo nell’ambito di un’indagine d’ufficio successiva al ricevimento dello stesso non pregiudica la qualificazione dell’interessato come reclamante. Un’indagine condotta da un’autorità di controllo su una possibile violazione del regolamento (UE) 2016/679 da parte di un titolare del trattamento o di un responsabile del trattamento è una procedura avviata da un’autorità di controllo, di propria iniziativa o sulla base di un reclamo, nell’adempimento dei propri compiti ai sensi dell’articolo 57, paragrafo 1, di tale regolamento. Le parti sottoposte a indagine e il reclamante non si trovano nella stessa situazione procedurale ed è essenziale salvaguardare i diritti della difesa della parte sottoposta a indagine. Le parti sottoposte a indagine e il reclamante possono invocare il diritto fondamentale di essere ascoltati quando la decisione pregiudica la loro posizione giuridica.

(51)

È opportuno che i reclamanti abbiano l’opportunità di presentare per iscritto le proprie opinioni sulle constatazioni preliminari nella misura in cui tali opinioni riguardino il loro reclamo relativo al trattamento dei loro dati personali. Tuttavia, i reclamanti non dovrebbero poter accedere a segreti commerciali o ad altre informazioni riservate appartenenti alle parti sottoposte a indagine o a terzi.

(52)

Nello stabilire i termini entro cui le parti sottoposte a indagine devono esprimere le proprie opinioni sulle constatazioni preliminari, è importante che le autorità di controllo tengano conto della complessità delle questioni sollevate nelle constatazioni preliminari, al fine di garantire che le parti sottoposte a indagine e i reclamanti abbiano sufficienti opportunità per esprimersi in modo significativo sulle questioni sollevate.

(53)

Lo scambio di opinioni tra le autorità di controllo prima della presentazione di un progetto di decisione implica un dialogo aperto e un ampio scambio di opinioni nel corso del quale le autorità di controllo dovrebbero fare tutto il possibile per raggiungere un consenso sul modo di procedere in un’indagine. Al contrario, il disaccordo espresso nelle obiezioni pertinenti e motivate ai sensi dell’articolo 60, paragrafo 4, del regolamento (UE) 2016/679, che aumentano le probabilità di ricorso alla composizione delle controversie tra le autorità di controllo ai sensi dell’articolo 65 di tale regolamento e ritardano l’adozione di una decisione definitiva da parte dell’autorità di controllo competente, dovrebbe sorgere soltanto nel caso in cui le autorità di controllo non riescano a raggiungere un consenso e laddove necessario per garantire l’interpretazione coerente del regolamento (UE) 2016/679. Tali obiezioni dovrebbero essere usate quando sono in gioco questioni di applicazione coerente del regolamento (UE) 2016/679.

(54)

Nell’interesse di una conclusione efficiente e inclusiva della procedura di composizione delle controversie, in cui tutte le autorità di controllo dovrebbero essere in grado di contribuire con le proprie opinioni, e tenendo conto dei limiti temporali durante la composizione delle controversie, la forma e la struttura delle obiezioni pertinenti e motivate dovrebbero soddisfare determinati requisiti.

(55)

L’accesso al fascicolo amministrativo è previsto nell’ambito dei diritti della difesa e del diritto a una buona amministrazione sanciti dalla Carta. L’accesso al fascicolo amministrativo dovrebbe essere garantito alle parti sottoposte a indagine nel momento in cui vengono loro notificate le constatazioni preliminari e dovrebbe essere fissato il termine per la presentazione della risposta scritta a tali constatazioni.

(56)

Nel garantire alle parti sottoposte a indagine e al reclamante l’accesso al fascicolo amministrativo è opportuno che le autorità di controllo assicurino la tutela dei segreti commerciali e di altre informazioni riservate. La categoria delle altre informazioni riservate comprende informazioni diverse dai segreti commerciali, che potrebbero essere considerate riservate conformemente al diritto dell’Unione e nazionale in quanto la loro diffusione potrebbe arrecare un grave pregiudizio a un titolare del trattamento, a un responsabile del trattamento o a una persona fisica o giuridica. Le informazioni riservate dovrebbero comprendere, in particolare, le informazioni note soltanto a un numero limitato di persone e la cui divulgazione può arrecare un grave danno alla persona che le ha fornite o a terzi e può danneggiare interessi che sono oggettivamente meritevoli di protezione. Le autorità di controllo dovrebbero poter richiedere alle parti sottoposte a indagine che presentano o hanno presentato documenti o dichiarazioni di indicare le informazioni riservate.

(57)

Nel caso in cui i segreti commerciali o le altre informazioni riservate costituiscano elementi necessari per dimostrare la sussistenza della violazione, è opportuno che le autorità di controllo valutino per ogni singolo documento, in maniera proporzionata, se la necessità della divulgazione sia superiore al danno che potrebbe derivarne.

(58)

L’accesso ai documenti inclusi nel fascicolo amministrativo in base all’accesso ai documenti pubblici deve essere concesso conformemente al diritto nazionale degli Stati membri. A tale riguardo, è importante che l’integrità del processo decisionale sia tutelata fino all’adozione della decisione definitiva da parte dell’autorità di controllo competente.

(59)

È importante che il comitato faciliti l’accesso alle decisioni adottate conformemente al meccanismo di cooperazione e al meccanismo di coerenza, rendendo disponibile online il testo delle decisioni definitive adottate dalle autorità di controllo nazionali attraverso registri facilmente accessibili. Conformemente al diritto nazionale applicabile, le autorità di controllo possono oscurare i nomi, qualsiasi altra informazione che consenta l’identificazione delle parti sottoposte a indagine o del reclamante, e altre informazioni protette dal diritto nazionale o dell’Unione applicabile.

(60)

È importante che la comunicazione al reclamante di una versione della decisione definitiva conformemente al presente regolamento non pregiudichi la possibilità per l’autorità di controllo di decidere se rendere pubblica la decisione nell’ambito dei suoi poteri correttivi.

(61)

Nel deferire una questione al meccanismo di composizione delle controversie ai sensi dell’articolo 65 del regolamento (UE) 2016/679, è opportuno che l’autorità di controllo capofila fornisca al comitato tutti i documenti e le informazioni necessarie affinché questo possa valutare l’ammissibilità delle obiezioni pertinenti e motivate e adottare la decisione ai sensi dell’articolo 65, paragrafo 1, lettera a), di tale regolamento. Una volta in possesso di tutti i documenti e le informazioni necessarie, il presidente del comitato dovrebbe registrare il deferimento della questione conformemente all’articolo 65, paragrafo 2, del regolamento (UE) 2016/679.

(62)

La decisione vincolante del comitato ai sensi dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 dovrebbe riguardare esclusivamente le questioni che hanno portato all’avvio della composizione delle controversie e dovrebbe essere redatta in modo tale da consentire all’autorità di controllo capofila di adottare la propria decisione definitiva sulla base della decisione del comitato.

(63)

Al fine di semplificare la composizione delle controversie tra le autorità di controllo sottoposte al comitato ai sensi dell’articolo 65, paragrafo 1, lettere b) e c), del regolamento (UE) 2016/679, è necessario specificare le norme procedurali relative ai documenti e alle informazioni da presentare al comitato e sui quali questo dovrebbe basare la propria decisione. È inoltre necessario specificare quando il comitato dovrebbe registrare il deferimento della questione per la composizione delle controversie.

(64)

Al fine di semplificare la procedura per l’adozione di pareri d’urgenza e di decisioni vincolanti d’urgenza da parte del comitato ai sensi dell’articolo 66, paragrafo 2, del regolamento (UE) 2016/679, è necessario specificare le norme procedurali relative alle tempistiche delle richieste di tale parere d’urgenza o decisione vincolante d’urgenza e ai documenti e alle informazioni da presentare al comitato e sui quali questo dovrebbe basare la propria decisione.

(65)

Il regolamento (UE) 2016/679 stabilisce che l’interessato ha diritto a un ricorso giurisdizionale effettivo qualora l’autorità di controllo competente non tratti un reclamo. Il presente regolamento non introduce nuovi mezzi di ricorso giurisdizionale oltre a quelli già istituiti dal regolamento (UE) 2016/679, né limita l’applicazione dei ricorsi giurisdizionali stabiliti da tale regolamento. Alcune disposizioni del presente regolamento rivestono particolare importanza ai fini della pronuncia tempestiva della decisione definitiva presa dalle autorità di controllo nell’ambito del trattamento dei reclami. Nel determinare se un’autorità di controllo abbia trattato un reclamo, è opportuno valutare se tale autorità abbia rispettato determinati termini stabiliti dal presente regolamento e dal regolamento (UE) 2016/679. Nell’effettuare tale valutazione, è essenziale tutelare il diritto del reclamante a che il suo reclamo sia trattato entro un termine ragionevole. Le disposizioni del presente regolamento non pregiudicano la possibilità di prevedere nel diritto nazionale mezzi di ricorso per la parte sottoposta a indagine, in considerazione del suo diritto a che le questioni che la riguardano siano trattate entro un termine ragionevole.

(66)

L’attuazione del presente regolamento richiede strumenti digitali adeguati a sostegno di uno scambio di informazioni rapido e sicuro. È importante che tutte le autorità preposte alla protezione dei dati dispongano di uno strumento elettronico comune adeguato e sicuro, tenendo conto dell’esperienza acquisita nell’uso degli strumenti esistenti. È altresì importante che siano fornite le risorse necessarie per l’attuazione di tale strumento elettronico e che quest’ultimo faciliti la raccolta e il consolidamento da parte del comitato delle statistiche in materia di applicazione per quanto riguarda i casi riguardanti un trattamento transfrontaliero.

(67)

I capi III e IV del presente regolamento riguardano la cooperazione tra le autorità di controllo, i diritti procedurali delle parti sottoposte a indagine e il coinvolgimento dei reclamanti. Al fine di garantire la certezza del diritto, tali disposizioni non dovrebbero applicarsi alle indagini in corso al momento dell’entrata in vigore del presente regolamento. Dovrebbero invece applicarsi alle indagini avviate d’ufficio 15 mesi dopo la data di entrata in vigore del presente regolamento e alle indagini basate su un reclamo presentato 15 mesi dopo la data di entrata in vigore del presente regolamento. I capi V e VI del presente regolamento contengono le norme procedurali per i casi deferiti alla composizione delle controversie ai sensi dell’articolo 65 del regolamento (UE) 2016/679 e per le richieste di parere d’urgenza o decisione vincolante d’urgenza ai sensi dell’articolo 66 del regolamento (UE) 2016/679. Per motivi di certezza del diritto, tali capi non dovrebbero applicarsi ai casi deferiti alla composizione delle controversie prima dell’entrata in vigore del presente regolamento. Essi dovrebbero applicarsi a tutti i casi deferiti alla composizione delle controversie 15 mesi dopo la data di entrata in vigore del presente regolamento.

(68)

Conformemente all’articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (4), il Garante europeo della protezione dei dati e il comitato sono stati consultati e hanno formulato un parere congiunto il 19 settembre 2023,

HANNO ADOTTATO IL PRESENTE REGOLAMENTO:

CAPO I

DISPOSIZIONI GENERALI

Articolo 1

Oggetto e ambito di applicazione

Il presente regolamento stabilisce le norme procedurali per la gestione dei reclami e lo svolgimento delle indagini da parte delle autorità di controllo nell’applicazione del regolamento (UE) 2016/679 nei casi basati su un reclamo o avviati d’ufficio che riguardano un trattamento transfrontaliero. La gestione dei reclami e lo svolgimento delle indagini nei casi riguardanti un trattamento transfrontaliero comprendono l’accertamento del fatto che un caso riguardi un trattamento transfrontaliero.

Articolo 2

Definizioni

Ai fini del presente regolamento si applicano le definizioni di cui all’articolo 4 del regolamento (UE) 2016/679.

Si applica inoltre la definizione seguente:

«parte sottoposta a indagine»: il titolare del trattamento o il responsabile del trattamento sottoposto ad indagine per presunta violazione del regolamento (UE) 2016/679 che riguarda un trattamento transfrontaliero.

Articolo 3

Principi relativi all’applicazione del regolamento (UE) 2016/679 nei casi riguardanti un trattamento transfrontaliero

1.   Le autorità di controllo svolgono i procedimenti rientranti nell’ambito di applicazione del presente regolamento in modo rapido ed efficiente. Esse cooperano tra loro in modo sincero ed efficace, anche fornendo assistenza ove necessario e rispondendo senza ritardo alle reciproche richieste.

2.   L’autorità di controllo può riunire o separare i procedimenti conformemente al diritto processuale nazionale, purché ciò non pregiudichi i diritti delle parti sottoposte a indagine o quelli del reclamante.

3.   Un reclamante ha la possibilità di comunicare esclusivamente con l’autorità di controllo cui ha presentato il reclamo a norma dell’articolo 77 del regolamento (UE) 2016/679.

4.   La gestione di un reclamo comporta sempre una decisione soggetta a un ricorso giurisdizionale effettivo a norma dell’articolo 78 del regolamento (UE) 2016/679.

5.   Ai fini dell’efficienza dei procedimenti, le autorità di controllo possono limitare la lunghezza dei documenti trasmessi dalla parte sottoposta a indagine e dal reclamante, tenendo conto della complessità del caso e dei documenti già presentati.

CAPO II

PRESENTAZIONE DEI RECLAMI E RISOLUZIONE RAPIDA

Articolo 4

Reclami riguardanti un trattamento transfrontaliero

1.   Un reclamo basato sul regolamento (UE) 2016/679 e riguardante un trattamento transfrontaliero è ricevibile a condizione che includa le informazioni seguenti:

a)

il nome e i dati di contatto della persona che presenta il reclamo;

b)

se il reclamo è presentato da un organismo, un’organizzazione o un’associazione senza scopo di lucro di cui all’articolo 80 del regolamento (UE) 2016/679, la prova che tale organismo, organizzazione o associazione sono debitamente costituiti secondo il diritto di uno Stato membro;

c)

se il reclamo è presentato in base all’articolo 80, paragrafo 1, del regolamento (UE) 2016/679, il nome e i dati di contatto dell’organismo, dell’organizzazione o dell’associazione senza scopo di lucro che presenta il reclamo e la prova che tale organismo, organizzazione o associazione senza scopo di lucro agisce sulla base del mandato conferito dall’interessato;

d)

informazioni che facilitino l’identificazione del titolare del trattamento o del responsabile del trattamento oggetto del reclamo;

e)

una descrizione della presunta violazione del regolamento (UE) 2016/679.

Ai fini della ricevibilità di un reclamo riguardante un trattamento transfrontaliero non è necessario richiedere informazioni aggiuntive rispetto a quelle di cui al primo comma.

Continuano ad applicarsi le modalità e i requisiti amministrativi previsti dal diritto processuale nazionale dell’autorità di controllo cui è stato presentato il reclamo.

2.   Qualora accerti che un reclamo non contiene le informazioni di cui al paragrafo 1, primo comma, l’autorità di controllo cui è stato presentato il reclamo dichiara tale reclamo irricevibile entro due settimane dal ricevimento dello stesso e ne comunica i motivi al reclamante.

3.   Affinché il reclamo sia ricevibile, il reclamante non è tenuto a contattare la parte sottoposta a indagine prima di proporlo.

Fatto salvo il primo comma, se il reclamo riguarda l’esercizio di un diritto dell’interessato che si fonda sulla presentazione da parte di quest’ultimo di una richiesta al titolare del trattamento, tale richiesta è rivolta al titolare del trattamento prima che sia presentato il reclamo.

4.   L’autorità di controllo cui è stato presentato il reclamo determina, in via preliminare, quanto segue:

a)

se esso riguarda un trattamento transfrontaliero;

b)

quale sia l’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila conformemente all’articolo 56, paragrafo 1, del regolamento (UE) 2016/679; e

c)

se si applica l’articolo 56, paragrafo 2, del regolamento (UE) 2016/679.

5.   In caso di ricevibilità di un reclamo che riguarda un trattamento transfrontaliero e in assenza di una risoluzione rapida a norma dell’articolo 5, l’autorità di controllo cui è stato presentato il reclamo trasmette il reclamo all’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila entro sei settimane dal suo ricevimento e ne informa il reclamante.

La determinazione della ricevibilità del reclamo da parte dell’autorità di controllo cui è stato presentato il reclamo è vincolante per l’autorità di controllo capofila.

6.   Entro sei settimane dal ricevimento di un reclamo, l’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila conferma la propria competenza o, se vi sono opinioni contrastanti in merito alla competenza delle altre autorità di controllo interessate per lo stabilimento principale, deferisce la questione al comitato per la composizione delle controversie conformemente all’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679.

Se l’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila non conferma la propria competenza o non deferisce la questione al comitato entro il termine di cui al primo comma, l’autorità di controllo cui è stato presentato il reclamo deferisce la questione al comitato europeo per la protezione dei dati («comitato») per la risoluzione delle controversie a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679.

7.   Fatta salva la ricevibilità del reclamo, l’autorità di controllo cui è stato presentato il reclamo o l’autorità di controllo capofila può chiedere al reclamante di presentare informazioni supplementari al fine di agevolare il trattamento di tale reclamo e consentire un’indagine completa al riguardo.

8.   L’autorità di controllo capofila informa senza ritardo la parte sottoposta a indagine in merito alla presentazione di un reclamo e ai suoi principali elementi.

Articolo 5

Risoluzione rapida

1.   Un reclamo riguardante un trattamento transfrontaliero che riguarda l’esercizio dei diritti dell’interessato di cui al capo III del regolamento (UE) 2016/679 può, se del caso, essere risolto mediante una procedura che consenta la sua risoluzione rapida da parte:

a)

dell’autorità di controllo cui è stato presentato il reclamo, dopo aver determinato in via preliminare che il reclamo riguarda un trattamento transfrontaliero e prima dell’eventuale trasmissione del reclamo all’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila; o

b)

dell’autorità di controllo capofila alla quale è stato trasmesso il reclamo, in qualsiasi momento prima della presentazione delle constatazioni preliminari alle altre autorità di controllo interessate a norma dell’articolo 19 del presente regolamento o, qualora si applichi la procedura di cooperazione semplice di cui all’articolo 6 del presente regolamento, prima della presentazione del progetto di decisione.

Le autorità di controllo possono incoraggiare e agevolare la risoluzione rapida dei reclami e comunicare a tal fine con la parte sottoposta a indagine o con il reclamante, a seconda dei casi.

2.   Ai fini di una risoluzione rapida, se l’autorità di controllo di cui al paragrafo 1, primo comma, lettere a) o b), accerta, sulla base di elementi di prova, che è stata posta fine alla presunta violazione, tale autorità di controllo considera il reclamo privo di oggetto.:

Qualora accerti che un reclamo è privo di oggetto, l’autorità di controllo di cui al paragrafo 1, primo comma, lettere a) o b), informa il reclamante, utilizzando un linguaggio semplice e chiaro:

a)

che è stata posta fine alla presunta violazione e considera il reclamo privo di oggetto;

b)

delle conseguenze della risoluzione rapida; e

c)

della possibilità per il reclamante di sollevare un’obiezione alla risoluzione rapida entro quattro settimane dal ricevimento di tali informazioni.

3.   Nell’ambito di un procedimento dinanzi all’autorità di controllo cui è stato presentato un reclamo, qualora il reclamante non sollevi obiezioni entro il termine di cui al paragrafo 2, secondo comma, lettera c), tale autorità di controllo, entro due settimane a decorrere dalla scadenza di tale termine, conclude che il reclamo è stato risolto e ne informa il reclamante, la parte sottoposta a indagine e, se del caso, l’autorità di controllo capofila.

4.   Nell’ambito di un procedimento dinanzi all’autorità di controllo capofila alla quale è stato trasmesso il reclamo, qualora il reclamante non sollevi obiezioni entro il termine di cui al paragrafo 2, secondo comma, lettera c), del presente articolo, tale autorità di controllo capofila presenta un progetto di decisione conformemente all’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 entro quattro settimane a decorrere dalla scadenza di tale termine, al fine di adottare una decisione definitiva conformemente all’articolo 60, paragrafo 7, del regolamento (UE) 2016/679 che stabilisca che il reclamo è stato risolto.

5.   La risoluzione rapida di un reclamo non pregiudica l’esercizio, da parte dell’autorità di controllo capofila, dei poteri di cui all’articolo 58 del regolamento (UE) 2016/679 in relazione alla stessa questione.

6.   Gli articoli da 10 a 20 non si applicano ai reclami risolti a norma del presente articolo.

CAPO III

COOPERAZIONE A NORMA DELL’ARTICOLO 60 DEL REGOLAMENTO (UE) 2016/679

SEZIONE 1

COOPERAZIONE SEMPLICE

Articolo 6

Procedura di cooperazione semplice

1.   Una volta formatasi un’opinione preliminare sulle questioni principali dell’indagine, l’autorità di controllo capofila può cooperare con le altre autorità di controllo interessate mediante una procedura di cooperazione semplice, conformemente al presente articolo, se:

a)

ritiene che non esista alcun ragionevole dubbio sull’ambito dell’indagine, in particolare per quanto riguarda le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione su cui si svolgerà l’indagine; e

b)

le questioni di fatto e di diritto individuate dall’autorità di controllo capofila non richiedono un’ulteriore cooperazione con le altre autorità di controllo interessate che sarebbe necessaria ai fini di un’indagine complessa, in particolare quando tali questioni possono essere affrontate sulla base di precedenti decisioni in casi analoghi.

Se l’autorità di controllo capofila applica la procedura di cooperazione semplice di cui al primo comma, non si applicano gli articoli 10, 11, 16, 19, 20, l’articolo 23, paragrafo 1, lettere a) e b), e l’articolo 23, paragrafo 2, del presente regolamento. L’autorità di controllo capofila presenta un progetto di decisione conformemente all’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 entro il termine di cui all’articolo 12, paragrafo 6, del presente regolamento.

2.   Entro sei settimane da quando l’autorità di controllo capofila conferma la propria competenza a norma dell’articolo 4, paragrafo 6, del presente regolamento o da quando il comitato adotta una decisione vincolante a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679, l’autorità di controllo capofila notifica alle altre autorità di controllo interessate la sua intenzione di applicare la procedura di cooperazione semplice e fornisce informazioni sulle caratteristiche del caso utili a stabilire se le condizioni di cui al paragrafo 1 del presente articolo siano state soddisfatte.

3.   Qualora una delle altre autorità di controllo interessate si opponga all’applicazione della procedura di cooperazione semplice entro due settimane dal ricevimento della notifica, tale procedura non si applica e l’autorità di controllo capofila redige una sintesi delle questioni principali conformemente all’articolo 10 e coopera con le altre autorità di controllo interessate secondo le procedure di cui al capo III.

4.   Nell’applicare la procedura di cooperazione semplice, l’autorità di controllo capofila, prima di presentare un progetto di decisione, provvede affinché, se del caso, le parti sottoposte a indagine abbiano il diritto di essere ascoltate e il reclamante abbia la possibilità di esprimersi. Ai fini del presente paragrafo, continuano ad applicarsi le modalità e i requisiti amministrativi previsti dal diritto processuale nazionale dell’autorità di controllo capofila, o dell’autorità di controllo cui è stato presentato il reclamo, a seconda dei casi.

5.   Il capo III non si applica a casi trattati dall’autorità di controllo interessata ai sensi dell’articolo 56, paragrafo 2, del regolamento (UE) 2016/679.

SEZIONE 2

RAGGIUNGIMENTO DI UN CONSENSO AI SENSI DELL’ARTICOLO 60, PARAGRAFO 1, DEL REGOLAMENTO (UE) 2016/679

Articolo 7

Conferimento o limitazione di diritti

Le disposizioni della presente sezione riguardano la cooperazione tra le autorità di controllo e non conferiscono diritti ai singoli o alle parti sottoposte a indagine, né limitano i loro diritti.

Articolo 8

Cooperazione tra le autorità di controllo

Ai fini della cooperazione nell’adoperarsi per raggiungere un consenso a norma dell’articolo 60, paragrafo 1, del regolamento (UE) 2016/679, le autorità di controllo possono utilizzare tutti i mezzi previsti da tale regolamento, compresa l’assistenza reciproca a norma dell’articolo 61 di tale regolamento e le operazioni congiunte a norma dell’articolo 62 di tale regolamento.

Articolo 9

Scambio di informazioni utili tra l’autorità di controllo capofila e le altre autorità di controllo interessate

1.   L’autorità di controllo capofila e le altre autorità di controllo interessate si scambiano le informazioni utili di cui all’articolo 60, paragrafi 1 e 3, del regolamento (UE) 2016/679. Tali informazioni comprendono, ove applicabile:

a)

le informazioni sull’avvio di un’indagine su una presunta violazione del regolamento (UE) 2016/679;

b)

le richieste di informazioni a norma dell’articolo 58, paragrafo 1, lettera e), del regolamento (UE) 2016/679 e i relativi documenti risultanti da tali richieste;

c)

le informazioni sull’uso di altri poteri di indagine di cui all’articolo 58, paragrafo 1, del regolamento (UE) 2016/679 e i relativi documenti risultanti dall’esercizio di tali poteri di indagine;

d)

nel caso in cui sia previsto un rigetto o un’archiviazione totali o parziali del reclamo, i motivi di rigetto o archiviazione addotti dall’autorità di controllo capofila;

e)

le informazioni sulla risoluzione rapida del reclamo a norma dell’articolo 5 del presente regolamento;

f)

la sintesi delle questioni principali e le osservazioni su tale sintesi di cui all’articolo 10 del presente regolamento;

g)

le informazioni sull’ambito dell’indagine;

h)

le informazioni sugli sviluppi o sulle constatazioni che potrebbero comportare la modifica dell’ambito dell’indagine o l’avvio di una nuova indagine;

i)

le informazioni sulle misure adottate e sull’analisi giuridica effettuata al fine di determinare se vi sia stata una violazione del regolamento (UE) 2016/679 prima dell’elaborazione delle constatazioni preliminari e prima dell’elaborazione del progetto di decisione;

j)

le constatazioni preliminari;

k)

le risposte delle parti sottoposte a indagine alle constatazioni preliminari;

l)

le opinioni del reclamante sulla versione non riservata delle constatazioni preliminari e, se del caso, su altri aspetti dell’indagine in merito ai quali potrebbero essere state presentate osservazioni formali scritte dal reclamante

m)

in caso di rigetto o archiviazione totale o parziale del reclamo, le osservazioni scritte del reclamante;

n)

le informazioni su eventuali misure pertinenti adottate dall’autorità di controllo capofila dopo il ricevimento delle risposte delle parti sottoposte a indagine alle constatazioni preliminari e prima della trasmissione del progetto di decisione di cui all’articolo 60, paragrafo 3, del regolamento (UE) 2016/679;

o)

le opinioni delle parti sottoposte a indagine sul progetto di decisione riveduto;

p)

qualsiasi altra informazione ritenuta utile e pertinente ai fini dell’indagine.

2.   Nel corso dell’indagine, l’autorità di controllo capofila e le altre autorità di controllo interessate si scambiano le informazioni di cui al paragrafo 1 del presente articolo quanto prima e in ogni caso non più tardi di una settimana dalla data in cui tali informazioni diventano disponibili, salvo se diversamente previsto dal presente regolamento o dal regolamento (UE) 2016/679.

3.   Il comitato può specificare le modalità e i requisiti per lo scambio di informazioni utili tra le autorità di controllo.

Articolo 10

Sintesi delle questioni principali

1.   Una volta formatasi un’opinione preliminare sulle questioni principali dell’indagine, l’autorità di controllo capofila redige una sintesi delle questioni principali ai fini della cooperazione a norma dell’articolo 60, paragrafo 1, del regolamento (UE) 2016/679.

2.   La sintesi delle questioni principali comprende quanto segue:

a)

i principali fatti pertinenti;

b)

l’individuazione preliminare dell’ambito dell’indagine, in particolare le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione su cui si svolgerà l’indagine;

c)

le questioni di fatto e di diritto individuate;

d)

un’analisi delle opinioni pertinenti espresse dalla parte sottoposta a indagine o dal reclamante, se tali opinioni sono disponibili al momento della redazione della sintesi delle questioni principali;

e)

ove applicabile, l’individuazione preliminare di potenziali misure correttive.

3.   L’autorità di controllo capofila fornisce alle altre autorità di controllo interessate la sintesi delle questioni principali senza ritardo ed entro tre mesi da quando l’autorità di controllo capofila conferma la propria competenza a norma dell’articolo 4, paragrafo 6, del presente regolamento o da quando il comitato adotta una decisione vincolante a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679.

4.   Le autorità di controllo interessate possono formulare osservazioni sulla sintesi delle questioni principali entro quattro settimane dal ricevimento di tale sintesi. L’autorità di controllo capofila può prorogare tale termine di due settimane in considerazione della complessità del caso o su richiesta delle altre autorità di controllo interessate.

5.   Se le autorità di controllo interessate formulano osservazioni a norma del paragrafo 4, tali osservazioni sono condivise con tutte le altre autorità di controllo interessate. L’autorità di controllo capofila risponde a tali osservazioni entro quattro settimane dalla scadenza del periodo di cui al paragrafo 4 indicando se e in che modo intende tenerne conto. L’autorità di controllo capofila può prorogare tale termine di due settimane in considerazione della complessità del caso.

6.   Nel trasferire un caso all’autorità di controllo capofila, l’autorità di controllo cui è stato presentato il reclamo può fornire all’autorità di controllo capofila informazioni utili all’elaborazione della sintesi delle questioni principali.

7.   Il comitato può specificare le modalità e i requisiti per la presentazione delle osservazioni da parte delle autorità di controllo interessate sulla sintesi delle questioni principali.

Articolo 11

Mezzi per raggiungere un consenso

1.   A norma dell’articolo 60, paragrafo 1, del regolamento (UE) 2016/679, l’autorità di controllo capofila e le altre autorità di controllo interessate si adoperano per raggiungere un consenso sui casi riguardanti un trattamento transfrontaliero, conformemente al presente articolo, e possono utilizzare tutti i mezzi previsti da tale regolamento, compresa l’assistenza reciproca a norma dell’articolo 61 del regolamento (UE) 2016/679 e le operazioni congiunte a norma dell’articolo 62 del medesimo regolamento.

2.   Se un’autorità di controllo interessata non concorda con l’autorità di controllo capofila e in assenza di consenso, tale autorità di controllo può trasmettere una richiesta di assistenza reciproca a norma dell’articolo 61 del regolamento (UE) 2016/679 all’autorità di controllo capofila o può chiedere all’autorità di controllo capofila di condurre operazioni congiunte a norma dell’articolo 62 di tale regolamento, o entrambi, al fine di raggiungere un consenso su quanto segue:

a)

l’ambito dell’indagine in un caso basato su un reclamo, comprese le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione su cui si svolgerà l’indagine;

b)

gli elementi di fatto o di diritto di cui all’articolo 10, paragrafo 2, lettera c), del presente regolamento se del caso;

c)

l’individuazione preliminare di potenziali misure correttive a norma dell’articolo 10, paragrafo 2, lettera e), del presente regolamento.

3.   La richiesta di cui al paragrafo 2 del presente articolo è trasmessa entro un mese dalla scadenza del termine di cui all’articolo 10, paragrafo 5.

4.   Qualora una richiesta di condurre operazioni congiunte a norma dell’articolo 62 del regolamento (UE) 2016/679 sia presentata conformemente al paragrafo 2 del presente articolo, l’autorità di controllo capofila vi risponde entro un mese dal suo ricevimento.

5.   Nell’adoperarsi per raggiungere un consenso, l’autorità di controllo capofila avvia un dialogo con le altre autorità di controllo interessate sulla base delle loro osservazioni sulla sintesi delle questioni principali e, ove applicabile, in risposta alle richieste a norma degli articoli 61 e 62 del regolamento (UE) 2016/679. Il consenso sulle questioni di cui al paragrafo 2 del presente articolo serve da base per l’autorità di controllo capofila per proseguire l’indagine e redigere le constatazioni preliminari o, ove applicabile, fornire all’autorità di controllo cui è stato presentato il reclamo la motivazione ai fini dell’articolo 16, paragrafo 1 del presente regolamento.

6.   Qualora in un caso basato su un reclamo, secondo le procedure di cui all’articolo 10, paragrafo 5, del presente regolamento e al paragrafo 5 del presente articolo, l’autorità di controllo capofila e una o più delle altre autorità di controllo interessate non raggiungano un consenso sull’individuazione preliminare dell’ambito dell’indagine di cui all’articolo 10, paragrafo 2, lettera b), del presente regolamento, si presumono soddisfatte le condizioni per chiedere una decisione vincolante d’urgenza a norma dell’articolo 66, paragrafo 3, del regolamento (UE) 2016/679 e l’autorità di controllo capofila chiede una decisione vincolante d’urgenza del comitato a norma dell’articolo 66, paragrafo 3, del regolamento (UE) 2016/679.

7.   Quando chiede una decisione vincolante d’urgenza del comitato a norma del paragrafo 6 del presente articolo, l’autorità di controllo capofila fornisce al comitato quanto segue:

a)

le informazioni di cui all’articolo 10, paragrafo 2;

b)

le osservazioni delle altre autorità di controllo interessate che non concordano sull’individuazione preliminare dell’ambito dell’indagine effettuata dall’autorità di controllo capofila;

c)

ulteriori scambi tra l’autorità di controllo capofila e le altre autorità di controllo interessate a norma dell’articolo 10, paragrafo 5, e dell’articolo 11, paragrafo 5;

d)

qualsiasi altro documento o informazione pertinente richiesti dal comitato.

8.   Il comitato adotta una decisione vincolante d’urgenza sull’ambito dell’indagine sulla base di tutte le informazioni ricevute.

Articolo 12

Termini per la presentazione di un progetto di decisione

1.   L’autorità di controllo capofila presenta un progetto di decisione a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 entro 15 mesi da quando l’autorità di controllo capofila conferma la propria competenza a norma dell’articolo 4, paragrafo 6, del presente regolamento o da quando il comitato adotta una decisione vincolante a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679.

2.   Qualora l’autorità di controllo capofila presenti una richiesta a norma dell’articolo 11, paragrafo 6, i termini di cui al paragrafo 1 del presente articolo sono sospesi fino a quando il comitato non abbia adottato la sua decisione vincolante.

3.   In via eccezionale, l’autorità di controllo capofila può prorogare il termine di cui al paragrafo 1 una sola volta, per un periodo non superiore a 12 mesi, in considerazione della complessità del caso. Almeno quattro settimane prima della scadenza del termine di cui al paragrafo 1, l’autorità di controllo capofila informa le altre autorità di controllo interessate della sua intenzione di prorogare il termine di cui al paragrafo 1, indicando la durata e i motivi della proroga prevista.

4.   Qualsiasi autorità di controllo interessata può sollevare un’obiezione alla proroga del termine entro due settimane dall’avvenuta notifica a norma del paragrafo 3. Tale autorità espone i motivi della sua obiezione. Nel determinare se prorogare il termine di cui al paragrafo 1 e, se del caso, la durata di tale proroga, l’autorità di controllo capofila tiene debitamente conto di tale obiezione.

5.   Qualora l’autorità di controllo capofila proroghi il termine di cui al paragrafo 1 conformemente ai paragrafi 3 e 4 del presente articolo, qualsiasi altra autorità di controllo interessata può comunicare all’autorità di controllo capofila che ritiene necessario intervenire per proteggere i diritti e le libertà degli interessati. Qualora l’autorità di controllo capofila non presenti un progetto di decisione entro il termine prorogato, un’autorità di controllo che abbia informato l’autorità di controllo capofila della necessità di intervenire per proteggere i diritti e le libertà degli interessati può adottare misure provvisorie nel territorio del proprio Stato membro ai sensi dell’articolo 55 del regolamento (UE) 2016/679. Si considera, in tal caso, che sussiste l’urgenza di intervenire ai sensi dell’articolo 66, paragrafo 1 del regolamento (UE) 2016/679.

6.   Qualora si applichi la procedura di cooperazione semplice di cui all’articolo 6 del presente regolamento, l’autorità di controllo capofila fornisce un progetto di decisione a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 entro 12 mesi dalla conferma della propria competenza a norma dell’articolo 4, paragrafo 6, del presente regolamento o da quando il comitato adotta una decisione vincolante a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679.

Qualora il diritto nazionale richieda procedimenti nazionali precedenti o successivi che impongano di presentare un progetto di decisione a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 dopo la scadenza del termine di cui al primo comma, l’autorità di controllo capofila può prorogare tale termine una sola volta, per un periodo non superiore a due mesi. In tal caso, l’autorità di controllo capofila informa le altre autorità di controllo interessate della proroga del termine, specificando la durata di tale proroga, almeno due settimane prima della scadenza del termine di cui al primo comma.

Articolo 13

Procedimenti nazionali successivi

1.   Qualora il diritto nazionale richieda l’avvio di procedimenti nazionali successivi relativi al medesimo caso dopo l’adozione di una decisione a norma dell’articolo 18 o 21, l’autorità di controllo capofila:

a)

non redige una nuova sintesi delle questioni principali;

b)

ripete le fasi procedurali conformemente all’articolo 16 o agli articoli 19 e 20 solo se la valutazione fattuale o giuridica dell’autorità di controllo capofila differisce da una decisione precedente adottata a norma dell’articolo 18 o 21; e

c)

presenta un progetto di decisione prima di adottare qualsiasi decisione successiva che differisca da una decisione precedente a norma dell’articolo 18 o 21.

2.   I termini di cui all’articolo 12 si applicano alla presentazione di un progetto di decisione in qualsiasi procedimento successivo di cui al paragrafo 1 del presente articolo.

SEZIONE 3

APPLICAZIONE DEI TERMINI

Articolo 14

Legittimità e validità delle misure procedurali e della decisione definitiva

Qualora il presente regolamento o l’articolo 65, paragrafo 6, del regolamento (UE) 2016/679 impongano all’autorità di controllo di adottare una misura procedurale entro un determinato termine, l’adozione di tale misura dopo la scadenza del termine non incide sulla legittimità o sulla validità dell’atto procedurale o della decisione definitiva.

Articolo 15

Termini e diritto a un ricorso giurisdizionale effettivo

Nel determinare se un’autorità di controllo non abbia trattato un reclamo a norma dell’articolo 78, paragrafo 2, del regolamento (UE) 2016/679, occorre considerare se tale autorità di controllo, entro il termine previsto dal presente regolamento o dall’articolo 65, paragrafo 6, del regolamento (UE) 2016/679, comprese eventuali proroghe di tale termine, non abbia:

a)

presentato un progetto di decisione o un progetto di decisione riveduto; o

b)

adottato una decisione definitiva.

SEZIONE 4

RIGETTO O ARCHIVIAZIONE TOTALI O PARZIALI DEI RECLAMI

Articolo 16

Procedura di rigetto o archiviazione totali o parziali del reclamo ai sensi dell’articolo 60, paragrafi 8 e 9, del regolamento (UE) 2016/679

1.   Qualora intenda respingere o archiviare in tutto o in parte un reclamo, l’autorità di controllo capofila, prima di presentare un progetto di decisione a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679, comunica all’autorità di controllo cui è stato presentato il reclamo i motivi della propria opinione preliminare di rigetto o archiviazione totali o parziali del reclamo.

L’autorità di controllo cui è stato presentato il reclamo comunica al reclamante i motivi dell’opinione preliminare di cui al primo comma, gli offre la possibilità di comunicare per iscritto le proprie opinioni e lo informa delle conseguenze della mancata comunicazione delle proprie opinioni.

L’autorità di controllo capofila fissa un termine adeguato entro il quale il reclamante può comunicare le sue opinioni. Tale termine deve essere non inferiore a tre settimane e deve essere non superiore a sei settimane.

2.   L’autorità di controllo cui è stato presentato il reclamo trasmette all’autorità di controllo capofila le eventuali opinioni espresse dal reclamante quanto prima e in ogni caso entro una settimana dalla data in cui sono disponibili.

3.   Qualora le opinioni espresse dal reclamante conformemente al paragrafo 1 del presente articolo non comportino una modifica dell’opinione preliminare di cui al paragrafo 1, primo comma, l’autorità di controllo capofila, in cooperazione con l’autorità di controllo cui è stato presentato il reclamo, elabora un progetto di decisione e lo trasmette alle altre autorità di controllo interessate, conformemente all’articolo 60, paragrafo 3, del regolamento (UE) 2016/679.

4.   Qualora il progetto di decisione trasmesso a norma del paragrafo 3 concluda che il reclamo debba essere parzialmente rigettato o archiviato, l’autorità di controllo capofila prosegue le indagini in cooperazione con le altre autorità di controllo interessate sulla parte del reclamo che deve ancora essere sottoposta a indagine.

Articolo 17

Progetto riveduto di decisione di rigetto o archiviazione totali o parziali del reclamo

Qualora l’autorità di controllo capofila determini che il progetto di decisione di rigetto o archiviazione totali o parziali del reclamo riveduto ai sensi dell’articolo 60, paragrafo 5, del regolamento (UE) 2016/679 presenti nuovi elementi sui quali il reclamante dovrebbe avere la possibilità di esprimersi, l’autorità di controllo cui è stato presentato il reclamo, prima di trasmettere il progetto di decisione riveduto a norma del suddetto paragrafo, dà al reclamante la possibilità di esprimersi su tali nuovi elementi conformemente all’articolo 16 del presente regolamento.

Articolo 18

Decisione di rigetto o archiviazione totali o parziali del reclamo

Quando adotta una decisione di rigetto o archiviazione totali o parziali del reclamo a norma dell’articolo 60, paragrafi 8 o 9, del regolamento (UE) 2016/679, l’autorità di controllo cui è stato presentato il reclamo informa il reclamante della disponibilità del ricorso giurisdizionale a norma dell’articolo 78 di tale regolamento.

SEZIONE 5

DECISIONI DESTINATE ALLE PARTI SOTTOPOSTE A INDAGINE

Articolo 19

Constatazioni preliminari e diritto di essere ascoltati

1.   A seguito delle consultazioni e delle procedure di cui agli articoli 10 e 11 del presente regolamento, l’autorità di controllo capofila formula constatazioni preliminari qualora intenda trasmettere alle altre autorità di controllo interessate un progetto di decisione ai sensi dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 che constata una violazione di tale regolamento.

2.   Le constatazioni preliminari comprendono i principali risultati dell’indagine ed espongono le accuse sollevate in modo esaustivo e sufficientemente chiaro per consentire alle parti sottoposte a indagine di prendere conoscenza della condotta indagata dall’autorità di controllo capofila. In particolare, le constatazioni preliminari espongono chiaramente tutti i fatti, l’elenco di tutti gli elementi di prova su cui si basano e l’integralità della valutazione giuridica addotti contro le parti sottoposte a indagine, affinché queste possano esprimere le loro opinioni su tali fatti e sulle conclusioni giuridiche che l’autorità di controllo capofila intende trarre nel progetto di decisione ai sensi dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679.

Le constatazioni preliminari indicano, sulla base delle informazioni disponibili in tale fase e fatte salve le opinioni delle parti sottoposte a indagine, le misure correttive cui l’autorità di controllo capofila valuta di ricorrere.

Qualora, sulla base delle informazioni disponibili in tale fase e fatte salve le opinioni delle parti sottoposte a indagine, prenda in considerazione la possibilità di infliggere una sanzione amministrativa pecuniaria, conformemente all’articolo 83 del regolamento (UE) 2016/679, l’autorità di controllo capofila elenca nelle constatazioni preliminari i principali elementi di fatto e di diritto che le sono noti e sui quali intende basarsi per decidere se infliggere una sanzione amministrativa pecuniaria e per fissare l’ammontare della stessa, in considerazione degli elementi di cui all’articolo 83, paragrafo 2, del regolamento (UE) 2016/679, compresi gli eventuali circostanze aggravanti o attenuanti di cui intende tenere conto.

3.   L’autorità di controllo capofila trasmette le constatazioni preliminari alle altre autorità di controllo interessate. Tali autorità possono presentare osservazioni su tali constatazioni all’autorità di controllo capofila entro quattro settimane dalla trasmissione delle constatazioni preliminari alle autorità interessate. Su richiesta di una delle altre autorità di controllo interessate, l’autorità di controllo capofila proroga tale termine di due settimane.

4.   L’autorità di controllo capofila notifica le constatazioni preliminari, se del caso modificate per tenere conto delle osservazioni formulate dalle altre autorità di controllo interessate, a ciascuna parte sottoposta a indagine.

5.   Quando notifica le constatazioni preliminari alle parti sottoposte a indagine, l’autorità di controllo capofila fissa un termine adeguato, non inferiore a tre settimane e non superiore a sei settimane dalla data della notifica, entro il quale tali parti possono comunicare le loro opinioni per iscritto, o tiene un’audizione, entro lo stesso termine, al fine di ascoltare le opinioni delle parti sottoposte a indagine oralmente.

6.   Quando notifica le constatazioni preliminari alle parti sottoposte a indagine, l’autorità di controllo capofila dà loro accesso al fascicolo amministrativo conformemente agli articoli 24 e 25.

7.   Nella risposta alle constatazioni preliminari, le parti sottoposte a indagine possono esporre tutti i fatti e gli argomenti giuridici a loro noti che sono pertinenti per difendersi dalle accuse dell’autorità di controllo capofila. Esse allegano gli eventuali documenti idonei a comprovare i fatti esposti. L’autorità di controllo capofila fonda il proprio progetto di decisione solo sulle accuse, sui fatti e sulla valutazione giuridica basata sui medesimi fatti, sui quali le parti sottoposte a indagine hanno avuto la possibilità di comunicare le proprie opinioni.

Articolo 20

Trasmissione delle constatazioni preliminari ai reclamanti

1.   Qualora l’autorità di controllo capofila formuli constatazioni preliminari sulla questione su cui ha ricevuto un reclamo, l’autorità di controllo cui è stato presentato il reclamo fornisce al reclamante tali constatazioni preliminari, conformemente alle norme sull’accesso al fascicolo amministrativo e sulle informazioni riservate di cui agli articoli 24 e 25, e l’autorità di controllo capofila fissa un termine adeguato, non inferiore a tre settimane e non superiore a sei settimane, entro il quale il reclamante può comunicare le proprie opinioni per iscritto.

2.   Ai fini del paragrafo 1 continuano ad applicarsi le modalità e i requisiti amministrativi previsti dal diritto processuale nazionale dell’autorità di controllo cui è stato presentato il reclamo.

3.   Il paragrafo 1 del presente articolo si applica anche quando l’autorità di controllo capofila:

a)

tratta un reclamo insieme ad altri reclami;

b)

tratta una parte di un reclamo separatamente; o

c)

modifica in qualsiasi modo l’ambito dell’indagine fissato nelle constatazioni preliminari, anche dopo una decisione vincolante del comitato a norma dell’articolo 11, paragrafo 8.

Articolo 21

Adozione della decisione definitiva

1.   Dopo aver trasmesso il progetto di decisione alle altre autorità di controllo interessate a norma dell’articolo 60, paragrafo 3, del regolamento (UE) 2016/679 e se nessuna delle altre autorità di controllo solleva obiezioni al progetto di decisione entro i termini di cui ai paragrafi 4 o 5 di tale articolo, se del caso, l’autorità di controllo capofila, entro un mese dalla fine del periodo di cui all’articolo 60, paragrafi 4 o 5, del regolamento (UE) 2016/679:

a)

adotta la decisione di cui all’articolo 60, paragrafo 7, o, se del caso, all’articolo 60, paragrafo 9, del regolamento (UE) 2016/679; e

b)

notifica la decisione di cui alla lettera a) allo stabilimento principale o allo stabilimento unico del titolare del trattamento o responsabile del trattamento, a seconda dei casi.

2.   Le informazioni da fornire al reclamante a norma dell’articolo 60, paragrafi 7 e 9, del regolamento (UE) 2016/679 consistono in:

a)

una versione della decisione adottata che includa il dispositivo nella sua interezza e le motivazioni di tale decisione che non contengano elementi considerati riservati a norma dell’articolo 25 del presente regolamento; o

b)

una sintesi della decisione adottata, compresi i fatti e le motivazioni pertinenti di tale decisione.

In ogni caso, al reclamante è fornita, su richiesta, una versione della decisione di cui al primo comma che includa il dispositivo nella sua interezza e le motivazioni di tale decisione che non contengano elementi considerati riservati a norma dell’articolo 25 del presente regolamento.

Continuano ad applicarsi le modalità e i requisiti amministrativi previsti dal diritto processuale nazionale dell’autorità di controllo capofila.

Articolo 22

Diritto di essere ascoltati sul progetto di decisione riveduto che constata una violazione

1.   Qualora determini che il progetto di decisione riveduto ai sensi dell’articolo 60, paragrafo 5, del regolamento (UE) 2016/679, che constata una violazione del regolamento (UE) 2016/679, presenti nuovi elementi sui quali le parti sottoposte a indagine dovrebbero avere la possibilità di esprimersi, l’autorità di controllo capofila, prima di trasmettere il progetto di decisione riveduto a norma dell’articolo 60, paragrafo 5, di tale regolamento, dà alle parti sottoposte a indagine l’opportunità di esprimersi su tali nuovi elementi.

2.   L’autorità di controllo capofila fissa un termine adeguato, non inferiore a tre settimane e non superiore a sei settimane, entro il quale le parti sottoposte a indagine possono esprimersi.

3.   L’autorità di controllo capofila informa le altre autorità di controllo interessate delle opinioni espresse dalle parti sottoposte a indagine, quanto prima e in ogni caso entro una settimana dalla data in cui sono disponibili.

SEZIONE 6

OBIEZIONI PERTINENTI E MOTIVATE

Articolo 23

Obiezioni pertinenti e motivate

1.   Un’obiezione pertinente e motivata, quale definita all’articolo 4, punto 24), del regolamento (UE) 2016/679:

a)

si deve basare sugli elementi di fatto e di diritto inclusi nel progetto di decisione o nel fascicolo di cooperazione;

b)

non deve riguardare l’ambito di un’indagine in cui nessuna delle autorità di controllo interessate ha formulato osservazioni conformemente all’articolo 10, paragrafo 4, del presente regolamento, o in cui è stato raggiunto un consenso a seguito delle osservazioni ricevute, o non deve riguardare l’ambito di un’indagine quale definito in una decisione vincolante del comitato adottata a norma dell’articolo 11, paragrafo 8, del presente regolamento;

c)

non deve riguardare un progetto di decisione adottato conformemente all’articolo 5 del presente regolamento.

2.   In deroga al paragrafo 1, lettera b), un’autorità di controllo interessata può formulare obiezioni pertinenti e motivate riguardanti l’ambito di un’indagine di cui al paragrafo 1, lettera b), in casi debitamente giustificati, purché:

a)

l’autorità di controllo capofila non abbia esaminato tutti gli elementi della sintesi delle questioni principali su cui è stato raggiunto un consenso a norma dell’articolo 10, paragrafo 5, o dell’articolo 11, paragrafo 5, o non abbia rispettato la decisione vincolante del comitato di cui all’articolo 11, paragrafo 8; oppure

b)

nuovi elementi, non disponibili al momento dell’accordo sulla sintesi delle questioni principali a norma dell’articolo 10, paragrafo 5, o dell’articolo 11, paragrafo 5, al momento della decisione vincolante del comitato di cui all’articolo 11, paragrafo 8, dimostrino un rischio rilevante posto dal progetto di decisione riguardo ai diritti e alle libertà fondamentali dell’interessato e, ove applicabile, alla libera circolazione dei dati personali all’interno dell’Unione; o a entrambi.

3.   Un’obiezione pertinente e motivata è sufficientemente chiara, coerente e precisa e, se necessario, individua gli elementi del progetto di decisione da modificare per consentire alle autorità di controllo di preparare le rispettive posizioni e, a seconda dei casi, per consentire al comitato di risolvere efficacemente la controversia.

CAPO IV

FASCICOLO AMMINISTRATIVO, FASCICOLO DI COOPERAZIONE E TRATTAMENTO DELLE INFORMAZIONI RISERVATE

Articolo 24

Fascicolo amministrativo

1.   Il fascicolo amministrativo dell’indagine su una presunta violazione del regolamento (UE) 2016/679 è costituito dai documenti ottenuti o prodotti dall’autorità di controllo capofila e dalle altre autorità di controllo interessate e riuniti dall’autorità di controllo capofila durante la procedura di indagine, compresi tutti gli elementi di prova a carico e a discarico.

Il fascicolo amministrativo non contiene le comunicazioni interne a un’autorità di controllo.

2.   Su richiesta di una parte sottoposta a indagine, o del reclamante qualora la decisione possa pregiudicare i suoi interessi, l’autorità di controllo capofila dà accesso al fascicolo amministrativo alle parti sottoposte a indagine, o al reclamante, consentendo loro di esercitare il diritto di essere ascoltate.

Il primo comma lascia impregiudicate le norme più favorevoli sulla concessione dell’accesso al fascicolo amministrativo ai sensi del diritto nazionale dell’autorità di controllo capofila.

Qualora l’accesso sia concesso a norma del primo comma, l’autorità di controllo capofila fornisce tale accesso alla parte sottoposta a indagine, mentre l’autorità di controllo cui è stato presentato il reclamo fornisce tale accesso al reclamante.

3.   I seguenti documenti o parti degli stessi sono esclusi dall’accesso, nonostante l’accesso sia concesso ai sensi del diritto dell’Unione o nazionale:

a)

la corrispondenza o le deliberazioni tra le autorità di controllo;

b)

le informazioni riservate a norma dell’articolo 25, paragrafo 1.

4.   L’autorità di controllo capofila dà accesso alle obiezioni pertinenti e motivate a norma dell’articolo 60, paragrafo 4, del regolamento (UE) 2016/679 sulla base delle quali tale autorità di controllo intende adottare un progetto di decisione riveduto solo se tale accesso è necessario per consentire alle parti sottoposte a indagine o al reclamante di esprimere le proprie opinioni e difendere i propri diritti.

Articolo 25

Individuazione e protezione delle informazioni riservate

1.   Le informazioni, i documenti o parti di documenti sono considerati riservati nella misura in cui contengono segreti commerciali quali definiti nella direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio (5) o altre informazioni riservate conformemente al diritto dell’Unione o nazionale.

2.   Salvo altrimenti disposto dal diritto dell’Unione o nazionale, le informazioni raccolte, prodotte o ottenute dall’autorità di controllo nei casi riguardanti un trattamento transfrontaliero a norma del regolamento (UE) 2016/679, che sono considerate riservate a norma del paragrafo 1, non sono comunicate né rese accessibili a una parte sottoposta a dell’indagine, a un reclamante o a terzi.

3.   Una parte sottoposta a indagine, un reclamante o un terzo che trasmette informazioni che considera riservate individua chiaramente tali informazioni, motivando la richiesta di riservatezza. La parte sottoposta a indagine, il reclamante o il terzo fornisce sempre una versione completa dell’informazione. Ove possibile, fornisce anche una proposta di versione non riservata.

4.   Fatto salvo il paragrafo 3, l’autorità di controllo cui sono trasmesse le informazioni può chiedere alle parti sottoposte a indagine, o a qualsiasi altra persona che presenta documenti, di individuare i documenti o le sezioni di documenti che a loro avviso contengono segreti commerciali o altre informazioni riservate ad esse appartenenti e di individuare le persone interessate per quanto riguarda la riservatezza di tali segreti commerciali o altre informazioni riservate.

5.   L’autorità di controllo cui sono trasmesse le informazioni fissa un termine adeguato non superiore a sei settimane per le parti sottoposte a indagine e qualsiasi altra persona che sostenga che le informazioni trasmesse sono riservate per:

a)

motivare la richiesta di trattamento come segreto commerciale o altra informazione riservata per ogni singolo documento o parte di documento, dichiarazione o parte di dichiarazione;

b)

proporre, ove possibile, una versione non riservata dei documenti e delle dichiarazioni, in cui i segreti commerciali o le altre informazioni riservate sono espunti;

c)

fornire una descrizione concisa e non riservata di ogni informazione espunta.

6.   Se le parti sottoposte a indagine o qualsiasi altra persona non si conformano ai paragrafi 4 e 5, l’autorità di controllo cui sono trasmesse le informazioni può presumere che i documenti o le dichiarazioni in questione non contengano segreti commerciali né altre informazioni riservate.

7.   L’autorità di controllo cui sono trasmesse le informazioni determina se le informazioni o parti pertinenti e specifiche dei documenti siano o meno riservate, conformemente al paragrafo 1. Essa garantisce che le espunzioni apportate ai documenti siano limitate a quanto necessario e proporzionato per proteggere le informazioni riservate. L’autorità di controllo cui sono trasmesse le informazioni informa le altre autorità di controllo della natura riservata delle informazioni al momento della loro trasmissione.

8.   Le informazioni considerate informazioni riservate a norma del diritto nazionale dell’autorità di controllo cui sono trasmesse e che sono scambiate tra le autorità di controllo in applicazione del regolamento (UE) 2016/679 continuano a essere trattate come riservate dall’autorità di controllo che le riceve.

Articolo 26

Fascicolo di cooperazione

1.   Ai fini dello scambio di informazioni pertinenti tra l’autorità di controllo capofila e le altre autorità di controllo interessate conformemente all’articolo 9, l’autorità di controllo capofila provvede affinché tali informazioni pertinenti siano rese disponibili attraverso un fascicolo di cooperazione dedicato a ogni reclamo o indagine. Il fascicolo di cooperazione comprende tutte le informazioni scambiate a norma dell’articolo 9.

2.   Il fascicolo di cooperazione è conservato in forma elettronica e, mediante uno strumento elettronico comune, è accessibile a distanza alle autorità di controllo e, previo deferimento di una questione per la composizione delle controversie a norma dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 e, se del caso, quando è richiesto un parere d’urgenza o una decisione vincolante d’urgenza a norma dell’articolo 66 di tale regolamento, al comitato. Il fascicolo di cooperazione non è direttamente accessibile alle parti sottoposte a indagine, ai reclamanti o a terzi.

CAPO V

COMPOSIZIONE DELLE CONTROVERSIE

Articolo 27

Deferimento al meccanismo di composizione delle controversie a norma dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679

1.   Entro tre mesi dalla scadenza del termine di cui all’articolo 60, paragrafo 4, del regolamento (UE) 2016/679, l’autorità di controllo capofila presenta un progetto di decisione riveduto a norma dell’articolo 60, paragrafo 5, di tale regolamento o deferisce la questione al comitato per la composizione delle controversie a norma dell’articolo 65, paragrafo 1, lettera a), di tale regolamento.

2.   Entro tre mesi dalla scadenza del termine di cui all’articolo 60, paragrafo 5, del regolamento (UE) 2016/679, l’autorità di controllo capofila presenta un altro progetto di decisione riveduto a norma dell’articolo 60, paragrafo 5, di tale regolamento o deferisce la questione al comitato per la composizione delle controversie a norma dell’articolo 65, paragrafo 1, lettera a), di tale regolamento.

3.   Nel deferire la questione al meccanismo di composizione delle controversie a norma dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679, l’autorità di controllo capofila fornisce al comitato quanto segue:

a)

il progetto di decisione o il progetto di decisione riveduto oggetto delle obiezioni pertinenti e motivate;

b)

una sintesi dei fatti pertinenti;

c)

le opinioni espresse per iscritto dalle parti sottoposte a indagine a norma dell’articolo 19, e, a seconda dei casi, dell’articolo 22 del presente regolamento, almeno nella misura in cui si riferiscono alla questione sottoposta al comitato;

d)

le opinioni espresse per iscritto dai reclamanti, a seconda dei casi, a norma degli articoli 16, 17 e 20 del presente regolamento, almeno nella misura in cui tali opinioni si riferiscono alla questione sottoposta al comitato;

e)

le obiezioni pertinenti e motivate cui l’autorità di controllo capofila non ha dato seguito e le obiezioni che l’autorità di controllo capofila ha respinto in quanto non pertinenti o motivate;

f)

i motivi per cui l’autorità di controllo capofila non ha dato seguito alle obiezioni pertinenti e motivate accolte o le ha respinte in quanto non pertinenti o motivate.

4.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta.

5.   Entro quattro settimane dal ricevimento dei documenti e delle informazioni di cui al paragrafo 3 del presente articolo, il comitato determina in via preliminare se le obiezioni di cui all’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 siano pertinenti e motivate e se siano conformi all’articolo 23 del presente regolamento. Entro lo stesso termine, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

6.   Il termine per l’adozione della decisione vincolante del comitato di cui all’articolo 65, paragrafo 2, del regolamento (UE) 2016/679 non decorre durante il periodo di cui al paragrafo 5 del presente articolo.

Articolo 28

Consultazione della parte sottoposta a indagine e del reclamante prima dell’adozione di una decisione a norma dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679

1.   Prima di adottare la decisione vincolante a norma dell’articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679, il comitato offre alla parte sottoposta a indagine o, qualora la decisione del comitato possa comportare il rigetto o archiviazione totali o parziali del reclamo, al reclamante la possibilità di comunicare per iscritto le proprie opinioni su eventuali nuovi elementi di fatto o di diritto su cui deve basarsi la sua decisione, comprese le obiezioni pertinenti e motivate cui intende dare seguito nella sua decisione.

2.   Qualora alle parti sottoposte a indagine o al reclamante, a seconda dei casi, sia data la possibilità di comunicare le proprie opinioni conformemente al paragrafo 1, il comitato fissa un termine adeguato, non superiore a due settimane, entro il quale essi possono esprimersi.

3.   Il termine per l’adozione della decisione vincolante del comitato di cui all’articolo 65, paragrafo 2, del regolamento (UE) 2016/679 è sospeso fino a quando la parte sottoposta a indagine o il reclamante, a seconda dei casi, non abbia comunicato le proprie opinioni o, se anteriore, fino alla scadenza del termine di cui al paragrafo 2 del presente articolo.

Articolo 29

Procedura relativa a una decisione a norma dell’articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679

1.   Quando deferisce una questione al comitato ai sensi dell’articolo 65, paragrafo 1, lettera c), del regolamento (UE) 2016/679, l’autorità di controllo che deferisce la questione fornisce al comitato quanto segue:

a)

una sintesi dei fatti pertinenti, anche riguardo al trattamento in questione;

b)

la valutazione di tali fatti pertinenti al fine di stabilire se un’autorità di controllo sia competente ad agire in qualità di autorità di controllo capofila a norma dell’articolo 56, paragrafo 1, del regolamento (UE) 2016/679, in particolare per determinare se il trattamento debba essere considerate un trattamento transfrontaliero e dove sia ubicato lo stabilimento principale del titolare del trattamento o del responsabile del trattamento;

c)

le opinioni espresse dal titolare del trattamento o dal responsabile del trattamento il cui stabilimento principale è oggetto del deferimento;

d)

le opinioni delle altre autorità di controllo interessate dal deferimento;

e)

qualsiasi altro documento o informazione che l’autorità di controllo che deferisce la questione ritenga utile e necessario per comporre la questione.

2.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta.

3.   Entro una settimana dal ricevimento dei documenti e delle informazioni di cui al paragrafo 1, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

Articolo 30

Procedura relativa a una decisione a norma dell’articolo 65, paragrafo 1, lettera c), del regolamento (UE) 2016/679

1.   Quando deferisce una questione al comitato ai sensi dell’articolo 65, paragrafo 1, lettera c), del regolamento (UE) 2016/679, l’autorità di controllo o la Commissione fornisce al comitato quanto segue:

a)

una sintesi dei fatti pertinenti;

b)

a seconda dei casi, il parere emesso dal comitato a norma dell’articolo 64 del regolamento (UE) 2016/679 o, a seconda dei casi, la decisione adottata dall’autorità di controllo competente a seguito del parere emesso dal comitato a norma dell’articolo 64 del regolamento (UE) 2016/679;

c)

le opinioni dell’autorità di controllo che deferisce la questione o della Commissione in merito al fatto che, a seconda dei casi, un’autorità di controllo fosse tenuta a deferire il progetto di decisione al comitato a norma dell’articolo 64, paragrafo 1, del regolamento (UE) 2016/679, o non abbia dato seguito al parere del comitato emesso a norma dell’articolo 64 del regolamento (UE) 2016/679, indicando le parti di tale parere cui non è stato dato seguito e un riferimento alla parte pertinente della decisione adottata.

2.   Il comitato richiede i documenti seguenti:

a)

le opinioni dell’autorità di controllo che si presume abbia violato l’obbligo di deferire un progetto di decisione al comitato o non abbia dato seguito a un parere del comitato;

b)

qualsiasi altro documento o informazione che detta autorità di controllo ritenga utile e necessaria per comporre la questione.

3.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta.

4.   Entro una settimana dal ricevimento dei documenti e delle informazioni di cui al paragrafo 2, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

5.   L’autorità di controllo che dichiari l’intenzione di presentare le proprie opinioni sulla questione le trasmette entro due settimane dal deferimento di cui al paragrafo 1.

CAPO VI

PROCEDURA D’URGENZA

Articolo 31

Parere d’urgenza a norma dell’articolo 66, paragrafo 2, del regolamento (UE) 2016/679

1.   La richiesta di un parere d’urgenza del comitato a norma dell’articolo 66, paragrafo 2, del regolamento (UE) 2016/679 è presentata al più tardi quattro settimane prima della scadenza delle misure provvisorie adottate a norma dell’articolo 66, paragrafo 1 di tale regolamento e contiene quanto segue:

a)

una sintesi dei fatti pertinenti, comprese le accuse di violazione del regolamento (UE) 2016/679;

b)

la misura provvisoria adottata sul territorio dello Stato membro dell’autorità di controllo che richiede il parere urgente, la relativa durata e la motivazione della sua adozione, compresa la giustificazione dell’urgenza dell’intervento per proteggere i diritti e le libertà degli interessati;

c)

una giustificazione dell’urgenza dell’adozione di misure definitive, compresa una spiegazione dell’eccezionalità delle circostanze che richiedono l’adozione di tali misure definitive.

2.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta ai fini di un parere urgente.

3.   Entro una settimana dal ricevimento dei documenti e delle informazioni di cui al paragrafo 1, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

Articolo 32

Decisione vincolante d’urgenza a norma dell’articolo 66, paragrafo 2, del regolamento (UE) 2016/679

1.   La richiesta di una decisione vincolante d’urgenza del comitato a norma dell’articolo 66, paragrafo 2, del regolamento (UE) 2016/679 è presentata al più tardi quattro settimane prima della scadenza delle misure provvisorie adottate a norma dell’articolo 61, paragrafo 8, dell’articolo 62, paragrafo 7, o dell’articolo 66, paragrafo 1, di tale regolamento. Tale richiesta contiene quanto segue:

a)

una sintesi dei fatti pertinenti, comprese le accuse di violazione del regolamento (UE) 2016/679;

b)

la misura provvisoria adottata nel territorio dello Stato membro dell’autorità di controllo che richiede la decisione vincolante d’urgenza, la relativa durata e la motivazione della sua adozione, compresa la giustificazione dell’urgenza dell’intervento per proteggere i diritti e le libertà degli interessati;

c)

informazioni su eventuali misure di indagine adottate sul territorio dello Stato membro dell’autorità di controllo che richiede la decisione vincolante d’urgenza e risposte ricevute dalle parti sottoposte a indagine o qualsiasi altra informazione in possesso di detta autorità di controllo richiedente;

d)

una giustificazione dell’urgenza dell’adozione di misure definitive, tenendo conto dell’eccezionalità delle circostanze che richiedono l’adozione di tali misure, o la prova che un’autorità di controllo non ha rispettato l’articolo 61, paragrafo 5, o l’articolo 62, paragrafo 2, del regolamento (UE) 2016/679;

e)

se l’autorità di controllo richiedente non è l’autorità di controllo capofila, le opinioni dell’autorità di controllo capofila;

f)

ove applicabile, le opinioni dello stabilimento locale delle parti sottoposte a indagine alle quali sono state rivolte le misure provvisorie a norma dell’articolo 66, paragrafo 1, del regolamento (UE) 2016/679.

2.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta.

3.   Entro una settimana dal ricevimento dei documenti e delle informazioni di cui al paragrafo 1, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

4.   Se il comitato adotta una decisione vincolante d’urgenza secondo cui devono essere adottate misure definitive, l’autorità di controllo destinataria della decisione le adotta prima della scadenza delle misure provvisorie adottate a norma dell’articolo 66, paragrafo 1, del regolamento (UE) 2016/679.

5.   Se una decisione vincolante d’urgenza stabilisce che non urge adottare misure definitive, l’autorità di controllo capofila e le altre autorità di controllo interessate seguono la procedura di cui all’articolo 60 del regolamento (UE) 2016/679.

Articolo 33

Parere d’urgenza o decisione vincolante d’urgenza a norma dell’articolo 66, paragrafo 3, del regolamento (UE) 2016/679

1.   La richiesta di un parere d’urgenza o di una decisione vincolante d’urgenza del comitato a norma dell’articolo 66, paragrafo 3, del regolamento (UE) 2016/679 contiene quanto segue:

a)

una sintesi dei fatti pertinenti;

b)

una giustificazione della necessità urgente di adottare misure adeguate per proteggere i diritti e le libertà degli interessati, tenendo conto delle circostanze eccezionali che richiedono l’adozione di tali misure, in particolare eventuali elementi che l’autorità di controllo competente avrebbe dovuto prendere in considerazione per proteggere i diritti e le libertà degli interessati;

c)

ove pertinenti e disponibili, informazioni su eventuali misure di indagine adottate dall’autorità di controllo richiedente sul territorio dello Stato membro dell’autorità di controllo che richiede un parere urgente o una decisione vincolante d’urgenza e risposte ricevute dalle parti sottoposte a indagine o qualsiasi altra informazione in possesso di tale autorità di controllo richiedente;

d)

le opinioni dell’autorità di controllo competente di cui all’articolo 66, paragrafo 3, del regolamento (UE) 2016/679;

2.   Il comitato può chiedere ulteriori documenti a un’autorità di controllo in relazione alla questione ad esso sottoposta.

3.   Entro una settimana dal ricevimento dei documenti e delle informazioni di cui al paragrafo 1, il presidente del comitato registra il deferimento della questione sottoposta all’esame del comitato. Non appena il deferimento è registrato, il fascicolo è fornito ai membri del comitato.

CAPO VII

DISPOSIZIONI GENERALI E FINALI

Articolo 34

Statistiche sull’applicazione nei casi riguardanti un trattamento transfrontaliero

1.   Nell’ambito della relazione annuale da redigere a norma dell’articolo 71 del regolamento (UE) 2016/679, il comitato fornisce statistiche sull’applicazione del regolamento (UE) 2016/679 nei casi che rientrano nell’ambito di applicazione del presente regolamento, in particolare:

a)

il numero di casi basati su un reclamo e di casi istituiti d’ufficio che sono stati avviati;

b)

il numero di casi basati su un reclamo e di casi istituiti d’ufficio che sono stati conclusi;

c)

il numero di indagini richieste dalle autorità di controllo interessate a norma dell’articolo 61, paragrafo 1, del regolamento (UE) 2016/679;

d)

il numero di reclami presentati;

e)

il numero di reclami rigettati o archiviati in tutto o in parte;

f)

la durata media dei casi basati su un reclamo e dei casi istituiti d’ufficio che sono stati conclusi;

g)

il numero e gli importi delle sanzioni amministrative pecuniarie imposte ai sensi degli articoli 83 e 84 del regolamento (UE) 2016/679.

2.   Qualora le statistiche di cui al paragrafo 1 non siano direttamente a disposizione del comitato, le autorità di controllo le forniscono, su richiesta, al comitato in modo tempestivo.

Articolo 35

Relazione della Commissione

La Commissione, nell’ambito della sua relazione sulla valutazione e il riesame del regolamento (UE) 2016/679, di cui all’articolo 97 dello stesso regolamento, presenta anche una relazione sull’applicazione e il funzionamento del presente regolamento.

Articolo 36

Disposizioni transitorie

I capi III e IV si applicano alle indagini d’ufficio avviate dopo il 2 aprile 2027 e alle indagini basate su un reclamo presentato dopo il 2 aprile 2027.

I capi V e VI del presente regolamento si applicano a tutti i casi deferiti al meccanismo di composizione delle controversie a norma dell’articolo 65 e alla procedura d’urgenza a norma dell’articolo 66, paragrafi 2 e 3, del regolamento (UE) 2016/679 dopo il 2 aprile 2027.

Articolo 37

Entrata in vigore e applicazione

1.   Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

2.   Il presente regolamento si applica a decorrere dal 2 aprile 2027.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Strasburgo, il 26 novembre 2025

Per il Parlamento europeo

La presidente

R. METSOLA

Per il Consiglio

Il presidente

M. BJERRE

(1)   GU C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.

(2)  Posizione del Parlamento europeo del 21 ottobre 2025 (non ancora pubblicata nella Gazzetta ufficiale) e decisione del Consiglio del 17 novembre 2025.

(3)  Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(5)  Direttiva (UE) 2016/943 del Parlamento europeo e del Consiglio, dell’8 giugno 2016, sulla protezione del know-how riservato e delle informazioni commerciali riservate (segreti commerciali) contro l’acquisizione, l’utilizzo e la divulgazione illeciti (GU L 157 del 15.6.2016, pag. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).

ELI: http://data.europa.eu/eli/reg/2025/2518/oj

ISSN 1977-0707 (electronic edition)

Top

Full & Egal Universal Law Academy