Art. 77 GDPR — Diritto di proporre reclamo all’autorità di controllo

Commento

Il reclamo come strumento di tutela

L'art. 77 GDPR riconosce a ogni interessato il diritto di proporre reclamo a un'Autorità di controllo, in particolare nello SM in cui risiede abitualmente, in cui lavora oppure del luogo ove si è verificata la presunta violazione, qualora ritenga che il trattamento dei dati personali che lo riguardano violi il Regolamento. È diritto-base che apre il canale di tutela amministrativa, complementare ai ricorsi giurisdizionali (artt. 78-79). Il considerando 141 sottolinea la accessibilità come elemento essenziale.

Modalità di presentazione (par. 1)

Il par. 1 fissa il diritto: presentazione del reclamo senza formalismi (per iscritto, online, via posta). Le Autorità mettono a disposizione strumenti accessibili: form web, indirizzi dedicati, supporto per interessati. Il Garante italiano ha sviluppato sportello online dedicato. La domanda è gratuita e non richiede assistenza legale obbligatoria.

Soggetti legittimati

I soggetti legittimati sono tutti gli interessati: persone fisiche identificate o identificabili. Per i minori, il reclamo può essere presentato da titolare della responsabilità genitoriale. Per persone giuridiche, la legittimazione è limitata: il GDPR tutela persone fisiche, non società. L'art. 80 GDPR consente rappresentanza tramite organismi senza scopo di lucro (associazioni consumatori).

Competenza territoriale

La competenza territoriale è ampia: interessato può scegliere tra SM di residenza abituale, di lavoro, o del luogo della presunta violazione. La scelta strategica può influenzare l'efficacia: alcune Autorità sono più reattive di altre. Il meccanismo di cooperazione (artt. 60-67) assicura comunque coordinamento. La pratica vede spesso l'interessato preferire il Garante del proprio SM.

Risposta dell'autorità (par. 2)

Il par. 2 prevede che l'Autorità presso cui è stato proposto il reclamo informi il reclamante in merito allo stato del procedimento e all'esito del reclamo, anche della possibilità di un ricorso giurisdizionale ai sensi dell'art. 78. La progressione del reclamo deve essere comunicata: l'art. 78 prevede ricorso davanti al giudice in caso di inattività dell'Autorità (3 mesi).

Coordinamento con altri rimedi (artt. 78-79)

Il coordinamento con altri rimedi è strutturale: il reclamo (art. 77) opera in parallelo al ricorso giurisdizionale contro l'Autorità (art. 78), al ricorso contro titolare/responsabile (art. 79) e al risarcimento (art. 82). L'interessato può cumulare gli strumenti: reclamo + ricorso civile. La giurisprudenza ha chiarito che il reclamo non è precondizione del ricorso giurisdizionale: si possono esercitare contestualmente.

Regola pratica e checklist operativa

Compliance art. 77: per interessati: conoscere il diritto, presentare reclami su violazioni, scegliere strategicamente l'Autorità. Per titolari: la gestione efficace delle richieste degli interessati riduce reclami; le sanzioni derivano spesso da reclami.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.