Art. 92 GDPR — Esercizio della delega

Commento

Atti delegati alla Commissione

L'art. 92 GDPR disciplina il potere della Commissione europea di adottare atti delegati. È strumento di adattamento legislativo: il Regolamento, atto base, può essere integrato o modificato in aspetti tecnici tramite atti delegati della Commissione, soggetti a controllo del Parlamento e del Consiglio. La logica è di flessibilità: alcune materie tecniche richiedono aggiornamento rapido, senza richiedere ogni volta una nuova procedura legislativa ordinaria.

Trasferimento del potere (par. 1-2)

Il par. 1 conferisce alla Commissione il potere di adottare atti delegati ai sensi degli artt. 12, par. 8, e 43, par. 8. L'art. 12, par. 8 riguarda le icone standardizzate per le informative; l'art. 43, par. 8 riguarda gli organismi di certificazione. Sono materie tecniche dove l'aggiornamento può essere frequente. La delega è specifica, non generica.

Durata della delega (par. 2)

Il par. 2 prevede che il potere di adottare atti delegati sia conferito alla Commissione per un periodo indeterminato a decorrere dalla data di applicazione del GDPR (25 maggio 2018). La durata indeterminata garantisce continuità ma non è incontrollata: il Parlamento e il Consiglio possono revocare la delega (par. 3).

Revoca (par. 3)

Il par. 3 prevede che la delega di potere possa essere revocata in qualsiasi momento dal Parlamento europeo o dal Consiglio. La decisione di revoca pone fine alla delega di potere ivi specificata. Diventa efficace il giorno successivo alla pubblicazione nella Gazzetta ufficiale UE o in una data successiva ivi specificata. Non incide sugli atti delegati già in vigore. È meccanismo di controllo politico.

Notifica e obiezione (par. 5-6)

Il par. 5 prevede che l'atto delegato adottato entri in vigore solo se non è stata sollevata obiezione dal Parlamento o dal Consiglio entro tre mesi dalla data di notifica. Il termine può essere prorogato di tre mesi su iniziativa del Parlamento o del Consiglio. Se obiezione è sollevata, l'atto delegato non entra in vigore. È controllo ex ante.

Materie oggetto di delega

Le materie oggetto di delega sono limitate: icone informative (art. 12) e organismi di certificazione (art. 43). Storicamente, la Commissione non ha adottato molti atti delegati: le icone standardizzate sono ancora in sviluppo; gli organismi di certificazione operano sulla base degli atti esistenti. Il meccanismo è strumento di riserva per quando le materie tecniche maturano.

Regola pratica e checklist operativa

Compliance art. 92: monitoring evolutivo. Per gli operatori, gli atti delegati possono introdurre nuovi obblighi tecnici. DPO segue sviluppi su edpb.europa.eu e Gazzetta UE.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.