Art. 60 GDPR — Cooperazione tra l’autorità di controllo capofila e le altre autorità di controllo interessate

Commento

Il cuore del meccanismo cooperativo

L'art. 60 GDPR disciplina la cooperazione tra l'Autorità capofila (LSA) e le altre Autorità di controllo interessate per i trattamenti transfrontalieri. È il cuore del meccanismo del one-stop-shop: la LSA conduce il caso ma cooperazione con altre Autorità garantisce che la decisione finale rifletta le preoccupazioni di tutti gli SM coinvolti. La procedura è articolata in fasi: scambio di informazioni, progetto di decisione, obiezioni, decisione finale o coerenza. Il considerando 124-127 e 130-133 spiegano il funzionamento.

Scambio di informazioni (par. 1)

Il par. 1 prevede che l'Autorità capofila collabori con le altre Autorità di controllo interessate per raggiungere il consenso. La LSA e le altre Autorità si scambiano tutte le informazioni rilevanti tra loro. Le Autorità interessate sono quelle che hanno uno stabilimento del titolare/responsabile sul proprio territorio o gli interessati sono significativamente colpiti. Lo scambio di informazioni è continuo durante l'istruttoria.

Progetto di decisione della LSA (par. 3)

Il par. 3 prevede che, dopo aver consultato le Autorità interessate, la LSA sottoponga loro un progetto di decisione, tenendone debitamente conto. Il progetto è la sintesi dell'istruttoria della LSA, con qualificazioni giuridiche, accertamenti, misure proposte. Le Autorità interessate ricevono il progetto e possono presentare un'obiezione pertinente e motivata. La tempistica è regolata (4 settimane per obiezioni dopo consultazione).

Obiezione delle Autorità interessate (par. 4)

Il par. 4 disciplina l'obiezione pertinente e motivata: è dichiarazione che indica preoccupazioni sul progetto di decisione o richieste di modifiche. Deve essere pertinente (riguarda il caso, ha rilievo giuridico) e motivata (con argomenti). Se l'LSA non intende seguire l'obiezione pertinente e motivata, può sottoporre la questione al meccanismo di coerenza (art. 65): l'EDPB decide.

Decisione condivisa (par. 6-7)

Il par. 6-7 prevedono la decisione finale: se la LSA decide di seguire l'obiezione, sottopone nuovo progetto. Se non ci sono obiezioni o se le obiezioni sono state accolte, la decisione è adottata dalla LSA e notificata allo stabilimento principale del titolare/responsabile. La decisione include il provvedimento, l'iter procedurale, la motivazione. È pubblicata e impugnabile davanti al giudice nazionale dello SM della LSA.

Casi paradigmatici di cooperazione

Casi paradigmatici di cooperazione: investigazione DPC irlandese su Meta (con cooperazione del Garante italiano, francese, tedesco, etc.) per profilazione pubblicitaria, conclusasi con sanzione di 1,2 miliardi €; investigazione DPC su Google Analytics, con cooperazione di molte Autorità; cooperazione tra Garante italiano e CNIL francese su cookies. La giurisprudenza CGUE ha confermato la natura cooperativa: nessuna Autorità decide in isolamento per i transfrontalieri.

Regola pratica e checklist operativa

Compliance art. 60: per operatori transfrontalieri: (i) identificare LSA e Autorità interessate; (ii) preparazione per istruttoria coordinata; (iii) interlocuzione con LSA e Autorità interessate via DPO; (iv) gestione transfrontaliera unitaria; (v) preparazione per impugnazione presso giudice nazionale LSA.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.