Art. 62 GDPR — Operazioni congiunte delle autorità di controllo

Commento

La cooperazione attiva

L'art. 62 GDPR consente alle Autorità di controllo di condurre operazioni congiunte, inclusi indagini, ispezioni e azioni di applicazione. È strumento di cooperazione attiva che va oltre lo scambio di informazioni: membri di un'Autorità possono partecipare ad operazioni sul territorio di un altro SM con poteri di indagine. La logica è di efficacia transfrontaliera: per casi complessi e su larga scala, una squadra mista è più efficace di azioni separate. Il considerando 134 sottolinea il valore.

Operazioni congiunte (par. 1)

Il par. 1 prevede che, ove appropriato, le Autorità conducano operazioni congiunte di applicazione, inclusi indagini e misure di esecuzione cui partecipano membri o personale delle Autorità di altri SM. È formalizzazione di una pratica già diffusa nella cooperazione tra autorità di vigilanza (es. autorità di concorrenza). La cooperazione è volontaria e basata su accordo tra le Autorità coinvolte.

Membri delle Autorità in altri SM (par. 2-3)

Il par. 2-3 disciplinano la partecipazione di membri/personale di un'Autorità all'operazione in un altro SM: l'Autorità ospitante è competente sul proprio territorio e i membri ospiti agiscono sotto la guida dell'Autorità ospitante. La partecipazione è autorizzata dall'Autorità ospitante. Il personale ospite osserva il diritto SM ospitante per quanto riguarda procedure e tutele. La fungibilità delle competenze è coordinata caso per caso.

Poteri esercitati nello SM ospitante (par. 4)

Il par. 4 prevede che, se richiesto, i membri o il personale dell'Autorità di un altro SM possano esercitare i poteri d'indagine conformemente al diritto SM ospitante e sotto l'autorità e in presenza dei membri o del personale dell'Autorità ospitante. È regola di accountability territoriale: l'Autorità ospitante mantiene responsabilità formale, ma l'operazione è effettivamente congiunta. La giurisprudenza ha confermato la validità degli atti compiuti.

Notifica di operazioni (par. 5-6)

Il par. 5-6 prevedono la notifica e la responsabilità: l'Autorità ospitante notifica all'EDPB e alla Commissione la prevista operazione congiunta. La responsabilità per atti illeciti dei membri/personale ospite è dell'Autorità ospitante, fatto salvo il regresso. La regola assicura tutela per le persone coinvolte nell'operazione: i diritti di difesa sono garantiti secondo il diritto SM ospitante.

Casi applicativi

Casi applicativi sono in crescita: operazioni congiunte su piattaforme transnazionali, indagini coordinate su data broker, audit di gruppi multinazionali, ispezioni in materia di trasferimenti USA. Spesso strutturate come task force temporanee, con specializzazione tematica. L'EDPB ha sviluppato linee guida per le operazioni congiunte. Il futuro vede crescita: l'EDPB ha proposto un GDPR procedural regulation per rafforzare la cooperazione.

Regola pratica e checklist operativa

Compliance art. 62: per operatori: (i) preparazione per ispezioni congiunte; (ii) protocolli multi-jurisdictional; (iii) team DPO-legali per risposte coordinate; (iv) documentazione unitaria; (v) gestione di richieste simultanee. La cooperazione attiva è realtà.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.