Art. 63 GDPR — Meccanismo di coerenza

Commento

La logica del meccanismo

L'art. 63 GDPR fonda il meccanismo di coerenza: per contribuire all'applicazione coerente del GDPR in tutta l'Unione, le Autorità di controllo cooperano tra loro e, ove pertinente, con la Commissione, tramite il meccanismo di coerenza di cui agli articoli 64-65. È architrave istituzionale: senza coerenza, il GDPR si frammenterebbe in 27 interpretazioni divergenti. Il meccanismo opera tramite l'EDPB (art. 68) che esprime pareri e adotta decisioni vincolanti.

Obiettivo: coerenza applicativa europea

L'obiettivo è coerenza applicativa europea: stessa interpretazione del Regolamento in tutti gli SM. È risposta alla critica della direttiva 95/46/CE, che pur disciplinando regole comuni aveva generato divergenze interpretative tra Garanti nazionali. Il GDPR ha introdotto meccanismi formali per allineare prassi: pareri obbligatori dell'EDPB su questioni transversali, decisioni vincolanti in caso di controversie tra Autorità, sviluppo di linee guida comuni.

Strumenti del meccanismo (artt. 64-65)

Gli strumenti del meccanismo sono dettagliati negli artt. 64-65: il par. 1 dell'art. 64 elenca i casi in cui l'Autorità nazionale deve consultare l'EDPB prima di adottare misure (es. approvazione codici transnazionali, lista DPIA, clausole tipo); l'art. 65 disciplina la composizione delle controversie tra Autorità con decisione vincolante. L'EDPB ha sviluppato linee guida vincolanti su materie trasversali (consenso, ePrivacy, contitolarità, accountability).

Pareri dell'EDPB su questioni transversali

I pareri dell'EDPB su questioni transversali sono strumenti chiave: ogni anno l'EDPB pubblica 10-30 linee guida, pareri, raccomandazioni. Hanno valore di soft law: non vincolanti formalmente per il giudice, ma standard di prassi di fatto. Garanti nazionali si conformano salvo motivazione specifica. Operatori che si adeguano alle linee guida riducono il rischio sanzionatorio. Le linee guida sono pubblicate sul sito edpb.europa.eu.

Composizione delle controversie

La composizione delle controversie (art. 65) opera quando Autorità non raggiungono accordo: in cooperazione capofila-interessate (art. 60), in scambi di assistenza (art. 61), su questioni di competenza (art. 56). L'EDPB decide a maggioranza dei 2/3 con effetto vincolante per le Autorità. La decisione è impugnabile davanti alla CGUE. La giurisprudenza ha confermato la natura vincolante e la responsabilità delle Autorità di conformarsi.

Impatto sulla prassi

L'impatto sulla prassi è significativo. Per gli operatori: prevedibilità europea, standard comuni, riduzione di compliance multi-jurisdictional. Per Big Tech: investigazioni coordinate, sanzioni allineate, framework unitario. Per PMI: accessibilità a buone pratiche europee. Per Autorità: legittimazione del proprio operato in coerenza europea. La proposta GDPR procedural regulation in discussione mira a rafforzare ulteriormente il meccanismo.

Regola pratica e checklist operativa

Compliance art. 63: per operatori: (i) seguire linee guida EDPB; (ii) integrare in policy interne; (iii) usare come standard di prassi; (iv) monitoring nuove pubblicazioni; (v) partecipazione a consultazioni pubbliche EDPB. Per Autorità: cooperazione fattuale, partecipazione attiva, rispetto delle decisioni.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.