Art. 78 GDPR — Diritto a un ricorso giurisdizionale effettivo nei confronti dell’autorità di controllo

Commento

Il ricorso giurisdizionale come tutela

L'art. 78 GDPR riconosce il diritto a un ricorso giurisdizionale effettivo nei confronti dell'Autorità di controllo. È applicazione del diritto fondamentale a un giudice indipendente (art. 47 Carta UE) nel campo della protezione dei dati: ogni decisione vincolante dell'Autorità deve essere impugnabile davanti al giudice. La norma garantisce duplice tutela: amministrativa (Autorità) e giurisdizionale (giudice). Il considerando 143 sottolinea l'effettività del rimedio.

Decisioni impugnabili (par. 1)

Il par. 1 prevede che ogni interessato e ogni titolare/responsabile possa proporre ricorso giurisdizionale contro una decisione vincolante che li riguardi. Sono impugnabili: provvedimenti sanzionatori, ingiunzioni, divieti di trattamento, decisioni di adeguatezza nazionale, revoca di certificazioni. Sono impugnabili anche le decisioni che, formalmente, hanno destinatari diversi ma incidono sul ricorrente.

Inattività dell'Autorità (par. 2)

Il par. 2 introduce il rimedio contro l'inattività: l'interessato ha diritto al ricorso giurisdizionale se l'Autorità non tratta un reclamo o non informa l'interessato entro tre mesi sullo stato o sull'esito del reclamo. È regola di garanzia procedurale: l'Autorità non può ignorare il reclamo o lasciarlo in stallo. Il termine di 3 mesi è regola di certezza.

Foro competente (par. 3)

Il par. 3 fissa il foro: l'azione è promossa davanti agli organi giurisdizionali dello SM in cui l'Autorità è stabilita. Per il Garante italiano: Tribunale di Roma (art. 152 D.Lgs. 196/2003). Per la DPC irlandese: High Court di Dublino. La giurisdizione segue la sede dell'Autorità: per investigazioni della LSA capofila, foro nazionale della LSA. La regola facilita l'enforcement giurisdizionale.

Cooperazione tra giudici e Autorità

La cooperazione tra giudici e Autorità è regola di sistema. I giudici possono richiedere all'Autorità informazioni utili per la decisione; possono sospendere il giudizio in attesa di decisione dell'EDPB su questioni connesse. La CGUE può essere investita tramite rinvio pregiudiziale (art. 267 TFUE) su questioni interpretative. La giurisprudenza CGUE (sentenza Schrems II, casi su DPC) ha consolidato i confini.

Coordinamento con art. 77 e con CGUE

Il coordinamento con l'art. 77 (reclamo) è duplice: reclamo e ricorso giurisdizionale sono cumulabili. La giurisprudenza ha precisato che il reclamo non è precondizione del ricorso ex art. 79 contro titolare, ma è precondizione naturale del ricorso ex art. 78 contro Autorità (perché si impugna decisione dell'Autorità). Il coordinamento con la CGUE è centrale per l'uniformità interpretativa.

Regola pratica e checklist operativa

Compliance art. 78: per operatori: impugnazione tempestiva, motivazione, eventuali rinvii pregiudiziali, integrazione con difesa amministrativa. Per interessati: ricorso contro inattività garantisce effettività; cooperazione con DPO e legali.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.