Composizione amichevole: attuazione armonizzata a livello nazionale ed europeo

La necessità cui risponde la procedura di composizione amichevole dei reclami

È noto come la prassi sia un propulsore importante nell'evoluzione del diritto e nella definizione delle sue procedure quando si presenta una lacuna nella normativa. In ambito GDPR numerose sono state le autorità di controllo che hanno utilizzato modalità tra loro diverse di composizione amichevole dei reclami presentati dagli interessati, pur senza che tali strumenti siano stati delineati da una normativa ad hoc. Le loro modalità, infatti, sono state definite sulla base delle singole legislazioni e dell'interpretazione del corpo normativo esistente.

Si menzionava poco sopra una lacuna: infatti, nel GDPR non si trova una definizione di “composizione amichevole”. La stessa viene solamente menzionata nel considerando 131 con riferimento ai “casi locali” ex art. 56, par. 2 GDPR.

Definizione e applicazione

Mancando, come si diceva, una definizione all'interno del GDPR, pare opportuno osservare come questo strumento venga definito in altri testi normativi o da altre istituzioni internazionali. A titolo esemplificativo, la Camera di commercio internazionale utilizza, quale prima modalità di composizione amichevole, la mediazione; l'Organizzazione mondiale del commercio, invece, fa riferimento a “soluzioni reciprocamente concordate”; mentre il Centro Europeo dei consumatori le definisce “procedure di risoluzione alternativa delle controversie”. Individuando così tutte quelle procedure che portano ad una “chiusura bonaria di un caso” che può sostanziarsi in una mediazione, una negoziazione o ancora una conciliazione assistita.

Le linee guida 6/2022 si occupano in via esclusiva dei casi originati da un reclamo presentato da un interessato, in virtù del fatto che tale procedura presuppone una controversia tra due soggetti (uno dei quali è ovviamente l'interessato e l'altro è il titolare del trattamento che ne violi i diritti). Reclami che possono essere suddivisi in tre tipologie:

1. casi nazionali privi di caratteristiche transfrontaliere;
2. casi di natura transfrontaliera, cui si applica il meccanismo dello sportello unico;
3. casi transfrontalieri gestiti a livello locale ex art. 56, par. 2 GDPR.

L'EDPB evidenzia come le linee guida in esame trovino applicazione ai soli reclami aventi natura transfrontaliera.

L'obiettivo delle composizioni amichevoli è duplice: da un lato pervenire ad un esito che sia soddisfacente per l'interessato e dall'altro ottenere il rispetto delle prescrizioni contenute nel GDPR da parte del titolare del trattamento.

Caratteristiche essenziali

Quanto ai ruoli, si ritiene opportuno sottolineare come l'autorità di controllo funga da facilitatore del raggiungimento di un accordo, diventando parte attiva del procedimento stesso, anche in virtù del fatto che deve adempiere ai suoi obblighi di autorità che le impongono la gestione del reclamo presentato, gestione che può concretizzarsi in una composizione amichevole.

Parti del procedimento, pertanto, sono l'autorità di controllo che riceve il reclamo, il titolare o il responsabile del trattamento e, in taluni casi, anche l'autorità di controllo capofila. Si segnala, per completezza, che vi sono ordinamenti nei quali l'interessato non è parte del procedimento; tuttavia, tali procedure non rientrano nell'ambito di applicazione delle linee guida in esame.

Importante è evidenziare che il tentativo di una composizione amichevole è esperibile in qualsiasi fase del procedimento, sebbene alcune autorità di controllo preferiscano attuarlo nelle fasi preliminari dell'istruttoria o comunque prima che venga adottata qualsiasi altra misura.

È il considerando 131 a definirne l'ambito di applicazione, prevedendo che la composizione amichevole è limitata ai casi in cui l'autorità di controllo interessata, cioè quella che riceve il reclamo, ritiene che l'oggetto concreto o la possibile violazione esposta riguardi solo l'attività del titolare (o del responsabile) nello stato membro di presentazione del reclamo o non incida in modo sostanziale su interessati di altri stati membri. Quindi, la decisione sulla possibilità o meno di tentare la composizione amichevole dovrà tenere conto dei seguenti requisiti:

1. se il trattamento specifico è effettuato nello stato membro dell'autorità di controllo o con riguardo agli interessati di tale stato membro;
2. se il trattamento è connesso ad un'offerta di beni o servizi riguardante in modo specifico gli interessati dello stato membro dell'autorità di controllo;
3. il trattamento deve essere valutato sulla base degli obblighi giuridici dettati dalla legislazione dello stato membro di riferimento.

Da notare che escluse dal rispetto dei suddetti requisiti sono le legislazioni che consentono esplicitamente le composizioni amichevoli.

Criteri generali per le autorità di controllo

Si possono, tuttavia, evidenziare dei criteri attraverso cui l'autorità di controllo può individuare i casi potenzialmente risolvibili con la composizione amichevole. Preliminarmente è importante evidenziare che questa risulta possibile solo per i reclami che riguardano i diritti degli interessati ex art. 12 e ss. GDPR, poiché solo in questi casi l'interessato può disporre dei propri diritti nell'ambito della composizione raggiunta.

L'autorità di controllo, si diceva, valuterà una serie di criteri generali che delineano il contesto del reclamo. Di seguito i principali: la possibilità che il caso venga risolto in via amichevole; il numero di interessati coinvolto: minore è, maggiore sarà la possibilità di giungere ad accordo; il trattamento contestato riguarda un limitato numero di dati personali; il data breach è accidentale o involontario ed i suoi effetti non sono gravi in termini di natura e durata; la probabilità del verificarsi di nuove violazioni dei dati; la rilevanza sociale e l'interesse pubblico dell'azione dell'autorità di controllo, anche con particolare riguardo ad ambiti particolarmente sensibili; la capacità dell'autorità di controllo di agire in modo efficace ed efficiente.

Fondamento giuridico

Le linee guida evidenziano come il fondamento giuridico della composizione amichevole sia da ravvisarsi:

• nell'art. 57, par. 1, lettere a) ed f) GDPR, a norma del quale l'autorità di controllo ricerchi tutte le soluzioni possibili per assicurare l'applicazione del Regolamento e trattare i reclami;
• nel combinato disposto degli artt. 57, par. 1, lettera f), 77 e 78 GDPR che delinea il diritto dell'interessato affinché il suo reclamo sia trattato e sottoposto ad indagini al fine di veder raggiunto un esito adeguato alla natura ed alle circostanze dello stesso;
• nell'art. 58, par. 6 GDPR a norma del quale gli Stati membri possono conferire alle autorità di controllo ulteriori poteri.

Le procedure di composizione amichevole

La principale procedura di composizione amichevole, stante il generale quadro dettato dall'art. 60 GDPR, è il c.d. Sportello Unico, che si fonda sull'obbligo di cooperazione tra le autorità coinvolte. Tuttavia l'Autorità di controllo interessata e l'Autorità di controllo capofila possono avviare delle peculiari procedure agevolate, sulla scorta della convinzione che si possa raggiungere la soddisfazione delle parti coinvolte. Lo Sportello Unico, inoltre, conosce un'eccezione nel c.d. caso locale, cioè in quella controversia che impatta, in modo minimo, solo a livello locale. Di seguito alcune specifiche su ognuna di queste.

          a) Lo Sportello Unico

In linea generale, lo sportello unico è disciplinato dall'art. 60 GDPR ed il ruolo della composizione amichevole nell'ambito di tale procedura può trovare il suo fondamento nel par. 1 di tale articolo. Proprio su questo articolo l'EDPB ha emesso le linee guida n. 2/2022, nelle quali viene rilevato che “fornisce principi fondamentali e generali che si applicano all'intera cooperazione tra le autorità di controllo. […] I concetti fondamentali della procedura di cooperazione consistono nell'impegno di raggiungere un consenso e nell'obbligo di scambiarsi tutte le informazioni utili”. Tale obbligo, inoltre, si configura come reciproco: deve essere rispettato tanto dall'autorità di controllo capofila quanto da ogni autorità di controllo interessata.

          b) Dell'Autorita' di controllo interessata (nella fase preliminare)

A caratterizzare la composizione amichevole è la soddisfazione reciproca delle parti coinvolte (soprattutto dell'interessato): se l'autorità di controllo interessata è in grado di dimostrare tale soddisfazione nella fase preliminare di gestione del reclamo, ad esempio perché il titolare del trattamento ha già soddisfatto la richiesta di tutela dei diritti dell'interessato in modo per questo soddisfacente, allora questa non dovrebbe più informare l'autorità di controllo capofila competente attraverso il sistema dell'IMI.

La ratio di tale previsione è che, vista la soddisfazione della richiesta dell'interessato, viene meno l'oggetto del reclamo e pertanto non è più necessario avviare una procedura di sportello unico ex art. 60 GDPR.

Da notare, però, che il considerando 125 prevede che sia l'autorità di controllo capofila ad essere competente per l'adozione di decisioni giuridicamente vincolanti nei confronti del titolare (o responsabile) nel contesto dello sportello unico e che l'art. 56, par. 6, GDPR individua in questa l'”unico interlocutore” nei confronti del titolare (o responsabile) del trattamento. Dall'analisi del combinato disposto di questi due elementi emerge che l'autorità di controllo che riceve il reclamo dovrebbe informare quella capofila del caso e del suo esito, in virtù dell'obbligo di cooperazione ex art. 60, così da permettere a quest'ultima di adottare le misure che ritiene opportune nei confronti del titolale (o del responsabile).

La composizione amichevole potrebbe anche essere parziale e proprio per questo diventa fondamentale il coinvolgimento dell'autorità di controllo capofila, così da fornire all'interessato tutti i mezzi di tutela previsti dal GDPR.

Inoltre, il tentativo di composizione amichevole potrebbe avere esito negativo e pertanto, sulla base del principio del diritto ad una buona amministrazione, l'autorità di controllo capofila dovrebbe considerare le ragioni che hanno impedito di pervenire ad un accordo nella fase preliminare e decidere se un altro tentativo potrebbe portare alla risoluzione del reclamo in un tempo ragionevole.

          c) Dell'Autorita' di controllo capofila

Quando a tentare la composizione amichevole è l'autorità di controllo capofila vi è un requisito fondamentale da soddisfare: la necessità che le autorità di controllo cooperino per raggiungere il consenso.

In qualsiasi fase del procedimento, l'autorità di controllo capofila può concedere un'audizione all'interessato, tramite l'autorità di controllo interessata che funge da primario interlocutore con questo e, previo consenso di tutte le parti coinvolte, può decidere di chiudere il caso dopo che è stata fatta ammenda alla presunta violazione e sulla scorta del fatto che ritenga che le informazioni raccolte nelle indagini siano sufficienti a definirlo.

La discrezionalità dell'autorità capofila deve fondarsi anche sulle informazioni e documenti scambiati ex art. 60, par. 1, GDPR, soprattutto quando l'autorità di controllo interessata ha già tentato infruttuosamente una composizione amichevole nella fase preliminare.

Da notare che lo scambio reciproco di informazioni è altresì un modo per garantire il rispetto del principio del giusto processo, nonché per garantire all'interessato di essere ascoltato anche per poter integrare le informazioni già fornite all'autorità di controllo interessata.

L'autorità di controllo capofila dovrà trasmettere un progetto di decisione all'autorità di controllo interessata, con l'indicazione dei termini dell'accordo ex art. 60, par. 3, GDPR. L'EDPB ricorda che ciò si applica anche ai casi in cui il reclamo sia ritirato dall'interessato dopo l'avvio della procedura, o non si pervenga ad una vera e propria decisione ed infine nel caso in cui si possa semplicemente ritenere che il reclamo sia stato ritirato. Tale progetto di decisione sfocia in una decisione “sui generis” della procedura. Infatti, la composizione amichevole si configura come un'opzione ulteriore rispetto ai più classici esiti di rigetto, archiviazione o accettazione del reclamo: pone fine alla procedura di trattazione del reclamo attraverso un accordo tra le parte che fa venire meno l'oggetto del contendere.

La trasmissione formale di tale atto fa decorrere il termine di quattro settimane in cui la o le autorità di controllo interessate potranno trasmettere riscontri ex art. 60, par. 4, GDPR. L'EDPB sottolinea come la presentazione di tali riscontri dovrebbe essere un'eccezione, considerando che la ratio della composizione amichevole risiede nel raggiungimento della soddisfazione dell'interessato in tempi rapidi e sulla base di un accordo reciproco.

Se non vi sono obiezioni, il progetto di decisione diventa vincolante per le autorità di controllo capofila e per quella interessata e:

• l'autorità di controllo adotta la decisione e la notifica, insieme ad una sintesi dei fatti e delle motivazioni, allo stabilimento principale o unico del titolare (o responsabile) del trattamento;
• l'autorità di controllo interessata cui è stato proposto il reclamo informa l'interessato.

          d) Il c.d. Caso locale

Si tratta di una deroga allo sportello unico ed è disciplinato dall'art. 56, par. 2 GDPR.

Per “caso locale” si intende quel ricorso caratterizzato dall'avere esclusivamente impatti locali e minimi e che quindi può essere gestito a livello locale e cioè dall'autorità di controllo interessata che ha ricevuto il reclamo.

Anche in questo caso si applica il principio secondo il quale l'autorità di controllo capofila debba essere informata delle eventuali composizioni amichevoli raggiunte, attraverso il sistema IMI.

Dal momento che solo una parte del reclamo potrebbe essere gestita attraverso questa procedura, l'autorità interessata ben potrebbe adottare misure aggiuntive, incluse quelle correttive, per le parti che esulano da quelle risolte con la composizione amichevole. Le linee guida evidenziano, in questo caso, la necessità di rendere noto tale aspetto all'interessato, informandolo che tali parti verranno ulteriormente e diversamente trattate.

L'EDPB sottolinea che la composizione raggiunta dall'autorità interessata non esaurisce i mezzi di ricorso a disposizione dell'autorità capofila. Quest'ultima, infatti, ben potrebbe avviare un'indagine formale, d'ufficio, su un caso sul quale l'autorità interessata abbia già raggiunto un accordo, con successiva attivazione dell'intera procedura dello sportello unico ex art. 60 GDPR. Potrebbe, inoltre, decidere di svolgere indagini ed applicare misure correttive, sanzioni incluse, nei confronti del titolare del trattamento nel caso di ripetute violazioni o di inadempienza alle richieste degli interessati.

La decisione dell'Autorità di controllo capofila

La composizione amichevole raggiunta nell'ambito dello sportello unico richiede una decisione da parte dell'autorità di controllo capofila a norma dell'art. 60, par. 3 GDPR. Si tratta, infatti, di un obbligo imposto a tale autorità in tutti i casi di trattamento transfrontaliero. Come si menzionava sopra, si tratterà di una decisione sui generis, prendendo la stessa atto che il reclamo è stato chiuso con reciproca soddisfazione delle parti. 

Tutto ha inizio con il progetto di decisione che dovrebbe contenere:

• l'avvenuta composizione amichevole del reclamo, in toto o in parte;
• le ragioni che hanno fondato la decisione di un tentativo di composizione amichevole;
• l'ambito della composizione sulla base delle questioni affrontate nel reclamo;
• la cessazione della trattazione del reclamo in esame;
• l'indicazione che sia stato posto rimedio alla presunta violazione ed in quali termini;
• l'eventuale indicazione di misure correttive previste, soprattutto quando la composizione amichevole è raggiunta solo in parte;
• l'informazione, a vantaggio dell'interessato, delle conseguenze della composizione amichevole, con particolare attenzione al fatto che con questa termina la trattazione del reclamo.

Sono previste, inoltre, delle procedure informali atte ad ottenere le opinioni delle autorità di controllo interessate coinvolte che l'autorità di controllo capofila attiva prima di passare alla trasmissione formale di un progetto di decisione. Tra di queste la “consultazione informale” e la “procedura di assistenza reciproca volontaria”.

Il progetto di decisione viene trasmesso dall'autorità di controllo interessata all'interessato, essendo la stessa l'interlocutore principale di quest'ultimo.

Paesi esclusi

L'EDPB, nell'allegato 1 alle linee guida, stila un elenco di paesi nei quali non è possibile utilizzare le tecniche di composizione amichevoli conformemente alla normativa nazionale. Questo include: Cipro, Repubblica ceca, Danimarca, Estonia, Finlandia, Francia, Grecia, Malta, Polonia, Portogallo, Slovacchia, Slovenia, Spagna e Svizzera.

Aspetti pratici: la lista di controllo

L'EDPB, all'allegato 2 delle linee guida, inoltre, fornisce una lista di controllo attraverso cui rende note le fasi della gestione dei casi che potenzialmente potrebbero essere risolti con una composizione amichevole. La stessa autorità intende tale lista come una “panoramica delle diverse fasi […] e delle misure pertinenti da adottare come migliori prassi”, fornendo così anche uno strumento pratico attraverso cui analizzare un reclamo e valutarne la possibilità di una composizione consensuale.

In conclusione

Dall'analisi delle linee guida 6/2022 emerge come la composizione amichevole possa essere un valido strumento alternativo per ottenere, da un lato, il soddisfacimento delle richieste dell'interessato e, dall'altro, il rispetto del GDPR da parte del titolare del trattamento, con il vantaggio di poter potenzialmente ridurre le tempistiche di gestione del reclamo.

Inoltre, appaiono come procedure “protette” e consolidate dai suesposti principi tanto generali, come il diritto ad una buona amministrazione e ad un giusto processo, quanto specifici come l'obbligo di cooperazione dettato dall'art. 60 GDPR. Così fornendo all'interessato le stesse garanzie che caratterizzano la più classica procedura dello sportello unico.