La rappresentanza degli interessati nel GDPR alla luce della giurisprudenza dell’Autorità di controllo belga

Il quadro normativo in materia di rappresentanza dei diritti degli interessati da parte degli enti del terzo settore

Le forme della rappresentanza dei diritti degli interessati da parte degli enti del terzo settore rinvengono la propria disciplina normativa nell'art. 80, par. 1, del Regolamento del Parlamento europeo e del Consiglio del 27 aprile 2016 (Regolamento generale sulla protezione dei dati, di seguito, per brevità, “Regolamento”) nonché, sul piano nazionale, nell'art. 10, comma 5, del d.lgs. n. 150/2011, cui rinvia l'art. 152, comma 1-bis, del d.lgs. n. 196/2003 (Codice in materia di protezione dei dati personali, di seguito “Codice”).

L'art. 80, par. 1, del Regolamento prevede che gli interessati possono conferire a enti senza scopo di lucro il mandato di agire per loro conto nei casi di cui agli artt. 77, 78, 79 e 82 del Regolamento. Con lo scopo di proporre una ricostruzione analitica della fattispecie in questione, si distinguono di seguito i relativi elementi costitutivi a carattere soggettivo e oggettivo.

Gli elementi soggettivi della fattispecie

Sotto il primo profilo, si osserva anzitutto come l'art. 80, par. 1, del Regolamento si riferisca ad una specifica categoria di soggetti e, segnatamente, agli interessati. La nozione di interessato, che si desume dall'art. 4, n. 1) del Regolamento, recante la definizione di “dato personale”, fa riferimento alla persona fisica identificata o identificabile cui ha riguardo un'informazione.

Ebbene, agli interessati il Legislatore europeo ha riconosciuto il diritto di farsi rappresentare, giusto mandato, da organismi, organizzazioni e associazioni senza scopo di lucro che presentino taluni requisiti e che, in particolare, oltre ad essere debitamente costituiti secondo il diritto nazionale, si prefiggano obiettivi statutari di pubblico interesse e siano attivi nel settore della protezione dei diritti e delle libertà degli interessati con particolare riguardo alla protezione dei dati personali. Per quanto concerne l'ordinamento nazionale, l'art. 10, comma 5, del lgs. n. 150/2011 individua i soggetti mandatari nei cc.dd. “enti del terzo settore” disciplinati dal d.lgs. n. 117/2017.

In tale quadro, il Legislatore italiano non ha, allo stato, inteso dare attuazione all'art. 80, par. 2, del Regolamento, in forza del quale gli Stati membri possono prevedere che gli organismi, le organizzazioni e le associazioni di cui al par. 1, art. 80 del Regolamento, indipendentemente dall'esistenza di un mandato conferito dall'interessato, abbiano il diritto di proporre, in tale Stato membro, un reclamo all'autorità di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, al ricorrere dei relativi presupposti.

Gli elementi oggettivi della fattispecie

Venendo all'analisi degli elementi oggettivi della fattispecie in esame, si osserva come l'art. 80, par. 1, del Regolamento possa trovare applicazione ove l'interessato:

a) assuma presunte violazioni della normativa in materia di protezione dei dati personali e intenda proporre all'autorità di controllo competente reclamo ai sensi dell'art. 77 del Regolamento;

b) lamenti che l'autorità di controllo competente non abbia trattato un reclamo o non lo abbia informato dello stato o dell'esito del reclamo proposto entro tre mesi dalla proposizione dello stesso e, per tali ragioni, abbia interesse a ricorrere all'autorità giudiziaria ai sensi dell'art. 78 del Regolamento;

c) ritenga che i diritti di cui gode in virtù della normativa in materia di protezione dei dati personali siano stati violati per effetto di un trattamento di dati personali e, in ragione di ciò, proponga ricorso giurisdizionale ai sensi dell'art.79 del Regolamento;

d) abbia subito un danno materiale o immateriale causato da una violazione della normativa in materia di protezione dei dati personali e aspiri a ottenere un risarcimento ai sensi dell'art. 82 del Regolamento.

Nell’ambito dell’ordinamento nazionale, troveranno applicazione nel caso sub a) le regole procedurali previste dagli artt. 157 ss. del Codice e dal regolamento n. 1/2019 dell'Autorità Garante e, diversamente, nei casi sub b), e) e d) quelle di cui all'art. 10 del d.lgs. n. 150/2011, cui rinvia l'art. 152, 1-bis comma del Codice.

La natura dello strumento di rappresentanza di cui all'art. 80 del Regolamento

In ragione della natura personalissima del diritto alla protezione dei dati personali, che non può considerarsi alla stregua di un interesse "collettivo" ascrivibile a organismi, organizzazioni o associazioni, in dottrina si ritiene che l'art. 80, par. 1, del Regolamento, non introduca un'azione “collettiva” ma, più precisamente, un'azione “plurisoggettiva”. Secondo la tradizione dottrinale italiana, l'interesse collettivo è caratterizzato, infatti, dal suo "agglutinarsi" attorno a gruppi omogenei di persone e ciò appare incompatibile con la natura del diritto alla protezione dei dati personali, che attiene alla dimensione individuale e personalissima del singolo.

Con tale precisazione lessicale, si intende in particolare evidenziare che, nei casi di cui all'art. 80 del Regolamento, l'azione non potrà seguire in via del tutto ordinaria i binari tracciati dalle regole generali previste dal codice di procedura civile, posto che, per effetto delle modifiche introdotte dalla legge n. 31/2019, tale azione presuppone l'omogeneità dei diritti che vengono fatti valere attraverso di essa. In tal senso, restando inapplicabili le norme in materia di adesione alla class action di cui all'art. 840-septies c.p.c., l'azione dovrà necessariamente essere preceduta dal conferimento di diversi e distinti mandati, con la conseguenza che gli enti mandatari agiranno non già per conto degli interessati collettivamente intesi ma, piuttosto, per conto di ciascuno di essi.

Se è vero, tuttavia, che lo strumento di rappresentanza degli interessati ex art. 80, Regolamento non si configura come un'azione di classe collettiva, dal punto di vista terminologico potrebbe allora essere più corretto affermare che la disposizione in commento non introduce, a rigore, un'azione di classe, quantunque a carattere plurisoggettivo, ma si limita più propriamente a riconoscere la possibilità per gli interessati di avvalersi di una mera interposizione gestoria dell'esercizio dei diritti ex artt. 77, 78, 79 e 82 del Regolamento; in tal senso, solo eventualmente tale interposizione potrebbe assumere in concreto carattere plurisoggettivo, in particolare laddove i predetti diritti vengano azionati da una pluralità di soggetti in relazione alla medesima causa petendi.

In questa prospettiva, l'art. 80, par. 1, del Regolamento, nel riconoscimento di tale possibilità a garanzia degli interessati, non svolge altra funzione che quella di disciplinare i requisiti degli enti mandatari, i quali, come detto, devono perseguire scopi non lucrativi, essere debitamente costituiti secondo il diritto nazionale, presentare obiettivi sivi statutari di pubblico interesse ed essere attivi nel settore della protezione dei diritti e delle libertà degli interessati con particolare riguardo alla protezione dei dati personali.

Il provvedimento dell'Autorità di controllo belga n. 112 del 6 settembre 2024

Nello scenario normativo sopra delineato, l'Autorità di controllo belga è di recente intervenuta con il provvedimento n. 112 del 6 settembre 2024, riguardante, in particolare, per quanto di maggior interesse ai fini del presente elaborato, i presupposti che consolidano in capo agli enti cui si riferisce l'art. 80, par. 1, del Regolamento la legittimazione attiva in ordine alla presentazione dei reclami dinanzi all'autorità di controllo ai sensi dell'art. 77 del Regolamento.

È necessario anzitutto segnalare come, analogamente a quanto verificatosi nell'ordinamento italiano, anche il Legislatore belga non abbia dato attuazione all'art. 80, par. 2, del Regolamento, che, come visto sopra, permette agli Stati membri di prevedere che i predetti enti abbiano il diritto di proporre, nello Stato membro di riferimento, un reclamo all'autorità di controllo competente o esercitare i diritti di cui agli artt. 78 e 79 anche a prescindere dalla formulazione, da parte degli interessati, di un apposito mandato.

Orbene, nel caso di specie, l'Autorità di controllo belga è giunta a ritenere che, sebbene gli enti mandatari svolgano un'importante funzione di supporto specialistico e facilitazione a vantaggio degli interessati, tuttavia gli stessi non possono ritenersi ammessi a proporre reclami in assenza della previa e rituale formulazione di uno specifico mandato da parte degli interessati.

Tale circostanza assurge, secondo l'Autorità di controllo belga, a imprescindibile elemento costitutivo della fattispecie prevista dal paragrafo 1 dell'art. 80, quantomeno nel caso degli ordinamenti nei quali il paragrafo 2 della medesima disposizione non abbia trovato attuazione, come accaduto, appunto, in quello belga e in quello italiano. Il potere rappresentativo degli interessati deve, pertanto, essere necessariamente attribuito agli enti in questione in forza di un apposito mandato da parte degli interessati e non può considerarsi costituito ex lege in capo agli stessi.

In tale prospettiva, l'iniziativa degli enti predetti che risulti sprovvista di un effettivo collegamento con una specifica, concreta e pre-esistente situazione fattuale può in taluni casi persino integrare gli estremi di un abuso di diritto.

Considerazioni conclusive

Alla luce della giurisprudenza dell'Autorità belga sopra richiamata, sembra potersi concludere che l'esercizio dei diritti previsti dagli artt. 77, 78, 79 e 82 del Regolamento costituisca prerogativa esclusiva degli interessati e che, solo previa formulazione di uno specifico mandato, gli stessi possano di volta in volta decidere di esercitare tali diritti per il tramite degli enti cui si riferisce l'art. 80, par. 1, del Regolamento, i quali, almeno in quei contesti ordinamentali in cui l'art. 80, par. 2, non sia stato attuato, devono pertanto ritenersi sprovvisti di qualsivoglia potere di autonoma iniziativa in tal senso.