Regolamento - 27/04/2016 - n. 679 art. 61 - Assistenza reciproca

La cooperazione nello scambio di informazioni utili e nell'assistenza reciproca: obblighi specifici ed eccezioni

L'art. 61 Regolamento (UE) 2016/679pone un obbligo di cooperazione fra le autorità di controllo a livello europeo nelle forme dello scambio di ogni informazione utile e dell'assistenza reciproca, non solo nell'ambito del meccanismo di sportello unico – meccanismo che, come noto, si attiva esclusivamente in caso di trattamento transfrontaliero di dati personali –, ma anche con riferimento alle altre attività collegate ai poteri di cui le autorità di controllo dispongono ai sensi dell'art. 58 Regolamento (UE) 2016/679.

L'obbligo di assistenza reciproca serve, in particolare, al perseguimento dell'obiettivo primario dell'applicazione coerente del Regolamento in tutta l'Unione europea e si sostanzia con riferimento alle richieste di informazioni e alle misure di controllo, come le richieste di autorizzazioni e consultazioni preventive, nonché le richieste di effettuare ispezioni e indagini (art. 61, par. 1 Regolamento (UE) 2016/679).

Sebbene l'assistenza reciproca si configuri, a tutti gli effetti come un obbligo per le autorità di controllo, il legislatore europeo prevede tuttavia che vi sia la possibilità di derogarvi (art. 61, par. 4 Regolamento (UE) 2016/679) soltanto in caso di:

a) incompetenza – l'autorità di controllo richiesta può non dare seguito alla richiesta di assistenza reciproca nel caso in cui non sia competente a trattare l'oggetto della richiesta stessa ovvero per le misure a cui deve dare esecuzione;

b) incompatibilità – l'autorità di controllo richiesta può non dare seguito alla richiesta di assistenza reciproca nel caso in cui l'accoglimento della richiesta stessa violi le disposizioni del Regolamento ovvero il diritto dell'Unione o dello Stato membro a cui è soggetta la stessa autorità di controllo.

Nell'ambito dell'assistenza reciproca, l'art. 61 Regolamento (UE) 2016/679 prevede alcuni obblighi specifici per le autorità di controllo, sia a livello procedurale (ad esempio termini massimi entro cui evadere le richieste ricevute) che da un punto di vista sostanziale (ad esempio quali informazioni è necessario fornire).

Più in dettaglio, l'art. 61 stabilisce che:

• l'autorità di controllo richiedente deve specificare, nelle richieste di assistenza, tutte le informazioni necessarie, ivi inclusi lo scopo e i motivi della richiesta (paragrafo 3);

• l'autorità di controllo richiesta deve adottare tutte le misure opportune e necessarie per dare seguito alle richieste ricevute senza ingiustificato ritardo e, in ogni caso, entroun mese dal ricevimento della richiesta. Tali misure possono consistere, in particolare, nella trasmissione di informazioni utili ai fini dello svolgimento dell'indagine (paragrafo 2);

• le autorità di controllo devono utilizzare le informazioni scambiate per i soli fini per cui sono state richieste (paragrafo 3);

• l'autorità di controllo richiesta deve informare l'autorità di controllo richiedente dell'esito o, a seconda dei casi, dei progressi delle misure adottate per rispondere alla richiesta (paragrafo 5);

• in caso di rigetto, l'autorità di controllo richiesta deve fornire le motivazioni del rigetto stesso (paragrafo 5);

• qualora, entro un mese dal ricevimento della richiesta, l'autorità di controllo non fornisca le informazioni di cui al paragrafo 5 dell'art. 61, l'autorità di controllo richiedente può adottare misure provvisorie nel territorio del suo Stato membro (paragrafo 8 e considerando 133). In tal caso bisognerà, tuttavia, intervenire ai sensi dell'articolo 66, paragrafo 1 (procedura d'urgenza) e sarà necessaria una decisione vincolante d'urgenza da parte del Comitato europeo per la protezione dei dati a norma dell'articolo 66, par. 2 Regolamento (UE) 2016/679;

• le autorità di controllo richieste non impongono alcuna spesa per le misure da loro adottate a seguito di una richiesta di assistenza reciproca. Le autorità di controllo possono, tuttavia, concordare disposizioni di indennizzo reciproco per spese specifiche risultanti dalla prestazione di assistenza reciproca in circostanze eccezionali (paragrafo 7).

Si prevede, infine, che le informazioni richieste debbano essere fornite dalle autorità di controllo con mezzi elettronici, usando un modulo standard (art. 61, par. 6 Regolamento (UE) 2016/679) e che la Commissione europea può, mediante atti di esecuzione, specificare il formato e le procedure per l'assistenza reciproca, ivi incluse le modalità per lo scambio di informazioni con mezzi elettronici tra autorità di controllo e tra le autorità di controllo e il Comitato europeo, con particolare riferimento al modulo standard (art. 61, par. 9 Regolamento (UE) 2016/679).

Il presupposto della cooperazione delle autorità di controllo

Come noto, con il Regolamento (UE) 2016/679 il legislatore europeo ha voluto assicurare che tutte le autorità di controllo nazionali disponessero dei medesimi poteri – poteri che oggi vengono puntualmente individuati da una fonte normativa di rango europeo, piuttosto che dal diritto nazionale come avveniva, invece, ai sensi della dir. 95/46/CE.

Ed è proprio nella condivisione degli stessi poteri che si può rinvenire il presupposto di una forma di cooperazione così significativa tra le autorità di controllo a livello europeo. Cooperazione il cui punto di forza è nella sua obbligatorietà per espressa volontà del legislatore, dove le uniche deroghe sono quelle richiamate dal paragrafo 4 dell'art. 61 (i.e., incompetenza dell'autorità richiesta e incompatibilità della richiesta rispetto al Regolamento o rispetto alla normativa dello Stato membro dell'autorità di controlli richiesta).

In dottrina si fa notare come la forma di cooperazione prevista dall'art. 61 Regolamento (UE) 2016/679si configuri come un genus specifico di cooperazione all'interno del Regolamento stesso, caratterizzato dal vincolo dell'obbligatorietà e della forma.

Esiste, infatti, la disposizione generale di cui all'art. 57, par. 1, lett. g) Regolamento (UE) 2016/679, la quale prevede che, fra i vari compiti assegnati, le autorità di controllo nazionali debbano collaborare, anche tramite scambi di informazioni, con le altre autorità di controllo e prestare assistenza reciproca al fine di garantire l'applicazione e l'attuazione coerente del Regolamento.

Mentre, dunque, l'art. 57 si pone come una disposizione “generica” che legittima la ricerca di ogni forma di collaborazione fra le autorità di controllo nazionali, l'assistenza reciproca richiamata all'art. 61 si pone invece come un obbligo specifico, codificato, che necessita quindi di un utilizzo attento e consapevole, anche alla luce delle conseguenze importanti che potrebbero derivarne, in particolare ai sensi dell'art. 66 (procedura d'urgenza) (Caselli, 2018, 520).

Assistenza reciproca “formale” e assistenza reciproca “volontaria”

È interessante inoltre notare quanto emerso, a tal riguardo, dal contributo che l'European Data Protection Board (“EDPB”) ha fornito nel febbraio 2020, in merito alla valutazione dello stato di attuazione del Regolamento (UE) 2016/679, ai sensi dell'art. 97. In tale contesto, l'EDPB riporta, fra le altre cose, il numero di procedure di assistenza reciproca attivate dalle autorità di controllo europee, distinguendo tra procedure di assistenza reciproca “formale” e “su base volontaria”.

Stando al contributo dell'EDPB, a 18 mesi dall'applicazione del Regolamento (UE) 2016/679, le autorità di controllo europee hanno complessivamente attivato 115 procedure di assistenza reciproca “formale” (ex art. 61). La maggior parte delle autorità di controllo hanno fatto ricorso allo strumento dell'assistenza reciproca principalmente in caso di svolgimento di un'indagine. Di seguito si riporta il grafico dell'EDPB sulle richieste di assistenza reciproca formale inviate e ricevute da ciascuna autorità di controllo europea:

In aggiunta alle procedure di assistenza reciproca formale, l'EDPB ha inoltre rilevato che le autorità di controllo hanno avviato 2.427 procedure di assistenza reciproca “su base volontaria” – un meccanismo introdotto dalle autorità di controllo europee per consentire un'assistenza reciproca più flessibile e caratterizzato da condizioni meno restrittive rispetto a quello regolato dall'art. 61 del Regolamento (UE) 2016/679, dal momento che non si prevede una rigida tempistica per le risposte, e men che meno un rigoroso obbligo di risposta. Per questi motivi, nei primi 18 mesi di applicazione del Regolamento (UE) 2016/679, le autorità europee hanno generalmente preferito attivare questo meccanismo di assistenza reciproca su base volontaria, come emerge anche dal grafico che segue: