Decreto n. 101/2018: reclami e segnalazioni davanti al Garante, eliminato il ricorso come forma di tutela per le violazioni sui diritti degli interessati
La vecchia formulazione del DLgs n.196/2003 prevedeva la possibilità per l’interessato di promuovere ricorsi e reclami al Garante della privacy; in particolare, l’interessato poteva utilizzare la forma del ricorso al Garante contro il titolare del trattamento, in relazione a violazioni sui diritti di cui all’art.7 del vecchio Codice Privacy, mentre poteva presentare un reclamo per rappresentare una violazione della disciplina rilevante in materia di trattamento di dati personali (art.141, DLgs n.196/2003 vecchia formulazione).
La novella del decreto n.101/2018, invece, allineandosi alle disposizioni del Regolamento n.679/2016 che all’art.77 consente all’interessato di proporre reclamo all’autorità di controllo competente per territorio o a quella del suo luogo di residenza o domicilio abituale qualora ritenga che il trattamento che lo riguarda abbia violato una disposizione del regolamento stesso, elimina la forma del ricorso al Garante, riunendo nel reclamo tutte le forme di richiesta di intervento dell’autorità in relazione a trattamenti non conformi. In altri termini, anche in merito a violazioni che abbiano a che fare con i diritti di cui agli articoli da 15 a 22 del GDPR (in sostanza quelli dell’ex art.7 del Decreto n.196/2003) si potrà proporre reclamo al Garante, con l'unica differenza che in relazione a tali violazioni il Garante dovrà stabilire modalità di trattazione semplificate e tempi più stretti per decidere, rispetto a quelli indicati per la trattazione ordinaria dei reclami. La procedura relativa al ricorso prevista nella vecchia formulazione del Codice Privacy viene quindi eliminata.
Resta l’alternatività delle forme di tutela, garante o autorità giudiziaria, che viene estesa a tutti i casi: mentre la vecchia formulazione limitava l’alternatività delle forme di tutela alle sole violazioni dei diritti di cui all’art.7, il decreto n.101, introducendo il nuovo art.140-bis al DLgs n.196/2003, stabilisce che un interessato, in tutti i casi in cui ritenga che un trattamento che lo riguarda sia svolto in violazione delle disposizioni del Regolamento n.679, possa rivolgersi alternativamente al Garante mediante reclamo o all’autorità giudiziaria mediante ricorso.
Tuttavia, se tra le medesime parti e per il medesimo oggetto è già stata avviata un’azione davanti all’autorità giudiziaria, il reclamo al Garante non può essere proposto, come del resto, la presentazione del reclamo al Garante rende improponibile un’ulteriore domanda dinanzi all’autorità giudiziaria tra le stesse parti e per il medesimo oggetto, salvo quanto previsto dall’art.10, comma 4, del decreto legislativo 1° settembre 2011, n.150.
Il contenuto del Reclamo al Garante della Privacy
Il reclamo al Garante deve contenere:
- un’indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste;
- gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto.
Il reclamo deve essere sottoscritto dall'interessato o, su mandato dell’interessato stesso, da un ente del terzo settore soggetto alla disciplina del DLgs 3 luglio 2017, n.117, che sia attivo nel settore della tutela dei diritti e delle libertà degli interessati, con riguardo alla protezione dei dati personali.
Al reclamo dovranno essere allegati i documenti utili per provare quanto sostenuto e l’eventuale mandato, indicando un recapito per l'invio di comunicazioni anche tramite posta elettronica, telefax o telefono.
Il Garante predisporrà un modello elettronico, che verrà pubblicato sul sito istituzionale dell’autorità, per facilitare a tutti la presentazione di un reclamo.
Il procedimento con cui il Garante esaminerà i reclami, le modalità di trattazione semplificate e i tempi ristretti in relazione alla trattazione di quei reclami che abbiano ad oggetto questioni riferite all’esercizio dei diritti di cui agli articoli da 15 a 22 del GDPR (diritti degli interessati) verrà disciplinato tramite regolamento del Garante.
Al termine dell’istruttoria preliminare, se il reclamo non risulta manifestamente infondato e sussistono i presupposti per adottare un provvedimento, il Garante, anche prima della definizione del procedimento, può decidere mediante i provvedimenti di cui all'art.58 del Regolamento.
I provvedimenti adottati sono pubblicati nella Gazzetta Ufficiale della Repubblica italiana se i relativi destinatari non sono facilmente identificabili per il numero o per la complessità degli accertamenti.
Tempi lunghi per decidere
Il Garante è tenuto ad adottare una decisione in merito al reclamo entro nove mesi dalla data della sua presentazione; sebbene entro tre mesi dalla predetta data dovrà informare l'interessato sullo stato del procedimento.
Solo in via eccezionale, laddove la fase istruttoria dovesse risultare particolarmente complessa, la decisione del Garante potrà essere emessa entro 12 mesi; di tale dilazione dei termini, il Garante dovrà tenere informato l’interessato.
Avverso la decisione assunta dal Garante, si può presentare ricorso davanti all’autorità giurisdizionale.
Chiunque può presentare segnalazioni
Resta il fatto che il Garante può adottare i provvedimenti di cui all’art.58 del GDPR anche d’ufficio e che chiunque può segnalare al Garante una violazione sul trattamento dei dati personali; in tal caso, il Garante può valutare la questione anche ai fini dell'emanazione dei provvedimenti di cui all'art.58 del Regolamento.
Il decreto n.101 attribuisce - come del resto era già previsto dalla vecchia formulazione del Codice Privacy - ai giudici ordinari la competenza a decidere su tutte le controversie che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli artt.78 (ricorso all’autorità giudiziaria avverso i provvedimenti del Garante) e 79 (azioni giudiziarie nei confronti di titolari o responsabili del trattamento) del Regolamento e quelli comunque riguardanti l'applicazione della normativa in materia di protezione dei dati personali, nonchè il diritto al risarcimento del danno ai sensi dell'art.82 del medesimo regolamento.
La vecchia formulazione del Decreto Legislativo n. 196/2003 prevedeva la possibilità per l’interessato di promuovere ricorsi e reclami al Garante della privacy; in particolare, l’interessato poteva utilizzare la forma del ricorso al Garante contro il titolare del trattamento, in relazione a violazioni sui diritti di cui all’art. 7 del vecchio Codice Privacy, mentre poteva presentare un reclamo per rappresentare una violazione della disciplina rilevante in materia di trattamento di dati personali (art.141 D. Lgs. n. 196/2003 vecchia formulazione).
La novella del decreto n. 101/2018, invece, allineandosi alle disposizioni del Regolamento n. 679/2016 che all’art. 77 consente all’interessato di proporre reclamo all’autorità di controllo competente per territorio o a quella del suo luogo di residenza o domicilio abituale qualora ritenga che il trattamento che lo riguarda abbia violato una disposizione del regolamento stesso, elimina la forma del ricorso al Garante, riunendo nel reclamo tutte le forme di richiesta di intervento dell’autorità in relazione a trattamenti non conformi. In altri termini, anche in merito a violazioni che abbiano a che fare con i diritti di cui agli articoli da 15 a 22 del GDPR (in sostanza quelli dell’ex art. 7 del Decreto n. 196/2003) si potrà proporre reclamo al Garante, con l'unica differenza che in relazione a tali violazioni il Garante dovrà stabilire modalità di trattazione semplificate e tempi più stretti per decidere, rispetto a quelli indicati per la trattazione ordinaria dei reclami. La procedura relativa al ricorso prevista nella vecchia formulazione del Codice Privacy viene quindi eliminata.
Resta l’alternatività delle forme di tutela, garante o autorità giudiziaria, che viene estesa a tutti i casi: mentre la vecchia formulazione limitava l’alternatività delle forme di tutela alle sole violazioni dei diritti di cui all’art. 7, il decreto 101, introducendo il nuovo art. 140-bis al Decreto legislativo n. 196/2003, stabilisce che un interessato, in tutti i casi in cui ritenga che un trattamento che lo riguarda sia svolto in violazione delle disposizioni del regolamento n. 679, possa rivolgersi alternativamente al Garante mediante reclamo o all’autorità giudiziaria mediante ricorso.
Tuttavia, se tra le medesime parti e per il medesimo oggetto è già stata avviata un’azione davanti all’autorità giudiziaria, il reclamo al Garante non può essere proposto, come del resto, la presentazione del reclamo al Garante rende improponibile un’ulteriore domanda dinanzi all’autorità giudiziaria tra le stesse parti e per il medesimo oggetto, salvo quanto previsto dall’articolo 10, comma 4, del decreto legislativo 1° settembre 2011, n. 150.
Il contenuto del Reclamo al Garante della Privacy
Il reclamo al Garante deve contenere:
- un’indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste;
- gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto.
Il reclamo deve essere sottoscritto dall'interessato o, su mandato dell’interessato stesso, da un ente del terzo settore soggetto alla disciplina del decreto legislativo 3 luglio 2017, n. 117, che sia attivo nel settore della tutela dei diritti e delle libertà degli interessati, con riguardo alla protezione dei dati personali.
Al reclamo dovranno essere allegati i documenti utili per provare quanto sostenuto e l’eventuale mandato, indicando un recapito per l'invio di comunicazioni anche tramite posta elettronica, telefax o telefono.
Il Garante predisporrà un modello elettronico, che verrà pubblicato sul sito istituzionale dell’autorità, per facilitare a tutti la presentazione di un reclamo.
Il procedimento con cui il Garante esaminerà i reclami, le modalità di trattazione semplificate e i tempi ristretti in relazione alla trattazione di quei reclami che abbiano ad oggetto questioni riferite all’esercizio dei diritti di cui agli artt. da 15 a 22 del GDPR (diritti degli interessati) verrà disciplinato tramite regolamento del Garante.
Al termine dell’istruttoria preliminare, se il reclamo non risulta manifestamente infondato e sussistono i presupposti per adottare un provvedimento, il Garante, anche prima della definizione del procedimento, può decidere mediante i provvedimenti di cui all'articolo 58 del Regolamento.
I provvedimenti adottati sono pubblicati nella Gazzetta Ufficiale della Repubblica italiana se i relativi destinatari non sono facilmente identificabili per il numero o per la complessità degli accertamenti.
Tempi lunghi per decidere
Il Garante è tenuto ad adottare una decisione in merito al reclamo entro nove mesi dalla data della sua presentazione; sebbene entro tre mesi dalla predetta data dovrà informare l'interessato sullo stato del procedimento.
Solo in via eccezionale, laddove la fase istruttoria dovesse risultare particolarmente complessa, la decisione del Garante potrà essere emessa entro 12 mesi; di tale dilazione dei termini, il Garante dovrà tenere informato l’interessato.
Avverso la decisione assunta dal Garante, si può presentare ricorso davanti all’autorità giurisdizionale.
Chiunque può presentare segnalazioni
Resta il fatto che il Garante può adottare i provvedimenti di cui all’art. 58 del GDPR anche d’ufficio e che chiunque può segnalare al Garante una violazione sul trattamento dei dati personali; in tal caso, il Garante può valutare la questione anche ai fini dell'emanazione dei provvedimenti di cui all'articolo 58 del Regolamento.
Il decreto n. 101 attribuisce - come del resto era già previsto dalla vecchia formulazione del Codice Privacy - ai giudici ordinari la competenza a decidere su tutte le controversie che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli articoli 78 (ricorso all’autorità giudiziaria avverso i provvedimenti del Garante) e 79 (azioni giudiziarie nei confronti di titolari o responsabili del trattamento) del Regolamento e quelli comunque riguardanti l'applicazione della normativa in materia di protezione dei dati personali, nonchè il diritto al risarcimento del danno ai sensi dell'articolo 82 del medesimo regolamento.