Garante privacy – Adottato un nuovo regolamento che disciplina le procedure interne aventi rilevanza esterna

E’ stata pubblicata, sulla Gazzetta Ufficiale n. 106 del 8 maggio 2019, la delibera 4 aprile 2019, n. 98, recante “Regolamento n. 1/2019. Procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, nonchè all’adozione dei provvedimenti correttivi e sanzionatori“.

Con tale delibera sono state definite le procedure interne all’Autorità aventi rilevanza esterna, avviate su istanza di parte o d’ufficio, anche in materia del regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati – «RGPD»), sulla liceità e correttezza dei trattamenti.

Il presente regolamento – in vigore dal 9 maggio 2019 – disciplina:

1. le procedure interne all’Autorità aventi rilevanza esterna, avviate su istanza di parte o d’ufficio e finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante;
2. il procedimento con il quale il Garante adotta i provvedimenti correttivi di cui all’art. 58, paragrafo 2, del Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati – «RGPD»), ed irroga le sanzioni di cui all’art. 83 del medesimo regolamento.

Nell’esercizio dei compiti e dei poteri demandati al Garante dalla normativa vigente e dalla disciplina comunque rilevante in materia di trattamento dei dati personali, in particolare per quanto riguarda il controllo sulla liceità e correttezza dei trattamenti, il Garante – secondo quanto stabilito all’art. 3 – “ispira la propria azione a principi di trasparenza, ragionevolezza, proporzionalità e non discriminazione, realizzando l’interesse pubblico connesso a ciascuna attività secondo criteri di buona amministrazione, economicità, adeguatezza e imparzialità, valorizzando l’utilizzo di tecniche informatiche e della telematica. A tal fine, si tiene conto anche della natura e della gravità degli illeciti da accertare in rapporto ai relativi effetti e all’entità del pregiudizio che essi possono comportare per uno o più interessati, della probabilità di comprovarne la sussistenza, nonchè delle risorse disponibili“.

Agli articoli 8 e seguenti vengono indicate le procedure in materia di “reclami“.

Secondo quanto disposto dall’art. 142 del Codice “Il reclamo contiene un’indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste, nonchè gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto“.

I reclami correttamente presentati possono determinare l’avvio di un procedimento amministrativo, orientato a criteri di semplicità delle forme osservate, di celerità ed economicità.

Il dipartimento cui il reclamo è assegnato avvia un’istruttoria preliminare e, fermo e informa l’istante dello stato o dell’esito del reclamo entro tre mesi dalla data della sua ricezione o della sua regolarizzazione.

L’istruttoria preliminare può essere svolta contestualmente in relazione a più reclami aventi il medesimo oggetto o che riguardano il medesimo titolare o responsabile del trattamento, oppure trattamenti di dati tra loro correlati.

Al termine dell’istruttoria preliminare, il reclamo può essere archiviato se:

1. la questione prospettata con il reclamo non risulta riconducibile alla protezione dei dati personali o ai compiti demandati al Garante;
2. non sono ravvisati, allo stato degli atti, gli estremi di una violazione della disciplina rilevante in materia di protezione dei dati personali;
3. si tratta di una richiesta eccessiva, in particolare per il carattere pretestuoso o ripetitivo;
4. la questione prospettata con il reclamo è stata già esaminata dall’Autorità.

In caso contrario, entro trenta giorni dal ricevimento della comunicazione è possibile inviare al Garante scritti difensivi o documenti e chiedere di essere sentito dalla medesima Autorità (art. 13).

Il destinatario della comunicazione può richiedere, con specifica istanza debitamente motivata, una proroga non superiore a quindici giorni.

Agli articoli 21 e seguenti vengono indicate le procedure in materia di attività di controllo ed ispettive.

Nel corso dell’attività ispettiva, della quale può essere dato preavviso, è possibile:

1. controllare, estrarre ed acquisire copia dei documenti, anche in formato elettronico;
2. richiedere informazioni e spiegazioni;
3. accedere alle banche dati ed agli archivi;
4. acquisire copia delle banche dati e degli archivi su supporto informatico (art. 22, comma 6).

Il soggetto sottoposto ad ispezione può farsi assistere da consulenti di propria fiducia e fare riserva di produrre la documentazione non immediatamente reperibile entro un termine congruo, di regola non superiore a trenta giorni (art. 22, comma 7).

Per scaricare il testo della delibera n. 98/2019 dalla Gazzetta Ufficiale clicca qui.
Per scaricare il testo della delibera n. 98/2019 dal sito del Garante Privacy clicca qui.