L’art. 142 del Codice Privacy, come modificato secondo la nuova normativa europea, indica il reclamo al Garante Privacy quale strumento di tutela per l’interessato, nel caso in cui ritenga che un trattamento che lo riguarda violi la normativa vigente in materia di protezione dei dati personali.
Lo strumento del reclamo è regolamentato all’art. 77 GDPR e agli artt. 143 e 144 del Codice Privacy, nonché dal Regolamento del Garante Privacy n. 1/2019, ai sensi dell’art. 142, comma 5 e dell’art. 154, comma 3, del Codice Privacy.
La presentazione del reclamo
Il contenuto minimo del reclamo indicato dal Garante è rappresentato da:
a) dichiarazione in relazione alla circostanza che la Repubblica italiana è lo Stato membro in cui l’interessato risiede abitualmente o lavora oppure è il luogo ove si è verificata la presunta violazione (elemento necessario per stabilire la competenza dell’autorità di controllo a cui l’interessato si è rivolto);
b) gli estremi identificativi del titolare del trattamento (cioè, la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali e che avrebbe commesso la violazione);
c) gli estremi identificativi del responsabile del trattamento (ove conosciuto);
d) un’indicazione, per quanto possibile dettagliata, dei fatti e delle circostanze su cui l’atto si fonda, ivi comprese eventuali richieste già rivolte sulla questione al titolare del trattamento;
e) le disposizioni del Regolamento (UE) 2016/679 (GDPR) e del Codice Privacy che si presumono violate, specificando se siano stati già eventualmente esercitati i diritti di cui agli artt. da 15 a 22 del Regolamento, e l’indicazione delle misure richieste.
Il reclamo deve essere sottoscritto dalla persona interessata o da altro soggetto legittimato, munito di idoneo mandato; ad esso possono essere allegati tutti i documenti che l’interessato ritenga utili per la valutazione della presunta violazione e l’indicazione di un recapito per le comunicazioni e le eventuali interlocuzioni con il Garante.
Per facilitare la redazione del documento, lo stesso legislatore italiano impone al Garante di predisporre un modello di reclamo, da mettere a disposizione degli interessati in formato elettronico, tramite pubblicazione sul sito istituzionale.
La trattazione del reclamo
La presentazione del reclamo da parte dell’interessato impone al Garante di attivare una prima fase di istruttoria preliminare, non necessariamente seguita da un provvedimento del Collegio.
L’esame del reclamo non prevede nessun costo a carico dell’interessato.
a) L’istruttoria preliminare
Il dipartimento, il servizio o altra unità organizzativa del Garante cui il reclamo è stato assegnato avvia un’istruttoria preliminare e, entro tre mesi dalla data di ricezione del reclamo, deve dare comunicazione all’interessato circa l’esito o, comunque, lo stato, di tale attività.
Nella stessa fase, il dirigente del dipartimento, servizio o altra unità organizzativa procedente può disporre la riunione di più procedimenti relativi a reclami aventi il medesimo oggetto o relativi allo stesso titolare del trattamento o responsabile del trattamento.
La fase della istruttoria preliminare ha ad oggetto la verifica circa la sussistenza della presunta violazione indicata dall’interessato e la congruità e conferenza delle misure dal medesimo richieste.
A tal fine il Garante, nel caso sia necessario acquisire ulteriori informazioni e/o documenti, può:
- richiedere informazioni o l’esibizione di documenti al titolare del trattamento o al responsabile del trattamento, anche tramite audizione;
- avviare un’ispezione, nell’ambito della quale può:
- controllare, estrarre ed acquisire copia dei documenti, anche in formato elettronico;
- richiedere informazioni e spiegazioni;
- accedere alle banche dati e agli archivi;
- acquisire copia delle banche dati e degli archivi su supporto informatico.
All’esito dell’istruttoria preliminare, il dipartimento, il servizio o altra unità organizzativa del Garante, ritenuta la violazione sussistente, può invitare il titolare del trattamento o il responsabile del trattamento a eseguire spontaneamente le misure richieste dall’interessato nel reclamo, comunicando all’Ufficio la propria adesione.
b) La chiusura dell’istruttoria preliminare
L’istruttoria preliminare si può concludere, alternativamente, con l’archiviazione o con l’avvio di un procedimento per l’adozione di eventuali provvedimenti correttivi ai sensi dell’art. 58, par. 2 GDPR o di sanzioni amministrative pecuniarie ai sensi dell’art. 83 GDPR.
b.1) L’archiviazione
Il dipartimento, il servizio o altra unità organizzativa competente dispone l’archiviazione del reclamo quando si verifica una delle seguenti ipotesi:
- la questione prospettata con il reclamo non riguarda la protezione dei dati personali o non rientra tra i compiti del Garante;
- allo stato degli atti l’Ufficio non ha rilevato la violazione della normativa di riferimento, GDPR e Codice Privacy;
- la richiesta dell’interessato è considerata eccessiva, pretestuosa e ripetitiva;
- la questione oggetto del reclamo è già stata esaminata dal Garante con un provvedimento a carattere generale, o può essere esaminata richiamando questioni già esaminate dal Garante, ovvero può essere esaminata esprimendo un prudente avviso su questioni che non presentano particolare rilevanza sul piano generale (art. 11, Reg. n. 1/2019 Garante Privacy).
Il provvedimento è notificato alle parti a cura del dipartimento, il servizio o altra unità organizzativa che lo ha disposto.
b.2) il procedimento per l’adozione di provvedimenti correttivi o sanzionatori
In tutti i casi in cui l’istruttoria preliminare non si conclude con l’archiviazione, il dipartimento, il servizio o altra unità organizzativa procedente ne da comunicazione al titolare del trattamento o al responsabile del trattamento, indicando:
- la sintetica descrizione dei fatti e delle presunte violazioni al medesimo imputati;
- l’unità organizzativa competente, presso la quale è possibile prendere visione ed estrarre copia degli atti istruttori;
- il termine di trenta giorni dalla comunicazione, entro il quale il titolare del trattamento o il responsabile del trattamento può inviare all’unità organizzativa scritti difensivi e documenti e può chiedere di essere sentito. Detto termine è prorogabile su specifica istanza motivata del destinatario, per al più ulteriori quindici giorni, tenendo conto delle caratteristiche operativo/dimensionali dei destinatari e della complessità della vicenda.
L’audizione ha carattere strettamente personale, ma è consentita l’assistenza di un legale o di altro consulente.
L’unica eccezione alla descritta procedura è prevista nel caso in cui detta comunicazione, qualora effettuata, potrebbe provocare un pregiudizio in relazione alle finalità e alla natura del provvedimento da adottare.
Il procedimento si conclude con il provvedimento dell’unità organizzativa procedente che, alternativamente, dispone:
- l’archiviazione, quando nuovi elementi sopravvenuti nel corso del procedimento evidenziano l’infondatezza o l’insussistenza dei presupposti per l’adozione di un provvedimento correttivo o sanzionatorio;
- la predisposizione dello schema di provvedimento del Collegio e la sua trasmissione al Segretario generale per la definitiva deliberazione del Collegio in merito al provvedimento da adottare.
Il provvedimento assume la forma dell’ordinanza ingiunzione e può avere ad oggetto:
- una misura correttiva tra quelle individuate dal legislatore europeo all’art. 58, par. 2 GDPR
- una sanzione amministrativa pecuniaria di cui all’art. 83 GDPR e all’art. 166 Codice Privacy
- la sanzione amministrativa accessoria della pubblicazione del provvedimento, per intero o per estratto, sul sito web del Garante Privacy.
Una procedura particolare è prevista nel caso in cui la violazione abbia ad oggetto esclusivamente i diritti degli interessati di cui agli articoli da 15 a 22 del GRPR. In tal caso il Garante Privacy distingue:
- se l’interessato non si è preventivamente rivolto al titolare del trattamento per l’esercizio dei diritti riconosciutigli dal GDPR, l’unità organizzativa procedente, entro quarantacinque giorni dalla ricezione del reclamo, lo invita a rivolgersi al titolare del trattamento;
- se l’interessato si è già rivolto al titolare del trattamento per far valere i propri diritti e non ha ricevuto riscontro nel termine di un mese, ai sensi dell’art. 12 GDPR, salvo i casi di inammissibilità o di manifesta infondatezza, il reclamo è comunicato al titolare del trattamento nei quarantacinque giorni successivi alla sua ricezione, con l’invito ad esercitare, entro venti giorni dal suo ricevimento, la facoltà di comunicare all’istante e all’Ufficio la propria eventuale adesione spontanea. In tal caso, l’unità organizzativa procedente ne informa l’interessato e comunica al titolare del trattamento l’avvio del procedimento per l’adozione dei provvedimenti correttivi ai sensi dell’art. 58, par. 2 GDPR, o sanzionatori ai sensi dell’art. 83 GDPR.
In mancanza, l’unità organizzativa designata competente procede con le attività sopra descritte.