Regolamento (UE) 2025/2518

Oggetto e ambito applicativo

Stabilisce norme procedurali per la gestione dei reclami e lo svolgimento delle indagini da parte delle autorità di controllo nell'applicazione del GDPR nei casi basati su reclamo o avviati d'ufficio che riguardano un trattamento transfrontaliero, compreso l'accertamento della natura transfrontaliera del caso (art. 1).

Definizione di parte sottoposta a indagine

Introduce la nozione di "parte sottoposta a indagine", cioè il titolare del trattamento o il responsabile del trattamento indagato per una presunta violazione del GDPR in un caso transfrontaliero; per il resto si applicano le definizioni dell'art. 4 del regolamento (UE) 2016/679 (art. 2).

Principi generali di conduzione del procedimento

Le autorità di controllo devono operare in modo rapido, efficiente, sincero ed efficace, con assistenza reciproca e senza ritardo nelle risposte. È possibile riunire o separare procedimenti secondo il diritto nazionale purché non siano pregiudicati i diritti di reclamante e parte sottoposta a indagine. Il reclamante comunica solo con l'autorità presso cui ha presentato il reclamo; la gestione del reclamo deve sempre condurre a una decisione soggetta a ricorso giurisdizionale effettivo; può essere limitata la lunghezza degli scritti prodotti dalle parti (art. 3).

Requisiti di ricevibilità del reclamo

Per i reclami transfrontalieri, il reclamo è ricevibile solo se contiene: nome e contatti del reclamante; prova della legittimazione dell'ente/associazione senza scopo di lucro ex art. 80 GDPR, se applicabile; dati e prova del mandato se il reclamo è presentato ai sensi dell'art. 80, par. 1, GDPR; elementi per identificare il titolare/responsabile; descrizione della presunta violazione. Non possono essere richieste informazioni ulteriori ai fini della ricevibilità; restano però applicabili le formalità previste dal diritto processuale nazionale (art. 4, par. 1).

Inammissibilità entro due settimane

Se mancano le informazioni essenziali, l'autorità presso cui è stato presentato il reclamo deve dichiararlo irricevibile entro due settimane dal ricevimento e indicarne i motivi al reclamante (art. 4, par. 2).

Trasmissione al capofila e determinazione preliminare

L'autorità adita verifica preliminarmente se il caso è transfrontaliero, quale autorità sia il capofila e se si applichi l'art. 56, par. 2, GDPR. Se il reclamo è ricevibile e non si applica la risoluzione rapida, il reclamo va trasmesso al capofila entro sei settimane; la decisione sulla ricevibilità vincola il capofila. Entro sei settimane, il capofila conferma la propria competenza o deferisce al comitato la questione della competenza; se non lo fa, l'autorità adita deferisce la questione al comitato (art. 4, parr. 4-6).

Risoluzione rapida del reclamo

Per i reclami che riguardano i diritti dell'interessato del capo III GDPR, è prevista una procedura di risoluzione rapida: può essere gestita dall'autorità adita prima della trasmissione o dal capofila prima delle constatazioni preliminari o, se applicabile, prima del progetto di decisione nella cooperazione semplice. Se la violazione è cessata, il reclamo è considerato privo di oggetto; il reclamante è informato e può obiettare entro quattro settimane. In assenza di obiezioni, l'autorità conclude che il reclamo è risolto entro due settimane dalla scadenza del termine, oppure il capofila adotta un progetto di decisione per la decisione finale. La risoluzione rapida non limita i poteri correttivi del capofila sulla stessa questione (art. 5).

Cooperazione semplice

Quando il capofila ha già una opinione preliminare sulle questioni principali e ritiene che non vi siano dubbi ragionevoli sull'ambito dell'indagine, può applicare una procedura semplificata. Le altre autorità sono informate entro sei settimane dalla conferma della competenza o dalla decisione del comitato; se una di esse si oppone entro due settimane, la procedura semplificata non si applica e si torna alla cooperazione ordinaria. In tale procedura restano comunque garantiti, se del caso, il diritto di essere ascoltati delle parti e la possibilità per il reclamante di esprimersi. Non si applica ai casi trattati da un'autorità ai sensi dell'art. 56, par. 2, GDPR (art. 6).

Scambio di informazioni utili e sintesi delle questioni principali

Nel quadro della cooperazione ordinaria, il capofila e le altre autorità si scambiano rapidamente le informazioni utili, che comprendono, tra l'altro, avvio dell'indagine, richieste di informazioni, uso di poteri istruttori, motivi di eventuale rigetto/archiviazione, risoluzione rapida, sintesi delle questioni principali, constatazioni preliminari e osservazioni delle parti. Il capofila deve redigere una sintesi delle questioni principali entro tre mesi dalla conferma della competenza o dalla decisione del comitato; le altre autorità possono osservare entro quattro settimane, prorogabili di due. Il capofila risponde entro quattro settimane, prorogabili di due, e può avviare richieste di assistenza reciproca o operazioni congiunte per raggiungere il consenso (artt. 9-11).

Termini per il progetto di decisione e proroghe

Il capofila presenta il progetto di decisione entro 15 mesi dalla conferma della competenza o dalla decisione del comitato; il termine è sospeso se viene chiesta una decisione vincolante d'urgenza sulla mancata intesa sull'ambito dell'indagine. Può esserci una sola proroga, fino a 12 mesi, per complessità del caso, con preavviso alle altre autorità almeno quattro settimane prima della scadenza; queste possono obiettare entro due settimane. Se il termine prorogato scade senza progetto di decisione e una o più autorità hanno segnalato la necessità di intervenire, possono adottarsi misure provvisorie nel proprio Stato membro e si presume l'urgenza ex art. 66, par. 1, GDPR. In cooperazione semplice, il termine è di 12 mesi, prorogabile una sola volta fino a due mesi in presenza di procedimenti nazionali correlati (art. 12).

Validità degli atti tardivi e tutela del ricorso

L'adozione di misure procedurali oltre il termine non incide sulla legittimità o validità dell'atto procedurale o della decisione finale. Ai fini del ricorso per mancato trattamento del reclamo ex art. 78, par. 2, GDPR, rileva se l'autorità non abbia adottato, entro il termine applicabile, un progetto di decisione, un progetto riveduto o una decisione definitiva (artt. 14-15).

Rigetto o archiviazione totale o parziale del reclamo

Se il capofila intende rigettare o archiviare totalmente o parzialmente il reclamo, deve comunicarne i motivi all'autorità adita, che li trasmette al reclamante, il quale può esprimersi per iscritto entro un termine tra tre e sei settimane. Se le osservazioni non mutano l'opinione preliminare, il capofila prepara il progetto di decisione con l'autorità adita. Se il rigetto/archiviazione è parziale, le indagini proseguono sulla parte residua. Se il progetto riveduto contiene nuovi elementi, va garantito nuovamente il diritto di espressione del reclamante. La decisione finale deve informare il reclamante del ricorso giurisdizionale ex art. 78 GDPR (artt. 16-18).

Constatazioni preliminari e diritto di essere ascoltati

Quando prevede di trasmettere un progetto di decisione che constata una violazione, il capofila formula constatazioni preliminari complete e chiare, con fatti, prove, valutazione giuridica, possibili misure correttive e, se del caso, elementi utili per una sanzione amministrativa pecuniaria ex art. 83 GDPR, inclusi circostanze aggravanti o attenuanti. Le altre autorità possono osservare entro quattro settimane, prorogabili di due. Le constatazioni sono notificate alle parti sottoposte a indagine, che hanno un termine tra tre e sei settimane per osservare per iscritto o essere audite oralmente; viene inoltre garantito l'accesso al fascicolo amministrativo. Il progetto può basarsi solo su accuse, fatti e valutazione giuridica sui quali le parti hanno avuto la possibilità di esprimersi (art. 19).

Partecipazione del reclamante

Quando il capofila formula constatazioni preliminari sulla questione oggetto del reclamo, l'autorità presso cui è stato presentato il reclamo le comunica al reclamante e il capofila fissa un termine tra tre e sei settimane per le osservazioni scritte. La stessa regola si applica anche in caso di trattazione congiunta di più reclami, di trattazione separata di una parte del reclamo o di modifica dell'ambito dell'indagine dopo una decisione vincolante del comitato (art. 20).

Decisione finale e contenuto delle informazioni al reclamante

Se nessuna autorità solleva obiezioni al progetto di decisione, il capofila adotta e notifica la decisione entro un mese dalla fine del periodo di cui all'art. 60, parr. 4 o 5, GDPR. Le informazioni da fornire al reclamante possono consistere in una versione integrale non riservata della decisione oppure in una sintesi con fatti e motivazioni; su richiesta del reclamante deve comunque essere fornita una versione integrale non riservata nei limiti dell'art. 25. Restano applicabili le formalità nazionali (art. 21).

Progetto riveduto che constata una violazione

Se il progetto riveduto di decisione che constata una violazione contiene nuovi elementi, le parti sottoposte a indagine devono poter esprimersi prima della sua trasmissione. Il termine per tali osservazioni è compreso tra tre e sei settimane e le opinioni sono comunicate alle altre autorità entro una settimana (art. 22).

Obiezioni pertinenti e motivate

Le obiezioni pertinenti e motivate devono basarsi sugli elementi di fatto e di diritto del progetto di decisione o del fascicolo di cooperazione, non possono riguardare l'ambito dell'indagine in assenza di osservazioni, in presenza di consenso o dopo decisione vincolante del comitato, né un progetto di decisione adottato ai sensi dell'art. 5. In casi giustificati possono eccezionalmente riguardare l'ambito se il capofila non ha esaminato tutti gli elementi concordati o se nuovi elementi evidenziano un rischio rilevante per i diritti fondamentali o la libera circolazione dei dati. Devono essere chiare, coerenti e precise (art. 23).

Fascicolo amministrativo e accesso

Il fascicolo amministrativo comprende i documenti ottenuti o prodotti nel corso dell'indagine, inclusi gli elementi di prova a carico e a discarico, ma non le comunicazioni interne tra autorità. Su richiesta, parte sottoposta a indagine e, se la decisione può pregiudicarne gli interessi, reclamante, possono accedervi per esercitare il diritto di essere ascoltati; l'accesso è in capo al capofila per la parte sottoposta a indagine e all'autorità adita per il reclamante. Sono esclusi corrispondenza/deliberazioni tra autorità e informazioni riservate. Le obiezioni pertinenti e motivate sono accessibili solo se necessario per consentire la difesa (art. 24).

Protezione delle informazioni riservate

Sono riservate le informazioni contenenti segreti commerciali ai sensi della direttiva (UE) 2016/943 o altre informazioni riservate secondo il diritto UE o nazionale. Tali informazioni non sono comunicate né rese accessibili salvo diversa previsione di legge. Chi le trasmette deve identificarle chiaramente, motivare la riservatezza e, se possibile, fornire una versione non riservata; l'autorità può imporre un termine fino a sei settimane per la motivazione e la produzione di versioni espunte. Se gli interessati non collaborano, l'autorità può presumere che i documenti non contengano informazioni riservate. Le espunzioni devono essere limitate a quanto necessario e proporzionato; la riservatezza segue i documenti anche nello scambio tra autorità (art. 25).

Fascicolo di cooperazione elettronico

Per lo scambio di informazioni utili tra autorità, il capofila mantiene un fascicolo di cooperazione dedicato per ciascun reclamo o indagine, conservato in forma elettronica e accessibile a distanza alle autorità mediante uno strumento elettronico comune. Il fascicolo è accessibile al comitato solo in caso di deferimento per composizione delle controversie o di procedura d'urgenza, e non è direttamente accessibile a parti, reclamanti o terzi (art. 26).

Deferimento al meccanismo di composizione delle controversie

Entro tre mesi dalla scadenza del termine per l'obiezione al progetto di decisione o al progetto riveduto, il capofila deve o presentare un ulteriore progetto riveduto oppure deferire la questione al comitato ai sensi dell'art. 65, par. 1, lett. a), GDPR. Il deferimento deve includere il progetto, la sintesi dei fatti, le osservazioni scritte delle parti e dei reclamanti rilevanti, le obiezioni accolte o respinte e le ragioni del mancato accoglimento. Il comitato valuta preliminarmente, entro quattro settimane, se le obiezioni siano pertinenti e motivate; nello stesso termine il presidente registra il deferimento e il termine per la decisione vincolante resta sospeso (art. 27).

Consultazione prima della decisione vincolante del comitato

Prima della decisione vincolante ex art. 65, par. 1, lett. a), GDPR, il comitato deve consentire alla parte sottoposta a indagine o, se la decisione può comportare rigetto/archiviazione del reclamo, al reclamante di esprimersi su nuovi elementi di fatto o di diritto e sulle obiezioni cui intende dare seguito. Il termine per tali osservazioni non può superare due settimane e sospende il termine per la decisione vincolante fino alla risposta o alla scadenza del termine (art. 28).

Deferimenti ex art. 65, par. 1, lett. b) e c), GDPR

Sono disciplinati i contenuti minimi dei deferimenti riguardanti, rispettivamente, la competenza del capofila/stabilimento principale e i casi in cui un'autorità non abbia deferito un progetto di decisione o non abbia seguito un parere del comitato. In tali ipotesi devono essere forniti al comitato una sintesi dei fatti, le valutazioni pertinenti, le opinioni delle autorità o del titolare/responsabile interessati, e il presidente registra il deferimento entro una settimana dal ricevimento della documentazione. L'autorità che intende presentare proprie opinioni deve farlo entro due settimane (artt. 29-30).

Procedura d'urgenza

Le richieste di parere d'urgenza o di decisione vincolante d'urgenza ex art. 66 GDPR devono essere presentate, di regola, almeno quattro settimane prima della scadenza delle misure provvisorie. Devono contenere la sintesi dei fatti, la misura provvisoria, la sua durata, la motivazione dell'urgenza e, a seconda dei casi, le misure di indagine svolte, le opinioni della controparte e del capofila. Se il comitato ordina misure definitive, l'autorità destinataria le adotta prima della scadenza delle misure provvisorie; se esclude l'urgenza, si torna alla procedura ordinaria ex art. 60 GDPR (artt. 31-33).

Statistiche, relazione della Commissione e strumenti digitali

Il comitato deve includere nella relazione annuale ex art. 71 GDPR statistiche sui casi, sui reclami, sui rigetti/archiviazioni, sulla durata media e sulle sanzioni pecuniarie; se non dispone dei dati, le autorità li forniscono su richiesta. La Commissione deve riferire anche sull'applicazione e sul funzionamento del presente regolamento nell'ambito della valutazione ex art. 97 GDPR. L'attuazione richiede uno strumento elettronico comune e sicuro per uno scambio rapido di informazioni e per il consolidamento delle statistiche (artt. 34-35 e considerando 66).

Disposizioni transitorie ed entrata in applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea e si applica dal 2 aprile 2027 (art. 37). I capi III e IV si applicano alle indagini d'ufficio avviate dopo il 2 aprile 2027 e ai reclami presentati dopo tale data; i capi V e VI si applicano ai casi deferiti al meccanismo di composizione delle controversie e alla procedura d'urgenza dopo il 2 aprile 2027 (art. 36).