(2)Al fine di garantire un regolare ed efficace funzionamento del meccanismo di cooperazione e del meccanismo di composizione delle controversie previsti dagli articoli 60 e 65 del regolamento (UE) 2016/679, è necessario stabilire norme relative allo svolgimento dei procedimenti da parte delle autorità di controllo nei casi transfrontalieri e da parte del comitato durante la composizione delle controversie, compresa la gestione dei reclami transfrontalieri. Per tale motivo è inoltre necessario stabilire norme relative all'esercizio del diritto delle parti oggetto dell'indagine di essere ascoltate prima dell'adozione delle decisioni da parte delle autorità di controllo e, se del caso, del comitato.

(3)I reclami costituiscono una fonte essenziale di informazioni per l'accertamento delle violazioni delle norme in materia di protezione dei dati. La definizione di procedure chiare ed efficienti per la gestione dei reclami nei casi transfrontalieri è necessaria in quanto il reclamo può essere trattato da un'autorità di controllo diversa da quella cui esso è stato proposto.

(4)Per essere ricevibile un reclamo dovrebbe contenere determinate informazioni specifiche. Pertanto, al fine di assistere i reclamanti nella presentazione dei fatti necessari alle autorità di controllo, è opportuno che sia fornito un modulo di reclamo. Le informazioni specificate nel modulo dovrebbero essere richieste solo nei casi di trattamento transfrontaliero ai sensi del regolamento (UE) 2016/679, sebbene il modulo possa essere utilizzato dalle autorità di controllo per casi che non riguardano questo tipo di trattamento. Il modulo può essere trasmesso per via elettronica o per posta. La comunicazione delle informazioni elencate nel modulo dovrebbe essere una condizione affinché un reclamo relativo a un trattamento transfrontaliero sia trattato come un reclamo ai sensi dell'articolo 77 del regolamento (UE) 2016/679. Ai fini della ricevibilità del reclamo non dovrebbero essere richieste ulteriori informazioni. Dovrebbe essere possibile per le autorità di controllo agevolare la proposizione dei reclami in un formato elettronico di facile impiego e tenendo conto delle esigenze delle persone con disabilità, purché le informazioni richieste al reclamante corrispondano a quelle richieste dal modulo e non siano necessarie ulteriori informazioni ai fini della ricevibilità del reclamo.

(5)Le autorità di controllo sono obbligate a decidere in merito ai reclami entro un termine ragionevole. La ragionevolezza del termine dipende dalle circostanze di ciascun caso, in particolare dal contesto, dalle diverse fasi procedurali seguite dall'autorità di controllo capofila, dal comportamento delle parti nel corso della procedura e dalla complessità del caso.

(6)Ogni reclamo trattato da un'autorità di controllo ai sensi dell'articolo 57, paragrafo 1, lettera f), del regolamento (UE) 2016/679 deve essere sottoposto a indagine con la dovuta diligenza e nell'entità opportuna, tenendo presente che i poteri delle autorità di controllo devono essere esercitati sempre in modo appropriato, necessario e proporzionato al fine di assicurare la conformità al regolamento (UE) 2016/679. La decisione sull'entità dell'indagine da svolgere su un reclamo rientra nella discrezionalità di ciascuna autorità competente. Nel valutare l'opportuna entità dell'indagine le autorità di controllo dovrebbero mirare a fornire una risoluzione soddisfacente al reclamante, il che non richiede necessariamente un'indagine esaustiva su tutti i possibili elementi giuridici e fattuali derivanti dal reclamo, ma offre al reclamante un rimedio efficace e rapido. La valutazione dell'entità delle misure di indagine necessarie potrebbe basarsi sulla gravità della presunta violazione, sulla sua natura sistematica o ripetitiva o, se del caso, sul fatto che il reclamante si sia avvalso anche dei diritti di cui all'articolo 79 del regolamento (UE) 2016/679.

(7)È opportuno che l'autorità di controllo capofila fornisca all'autorità di controllo cui è stato proposto il reclamo le informazioni necessarie sullo stato di avanzamento dell'indagine al fine di fornire aggiornamenti al reclamante.

(8)È opportuno che l'autorità di controllo competente fornisca al reclamante l'accesso ai documenti in base ai quali l'autorità di controllo ha raggiunto una conclusione preliminare di rigetto totale o parziale del reclamo.

(9)Al fine di porre rapidamente fine alle violazioni del regolamento (UE) 2016/679 e di fornire una rapida risoluzione ai reclamanti, è opportuno che le autorità di controllo si adoperino, se del caso, per risolvere i reclami mediante composizione amichevole. Il fatto che un singolo reclamo sia stato risolto mediante composizione amichevole non impedisce all'autorità di controllo competente di portare avanti un caso d'ufficio, ad esempio nel caso di violazioni sistematiche o ripetute del regolamento (UE) 2016/679.

(10)Al fine di garantire l'efficace funzionamento del meccanismo di cooperazione e del meccanismo di coerenza di cui al capo VII del regolamento (UE) 2016/679, è importante che i casi transfrontalieri siano risolti tempestivamente e in linea con lo spirito di leale ed efficace cooperazione sotteso all'articolo 60 del regolamento (UE) 2016/679. È opportuno che l'autorità di controllo capofila eserciti la propria competenza in un quadro di stretta cooperazione con le altre autorità di controllo interessate. Allo stesso modo, le autorità di controllo interessate dovrebbero impegnarsi attivamente nell'indagine nelle prime fasi, nell'adoperarsi per raggiungere un consenso, sfruttando appieno gli strumenti forniti dal regolamento (UE) 2016/679.

(11)È particolarmente importante che le autorità di controllo raggiungano un consenso sugli aspetti chiave dell'indagine il prima possibile e prima della comunicazione delle accuse alle parti oggetto dell'indagine e dell'adozione del progetto di decisione di cui all'articolo 60 del regolamento (UE) 2016/679, riducendo così il numero di casi sottoposti al meccanismo di composizione delle controversie di cui all'articolo 65 del regolamento (UE) 2016/679 e garantendo, in ultima analisi, la rapida risoluzione dei casi transfrontalieri.

(12)È opportuno che la cooperazione tra le autorità di controllo si basi su un dialogo aperto che consenta alle autorità di controllo interessate di incidere in modo significativo sul corso dell'indagine condividendo le loro esperienze e opinioni con l'autorità di controllo capofila, tenendo in debito conto il margine di discrezionalità di cui gode ciascuna autorità di controllo, anche nella valutazione dell'entità opportuna dell'indagine da svolgere su un caso, e le diverse tradizioni degli Stati membri. A tal fine, l'autorità di controllo capofila dovrebbe fornire alle autorità di controllo interessate una sintesi delle questioni chiave che illustri la sua opinione preliminare sulle questioni principali dell'indagine. Tale sintesi dovrebbe essere fornita in una fase sufficientemente precoce per consentire l'effettivo coinvolgimento delle autorità di controllo interessate, ma allo stesso tempo in una fase in cui le opinioni dell'autorità di controllo capofila sul caso sono sufficientemente sviluppate. Le autorità di controllo interessate dovrebbero avere l'opportunità di formulare le proprie osservazioni su un'ampia varietà di questioni, come l'ambito dell'indagine e l'individuazione di valutazioni complesse di natura fattuale e giuridica. Dal momento che l'ambito dell'indagine determina le questioni su cui l'autorità di controllo capofila deve svolgere l'indagine, le autorità di controllo dovrebbero adoperarsi per raggiungere quanto prima un consenso sull'ambito dell'indagine.

(13)Nell'interesse di una cooperazione efficace e inclusiva tra l'autorità di controllo capofila e tutte le autorità di controllo interessate, è opportuno che le osservazioni di queste ultime siano concise e formulate in termini sufficientemente chiari e precisi da essere facilmente comprensibili per tutte le autorità di controllo. Gli argomenti giuridici dovrebbero essere raggruppati in base alla parte della sintesi delle questioni chiave a cui si riferiscono. Le osservazioni delle autorità di controllo interessate possono essere integrate da documenti supplementari. Tuttavia un semplice riferimento a documenti supplementari nelle osservazioni di un'autorità di controllo interessata non può compensare l'assenza degli argomenti essenziali, di diritto o di fatto, che dovrebbero figurarvi. I dati giuridici e fattuali di base contenuti in tali documenti dovrebbero essere indicati, almeno in forma sintetica, in modo coerente e comprensibile nell'osservazione stessa.

(14)I casi che non sollevano questioni controverse non richiedono una discussione esaustiva tra le autorità di controllo per raggiungere un consenso e potrebbero quindi essere trattati più rapidamente. Qualora nessuna delle autorità di controllo interessate formuli osservazioni in merito alla sintesi delle questioni chiave, è opportuno che l'autorità di controllo capofila comunichi le constatazioni preliminari di cui all'articolo 14 entro nove mesi.

(15)È opportuno che le autorità di controllo si avvalgano di tutti i mezzi necessari per raggiungere un consenso in uno spirito di leale ed efficace cooperazione. Pertanto, laddove vi sia una divergenza di opinioni tra le autorità di controllo interessate e l'autorità di controllo capofila in merito all'ambito di un'indagine basata su un reclamo, comprese le disposizioni del regolamento (UE) 2016/679 la cui violazione sarà oggetto di indagine, o laddove le osservazioni delle autorità di controllo interessate riguardino un cambiamento importante nella valutazione giuridica o tecnologica complessa, è opportuno che l'autorità interessata utilizzi gli strumenti previsti dagli articoli 61 e 62 del regolamento (UE) 2016/679.

(16)Qualora l'uso di tali strumenti non consenta alle autorità di controllo di raggiungere un consenso sull'ambito di un'indagine basata su un reclamo, è opportuno che l'autorità di controllo capofila chieda una decisione vincolante d'urgenza del comitato ai sensi dell'articolo 66, paragrafo 3, del regolamento (UE) 2016/679. A tal fine, è opportuno presupporre soddisfatto il requisito dell'urgenza. L'autorità di controllo capofila dovrebbe trarre conclusioni appropriate dalla decisione vincolante d'urgenza del comitato ai fini delle constatazioni preliminari. La decisione vincolante d'urgenza del comitato non può pregiudicare l'esito dell'indagine svolta dall'autorità di controllo capofila o l'effettività dei diritti delle parti oggetto dell'indagine di essere ascoltate. In particolare, il comitato non dovrebbe estendere l'ambito dell'indagine di propria iniziativa.

(17)Al fine di consentire al reclamante di esercitare il proprio diritto a un ricorso giurisdizionale effettivo ai sensi dell'articolo 78 del regolamento (UE) 2016/679, l'autorità di controllo che rigetta in tutto o in parte un reclamo dovrebbe farlo mediante una decisione che possa essere impugnata dinanzi a un organo giurisdizionale nazionale.

(18)È opportuno che i reclamanti abbiano la possibilità di esprimere le proprie opinioni prima che sia adottata una decisione che arrechi loro pregiudizio. Pertanto, in caso di rigetto totale o parziale di un reclamo in un caso transfrontaliero, il reclamante dovrebbe avere la possibilità di esprimersi prima della trasmissione di un progetto di decisione ai sensi dell'articolo 60, paragrafo 3, del regolamento (UE) 2016/679, di un progetto di decisione riveduto ai sensi dell'articolo 60, paragrafo 4, del regolamento (UE) 2016/679 o di una decisione vincolante del comitato ai sensi dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679. Il reclamante può richiedere l'accesso alla versione non riservata dei documenti su cui si basa la decisione di rigetto totale o parziale del reclamo.

(19)In caso di rigetto di un reclamo nell'ambito di un caso transfrontaliero, è necessario chiarire la ripartizione delle responsabilità tra l'autorità di controllo capofila e l'autorità di controllo cui è stato proposto il reclamo. In quanto punto di contatto per il reclamante durante l'indagine, l'autorità di controllo cui è stato proposto il reclamo dovrebbe ricevere le opinioni del reclamante sulla proposta di rigetto del reclamo ed essere responsabile di tutte le comunicazioni con il reclamante. Tutte queste comunicazioni dovrebbero essere condivise con l'autorità di controllo capofila. Poiché ai sensi dell'articolo 60, paragrafi 8 e 9, del regolamento (UE) 2016/679 l'autorità di controllo cui è stato proposto il reclamo ha la responsabilità di adottare la decisione definitiva di rigetto del reclamo, tale autorità di controllo dovrebbe avere anche la responsabilità di preparare il progetto di decisione ai sensi dell'articolo 60, paragrafo 3, del regolamento (UE) 2016/679.

(21)Al fine di salvaguardare efficacemente il diritto a una buona amministrazione e i diritti della difesa sanciti dalla Carta dei diritti fondamentali dell'Unione europea ("Carta"), compreso il diritto di ogni persona di essere ascoltata prima che nei suoi confronti sia adottato un provvedimento individuale che le rechi pregiudizio, è importante prevedere norme chiare sull'esercizio di tale diritto.

(22)Le norme relative alla procedura amministrativa applicata dalle autorità di controllo nell'applicazione del regolamento (UE) 2016/679 dovrebbero garantire che le parti oggetto dell'indagine siano messe effettivamente in grado di esprimersi sulla realtà e sulla pertinenza dei fatti e sulle obiezioni e sulle circostanze addotte dall'autorità di controllo nel corso dell'intera procedura, consentendo loro così di esercitare i propri diritti della difesa. Le constatazioni preliminari illustrano la posizione preliminare sulla presunta violazione del regolamento (UE) 2016/679 a seguito delle indagini. Pertanto esse costituiscono una garanzia procedurale fondamentale che assicura il rispetto del diritto di essere ascoltati. È opportuno che alle parti oggetto dell'indagine siano forniti i documenti necessari per difendersi efficacemente e presentare osservazioni in merito alle accuse mosse contro di loro, ottenendo l'accesso al fascicolo amministrativo.

(23)Le constatazioni preliminari definiscono l'ambito dell'indagine e quindi l'ambito di qualsivoglia futura decisione definitiva (se del caso, adottata sulla base di una decisione vincolante emessa dal comitato ai sensi dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679) che può essere indirizzata ai titolari o ai responsabili del trattamento. È opportuno che le constatazioni preliminari siano formulate in termini che, sebbene sintetici, siano sufficientemente chiari da consentire alle parti oggetto dell'indagine di individuare correttamente la natura della presunta violazione del regolamento (UE) 2016/679. L'obbligo di fornire alle parti oggetto dell'indagine tutte le informazioni necessarie per consentire loro di difendersi adeguatamente è soddisfatto laddove la decisione definitiva non sostenga che le stesse abbiano commesso violazioni diverse da quelle indicate nelle constatazioni preliminari e qualora prenda in considerazione solo i fatti sui quali le parti oggetto dell'indagine hanno avuto la possibilità di esprimersi. La decisione definitiva dell'autorità di controllo capofila, tuttavia, non deve necessariamente essere una ripetizione delle constatazioni preliminari. Nella decisione definitiva, l'autorità di controllo capofila dovrebbe essere autorizzata a tenere conto delle risposte fornite dalle parti oggetto dell'indagine in merito alle constatazioni preliminari e, se del caso, del progetto di decisione riveduto ai sensi dell'articolo 60, paragrafo 5, del regolamento (UE) 2016/679 e della decisione risolutiva della controversia tra le autorità di controllo di cui all'articolo 65, paragrafo 1, lettera a). L'autorità di controllo capofila dovrebbe essere in grado di effettuare la propria valutazione dei fatti e delle qualificazioni giuridiche esposti dalle parti oggetto dell'indagine, al fine di ritirare le obiezioni, qualora l'autorità di controllo le ritenga infondate, o di integrare e riformulare i propri argomenti, sia di fatto che di diritto, a sostegno delle obiezioni che mantiene. Ad esempio, il fatto di tenere conto di un argomento avanzato da una parte oggetto dell'indagine nel corso della procedura amministrativa, senza che le sia stata data la possibilità di esprimersi al riguardo prima dell'adozione della decisione definitiva, non può di per sé costituire una violazione dei diritti della difesa.

(24)È opportuno che alle parti oggetto dell'indagine sia riconosciuto il diritto di essere ascoltate prima della trasmissione di un progetto di decisione riveduto ai sensi dell'articolo 60, paragrafo 5, del regolamento (UE) 2016/679 o dell'adozione di una decisione vincolante da parte del comitato ai sensi dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679.

(25)È opportuno che ai reclamanti sia data la possibilità di essere associati ai procedimenti avviati da un'autorità di controllo al fine di individuare o chiarire le questioni relative a una potenziale violazione del regolamento (UE) 2016/679. Il fatto che un'autorità di controllo abbia già avviato un'indagine relativa all'oggetto del reclamo o il fatto che essa si occuperà del reclamo nell'ambito di un'indagine d'ufficio successiva al ricevimento dello stesso non pregiudica la qualificazione dell'interessato come reclamante. Tuttavia un'indagine condotta da un'autorità di controllo su una possibile violazione del regolamento (UE) 2016/679 da parte di un titolare del trattamento o di un responsabile del trattamento non costituisce un procedimento in contraddittorio tra il reclamante e le parti oggetto dell'indagine. Si tratta di una procedura avviata da un'autorità di controllo, di propria iniziativa o sulla base di un reclamo, nell'adempimento dei propri compiti ai sensi dell'articolo 57, paragrafo 1, del regolamento (UE) 2016/679. Le parti oggetto dell'indagine e il reclamante non si trovano dunque nella stessa situazione procedurale e quest'ultimo non può invocare i diritti della difesa quando la decisione non pregiudica la sua posizione giuridica. Il coinvolgimento del reclamante nella procedura contro le parti oggetto dell'indagine non può compromettere il diritto di queste ultime di essere ascoltate.

(26)È opportuno che i reclamanti abbiano la possibilità di presentare per iscritto le proprie opinioni sulle constatazioni preliminari. Tuttavia esse non dovrebbero poter accedere a segreti aziendali o ad altre informazioni riservate appartenenti ad altre parti coinvolte nel procedimento. I reclamanti non dovrebbero avere il diritto di accedere in modo generalizzato al fascicolo amministrativo.

(27)Nello stabilire i termini entro cui le parti oggetto dell'indagine devono esprimere le proprie opinioni sulle constatazioni preliminari, è opportuno che le autorità di controllo tengano conto della complessità delle questioni sollevate nelle constatazioni preliminari, al fine di garantire che le parti oggetto dell'indagine e i reclamanti abbiano sufficienti opportunità per esprimersi in modo significativo sulle questioni sollevate.

(28)Lo scambio di opinioni prima dell'adozione di un progetto di decisione implica un dialogo aperto e un ampio scambio di opinioni nel corso del quale le autorità di controllo dovrebbero fare tutto il possibile per raggiungere un consenso sul modo di procedere in un'indagine. Al contrario, il disaccordo espresso nelle obiezioni pertinenti e motivate ai sensi dell'articolo 60, paragrafo 4, del regolamento (UE) 2016/679, che aumentano le probabilità di ricorso alla composizione delle controversie tra le autorità di controllo ai sensi dell'articolo 65 del regolamento (UE) 2016/679 e ritardano l'adozione di una decisione definitiva da parte dell'autorità di controllo competente, dovrebbe sorgere nel caso eccezionale in cui le autorità di controllo non riescano a raggiungere un consenso e laddove necessario per garantire l'interpretazione coerente del regolamento (UE) 2016/679. Tali obiezioni dovrebbero essere usate con parsimonia, quando sono in gioco questioni di applicazione coerente del regolamento (UE) 2016/679, in quanto l'uso di obiezioni pertinenti e motivate posticipa il rimedio per l'interessato. Poiché l'ambito dell'indagine e i fatti pertinenti dovrebbero essere decisi prima della comunicazione delle constatazioni preliminari, tali punti non dovrebbero essere sollevati dalle autorità di controllo interessate nelle obiezioni pertinenti e motivate. Tuttavia possono essere sollevati dalle autorità di controllo interessate nelle loro osservazioni sulla sintesi delle questioni chiave ai sensi dell'articolo 9, paragrafo 3, prima che le constatazioni preliminari siano comunicate alle parti oggetto dell'indagine.

(29)Nell'interesse di una conclusione efficiente e inclusiva della procedura di composizione delle controversie, in cui tutte le autorità di controllo dovrebbero essere in grado di contribuire con le proprie opinioni, e tenendo conto dei limiti temporali durante la composizione delle controversie, la forma e la struttura delle obiezioni pertinenti e motivate dovrebbero soddisfare determinati requisiti. Pertanto è opportuno che le obiezioni pertinenti e motivate rispettino una lunghezza prestabilita, illustrino chiaramente il disaccordo con il progetto di decisione e siano formulate in termini sufficientemente chiari, coerenti e precisi.

(30)L'accesso al fascicolo amministrativo è previsto nell'ambito dei diritti della difesa e del diritto a una buona amministrazione sanciti dalla Carta. L'accesso al fascicolo amministrativo dovrebbe essere garantito alle parti oggetto dell'indagine nel momento in cui vengono loro notificate le constatazioni preliminari e dovrebbe essere fissato il termine per la presentazione della risposta scritta a tali constatazioni.

(31)Nel garantire l'accesso al fascicolo amministrativo è opportuno che le autorità di controllo assicurino la tutela dei segreti aziendali e di altre informazioni riservate. La categoria delle altre informazioni riservate comprende informazioni diverse dai segreti aziendali, che possono essere considerate riservate in quanto la loro diffusione potrebbe arrecare un grave pregiudizio a un titolare del trattamento, a un responsabile del trattamento o a una persona fisica. Le autorità di controllo dovrebbero poter richiedere alle parti oggetto dell'indagine che presentano o hanno presentato documenti o dichiarazioni di indicare le informazioni riservate.

(33)Nel deferire una questione al meccanismo di composizione delle controversie ai sensi dell'articolo 65 del regolamento (UE) 2016/679, è opportuno che l'autorità di controllo capofila fornisca al comitato tutte le informazioni necessarie affinché questo possa valutare l'ammissibilità delle obiezioni pertinenti e motivate e adottare la decisione ai sensi dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679. Una volta ricevuti tutti i documenti necessari elencati all'articolo 23, il presidente del comitato dovrebbe registrare il deferimento della questione ai sensi dell'articolo 65, paragrafo 2, del regolamento (UE) 2016/679.

(34)La decisione vincolante del comitato ai sensi dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679 dovrebbe riguardare esclusivamente le questioni che hanno portato all'avvio della composizione delle controversie e dovrebbe essere redatta in modo tale da consentire all'autorità di controllo capofila di adottare la propria decisione definitiva sulla base della decisione del comitato, pur mantenendo la propria discrezionalità.

(36)Al fine di semplificare la procedura per l'adozione di pareri d'urgenza e di decisioni vincolanti d'urgenza da parte del comitato ai sensi dell'articolo 66, paragrafo 2, del regolamento (UE) 2016/679, è necessario specificare le norme procedurali relative alle tempistiche della richiesta di tale parere d'urgenza o decisione vincolante d'urgenza, ai documenti da presentare al comitato e sui quali questo dovrebbe basare la propria decisione, ai destinatari del parere o della decisione del comitato e alle conseguenze del parere o della decisione del comitato.

(38)Conformemente all'articolo 42, paragrafo 2, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati e il comitato europeo per la protezione dei dati sono stati consultati e hanno espresso un parere congiunto il [...],

Articolo 1

Oggetto

Il presente regolamento stabilisce le norme procedurali per la gestione dei reclami e lo svolgimento delle indagini da parte delle autorità di controllo nell'applicazione transfrontaliera del regolamento (UE) 2016/679, nei casi basati su un reclamo o avviati d'ufficio.

(1)"parti oggetto dell'indagine": il o i titolari del trattamento e/o il o i responsabili del trattamento sottoposti ad indagine per presunta violazione del regolamento (UE) 2016/679 connessa a un trattamento transfrontaliero;

(2)"sintesi delle questioni chiave": la sintesi che l'autorità di controllo capofila deve fornire alle autorità di controllo interessate indicandovi i principali fatti pertinenti e le proprie opinioni sul caso;

(3)"constatazioni preliminari": il documento indicante le accuse, i fatti pertinenti, le prove a sostegno, l'analisi giuridica e, ove applicabile, le misure correttive proposte, fornito dall'autorità di controllo capofila alle parti oggetto dell'indagine;

1.Il reclamo basato sul regolamento (UE) 2016/679 e riguardante un trattamento transfrontaliero fornisce le informazioni richieste nel modulo di cui all'allegato. Ai fini della ricevibilità del reclamo non sono necessarie ulteriori informazioni.

2.L'autorità di controllo cui è stato proposto il reclamo determina se esso riguarda un trattamento transfrontaliero.

3.L'autorità di controllo cui è stato proposto il reclamo accerta la completezza delle informazioni richieste nel modulo entro un mese.

4.Previa valutazione della completezza delle informazioni richieste nel modulo, l'autorità di controllo cui è stato proposto il reclamo trasmette il reclamo all'autorità di controllo capofila.

5.Il reclamante che nel proporre reclamo rivendichi la riservatezza presenta anche una versione non riservata del reclamo.

6.L'autorità di controllo cui il reclamo è stato proposto accusa ricevuta dello stesso entro una settimana. L'accusa di ricevuta non pregiudica la valutazione della ricevibilità del reclamo a norma del paragrafo 3.

II Proposizione e trattamento dei reclami

Indagine sul reclamo

Nel valutare in ciascun caso l'opportuna entità dell'indagine da svolgere sul reclamo, l'autorità di controllo tiene conto di tutte le circostanze pertinenti, comprese tutte le seguenti:

(a)la pertinenza di offrire un rimedio efficace e tempestivo al reclamante;

(b)la gravità della presunta violazione;

(c)la natura sistematica o ripetitiva della presunta violazione.

Il reclamo può essere risolto mediante composizione amichevole tra il reclamante e le parti oggetto dell'indagine. Ove ritenga che sia stata raggiunta una composizione amichevole del reclamo, l'autorità di controllo comunica la proposta di composizione al reclamante. Se il reclamante non si oppone alla composizione amichevole proposta dall'autorità di controllo entro un mese, il reclamo si considera ritirato.

Articolo 6

Traduzioni

Cooperazione a norma dell'articolo 60 del regolamento (UE) 2016/679

Le disposizioni della presente sezione riguardano i rapporti tra le autorità di controllo e non intendono conferire diritti ai singoli o alle parti oggetto dell'indagine.

1.L'autorità di controllo capofila aggiorna periodicamente le altre autorità di controllo interessate in merito all'indagine e fornisce loro quanto prima tutte le informazioni pertinenti divenute disponibili.

2.Le informazioni utili ai sensi dell'articolo 60, paragrafi 1 e 3, del regolamento (UE) 2016/679 comprendono, ove applicabile:

(a)le informazioni sull'avvio di un'indagine su una presunta violazione del regolamento (UE) 2016/679;

(e)la sintesi delle questioni chiave dell'indagine conformemente all'articolo 9;

(f)le informazioni sulle misure volte ad accertare una violazione del regolamento (UE) 2016/679 prima dell'elaborazione delle constatazioni preliminari;

(i)le opinioni del reclamante sulle constatazioni preliminari;

1.Una volta formatasi un'opinione preliminare sulle questioni principali dell'indagine, l'autorità di controllo capofila redige una sintesi delle questioni chiave ai fini della cooperazione a norma dell'articolo 60, paragrafo 1, del regolamento (UE) 2016/679.

(a)i principali fatti pertinenti;

(b)l'individuazione preliminare dell'ambito dell'indagine, in particolare le disposizioni del regolamento (UE) 2016/679 interessate dalla presunta violazione su cui si svolgerà l'indagine;

(c)l'individuazione delle valutazioni giuridiche e tecnologiche complesse pertinenti per l'orientamento valutativo preliminare;

3.Le autorità di controllo interessate possono formulare osservazioni sulla sintesi delle questioni chiave. Le osservazioni devono essere formulate entro quattro settimane dal ricevimento di tale sintesi.

4.Le osservazioni formulate in conformità del paragrafo 3 soddisfano i seguenti requisiti:

(a)il linguaggio utilizzato è sufficientemente chiaro e contiene termini precisi per consentire all'autorità di controllo capofila e, se del caso, alle autorità di controllo interessate di preparare le rispettive posizioni;

5.Il comitato può fissare nel regolamento interno limiti alla lunghezza massima delle osservazioni delle autorità di controllo interessate sulla sintesi delle questioni chiave.

6.I casi sui quali nessuna autorità di controllo interessata ha formulato osservazioni a norma del paragrafo 3 sono considerati non controversi. In tali casi le constatazioni preliminari di cui all'articolo 14 sono comunicate alle parti oggetto dell'indagine entro 9 mesi dalla scadenza del termine di cui al paragrafo 3 del presente articolo.

Rigetto totale o parziale dei reclami

1.Un'autorità di controllo interessata trasmette una richiesta all'autorità di controllo capofila a norma degli articoli 61 e/o 62 del regolamento (UE) 2016/679 qualora, a seguito delle osservazioni delle autorità di controllo interessate a norma dell'articolo 9, paragrafo 3, non concordi sulla valutazione dell'autorità di controllo capofila su quanto segue:

(b)l'orientamento preliminare in relazione alle valutazioni giuridiche complesse individuate dall'autorità di controllo capofila a norma dell'articolo 9, paragrafo 2, lettera c);

(c)l'orientamento preliminare in relazione alle valutazioni tecnologiche complesse individuate dall'autorità di controllo capofila a norma dell'articolo 9, paragrafo 2, lettera c).

3.Nell'adoperarsi per raggiungere un consenso l'autorità di controllo capofila avvia un dialogo con le autorità di controllo interessate sulla base delle loro osservazioni sulla sintesi delle questioni chiave e, ove applicabile, in risposta alle richieste a norma degli articoli 61 e 62 del regolamento (UE) 2016/679. Il consenso serve da base per l'autorità di controllo capofila per proseguire l'indagine e redigere le constatazioni preliminari o, ove applicabile, fornire all'autorità di controllo cui è stato proposto il reclamo la motivazione ai fini dell'articolo 11, paragrafo 2.

4.Qualora in un caso basato su un reclamo l'autorità di controllo capofila e una o più autorità di controllo interessate non raggiungano un consenso sulla questione di cui all'articolo 9, paragrafo 2, lettera b), del presente regolamento, l'autorità di controllo capofila chiede una decisione vincolante d'urgenza del comitato a norma dell'articolo 66, paragrafo 3, del regolamento (UE) 2016/679. In tal caso si presumono soddisfatte le condizioni per chiedere una decisione vincolante d'urgenza a norma dell'articolo 66, paragrafo 3, del regolamento (UE) 2016/679.

5.Quando chiede una decisione vincolante d'urgenza del comitato a norma del paragrafo 4, l'autorità di controllo capofila fornisce quanto segue:

(a)i documenti di cui all'articolo 9, paragrafo 2, lettere a) e b);

(b)le osservazioni dell'autorità di controllo interessata che non concorda sull'individuazione preliminare dell'ambito dell'indagine effettuata dall'autorità di controllo capofila.

6.Il comitato adotta una decisione vincolante d'urgenza sull'ambito dell'indagine sulla base delle osservazioni delle autorità di controllo interessate e della posizione dell'autorità di controllo capofila al riguardo.

Articolo 11

Consultazione del reclamante prima del rigetto totale o parziale del reclamo

Articolo 12

Progetto riveduto di decisione di rigetto totale o parziale del reclamo

Articolo 13

Decisione di rigetto totale o parziale del reclamo

Decisioni destinate ai titolari del trattamento e ai responsabili del trattamento

Constatazioni preliminari e risposta

1.L'autorità di controllo capofila formula constatazioni preliminari quando intende trasmettere alle altre autorità di controllo interessate un progetto di decisione ai sensi dell'articolo 60, paragrafo 3, del regolamento (UE) 2016/679 che constata una violazione di tale regolamento.

Le constatazioni preliminari espongono le accuse sollevate in modo esaustivo e sufficientemente chiaro per consentire alle parti oggetto dell'indagine di prendere conoscenza della condotta indagata dall'autorità di controllo capofila. In particolare devono esporre chiaramente tutti i fatti e l'integralità della valutazione giuridica addotti contro le parti oggetto dell'indagine affinché queste possano esprimere le loro opinioni sui fatti e sulle conclusioni giuridiche che l'autorità di controllo capofila intende trarre nel progetto di decisione ai sensi dell'articolo 60, paragrafo 3, del regolamento (UE) 2016/679, ed elencare tutti gli elementi di prova su cui si basano.

Le constatazioni preliminari indicano le misure correttive cui l'autorità di controllo capofila intende ricorrere.

Qualora intenda infliggere una sanzione pecuniaria, l'autorità di controllo capofila elenca nelle constatazioni preliminari gli elementi alla base del calcolo della sanzione. In particolare l'autorità di controllo capofila elenca i fatti e le questioni di diritto essenziali che possono comportare l'imposizione della sanzione pecuniaria, e gli elementi di cui all'articolo 83, paragrafo 2, del regolamento (UE) 2016/679, compresi gli eventuali fattori aggravanti o attenuanti di cui terrà conto.

3.L'autorità di controllo capofila notifica le constatazioni preliminari a ciascuna parte oggetto dell'indagine.

4.Quando notifica le constatazioni preliminari alle parti oggetto dell'indagine, l'autorità di controllo capofila fissa un termine entro il quale tali parti possono comunicare le loro opinioni per iscritto. L'autorità di controllo capofila non è tenuta a tenere conto delle opinioni scritte ricevute dopo la scadenza del termine.

5.Quando notifica le constatazioni preliminari alle parti oggetto dell'indagine, l'autorità di controllo capofila dà loro accesso al fascicolo amministrativo conformemente all'articolo 20.

6.Nella risposta scritta alle constatazioni preliminari le parti oggetto dell'indagine possono esporre tutti i fatti e gli argomenti giuridici a loro noti che sono pertinenti per difendersi dalle accuse dell'autorità di controllo capofila. Esse allegano gli eventuali documenti idonei a comprovare i fatti esposti. Nel progetto di decisione l'autorità di controllo capofila tratta solo le accuse, compresi i fatti e la valutazione giuridica basata su di essi, sulle quali le parti oggetto dell'indagine hanno avuto la possibilità di formulare osservazioni.

Articolo 15

Trasmissione delle constatazioni preliminari ai reclamanti

Adozione della decisione definitiva

Dopo aver trasmesso il progetto di decisione alle autorità di controllo interessate a norma dell'articolo 60, paragrafo 3, del regolamento (UE) 2016/679 e se nessuna autorità di controllo interessata ha sollevato obiezioni al progetto di decisione entro i termini di cui ai paragrafi 4 e 5 di tale articolo, l'autorità di controllo capofila adotta e notifica la decisione, a norma del paragrafo 7 del medesimo articolo, allo stabilimento principale o allo stabilimento unico del titolare del trattamento o responsabile del trattamento, a seconda dei casi, e informa le autorità di controllo interessate e il comitato della decisione in questione, includendo una sintesi dei fatti e delle motivazioni pertinenti.

Articolo 17

Diritto di essere ascoltati sul progetto di decisione riveduto

(a)si basano esclusivamente sugli elementi fattuali figuranti nel progetto di decisione; e

(b)non modificano la portata delle accuse sollevando punti che equivalgono all'individuazione di ulteriori accuse di violazione del regolamento (UE) 2016/679 o che modificano la natura intrinseca delle accuse mosse.

(a)ciascuna obiezione pertinente e motivata e la posizione dell'autorità di controllo capofila al riguardo non superano la lunghezza di tre pagine e non contengono allegati. Nei casi che sollevano questioni giuridiche particolarmente complesse la lunghezza massima può essere di sei pagine, a meno che circostanze specifiche accettate dal comitato giustifichino una lunghezza superiore;

[...]

Deferimento al meccanismo di composizione delle controversie a norma dell'articolo 65 del regolamento (UE) 2016/679

1.Se non ha dato seguito alle obiezioni pertinenti e motivate o ritiene che le obiezioni non siano pertinenti o motivate, l'autorità di controllo capofila sottopone la questione al meccanismo di composizione delle controversie di cui all'articolo 65 del regolamento (UE) 2016/679.

2.Nel deferire la questione al meccanismo di composizione delle controversie l'autorità di controllo capofila fornisce al comitato tutti i seguenti documenti:

(b)una sintesi dei fatti pertinenti;

(d)l'opinione espressa per iscritto dalle parti oggetto dell'indagine a norma degli articoli 14 o 17, secondo il caso;

(e)le opinioni espresse per iscritto dai reclamanti a norma degli articoli 11, 12 o 15, secondo il caso;

(f)le obiezioni pertinenti e motivate cui l'autorità di controllo capofila non ha dato seguito;

(g)i motivi per cui l'autorità di controllo capofila non ha dato seguito alle obiezioni pertinenti e motivate o ha ritenuto che le obiezioni non fossero pertinenti o motivate.

3.Entro quattro settimane dal ricevimento dei documenti elencati al paragrafo 2, il comitato indica le obiezioni pertinenti e motivate accolte.

Articolo 23

Registrazione riguardante una decisione a norma dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679

Articolo 24

Motivazione prima dell'adozione di una decisione a norma dell'articolo 65, paragrafo 1, lettera a), del regolamento (UE) 2016/679

Articolo 25

Procedura relativa a una decisione a norma dell'articolo 65, paragrafo 1, lettera b), del regolamento (UE) 2016/679

(c)le opinioni dell'autorità di controllo che deferisce la questione o della Commissione in merito al fatto che un'autorità di controllo fosse tenuta a comunicare il progetto di decisione al comitato a norma dell'articolo 64, paragrafo 1, del regolamento (UE) 2016/679, o non abbia dato seguito a un parere del comitato emesso a norma dell'articolo 64 del regolamento (UE) 2016/679, a seconda dei casi.

3.Il presidente del comitato registra il deferimento entro una settimana dal ricevimento dei documenti di cui ai paragrafi 1 e 2.

(a)una sintesi dei fatti pertinenti;

(b)una descrizione della misura provvisoria adottata sul proprio territorio, la relativa durata e la motivazione della sua adozione, compresa la giustificazione dell'urgenza dell'intervento per proteggere i diritti e le libertà degli interessati;

(c)una giustificazione dell'urgenza dell'adozione di misure definitive nel territorio dello Stato membro dell'autorità di controllo richiedente, compresa una spiegazione dell'eccezionalità delle circostanze che richiedono l'adozione delle misure in questione.

2.Il parere d'urgenza del comitato è destinato all'autorità di controllo che ha presentato la richiesta. Esso è simile a un parere ai sensi dell'articolo 64, paragrafo 1, del regolamento (UE) 2016/679 e consente all'autorità richiedente di mantenere o modificare la misura provvisoria in linea con gli obblighi di cui al paragrafo 7 di tale articolo.

Decisioni d'urgenza a norma dell'articolo 66, paragrafo 2, del regolamento (UE) 2016/679

1.La richiesta di decisione d'urgenza del comitato a norma dell'articolo 66, paragrafo 2, del regolamento (UE) 2016/679 è presentata al più tardi tre settimane prima della scadenza delle misure provvisorie adottate a norma dell'articolo 61, paragrafo 8, dell'articolo 62, paragrafo 7, o dell'articolo 66, paragrafo 1, di tale regolamento. La richiesta contiene tutti i seguenti elementi:

(a)una sintesi dei fatti pertinenti;

(b)la misura provvisoria adottata nel territorio dello Stato membro dell'autorità di controllo che richiede la decisione, la relativa durata e la motivazione della sua adozione, in particolare la giustificazione dell'urgenza dell'intervento per proteggere i diritti e le libertà degli interessati;

(c)informazioni su eventuali misure investigative adottate sul proprio territorio e risposte ricevute dallo stabilimento locale delle parti oggetto dell'indagine o qualsiasi altra informazione in possesso dell'autorità di controllo richiedente;

(d)una giustificazione dell'urgenza dell'adozione di misure definitive nel territorio dell'autorità di controllo richiedente, tenendo conto dell'eccezionalità delle circostanze che richiedono l'adozione della misura definitiva, o la prova che un'autorità di controllo non ha risposto a una richiesta a norma dell'articolo 61, paragrafo 3, o dell'articolo 62, paragrafo 2, del regolamento (UE) 2016/679;

(f)ove applicabile, le opinioni dello stabilimento locale delle parti oggetto dell'indagine nei cui confronti sono state adottate misure provvisorie a norma dell'articolo 66, paragrafo 1, del regolamento (UE) 2016/679.

2.La decisione d'urgenza di cui al paragrafo 1 è destinata all'autorità di controllo che ha presentato la richiesta e consente all'autorità richiedente di mantenere o modificare la misura provvisoria.

3.Se il comitato adotta una decisione vincolante d'urgenza secondo cui dovrebbero essere adottate misure definitive, l'autorità di controllo destinataria della decisione le adotta prima della scadenza delle misure provvisorie adottate a norma dell'articolo 66, paragrafo 1, del regolamento (UE) 2016/679.

4.L'autorità di controllo che ha presentato la richiesta di cui al paragrafo 1 notifica la propria decisione sulle misure definitive allo stabilimento del titolare del trattamento o del responsabile del trattamento nel territorio del proprio Stato membro e ne informa il comitato. Se l'autorità di controllo capofila non è l'autorità richiedente, l'autorità richiedente informa l'autorità di controllo capofila della misura definitiva.

Articolo 29

Decorrenza dei termini e definizione di giorno lavorativo

I capi III e IV si applicano alle indagini d'ufficio avviate dopo l'entrata in vigore del presente regolamento e alle indagini basate su un reclamo proposto dopo l'entrata in vigore del presente regolamento.

Il capo V si applica a tutti i casi sottoposti al meccanismo di composizione delle controversie a norma dell'articolo 65 del regolamento (UE) 2016/679 dopo l'entrata in vigore del presente regolamento.

Entrata in vigore

1.Identificazione della persona o del soggetto che propone il reclamo

Se il reclamante è una persona fisica, fornire un mezzo di identificazione1 bis.

2.Dati di contatto1 bis

Se il reclamo è proposto per via elettronica, indirizzo e-mail.

Se il reclamo è proposto per posta, indirizzo postale.

3.Soggetto il cui trattamento dei dati personali viola il regolamento (UE) 2016/679

Fornire tutte le informazioni di cui si è in possesso per facilitare l'identificazione del soggetto nei cui confronti è proposto il reclamo.