I Garanti europei sanno applicare le sanzioni?
Dopo qualche esitazione iniziale, quasi tutte le autorità di supervisione nazionali, spesso chiamate Garanti europei della protezione dei dati, hanno cominciato, a fronte di una violazione del regolamento, ad applicare l’articolo 83.
Questo articolo, che non pone alcun limite minimo le sanzioni, illustra tutti gli aspetti che devono essere presi in considerazione nel valutare la gravità della violazione (11 aspetti) e di conseguenza valutare l’importo della sanzione, che deve essere calcolata per ogni singolo caso ed il cui importo deve essere “effettivo, proporzionato e dissuasivo”.
Orbene molti Garanti europei hanno sviluppato l’istruttoria afferente alla valutazione della gravità della violazione e, di conseguenza, dell’importo della sanzione, secondo modelli che spesso hanno lasciato molto a desiderare.
Ecco il motivo per cui quasi tre anni dopo l’entrata in vigore del regolamento, i titolari sanzionati hanno cominciato a contestare l’operato dei Garanti, facendo ricorso, come d’altronde previsto dal regolamento, alla magistratura ordinaria.
La magistratura ordinaria in più casi ha cancellato o ridotto in maniera drammatica le sanzioni da milioni di dollari, che sono state applicate dai Garanti, facendo nascere notevoli dubbi circa l’approccio seguito da quest’ultimi, rispetto all’approccio seguito dalla magistratura.
D’altro canto, il fatto che nessuna sanzione possa essere applicata in modo automatico, ma per ogni sanzione debba essere attivata una specifica istruttoria, impone un carico di lavoro non indifferente sul personale dipendente dall’autorità Garante, che potrebbe trovarsi in difficoltà, in termini di tempistica ed acribia dell’istruttoria, che porta alla determinazione della sanzione.
Gli studi legali specializzati si sono rapidamente attivati per contestare le decisioni delle autorità nazionali, assumendo un atteggiamento ben diverso dagli atteggiamenti tenuti negli ultimi vent’anni, che in genere tendevano a trovare un ragionevole accordo.
Su 15 ricorsi alla magistratura ordinaria, in ambito europeo, un numero significativo è stato accolto ed in alcuni casi le sanzioni sono state addirittura annullate.
Ad esempio, poco fa la magistratura berlinese ha ribaltato una sanzione di 14, 5 milioni di dollari, applicata ad una agenzia immobiliare tedesca, perché il supervisore tedesco non aveva identificato l’incaricato che era responsabile della violazione. Se questa pronunzia verrà confermata, il lavoro dei Garanti europei sarà indubbiamente aggravato, perché quando la violazione compiuta da una grande azienda, con un organigramma assai articolato e strutture assai complesse, può risultare assai difficile individuare nominativamente la persona fisica responsabile di una violazione, rispetto a quanto può accadere in un’azienda di più piccole dimensioni.
Una situazione analoga si sta manifestando in Austria, dove una nuova legge impone alle autorità Garanti di attribuire le violazioni ad individui specifici, oltre a provare che i soggetti in questione nulla avevano fatto per bloccare la violazione in corso. La magistratura austriaca ha ribaltato una sanzione di 18 milioni di euro, applicata al servizio postale tedesco, perché si è potuto dimostrare che gli incaricati del trattamento non erano stati sufficientemente informati sulle loro responsabilità e sui loro obblighi, in materia di protezione dei dati personali.
L’atteggiamento frequentemente assunto in passato, in base al quale il titolare era comunque unico e solo colpevole di qualsiasi violazione, salvo prova contraria, va ora rivoluzionato, perché l’obbligo di identificare gli specifici incaricati, nonché di valutare il livello di formazione che hanno ricevuto, in relazione al trattamento di dati personali, comporta un approfondimento istruttorio decisamente assai pesante.
D’altro canto, un ricorso alla magistratura ordinaria può essere una medaglia a due facce, perché da un lato potrebbe portare a una significativa riduzione della sanzione, dall’altro, se la sanzione fosse confermata, potrebbe attirare l’attenzione dei cittadini su un comportamento non appropriato dell’ente in questione, creando un significativo danno di immagine.