Accelerare l’iter di gestione dei reclami transfrontalieri sui dati: è con questo obiettivo che il Consiglio d’Europa ha dato semaforo verde alla proposta di legge che il Parlamento europeo lo scorso 21 ottobre 2025 ha proposto per migliorare la cooperazione tra organismi preposti alla protezione dei dati nell’applicazione del GDPR.

Vediamo meglio.

Reclami transfrontalieri in materia di protezione dati: gli elementi di novità

Un nuovo regolamento europeo, dunque, appare all’orizzonte. L’obiettivo è quello di stabilire nuove “norme procedurali” che sveltiscano (la gestione de) i reclami in materia di trasferimenti di dati extra UE.

Ecco i punti cardine di questa bozza di regolamento.

I requisiti di ammissibilità dell’azione transfrontaliera

Anzitutto, i requisiti per l’ammissibilità di un’azione transfrontaliera. Occorre infatti armonizzare la decisione se un reclamo soddisfi o meno le condizioni per essere istruito.

A prescindere da dove nell’Unione verrà presentato un reclamo, l’ammissibilità della “causa” dovrà essere giudicata sulla base delle stesse informazioni con criteri ovviamente uniformi.

I diritti delle parti in causa: querelanti e di quelli sotto indagine

L’intenzione è quella di disciplinare regole comuni tanto per chi sporge reclamo, quanto per chi è sottoposto a procedura di indagine. Come fosse una sorta di contraddittorio.

Oltre al diritto di “ricevere i risultati preliminari per esprimere la propria opinione in merito” come si legge testualmente nel comunicato del Consiglio.

Una procedura semplice di cooperazione

Una volta istruita la questione, dalla bozza di regolamento richiamata dal comunicato in parola, apprendiamo che “per casi semplici, le Autorità per la protezione dei dati potranno decidere, per evitare onere amministrativo, di risolvere le azioni senza ricorrere all’intero insieme di regole di cooperazione”.

Una risoluzione rapida dei reclami transfrontalieri sui dati

Il cuore di questa bozza di regolamento europeo prevede, allo stato, 68 Considerando e 35 articoli.

La ratio risiede nell’introdurre una “risoluzione rapida” dovendo il reclamo contenere una serie di informazioni, pena la irricevibilità dello stesso.

La “risoluzione rapida”

Nel testo in bozza leggiamo, ad oggi, all’art. 5 primo paragrafo che “Un reclamo riguardante un trattamento transfrontaliero che riguarda l’esercizio dei diritti dell’interessato di cui al capo III del regolamento (UE) 2016/679 può, se del caso, essere risolto mediante una procedura che consenta la sua risoluzione rapida da parte: a) dell’autorità di controllo cui è stato presentato il reclamo, dopo aver determinato in via preliminare che il reclamo riguarda un trattamento transfrontaliero e prima dell’eventuale trasmissione del reclamo all’autorità di controllo ritenuta competente ad agire in qualità di autorità di controllo capofila; o b) dell’autorità di controllo capofila alla quale è stato trasmesso il reclamo, in qualsiasi momento prima della presentazione delle constatazioni preliminari alle altre autorità di controllo interessate a norma dell’articolo 19 del presente regolamento o, qualora si applichi la procedura di cooperazione semplice di cui all’articolo 6 del presente regolamento, prima della presentazione del progetto di decisione. Le autorità di controllo possono incoraggiare e agevolare la risoluzione rapida dei reclami e comunicare a tal fine con la parte sottoposta a indagine o con il reclamante, a seconda dei casi”.

É evidente che l’intento sia quello di velocizzare e semplificare. D’altra parte, già il tema (trasferimento di dati all’estero) è complicato di suo, a maggior ragione il processo di gestione dello stesso va semplificato.

Ma ancora più interessante è il paragrafo 2 che recita testualmente: “Ai fini di una risoluzione rapida, se l’autorità di controllo di cui al paragrafo 1, primo comma, lettere a) o b), accerta, sulla base di elementi di prova, che è stata posta fine alla presunta violazione, tale autorità di controllo considera il reclamo privo di oggetto. Qualora accerti che un reclamo è privo di oggetto, l’autorità di controllo di cui al paragrafo 1, primo comma, lettere a) o b), informa il reclamante, utilizzando un linguaggio semplice e chiaro: a) che è stata posta fine alla presunta violazione e considera il reclamo privo di oggetto; b) delle conseguenze della risoluzione rapida; e c) della possibilità per il reclamante di sollevare un’obiezione alla risoluzione rapida entro quattro settimane dal ricevimento di tali informazioni. 3. Nell’ambito di un procedimento dinanzi all’autorità di controllo cui è stato presentato un reclamo, qualora il reclamante non sollevi obiezioni entro il termine di cui al paragrafo 2, secondo comma, lettera c), tale autorità di controllo, entro due settimane a decorrere dalla scadenza di tale termine, conclude che il reclamo è stato risolto e ne informa il reclamante, la parte sottoposta a indagine e, se del caso, l’autorità di controllo capofila”.

Quel “privo di oggetto” andrà interpretato con attenzione, specialmente dopo che il testo diverrà definitivo e quindi pubblicato in GU UE. Di primo acchito parrebbe un reclamo “inammissibile”. In realtà, l’intento del legislatore è un altro, e se leggiamo oltre notiamo come quel “privo di oggetto” sia come se fosse “privo di sostanza”.

Nel futuro tra tempi e scadenze

Da apprezzare è lo sforzo che con tale (idea di) regolamento il legislatore intende perseguire; cioè accorciare significativamente i tempi dei reclami. Pertanto, in futuro un reclamo/indagine non dovrà durare più di “15 mesi”. Nei casi più complessi questo time-out potrà subire una proroga di 12 mesi.

In altri termini, quando il caso non è complesso, grazie a una “semplice procedura di cooperazione tra enti nazionali di protezione dei dati”, l’indagine dovrà chiudersi nell’anno.

Prossimi passi

Poiché il GDPR stabilisce da quasi un decennio un “sistema di cooperazione tra le autorità nazionali preposte alla protezione dei dati”, ecco che attraverso questo regolamento ne vediamo una concreta applicazione.

Le Autorità sono infatti tenute a cooperare quando un caso di protezione dei dati riguarda un trattamento transfrontaliero.

L’adozione da parte del Consiglio rappresenta l’ultimo passo legislativo di questa fase di bozza. Dopo di che il regolamento entrerà in vigore 20 giorni a pubblicazione in Gazzetta ufficiale dell’UE avvenuta.

Naturalmente, trattandosi di regolamento (come strumento legislativo), questo sarà applicabile un anno e mezzo dopo la sua entrata in vigore. Attendiamo gli sviluppi.