Regolamento - 27/04/2016 - n. 679 art. 41 - Controllo dei codici di condotta approvati1

Inquadramento

L'art. 41.1 GDPR prevede che: «Fatti salvi i compiti e i poteri dell'autorità di controllo competente di cui agli artt. 57 e 58, il controllo della conformità con un codice di condotta ai sensi dell'art. 40 può essere effettuato da un organismo in possesso del livello adeguato di competenze riguardo al contenuto del codice e del necessario accreditamento a tal fine dell'autorità di controllo competente».

Prima di passare all'analisi di tali organismi di cui all'art. 41, è bene precisare che la locuzione «il controllo della conformità con un codice di condotta [...] può essere effettuato» lascia intendere che tale funzione di controllo sia demandata in prima istanza alla DPA competente, ma in realtà né l'art. 57 né l'art. 58 le attribuiscono esplicitamente il compito di monitoraggio.

Infatti, l'art. 57.1.m) prevede che essa incoraggi «l'elaborazione di codici di condotta ai sensi dell'art. 40, paragrafo 1, e [fornisca] un parere su tali codici di condotta e [approvi] quelli che forniscono garanzie sufficienti, a norma dell'art. 40, paragrafo 5» ma esso, come si nota, non cita il compito di sorvegliarne l'applicazione. Anche l'art. 58.3.d) GDPR prevede tra i poteri della DPA competente solo che essa rilasci «un parere sui progetti di codici di condotta e approvarli, ai sensi dell'art. 40, paragrafo 5». Il potere di effettuare un monitoraggio rispetto alla reale applicazione dei codici di condotta sembra dunque doversi fondare sulla più generica previsione di cui all'art. 58.1.a) e (b) per cui essa può «ingiungere al titolare del trattamento e al responsabile del trattamento e, ove applicabile, al rappresentante del titolare del trattamento o del responsabile del trattamento, di fornirle ogni informazione di cui necessiti per l'esecuzione dei suoi compiti» e «condurre indagini sotto forma di attività di revisione sulla protezione dei dati».

Fatta questa premessa, l'art. 41.1, come si diceva, prevede che al fine di monitorare la conformità ai codici da parte di titolari o responsabili, le DPA possono ricorrere anche alla nomina di organismi ex art. 57.1.p) attraverso l'uso di due criteri sanciti dal medesimo art. 41.

Il primo è un criterio che si potrebbe definire “sostanziale”, fatto di requisiti tecnici; il secondo è invece più formale, ed è relativo alla nomina, giacché questi organismi devono essere accreditati dalla DPA. Combinando i menzionati requisiti, l'art. 41.2 prescrive che gli organismi abbiano una serie di caratteristiche: innanzitutto, devono aver dimostrato «in modo convincente» all'autorità di controllo di essere indipendenti e competenti riguardo al contenuto del codice (cfr. art. 41.2.a). Sorvolando sul più facilmente interpretabile requisito della competenza, tale per cui un organismo esperto di sicurezza informatica avrà più facilità a sorvegliare sull'applicazione di un codice ad essa relativo, piuttosto che su un codice relativo alle procedure stragiudiziali, il suddetto «modo convincente» (da tradursi, a parere di chi scrive, in “oggettivo e fondato”), se combinato con il requisito di indipendenza, dovrebbe potersi tradurre nel fatto che, essendo i codici di condotta proposti da associazioni o altre organizzazioni che rappresentano le categorie di titolari o di responsabili del trattamento, gli organismi devono essere svincolati da logiche di rappresentanza di interessi o, in generale, essi non devono essere parte del sistema di stakeholder che potrebbe beneficiare (o meno) dall'adozione, modifica o proroga di tali codici.

Tale requisito, a ben guardare, si combina con quello relativo all'aver dimostrato alla DPA competente che i compiti e le funzioni da essi svolti non danno adito a conflitto di interessi, in base al quale potrebbero sfavorire o favorire titolari o responsabili nell'espletamento di procedure di monitoraggio e nei loro esiti (cfr. art. 41.2.d). In secondo luogo, gli organismi devono dare dimostrazione di aver istituito procedure che gli consentano di valutare l'ammissibilità dei titolari del trattamento e dei responsabili del trattamento ad applicare il codice, così da controllare che ne rispettino le disposizioni e da riesaminarne periodicamente il funzionamento (cfr. art. 41.2.b). Questa disposizione si combina con l'art. 40.4 relativo al fatto che i codici debbano contenere anche meccanismi che consentano all'organismo di cui all'art. 41.1, di effettuare il controllo obbligatorio (ex art. 41.2.b) del rispetto delle norme del codice da parte dei titolari del trattamento o dei responsabili del trattamento che si impegnano ad applicarlo. In tal senso, il predetto requisito procede di pari passo con il contenuto stesso dei codici, che devono mettere l'organismo nella condizione di poter esercitare il proprio compito di monitoraggio e, al tempo stesso, quest'ultimo dovrà costruire i suoi meccanismi di controllo tenendo conto di quanto scritto nei codici di condotta.

Prima vengono approvati codici di condotta e poi vengono accreditati gli organismi. Del resto, non può esservi procedura di valutazione rispetto all'applicazione del codice se il codice non esiste. Ancora, l'organismo dovrà istituire procedure e strutture atte a gestire i reclami relativi a violazioni del codice o della sua attuazione da parte di un titolare o di un responsabile del trattamento, rendendo tali procedure e strutture trasparenti per gli interessati e il pubblico (cfr. art. 41.2.c). La ratio di questa previsione è in realtà il criterio fondante del compito stesso di monitoraggio, che non avrebbe senso di esistere se la mancata applicazione dei codici di condotta non fosse debitamente sanzionabile (ad es. con l'esclusione dall'adesione) a seguito di indagine da parte degli organismi o se gli interessati non avessero diritto a segnalarne l'infrazione o a reclamarne la piena applicazione. Il monitoraggio, se effettuato da un apposito organismo accreditato dalla DPA, si sostanzia non solo nella sorveglianza, ma anche nell'adozione di opportune misure ex art. 41.4 adottabili in caso di violazione del codice da parte di un titolare o di un responsabile del trattamento, tra cui, appunto, la sospensione o l'esclusione dal codice. Una volta adottate le misure, l'organismo ne dà comunque informazione all'autorità di controllo competente, motivandone l'adozione – in modo che, presumibilmente, la DPA stessa possa assicurarsi che i criteri di cui all'art. 41.2 vengano rispettati, ad esempio con riferimento all'assenza di conflitto di interessi (cfr. art. 41.2.d).

Con riferimento al secondo requisito generale di cui all'art. 41, quello dell'accreditamento “formale”, l'art. 41.3 precisa che l'autorità di controllo competente presenta al comitato il progetto di decisione relativo ai criteri per l'accreditamento dell'organismo, in ossequio al principio di coerenza. Infatti, se quelli elencati dall'art. 41.2 costituiscono dei “criteri di base”, è plausibile che ciascuna DPA competente valuterà in base ai suoi parametri la rispondenza a simili requisiti. Onde evitare che vi siano discrepanze a livello nazionale, trattandosi di criteri piuttosto generici, essi dovranno essere sottoposti a parere del comitato ex 64.1.c) in modo che esso possa assicurare omogeneità nella valutazione operata dai singoli Stati membri al fine di accreditare gli organismi di monitoraggio.

Si noti, poi, che la nomina degli organismi può essere revocata ex art. 41.5 GDPR dall'autorità di controllo qualora le condizioni per l'accreditamento non fossero più rispettate, come ad esempio la competenza, l'indipendenza o i criteri di cui all'art. 41.2, in particolare se le misure adottate dall'organismo per dare seguito alle procedure di monitoraggio violano il Regolamento – ad esempio qualora esso effettuasse dei favoritismi rispetto ai titolari/responsabili, danneggiando così l'interessato e ledendo i suoi diritti fondamentali (Bolognini, Pelino, Bistolfi).

In data 4 giugno 2019, il Comitato Europeo per la Protezione dei Dati ha adottato una versione finale delle Linee guida sui codici di condotta che, al par. 12, indicano i requisiti necessari per l'accreditamento degli organismi di monitoraggio. Quanto alla possibile struttura di questi organismi, al punto 64 delle linee guida precisa che “Esistono due principali modelli di monitoraggio utilizzabili dai titolari del codice per soddisfare i requisiti relativi all'organismo di monitoraggio: organismo di monitoraggio esterno ovvero organismo di monitoraggio interno. Nell'ambito di questi due modelli di monitoraggio è ammessa una certa flessibilità e sono proponibili versioni diverse, adeguate al contesto del codice. Quali esempi di organismi di monitoraggio interni si possono citare un comitato interno ad hoc o un dipartimento indipendente e distinto all'interno della struttura del titolare del codice. Spetterà a quest'ultimo spiegare l'approccio in materia di gestione dei rischi per quanto riguarda imparzialità e indipendenza dell'organismo”.

I requisiti richiesti dal Comitato, in particolare, sono i seguenti: indipendenza, assenza di conflitto di interessi, competenza, procedure e strutture consolidate incluso per la gestione trasparente dei reclami e per le comunicazioni con l'autorità, meccanismi di riesame ed aggiornamento, status giuridico adeguato allo svolgimento delle funzioni.

Nel caso in cui un organismo non rispetti le disposizioni applicabili del codice, l'autorità competente potrebbe revocarne l'accreditamento. Tuttavia, poiché la revoca dell'unico organismo di monitoraggio previsto in un codice comporterebbe la sospensione o la revoca del codice, per mancanza del controllo, il Comitato precisa che “se le circostanze lo permettono, la revoca dovrebbe avvenire soltanto dopo che l'autorità di controllo competente ha dato all'organismo di monitoraggio l'opportunità di affrontare urgentemente le problematiche o di apportare gli opportuni miglioramenti entro un termine concordato. Quando si tratti di codici transnazionali, l'autorità di controllo competente, prima di concordare con l'organismo di monitoraggio termini specifici per la gestione delle problematiche evidenziate, dovrebbe interpellare in merito le autorità di controllo interessate. La decisione di revocare un organismo di monitoraggio dovrebbe essere comunicata a tutte le autorità di controllo interessate e al comitato (ai sensi dell'art. 40, paragrafo 11)” (cfr. EDPB, LG 1/2019 punto 87)

Quanto ai codici di condotta del settore pubblico, le linee guida al punto 88 specificano quanto segue: “l'articolo 41, paragrafo 6, del regolamento prevede che il monitoraggio dei codici di condotta approvati non si applichi al trattamento effettuato da autorità pubbliche o da organismi pubblici. Sostanzialmente questa disposizione elimina il requisito del monitoraggio del codice da parte di un organismo accreditato, ma non riduce in alcun modo l'obbligo di mettere in atto meccanismi efficaci per monitorare un codice. A tal fine è possibile modificare requisiti esistenti in materia di audit così da includervi il monitoraggio del codice”.

Bibliografia

Bolognini, Pelino, Bistolfi, Il regolamento privacy europeo. Commentario alla nuova disciplina sulla protezione dei dati personali, Milano, 2016.