Il 12 dicembre 2025 è stato pubblicato in Gazzetta ufficiale dell’Unione europea del nuovo Regolamento (UE) 2025/2518 (di seguito “Regolamento”). La sua piena applicabilità è fissata per il 2 aprile 2027, con l’obiettivo di sopperire ad alcune carenze procedurali del GDPR. Se il Regolamento sul piano sostanziale ha rappresentato uno dei progetti più innovativi e pionieristici del panorama europeo – come dimostrato dallo stesso effetto c.d. Bruxelles avutosi a seguito dell’entrata in vigore – la relativa applicazione pratica nei casi transfrontalieri è spesso risultata intricata e macchinosa, in ragione della flessibilità procedurale riconosciuta in capo ai singoli Stati membri. 

Alla luce di tali considerazioni, risulta chiaramente quale sia l’obiettivo del nuovo Regolamento, ossia l’implementazione delle tutele già sancite dal GDPR sul piano operativo-amministrativo. Tale risultato è finalizzato al superamento delle reiterate frizioni riscontratesi nel corso degli anni tra le Autorità di controllo nazionali. La principale innovazione introdotta dal Regolamento consiste nella previsione di una procedura dedicata alla gestione dei reclami e allo svolgimento delle indagini nei casi di trattamento transfrontaliero. Il Regolamento stabilisce infatti un modello procedurale uniforme, nel quale sono definite in anticipo le principali fasi del procedimento, le modalità di collaborazione tra le Autorità di controllo interessate e i termini entro i quali devono essere compiute le diverse attività. 

L’articolato del Regolamento si apre con la trattazione di uno dei nodi più importanti da sciogliere, l’atto introduttivo del procedimento e di ogni contenzioso: il reclamo. In precedenza, la ricevibilità di un’istanza dipendeva in gran parte dai requisiti formali definiti dalle singole Autorità nazionali, andandosi così a configurare una pluralità di procedure burocratiche differenziate da uno Stato all’altro. Il nuovo testo, invece, definisce dei criteri di ammissibilità uniformi nelle ipotesi di trattamenti transfrontalieri, agevolando gli stessi interessati nella presentazione del reclamo. In particolare, l’art. 4 provvede alla definizione delle informazioni che il reclamante è tenuto a fornire, tra cui le informazioni per l’identificazione del titolare o del responsabile del trattamento, la descrizione dei fatti rilevanti e l’indicazione delle disposizioni del GDPR che si presumono violate. Sarà dunque compito dell’Autorità ricevente verificare la correttezza del reclamo e l’effettiva configurazione di un’ipotesi di trattamento transfrontaliero, procedendo alla delimitazione dell’oggetto dell’indagine. 

Particolarmente interessante risulta essere il meccanismo di risoluzione rapida (o early resolution) previsto dall’art. 5 del nuovo Regolamento. L’introduzione di tale istituto risulta in linea con la tendenza del diritto amministrativo europeo di predisporre degli strumenti deflattivi e conciliativi. La sua applicabilità risulterà subordinata alla cessazione della violazione rilevata e al venir meno dell’interesse del reclamante nella persecuzione della stessa. L’obiettivo è evitare procedure complesse e dispendiose per questioni minori, permettendo alle Autorità di concentrare le proprie risorse sui casi più gravi o sistemici, assicurando al tempo stesso una soluzione rapida per l’interessato.

Al fianco delle ordinarie attività di cooperazione tra Autorità di controllo, il Regolamento introduce la c.d. cooperazione semplice, finalizzata alla gestione dei casi che, per natura e complessità, consentono una gestione più rapida. Anche questa modalità “semplificata” di cooperazione si muove nella direzione di riduzione delle tempistiche di gestione e risoluzione delle controversie, nell’ottica di un maggior efficientamento dell’intero sistema. Ad ogni modo, la cooperazione semplice risulta caratterizzarsi per un coinvolgimento diretto delle Autorità interessate e uno scambio informativo essenziale: il disposto dell’art. 6, infatti, conferisce all’Autorità di controllo capofila la possibilità di operare con maggiore rapidità nella conduzione dell’istruttoria, attribuendole la possibilità di presentare un progetto di decisione conformemente all’art. 60, par. 3, GDPR, tenendo in debita considerazione le eventuali osservazioni presentate dalle altre Autorità interessate, formulate nel rispetto di termini definiti. 

Profilo centrale del nuovo Regolamento risiede anche nel rafforzamento del diritto di essere ascoltati, disciplinato in modo puntuale dall’art. 19, sia per la parte indagata sia per il reclamante. Nei confronti dei titolari del trattamento, l’Autorità capofila sarà tenuta a notificare le contestazioni preliminari, comprendenti “i principali risultati dell’indagine ed espongono le accuse sollevate in modo esaustivo e sufficientemente chiaro per consentire alle parti sottoposte a indagine di prendere conoscenza della condotta indagata dall’autorità di controllo capofila”. 

Così facendo, viene consentito alla parte di presentare osservazioni scritte e visionare gli atti su cui si basa la procedura, garantendo una decisione finale frutto di un confronto paritario ed effettivo. Parallelamente, viene rafforzata anche la posizione del reclamante: in passato chi avviava il procedimento spesso rimaneva escluso dalle fasi decisive, ricevendo soltanto l’esito finale. Il nuovo Regolamento prevede invece che, qualora l’Autorità intenda respingere il reclamo, dovrà informare preventivamente l’interessato, illustrando le motivazioni e concedendogli un termine per presentare osservazioni. In questo modo si rafforza il collegamento tra tutela dei dati personali e il principio di buona amministrazione sancito dall’articolo 41 della Carta dei diritti fondamentali dell’Unione europea.

Il nuovo Regolamento inciderà anche sul funzionamento del meccanismo del One-Stop-Shop, introdotto con la piena entrata in vigore del GDPR. L’esperienza applicativa ha mostrato come i disaccordi tra Autorità capofila e Autorità interessate potessero rallentare notevolmente i procedimenti; il Regolamento, di contro, prevede l’introduzione di termini più stringenti e procedure più snelle per la gestione delle controversie davanti al European Data Protection Board. Il tutto, con conseguente rafforzamento dell’organo, che acquisirà una funzione più incisiva nel coordinamento e nella risoluzione dei conflitti tra Autorità di controllo nazionali. L’introduzione di scadenze precise per le diverse fasi procedurali mira a rendere più tempestiva la risposta alle violazioni dei dati, evitando che i ritardi dovuti alla complessità amministrativa compromettano l’effettività della tutela.

Il Regolamento, dunque, è da qualificarsi come una sorta di “codice di procedura privacy europeo”, finalizzato al raggiungimento di un’effettiva armonizzazione nella gestione delle procedure di reclamo dinanzi alle Autorità di controllo nazionali. 

Ovviamente, l’effettiva efficacia e valutazione del progetto saranno da rimandarsi successivamente al 2 aprile 2027, data di effettiva entrata in vigore del Regolamento.