Affinchè il GDPR possa avere un valore effettivo in Europa, con una applicazione più omogenea possibile tra gli stati membri, occorre centralizzare alcune funzioni. Ad esempio, se una azienda viene ritenuta inadempiente rispetto agli obblighi previsti dal GDPR, buon senso vorrebbe che tale decisione fosse valida in tutto il territorio europeo, senza che si possa presentare il caso per cui una Autorità nazionale decida in maniera diversa o esprima parere opposto. La decisione dell'European Data Protection Board va nella direzione di impedire che si verifichino situazioni paradossali come quella esposta precedentemente e per garantire un'applicazione armonica anche in termini di principi.

L'EDPB ha quindi pubblicato un nuovo registro nel quale saranno inserite tutte le decisioni prese nell'ambito della collaborazione tra l'Autorità di controllo capofila e le altre autorità. Il meccaismo del cosiddetto one-stop-shop mechanism, traducibile con sportello unico, permette semplicemente ad una Autorità cosiddetta capofila di rendere unica una decisione espressa in caso di trattamenti da parte di uno stesso organo di più stati membri. La decisione risolve il problema collegato alla possibilità che un singolo trattamento potesse essere oggetto di indagine da parte di Autorità di paesi diversi, con alto rischio di incorrere in decisioni disomogenee e di frammentare il quadro normativo sulla privacy.

L'art 56 del GDPR è molto chiaro sul tema:
"Fatto salvo l'articolo 55, l'autorità di controllo dello stabilimento principale o dello stabilimento unico del titolare e del trattamento o responsabile del trattamento è competente ad agire in qualità di autorità di controllo capofila per i trattamenti transfrontalieri effettuati dal suddetto titolare del trattamento o responsabile del trattamento, secondo la procedura di cui all'articolo 60."

Il meccanismo viene specificato, nel suo funzionamento, dall'art 60 del GDPR che dettaglia le modalità di cooperazione tra l'Autorità capofila e le altre Autorità. L'Autorità capofila ha l'obbligo di comunicare alle Autorità interessate le informazioni utili su un determinato caso, così come quello di presentare un progetto di decisione: questo al fine di ottenere un parere dalle Autorità interessate. Queste ultime possono presentare anche obiezioni riguardo al progetto di decisione: l'Autorità capofila dovrà quindi presentare una nuova decisione che tenga conto delle obiezioni presentate oppure, in caso dovesse valutare non motivate o non pertinenti le obiezioni, adirà al Comitato Europeo per la Protezione dei Dati così da garantire il principio di coerenza.

Cosa cambia
Rispetto al quadro precedente al GDPR, lo sportello unico garantirà una unica e omogenea applicazione dei principi del regolamento in caso di trattamenti che riguardino più stati: la decisione emessa da un'autorità nazionale che agisce in qualità di capofila diverrà infatti valida per tutto il territorio dell'UE.

Ovviamente non tutti i problemi sono risolti: l'art 50, per determinate quale sarà considerata Autorità capofila, riferisce allo stabilimento principale (o singolo) del responsabile o del titolare del trattamento: questo potrebbe indurre alcuni a scegliere la sede dello stabilimento tenendo conto degli orientamenti più favorevoli ai propri interessi dell'Autorità di controllo. Su questo il nostro ex Garante Soro ha specificato che il problema è ovviabile solo valorizzando al meglio la cooperazione fra le varie Autorità nazionali.

Il registro in breve
Al momento il registro contiene 110 decisioni finali, quasi tutte relative ai diritti degli interessati e alla liceità dei trattamenti: un accesso diretto e immediato a informazioni preziosissime per aziende e professionisti della protezione dati. Nel registro sono specificate anche Aurotità capofila, Autorità interessate e la disposizione del GDRP che funge da base legale della decisione stessa.

Il registro è consultabile a questo link