Standard uniformi per i procedimenti sanzionatori in materia di protezione dei dati: le nuove linee guida modello DSK (MRiDaVG)

26 giugno 2025

Categorie:

Protezione dei dati in Germania

Il 16 giugno 2025, la Conferenza delle autorità federali e statali indipendenti di controllo della protezione dei dati (DSK) ha adottato le Linee guida modello per la procedura di ammenda (MRiDaVG). Queste hanno lo scopo di stabilire una prassi procedurale standardizzata a livello nazionale per le autorità di controllo della protezione dei dati quando si tratta di sanzionare le violazioni della protezione dei dati ai sensi della legge. GDPR garantire.

Area di applicazione e Base giuridica

La MRiDaVG si applica in tutti i procedimenti di ammenda delle autorità di controllo indipendenti per la protezione dei dati, in conformità con la direttiva sulla protezione dei dati. GDPR applicazione. Esse riguardano sia le situazioni interne che quelle transfrontaliere e regolano espressamente il rapporto tra il diritto dell'Unione e il diritto nazionale. Particolare attenzione è rivolta al primato del diritto dell'Unione e ai principi di equivalenza ed efficacia del diritto dell'Unione.

La MRiDaVG fa esplicito riferimento ai requisiti del Comitato europeo per la protezione dei dati (EDPB) e li integra come ausilio interpretativo principale. Inoltre, vi è una chiara distinzione dai procedimenti amministrativi che non sono multe.

Principi procedurali e linee guida per l'interpretazione

Al centro del MRiDaVG ci sono massime procedurali fondamentali che mirano a garantire che i procedimenti si svolgano secondo lo stato di diritto, in modo efficace e nel rispetto del diritto dell'UE:

Priorità di applicazione e conformità al diritto dell'Unione: Le direttive chiariscono che la legislazione nazionale che è Contraddizione al GDPR non possono essere applicate nel contesto di un procedimento amministrativo per ammenda. L'unico fattore decisivo è l'applicabilità diretta e la supremazia del diritto dell'Unione, come la Corte di giustizia europea ha ripetutamente sottolineato nella sua giurisprudenza. Ciò significa anche che le disposizioni nazionali devono essere interpretate in conformità al diritto dell'Unione.
Requisito di efficacia: La struttura procedurale deve garantire che l'applicazione dei requisiti di protezione dei dati non sia ostacolata né di fatto né di diritto. Le autorità di controllo sono tenute a organizzare la loro prassi procedurale in modo tale da salvaguardare pienamente l'efficacia dei meccanismi sanzionatori del GDPR. Ciò include anche l'obbligo di evitare ritardi procedurali e di condurre indagini in tempi rapidi.
Principio di opportunità: Il MRiDaVG chiarisce che le autorità di controllo della protezione dei dati agiscono a propria discrezione quando decidono se avviare, proseguire o interrompere un procedimento per ammenda. A tal fine, i criteri di cui all'art. 83, par. 2, del RGPD, sono stati rispettati. GDPR Devono essere presi in considerazione i fattori stabiliti dalla normativa sulla protezione dei dati, come la gravità e la durata del reato o la disponibilità del responsabile del trattamento a collaborare. Ciò struttura e limita il potere discrezionale delle autorità.
Principio di sincronizzazione e parallelismo: Procedimenti amministrativi (ad es. procedimenti d'ingiunzione ai sensi dell'art. 58 par. 2 GDPR) e i procedimenti per le ammende dovrebbero generalmente essere condotti in parallelo, ma rigorosamente separati in termini di contenuto e organizzazione. Le linee guida raccomandano uno stretto coordinamento dei tempi di entrambi i procedimenti. In particolare, nel caso di procedimenti transfrontalieri ai sensi dell'art. 60 GDPR è necessario un approccio coordinato per evitare decisioni contraddittorie o ritardi procedurali.

Nel complesso, questi principi costituiscono il quadro procedurale per la prassi sanzionatoria delle autorità tedesche di controllo della protezione dei dati e, allo stesso tempo, fungono da Linee guida per l'interpretazione e l'applicazione delle disposizioni sanzionatorie sostanziali del Codice Civile. GDPR.

Responsabilità e coordinamento dei processi

Le linee guida modello sottolineano la separazione funzionale dei procedimenti amministrativi e dei procedimenti amministrativi di ammenda all'interno delle autorità di controllo della protezione dei dati. L'obiettivo è garantire una chiara distinzione organizzativa e sostanziale tra i due tipi di procedimenti, al fine di evitare conflitti di interesse e consentire un trattamento specializzato. Le unità responsabili dei procedimenti amministrativi sanzionatori dovrebbero agire in modo indipendente, in particolare per quanto riguarda le indagini e le decisioni sulle sanzioni.

Uno strumento fondamentale per un coordinamento efficiente dei procedimenti è la possibilità di trasferire la responsabilità ai sensi dell'articolo 39 dell'OWiG. Le autorità di controllo della protezione dei dati sono espressamente incoraggiate ad avvalersi di questa possibilità se serve ad accelerare, semplificare o allocare meglio le risorse. In particolare nei casi transfrontalieri ai sensi dell'art. 60 GDPR si ritiene opportuno concentrare la responsabilità sull'autorità capofila per evitare la duplicazione delle procedure e l'incertezza giuridica.

Inoltre, il MRiDaVG chiarisce che è essenziale una stretta e fiduciosa collaborazione con l'ufficio del pubblico ministero. Ciò vale in particolare per i procedimenti con multe consistenti o di rilevanza penale. Nei casi in cui si prevede una sanzione pecuniaria superiore a 10.000 euro, le autorità di controllo della protezione dei dati devono cercare attivamente il contatto con l'ufficio del pubblico ministero competente. Si raccomanda il coinvolgimento della Procura nell'udienza principale, in conformità alle linee guida, al fine di garantire efficacemente l'applicazione della legge sulla protezione dei dati, anche nei casi più complessi.

Procedura e Documentazione

La MRiDaVG regolamenta in dettaglio le singole fasi procedurali, dall'avvio alla decisione finale sulla multa. Particolare enfasi è posta su Trasparenzatracciabilità e conformità legale.

Gestione dei file: Per ogni procedura di ammenda deve essere creato un fascicolo separato, che deve essere rigorosamente separato dalle altre procedure amministrative. Questa separazione non serve solo a garantire la chiarezza organizzativa, ma anche la certezza del diritto. Documentazione. Tutti i documenti, le prove e le note rilevanti per il procedimento devono essere conservati in modo completo e consecutivo in questo fascicolo.
Indagini: Nell'ambito delle loro indagini, le autorità di controllo della protezione dei dati hanno accesso agli strumenti della legge tedesca sui reati amministrativi (OWiG) e del codice di procedura penale tedesco (StPO). Questi comprendono, in particolare, l'interrogatorio di testimoni, l'acquisizione di informazioni da terzi e la raccolta e l'analisi di prove. Nei casi transfrontalieri, si applicano anche le disposizioni dell'Accordo di cooperazione e cooperazione GDPR. Procedura di coerenza. Le indagini devono sempre essere condotte nel rispetto dei diritti procedurali delle persone interessate.
Esercizio della discrezionalità: Le autorità di vigilanza devono esercitare la loro discrezionalità per quanto riguarda l'imposizione di una multa e il suo ammontare. I criteri stabiliti dall'art. 83 comma 2 GDPR criteri elencati, quali il tipo, la gravità e la durata del reato, il dolo o la negligenza, nonché eventuali circostanze attenuanti o reati precedenti. Queste considerazioni devono essere documentate in modo comprensibile.
Preparazione della decisione: L'ordinanza amministrativa che impone l'ammenda deve soddisfare i requisiti del diritto dell'UE. L'obbligo di nominare una persona fisica come destinatario non si applica in particolare nel caso di responsabilità diretta di un'associazione. Nei procedimenti transfrontalieri, occorre inoltre garantire che la decisione amministrativa soddisfi i requisiti formali di un progetto di decisione ai sensi degli artt. 60 e 65. GDPR è sufficiente. Ciò include, tra l'altro, una giustificazione dettagliata dell'importo della multa con riferimento ai criteri discrezionali applicati e alle risultanze di fatto sottostanti.

Diffusione delle informazioni e relazioni pubbliche

Le linee guida contengono requisiti specifici per la divulgazione di informazioni al pubblico, alle autorità di vigilanza e ai registri:

Notifiche al Registro centrale del commercio: Per i reati gravi.
Relazioni con la stampa: In modo obiettivo e veritiero, nel rispetto del principio del giusto processo e della protezione dei dati delle persone interessate.
Attribuzione: È consentita solo a determinate condizioni, ad esempio se esiste già un'informativa pubblica.

Suggerimento di lettura: BfDI impone a Vodafone multe per un totale di 45 milioni di euro

Valutazione del modello di linee guida sulle pene nella pratica

L'MRiDaVG è un passo importante verso una struttura standardizzata e conforme alla legge a livello nazionale per i procedimenti sanzionatori in materia di protezione dei dati. Con le loro norme dettagliate sui principi procedurali, le responsabilità, i poteri investigativi e gli obblighi di documentazione, forniscono una guida chiara sia per le autorità di controllo che per le aziende interessate. L'armonizzazione delle procedure tra gli Stati federali dovrebbe inoltre contribuire a ridurre le differenze esistenti nelle pratiche sanzionatorie e a diminuire l'incertezza giuridica.

Per le aziende e altri soggetti Persone responsabili nel senso di GDPR Ciò significa una maggiore necessità per le aziende di rivedere i propri processi interni di conformità e di adattarli ove necessario. In particolare, per quanto riguarda i criteri discrezionali enfatizzati dal MRiDaVG nella valutazione delle ammende, sistemi interni di gestione della protezione dei dati ben fondati sono essenziali per ottenere una possibile riduzione della responsabilità.

Resta da vedere in che misura i tribunali terranno conto delle specifiche contenute nel MRiDaVG per quanto riguarda l'interpretazione e l'applicazione delle disposizioni della legge sulle ammende. In particolare, le questioni relative alla portata del primato del diritto dell'Unione, al contenuto dei poteri discrezionali o all'ammissibilità dei nomi nelle attività di pubbliche relazioni potrebbero essere oggetto di un controllo giudiziario in futuro.

Nel complesso, l'MRiDaVG rafforza la certezza del diritto per tutte le parti coinvolte nel procedimento, ma allo stesso tempo aumenta la pressione sulle organizzazioni che trattano i dati per agire. Questi organismi devono migliorare la loro organizzazione per la protezione dei dati e Documentazione coerentemente con i requisiti del GDPR e la prassi procedurale nazionale.

Fonte: Linee guida modello per la procedura delle ammende inflitte dalle autorità di controllo della protezione dei dati (MRiDaVG)

Tag:

Condividi questo post :

Categorie più popolari

Iscrivetevi alla nostra newsletter sulla protezione dei dati per ricevere gli ultimi aggiornamenti, consigli e approfondimenti direttamente nella vostra casella di posta elettronica.