Il 16 giugno 2025, la Conferenza delle autorità federali e statali indipendenti di controllo della protezione dei dati (DSK) ha adottato le Linee guida modello per la procedura di ammenda (MRiDaVG). Queste hanno lo scopo di stabilire una prassi procedurale standardizzata a livello nazionale per le autorità di controllo della protezione dei dati quando si tratta di sanzionare le violazioni della protezione dei dati ai sensi della legge. GDPR garantire.
Ambito di applicazione e base giuridica
La MRiDaVG si applica in tutti i procedimenti di ammenda delle autorità di controllo indipendenti per la protezione dei dati, in conformità con la direttiva sulla protezione dei dati. GDPR applicazione. Esse riguardano sia le situazioni interne che quelle transfrontaliere e regolano espressamente il rapporto tra il diritto dell'Unione e il diritto nazionale. Particolare attenzione è rivolta al primato del diritto dell'Unione e ai principi di equivalenza ed efficacia del diritto dell'Unione.
La MRiDaVG fa espressamente riferimento alle linee guida del Comitato europeo per la protezione dei dati (EDSA) e le integra come criterio interpretativo prioritario. Inoltre, viene operata una chiara distinzione rispetto ai procedimenti amministrativi che non hanno carattere sanzionatorio.
Principi procedurali e linee guida interpretative
Al centro della MRiDaVG vi sono principi procedurali fondamentali, volti a garantire lo svolgimento dei procedimenti nel rispetto dello Stato di diritto, in modo efficace e conforme al diritto dell’Unione:
Prevalenza dell'applicazione e conformità al diritto dell'Unione: Le direttive chiariscono che la legislazione nazionale che è Contraddizione al GDPR non possono essere applicate nel contesto di un procedimento amministrativo per ammenda. L'unico fattore decisivo è l'applicabilità diretta e la supremazia del diritto dell'Unione, come la Corte di giustizia europea ha ripetutamente sottolineato nella sua giurisprudenza. Ciò significa anche che le disposizioni nazionali devono essere interpretate in conformità al diritto dell'Unione.
Principio di efficacia: L'impostazione procedurale deve garantire che l'applicazione dei requisiti in materia di protezione dei dati non sia ostacolata né di fatto né di diritto. Le autorità di controllo sono tenute a orientare la propria prassi procedurale in modo tale da garantire l'efficacia della GDPR- i meccanismi sanzionatori siano pienamente garantiti. Ciò comprende anche l’obbligo di evitare ritardi procedurali e di svolgere le indagini con tempestività.
Principio di opportunità: Il MRiDaVG chiarisce che le autorità di controllo della protezione dei dati agiscono a propria discrezione quando decidono se avviare, proseguire o interrompere un procedimento per ammenda. A tal fine, i criteri di cui all'art. 83, par. 2, del RGPD, sono stati rispettati. GDPR Devono essere presi in considerazione i fattori stabiliti dalla normativa sulla protezione dei dati, come la gravità e la durata del reato o la disponibilità del responsabile del trattamento a collaborare. Ciò struttura e limita il potere discrezionale delle autorità.
Principio di sincronia e parallelismo: Procedimenti amministrativi (ad es. procedimenti d'ingiunzione ai sensi dell'art. 58 par. 2 GDPR) e i procedimenti per le ammende dovrebbero generalmente essere condotti in parallelo, ma rigorosamente separati in termini di contenuto e organizzazione. Le linee guida raccomandano uno stretto coordinamento dei tempi di entrambi i procedimenti. In particolare, nel caso di procedimenti transfrontalieri ai sensi dell'art. 60 GDPR è necessario un approccio coordinato per evitare decisioni contraddittorie o ritardi procedurali.
Nel complesso, questi principi costituiscono il quadro procedurale per la prassi sanzionatoria delle autorità tedesche di controllo della protezione dei dati e, allo stesso tempo, fungono da Linee guida per l'interpretazione e l'applicazione delle disposizioni sanzionatorie sostanziali del Codice Civile. GDPR.
Competenze e coordinamento procedurale
Le linee guida modello sottolineano la separazione funzionale tra i procedimenti amministrativi e quelli relativi alle sanzioni pecuniarie all’interno delle autorità di controllo della protezione dei dati. L’obiettivo è garantire una chiara delimitazione, sia dal punto di vista organizzativo che sostanziale, tra i due tipi di procedimenti, al fine di evitare conflitti di interessi e consentire un trattamento specializzato. Le unità competenti per i procedimenti sanzionatori devono operare in modo autonomo, in particolare per quanto riguarda le indagini e le decisioni relative alle sanzioni.
Uno strumento fondamentale per un coordinamento efficiente dei procedimenti è la possibilità di trasferire la responsabilità ai sensi dell'articolo 39 dell'OWiG. Le autorità di controllo della protezione dei dati sono espressamente incoraggiate ad avvalersi di questa possibilità se serve ad accelerare, semplificare o allocare meglio le risorse. In particolare nei casi transfrontalieri ai sensi dell'art. 60 GDPR si ritiene opportuno concentrare la responsabilità sull'autorità capofila per evitare la duplicazione delle procedure e l'incertezza giuridica.
Inoltre, le MRiDaVG chiariscono che è indispensabile una collaborazione stretta e basata sulla fiducia con la Procura. Ciò vale in particolare nei procedimenti che comportano ammende di importo considerevole o che rivestono rilevanza penale. Nei casi in cui l’ammontare previsto delle sanzioni superi i 10.000 euro, le autorità di controllo della protezione dei dati devono cercare attivamente di entrare in contatto con la Procura competente. La partecipazione della Procura al processo è raccomandata in conformità con le linee guida, al fine di garantire efficacemente l’applicazione della normativa sulla protezione dei dati anche in casi più complessi.
Procedura e documentazione
La MRiDaVG regolamenta in dettaglio le singole fasi procedurali, dall'avvio alla decisione finale sulla multa. Particolare enfasi è posta su Trasparenzatracciabilità e conformità legale.
Gestione dei fascicoli: Per ogni procedimento sanzionatorio deve essere creato un fascicolo separato, da tenere rigorosamente distinto dagli altri procedimenti amministrativi. Tale separazione non serve solo a garantire chiarezza organizzativa, ma anche a garantire la certezza del diritto Documentazione. Tutti i documenti, gli elementi di prova e le annotazioni rilevanti ai fini del procedimento devono essere conservati in questo fascicolo in modo completo e in ordine cronologico.
Indagini: Nell’ambito delle loro indagini, le autorità di controllo della protezione dei dati hanno accesso agli strumenti previsti dalla legge sulle infrazioni amministrative (OWiG) e dal codice di procedura penale (StPO). Tra questi figurano, in particolare, l’interrogatorio dei testimoni, la raccolta di informazioni presso terzi, nonché l’acquisizione e l’analisi degli elementi di prova. Nei casi transfrontalieri si applicano inoltre le disposizioni della GDPR-Cooperazione e Procedura di coerenza. Le indagini devono sempre essere condotte nel rispetto dei diritti procedurali delle persone interessate.
Esercizio della discrezionalità: Le autorità di vigilanza devono esercitare la loro discrezionalità per quanto riguarda l'imposizione di una multa e il suo ammontare. I criteri stabiliti dall'art. 83 comma 2 GDPR criteri elencati, quali il tipo, la gravità e la durata del reato, il dolo o la negligenza, nonché eventuali circostanze attenuanti o reati precedenti. Queste considerazioni devono essere documentate in modo comprensibile.
Preparazione della decisione: L'ordinanza amministrativa che impone l'ammenda deve soddisfare i requisiti del diritto dell'UE. L'obbligo di nominare una persona fisica come destinatario non si applica in particolare nel caso di responsabilità diretta di un'associazione. Nei procedimenti transfrontalieri, occorre inoltre garantire che la decisione amministrativa soddisfi i requisiti formali di un progetto di decisione ai sensi degli artt. 60 e 65. GDPR è sufficiente. Ciò include, tra l'altro, una giustificazione dettagliata dell'importo della multa con riferimento ai criteri discrezionali applicati e alle risultanze di fatto sottostanti.
Diffusione delle informazioni e relazioni pubbliche
Le linee guida contengono indicazioni specifiche sulla comunicazione delle informazioni al pubblico, alle autorità di vigilanza e agli uffici di registrazione:
Notifiche al Registro centrale del commercio: In caso di violazioni gravi.
Relazioni con la stampa: In modo oggettivo e veritiero, nel rispetto del principio del processo equo e della tutela dei dati personali degli interessati.
Attribuzione: Ammissibile solo a determinate condizioni, ad esempio in caso di copertura mediatica già esistente.
Suggerimento di lettura: Il BfDI infligge a Vodafone sanzioni amministrative per un importo di 45 milioni di euro
Valutazione delle linee guida modello sulle sanzioni amministrative nella pratica
Le MRiDaVG rappresentano un passo importante verso una disciplina uniforme a livello federale e giuridicamente certa dei procedimenti sanzionatori in materia di protezione dei dati. Grazie alle loro disposizioni dettagliate in materia di principi procedurali, competenze, poteri investigativi e obblighi di documentazione, offrono un chiaro orientamento sia alle autorità di controllo che alle imprese interessate. L’armonizzazione delle procedure tra i Länder dovrebbe inoltre contribuire a ridurre le differenze finora esistenti nella prassi sanzionatoria e a diminuire le incertezze giuridiche.
Per le aziende e altri soggetti Persone responsabili nel senso di GDPR ciò comporta una maggiore necessità di rafforzare le loro interne Conformità-verificare i processi e, se necessario, adeguarli. Soprattutto alla luce dei criteri discrezionali sottolineati nella MRiDaVG in materia di determinazione delle sanzioni pecuniarie, è indispensabile disporre di solidi sistemi interni di gestione della protezione dei dati per ottenere un’eventuale riduzione della responsabilità.
Resta da vedere in che misura i tribunali terranno conto delle precisazioni contenute nella MRiDaVG in merito all’interpretazione e all’applicazione delle disposizioni in materia di sanzioni amministrative. Proprio le questioni relative alla portata della prevalenza del diritto dell’Unione, alla definizione sostanziale del potere discrezionale esercitato in conformità ai propri doveri o all’ammissibilità della menzione dei nomi nelle attività di comunicazione pubblica potrebbero in futuro diventare oggetto di riesame giudiziario.
Nel complesso, la MRiDaVG rafforza la certezza del diritto per tutte le parti coinvolte nel procedimento, ma allo stesso tempo aumenta la pressione sulle autorità che trattano i dati affinché agiscano. Queste ultime devono adeguare la propria organizzazione in materia di protezione dei dati e Documentazione coerentemente con i requisiti del GDPR e la prassi procedurale nazionale.
German 
English 
Italian 
French