Se il binomio GDPR e privacy riguarda l’attività di ogni organizzazione, la gestione dei nuovi iter istruttori europei diventa fondamentale per tutti i soggetti coinvolti in trattamenti di dati su scala sovranazionale.

Il Regolamento (UE) 2016/679 prevede il meccanismo dello sportello unico: nei casi di trattamento transfrontaliero il titolare o il responsabile dialoga con l’autorità capofila, ovvero quella dello Stato in cui si trova lo stabilimento principale, mentre le altre autorità interessate partecipano al procedimento.

Questo sistema di cooperazione ha prodotto negli anni tempistiche incerte e prassi difformi tra i vari Stati membri.

L’introduzione del Regolamento (UE) 2025/2518 interviene su questo punto definendo norme procedurali comuni per tutti i Paesi dell’Unione.

Gli obblighi sostanziali rimangono quelli previsti dal quadro normativo originario: base giuridica del trattamento, informative, misure di sicurezza, registro dei trattamenti e notifica delle violazioni entro 72 ore. A cambiare in modo significativo sono le modalità di gestione dei reclami e le garanzie procedurali riconosciute alle parti.

GDPR e privacy: le novità della riforma per le tutele transfrontaliere

Le recenti disposizioni armonizzano le tutele per i trattamenti transfrontalieri, sia che l’istruttoria nasca da un reclamo di un cittadino, sia che derivi da un’indagine avviata d’ufficio.

Approvato il 26 novembre 2025 e pubblicato nella Gazzetta ufficiale dell’Unione europea il 12 dicembre, il Regolamento (UE) 2025/2518 integra la disciplina della privacy nel GDPR senza modificare il Capo VII relativo alla cooperazione tra autorità.

Le novità principali introdotte dal legislatore europeo si articolano su cinque pilastri operativi:

  • la definizione di criteri uniformi di ricevibilità formale delle istanze;
  • l’introduzione dell’istituto della risoluzione rapida per definire bonariamente i casi minori;
  • il fissaggio di termini procedurali vincolanti per la conclusione delle indagini svolte dall’autorità capofila;
  • la garanzia di regole certe sul contraddittorio e per l’accesso delle parti agli atti del procedimento;
  • l’adozione di un fascicolo di cooperazione elettronico condiviso tra tutte le autorità di controllo europee.

La combinazione di questi elementi garantisce ai titolari e ai responsabili del trattamento procedimenti trasparenti e con scadenze temporali certe fin dal momento di avvio dell’indagine.

Reclami e istruttorie: cosa prevede il nuovo regolamento UE sulla privacy

Fino ad oggi la forma e il contenuto dei reclami erano rimessi alle differenti regole procedurali nazionali.

L’articolo 4 del Regolamento (UE) 2025/2518 introduce un elenco di requisiti minimi e uniformi per presentare un reclamo transfrontaliero in qualunque Stato membro. L’istanza deve contenere il nome e i dati di contatto del reclamante, gli elementi per identificare il titolare o il responsabile e la descrizione della presunta violazione.

Gli enti senza scopo di lucro che agiscono per conto degli interessati devono dimostrare la propria regolare costituzione e il mandato ricevuto.

Gli organismi di controllo non possono esigere ulteriori elementi di contenuto sostanziale per dichiarare ammissibile il reclamo. Continuano comunque ad applicarsi le modalità e i requisiti amministrativi previsti dal diritto processuale nazionale.

In caso di reclamo incompleto, l’organo adito lo dichiara irricevibile entro due settimane.

Se il reclamo è ammissibile e di natura transfrontaliera, l’autorità che lo riceve lo trasmette alla capofila entro le 6 settimane successive, informando contestualmente la parte indagata in merito agli elementi principali della contestazione.

Risoluzione rapida: casi ammessi e tempi

Tra le innovazioni di maggiore interesse per le aziende rientra la definizione concordata dei procedimenti prevista dall’articolo 5.

In sintonia con l’orientamento comunitario volto a favorire l’impiego di strumenti conciliativi, la risoluzione anticipata si applica quando la presunta condotta illecita viene interrotta e il segnalante non ha più interesse a procedere.

Questa misura permette di estinguere le contestazioni secondarie, senza attivare complesse istruttorie formalizzate. L’iter procedurale prevede passaggi e tempistiche scandite:

  • l’autorità raccoglie le prove dell’avvenuta cessazione della violazione e qualifica il reclamo come privo di fondamento;
  • il reclamante riceve la comunicazione e dispone di un termine di 4 settimane per presentare eventuale opposizione;
  • in assenza di obiezioni, l’autorità definisce la pratica entro 2 settimane se gestita a livello locale, oppure entro 4 settimane se pendente presso la capofila.

L’applicazione della chiusura anticipata lascia impregiudicati i poteri correttivi e sanzionatori spettanti alle autorità di controllo previsti dall’articolo 58 del GDPR.

Termini dell’indagine: il raccordo tra i regolamenti sulla privacy

La disciplina previgente in materia di privacy e GDPR stabiliva che l’autorità capofila dovesse trasmettere il progetto di decisione senza indugio, ma non fissava un limite temporale massimo per l’intera istruttoria.

Il Regolamento (UE) 2025/2518 impone un termine ordinario di 15 mesi dalla conferma della competenza per completare l’indagine. Soltanto nei casi caratterizzati da una spiccata complessità è ammessa una sola proroga eccezionale fino a 12 mesi, da notificare preventivamente alle altre autorità.

Per le controversie di minore complessità, qualificate come cooperazione semplice, la scadenza per la presentazione del progetto di decisione scende a 12 mesi, con una proroga massima di 2 nel caso in cui il diritto nazionale richieda ulteriori adempimenti procedurali.

Questo sistema di termini perentori evita l’incertezza dei procedimenti illimitati e permette alle aziende di programmare la propria gestione del rischio legale con tempistiche e scadenze definite.

Contraddittorio, fascicolo e riservatezza dei documenti

In passato la protezione dei dati soffriva dell’assenza di norme procedurali comuni europee sul diritto di difesa, affidando le garanzie ai singoli ordinamenti nazionali con conseguenti disparità operative.

Il Regolamento (UE) 2025/2518 impone ora alla capofila l’obbligo di notificare le conclusioni preliminari prima di adottare una decisione sfavorevole. Il documento di contestazione deve illustrare in modo dettagliato i fatti accertati, le fonti di prova, le qualificazioni giuridiche e le sanzioni o le misure correttive ipotizzate.

Il titolare o il responsabile del trattamento sottoposto ad indagine beneficia di precise garanzie procedurali

  • l’accesso completo al fascicolo amministrativo tenuto dall’autorità di controllo;
  • la concessione di un termine compreso tra 3 e 6 settimane per depositare memorie scritte o chiedere un’audizione;
  • la notifica preventiva al reclamante qualora l’autorità intenda disporre l’archiviazione del caso; il diritto del segnalante di esprimere le proprie osservazioni entro un termine prestabilito prima della decisione finale;
  • la tutela della riservatezza dei segreti commerciali presenti all’interno della documentazione aziendale acquisita.

Questo insieme di garanzie assicura un effettivo bilanciamento tra il diritto di difesa del soggetto indagato, le prerogative di tutela del segnalante e l’esigenza di riservatezza delle informazioni aziendali sensibili.

Cosa fare prima del 2 aprile 2027

Il nuovo impianto procedurale si applicherà a decorrere dal 2 aprile 2027 per tutte le indagini e i reclami avviati successivamente a tale data.

Per farsi trovare pronte, le organizzazioni dovrebbero strutturare il proprio percorso di adeguamento attraverso alcuni interventi prioritari:

  • documentare lo stabilimento principale per individuare preventivamente l’autorità capofila ed evitare contestazioni di competenza;
  • aggiornare i flussi di risposta alle richieste degli utenti, garantendo il ripristino immediato della conformità per accedere alla risoluzione rapida;
  • organizzare un archivio digitale integrato che raccolga registri, valutazioni d’impatto, contratti e policy di sicurezza pronte per l’esibizione;
  • definire una procedura interna di gestione dei contenziosi in grado di rispondere alle contestazioni dell’autorità entro i termini previsti.

L’adozione preventiva di queste misure attua compiutamente il principio di responsabilizzazione previsto dal regolamento GDPR e garantisce un’efficace difesa in caso di procedimenti amministrativi.

FAQ – GDPR privacy e regolamento UE 2025/2518: guida pratica perle imprese

1. Che cos’è il Regolamento UE 2025/2518 e a chi si rivolge?

È un regolamento che definisce norme procedurali uniche per tutte le autorità di controllo europee, armonizzando le indagini e i reclami transfrontalieri. Si rivolge agli organismi di vigilanza, definendo al contempo diritti e garanzie per tutte le parti del procedimento: i soggetti reclamanti da un lato, le imprese e le organizzazioni indagate dall’altro.

2. Il nuovo regolamento modifica gli obblighi sostanziali del GDPR?

No, gli obblighi sostanziali previsti dal GDPR restano invariati (basi giuridiche, informative, misure di sicurezza, registro dei trattamenti e notifica delle violazioni entro 72 ore). La novità riguarda esclusivamente le regole procedurali, la gestione dei reclami e le garanzie nei procedimenti di controllo.

3. Quali sono i tempi massimi per la conclusione delle indagini?

L’autorità capofila deve completare l’indagine entro un termine ordinario di 15 mesi (prorogabile una sola volta fino a 12 mesi per casi complessi). Per le controversie di minore complessità, il termine scende a 12 mesi (con proroga massima di 2 mesi).

4. Che cos’è la “risoluzione rapida” dei procedimenti?

È uno strumento conciliativo che permette di chiudere i casi minori in tempi brevi quando la violazione viene interrotta e il segnalante non ha più interesse a procedere. Consentendo la definizione bonaria della pratica, evita l’avvio di complesse istruttorie formalizzate.

5. Da quando si applicano le nuove norme e cosa occorre fare prima della scadenza? Le nuove regole saranno efficaci dal 2 aprile 2027 per i procedimenti avviati dopo tale data. Entro questo termine, le organizzazioni devono individuare lo stabilimento principale, velocizzare i flussi di risposta agli utenti, organizzare un archivio digitale integrato e definire procedure interne per la gestione dei contenziosi.