Dixon: il GDPR non regge i nodi sistemici

Quando si presenta un reclamo sulla privacy contro Facebook, Instagram, WhatsApp o TikTok, il fascicolo non finisce sul tavolo dell’autorità nazionale. Va a Dublino. La Data Protection Commission irlandese gestisce quasi tutta l’applicazione del GDPR contro le grandi piattaforme globali, e chi l’ha guidata negli anni più intensi ha appena riconosciuto che il sistema non funziona quando in gioco ci sono i problemi più profondi. Helen Dixon ha detto questo mese, a un evento della Law Society, che il GDPR «non è sempre utile per le questioni sistemiche» (Law Society of Ireland).

È un’ammissione pesante proprio perché arriva da chi ha diretto l’enforcement irlandese nella fase in cui il regolamento europeo è passato dalle promesse alla prova dei fatti, facendo emergere una tensione strutturale maturata in otto anni.

Come una città è diventata la capitale europea della privacy

Il GDPR ha introdotto, all’articolo 56, il meccanismo dello «sportello unico» (EUR-Lex). L’idea era pragmatica: invece di costringere un’impresa a confrontarsi con 27 autorità nazionali diverse, l’autorità del Paese in cui si trova la sede principale europea gestisce tutti i casi transfrontalieri. Apple, Google, Meta, TikTok, LinkedIn e Microsoft hanno scelto l’Irlanda per i quartier generali europei. Così la DPC è diventata, di fatto, il regolatore europeo della privacy per gran parte dell’industria tecnologica (anonym.community).

La macchina dell’enforcement passa dalla cooperazione prevista dall’articolo 60. La DPC, in qualità di autorità capofila, indaga su un reclamo e prepara una bozza di decisione, che poi condivide con tutte le altre autorità nazionali interessate dal caso, le cosiddette Concerned Supervisory Authorities. Se queste sollevano obiezioni, cosa che accade spesso, la controversia sale al Comitato europeo per la protezione dei dati, che adotta una decisione vincolante (EUR-Lex). È un po’ come un tribunale in cui Dublino scrive la sentenza, ma altri 26 giudici possono mettere il veto sulla pena.

Il sistema doveva impedire alle imprese di scegliersi il regolatore più accomodante. Nella pratica ha prodotto un problema diverso: un’autorità di medie dimensioni è diventata il collo di bottiglia dell’applicazione delle regole per un intero continente.

Grandi multe, incassi lenti

La DPC ha emesso circa l’80% di tutte le grandi sanzioni europee contro il settore tecnologico nell’ambito del GDPR (anonym.community). Le cifre più visibili sono 1,2 miliardi di euro contro Meta per i trasferimenti illeciti di dati degli utenti europei verso gli Stati Uniti, 530 milioni di euro contro TikTok per avere consentito a ingegneri cinesi di accedere a dati europei, e 310 milioni di euro contro LinkedIn per profilazione comportamentale illegale (anonym.legal).

Comminare una multa e incassarla, però, sono due mestieri diversi. Le società impugnano quasi tutte le decisioni rilevanti, e i tribunali irlandesi possono sospendere il pagamento mentre il contenzioso procede. Il divario tra le sanzioni annunciate e il denaro effettivamente riscosso resta ampio. Le altre autorità nazionali hanno vincoli propri: il sistema di cooperazione dell’articolo 60 permette ai regolatori più piccoli di sollevare obiezioni, ma non di agire autonomamente sui casi transfrontalieri che riguardano queste società. Osservano, mentre Dublino decide.

Una correzione con scadenza

Un nuovo regolamento procedurale sul GDPR, che entrerà in vigore nell’aprile 2027, introduce un termine di 15 mesi entro il quale le autorità capofila dovranno presentare le bozze di decisione nei casi transfrontalieri (Netguardia). Con il sistema attuale, le indagini si sono trascinate per anni. La multa da 1,2 miliardi di euro contro Meta ha richiesto cinque anni dal reclamo iniziale alla decisione finale. La riforma fissa anche tempi più chiari per la presentazione delle obiezioni da parte delle Concerned Supervisory Authorities e per il trasferimento delle controversie al Comitato europeo per la protezione dei dati (Netguardia).

La correzione procedurale affronta il problema della lentezza. Non tocca però l’asimmetria di fondo: una singola autorità nazionale, sottoposta ai tribunali irlandesi e al diritto amministrativo irlandese, porta sulle spalle la responsabilità regolatoria di piattaforme che servono 450 milioni di europei. Il riconoscimento di Dixon, secondo cui l’impianto fatica davanti alle questioni sistemiche (Law Society of Ireland), indica ciò che la riforma del 2027 lascia intatto. Le decisioni potranno arrivare prima, ma continueranno a passare dallo stesso canale stretto. La domanda da seguire è se l’Europa finirà per ripensare quel canale, invece di limitarsi ad accelerare il traffico che lo attraversa.