Qualche mese fa l'EDPB ha pubblicato un nuovo registro nel quale saranno inserite tutte le decisioni prese nell'ambito della collaborazione tra l'Autorità di controllo capofila e le altre autorità. Il meccanismo del cosiddetto one-stop-shop mechanism, traducibile con sportello unico, permette semplicemente ad una Autorità cosiddetta capofila di rendere unica una decisione espressa, evitando che possa verificarsi la possibilità che un singolo trattamento, oggetto di indagine da parte di Autorità di paesi diversi, venga valutato con decisioni disomogenee, comportando la frammentazione del quadro normativo sulla privacy. Ne abbiamo parlato qui. La decisione va nella direzione di impedire che si verifichino situazioni paradossali come quella esposta precedentemente e per garantire un'applicazione armonica anche in termini di principi.

In questo quadro va vista la risoluzione adottata dal Comitato nel corso della 41° Sessione Plenaria, risoluzione votata con una maggioranza dei 2/3 e avente per oggetto una controversia ai sensi dell'art 65 del Regolamento Europeo: una decisione che ha natura vincolante e varrà in tutto il terriotorio europeo.

La vicenda prende le mosse dalla segnalazione che Twitter International Company ha inviato al Garante irlandese l'8 Gennaio 2019, una volta scoperto un bug nella sua funzione "Proteggi i tuoi tweet", a causa del quale gli utenti che hanno usato questa funzione per non rendere pubblici i propri tweet potrebbero avere subito l'esposizione dei propri dati nel web a partire dal 2014. Il Garante irlandese ha quindi eseguito indagini e accertamenti nei confronti di Twitter International Company, quindi ha prodotto un progetto di decisione che ha poi condiviso con le autorità di controllo interessate, secondo quanto disposto dall'art 60, comma 3 del GDPR. 

Secondo Regolamento, le altre Autorità di controllo avevano a disposizione 4 settimane per presentare eventuali obiezioni pertinenti e debitamente motivate e queste non sono tardate ad arrivare: alcune di queste obiezioni al progetto di decisione mettevano in dubbio alcune violazioni al GDPR individuate dal Garante irlandese, agente in questo caso come autorità di controllo capofila, ma anche sul ruolo di Twitter quale unico titolare del trattamento dei dati e sull'entità della sanzione proposta.

Il Garante Irlande, ha valutato ogni obiezione quindi le ha respinte o le ha ritenute non pertinenti e motivate: a questo punto l'Autorità capofila non ha potuto fare altro che deferire la questione al Comitato, sempre secondo disposizione dell'art.60 comma 4. Nei fatti è stata così attivata la procedura di risoluzione delle controversie.

La prima decisione ai sensi dell'art 65 del GDPR
E' così che si è arrivati per la prima volta, ad attivare quanto disposto dall'art.65 del GDPR riguardo la "Composizione delle controversie da parte del comitato", per garantire una decisione sul caso unica e valida per tutta l'UE. Secondo le disposizioni combinate di art.65 e art.11, il termine previsto oper l'adozione della decisione è di un mese, ma il Comitato ha optato per la proroga di un altro mese a causa della notevole complessità della questione. L'attivazione delle disposizioni dell'art.65 è avvenuta in data 8 Settembre e, proprio in rispetto del termine dei due mesi, il 9 Novembre 2020 il Comitato Europeo per la protezione dei dati ha adottato la propria decisione, che sarà vincolante per tutte le Autorità europee. A breve tale decisione sarà comunicata al Garante irlandese, che dovrà adottare la sua decisione definitiva sulla base di quanto deciso dal Comitato, senza ritardi ingiustificati e comunque entro un mese dalla notifica della decisione da parte del comitato stesso. L'autorità capofila e quelle di controllo intetressate dovranno comunicare al Comitato la data di notifica del provvedimento al titolare: a seguito della notifica, il Comitato darà alle pubblicazioni la sua decisione.