Come presentare la segnalazione al Garante Privacy con l'AI

I passaggi

1. 1.

   Inquadramento dei presupposti

   La segnalazione può essere presentata da chiunque ravvisi una violazione, senza necessità di dimostrare una lesione diretta e personale come richiesto per il reclamo. Occorre verificare che il trattamento contestato ricada nell'ambito di applicazione del GDPR o del Codice Privacy aggiornato. È essenziale che l'oggetto della segnalazione sia circostanziato e riguardi condotte specifiche, anche di natura sistemica, poste in essere da un titolare o responsabile del trattamento. Si consiglia di valutare preliminarmente se la condotta violi i principi di liceità, correttezza e trasparenza stabiliti dall'art. 5 del GDPR. L'uso dell'AI tramite prompt mirati può assistere nell'individuare rapidamente i riferimenti normativi tra l'art. 144 del Codice e il GDPR.

2. 2.

   Identificazione dei soggetti

   L'atto deve contenere i dati identificativi completi del segnalante e gli elementi necessari a individuare univocamente il titolare (data controller) o il responsabile del trattamento (data processor). È necessario indicare la denominazione sociale, la sede legale o l'indirizzo del soggetto segnalato per consentire all'Autorità di avviare l'istruttoria. Se il segnalante richiede la riservatezza della propria identità, deve motivare tale istanza espressamente, fermo restando che il Garante deve garantire i diritti di difesa della controparte. L'assenza di dati identificativi del titolare può rendere la segnalazione inammissibile per impossibilità di procedere.

3. 3.

   Descrizione circostanziata dei fatti

   Si deve procedere a una narrazione analitica degli eventi, specificando tempi, luoghi e modalità del trattamento dei dati ritenuto illegittimo. È fondamentale allegare ogni prova documentale disponibile, quali screenshot, messaggi di posta elettronica, log di sistema o contratti, per fornire un riscontro oggettivo. La descrizione non deve essere generica ma deve permettere al Garante di comprendere esattamente quale operazione di trattamento sia oggetto di doglianza. Una ricostruzione fattuale precisa è la condizione necessaria per consentire all'ufficio di esercitare i poteri ispettivi previsti dal Regolamento n. 1/2019. Strumenti di AI possono essere utilizzati per sintetizzare cronologicamente i fatti a partire dalla documentazione raccolta.

4. 4.

   Individuazione dei profili di illiceità

   Il professionista deve ricollegare i fatti esposti alle violazioni delle norme del GDPR o del Codice Privacy, citando espressamente le disposizioni che si assumono violate. Sebbene il Garante operi una qualificazione giuridica autonoma, un'argomentazione tecnica solida facilita l'accoglimento della segnalazione e orienta l'attività di controllo. Occorre evidenziare se la violazione riguardi la mancanza di idonea base giuridica, l'inosservanza dell'obbligo di informativa o il mancato rispetto dei diritti dell'interessato. L'analisi deve tener conto della giurisprudenza e delle linee guida delle autorità di controllo europee. Attraverso appositi prompt, l'AI può supportare l'individuazione delle violazioni specifiche basandosi sulla descrizione dei fatti.

5. 5.

   Sollecitazione dell'intervento del Garante

   In questa fase si richiede formalmente al Garante di esercitare i poteri correttivi e sanzionatori di cui all'art. 58 del GDPR. Si può sollecitare l'adozione di provvedimenti quali l'ammonimento, l'ingiunzione a conformare il trattamento o il divieto temporaneo o definitivo di trattamento dei dati. È utile precisare l'urgenza dell'intervento qualora il trattamento illecito rischi di produrre danni gravi e irreparabili alla collettività o a categorie di interessati. La richiesta deve essere formulata in modo coerente con i poteri attribuiti dalla norma per evitare istanze improprie o esorbitanti.

6. 6.

   Trasmissione e sottoscrizione

   La segnalazione deve essere datata e sottoscritta dal segnalante, preferibilmente tramite firma digitale per garantirne l'integrità e la paternità. L'invio deve avvenire tramite Posta Elettronica Certificata (PEC) all'indirizzo istituzionale del Garante o tramite raccomandata con avviso di ricevimento. È necessario assicurarsi che tutti gli allegati siano in formati leggibili e che la dimensione della busta telematica non superi i limiti tecnici previsti. La trasmissione tramite PEC assicura la certezza legale della data di deposito. Ai sensi dell'art. 11 del Regolamento del Garante n. 1/2019, l'ufficio effettua una valutazione preliminare di ammissibilità e decide se avviare l'istruttoria, diversamente dal reclamo, in cui sono previsti termini certi di conclusione del procedimento (3 mesi per informare sullo stato o esito ex art. 77 GDPR), aspetto che costituisce una differenza fondamentale rispetto alla segnalazione.

Base giuridica: art. 144 D.Lgs. 196/2003art. 57 GDPRart. 58 GDPR