Chi gestisce dati personali in più Paesi europei conosce bene la sensazione di muoversi su terreni diversi pur partendo dalla stessa mappa. Il GDPR è un regolamento uniforme, valido in tutti gli Stati membri senza necessità di recepimento nazionale, eppure nella pratica quotidiana le sue disposizioni vengono lette, ponderate e applicate in modo tutt’altro che omogeneo da un’autorità di controllo all’altra. Una base giuridica ritenuta solida in Germania può essere valutata con riserve in Francia; un’informativa considerata adeguata dal Garante italiano può non superare lo stesso scrutinio in Olanda. Questa disomogeneità applicativa non è un’impressione diffusa tra i professionisti del settore: è un dato strutturale, documentato negli anni da operatori, associazioni di categoria e dalla stessa letteratura giuridica europea. L’EDPB, il Comitato europeo per la protezione dei dati, ha deciso di affrontarla con uno strumento diretto: un modulo di contatto dedicato, reso disponibile il 24 giugno 2026, attraverso cui imprese, DPO, consulenti e qualsiasi portatore di interessi possono segnalare presunte divergenze tra le posizioni delle autorità nazionali o tra queste ultime e le linee guida ufficiali del Board.
Un canale formale per le incongruenze applicative
Lo strumento nasce come attuazione concreta degli impegni assunti dall’EDPB con la Dichiarazione di Helsinki, adottata il 2 luglio 2025. Quel documento programmatico aveva fissato una serie di priorità per rafforzare la coerenza nell’applicazione del GDPR e migliorare il dialogo con gli operatori del settore: tra i punti previsti, esplicitamente, la creazione di un percorso attraverso cui gli stakeholder potessero portare all’attenzione del Board le aree di maggiore frizione interpretativa. Il modulo appena lanciato è la traduzione operativa di quell’impegno, disponibile sul sito istituzionale dell’EDPB nella sezione dedicata ai contatti, con una scheda specifica per le segnalazioni di incoerenza.
Il meccanismo di funzionamento è deliberatamente semplice.
Le segnalazioni ricevute non daranno luogo a risposte individuali: l’EDPB le raccoglierà, le aggregherà con cadenza periodica e le sottoporrà a discussione collegiale tra i propri membri, con l’obiettivo di valutare se e come intervenire per ridurre le divergenze rilevate. Si tratta, nella sostanza, di un sistema di ascolto strutturato con finalità sistemiche: lo scopo dichiarato è alimentare il processo decisionale interno del Board, non avviare procedimenti nei confronti delle singole autorità nazionali. Chi segnala lo fa, presumibilmente, nell’interesse di ottenere nel tempo un quadro applicativo più prevedibile, senza aspettarsi un riscontro diretto sulla propria specifica situazione.
Otto anni di GDPR e la questione irrisolta della coerenza
La rilevanza di questa iniziativa va letta sullo sfondo di quanto accaduto dall’entrata in vigore del regolamento nel maggio 2018 ad oggi. In quasi otto anni di applicazione, il GDPR ha dimostrato una solidità normativa indubitabile sul piano della struttura e dei principi, ma ha anche rivelato una fragilità ricorrente sul piano dell’uniformità applicativa tra le ventisei autorità di controllo nazionali che compongono il sistema europeo di enforcement. Le ragioni sono molteplici e non tutte facilmente eliminabili: differenze nelle tradizioni giuridiche nazionali, nelle risorse disponibili alle singole autorità, nei modelli organizzativi interni e nelle priorità d’azione che ciascuna DPA sceglie di darsi. Il meccanismo del one-stop-shop, pensato per semplificare la gestione dei casi transfrontalieri attraverso un’autorità capofila, ha attenuato alcuni problemi ma non ha risolto la variabilità interpretativa di fondo, che riguarda soprattutto le questioni di portata generale piuttosto che i singoli procedimenti. L’EDPB dispone già di strumenti per intervenire su queste divergenze – linee guida, pareri ex articolo 64, decisioni vincolanti nei casi di disaccordo tra autorità – ma questi strumenti sono attivati su iniziativa dello stesso Board o delle DPA, non su segnalazione diretta degli operatori privati. Il modulo introdotto oggi colma parzialmente questo gap, aprendo un canale bottom-up in un sistema che fino ad ora ha funzionato prevalentemente in senso inverso.
L’iniziativa si colloca in un momento in cui l’EDPB ha moltiplicato le proprie attività sul fronte della standardizzazione: nei mesi precedenti il Board ha adottato un template comune per le notifiche di data breach, avviato la consultazione pubblica sulle linee guida per il trattamento dei dati nella ricerca scientifica e lanciato per il 2026 un’azione coordinata di enforcement focalizzata sugli obblighi di trasparenza e informazione agli interessati. Il modulo per le segnalazioni di incongruenza si inserisce in questo percorso come strumento complementare, orientato a raccogliere dall’esterno il tipo di informazioni che le istituzioni, da sole, faticano a sistematizzare.
