Con sentenza del 18 marzo 2026, n. 4153, il Tribunale di Roma ha annullato il provvedimento del Garante per la protezione dei dati personali n. 755 del 2 novembre 2024, ritenendo che l’Autorità abbia adottato un’incorretta interpretazione degli articoli del GDPR in tema di applicazione del meccanismo dello sportello unico per il trattamento transfrontaliero dei dati.
Con il provvedimento n. 755/2024, Il Garante ha sanzionato una società con sede negli Stati Uniti e operante nel settore della ricerca, poiché ha diffuso un software di intelligenza artificiale all’interno dello Spazio economico europeo (SEE) non rispettando le norme europee in materia di protezione dei dati personali.
L’Autorità italiana ha avviato il procedimento nel gennaio 2024, quando la società statunitense non aveva alcuna sede nel SEE. A partire dal 15 febbraio 2024, tuttavia, tale società ha costituito una filiale in Irlanda, rendendo competente ad indagare sulle sue violazioni transfrontaliere l’autorità irlandese. Il meccanismo dello sportello unico ha infatti la finalità di individuare un’unica autorità competente e, in base alle norme del GDPR, essa è quella della sede principale o unica del titolare del trattamento.
La società, pertanto, ha fatto ricorso al Tribunale di Roma, contestando la legittimità del provvedimento del Garante italiano, poiché assunto in violazione delle norme sul riparto di competenze tra autorità europee ai sensi degli articoli 55 e 56 del GDPR e sul meccanismo dello sportello unico disciplinato dall’art. 60 del GDPR.
L’Autorità convenuta ha affermato la legittimità del proprio provvedimento poiché esso accerta violazioni commesse prima del 15 febbraio 2024, data a partire dalla quale l’autorità irlandese è divenuta competente. Secondo la sua interpretazione, infatti, alle violazioni commesse prima di tale data non si applica il meccanismo dello sportello unico, il quale può “essere applicato solo in caso di violazioni in corso o continuate e non in relazione a violazioni concluse”.
Il Tribunale di Roma, citando il parere n. 8 del 9 luglio 2019 del Comitato europeo per la protezione dei dati, il quale dedica l’art. 4.3.2 alla “costituzione di una sede principale o unica o al trasferimento da un paese terzo verso il SEE”, ha affermato che il meccanismo dello sportello unico prevede il trasferimento di procedimenti pendenti all’autorità di controllo che diventa competente a seguito del trasferimento della sede principale. Dunque, sebbene l’avvio del procedimento nel gennaio 2024 fosse totalmente legittimo, poiché la società non aveva ancora una sede nel SEE, a seguito della costituzione della filiale irlandese l’Autorità italiana avrebbe dovuto trasferire il procedimento all’autorità competente, così come hanno fatto le altre autorità di controllo europee.
Inoltre, l’argomentazione del Garante sulla non applicabilità dello sportello unico poiché le violazioni si sono concluse prima della costituzione della nuova sede, non è stata ritenuta accoglibile poiché fonte di incertezza: richiederebbe la risoluzione di una questione di merito (quella sulla natura) prima della questione preliminare (quella sulla competenza).
L’assunzione di una sanzione nel novembre 2024 è conseguentemente avvenuta in violazione del meccanismo dello sportello unico e, pertanto, il Tribunale di Roma ha annullato il provvedimento n. 755 del 2 novembre 2024, compensando le spese legali per la novità della questione trattata.