Il meccanismo dello sportello unico nel GDPR alla luce della sentenza del Tribunale di Roma n. 4153/2026 (il caso Open AI)
Con la sentenza n. 4153 del 18 marzo 2026, il Tribunale di Roma ha annullato l’ordinanza-ingiunzione con cui il Garante per la protezione dei dati personali aveva irrogato a OpenAI una sanzione amministrativa di 15 milioni di euro. Accogliendo il primo motivo di ricorso, il Tribunale ha ritenuto che, a seguito del riconoscimento di OpenAI Ireland quale stabilimento unico nell’Unione europea ai fini del GDPR, l’autorità irlandese fosse divenuta l’autorità di controllo “capofila” ai sensi degli artt. 56 e 60 GDPR. Conseguentemente, il procedimento, ancora pendente, avrebbe dovuto essere trasferito all’autorità irlandese secondo il meccanismo dello sportello unico (one-stop-shop), con illegittimità del provvedimento sanzionatorio adottato dal Garante italiano.
La sentenza ricostruisce la disciplina degli artt. 55, 56 e 60 GDPR, affermando che il mutamento delle circostanze relative allo stabilimento principale o unico può incidere anche su procedimenti già pendenti, purché non sia ancora intervenuta una decisione definitiva, e ciò anche con riguardo a violazioni già consumate. A sostegno di tale interpretazione il Tribunale richiama il Parere EDPB n. 8 del 9 luglio 2019 sulla competenza delle autorità di controllo in caso di mutamento delle circostanze relative allo stabilimento principale o unico.
Tale decisione, seppur rappresentando un’importante applicazione del meccanismo dello sportello unico previsto dal GDPR (operante nelle ipotesi di trattamento transfrontaliero dei dati personali), al contempo evidenzia il rischio di una carenza di una tutela tempestiva dei diritti dei soggetti interessati. L’annullamento del provvedimento per un vizio di competenza, senza alcuna valutazione delle contestazioni sostanziali (che sono rimaste, appunto, assorbite dalla questione preliminare di competenza), dimostra come le regole procedurali possano incidere in modo decisivo sull’effettività dell’applicazione del GDPR specie nei confronti di grandi piattaforme digitali come Open AI.
(FS)