Protezione dei dati a Monaco: l'APDP e la legge n. 1.565

Panoramica

Nel 2024 Monaco ha riscritto integralmente la propria disciplina sulla protezione dei dati. La legge n. 1.565 del 3 dicembre 2024 sulla protezione dei dati personali, pubblicata sul Journal de Monaco del 13 dicembre 2024, sostituisce la legge n. 1.165 del 23 dicembre 1993, che per trent'anni aveva regolato le cosiddette "informations nominatives". L'Ordinanza Sovrana n. 11.327 del 10 luglio 2025 ne definisce le modalità applicative.

Per chi tratta dati personali a Monaco contano soprattutto due novità:

• L'autorità di controllo è ora l'APDP (Autorité de Protection des Données Personnelles), subentrata alla CCIN con competenze più ampie e un effettivo potere sanzionatorio pecuniario.
• Il sistema di dichiarazione e autorizzazione preventiva è in gran parte abolito e sostituito da un modello di responsabilizzazione: non si presenta più un modulo prima di trattare i dati, si documenta la propria conformità e si deve essere in grado di dimostrarla.

Monaco non fa parte né dell'UE né dello SEE, quindi il GDPR non vi si applica direttamente. La legge n. 1.565 vi si ispira però da vicino, e il Principato punta dichiaratamente a ottenere una decisione di adeguatezza dalla Commissione europea.

L'APDP

L'APDP è l'autorità monegasca indipendente per la protezione dei dati, composta da otto membri scelti per la loro competenza in materia. Tra i suoi compiti:

• istruire i reclami degli interessati;
• svolgere verifiche e ispezioni in loco sui trattamenti;
• ricevere le notifiche di violazione dei dati personali;
• pubblicare raccomandazioni e adottare diffide e sanzioni;
• fornire consulenza al Governo in materia di protezione dei dati.

Contatti: Le Concorde, 11 rue du Gabian, 98000 Monaco — tel. +377 97 70 22 44 — apdp.mc, dove sono pubblicate schede pratiche (fiches pratiques) suddivise per tema.

I riferimenti a ccin.mc e alla CCIN sono ormai storici. Un'informativa sulla privacy o un contratto con un fornitore che cita ancora la CCIN è anteriore alla riforma e va rivisto.

Legge n. 1.565 — principi fondamentali

Il testo si compone di 118 articoli in 10 capitoli e stabilisce principi familiari a chi ha lavorato con il GDPR:

Liceità e limitazione delle finalità

I dati personali devono essere trattati in modo lecito e corretto, per finalità determinate, esplicite e legittime. Non possono essere oggetto di un trattamento ulteriore incompatibile con tali finalità.

Minimizzazione dei dati

Possono essere raccolti e trattati solo dati adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità.

Esattezza

Il titolare del trattamento adotta misure ragionevoli affinché i dati siano esatti e aggiornati. I dati inesatti devono essere rettificati o cancellati.

Limitazione della conservazione

I dati non sono conservati oltre il tempo necessario alle finalità perseguite. Possono applicarsi termini settoriali specifici, in particolare in ambito bancario e lavorativo.

Integrità e riservatezza

Il titolare del trattamento adotta misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdita o distruzione.

Responsabilizzazione (accountability)

È il cambiamento strutturale. Anziché chiedere l'approvazione preventiva dell'autorità, il titolare deve poter dimostrare la propria conformità: registro delle attività di trattamento, basi giuridiche documentate, tempi di conservazione, valutazioni d'impatto per i trattamenti ad alto rischio e contratti scritti con i responsabili del trattamento.

Diritti degli interessati

Chi vede trattati i propri dati a Monaco ha diritto:

• all'informazione sul trattamento — finalità, base giuridica, destinatari, tempi di conservazione e modalità di reclamo;
• di accesso ai propri dati e di ottenerne copia;
• di rettifica dei dati inesatti o incompleti;
• alla cancellazione nei casi previsti;
• alla limitazione del trattamento in attesa della definizione di una controversia;
• alla portabilità dei dati forniti, quando il trattamento si fonda sul consenso o su un contratto;
• di opposizione al trattamento, compreso il marketing diretto;
• a non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici.

I diritti si esercitano rivolgendosi direttamente al titolare del trattamento. In caso di risposta insoddisfacente o di mancata risposta, è possibile presentare reclamo all'APDP.

Obblighi per le imprese

Fine degli adempimenti preventivi generalizzati

Con la legge n. 1.165 quasi ogni trattamento doveva essere dichiarato alla CCIN prima dell'avvio, con autorizzazione preventiva per le categorie sensibili. La legge n. 1.565 elimina gran parte di questo impianto. Al suo posto subentrano la documentazione interna e, per i trattamenti realmente ad alto rischio, una valutazione d'impatto condotta prima dell'inizio del trattamento — con consultazione preventiva dell'APDP se permane un rischio residuo elevato.

Termini transitori

Le organizzazioni che già trattavano dati hanno avuto tempo per adeguarsi: circa un anno per allineare i trattamenti esistenti ai nuovi requisiti di liceità, e fino a tre anni per le valutazioni d'impatto e la rivalutazione dei rischi, compresi alcuni trattamenti svolti da autorità amministrative e giudiziarie. Queste finestre sono ormai chiuse o in via di chiusura: un fascicolo di conformità anteriore al 2025 mai rivisto rappresenta un'esposizione concreta.

Responsabile della protezione dei dati

La nomina di un responsabile della protezione dei dati (DPO) è obbligatoria nei casi previsti dalla legge — in particolare per le autorità pubbliche e per gli organismi la cui attività principale comporta un monitoraggio regolare su larga scala o il trattamento su larga scala di dati sensibili — ed è comunque consigliabile ben oltre tali ipotesi. I recapiti del DPO vanno comunicati all'APDP.

Trasferimenti fuori da Monaco

I dati possono essere trasferiti all'estero verso destinazioni che garantiscono un livello di protezione adeguato, oppure sulla base di garanzie appropriate come clausole contrattuali tipo o norme vincolanti d'impresa. I trasferimenti verso gli Stati membri dell'UE sono nella pratica ordinari; quelli verso giurisdizioni prive di riconoscimento di adeguatezza richiedono garanzie documentate.

Notifica delle violazioni

Il titolare notifica all'APDP ogni violazione di dati personali che possa comportare un rischio per i diritti e le libertà degli interessati. Il termine di riferimento è di 72 ore dal momento in cui ne viene a conoscenza; oltre tale termine occorre poter dimostrare di aver notificato nel più breve tempo possibile. Se la violazione comporta un rischio elevato, vanno informati anche gli interessati.

Sanzioni

L'APDP può irrogare sanzioni amministrative fino a 10 milioni di euro o al 4% del fatturato annuo mondiale, applicando l'importo più elevato — un ordine di grandezza fuori portata per la CCIN. Può inoltre emettere diffide, ordinare la cessazione di un trattamento e imporre divieti temporanei o definitivi.

Restano previste sanzioni penali per le violazioni più gravi, tra cui il trattamento illecito di dati e l'inosservanza degli ordini dell'autorità.

Rapporto con il GDPR

Monaco è membro del Consiglio d'Europa ma resta fuori dall'UE e dallo SEE: il GDPR non vi si applica direttamente. Può però raggiungere un'impresa monegasca attraverso la propria portata extraterritoriale, ad esempio quando questa offre beni o servizi a persone che si trovano nell'UE o ne monitora il comportamento. Nella pratica molte imprese monegasche con clientela europea gestiscono un unico programma di conformità pensato per soddisfare entrambi i testi, cosa che l'allineamento della legge n. 1.565 rende realistica.

La Commissione europea non ha ancora adottato una decisione di adeguatezza su Monaco. Ottenerla è un obiettivo dichiarato della riforma del 2024; fino ad allora i trasferimenti dall'UE verso Monaco possono richiedere garanzie ai sensi del diritto europeo.

Passi pratici

• Sostituite ogni riferimento alla CCIN e alla legge n. 1.165 in informative, contratti e politiche interne.
• Costituite e aggiornate un registro delle attività di trattamento: è il primo documento richiesto in caso di ispezione.
• Documentate una base giuridica per ciascuna finalità e un tempo di conservazione per ciascuna categoria di dati.
• Svolgete la valutazione d'impatto prima di avviare un trattamento ad alto rischio, non dopo.
• Mettete per iscritto una procedura per le violazioni, così che il termine di 72 ore sia praticabile e non teorico.
• Consultate le schede pratiche dell'APDP su apdp.mc prima di sostenere spese di consulenza esterna.

Guide correlate

• Conformità sulla protezione dei dati per le imprese — obblighi, basi giuridiche e attuazione pratica
• Extended Monaco e amministrazione digitale — come i servizi pubblici digitali trattano i dati
• Aprire un'impresa a Monaco — il quadro di conformità più ampio per le nuove società