GDPR – Sanzioni / Penalità

Le autorità nazionali possono o devono valutare sanzioni per specifiche violazioni della protezione dei dati in conformità con il Regolamento Generale sulla Protezione dei Dati. Le sanzioni vengono applicate in aggiunta o in sostituzione di ulteriori rimedi o poteri correttivi, come l’ordine di porre fine a una violazione, un’istruzione per adeguare il trattamento dei dati al GDPR, così come il potere di imporre una limitazione temporanea o definitiva, incluso un divieto di trattamento dei dati. Per le disposizioni che riguardano i responsabili del trattamento, egli può essere soggetto a sanzioni dirette e/o congiuntamente con il titolare.

Le sanzioni devono essere efficaci, proporzionate e dissuasive per ciascun caso individuale. Per la decisione di se e a quale livello può essere valutata una sanzione, le autorità hanno un catalogo statutario di criteri che devono considerare per la loro decisione. Tra le altre cose, una violazione intenzionale, il mancato adozione di misure per mitigare il danno avvenuto o la mancanza di collaborazione con le autorità possono aumentare le sanzioni. Per violazioni particolarmente gravi, elencate nell’Art. 83(5) del GDPR, il quadro delle sanzioni può arrivare fino a 20 milioni di euro, o nel caso di un’impresa, fino al 4% del fatturato globale totale dell’anno finanziario precedente, a seconda di quale sia maggiore. Ma anche il catalogo delle violazioni meno gravi nell’Art. 83(4) del GDPR prevede multe fino a 10 milioni di euro, o, nel caso di un’impresa, fino al 2% del suo intero fatturato globale dell’anno finanziario precedente, a seconda di quale sia maggiore. Particolarmente importante qui è che il termine “impresa” è equivalente a quello utilizzato negli Articoli 101 e 102 del Trattato sul Funzionamento dell’Unione Europea (TFUE). Secondo la giurisprudenza della Corte di Giustizia dell’Unione Europea, “il concetto di impresa comprende ogni entità impegnata in un’attività economica, indipendentemente dallo stato giuridico dell’entità o dal modo in cui è finanziata”. Un’impresa, quindi, non può consistere solo di una singola azienda nel senso di una persona giuridica, ma anche di più persone fisiche o entità societarie. Così, un intero gruppo può essere trattato come un’unica impresa e il suo fatturato annuo totale mondiale può essere utilizzato per calcolare la sanzione per una violazione del GDPR di una delle sue aziende. Inoltre, ogni Stato membro deve stabilire regole su altre sanzioni per violazioni del Regolamento che non sono già coperte dall’Art. 83. Queste sono molto probabilmente sanzioni penali per determinate violazioni del GDPR o sanzioni per violazioni delle norme nazionali che sono state adottate basandosi su clausole di flessibilità del GDPR. Le sanzioni nazionali devono essere anch’esse efficaci, proporzionate e fungere da deterrente.

Una situazione punibile in un’azienda può essere rivelata attraverso attività ispettive proattive condotte dalle autorità per la protezione dei dati, da un dipendente insoddisfatto o da clienti o potenziali clienti che si lamentano presso le autorità, attraverso l’autodenuncia dell’azienda, o dalla stampa in generale, specialmente attraverso il giornalismo investigativo.

Il Enforcement Tracker fornisce una panoramica delle multe e delle sanzioni segnalate che le autorità per la protezione dei dati all’interno dell’UE hanno imposto finora.