Sanzioni GDPR: i due scaglioni, come si calcolano e cosa si rischia

Quanto si rischia per una violazione del GDPR: i due scaglioni di sanzione, la differenza tra sanzioni amministrative e penali, i criteri con cui il Garante calcola l'importo e cosa può fare chi riceve una contestazione.

In breve — Il GDPR prevede due scaglioni di sanzione amministrativa: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni “minori” (obblighi organizzativi, registro, DPO, notifica del data breach), fino a 20 milioni o al 4% per quelle più gravi (principi, basi giuridiche, diritti degli interessati). Si applica sempre l’importo più alto tra la cifra fissa e la percentuale. Accanto alle sanzioni amministrative — che irroga il Garante — il Codice privacy prevede alcuni reati, puniti dal giudice penale. L’importo non è automatico: il Garante lo calcola su criteri precisi, e su quei criteri si gioca la difesa di chi riceve una contestazione.

1. Le sanzioni del GDPR: due scaglioni

Il GDPR ha reso le sanzioni per la violazione delle regole sui dati personali molto più pesanti di quelle del vecchio Codice — ed è questa la ragione per cui, dal 2018, la privacy è diventata un tema da consiglio di amministrazione e non più solo da ufficio legale. Le sanzioni amministrative sono organizzate su due scaglioni, a seconda della gravità della violazione (art. 83).

Due precisazioni fanno la differenza tra un dato d’effetto e la realtà. La prima: tra la cifra fissa e la percentuale del fatturato si applica l’importo più elevato — la percentuale morde le grandi aziende, il tetto fisso conta per le piccole. La seconda: quelli indicati sono i massimi, non gli importi tipici. Le sanzioni reali, salvo casi gravissimi, sono molto inferiori ai tetti — e dipendono dai criteri di calcolo che vedremo al capitolo 4.

2. Sanzioni amministrative e sanzioni penali: la differenza

È l’equivoco più diffuso, e vale la pena scioglierlo subito. Le sanzioni di cui abbiamo parlato — i due scaglioni dell’art. 83 — sono amministrative: le irroga il Garante, sono pecuniarie e colpiscono l’organizzazione (l’azienda, l’ente) che ha violato le regole. Sono la stragrande maggioranza dei casi.

Accanto ad esse, però, esistono anche sanzioni penali. Non stanno nel GDPR, che di reati non parla, ma nel Codice privacy italiano (d.lgs. 196/2003), che punisce alcune condotte particolarmente gravi: il trattamento illecito di dati a fini di profitto o di danno (art. 167), la comunicazione e diffusione illecita su larga scala (art. 167-bis), l’acquisizione fraudolenta di dati (art. 167-ter), le false dichiarazioni al Garante (art. 168). Qui non parliamo più di multe all’azienda, ma di pene — anche detentive — a carico della persona fisica responsabile, e la competenza è del giudice penale, non del Garante.

In sintesi: la violazione “ordinaria” del GDPR porta a una sanzione amministrativa del Garante; solo le condotte dolose e gravi sconfinano nel penale. Le due cose possono coesistere — lo stesso fatto può essere insieme illecito amministrativo e reato — ma seguono strade e autorità diverse.

3. Chi applica le sanzioni

Le sanzioni amministrative le applica il Garante per la protezione dei dati personali, l’autorità di controllo italiana. Il procedimento nasce di solito da un reclamo, da una segnalazione o da un’ispezione d’ufficio, ma non solo: capita spesso che origini da un controllo su altro fronte — un’ispezione dell’Ispettorato del lavoro sul personale, un accertamento della Guardia di Finanza — nel corso del quale emergono profili di illecito trattamento dei dati, che vengono poi trasmessi al Garante. Da lì si sviluppa un’istruttoria in contraddittorio con il titolare, che si chiude con un provvedimento: archiviazione, misure correttive o sanzione.

Il Garante non è però obbligato a sanzionare: l’art. 83 gli mette a disposizione una gamma di poteri correttivi — dall’ammonimento all’ordine di adeguarsi, dalla limitazione al divieto del trattamento. La sanzione pecuniaria è uno strumento tra gli altri, e spesso il provvedimento la combina con misure che, per un’impresa, pesano anche di più: su tutte, il divieto di utilizzare i dati trattati illecitamente.

4. Come si calcola l’importo

Qui sta il punto che interessa davvero chi ha ricevuto — o teme — una contestazione: l’importo non è automatico. Il Garante lo determina caso per caso, e l’art. 83, par. 2, elenca i criteri che deve considerare. Sono gli stessi criteri su cui si costruisce la difesa.

La lettura pratica di questa lista è che la sanzione si costruisce anche dopo la violazione. Un’organizzazione che, scoperto il problema, collabora con il Garante, rimedia in fretta e dimostra di avere comunque adottato misure ragionevoli, va incontro a una sanzione sensibilmente più bassa — o alla sua sostituzione con un semplice ammonimento. Al contrario, chi ignora le richieste, nasconde o non fa nulla, si vede applicare le aggravanti. È la ragione per cui il modo in cui si gestisce un procedimento conta quanto la violazione che lo ha originato.

5. Le sanzioni in concreto: alcuni casi

I numeri dei provvedimenti del Garante aiutano a dare la misura reale. Sul terreno del marketing e della profilazione tramite fidelity card, l’Autorità ha applicato sanzioni da 240.000 e 300.000 euro a grandi catene commerciali, per informative generiche e conservazione illimitata dei dati. Sul controllo dei dipendenti tramite GPS, 50.000 euro a un’azienda di autotrasporto che tracciava i mezzi oltre i limiti autorizzati. Sulla mancata rimozione di dati pubblicati oltre i termini, 10.000 euro a un Comune.

Sono cifre lontane dai tetti dei 20 milioni, e lo confermano: quei massimi sono riservati alle violazioni sistemiche dei grandi operatori. Per un’impresa o un ente ordinari il rischio concreto si misura in decine di migliaia di euro — a cui però vanno sommati i costi che non compaiono nel provvedimento: il divieto d’uso dei dati, il danno reputazionale, il risarcimento agli interessati.

6. Cosa fare se si riceve una contestazione

Ricevere dal Garante l’avvio di un procedimento sanzionatorio non significa aver già perso. Il procedimento è in contraddittorio: il titolare ha il diritto di presentare memorie difensive, documenti e osservazioni prima che l’Autorità decida, e proprio i criteri dell’art. 83 offrono lo spazio per ridurre — a volte in modo drastico — l’importo, o per ottenere l’archiviazione.

Gli errori da evitare sono due, opposti: ignorare la comunicazione (il silenzio è un’aggravante, non una difesa) e rispondere d’impulso, ammettendo o negando senza aver ricostruito i fatti e le misure realmente in essere. La difesa va costruita: raccogliere la documentazione, dimostrare le misure adottate e la condotta riparatoria, e presentare al Garante una posizione ordinata e credibile. È un lavoro che, fatto bene, si ripaga molte volte.

7. Come ti assiste lo Studio Legale Calzoni

Lo Studio Legale Calzoni assiste imprese ed enti su entrambi i versanti delle sanzioni. Prima, con percorsi di adeguamento privacy che riducono il rischio alla radice — perché la miglior difesa da una sanzione è non trovarsi nelle condizioni di subirla. Dopo, quando la contestazione è già arrivata: costruiamo la difesa nel procedimento davanti al Garante, valorizziamo i criteri di calcolo a favore del cliente e gestiamo l’eventuale impugnazione del provvedimento. In entrambi i casi, la partita si gioca sui dettagli — ed è lì che conviene esserci preparati.

Domande frequenti

A quanto ammontano le sanzioni del GDPR? Ci sono due scaglioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni degli obblighi organizzativi; fino a 20 milioni o al 4% per quelle sui principi, le basi giuridiche e i diritti degli interessati. Si applica sempre l’importo più alto tra cifra fissa e percentuale.

Qual è la differenza tra i due scaglioni di sanzione? Il primo (10 milioni/2%) riguarda le violazioni “organizzative”: registro, DPIA, DPO, notifica del data breach, sicurezza. Il secondo (20 milioni/4%) riguarda le violazioni “sostanziali”: principi del trattamento, consenso e basi giuridiche, diritti degli interessati, trasferimenti extra-UE.

Il GDPR prevede sanzioni penali? Il GDPR in sé prevede solo sanzioni amministrative. Le sanzioni penali sono previste dal Codice privacy italiano (d.lgs. 196/2003) per condotte gravi come il trattamento illecito di dati a fini di profitto o danno (art. 167): lì la competenza è del giudice penale, non del Garante.

Chi applica le sanzioni del GDPR in Italia? Le sanzioni amministrative le applica il Garante per la protezione dei dati personali, al termine di un procedimento in contraddittorio. Le sanzioni penali, quando ricorrono i reati del Codice privacy, sono di competenza dell’autorità giudiziaria.

Come viene calcolato l’importo di una sanzione? Non è automatico: il Garante lo determina in base ai criteri dell’art. 83, par. 2 — gravità, dolo o colpa, misure adottate, grado di responsabilità, precedenti, cooperazione e condotta riparatoria. Su questi criteri si costruisce la difesa per ridurre l’importo.

Cosa fare se si riceve una contestazione dal Garante? Non ignorarla e non rispondere d’impulso. Il procedimento è in contraddittorio: si possono presentare memorie difensive e documenti. Costruire una difesa che valorizzi le misure adottate e la condotta riparatoria può ridurre sensibilmente la sanzione o portare all’archiviazione.

Le sanzioni GDPR arrivano sempre ai milioni? No: quelli sono i massimi, riservati alle violazioni sistemiche dei grandi operatori. Per imprese ed enti ordinari le sanzioni concrete si misurano in genere in decine di migliaia di euro, a cui possono aggiungersi il divieto d’uso dei dati e il risarcimento agli interessati.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.