Il sistema sanzionatorio del GDPR si muove su un delicato equilibrio: da un lato garantisce uniformità per evitare “forum shopping” (aziende che scelgono Paesi con normative più permissive); dall’altro preserva la discrezionalità delle autorità di controllo (i Garanti) per valutare ogni caso. [1, 2]

L’Uniformità: Cornici sanzionatorie rigide

Il Regolamento Europeo stabilisce massimali pecuniari identici in tutta l’UE, divisi in due fasce: [1]

• Fascia bassa: Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (per violazioni degli obblighi di base di titolari e responsabili, come privacy by design o sicurezza del trattamento). [1, 2]
• Fascia alta: Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (per violazioni dei principi cardine, diritti degli interessati o trasferimenti internazionali illeciti). [1]

La Discrezionalità: Il calcolo caso per caso

Per garantire che la sanzione sia effettiva, proporzionata e dissuasiva, l’art. 83 del GDPR impone ai Garanti di valutare una serie di parametri flessibili prima di quantificare la multa: [1, 2]

• Natura, gravità e durata della violazione, con particolare riguardo al numero di interessati coinvolti.
• Il carattere doloso o colposo della violazione.
• Le misure adottate per attenuare i danni subiti dagli interessati.
• Il grado di cooperazione con l’Autorità di controllo per porre rimedio all’infrazione. [1, 2]

Il Ruolo dell’EDPB e della Corte di Giustizia

Per evitare che l’eccessiva discrezionalità crei disparità di trattamento, il Comitato Europeo per la Protezione dei Dati (EDPB) ha introdotto una metodologia di calcolo armonizzata in 5 fasi (partendo da un importo di base legato alla gravità e al fatturato). [1]

Inoltre, la Corte di Giustizia dell’UE (es. Causa C-768/21) ha chiarito che le autorità nazionali godono di un ampio margine di manovra nel valutare sanzioni e misure correttive, purché le decisioni siano sempre motivate in modo trasparente. [1, 2]

Per maggiori dettagli sui parametri applicati dal Garante italiano, puoi consultare l’articolo dedicato alle Sanzioni GDPR su Altalex o il testo ufficiale della Normativa Privacy su Protezione Dati Personali. [1, 2, 3]