Il GDPR prevede un sistema di sanzioni articolato che non si limita alle multe. Il Garante può applicare provvedimenti correttivi che incidono direttamente sulle attività aziendali e, nei casi più gravi, possono essere previste anche sanzioni penali. Ogni impresa deve conoscere nel dettaglio le diverse tipologie di sanzione per prepararsi adeguatamente a prevenirle e gestirle.

In sintesi:

• Provvedimenti correttivi: ammonimenti, ordini di rettifica, limitazioni del trattamento, blocco o cancellazione dei dati.

• Sanzioni pecuniarie:

  • Primo livello: fino a 10 milioni di euro o al 2% del fatturato annuo globale per violazioni “meno gravi” (es. mancata tenuta dei registri, inosservanza privacy by design, mancata nomina DPO).

  • Secondo livello: fino a 20 milioni di euro o al 4% del fatturato globale per violazioni gravi (es. trattamento illecito, violazioni dei principi fondamentali, mancato rispetto dei diritti degli interessati).

• Sanzioni penali: previste dal Codice Privacy (es. trattamento illecito, comunicazione illecita di dati, acquisizione fraudolenta).

Puoi approfondire il tema delle sanzioni nel nostro articolo dedicato: Sanzioni GDPR: cosa sapere su procedimenti e sanzioni per privacy

Quando il Garante stabilisce l’importo della sanzione, deve seguire criteri specifici previsti dall’articolo 83 del GDPR. Questo significa che l’azienda ha margini concreti per costruire una difesa efficace e per cercare una riduzione della sanzione dimostrando, ad esempio, la collaborazione con l’Autorità o l’impatto limitato della violazione.

Principali criteri di valutazione:

• Gravità della violazione: natura, durata e numero di interessati coinvolti.

• Responsabilità aziendale: efficacia delle misure tecniche e organizzative.

• Condotta: dolo o colpa, cooperazione con l’Autorità, tempestività nella notifica.

• Tipo di dati coinvolti: dati comuni o dati sensibili.

• Precedenti violazioni: storico della compliance.

• Adesione a codici di condotta o certificazioni.

Il GDPR stabilisce chiaramente che le sanzioni devono essere “efficaci, proporzionate e dissuasive”. Questo non è un mero principio generale, ma un vincolo legale per l’Autorità Garante nel determinare l’ammontare della multa. Le imprese possono e devono argomentare sulla sproporzione di una sanzione rispetto al danno effettivo causato, alla natura non intenzionale della violazione, o alle azioni di mitigazione intraprese.

La valutazione della proporzionalità è particolarmente critica per le grandi imprese, poiché il fatturato di riferimento può essere quello dell’intero gruppo societario a livello mondiale.

Cosa puoi fare concretamente:

• Dimostrare che la violazione ha avuto un impatto limitato e circoscritto.

• Evidenziare la tempestiva cooperazione con il Garante.

• Argomentare che il calcolo basato sul fatturato globale del gruppo è sproporzionato rispetto alla reale incidenza della violazione.

• Fare leva sulla prontezza dell’azienda nella gestione del data breach e sulle misure di mitigazione immediatamente adottate.

Quando si verifica una violazione dei dati personali, la reazione dell’azienda nelle prime ore è decisiva. La capacità di intervenire tempestivamente, contenere l’incidente e avviare le corrette comunicazioni con le autorità è un elemento centrale nella valutazione dell’intero procedimento da parte del Garante. È fondamentale che le aziende abbiano già predisposto un piano di gestione degli incidenti e che i responsabili interni sappiano esattamente come attivarsi.

Il titolare del trattamento è tenuto a notificare la violazione al Garante entro 72 ore (inclusi festivi e feriali) da quando ne ha avuto conoscenza. Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone, è inoltre necessario informare tempestivamente anche gli interessati. La tempestività e la trasparenza sono considerati fattori attenuanti nella determinazione della sanzione, mentre omissioni o ritardi possono aggravare significativamente la posizione dell’azienda.

Azioni pratiche da attivare subito:

• Attivare il piano di gestione degli incidenti e coinvolgere immediatamente il DPO e il consulente legale.

• Identificare natura, origine e impatto della violazione.

• Adottare misure tecniche per contenere l’incidente.

• Notificare il data breach al Garante entro 72 ore, anche se con informazioni parziali da integrare successivamente. Qui il portale ufficiale per la notifica al Garante.

• Comunicare la violazione agli interessati, se richiesto.

• Documentare ogni passaggio in modo accurato per dimostrare la corretta gestione dell’incidente.

Una volta notificata la violazione (o a seguito di accertamenti autonomi del Garante), l’Autorità avvia la fase istruttoria, durante la quale raccoglie informazioni, ascolta le parti e valuta le misure adottate dal titolare del trattamento. Questo momento è fondamentale per esercitare in modo efficace il diritto di difesa. Collaborare pienamente con il Garante, fornire la documentazione richiesta e spiegare con trasparenza le scelte aziendali può fare la differenza nella determinazione dell’esito.

L’impresa ha diritto di:

• Presentare memorie difensive durante la procedura.

• Partecipare attivamente all’istruttoria.

• Dimostrare di aver adottato misure di prevenzione e mitigazione efficaci.

Una difesa ben costruita in questa fase può orientare il procedimento verso un esito meno gravoso, come l’archiviazione o l’applicazione di provvedimenti correttivi non pecuniari.

Punti chiave della fase istruttoria:

• Rispondere puntualmente alle richieste del Garante.

• Mostrare piena cooperazione e trasparenza.

• Fornire documentazione completa a supporto.

• Dimostrare tempestività nella gestione dell’incidente.

• Evidenziare l’adozione di misure preventive e la formazione del personale.

Se l’istruttoria si conclude con l’emissione di un’ordinanza-ingiunzione da parte del Garante, l’azienda ha la possibilità di opporsi. È importante sapere che il ricorso non si presenta al Garante stesso, ma al Tribunale ordinario competente entro 30 giorni dalla notifica del provvedimento, secondo le modalità previste dal Codice Privacy e dalla normativa nazionale.

L’impresa può:

• Contestare l’ammontare della sanzione, argomentando la sproporzione rispetto alla violazione.

• Sollevare vizi procedurali, come la mancata notifica nei termini o il mancato rispetto delle garanzie procedimentali.

• Richiedere la rateizzazione della sanzione, se ritenuta congrua ma difficile da sostenere in un’unica soluzione.

Il principio di proporzionalità può essere uno degli argomenti più forti per ottenere una riduzione della sanzione. Inoltre, è fondamentale verificare scrupolosamente il rispetto di tutti i passaggi procedurali da parte dell’Autorità, perché eventuali irregolarità possono portare all’annullamento dell’intero provvedimento.

Strumenti di difesa disponibili:

• Presentazione di memorie difensive al Garante prima della sanzione.

• Opposizione al provvedimento dinanzi al Tribunale ordinario.

• Eccezioni su eventuali errori procedurali o violazioni dei termini.

• Argomentazioni basate sulla sproporzione della sanzione rispetto al danno concreto.