Violazioni GDPR e sanzioni: criteri e conseguenze per le imprese

Una violazione GDPR comporta sempre una multa? I criteri da conoscere

Un’impresa si accorge di conservare informazioni sui propri clienti oltre il tempo necessario, oppure
scopre che alcuni documenti sono stati messi a disposizione di persone che non avrebbero dovuto
consultarli. Dopo aver contenuto il problema, deve capire quali obblighi sono stati violati e quali
conseguenze possono derivarne: è sufficiente correggere la situazione oppure una sanzione economica
è ormai inevitabile?
Il GDPR non prevede che ogni violazione accertata conduca automaticamente a una sanzione pecuniaria.
La decisione richiede una valutazione delle circostanze, delle responsabilità e delle misure appropriate,
nella quale rileva anche il comportamento dell’organizzazione prima e dopo i fatti. Per comprendere il
proprio rischio, un’impresa deve quindi ricostruire ciò che è accaduto e confrontarlo con gli obblighi
applicabili, evitando sia conclusioni allarmistiche sia rassicurazioni premature.

Le nuove linee guida EDPB e il loro stato

Il tema è tornato al centro dell’attenzione con le linee guida EDPB 04/2026, adottate il 17 settembre e
annunciate il 21 settembre 2026. Il Comitato europeo per la protezione dei dati propone un metodo
comune per decidere quando applicare una sanzione pecuniaria e come coordinarla con gli altri poteri
correttivi delle autorità.

La versione pubblicata è sottoposta a consultazione fino al 13 novembre 2026 e va letta come tale: il
quadro normativo resta quello del GDPR, mentre il documento può ancora essere modificato prima
della versione definitiva. Anche la questione affrontata è specifica, perché la decisione se infliggere una
sanzione precede il diverso problema di determinarne l’importo.

Violazione del GDPR e data breach: una distinzione utile

Nel linguaggio comune l’espressione “violazione della privacy” può indicare situazioni diverse.
Un’impresa può trattare dati senza un’idonea base giuridica, fornire un’informativa incompleta oppure
conservare informazioni oltre quanto consentito, anche senza aver subito un attacco informatico.
Il data breach ha invece una definizione precisa: l’articolo 4, punto 12, del GDPR riguarda una violazione
di sicurezza che determina, accidentalmente o illecitamente, perdita, distruzione, modifica, divulgazione
non autorizzata o accesso ai dati personali. Un invio al destinatario sbagliato può quindi richiedere una
valutazione anche in assenza di un’intrusione nei sistemi.
La distinzione serve a individuare gli obblighi da esaminare. Nel caso di un data breach, per esempio,
occorre valutare anche la notifica all’autorità e, se ricorrono i presupposti, la comunicazione alle
persone coinvolte; ciò resta distinto dalla successiva decisione sull’eventuale sanzione. Confondere
questi piani può far concentrare l’attenzione sulla multa mentre sono ancora da gestire le conseguenze
dell’evento.

Come si valuta la sanzione pecuniaria

L’articolo 83 richiede che le sanzioni siano effettive, proporzionate e dissuasive e indica gli elementi da
considerare sia nella decisione di applicarle sia nel determinarne l’ammontare. Fra questi rientrano
natura, gravità e durata della violazione, numero delle persone interessate e danno subito, categorie di
dati coinvolte e carattere doloso o colposo della condotta.
Il regolamento considera anche il grado di responsabilità dell’organizzazione, tenendo conto delle
misure tecniche e organizzative adottate, gli eventuali precedenti pertinenti e gli interventi compiuti per
attenuare il danno. La cooperazione con l’autorità è un ulteriore elemento della valutazione, insieme
alle modalità con cui questa ha avuto conoscenza dei fatti.
Non si tratta di una lista dalla quale ricavare un risultato contando attenuanti e aggravanti. Una carenza
può essere circoscritta oppure riguardare un trattamento esteso e protratto nel tempo; allo stesso
modo, le conseguenze per le persone dipendono anche dal tipo di informazioni e dal contesto in cui
vengono utilizzate. Sono differenze che richiedono di esaminare i fatti, senza presumere che una
risposta collaborativa cancelli quanto avvenuto.

Le conseguenze possono riguardare il trattamento stesso

Per un’impresa, valutare soltanto l’importo di una possibile sanzione lascia fuori una parte del problema.
L’articolo 58 attribuisce al Garante poteri che comprendono l’ammonimento, l’ordine di adeguare un
trattamento entro un termine e la possibilità di limitarlo, anche fino a vietarlo.
Se un servizio dipende dall’utilizzo di determinati dati, un ordine che impone di modificare quel
trattamento può richiedere interventi sui processi, sui sistemi e sui rapporti con i fornitori. È una
conseguenza operativa da considerare quando si valuta una criticità, anche se il provvedimento non
comporta una sanzione economica.
Il GDPR permette inoltre di applicare la sanzione pecuniaria in aggiunta ad altre misure oppure in loro
luogo, secondo il caso concreto. Non è dunque corretto immaginare un’alternativa obbligata fra pagare
una somma e correggere il trattamento: i provvedimenti possono riguardare entrambi gli aspetti.

Intervenire e documentare ciò che è stato fatto

Quando emerge un problema, è utile ricostruire quali dati e operazioni siano coinvolti, da quando la
situazione duri e quali persone possano averne subito le conseguenze. Le misure urgenti vanno
accompagnate da una documentazione che permetta di distinguere i fatti accertati dalle ipotesi ancora
da verificare.
Se si tratta di un data breach, l’articolo 33 richiede al titolare di documentare la violazione, le
conseguenze e i rimedi adottati. La notifica all’autorità va effettuata senza ingiustificato ritardo e, ove
possibile, entro 72 ore dalla conoscenza dell’evento, salvo che sia improbabile un rischio per i diritti e le
libertà delle persone; in caso di notifica oltre le 72 ore devono essere spiegati i motivi del ritardo.
La valutazione sulla notifica non può quindi essere rinviata fino a quando l’impresa abbia chiarito ogni
dettaglio della propria eventuale responsabilità. Correggere le criticità e collaborare sono condotte
rilevanti, ma non consentono di promettere in anticipo l’esclusione di una sanzione.

Un esempio: i dati rimasti in archivio troppo a lungo

Si immagini un’impresa che, durante una verifica, trovi in un archivio documenti relativi a rapporti
conclusi da tempo. Prima di stabilire come intervenire occorre capire quali informazioni siano ancora
necessarie, anche per eventuali obblighi di conservazione o esigenze di tutela, e quali siano invece
trattenute senza una ragione adeguata.

La ricostruzione dovrebbe poi riguardare il funzionamento dell’archivio: chi può accedervi, quali tempi
erano stati previsti, chi doveva verificarli e perché le informazioni siano rimaste disponibili. Se esistono
copie nei sistemi di un fornitore, anche quel passaggio deve essere esaminato.
Cancellare ciò che non deve più essere conservato può essere parte dell’intervento, ma serve anche
comprendere la causa della criticità per evitare che si ripresenti. Questo esempio non consente di
prevedere una sanzione o la sua assenza; mostra quali informazioni rendono possibile una valutazione
seria, invece di fermarsi alla dichiarazione generica “abbiamo sistemato”.

Un’organizzazione in grado di spiegare le proprie scelte

Il principio di responsabilizzazione, previsto dall’articolo 5, paragrafo 2, e sviluppato dall’articolo 24,
richiede al titolare di poter dimostrare la conformità del trattamento. Le procedure hanno quindi valore
quando corrispondono al lavoro effettivo e permettono di ricostruire le scelte, i controlli e gli interventi
compiuti.
Per l’impresa, una verifica utile consiste nel partire da un trattamento concreto e seguirne il percorso,
dalla raccolta alla cancellazione, confrontando le regole scritte con ciò che avviene nei sistemi e negli
uffici. È su questa conoscenza che si possono impostare correzioni adeguate e valutare le possibili
conseguenze, senza affidarsi ad automatismi che il GDPR non prevede.
Fonti e spunti

• Regolamento UE 2016/679 (GDPR), artt. 4, 5, 6, 24, 25, 33, 34, 58 e 83 — testo del Garante
• EDPB, linee guida 04/2026 — adottate il 17 settembre 2026, versione in consultazione
• EDPB, notizia del 21 settembre 2026 — spunto dell’approfondimento