Sanzioni GDPR, l’EDPB detta una metodologia comune
23 Settembre 2026
L’European Data Protection Board (EDPB) interviene sull’applicazione delle sanzioni amministrative previste dal GDPR, con l’obiettivo di favorire un approccio maggiormente uniforme tra le autorità nazionali di protezione dei dati. Nella plenaria del 21 settembre 2026, il Comitato ha adottato le linee guida sull’esercizio del potere di irrogare sanzioni amministrative in relazione agli altri poteri correttivi previsti dal Regolamento. Il documento individua una metodologia in cinque fasi che le Data Protection Authorities (DPA) dovrebbero seguire per stabilire se applicare una sanzione pecuniaria. In primo luogo, l’autorità deve verificare se la violazione possa essere sanzionata sulla base del GDPR o della normativa nazionale. Successivamente, occorre accertare se il soggetto sottoposto a indagine – titolare o responsabile del trattamento – possa essere ritenuto responsabile della specifica violazione. La terza fase riguarda l’elemento soggettivo: la DPA deve valutare se l’infrazione sia stata commessa intenzionalmente o per negligenza. Segue l’esame delle eventuali circostanze aggravanti o attenuanti. In particolare, secondo l’approccio delineato dall’EDPB, quando la violazione è di lieve entità può non essere necessario applicare una sanzione pecuniaria, potendo risultare sufficiente un richiamo formale. Per le violazioni non lievi, invece, le linee guida indicano una forte presunzione a favore dell’irrogazione della sanzione. L’ultima fase impone di verificare che la misura pecuniaria risponda ai criteri di efficacia, proporzionalità e dissuasività, tenendo conto delle caratteristiche del caso concreto e dell’eventuale necessità di discostarsi dall’approccio ordinario. Le linee guida analizzano inoltre il rapporto tra le sanzioni e gli altri poteri correttivi attribuiti alle autorità, tra cui avvertimenti, ammonimenti, ordini, limitazioni o divieti del trattamento e revoca delle certificazioni. A supporto dell’applicazione pratica, l’EDPB propone 14 esempi relativi alla scelta delle misure più appropriate. Il documento resterà in consultazione pubblica fino al 13 novembre 2026. Nel corso della stessa plenaria, l’EDPB ha inoltre approvato, dopo la consultazione pubblica, la versione definitiva delle linee guida sull’interazione tra Digital Services Act (DSA) e GDPR. L’obiettivo è assicurare un’applicazione coerente dei due regolamenti nei casi in cui gli obblighi previsti dal DSA comportino il trattamento di dati personali da parte dei fornitori di servizi intermediari. Fonte: https://www.edpb.europa.eu/news/edpb-harmonises-fining-methodology-and-adopts-final-dsa-gdpr-guidelines_en |
