Il Regolamento generale sulla protezione dei dati (GDPR) prevede sanzioni particolarmente significative per la violazione di dati personali: per le meno gravi sino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (art. 83, par. 4); per le violazioni più gravi sino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (art. 83, par. 5).
La prima sanzione record, pari a 746 milioni di euro (ETid-778) risale al 2021, disposta dal Garante di Lussemburgo nei confronti di Amazon, per violazioni della privacy correlate alle sue pratiche pubblicitarie.
Le cinque multe del Garante irlandese emesse nei confronti di WhatsApp, Meta e Tik Tok per 225 milioni di euro a settembre 2021 (ETid-820), 405 milioni di euro a settembre 2022 (ETid-1373), 265 milioni di euro a novembre 2022 (ETid-1502), 390 milioni di euro a gennaio 2023 (ETid-1543) e 345 milioni di euro a settembre 2023 (ETid-2032) rappresentano le sanzioni più significative per insufficiente adempimento degli obblighi informativi, mancato rispetto dei principi generali del trattamento dei dati e misure tecniche e organizzative inadeguate a garantire la sicurezza delle informazioni.
Nel 2023 Meta Platforms Ireland Limited si è vista notificare la più alta ingiunzione di pagamento della storia del Regolamento, pari a 1 miliardo e 200 milioni di euro (ETid-1844), a seguito di un’indagine dell’Irish Data Protection Commission sul trasferimento di dati personali da parte di Facebook dall’Unione Europea agli USA sulla base di clausole contrattuali standard giudicate inadeguate.
E in Italia? Sinora le 384 sanzioni sfiorano i 238 milioni di euro di cui il 95% a imprese.
Nel 2024 la sanzione record: oltre 79 milioni di euro (ETid-2306) verso Enel Energia SpA per mancanza di misure tecniche e organizzative adeguate a garantire la protezione delle sue banche dati da accessi abusivi esterni.
Molte sanzioni, ma di importo più contenuto per la PA: 160 sanzioni per circa 12 milioni di euro a Stato (4), PA Locale (65), Sanità (53), Università e scuole (23), Public utilities (14) e 1 in house.
