Il contesto: una metodologia comune per decidere quando sanzionare
Il 17 settembre 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato e posto in consultazione pubblica le nuove Linee guida 04/2026 sui criteri per l’applicazione da parte delle autorità di controllo delle saznioni previste dal GDPR (le "Linee Guida"). Si tratta, allo stato, di una bozza non ancora definitiva e pertanto suscettibile di modifiche.
L'obiettivo dichiarato è armonizzare, tra le diverse autorità di controllo nazionali, la metodologia con cui si decide se irrogare una sanzione amministrativa pecuniaria, in aggiunta o in alternativa alle altre misure correttive previste dal GDPR (avvertimenti, ammonimenti, ordini, limitazioni e divieti, revoca delle certificazioni). Le Linee Guida si affiancano, senza sostituirle, alle precedenti Linee guida 04/2022 sul calcolo dell'importo delle sanzioni: le due guide vanno lette congiuntamente, le prime disciplinano il "se" sanzionare e le seconde il "quanto" sanzionare.
Il punto di partenza delle Linee Guida è la distinzione, ricavata dai considerando 129 e 148 del GDPR, tra misure correttive in senso stretto - che mirano a ripristinare la conformità (ad esempio gli ordini di adeguamento) - e sanzioni in senso proprio, tra cui rientrano le sanzioni amministrative pecuniarie, che assolvono invece una funzione punitiva e dissuasiva. È proprio questa diversa finalità a giustificare, secondo l'EDPB, la possibilità di cumulare più misure correttive per lo stesso illecito, a condizione che la combinazione sia appropriata al caso concreto.
La metodologia in cinque fasi
Le Linee Guida individuano, a tal fine, una metodologia articolata in cinque fasi, che ciascuna autorità di controllo è tenuta a seguire per stabilire se una sanzione amministrativa pecuniaria debba essere irrogata. Le prime tre fasi attengono alle precondizioni giuridiche per l'irrogazione della sanzione; le ultime due attengono, invece, alla valutazione discrezionale sull'opportunità di irrogarla rispetto alle altre misure correttive disponibili.
Fase 1 - L'illecito può dare luogo a una sanzione pecuniaria?
L'autorità di controllo verifica anzitutto se, per la violazione accertata, il GDPR o il diritto nazionale prevedano la possibilità di irrogare una sanzione pecuniaria. Non tutte le violazioni del GDPR sono infatti sanzionabili in via amministrativa: è il caso, ad esempio, degli obblighi generali di accountability di cui all'art. 24 del GDPR, che non rientra espressamente nel catalogo dell'art. 83, salvo essere ricondotto, in alcuni casi, alla violazione del principio di responsabilizzazione di cui all'art. 5(2) del GDPR.
Fase 2 - Il soggetto sottoposto a indagine può essere sanzionato per quella violazione?
L'autorità individua chi sia il soggetto tenuto al rispetto della disposizione violata - titolare, responsabile, organismo di certificazione o di monitoraggio - e accerta la relativa responsabilità. Le Linee Guida ribadiscono il principio, già affermato dalla Corte di Giustizia dell’Unione Europea, per cui il titolare risponde direttamente anche delle violazioni commesse da dipendenti o da soggetti che agiscono per suo conto, senza che sia necessaria l'identificazione di una persona fisica responsabile né una condotta commissiva o una consapevolezza del vertice aziendale.
Fase 3 - La violazione è stata commessa con dolo o colpa?
La sanzione amministrativa presuppone un elemento di colpevolezza, quantomeno a titolo di colpa, che costituisce una condizione non scritta ma necessaria ai sensi dell'art. 83 del GDPR. Le Linee Guida precisano che la soglia per ravvisare la colpa è particolarmente bassa: è sufficiente che il soggetto non potesse ignorare la natura illecita della propria condotta, a prescindere dalla effettiva consapevolezza di violare il GDPR. Né il parere legale esterno o interno contrario alla posizione dell'autorità di controllo, né l'assenza di prassi consolidata, esonerano di norma da responsabilità: un errore di diritto è considerato inevitabile solo in casi del tutto eccezionali, mentre laddove esistano linee guida dell'EDPB sul punto, l'errore è sempre considerato quantomeno colposo.
Fase 4 - I fattori dell'art. 83(2) del GDPR indicano un illecito minore?
Superate le prime tre fasi, l'autorità esamina i fattori aggravanti e attenuanti elencati dall'art. 83(2), lettere da a) a k), del GDPR - tra cui natura, gravità e durata della violazione, carattere doloso o colposo, misure di mitigazione adottate, grado di responsabilità, precedenti violazioni, grado di cooperazione, categorie di dati coinvolti, modalità con cui la violazione è giunta a conoscenza dell'autorità, rispetto di misure precedentemente ordinate, adesione a codici di condotta o meccanismi di certificazione, nonché eventuali altri fattori aggravanti o attenuanti, incluso il profitto ottenuto dall'illecito. Se tali fattori indicano che la violazione è "minore" ai sensi del considerando 148 GDPR, la regola generale è che la sanzione pecuniaria non debba essere irrogata, con la possibilità di ricorrere a un ammonimento; se la violazione non è considerata minore, sussiste invece una forte presunzione a favore della sanzione pecuniaria.
Fase 5 - La sanzione sarebbe efficace, proporzionata e dissuasiva?
Nell'ultima fase, l'autorità verifica se, nel caso concreto, l'irrogazione della sanzione soddisfi i tre criteri cumulativi dell'art. 83(1) del GDPR: efficacia, proporzionalità e dissuasività. Anche quando l'illecito è qualificato come minore, l'EDPB non esclude che l'autorità possa comunque scegliere di irrogare una sanzione pecuniaria se le circostanze del caso lo richiedono; specularmente, anche a fronte di un illecito non minore, l'autorità conserva un margine di discrezionalità per optare, in via eccezionale, per un ammonimento, ad esempio quando la sanzione pecuniaria altrimenti dovuta costituirebbe un onere sproporzionato per una persona fisica o giuridica.
Le Linee Guida illustrano l'intero percorso con un diagramma di flusso e numerosi esempi pratici, alcuni dei quali relativi a sistemi di intelligenza artificiale utilizzati per il monitoraggio dei dipendenti, che possono dare luogo cumulativamente sia ad avvertimenti ex ante sia a sanzioni pecuniarie ex post, a seconda che l'implementazione del sistema sia già avvenuta o resti ancora allo stadio di intenzione dichiarata.
Le implicazioni pratiche per titolari e responsabili
Pur trattandosi di linee guida indirizzate alle autorità di controllo, il documento offre indicazioni operative rilevanti anche per titolari e responsabili del trattamento, poiché anticipa i criteri con cui le autorità valuteranno, caso per caso, la proporzionalità delle proprie difese nell'ambito dei procedimenti sanzionatori.
In primo luogo, la documentazione delle misure organizzative e tecniche adottate ai sensi degli artt. 24, 25 e 32 GDPR assume un peso determinante: le Linee Guida chiariscono che l'autorità valuterà il grado di responsabilità del titolare anche sulla base di quanto questo "poteva ragionevolmente fare", e che l'esistenza di misure di sicurezza, pur rilevante, costituisce un'attenuante solo in circostanze eccezionali, dato l'elevato standard di diligenza richiesto dal GDPR.
In secondo luogo, la tempestività della reazione a un incidente - notifica spontanea, adozione di misure di mitigazione prima che l'autorità avvii un'indagine, cooperazione che vada oltre gli obblighi di legge - può incidere significativamente sulla qualificazione della violazione come minore e, di conseguenza, sulla scelta della misura correttiva. Al contrario, la mera assenza di precedenti violazioni non costituisce di per sé un'attenuante, poiché il rispetto del GDPR è considerato la norma.
In terzo luogo, le Linee Guida valorizzano la recidiva e la sistematicità: violazioni ripetute, anche se singolarmente qualificabili come minori, possono perdere tale qualificazione se rivelano un problema strutturale nell'organizzazione del titolare o del responsabile, come illustrato dagli esempi relativi alla gestione sistematica (e sistematicamente carente) delle richieste di cancellazione o di accesso.
Infine, il documento conferma che il parere di consulenti esterni o di funzioni legali interne non esonera automaticamente da responsabilità, specie quando tale parere risulti in contrasto con l'orientamento noto dell'autorità di controllo o con la posizione prevalente in dottrina: ciò impone particolare cautela nella gestione delle valutazioni di compliance più controverse, con adeguata tracciabilità delle analisi condotte e delle fonti considerate.
