Multe per la violazione del GDPR
I legislatori europei hanno voluto dichiarare in modo evidente l’importanza del provvedimento stabilendo forti sanzioni amministrative pecuniarie e/o penali nei casi di violazione del GDPR.
A seconda della gravità dell’infrazione le multe sono suddivise in due scaglioni:
■ Fino a 10 milioni di euro o per le imprese fino al 2% del fatturato annuo mondiale dell’esercizio precedente
Multa inflitta per la trasgressione di principi come la privacy by design, ovvero la mancata protezione dei dati sin dalla loro progettazione o la carenza di misure adatte a garantire un buon standard di sicurezza.
■ Fino a 20 milioni di euro o per le imprese fino al 4% del fatturato annuo mondiale dell’esercizio precedente
Multa inflitta nei casi di violazione dei principi fondamentali, come la negazione del diritto all’oblio o l’opacità nella richiesta del consenso dei dati.
Tali sanzioni penali possono anche autorizzare la sottrazione dei profitti ottenuti mediante la violazione del Regolamento.
Tuttavia l’imposizione delle sanzioni penali non deve mai contrastare il principio del “ne bis in idem”, ovvero non si può essere processati due volte per lo stesso fatto ma si può essere condannati più volte.
SANZIONI CORRETTIVE
Le sanzioni correttive sono connesse ai poteri dell’Autorità di controllo che consistono nel:
- Rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono violare il GDPR
- Rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del GDPR
- Ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i relativi diritti
- Ingiungere al titolare o al responsabile del trattamento di conformare i trattamenti alle disposizioni del GDPR, anche specificando in che modo ed entro quale termine
- Ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali
- Imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento
- Ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali
- Revocare la certificazione o ingiungere all’organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all’organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti
- Infliggere una sanzione amministrativa pecuniaria in aggiunta alle presenti misure (v. sopra)
- Ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale
