Le sanzioni amministrative pecuniarie nel GDPR: l’art. 83 alla luce della “Fining policy” dell’Autorità olandese per la protezione dei dati personali

Le sanzioni amministrative pecuniarie previste dal GDPR

Una delle ragioni alla base dell’interesse di massa sviluppatosi intorno al Reg. UE 2016/679[1] (di seguito GDPR) è sicuramente rinvenibile nello stringente sistema sanzionatorio che tale fonte normativa europea, nel suo art. 83, ha introdotto.

Il GDPR prevede infatti due tipologie di sanzioni amministrative pecuniarie particolarmente stringenti:

A. fino a 10.000.000 EUR, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore;
B. fino a 20.000.000 EUR, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Al diverso ammontare della potenziale sanzione pecuniaria si accompagnano violazioni di differenti norme:

  • nel caso delle sanzioni appartenenti alla tipologia A, le norme violate si riferiscono a: obblighi del titolare del trattamento e del responsabile del trattamento (artt. 8, 11, da 25 a 39, 42 e 43), obblighi dell’organismo di certificazione (art. 42 e 43) nonché agli obblighi dell’organismo di controllo (art. 41 par.4);
  • nel caso delle sanzioni appartenenti alla tipologia B, invece, le norme violate riguardano: principi di base del trattamento (art. 5, 6, 7 e 9), diritti degli interessati (artt. da 12 a 22), trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale (artt. da 44 a 49), obblighi previsti dalle legislazioni degli Stati membri adottate a norma del capo IX, l’inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo o il negato accesso in violazione (art. 58).

L’elevato ammontare delle sanzioni pecuniarie previste dal Regolamento europeo ha costituito – e costituisce tuttora – cagione di evidente preoccupazione per i Titolari e i Responsabili del trattamento, intimoriti dalle possibili ripercussioni che sanzioni siffatte, unitamente ai probabili danni reputazionali collegati, potrebbero avere sulle proprie aziende o sul proprio business.

In realtà, è lo stesso GDPR a porre un argine alla discrezionalità delle Autorità garanti per i dati personali nel determinare l’ammontare della sanzione pecuniaria da comminare.

L’art. 83, paragrafo 2, prevede infatti una serie di criteri in base ai quali l’eventuale sanzione dovrà essere parametrata:

a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito;
b) il carattere doloso o colposo della violazione;
c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati
d) il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;
e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
f) il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
g) le categorie di dati personali interessate dalla violazione;
h) la maniera in cui l’autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
i) qualora siano stati precedentemente disposti provvedimenti di cui all’articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
j) l’adesione ai codici di condotta approvati ai sensi dell’articolo 40 o ai meccanismi di certificazione approvati ai sensi dell’articolo 42; e
k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione.

Nonostante tali criteri possano, in un certo senso, guidare l’interprete, amplissimi spazi di incertezza permangono in merito all’effettiva portata della sanzione economica cui il Titolare o il Responsabile andrebbero incontro in caso di inadempimento dei precetti normativi del GDPR. Tale indeterminatezza riverbera i propri effetti anche sui professionisti chiamati a coadiuvare le aziende nel processo di adeguamento alla normativa europea, i quali sono costretti a sforzi di astrazione per tentare di quantificare ai propri assistiti, nel modo migliore possibile, il plausibile costo di un disallineamento della condotta aziendale rispetto a quanto imposto o suggerito dal GDPR.

Il tutto va a pesare altresì sul già rilevante bilancio di incertezza dovuto all’adeguamento a una normativa di recente introduzione, basata sul criterio – di matrice anglosassone – dell’accountability, ossia della responsabilizzazione del titolare del trattamento, in forza del quale quest’ultimo sarà tenuto, proattivamente, a dimostrare di aver attuato misure adeguate per garantire che il trattamento dei dati personali effettuato sia conforme allo stesso Regolamento.

La “Fining policy” dell’Autorità olandese per la protezione dei dati personali

Nel quadro così tratteggiato, il primo e (sinora) unico tentativo di portare maggiore trasparenza del processo di determinazione della sanzione pecuniaria è stato effettuato dall’Autorità garante per la protezione dei dati personali olandese.

L’Autoriteit Persoonsgegevens[2] ha infatti recentemente pubblicato una vera e propria “Fining policy” relativa al processo di determinazione delle sanzioni dovute alla violazione degli obblighi imposti dal GDPR.

La policy olandese introduce un sistema basato su quattro categorie di sanzioni pecuniarie ricollegate alla violazione di norme specifiche del GDPR (indicate analiticamente negli allegati 1 e 2 delle “Norme sulle norme dell’Autorità per i dati personali del 19 febbraio 2019 per quanto riguarda la determinazione del livello delle ammende amministrative[3]).

Le categorie in esame possono essere in tal modo schematizzate:

Categoria Sanzione minima Sanzione massima Sanzione base
I € 0 € 200.000,00 € 100.000,00
II € 120.000,00 € 500.000,00 € 310.000,00
III € 300.000,00 € 750.000,00 € 525.000,00
IV € 450.000,00 € 1.000.000,00 € 725.000,00

In base alla policy dell’Autoriteit Persoonsgegevens, la Categoria I includerà violazioni minori, ad esempio l’inosservanza del diritto di rettifica o cancellazione o la mancata pubblicazione dei dati di contatto del DPO. Le categorie II e III copriranno la maggior parte delle possibili violazioni del GDPR, quali l’inosservanza dei principi relativi al trattamento di dati personali (violazione dell’articolo 5) o dell’obbligo relativo alla liceità del trattamento (violazione dell’articolo 6). Naturalmente la Categoria IV si presterà a violazioni più gravi, come violazioni che implicano l’elaborazione di categorie di dati personali particolari, decisioni automatizzate o profilazione e qualsiasi trattamento illecito di dati giudiziari (per un’analisi più approfondita sulle singole violazioni rientranti nelle quattro categorie sopracitate si rimanda alle tabelle di dettaglio in calce all’articolo).

L’ammontare effettivo della sanzione sarà poi determinato a partire dalla sanzione base e aumentando o diminuendo tale importo sulla base dei molteplici criteri disciplinati nell’art. 7 della “Fining policy”, quali: a) la natura, la gravità e la durata dell’infrazione, tenendo conto della natura, o della finalità del trattamento in questione, nonché del numero di persone interessate e dell’entità del danno da esse subito; b) della natura dolosa o colposa della violazione; c) le misure che il titolare del trattamento o responsabile del trattamento hanno adottato per limitare il danno subito dagli interessati; d) il grado di responsabilità del titolare o del responsabile del trattamento sulla base delle misure tecniche e organizzative attuate conformemente agli articoli 25 e 32 del Regolamento generale sulla protezione dei dati; e) precedenti violazioni rilevanti; f) il grado di cooperazione con l’autorità di controllo per sanare l’infrazione e limitare le possibili conseguenze negative; g) le categorie di dati personali interessati dall’infrazione; h) il modo in cui l’autorità di vigilanza è venuta a conoscenza dell’infrazione, etc.

Meritevoli di specifico approfondimento sono altresì alcune norme di chiusura, dalle quali traspare la meritoria opera di adeguamento dell’Autorità olandese a quanto sancito dal paragrafo 9 dell’art. 83 GDPR, ai sensi del quale “le sanzioni pecuniarie irrogate sono effettive, proporzionate e dissuasive”:

  • nell’art. 8 è disciplinata la possibilità di irrogare sanzioni amministrative superiori ai massimali di cui alle quattro categorie prima citate (sempre nel rispetto dei limiti previsti dal GDPR), nel caso in cui l’ammontare della sanzione non sia tale da costituire un’adeguata reazione alla violazione perpetrata dal Titolare o dal Responsabile del trattamento;
  • l’art. 9 prevede esplicitamente che la situazione economica del soggetto sanzionato venga presa in considerazione come elemento di parametrizzazione della sanzione; ciò comporta che l’Autorità olandese ben potrebbe decidere di comminare una sanzione “più lieve” nel caso in cui l’applicazione tassativa della “Fining policy” risultasse essere eccessivamente punitiva per il Titolare o Responsabile del trattamento.

Considerazioni finali

Anche nella consapevolezza dell’ambito di applicazione della policy (limitato naturalmente all’attività dell’Autorità garante olandese) e dei pur ampi margini di discrezionalità che la caratterizzano[4], non si può ignorare la portata innovativa del provvedimento dell’Autorità garante olandese.

Nonostante infatti la normativa europea non imponga agli Stati membri di dotarsi di una politica di dettaglio in relazione all’applicazione dell’art. 83, la policy olandese potrebbe fungere da apripista per l’emissione di simili provvedimenti anche da parte delle altre Autorità garanti europee che volessero emulare i colleghi dell’Autoriteit Persoonsgegevens nell’emissione di provvedimenti atti a chiarire e precisare la portata applicativa dell’art. 83 GDPR.

La categorizzazione delle violazioni e delle relative sanzioni potrebbe altresì rappresentare uno strumento in più a disposizione di Titolari e Responsabili del trattamento per poter valutare, con un maggiore grado di precisione, le conseguenze patrimoniali di una violazione o di un mancato adeguamento alle norme previste dal GDPR.

Tabella di dettaglio relativa agli allegati 1 e 2 della “Fining policy” olandese

Articolo GDPR Rubrica della norma Categoria

Allegato 1

8 Condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione II
11 Trattamento che non richiede l’identificazione I
25 Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita II
26 Contitolari del trattamento I
27 (fatto salvo il III par.) Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell’Unione III
27 (III par.) Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell’Unione II
28 (fatto salvo il IX par.) Responsabile del trattamento II
28 (IX par.) Responsabile del trattamento I
29 Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento I: se il sanzionato è una persona fisica;
II: se il sanzionato è una persona giuridica;
30 (fatto salvo il III par.) Registri delle attività di trattamento II
30 (III par.) Registri delle attività di trattamento I
31 Cooperazione con l’autorità di controllo III
32 Sicurezza del trattamento II
33 (fatto salvo il III par.) Notifica di una violazione dei dati personali all’autorità di controllo III
33 (III par.) Notifica di una violazione dei dati personali all’autorità di controllo II
34 (fatto salvo il II par.) Comunicazione di una violazione dei dati personali all’interessato III
34 (II par.) Comunicazione di una violazione dei dati personali all’interessato II
35 (fatto salvo il IX par.) Valutazione d’impatto sulla protezione dei dati II
35 (IX par.) Valutazione d’impatto sulla protezione dei dati I
36 Consultazione preventiva II
37  (fatto salvo il VII par.) Designazione del responsabile della protezione dei dati II
37 (VII par.) Designazione del responsabile della protezione dei dati I
38 (fatti salvi il II e il VI par.) Posizione del responsabile della protezione dei dati II
38 (II e VI par.) Posizione del responsabile della protezione dei dati I
39 Compiti del responsabile della protezione dei dati II
41 (IV par.) Controllo dei codici di condotta approvati I
 42 (fatti salvi il III e il VI par.) Certificazione II
42 (III par.) Certificazione I
42 (III par.) Certificazione III
43 (VI par.) Organismi di certificazione I

Allegato 2

5, I par. esclusa la lettera a) Principi applicabili al trattamento di dati personali III
5, I par. lettera a) e II par. Principi applicabili al trattamento di dati personali I,II,III,IV a seconda della violazione accertata
6 Liceità del trattamento III
7 Condizioni per il consenso III
9 Trattamento di categorie particolari di dati personali IV
12 (fatti salvi il III, IV e V par.) Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato III
12 (III, IV e V par.) Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato II
13 Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato III
14 Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato III
15 Diritto di accesso dell’interessato III
16 Diritto di rettifica III
17 Diritto alla cancellazione («diritto all’oblio») III
18 (fatto salvo il III par.) Diritto di limitazione di trattamento III
18 (III par.) Diritto di limitazione di trattamento II
19 Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento II
20 Diritto alla portabilità dei dati III
21 (fatto salvo il IV par.) Diritto di opposizione III
21 (IV par.) Diritto di opposizione II
22 Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione IV
44 Principio generale per il trasferimento III
45 Trasferimento sulla base di una decisione di adeguatezza III
46 Trasferimento soggetto a garanzie adeguate III
47 Norme vincolanti d’impresa III
48 Trasferimento o comunicazione non autorizzati dal diritto dell’Unione III
49 Deroghe in specifiche situazioni III
Tutti gli obblighi previsti dagli stati membri ai sensi del Capo IX GDPR Disposizioni relative a specifiche situazioni di trattamento I,II,III,IV a seconda della violazione accertata
58 Poteri IV

Note

[1] https://www.garanteprivacy.it/regolamentoue.

[2] https://autoriteitpersoonsgegevens.nl/.

[3] https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/stcrt-2019-14586.pdf.

[4] Aspetto evidenziato anche da importanti esponenti del panorama forense olandese: https://globaldatareview.com/article/1188985/dutch-watchdog-releases-gdpr-fining-policy.

 

Articolo a cura di Mauro Formato

Profilo Autore

Laureato in giurisprudenza nel 2015 con tesi in diritto processuale dell’Unione Europea presso l’Università degli Studi del Sannio.
Dal 2015 al 2017 collaboratore presso diversi studi legali e tirocinante presso la sezione Lavoro e Previdenza del Tribunale di Benevento.
Ha frequentato un corso intensivo di specializzazione in privacy & data protection conseguendo la qualifica di Data Protection Specialist. Ha conseguito il diploma di perfezionamento in Diritto dell’Unione Europea al termine del “Jean Monnet Progamme”.
Attualmente collabora con NSR S.r.l. in qualità di Legal Consultant, prestando la propria opera prevalentemente in ambito Privacy & Data Protection.

Condividi sui Social Network:

Articoli simili