quali sanzioni rischia chi viola i dati personali?

Il GDPR prevede sanzioni fino a 20 milioni o al 4% del fatturato. Ma si rischia anche penalmente e civilmente. Ecco il quadro completo.

Un’azienda pubblica dati personali dei propri dipendenti senza autorizzazione. Un medico condivide informazioni sanitarie dei pazienti con terzi non autorizzati. Un sito web raccoglie dati degli utenti senza una base giuridica valida. In tutti questi casi si pone la stessa domanda: quali conseguenze comporta la violazione delle norme sulla protezione dei dati personali?

La risposta coinvolge tre piani distinti che possono cumularsi: sanzioni amministrative inflitte dal Garante, responsabilità penale per le fattispecie previste dal Codice Privacy, e risarcimento civile del danno subito dagli interessati. Non si escludono a vicenda: chi viola le norme sulla privacy può trovarsi ad affrontare contemporaneamente un procedimento davanti al Garante, un processo penale e una causa civile.

Il sistema si fonda su due pilastri normativi principali. Il Regolamento UE 2016/679 — comunemente noto come GDPR— in vigore dal 25 maggio 2018, si applica direttamente in tutti gli Stati membri e costituisce la disciplina generale europea. Il D.Lgs. n. 196/2003 — il Codice Privacy — modificato in modo organico dal D.Lgs. n. 101/2018 per adeguarlo al GDPR e successivamente dal D.Lgs. n. 24/2023, integra e specifica la disciplina nazionale, in particolare per i profili settoriali e per le fattispecie penali.

La domanda in tema di privacy e GDPR su quali sanzioni rischia chi viola i dati personali è diventata sempre più rilevante per aziende, pubbliche amministrazioni e professionisti, anche perché il GDPR ha eliminato qualsiasi soglia dimensionale: anche le realtà più piccole sono soggette agli stessi obblighi e alle stesse sanzioni delle grandi imprese, calibrate naturalmente al rischio concreto del trattamento.

Qual è il quadro normativo di riferimento?

Il GDPR è un regolamento europeo, quindi direttamente applicabile in Italia senza necessità di recepimento. Prevale su qualsiasi norma interna incompatibile. Disciplina i principi generali del trattamento, i diritti degli interessati, gli obblighi di titolari e responsabili, le misure di sicurezza, la valutazione del rischio e il sistema sanzionatorio amministrativo.

Il Codice Privacy, dopo le modifiche del 2018, svolge una funzione complementare: integra il GDPR nelle materie che il regolamento europeo rimette agli Stati membri — come il trattamento dei dati nel rapporto di lavoro, in ambito sanitario, nella ricerca scientifica, nel giornalismo — e contiene le fattispecie penali specifiche in materia di privacy, che il GDPR non disciplina direttamente lasciando agli ordinamenti nazionali.

Il quadro è completato dai provvedimenti, dalle FAQ e dalle linee guida del Garante per la protezione dei dati personali, disponibili su www.garanteprivacy.it, e dalle linee guida del Comitato Europeo per la Protezione dei Dati(EDPB), che forniscono interpretazioni autorevoli del GDPR su temi specifici come il consenso, la profilazione, i cookie, il diritto di accesso e il trattamento dei dati dei lavoratori. Questi atti non sono legge in senso formale, ma orientano in modo fortemente persuasivo l’interpretazione e l’applicazione delle norme.

Quali sono i principi fondamentali del trattamento?

L’art. 5 GDPR elenca i principi a cui deve conformarsi qualsiasi trattamento di dati personali: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. A questi si aggiunge il principio di accountability, o responsabilizzazione: il titolare del trattamento non solo deve rispettare questi principi, ma deve essere in grado di dimostrarlo.

L’approccio basato sul rischio è centrale nell’impianto del GDPR: le misure tecniche e organizzative da adottare devono essere proporzionate al rischio specifico connesso al trattamento, tenendo conto della natura dei dati, della loro sensibilità, della frequenza degli accessi e della complessità delle infrastrutture. Non esistono più categorie di operatori esclusi per dimensione: anche una piccola impresa o un professionista individuale devono adottare misure adeguate al rischio del proprio trattamento.

Quali sanzioni amministrative può irrogare il Garante?

Gli artt. 83 e 84 GDPR prevedono un sistema sanzionatorio amministrativo particolarmente incisivo, strutturato su due fasce.

La fascia inferiore — fino a 10 milioni di euro o al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore — si applica alle violazioni di obblighi più formali: tenuta dei registri delle attività di trattamento, notifica delle violazioni dei dati al Garante, designazione del Data Protection Officer, obblighi dei responsabili del trattamento.

La fascia superiore — fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, se superiore — si applica alle violazioni più gravi: inosservanza dei principi fondamentali del trattamento, violazione dei diritti degli interessati, trasferimenti illeciti di dati verso Paesi terzi, inosservanza degli ordini del Garante.

In entrambi i casi, il Garante determina l’importo concreto della sanzione tenendo conto di una serie di criteri: natura, gravità e durata della violazione; numero di interessati coinvolti; livello del danno subito; carattere doloso o colposo della violazione; misure adottate per attenuare il danno; grado di collaborazione con l’autorità; precedenti violazioni.

Quali poteri correttivi ha il Garante oltre alle sanzioni pecuniarie?

Le sanzioni pecuniarie sono solo uno degli strumenti a disposizione del Garante. L’autorità dispone di un ventaglio ampio di misure correttive che può adottare in alternativa o in aggiunta alla sanzione economica.

Tra queste: ammonimenti e avvertimenti al titolare o al responsabile del trattamento; ingiunzioni a soddisfare le richieste di esercizio dei diritti degli interessati; ordini di conformare i trattamenti alla disciplina entro termini specifici; limitazioni temporanee o definitive del trattamento, fino al divieto assoluto; ordini di rettifica, cancellazione o anonimizzazione di dati trattati illecitamente; ordini di rimozione di dati da siti pubblici e di deindicizzazione dai motori di ricerca, in applicazione del diritto all’oblio previsto dall’art. 17 GDPR; ispezioni e richieste di informazioni e documentazione.

Per le pubbliche amministrazioni, alle sanzioni del Garante si aggiungono possibili responsabilità dirigenziali per mancata vigilanza o omessa correzione delle violazioni, e responsabilità disciplinari dei funzionari e dipendenti coinvolti.

Quali reati prevede il Codice Privacy?

Il Codice Privacy — nel Titolo III, artt. 167 e seguenti del D.Lgs. n. 196/2003 — contiene diverse fattispecie penali specifiche in materia di dati personali.

Le principali categorie di reato riguardano: il trattamento illecito di dati personali, in particolare quando comporta un nocumento all’interessato; la comunicazione o diffusione illecita di dati personali, con aggravanti per i dati particolari come quelli sanitari o giudiziari; le falsità nelle dichiarazioni e nelle notificazioni al Garante; la inosservanza dei provvedimenti del Garante; le violazioni delle misure di sicurezza idonee a causare un danno o a esporre a rischio grave gli interessati.

Le pene variano a seconda della fattispecie e comprendono, a seconda dei casi, la reclusione e ammende pecuniarie, cui possono aggiungersi pene accessorie come la pubblicazione della sentenza o l’interdizione da determinate attività.

Un elemento importante: la responsabilità penale si aggiunge alle sanzioni amministrative e alla responsabilità civile. Non c’è un meccanismo di assorbimento automatico tra i tre piani: chi commette un fatto che integra sia una violazione amministrativa sia un reato può essere destinatario sia della sanzione del Garante sia di una condanna penale.

Quando scatta la responsabilità civile per danni da trattamento illecito?

Chi subisce un danno materiale o immateriale a causa di un trattamento di dati personali illecito o non conforme al GDPR ha diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento.

Il danno può essere patrimoniale — perdita economica, costi sostenuti, mancati guadagni derivanti dalla violazione — oppure non patrimoniale — lesione della reputazione, sofferenza morale, lesione del diritto alla riservatezza e all’autodeterminazione informativa. La giurisprudenza riconosce entrambe le voci come risarcibili, anche quando il danno non patrimoniale è difficile da quantificare.

Questo tipo di responsabilità è tipicamente extracontrattuale: tutela un diritto fondamentale della persona, e chi agisce non deve necessariamente dimostrare un rapporto contrattuale con il titolare del trattamento.

I tre piani si cumulano o si escludono?

Si cumulano. Questo è uno dei punti più importanti da comprendere. Il fatto che il Garante abbia già irrogato una sanzione amministrativa non esclude la possibilità per l’interessato di agire in sede civile per il risarcimento. Il fatto che la condotta integri un reato non elimina la sanzione amministrativa né il diritto al risarcimento. Sono tre piani autonomi, con finalità diverse, che coesistono.

Il procedimento davanti al Garante mira alla repressione pubblicistica della violazione e al ripristino della conformità. Il procedimento penale mira all’accertamento della responsabilità criminale e alla punizione. Il giudizio civile mira a reintegrare il patrimonio — anche morale — dell’interessato.

L’interessato che ha subito una violazione dei propri dati personali può quindi: presentare reclamo al Garante per ottenere l’intervento dell’autorità; agire in sede civile per il risarcimento, anche indipendentemente dall’esito del procedimento amministrativo; costituirsi parte civile nel processo penale, se instaurato.

Come ridurre concretamente il rischio sanzionatorio?

La logica del GDPR è preventiva: chi adotta misure adeguate ex ante riduce significativamente il rischio di violazioni e, in caso di controllo, può dimostrare la propria diligenza. Alcune misure sono particolarmente rilevanti: la valutazione preventiva della base giuridica per ogni trattamento; l’adozione di misure tecniche e organizzative proporzionate al rischio; la tenuta di un registro delle attività di trattamento e delle valutazioni effettuate, che documenta l’accountability del titolare; la chiara definizione di ruoli e responsabilità; la verifica dei tempi di conservazione e la cancellazione dei dati non più necessari; la formazione del personale.

Queste misure non eliminano il rischio, ma lo riducono e, in caso di violazione accertata, costituiscono un elemento che il Garante e il giudice possono valutare positivamente nella determinazione della sanzione o del risarcimento.

Conclusioni

In sintesi: il sistema italiano ed europeo di protezione dei dati personali configura un regime sanzionatorio articolato su tre livelli — amministrativo, penale e civile — che possono cumularsi. Le sanzioni amministrative del Garante possono essere molto elevate. Le fattispecie penali del Codice Privacy aggiungono un ulteriore rischio per le violazioni più gravi. Il diritto al risarcimento del danno tutela l’interessato sul piano individuale. Conoscere questo quadro è il primo passo per gestire i trattamenti in modo consapevole e conforme.