Garante privacy: dal 20 maggio sanzioni per chi non rispetta la protezione dei dati personali

Garante della privacy: dal 20 maggio 2019 scatteranno le sanzioni per le imprese che non si sono adeguate alla normativa vigente in materia di protezione dei dati personali. Le sanzioni arrivano a distanza di 8 mesi dall’entrata in vigore del d.lgs numero 101 del 2018 con il quale la normativa nazionale è stata adeguata al Regolamento 679/2016 in materia di privacy.

Si tratta di sanzioni amministrative pecuniarie di grande portata: fino al 2% del fatturato per le violazioni di lieve entità e fino a 4% del fatturato per quelle più gravi. Fermo restando che il Garante, ove ritenga tali sanzioni sproporzionate, può comminare misure più lievi.

Nonostante il 20 maggio sia ormai alle porte, mancano ancora delle organiche linee direttive sulle modalità e sui principi di accertamento delle violazioni tra i diversi Garanti della privacy dei Paesi europei.

Garante della privacy: dal 20 maggio scattano le sanzioni

Le sanzioni previste dal Garante della privacy per chi non si è adeguato alle disposizioni in materia di protezione dei dati scatteranno dal 20 maggio 2019. In caso di mancato adeguamento, verranno comminate alle imprese sanzioni amministrative pecuniarie fino a 10 milioni di euro e fino al 2% del fatturato. Nello specifico, tali sanzioni riguardano la violazione degli obblighi di protezione dei dati personali per i soggetti seguenti:

• i titolari e responsabili del trattamento dei dati (artt. 8, 11, da 25 a 39, 42 e 43 GDPR);

• l’organismo di certificazione;

• l’organismo di controllo dei codici di condotta (art. 41 GDPR).

Oltre a queste, il Garante prevede un altro gruppo di sanzioni per violazioni di maggiore entità: fino a 20 milioni di euro per le imprese e fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente. Tali sanzioni sono previste in caso di violazione:

• dei principi base del trattamento dei dati e delle condizioni relative al consenso;

• dei diritti degli interessati, a norma degli articoli da 12 a 22;

• delle regole di trasferimento dei dati personali a un destinatario in un Paese terzo o un’organizzazione internazionale;

• di qualsiasi obbligo ai sensi delle legislazioni degli Stati membri;

• di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo.

In alternativa o in aggiunta a queste, il Garante della privacy potrà comminare anche altre sanzioni, come previsto dall’articolo 58 del GDPR. per esempio, se la violazione è di minore entità o risulta essere economicamente sproporzionata per la persona fisica, il Garante può rivolgere al trasgressore un semplice ammonimento.

Le modalità di accertamento

Le violazioni delle disposizioni in materia di trattamento dei dati personali vengono valutate in base a:

• i risultati conseguiti;

• la capacità di adeguarsi alle nuove regole (in considerazione delle tecnologie a disposizione della specifica realtà lavorativa).

Tuttavia, anche se le sanzioni sono imminenti, almeno per il momento, non sono ancora stati determinati con esattezza i parametri di adeguamento in quanto non è ancora avvenuto il coordinamento tra i Garanti della privacy dei vari Stati membri.