Categoria: Sanzioni del Garante privacy

Chi cerca consulenza privacy a Napoli raramente lo fa in anticipo. Nella grande maggioranza dei casi la telefonata arriva dopo: un dipendente che ha presentato un reclamo per le telecamere installate in reparto, un ex cliente che ha chiesto la cancellazione dei suoi dati e non ha ricevuto risposta, una richiesta di informazioni dell’Autorità recapitata via PEC, una violazione di dati che ha reso improvvisamente urgente capire chi fosse il titolare di che cosa.

È una sequenza prevedibile, ed è utile conoscerla, perché il momento in cui si interviene cambia radicalmente lo spazio di manovra.

Da dove partono i procedimenti

Il Garante apre procedimenti in tre modi: d’ufficio, su segnalazione e — soprattutto — su reclamo ai sensi dell’art. 77 del Regolamento. Il reclamo è lo strumento più utilizzato perché è gratuito, non richiede un avvocato e può essere presentato da chiunque ritenga che il trattamento dei propri dati violi la normativa.

Chi lo presenta, nella pratica, è quasi sempre qualcuno che ha avuto un rapporto con l’organizzazione e che quel rapporto lo ha chiuso male. Un dipendente uscito dopo un contenzioso di lavoro. Un socio che se n’è andato. Un cliente rimasto insoddisfatto. Un paziente. Un utente che ha continuato a ricevere comunicazioni commerciali dopo avere chiesto di smettere. Il reclamo, in questi casi, non è quasi mai il fine: è uno strumento di pressione dentro una vicenda più ampia. Ma il procedimento che ne consegue è reale e segue le sue regole.

Che cosa contesta l’Autorità ad aziende e studi professionali

Una volta aperto il fascicolo, l’istruttoria non si limita al fatto segnalato. Le richieste di informazioni ai sensi dell’art. 157 del Codice sono ampie, e il quadro documentale che ne emerge è spesso più problematico dell’episodio che ha dato origine a tutto.

• Base giuridica del trattamento. È il punto centrale. Consenso invocato dove serviva il contratto, legittimo interesse dichiarato senza che di quel bilanciamento esista traccia, obblighi di legge citati genericamente.
• Informativa non corrispondente alla realtà. Abbiamo dedicato un approfondimento agli errori più frequenti nell’informativa privacy sul sito web.
• Registro dei trattamenti assente, incompleto o non aggiornato. È il primo documento richiesto in verifica: ne abbiamo parlato a proposito del registro delle attività di trattamento.
• Rapporti con i fornitori non regolati. Gestionali in cloud, consulenti del lavoro, società di manutenzione informatica, piattaforme di marketing: ciascuno di essi tratta dati per conto del titolare e richiede l’atto previsto dall’art. 28. Il tema è affrontato nell’articolo sulla nomina del responsabile del trattamento.
• Riscontro alle richieste degli interessati. L’art. 12 fissa un termine di un mese, prorogabile di due in casi giustificati. Il silenzio è, di per sé, una violazione.
• Videosorveglianza e controlli sul lavoro. È il capitolo su cui si concentra la parte più consistente del contenzioso: senza accordo sindacale o autorizzazione dell’Ispettorato manca il presupposto stesso dell’installazione, come abbiamo visto parlando di videosorveglianza sul luogo di lavoro.

Il tessuto produttivo dell’area napoletana e i trattamenti che vi si concentrano

Alcune categorie di attività, molto rappresentate nella città metropolitana di Napoli e in Campania, trattano per loro natura dati che il Regolamento considera particolari o che comportano un monitoraggio sistematico degli interessati: poliambulatori, laboratori di analisi e strutture sanitarie private; studi professionali associati che gestiscono dati di clienti e di dipendenti altrui; società che erogano servizi in appalto o in concessione per comuni ed enti pubblici; operatori della logistica e del commercio elettronico; ordini professionali; strutture ricettive e della ristorazione con sistemi di videosorveglianza estesi.

Per tutte queste realtà la designazione di un Responsabile della protezione dei dati è spesso obbligatoria, e la sua assenza o la sua collocazione impropria diventa un rilievo autonomo. Ne abbiamo scritto negli articoli dedicati al DPO esterno a Napoli e al DPO nella pubblica amministrazione.

Quanto costa

L’art. 83 del Regolamento distingue due fasce. Le violazioni degli obblighi organizzativi — registro, sicurezza, nomina del DPO, valutazione d’impatto, notifica delle violazioni di dati — arrivano fino a dieci milioni di euro o al due per cento del fatturato mondiale totale annuo dell’esercizio precedente. Le violazioni dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti arrivano fino a venti milioni o al quattro per cento.

Gli importi effettivamente irrogati dipendono dalla natura e dalla gravità della violazione, dal numero di interessati coinvolti, dalla durata, dal carattere doloso o colposo, dalle misure adottate per attenuare il danno e dal grado di cooperazione con l’Autorità. Su questo abbiamo scritto in modo più esteso in sanzioni privacy: quanto costa davvero una violazione del GDPR.

Accanto alla sanzione pecuniaria vanno considerati i poteri correttivi dell’art. 58 — ammonimento, ingiunzione, limitazione o divieto del trattamento — e l’azione risarcitoria che l’art. 82 riconosce all’interessato davanti al giudice ordinario. Quest’ultima, nel contenzioso di lavoro, è ormai una costante.

Che cosa si può ancora fare dopo l’apertura di un procedimento

Molto, se si agisce nei termini. Il procedimento davanti al Garante ha una sua scansione: la richiesta di informazioni, l’eventuale contestazione della violazione ai sensi dell’art. 166, comma 5, del Codice, il termine di trenta giorni per le memorie difensive e per la richiesta di audizione. Sono termini brevi, e sono i termini entro i quali si costruisce la posizione del titolare. Le condotte tenute dopo la contestazione — le misure correttive adottate, la collaborazione prestata — rilevano espressamente nella determinazione della sanzione.

Come lavora lo studio

Lo studio dell’avv. Elio Errichiello ha sede a Napoli e assiste in tutta Italia. Svolge incarichi di Responsabile della protezione dei dati per ordini professionali, comuni, enti pubblici non economici e strutture sanitarie private, e assiste aziende e professionisti nei procedimenti davanti al Garante e nel contenzioso risarcitorio. L’attività è descritta nella pagina del servizio di consulenza privacy e protezione dei dati personali e in quella dedicata al DPO e all’obbligo di nomina. Per il diritto amministrativo e le altre materie è disponibile il sito dell’avv. Elio Errichiello.

Se avete ricevuto un reclamo, una richiesta di informazioni o una contestazione, oppure se volete capire a che punto siete prima che lo stabilisca qualcun altro, il primo passo è un esame preliminare della documentazione e dei termini in corso. Scrivete allo studio indicando il tipo di attività e che cosa è arrivato.

Quando in azienda si parla di adeguamento al GDPR, la domanda che chiude quasi sempre la riunione è una sola: cosa rischiamo davvero? Le sanzioni privacy non sono un’ipotesi teorica riservata alle multinazionali, e i provvedimenti pubblicati dal Garante per la protezione dei dati personali nell’ultimo anno lo mostrano con una certa nettezza: colpiscono società di grandi dimensioni e cooperative sociali, amministrazioni pubbliche e società partecipate, e nascono quasi sempre da situazioni ordinarie, non da attacchi eccezionali.

Vale la pena guardare i numeri e, soprattutto, capire da cosa nascono le contestazioni.

Quanto valgono, in astratto, le sanzioni privacy

L’art. 83 del Regolamento generale sulla protezione dei dati costruisce un sistema a due livelli. Per le violazioni meno gravi il tetto è di dieci milioni di euro o, per le imprese, del due per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Per le violazioni più gravi — quelle che riguardano i principi fondamentali del trattamento, le condizioni del consenso, i diritti degli interessati, i trasferimenti verso Paesi terzi — il tetto sale a venti milioni di euro o al quattro per cento del fatturato mondiale.

Il punto che sfugge più spesso è che questi non sono importi che si applicano meccanicamente. L’art. 83 elenca una serie di criteri che l’autorità deve considerare: la natura, la gravità e la durata della violazione, il carattere doloso o colposo, le misure adottate per attenuare il danno, il grado di cooperazione con l’autorità, il modo in cui l’autorità è venuta a conoscenza della violazione. È in questa valutazione che si gioca la differenza tra una contestazione che si chiude con poche migliaia di euro e una che arriva a sette cifre — ed è anche il terreno su cui la difesa dell’ente può incidere concretamente.

Cosa contesta il Garante, in concreto

Guardando i provvedimenti resi pubblici tra la fine del 2025 e il 2026 emergono alcune costanti. Sul quadro generale degli strumenti di tutela e dell’apparato sanzionatorio abbiamo una pagina dedicata ai mezzi di ricorso e alle sanzioni previsti dal GDPR.

La sicurezza dei sistemi. Con provvedimento del 14 maggio 2026 il Garante ha sanzionato Wind Tre per oltre 1,7 milioni di euro a seguito di una violazione che ha interessato i dati di più di 365.000 clienti, compresi dati di pagamento: soggetti esterni erano riusciti ad accedere ai sistemi fingendosi personale di supporto, e all’esito dell’istruttoria sono state contestate carenze nella gestione delle credenziali e dei certificati. Sempre sul piano della sicurezza, il 17 aprile 2026 The European House Ambrosetti è stata sanzionata per 85.000 euro per una violazione che ha riguardato oltre 61.000 interessati, con contestazione della conservazione di password in chiaro e di una comunicazione agli interessati arrivata circa due mesi dopo la scoperta.

Il marketing e la base giuridica. Il 12 marzo 2026 Enel Energia è stata sanzionata per 563.052 euro per aver proposto offerte commerciali, anche tramite soggetti terzi, nel corso di contatti nati per la gestione del rapporto e nonostante l’opposizione manifestata dai clienti. Il 27 novembre 2025 sono state adottate due misure significative: 400.000 euro a Verisure Italia, con contestazioni relative alla gestione tardiva delle opposizioni, alla validità del consenso raccolto per il teleselling e a un periodo di conservazione ritenuto eccessivo; 300.000 euro ad Aimag, per un’area riservata che consentiva a chiunque disponesse di un codice fiscale di registrarsi a nome altrui, oltre a caselle di consenso pre-selezionate.

Il riscontro alle richieste degli interessati e all’autorità. Con provvedimento del 18 giugno 2026 Altroconsumo Edizioni è stata sanzionata per 280.000 euro per l’invio di comunicazioni promozionali a utenti che non avevano completato la registrazione, per non aver dato seguito a un’opposizione al trattamento e per non aver riscontrato la richiesta di informazioni formulata dal Garante. È un fronte che molte organizzazioni sottovalutano: non rispondere non è un modo per guadagnare tempo, è una violazione autonoma che si aggiunge a quella di partenza.

La pubblica amministrazione. L’11 giugno 2026 la Città Metropolitana di Sassari è stata sanzionata per 12.000 euro a causa di un’errata configurazione dei permessi del sistema di gestione documentale: per alcuni giorni, alla fine del marzo 2025, una comunicazione relativa a ipotizzati profili di responsabilità disciplinare di una dirigente è rimasta accessibile a circa una trentina di persone all’interno dell’ente. Tra le norme richiamate figura l’art. 25 del Regolamento, sulla protezione dei dati fin dalla progettazione: un riferimento che segnala l’orientamento dell’autorità a valutare non solo l’evento, ma l’impostazione del sistema che lo ha reso possibile.

Gli adempimenti documentali. Il 26 febbraio 2026 una cooperativa sociale è stata sanzionata per 15.000 euro per aver rilevato le presenze di sei dipendenti mediante impronta digitale: oltre all’assenza di una base giuridica e dell’informativa, sono state contestate la mancanza del registro delle attività di trattamento e l’omessa valutazione d’impatto, con divieto di ulteriore trattamento e ordine di cancellazione. Sei dipendenti: la dimensione dell’organizzazione non protegge da nulla.

I numeri dell’attività di controllo

Il quadro complessivo emerge dalla relazione annuale sull’attività svolta nel 2025, presentata il 2 luglio 2026. Nel corso dell’anno il Garante ha ricevuto 2.415 notifiche di violazione dei dati personali, in aumento di circa il dieci per cento rispetto all’anno precedente: 514 provenienti dal settore pubblico — soprattutto Comuni, scuole e strutture sanitarie — e 1.901 dal settore privato. Sono stati adottati 807 provvedimenti collegiali, di cui 506 correttivi e sanzionatori, a fronte di 4.288 reclami e di 130 ispezioni, alcune delle quali dedicate proprio alla gestione delle violazioni di dati. Le sanzioni riscosse hanno superato i 37 milioni di euro.

Il dato che conta, per chi deve decidere quanto investire in conformità, non è il totale: è il fatto che oltre metà dei provvedimenti collegiali sia di tipo correttivo o sanzionatorio, e che le notifiche continuino a crescere.

Perché conviene affrontare la questione prima

C’è una differenza sostanziale tra chi arriva davanti all’autorità con una documentazione ordinata e chi la costruisce dopo aver ricevuto la richiesta di informazioni. I criteri dell’art. 83 valorizzano espressamente le misure adottate, il grado di cooperazione e la tempestività: sono elementi che si dimostrano con atti formati prima, non con ricostruzioni successive.

Ne abbiamo scritto anche parlando di che cosa viene contestato alle aziende e quanto costa sbagliare. Nella pratica, le contestazioni più ricorrenti si concentrano su un numero limitato di punti: la base giuridica dei trattamenti effettivamente svolti, la tenuta e l’aggiornamento del registro delle attività di trattamento, l’adeguatezza delle misure tecniche e organizzative, la qualificazione dei soggetti esterni che trattano dati per conto dell’ente e i relativi controlli, la gestione dei riscontri agli interessati, la procedura interna per le violazioni di dati. Sono verifiche che si fanno sui documenti concreti dell’organizzazione, non su modelli generici scaricati in rete, perché è la distanza tra ciò che è scritto e ciò che accade davvero a generare la contestazione.

Come lavoriamo

Lo studio segue aziende, ordini professionali, Comuni ed enti pubblici non economici nella consulenza in materia di protezione dei dati personali e negli incarichi di responsabile della protezione dei dati, attraverso il servizio di consulenza e compliance privacy, con un’attività che parte sempre dalla ricognizione di quello che l’organizzazione fa realmente e non da un modello precompilato. La stessa impostazione guida l’attività di contenzioso amministrativo dello studio, descritta sul sito dello studio legale dell’avv. Elio Errichiello.

Se avete ricevuto una richiesta di informazioni dal Garante, se state valutando lo stato della vostra conformità o se un incidente vi ha messo davanti alla domanda su cosa fare nelle prime ore, potete contattare lo studio per un esame preliminare della documentazione e dei termini.

Il Garante per la Privacy – con provvedimento del 10 novembre 2022 – ingiunge la società Vodafone Italia S.p.A. al pagamento di cinquecentomila euro a titolo di sanzione amministrativa pecuniaria.

Leggi tutto “Vodafone multata per cinquecentomila euro dall’autorità garante per la privacy: riscontrati bombardamento intellettuale e poca chiarezza sui consensi al trattamento dati.”