Quando una violazione del GDPR è “minore”? Il metodo EDPB per decidere se sanzionare

Il 17 settembre 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 04/2026 “on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR”, in consultazione pubblica fino al 13 novembre 2026.

Il documento sostituisce le Linee guida WP253 del Gruppo di lavoro Articolo 29 e affianca le Linee guida 04/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del Reg. (UE) 2016/679, il GDPR. Dunque l’EDPB si concentra, ora, sull’an, e propone un metodo articolato in cinque step. Non mancano indicazioni interessanti per l’interprete, che inevitabilmente si interroga sulle modalità di esercizio del potere correttivo e sanzionatorio da parte del Garante per la protezione dei dati personali. Il metodo, infatti, nasce per orientare le scelte dei Garanti tra sanzione, ammonimento e altre misure correttive. Secondo una metodologia ormai tipica della guidance europea, si ricorre ampiamente agli esempi: le Linee guida ne recano quattordici.

L’autorità, infatti, deve rinvenire una base giuridica nel nell’art. 83, commi da 4 a 6 del GDPR, o nel diritto nazionale. Il Comitato ricorda che l’art. 83 non include tra le disposizioni la cui violazione dà luogo alle sanzioni gli artt. 10 e 24, in materia, rispettivamente, di trattamento dei dati relativi a condanne penali e, in una parola, di accountability. Tuttavia, la violazione dell’art. 24 può integrare quella del principio di responsabilizzazione dell’art. 5, 2° comma, invece richiamato all’art. 83. Inoltre, rileva l’EDPB, alcune legislazioni nazionali sono intervenute sul tema, prevedendo specifiche sanzioni per le violazioni degli artt. 10 e 24.

In altri termini, occorre individuare il destinatario della disposizione violata (titolare, responsabile, organismo di certificazione o di monitoraggio). Si applica, poi, il principio di responsabilità diretta dell’ente: non occorrono un’azione o la conoscenza della violazione da parte dell’organo di gestione, né che la violazione sia attribuita o attribuibile a una persona fisica identificata. Il mancato rispetto di istruzioni o codici interni da parte dei dipendenti non basta, di per sé, a escludere l’imputazione, che viene meno solo se la persona ha agito per fini esclusivamente propri o di terzi, divenendo un autonomo titolare del trattamento dei dati personali.

Il titolare risponde anche delle violazioni del responsabile, salvo che questi abbia trattato i dati per fini propri o in modo incompatibile con il quadro o le modalità dettagliate del trattamento stabiliti dal titolare, o comunque in modo tale da non potersi ragionevolmente ritenere che il titolare vi abbia acconsentito. Anche laddove il nesso di imputazione sia interrotto, il titolare può rispondere di una violazione propria, ad esempio per la violazione dell’art. 32, qualora non abbia adottato misure tecniche e organizzative, o ne abbia adottate di insufficienti, per contrastare adeguatamente il rischio di condotte vietate da parte di chi agisca per suo conto.

La colpevolezza è condizione necessaria, ma la soglia della colpa è dichiaratamente di grado minimo: è sufficiente che il destinatario fosse in condizione di conoscere l’illiceità della condotta, anche se non ne era effettivamente a conoscenza o l’ha qualificata erroneamente in diritto. Richiamando l’Avvocato Generale Emiliou, il Comitato osserva: “the threshold for the element of negligence is so low that it is difficult to envisage situations where the element is not satisfied”.

La colpa è esclusa solo da un errore di diritto inevitabile: laddove una norma lasci un margine di interpretazione, l’assenza di dottrina o di linee guida dell’EDPB non rende di per sé inevitabile l’errore; allo stesso tempo, se esistono linee guida EDPB, l’errore è sempre evitabile.

Gli esempi sono molteplici: non escludono la colpa il mutamento normativo non segnalato dall’autorità, l’ignoranza dell’obbligo, un parere legale esterno contrario alla dottrina prevalente, un parere interno contrario all’orientamento noto dell’autorità, una consulenza non documentata o seguita acriticamente. D’altra parte, il dolo richiede conoscenza e volontà: mentre ai fini dell’an è sufficiente che la violazione sia almeno colposa, il grado di colpevolezza pesa, poi, nella valutazione successiva.

Anche in questo caso, si detta una regola di massima, che pure giova riportare: l’autorità di controllo non è tenuta a esercitare alcun potere correttivo qualora tale intervento non risulti adeguato, necessario o proporzionato allo scopo di porre rimedio alla carenza riscontrata e per garantire la piena applicazione del Regolamento. Dunque, l’EDPB non esclude che un’autorità di controllo possa, in circostanze eccezionali, astenersi dall’adottare una sanzione amministrativa, anche laddove la violazione accertata non sia considerata di lieve entità. Tuttavia, l’autorità di controllo dovrebbe, di norma, ricorrere al potere di rivolgere un ammonimento in luogo della sanzione, anziché astenersi dall’adottare qualsiasi misura correttiva.

Di particolare interesse è proprio l’attenzione posta sulla nozione di violazione minore. Il Comitato sottolinea che una violazione può essere minore quando, nelle circostanze del caso, non pone un rischio significativo per i diritti degli interessati e non incide sull’essenza dell’obbligo violato. La collocazione della norma nei commi 5 o 6 dell’art. 83 offre solo un’indicazione astratta di gravità, ciò che più rileva è la valutazione dei fatti del caso alla luce dei fattori aggravanti e attenuanti di cui al 2° comma dell’art. 83.

Certo, le Linee guida paiono restringere lo spazio delle attenuanti. In breve, si indica espressamente che: l’assenza di precedenti non attenua, perché la conformità è la norma; i precedenti, invece, aggravano, anche se di oggetto diverso; la cooperazione ordinaria con l’Autorità è dovuta e non attenua, salvo che vada oltre quanto richiesto e abbia limitato le conseguenze per gli interessati; la notifica di un data breach attenua solo se spontanea, perciò quella dovuta ex art. 33 del GDPR è neutra, come, di regola, la conoscenza acquisita tramite reclamo o indagine; il rispetto di misure già disposte non ha peso, perché obbligatorio; la loro inosservanza aggrava, fermo il divieto di punire due volte la stessa condotta; le misure di mitigazione contano soprattutto se adottate prima che il titolare abbia conoscenza dell’indagine; il profitto tratto dalla violazione è qualificato come un indicatore “forte” che essa non sia minore.

Le Linee guida completano un percorso con cui il Comitato sta progressivamente uniformando l’esercizio del potere sanzionatorio delle autorità, prima con riferimento al calcolo delle sanzioni e ora, definite le regole sul quantum, con le regole sull’an. Il tema è sul tavolo, per altri versi, anche sul piano interno, dove la Corte di cassazione è recentemente tornata più volte sui termini del procedimento sanzionatorio dinanzi al Garante.

Resta da chiedersi se a una maggiore uniformità corrisponderà anche una maggiore certezza per i titolari e i responsabili del trattamento.

_________

*Avv. Giorgia Bianchini, Studio legale Finocchiaro