TL;DR
Nella plenaria comunicata il 21 settembre 2026 l'EDPB ha adottato le Linee guida 04/2026 su come le autorità decidono se infliggere una sanzione pecuniaria, da sola o insieme agli altri poteri correttivi dell'art. 58, par. 2. Cinque passi: base giuridica della sanzione, soggetto sanzionabile, dolo o colpa, aggravanti e attenuanti, effettività e proporzionalità. Infrazione minore: di regola niente sanzione, eventualmente un ammonimento. Infrazione non minore: forte presunzione di sanzione. Quattordici esempi pratici. Sostituiscono le linee guida del Gruppo Articolo 29 del 2017 e completano le 04/2022 sul calcolo dell'importo. Consultazione aperta fino al 13 novembre 2026. Nella stessa plenaria è arrivata la versione finale delle linee guida 3/2025 sul rapporto fra DSA e GDPR.
Che cosa cambia
Le linee guida 04/2022 spiegano come si calcola l'importo di una sanzione. Mancava il passo prima: quando un'autorità deve sanzionare e quando può limitarsi a un'altra misura. Le nuove linee guida colmano questo vuoto e sostituiscono il vecchio documento del Gruppo Articolo 29. Descrivono anche i poteri correttivi uno per uno — avvertimenti, ammonimenti, ordini, limitazioni e divieti, revoca delle certificazioni — con lo scopo di ciascuno e il modo in cui si combinano con la sanzione pecuniaria.
I cinque passi
- BASE GIURIDICA. L'autorità verifica che quella violazione possa portare a una sanzione, nel GDPR o nella legge nazionale.
- CHI RISPONDE. Titolare o responsabile del trattamento, secondo chi è vincolato dalla norma violata: la sicurezza dell'art. 32, per esempio, obbliga entrambi.
- DOLO O COLPA. Senza colpa non c'è sanzione. È la linea già tracciata dalla Corte di giustizia nella sentenza Deutsche Wohnen (C-807/21, 5 dicembre 2023).
- AGGRAVANTI E ATTENUANTI. Se l'infrazione è minore, di regola niente sanzione e al più un ammonimento; se non è minore, c'è una forte presunzione che la sanzione vada inflitta.
- EFFETTIVA, PROPORZIONATA, DISSUASIVA. L'ultimo controllo, con la possibilità di discostarsi dall'approccio standard se il caso lo giustifica.
La presunzione che conta
Il punto più netto è il quarto passo. Fuori dalle infrazioni minori, la sanzione non è più un'opzione da motivare ma la regola da cui ci si discosta solo con buone ragioni. Per chi contava su un primo ammonimento «di cortesia», lo spazio si restringe.
Perché conta anche per le piccole organizzazioni
Le linee guida servono ad allineare le autorità europee: la stessa violazione dovrebbe portare alla stessa risposta a Roma, a Lisbona o a Stoccolma. Per un'organizzazione questo significa che ciò che pesa nel quarto passo — collaborazione, misure già prese, documentazione esistente, rimedi tempestivi — diventa ancora più prevedibile. Ed è esattamente ciò che si costruisce prima, non durante un'istruttoria.
Che cosa vuol dire per il DPO
Quattro mosse
Uno: la colpa è una condizione, e la si valuta su ciò che l'organizzazione sapeva e aveva fatto. Registro, DPIA, analisi dei rischi e procedure datate sono la prova che manca la negligenza o che è lieve. Due: tenere la traccia delle azioni correttive con date e responsabili, perché entrano fra le attenuanti. Tre: un ammonimento non è «niente»: è una decisione che resta agli atti e pesa come precedente. Quattro: chi vuole commentare le linee guida ha tempo fino al 13 novembre 2026. In DPO Workspace la diagnosi del registro e lo storico delle attività tengono già insieme date, decisioni e motivazioni.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
