Quando si sanziona e quando no: l'EDPB mette per iscritto la parte che mancava

La distinzione fra i due documenti è l'unica cosa da capire bene. Le linee guida del 2022 rispondono alla domanda «quanto»: si parte dalla gravità, si trova un punto di partenza, si applicano i fattori dell'art. 83, par. 2, si guarda il fatturato. Le 04/2026 rispondono a una domanda che veniva prima e che nessuno aveva mai messo per iscritto in modo ordinato: «si arriva o no alla sanzione, e perché non a un ammonimento, a un'ingiunzione o a una limitazione». Fino a ieri quella parte era prassi, cioè variava da un'autorità all'altra.

Il metodo è in cinque passi, e si leggono in sequenza: ciascuno può chiudere il discorso prima del successivo.

• Primo: l'autorità verifica che la violazione contestata possa dar luogo a una sanzione, trovandone il fondamento nel GDPR o nel diritto nazionale.
• Secondo: verifica che il soggetto indagato possa esserne destinatario. Se risponda il titolare o il responsabile dipende da chi è vincolato dalla disposizione violata.
• Terzo: valuta se la violazione sia stata commessa con dolo o colpa. La colpevolezza è una condizione della sanzione, non un fattore di sconto.
• Quarto: pesa le circostanze aggravanti e attenuanti. Se la violazione è minore, di regola non si sanziona e si usa l'ammonimento; se non è minore, c'è una forte presunzione che la sanzione vada applicata.
• Quinto: verifica che la sanzione sia effettiva, proporzionata e dissuasiva nel caso concreto, e se ci siano ragioni per discostarsi dall'impostazione ordinaria.

Il terzo passo merita la stessa attenzione, per la ragione opposta. La colpevolezza è presentata come condizione: senza dolo o colpa la sanzione non si impone. Sembra una buona notizia per il titolare, e in parte lo è, ma si ribalta subito in un onere pratico. Non essere in colpa non si afferma, si mostra: con la data in cui un rischio è stato rilevato, il parere che il DPO ha dato, la decisione presa dall'organo che poteva prenderla, l'intervento eseguito. Un'organizzazione che non tiene traccia di queste cose non ha modo di distinguersi da una negligente, perché le due si somigliano moltissimo viste da fuori.

La parte più utile del documento, per chi lavora, sono i quattordici esempi pratici: casi costruiti per mostrare come un'autorità sceglie fra ammonimento, ingiunzione, limitazione, divieto, revoca della certificazione e sanzione, e quando le combina. È materiale che vale più di molte pagine di principi, perché rende leggibile il confine fra le situazioni.

Ultima cosa, e ha una scadenza. Il testo è in consultazione pubblica fino al 13 novembre 2026: chiunque può mandare osservazioni, non solo le associazioni di categoria. Per uno studio che segue clienti in più Stati è un'occasione concreta, perché proprio la disomogeneità fra autorità nazionali è il problema che queste linee guida dichiarano di voler chiudere.