TL;DR
Il 21 settembre 2026 l'EDPB ha adottato le linee guida 04/2026 sull'applicazione del potere di infliggere sanzioni amministrative in rapporto agli altri poteri correttivi. Cinque passi: i primi tre sono le condizioni di legge perché una sanzione sia possibile, gli ultimi due la scelta fra sanzione e altra misura. Se la violazione è minore, di regola niente sanzione e un ammonimento al suo posto; se non è minore, forte presunzione che la sanzione vada imposta. Sostituiscono la guida del Gruppo art. 29 del 2017 e si aggiungono alle linee guida 04/2022 sul calcolo dell'importo. Quattordici esempi pratici. Consultazione pubblica fino al 13 novembre 2026.
La domanda che mancava
Dal 2022 esiste una metodologia europea per calcolare l'importo di una sanzione. Restava scoperta la domanda che viene prima: la sanzione va imposta, oppure basta un ammonimento, un avvertimento, un ordine? L'art. 58 dà alle autorità un ventaglio di poteri correttivi e l'art. 83 dice che la sanzione si aggiunge o sostituisce le altre misure, ma non diceva a quale condizione. È lo spazio che queste linee guida occupano.
Il percorso è in cinque passi. I primi tre verificano che una sanzione sia giuridicamente possibile: che la violazione sia sanzionabile, in base al Regolamento o al diritto nazionale; che la parte indagata possa esserne destinataria; che la violazione sia stata commessa con dolo o colpa. Gli ultimi due riguardano la scelta: le circostanze aggravanti e attenuanti, e infine se la sanzione sia effettiva, proporzionata e dissuasiva nel caso concreto.
- PASSO 2, quello che si sottovaluta: se la parte possa essere sanzionata dipende da CHI È VINCOLATO dalla disposizione violata. Un responsabile del trattamento non risponde di un obbligo che il Regolamento pone al solo titolare, e viceversa. È una verifica da fare prima di discutere l'importo.
- PASSO 3: la colpevolezza è una CONDIZIONE della sanzione, non un fattore che ne aumenta la misura. Se manca il dolo o la colpa, il discorso sull'importo non si apre proprio.
- PASSO 4: qui entra la distinzione fra violazione minore e non minore, e con essa la presunzione.
- PASSO 5: la valutazione di effettività, proporzionalità e dissuasività può portare a discostarsi dall'impostazione standard, ma va motivata.
«Minore» non vuol dire «piccola»
La qualificazione si fa al passo 4, insieme alle circostanze aggravanti e attenuanti, non contando gli interessati coinvolti. Una violazione che riguarda una sola persona può non essere minore — per la natura del dato, per il pregiudizio, per il comportamento tenuto dopo. E la direzione opposta è quella che cambia le abitudini difensive: fuori dai casi minori la presunzione non è più che si discuta, è che si sanzioni. Chi imposta la difesa di un cliente sul fatto che «non è successo niente di grave» ora deve dimostrare che la violazione è minore, non limitarsi a dirlo.
C'è una cosa da fare entro il 13 novembre
Il testo è in consultazione pubblica fino al 13 novembre 2026. Non è un passaggio formale: le linee guida contengono quattordici esempi pratici di come un'autorità dovrebbe scegliere la misura, e gli esempi sono la parte che poi si cita nei procedimenti. Chi fa questo mestiere ha materiale per commentarli — soprattutto sui casi in cui un ordine di conformarsi ottiene il risultato e una sanzione no.
Nel frattempo cambia poco nell'operatività quotidiana e molto nel modo di scrivere le memorie. Il registro dei trattamenti, la documentazione delle decisioni e la tracciabilità di chi ha deciso cosa restano quello che sposta i passi 3 e 4: la colpevolezza e le attenuanti si dimostrano con le carte che esistevano prima, non con quelle scritte dopo.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
