L’esercizio del potere sanzionatorio nel GDPR alla luce delle Linee Guida EDPB 04/2026 Il Comitato europeo per la protezione dei dati (“European Data Protection Board” o “EDPB”) ha adottato, in data 17 settembre 2026, le nuove Linee Guida 04/2026 (le “LG 04/2026”) sull’esercizio del potere di irrogare sanzioni amministrative pecuniarie in relazione agli altri poteri correttivi previsti dal Regolamento (UE) 2016/679 (“GDPR”). Le LG 04/2026 non modificano il sistema sanzionatorio delineato dal GDPR, né, tantomeno, introducono nuovi limiti o importi delle sanzioni. Il loro obiettivo è diverso: fornire alle autorità di controllo un quadro uniforme per stabilire, a fronte di una violazione, se ricorrano i presupposti per l’irrogazione di una sanzione pecuniaria o se sia più appropriato ricorrere a uno degli altri poteri correttivi previsti dal GDPR. La precisazione assume particolare rilievo se si considera il rapporto con le precedenti indicazioni dell’EDPB in materia di sanzioni[1]. Le LG 04/2026 non si concentrano, infatti, sulla quantificazione dell’ammenda, ma sulla fase antecedente, ossia sulla decisione circa l’opportunità stessa di applicarla. In altri termini, le nuove indicazioni dell’EDPB mirano a rafforzare l’uniformità delle prassi adottate dalle autorità di controllo europee nella valutazione dei presupposti per l’irrogazione di una sanzione amministrativa pecuniaria, sia che venga applicata autonomamente sia in combinazione con altre misure correttive. L’intervento si inserisce nel più ampio quadro delineato dal GDPR, che ha significativamente ampliato gli strumenti a disposizione delle autorità di controllo per assicurare il rispetto della normativa in materia di protezione dei dati personali, attribuendo alle sanzioni pecuniarie un ruolo centrale nell’attività di enforcement. In tale contesto, le LG 04/2026 individuano una metodologia articolata in cinque fasi, finalizzata a orientare il processo decisionale delle autorità e a favorire un’applicazione maggiormente coerente e prevedibile del GDPR nei diversi Stati membri. Le cinque fasi del procedimento La metodologia delineata dall’EDPB evidenzia, dunque, come la decisione di applicare un’ammenda non sia il risultato automatico dell’accertamento di una violazione, ma il punto di arrivo di una valutazione progressiva, nella quale vengono esaminati dapprima i presupposti giuridici e soggettivi della responsabilità e, successivamente, la gravità della condotta e l’adeguatezza della sanzione rispetto al caso concreto. La qualificazione della violazione come “minore” Particolare rilievo, anche in prospettiva applicativa, assume il quarto passaggio della metodologia delineata dall’EDPB, nell’ambito del quale l’autorità è chiamata a esaminare le circostanze della fattispecie e, in particolare, i fattori aggravanti e attenuanti individuati dall’art. 83(2) GDPR, al fine di stabilire anche se la violazione possa essere qualificata come “minore”. La qualificazione incide sulla scelta dello strumento da adottare. Qualora la violazione presenti carattere minore, l’approccio delineato dall’EDPB è nel senso che, in linea generale, non debba essere irrogata un’ammenda, potendo l’autorità ricorrere, ad esempio, a un ammonimento. Diversamente, quando l’infrazione non riveste carattere minore, le Linee Guida individuano una forte presunzione a favore dell’irrogazione di una sanzione amministrativa pecuniaria. L’impostazione sopra delineata non equivale, tuttavia, a introdurre una soglia automatica basata sull’assenza di un danno o di conseguenze economiche per gli interessati: la qualificazione della violazione richiede, infatti, una valutazione complessiva delle circostanze del caso concreto, alla luce dei diversi elementi rilevanti ai sensi dell’art. 83 GDPR. In questa prospettiva, assume rilievo anche la distinzione tra una condotta occasionale e una carenza di natura strutturale: la reiterazione di una medesima violazione nel tempo può, infatti, incidere sulla valutazione dell’infrazione e rendere meno plausibile la riconduzione della condotta a un episodio isolato e circoscritto. Per le organizzazioni, ciò evidenzia l’importanza non soltanto dell’adozione formale di procedure e misure di conformità, ma anche della capacità di dimostrarne l’effettiva applicazione e il costante monitoraggio, nonché di intervenire tempestivamente per correggere eventuali anomalie riscontrate. Il quadro nazionale: la Cassazione delimita i termini per l’esercizio dei poteri del Garante per la protezione dei dati personali A completare il quadro intervengono tre recenti pronunce della Corte di Cassazione (nn. 22791, 24861 e 24862 del 2026), che precisano i limiti temporali entro cui il Garante per la protezione dei dati personali (il “Garante”) può esercitare i propri poteri correttivi e sanzionatori. Le decisioni non introducono nuove regole, ma chiariscono la portata della disciplina vigente, individuando con maggiore precisione il momento di decorrenza dei relativi termini. Con riferimento ai reclami, la Corte ha ribadito l’autonomia del procedimento di reclamo rispetto all’eventuale successivo procedimento correttivo e sanzionatorio. Pertanto, il superamento del termine previsto per decidere sulla fondatezza del reclamo – nove mesi, prorogabili fino a dodici – non determina la decadenza dal potere sanzionatorio del Garante. Quanto al termine di 120 giorni, la Cassazione ha precisato che esso riguarda la notifica della contestazione e non l’adozione del provvedimento sanzionatorio finale. Il termine decorre dal momento in cui la violazione può ritenersi definitivamente accertata, e non dalla prima acquisizione di una sua possibile notizia. Prima di tale momento, il Garante può svolgere le necessarie attività istruttorie, senza essere soggetto a un termine decadenziale predeterminato, purché proceda secondo criteri di ragionevolezza e senza ritardi ingiustificati. Una volta notificata tempestivamente la contestazione, non è previsto un ulteriore termine decadenziale per l’adozione della sanzione, fermo restando il termine di prescrizione quinquennale dell’illecito. Continuità con le Linee Guida 04/2022 Come già anticipato, sotto il profilo sistematico, le LG 04/2026 si pongono in continuità con la metodologia già elaborata dall’EDPB. Le Linee Guida 04/2022 sono infatti dedicate alla fase successiva, ossia alla quantificazione dell'ammenda una volta stabilito che debba essere applicata, mentre le nuove Linee Guida si concentrano sul momento decisionale che la precede, fornendo criteri per stabilire se la sanzione pecuniaria costituisca la misura appropriata e come vada valutata rispetto agli ulteriori strumenti correttivi previsti dal GDPR. Cosa possono fare concretamente le imprese? Le indicazioni dell’EDPB presentano rilevanti ricadute anche sul piano organizzativo. La compliance in materia di protezione dei dati va considerata come un processo concreto e dimostrabile, non limitato alla predisposizione di documenti e procedure. In caso di controllo, assumono particolare rilievo: In questa prospettiva, le LG 04/2026 non si limitano ad orientare l’operato delle autorità: offrono, infatti, anche alle imprese una griglia di autovalutazione utile a comprendere, ex ante, quali profili saranno concretamente apprezzati in sede di controllo. [1] Le Linee Guida 04/2022 dell'EDPB, adottate il 12 maggio 2022, forniscono i criteri generali di calcolo di una sanzione amministrativa pecuniaria inflitta, da parte di una Autorità di Controllo, ai sensi dell’art. 83 del Regolamento (UE) n. 679/2016.
