Il 17 settembre 2026 l’European Data Protection Board (EDPB) ha adottato le Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, ora in consultazione pubblica.
Le Guidelines 04/2022 sul calcolo delle sanzioni stabiliscono quanto sanzionare. Il nuovo documento affronta invece una questione che viene prima: se irrogare una sanzione pecuniaria e come questa si coordini con gli altri poteri correttivi dell’art. 58, par. 2, del GDPR (avvertimenti, ammonimenti, ingiunzioni, limitazioni e divieti di trattamento, revoca delle certificazioni). Su questo punto sostituisce integralmente le Linee guida del Gruppo di lavoro Articolo 29.
L’EDPB propone un metodo in cinque passaggi:
- verifica che la violazione sia sanzionabile in via pecuniaria;
- verifica che il soggetto sia destinatario dell'obbligo violato (titolare, responsabile, organismo di certificazione o di monitoraggio);
- accertamento del carattere intenzionale o negligente della condotta;
- valutazione delle circostanze aggravanti e attenuanti;
- controllo finale che la misura sia effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, del GDPR.
L’aspetto più rilevante è la distinzione tra violazioni minori e violazioni non minori. Per le prime l’ammonimento può di norma bastare. Per le seconde opera una forte presunzione a favore della sanzione pecuniaria, da cui l’Autorità può discostarsi solo se, all’esito della verifica finale, le circostanze del caso concreto lo giustificano, di conseguenza, la sanzione si può dunque affiancare ad altre misure correttive, in particolare alle ingiunzioni di conformarsi, ma non a un avvertimento per la stessa condotta.
Per ciò che concerne lo stato soggettivo, la soglia della negligenza è molto bassa. Secondo l'EDPB, se esistono Linee guida sul punto l'errore di diritto è sempre evitabile, e un parere legale contrario, esterno o interno, non basta di per sé a escludere la colpa. Le Linee guida restano peraltro atti non vincolanti, che i giudici devono considerare ma da cui possono discostarsi.
Le Linee guida contengono 14 esempi pratici, per Titolari e Responsabili del trattamento sono un riferimento utile per prevedere come reagiranno le Autorità e per impostare la difesa nei procedimenti sanzionatori.
Le osservazioni si possono inviare entro il 13 novembre 2026 tramite il sito dell’EDPB.
Avv. Umberto Mottola e Dott.ssa Anna Acquafredda
