Troppo salate le sanzioni privacy calcolate sul fatturato aziendale delle imprese. Per le imprese, che fanno parte di un gruppo, si deve tenere conto del fatturato globale di gruppo, solo quando la violazione della privacy è frutto di una strategia di gruppo. Sono queste le conclusioni dell’avvocato generale della corte di giustizia dell’Ue (Cgue), presentate il 12/9/2024 nella causa C-383/23.
Per leggere l'articolo integrale devi effettuare il login!
Il massimo dell’ammenda per le violazioni del Gdpr va calcolato sul fatturato del gruppo, di cui fa parte la società coinvolta nella condotta illecita. È quanto deciso dalla Corte di Giustizia Ue con la sentenza del 13/2/2025 nella causa C‑383/23, che ha interpretato l’art. 83 Gdpr, nella parte in cui, per le imprese, fissa i massimi delle sanzioni mediante un calcolo in percentuale sul fatturato.
Per leggere l'articolo integrale devi effettuare il login!
Gestire la spazzatura senza rispettare la privacy degli utenti può costare caro. Lo ha sperimentato una società che effettuava raccolta, trasporto e trattamento di rifiuti urbani per conto di un Comune, che ha ricevuto una sanzione di 200.000 euro da parte dell'Autorità Garante per la protezione dei dati personali.
Aver nominato un Data Protection Officer in conflitto di interessi è costato una sanzione da 525.000 euro a una filiale di un gruppo tedesco di e-commerce.
La Croatian Supervisory Authority (SA) ha emesso una sanzione amministrativa di 5.470.000,00 EUR nei confronti del data controller, la Debt Collection Agency EOS Matrix, a causa di violazioni degli articoli 5, 6, 9, 12, 13 e 32 del GDPR.
Il 12 maggio 2022 il Comitato europeo per la protezione dei dati ha adottato le Linee Guida 04/2022 che hanno l’obiettivo di armonizzazione le metodologie di calcolo delle sanzioni amministrative pecuniarie connesse alle violazioni del Regolamento UE 2016/679 sulla protezione dei dati personali (Gdpr) all’interno dell’area UE.
Come è noto, uno dei nodi importanti affrontato dal GDPR è stato quello di assicurare che fossero chiari i rapporti tra le autorità di protezione dei dati dei vari paesi, sia sotto il profilo della ripartizione delle competenze tra esse, che sotto quello della conformità dei criteri adottati per applicare le norme del Regolamento UE, e sia per gli aspetti relativi alla qualificazione degli eventuali trattamenti illeciti di dati, che alla definizione delle sanzioni da adottare.
L'autorità di controllo per la protezione dei dati danese ha recentemente rilevato che due comuni, quello di Gladsaxe e quello di Hørsholm non garantiscono un livello adeguato di sicurezza dei dati come richiesto dal Gdpr, a seguito della notifica di due rispettivi data breach rischiamo adesso di essere sanzionati.
L'Autorità per la privacy danese ha rilevato che la società Taxa 4x35 non rispettava il principio di "minimizzazione" previsto dal Gdpr conservando i dati personali dei clienti oltre il limite di conservazione previsto. La Taxa cancellava i nomi e gli indirizzi dei clienti dopo 2 anni di conservazione secondo il periodo fissato per la "data retention", ma manteneva i numeri di telefono dei clienti per altri 3 anni.
Con tre sanzioni di 10mila euro ciascuna, irrogate rispettivamente alla Regione Molise, alla Società Molise dati, e a Engineering ingegneria informatica S.p.A., il Garante privacy ha definito i procedimenti aperti dopo l’intrusione nel Portale regionale FSE verificatasi tra novembre e dicembre 2022.
