Linee guida EDPB 04/2026: quando una violazione del GDPR porta a una sanzione

Pubblicato 7 novembre 2026 · Di Floris Lindenaar

L'EDPB fissa cinque passaggi con cui le autorità scelgono tra sanzione e ammonimento per una violazione del GDPR. Commenti fino al 13 novembre 2026.

Il 17 settembre 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 04/2026. Spiegano alle autorità nazionali come decidere se una violazione del GDPR va punita con una sanzione amministrativa pecuniaria o trattata con un'altra misura correttiva, come un ammonimento o un'ingiunzione. L'EDPB le ha pubblicate il 21 settembre 2026. I commenti si possono inviare fino al 13 novembre 2026, ore 23:59 CET.

Le linee guida sostituiscono le vecchie linee guida WP29 sulle sanzioni amministrative e affiancano quelle dell'EDPB sul calcolo dell'importo delle sanzioni.

I cinque passaggi

1. La violazione è sanzionabile? L'autorità deve trovare una base nel GDPR o nel diritto nazionale.
2. Questa parte può essere sanzionata? Se risponde il titolare o il responsabile del trattamento dipende da chi è vincolato dalla norma violata.
3. Dolo o colpa? Una violazione colpevole è condizione per la sanzione.
4. La violazione è minore? L'autorità valuta le circostanze aggravanti e attenuanti dell'articolo 83, paragrafo 2. Una violazione minore di regola non porta a una sanzione pecuniaria e può essere rivolto un ammonimento. Se non è minore, vale una forte presunzione che la sanzione venga inflitta.
5. La sanzione sarebbe effettiva, proporzionata e dissuasiva? Qui l'autorità può trovare, nel caso concreto, un motivo per discostarsi dall'approccio generale.

Le linee guida illustrano anche gli altri poteri correttivi (avvertimenti, ammonimenti, ingiunzioni, limitazioni compresi i divieti, revoca delle certificazioni) e offrono 14 esempi pratici.

Definitive anche: DSA e GDPR

Nella stessa plenaria l'EDPB ha adottato la versione definitiva delle Linee guida 3/2025 sul rapporto tra Digital Services Act e GDPR, per i servizi intermediari che trattano dati personali.

Cosa fare ora

Al passaggio 4 sono i fattori dell'articolo 83, paragrafo 2, a decidere tra ammonimento e sanzione: tra questi le misure adottate per attenuare il danno, la cooperazione con l'autorità, le violazioni precedenti e le categorie di dati coinvolte. Poterlo dimostrare in fretta conta.

Dazr Compliance tiene queste prove in un unico posto: il registro dei trattamenti (articolo 30), le DPIA con lo storico di ogni modifica, controlli GDPR ricorrenti e un registro dei data breach con il conto alla rovescia delle 72 ore. Per commentare le linee guida, usate il modulo di consultazione dell'EDPB entro il 13 novembre.

Fonti

• EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
• EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
• EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
• EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version

A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 7 novembre 2026.

Argomenti: GDPR, EDPB, Sanzioni, UE

Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål