GDPR nel 2026: sanzioni elevate e nuove procedure

Pubblicato 19 ottobre 2026 · Aggiornato 22 ottobre 2026 · Di Dazr

Sanzione di 403 milioni di euro a Google per i dati di localizzazione, procedure transfrontaliere più rapide da aprile 2027 e modifiche al GDPR proposte.

A otto anni dall'applicazione del GDPR, l'attività delle autorità continua a produrre decisioni rilevanti, e il modo in cui si trattano i casi transfrontalieri sta per cambiare.

Decisioni recenti

Uber, 824,99 milioni di euro (pubblicata l'8 ottobre 2026). L'autorità olandese per la protezione dei dati (AP) ha accertato che Uber disattivava gli account degli autisti con decisioni interamente automatizzate, temporaneamente per sospetta frode o valutazioni basse e definitivamente per valutazioni basse persistenti, in violazione dell'articolo 22, e non informava a sufficienza gli autisti (articolo 13). Il caso è nato dai reclami di 171 autisti francesi presentati alla CNIL e riguarda gli anni dal 2018 al 2022. Uber ha presentato ricorso, quindi la decisione non è definitiva.
Google, 403 milioni di euro (21 settembre 2026). La Data Protection Commission irlandese (DPC), in qualità di autorità capofila, ha accertato che Google ha violato il GDPR nel trattamento dei dati di localizzazione in Attività web e app, Cronologia delle posizioni e Precisione della posizione: liceità e correttezza, trasparenza, responsabilizzazione e conservazione. Google deve rendere conforme il trattamento entro sei mesi.
TikTok, 530 milioni di euro (2 maggio 2025). La DPC ha accertato che TikTok non aveva dimostrato che i dati degli utenti del SEE, consultati da remoto da personale in Cina, godessero di una protezione sostanzialmente equivalente (articolo 46, paragrafo 1), e che l'informativa privacy non indicava i paesi coinvolti (articolo 13, paragrafo 1, lettera f).

Insieme ricordano che decisioni automatizzate, trasferimenti internazionali, trasparenza e conservazione non più lunga del necessario sono i punti da cui nascono le sanzioni più alte.

Procedure transfrontaliere più rapide dal 2 aprile 2027

Il regolamento (UE) 2025/2518 aggiunge norme procedurali per i casi GDPR transfrontalieri. È stato pubblicato il 12 dicembre 2025 e si applica dal 2 aprile 2027. Armonizza i criteri di ricevibilità dei reclami, dà a reclamanti e imprese il diritto di essere sentiti e di conoscere le risultanze preliminari, e fissa dei termini: in linea di principio 15 mesi per un'indagine, prorogabili di 12 mesi per i casi complessi, e una procedura semplificata per quelli più lineari. Le norme sostanziali del GDPR non cambiano.

Il Digital Omnibus proposto dalla Commissione a novembre 2025 contiene modifiche al GDPR, come una soglia più alta e un termine più lungo per notificare le violazioni dei dati alle autorità e un punto unico di segnalazione degli incidenti. Nel parere congiunto di febbraio 2026 l'EDPB e il GEPD ne hanno sostenuto alcune parti ed espresso preoccupazioni su altre. Sono proposte: oggi si applica ancora il termine di 72 ore per la notifica delle violazioni.

Cosa verificare

Il registro dei trattamenti e i tempi di conservazione, soprattutto per i dati di localizzazione e altri dati delicati.
Le valutazioni dei trasferimenti per ogni accesso da fuori del SEE, compresa l'assistenza da remoto.
Informative che indichino con chiarezza destinatari e paesi.
Una procedura per le violazioni che rispetti il termine di 72 ore.
Dove un software decide sulle persone, ad esempio bloccando un account: un vero intervento umano e una spiegazione chiara per gli interessati.

Fonti

A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 22 ottobre 2026.

Argomenti: GDPR, Sanzioni, UE

Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål