1. Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive.
Articolo 83 GDPR - Condizioni generali per infliggere sanzioni amministrative pecuniarie
2. Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all’articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi:
a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito;
b) il carattere doloso o colposo della violazione;
c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
d) il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;
e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
f) il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
g) le categorie di dati personali interessate dalla violazione;
h) la maniera in cui l’autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
i) qualora siano stati precedentemente disposti provvedimenti di cui all’articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
j) l’adesione ai codici di condotta approvati ai sensi dell’articolo 40 o ai meccanismi di certificazione approvati ai sensi dell’articolo 42; e
k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione.
3. Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave.
4. In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:
a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
b) gli obblighi dell’organismo di certificazione a norma degli articoli 42 e 43;
c) gli obblighi dell’organismo di controllo a norma dell’articolo 41, paragrafo 4;
5. In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:
a) i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
b) i diritti degli interessati a norma degli articoli da 12 a 22;
c) i trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale a norma degli articoli da 44 a 49;
d) qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
e) l’inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo ai sensi dell’articolo 58, paragrafo 2, o il negato accesso in violazione dell’articolo 58, paragrafo 1.
6. In conformità del paragrafo 2 del presente articolo, l’inosservanza di un ordine da parte dell’autorità di controllo di cui all’articolo 58, paragrafo 2, è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
7. Fatti salvi i poteri correttivi delle autorità di controllo a norma dell’articolo 58, paragrafo 2, ogni Stato membro può prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro.
8. L’esercizio da parte dell’autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie procedurali adeguate in conformità del diritto dell’Unione e degli Stati membri, inclusi il ricorso giurisdizionale effettivo e il giusto processo.
9. Se l’ordinamento giuridico dello Stato membro non prevede sanzioni amministrative pecuniarie, il presente articolo può essere applicato in maniera tale che l’azione sanzionatoria sia avviata dall’autorità di controllo competente e la sanzione pecuniaria sia irrogata dalle competenti autorità giurisdizionali nazionali, garantendo nel contempo che i mezzi di ricorso siano effettivi e abbiano effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorità di controllo. In ogni caso, le sanzioni pecuniarie irrogate sono effettive, proporzionate e dissuasive. Tali Stati membri notificano alla Commissione le disposizioni di legge adottate a norma del presente paragrafo al più tardi entro il 25 maggio 2018 e comunicano senza ritardo ogni successiva modifica.
Domande frequenti
Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.
Il paragrafo 1 esige che le sanzioni siano in ogni singolo caso effettive, proporzionate e dissuasive. A norma del paragrafo 2 esse possono essere inflitte in aggiunta alle misure correttive di cui all’articolo 58, paragrafo 2, lettere da a) a h) e j), oppure in luogo di tali misure, per cui l’autorità di controllo non è mai obbligata a scegliere tra l’irrogazione della sanzione e l’ordine di conformarsi.
Il paragrafo 4 fissa il massimo a 10 000 000 EUR o, per le imprese, al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, per le violazioni degli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43, nonché degli obblighi dell’organismo di certificazione e dell’organismo di controllo. Il paragrafo 5 raddoppia il massimale a 20 000 000 EUR o al 4 % per le violazioni dei principi di base, comprese le condizioni relative al consenso (articoli 5, 6, 7 e 9), dei diritti degli interessati (articoli da 12 a 22), delle norme sui trasferimenti (articoli da 44 a 49), degli obblighi nazionali adottati a norma del capo IX e per l’inosservanza degli ordini dell’autorità di controllo, mentre il paragrafo 6 applica lo stesso massimale all’inosservanza di un ordine di cui all’articolo 58, paragrafo 2.
Il paragrafo 2 elenca gli elementi di cui si tiene debito conto, tra cui la natura, la gravità e la durata della violazione, il suo carattere doloso o colposo, le misure adottate per attenuare il danno, il grado di responsabilità alla luce delle misure messe in atto ai sensi degli articoli 25 e 32, eventuali precedenti violazioni, la cooperazione con l’autorità, le categorie di dati interessate, la maniera in cui la violazione è stata conosciuta, il rispetto di provvedimenti precedentemente disposti, l’adesione a codici di condotta approvati o a meccanismi di certificazione ed eventuali altri fattori aggravanti o attenuanti quali i benefici finanziari conseguiti. La valutazione è espressamente riferita alle circostanze di ogni singolo caso.
Se, in relazione allo stesso trattamento o a trattamenti collegati, il titolare del trattamento o il responsabile del trattamento viola con dolo o colpa varie disposizioni, il paragrafo 3 stabilisce che l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. I singoli massimali non si sommano quindi semplicemente per le condotte collegate.
Non del tutto. Il paragrafo 7 lascia a ciascuno Stato membro la decisione se e in quale misura possano essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti nel suo territorio, e il paragrafo 9 tiene conto degli ordinamenti giuridici che non prevedono sanzioni amministrative pecuniarie consentendo che l’azione sanzionatoria sia avviata dall’autorità di controllo e la sanzione pecuniaria sia irrogata dalle autorità giurisdizionali nazionali, purché i mezzi di ricorso abbiano effetto equivalente e restino effettivi, proporzionati e dissuasivi.