Sanzioni GDPR in Italia e in Europa: aggiornamento 2025

Il Regolamento generale sulla protezione dei dati (GDPR), entrato in vigore nel maggio 2016 e pienamente operativo dal maggio 2018, è ormai parte integrante della quotidianità delle imprese europee. A distanza di sette anni, le sanzioni inflitte dalle Autorità Garanti sono cresciute in modo costante, raggiungendo importi complessivi superiori ai 6 miliardi di euro a livello europeo fino al maggio 2025.

L’Italia si conferma tra i Paesi più attivi sul fronte ispettivo e sanzionatorio, insieme a Spagna e Francia, con un totale stimato di circa 3,5 miliardi di euro di multe cumulative dal 2018 a oggi.

Principali violazioni contestate, quali sono

Le motivazioni che hanno portato all’irrogazione delle sanzioni non sono cambiate rispetto agli anni iniziali di applicazione del GDPR, ma si sono intensificate:

• mancanza di una base giuridica valida per il trattamento dei dati (assenza di consenso, mancanza di base contrattuale o normativa);
• misure tecniche e organizzative inadeguate per proteggere i dati, spesso emerse in occasione di un data breach;
• violazione dei principi generali del GDPR (liceità, trasparenza, correttezza, minimizzazione dei dati);
• inadempimento dei diritti degli interessati (mancata risposta a richieste di accesso, cancellazione o opposizione);
• informative privacy carenti ai sensi degli artt. 13 e 14 GDPR;
• assenza di notifica dei data breach entro le 72 ore previste;
• mancata nomina dei responsabili del trattamento ai sensi dell’art. 28 GDPR.

Il trend di crescita delle sanzioni

Dalla prima multa del 2018 fino al 2020, il trend era già in forte crescita: solo nel novembre 2020 erano state comminate 419 sanzioni per un totale di 260 milioni di euro.

Negli anni successivi, la crescita è stata esponenziale. Tra il 2021 e il 2025, i Garanti hanno intensificato controlli e ispezioni, arrivando a infliggere in media una multa al giorno nell’UE, con importi sempre più significativi.

Le sanzioni GDPR più grandi dal 2020 al 2025

Ecco una panoramica dei casi più rilevanti che hanno segnato l’applicazione del GDPR negli ultimi anni:

• 2021 – Amazon (Lussemburgo): sanzione record di 746 milioni di euro per violazioni legate al trattamento dei dati pubblicitari.
• 2021 – WhatsApp (Irlanda): multa di 225 milioni di euro per scarsa trasparenza nelle informative agli utenti.
• 2022 – Clearview AI: vari Garanti europei hanno sanzionato l’azienda per l’uso illecito di dati biometrici.
• 2023 – Meta (Irlanda): sanzione di 1,2 miliardi di euro, la più alta mai inflitta, per trasferimento illecito dei dati dall’UE agli Stati Uniti.
• 2024 – TikTok (Irlanda): multa di 345 milioni di euro per violazioni sulla protezione dei minori.
• 2024 – Settore sanitario in Italia: oltre 22 milioni di euro di sanzioni complessive, con una media di 200.000 euro per struttura, per mancata adozione di misure tecniche e organizzative adeguate.
• 2025 – OpenAI (Italia): sanzione da 15 milioni di euro per ChatGPT, legata a carenze di trasparenza, basi giuridiche e assenza di sistemi efficaci di verifica dell’età.
• 2025 – Replika (Italia): l’Autorità Garante ha inflitto 5 milioni di euro di multa per trattamento illecito dei dati di utenti minorenni.
• 2025 – Autostrade per l’Italia: sanzione da 000 euro per trattamenti non conformi ai principi di liceità, trasparenza e finalità.

I settori più colpiti dalle sanzioni GDPR

• comunicazioni e media: storicamente il settore con più provvedimenti, soprattutto verso operatori telefonici e piattaforme social;
• sanità e pubblica amministrazione: in forte crescita dal 2023 al 2025, con sanzioni importanti per data breach e mancata protezione dei dati sensibili;
• industria e commercio: in aumento i casi di mancata trasparenza e pratiche scorrette nella gestione dei dati dei clienti;
• tecnologia e intelligenza artificiale: dal 2024, le Autorità hanno concentrato l’attenzione sui sistemi di IA, imponendo multe a realtà come OpenAI e Replika.

Cosa significa per le aziende

Il messaggio delle Autorità europee è chiaro: il GDPR non è una norma “di facciata”, ma un insieme di obblighi concreti con impatti economici enormi. Anche aziende medio-piccole possono essere colpite da ispezioni e multe, spesso a seguito di segnalazioni da parte dei cittadini.

Predisporre un modello organizzativo adeguato in materia di privacy significa ridurre il rischio di:

• sanzioni economiche;
• danni reputazionali;
• perdita di fiducia da parte di clienti e stakeholder.

La compliance al GDPR è oggi un investimento imprescindibile per la sostenibilità e la competitività aziendale.