Sanzioni GDPR e studi professionali
Introduzione
Il 24 maggio 2016 è entrato in vigore il Regolamento UE 2016/679, operativo dal 25 maggio 2018. Da allora ogni organizzazione che tratta dati personali — compresi gli studi professionali, anche di un solo professionista — deve essersi adeguata.
Tra i temi che più occupano titolari e responsabili c’è l’impianto sanzionatorio. Come è fatto? Che cosa rischia uno studio?
Quando nasce la violazione
A differenza della disciplina precedente, che agiva soprattutto a posteriori, oggi la violazione nasce anche quando lo studio non mette in atto le misure preventive. Esempi concreti: informativa assente o inidonea; assenza di cifratura su archivi che contengono dati riservati di clienti; dati conservati oltre il termine di legge e mai distrutti — caso frequente negli studi di commercialisti e nei notarili.
La sanzione deve essere effettiva, proporzionata e dissuasiva. Non può essere solo simbolica. Nel commisurarla si valutano gravità del danno, dolo o colpa, misure adottate per attenuare il pregiudizio, reiterazione e concorso di violazioni.
Le conseguenze possibili sono quattro: sanzioni amministrative; sanzioni penali; poteri correttivi del Garante; risarcimento del danno in favore dell’interessato.
Sanzioni amministrative
Sono le uniche espressamente previste dal GDPR, agli artt. 83 e 84. Le irroga il Garante per la protezione dei dati personali a titolari e responsabili.
Fino al 2% del fatturato dell’esercizio precedente, per violazioni sulle modalità di esecuzione del trattamento: registro assente, DPO non nominato ove dovuto, DPIA omessa, data breach non notificato.
Fino al 4% del fatturato mondiale, per violazioni dei principi: consenso, diritti dell’interessato, informativa, trasferimenti extra-SEE, inosservanza di un ordine del Garante.
Sanzioni penali
L’art. 84 lascia agli Stati membri le sanzioni non coperte dalle ammende amministrative. In Italia restano le fattispecie del D.Lgs. 196/2003, confermate e inasprite dal D.Lgs. 101/2018. Si valuta non solo il profitto dell’autore, ma anche il danno — compreso quello reputazionale — arrecato all’interessato.
Rilevano, tra le altre: trattamento illecito; comunicazione e diffusione illecita su larga scala; acquisizione fraudolenta su larga scala; falsità nelle dichiarazioni al Garante; inosservanza dei provvedimenti; violazioni sui controlli a distanza e sulle indagini sulle opinioni dei lavoratori. Le sanzioni penali si coordinano tra Pubblico Ministero e Garante.
Poteri correttivi
L’art. 58 consente misure non pecuniarie che, per uno studio, pesano quanto un’ammenda: avvertimenti e ammonimenti; ingiunzione a soddisfare i diritti dell’interessato o a conformare i trattamenti; ordine di comunicare un data breach; limitazione o divieto del trattamento; rettifica o cancellazione; sospensione dei flussi verso un paese terzo. Un blocco dei trasferimenti o una limitazione al trattamento può fermare l’attività quotidiana dello studio.
Responsabilità civile
L’interessato può chiedere il risarcimento per danno fisico, materiale o immateriale; discriminazione o lesione dell’identità; pregiudizio alla reputazione; violazione del segreto professionale; compromissione di dati particolari. Per gli studi il rischio più concreto è spesso la sicurezza: furto o danneggiamento dei supporti, accesso abusivo agli archivi, non un abuso intenzionale del professionista.
Conclusioni
Nessuna categoria è sfuggita ai provvedimenti dei garanti europei: grandi imprese, PMI, enti pubblici, studi. Tra gennaio 2020 e gennaio 2021 le sanzioni per violazioni del GDPR sono aumentate di quasi il 40%, raggiungendo circa 159 milioni di euro, con il 19% in più di notifiche di data breach. Le interpretazioni sono spesso rigorose e le ammende possono compromettere la stabilità economica dello studio.
Il percorso di adeguamento è descritto in Privacy GDPR.