Per data breach si intende la violazione di sicurezza accidentale o volontaria e illecita che provoca la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati, trasmessi o conservati.
Il GDPR impone la notifica di eventuali violazioni di dati senza ingiustificato ritardo e, se possibile, entro 72 ore dal momento in cui si viene a conoscenza della violazione.
Stando al Report DLA, su 23 Paesi UE considerati - cinque non hanno reso pubblici i dati - quelli che hanno registrato il maggior numero di violazioni sono Germania, Regno Unito e Paesi Bassi: questi tre Paesi raccolgono i due terzi di tutte le violazioni, 38.600 data breach in totale.
Si attende un sensibile aumento delle multe
A fronte di un numero significativo di violazioni, le Autorità preposte all'applicazione del Regolamento hanno irrogato solo 91 multe.
Una prima sanzione è stata irrogata dal Garante tedesco il 22 novembre 2018, che ha condannato il sito Knuddels.de al pagamento di 20 mila euro per aver violato l’art. 32 del GDPR, ovvero la norma relativa alla sicurezza del trattamento dei dati.
Le multe più esose restano quella comminata dalla CNIL, l’Autorità garante francese per la privacy, a Google, con 50 milioni di euro per scarsa trasparenza sulla finalità del trattamento dati e sul poco chiaro consenso richiesto agli utenti e quella applicata in Germania all'azienda che non ha protetto adeguatamente le password dei dipendenti, di 20 mila euro.
Ad un’azienda austriaca è stata inflitta una sanzione da 4.800 euro per il sistema di telecamere a circuito chiuso non autorizzato che si affacciava sulla strada e si ricordano infine quattro multe cipriote del totale di 11.500 euro.
Siamo tuttavia ancora in fase di adeguamento della direttiva, con rallentamenti burocratici che aumenteranno significatamene l’importo e la quantità delle sanzioni una volta smaltiti i casi arretrati.
Secondo lo studio citato, nel 2019 è infatti previsto un aumento sensibile delle multe per violazione del GDPR, anche per centinaia di milioni di euro da parte dei Garanti Privacy locali.
Le sanzioni previste dal regolamento
Il nuovo Regolamento europeo sulla protezione dei dati personali ha introdotto sostanziali novità per la tutela dei dati e per la loro circolazione, soprattutto per quanto riguarda le sanzioni amministrative.
L’art. 83 del Regolamento (reg. (UE) n. 679/2016) individua i soggetti responsabili delle violazioni attraverso un principio generale di responsabilità civile ripartita tra titolare e responsabile del trattamento dei dati, per tutti i casi di danno prodotto, all'interessato o a terzi, nello svolgimento delle attività connesse al trattamento.
Si prevede un principio di proporzionalità nell'applicazione della pena per violazione, secondo il grado di gravità del fatto commesso e della natura dolosa o colposa della trasgressione, nonché di eventuali reiterazioni del comportamento illecito e di collaborazione con il Garante della Privacy, quale organo competente.
L’art. 83 del GDPR e la corrispondente norma attuativa, l’art. 166 d.lgs. n. 101/2018 distinguono due gruppi di sanzioni amministrative, illustrate nella tabella seguente.
