Le sanzioni penali della privacy!
Il GDPR non prevede direttamente sanzioni penali, ma ne rinvia la disciplina ai singoli Stati. Il Codice Privacy italiano stabilisce sanzioni penali per le seguenti violazioni privacy:
- trattamento illecito dei dati che abbia recato danni all’interessato (la pena prevista è la reclusione da 6 a 18 mesi)
- trattamento illecito dei dati per trarre profitto o per arrecare danno (reclusione da 1 a 3 anni)
- comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala (reclusione da 6 a 24 mesi)
- acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala
- falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante (reclusione da 6 mesi a 3 anni)
- inadeguatezza delle misure minime di sicurezza (reclusione fino a 2 anni o ammenda da € 10 mila a € 50 mila)
- inosservanza dei provvedimenti del Garante (reclusione da 3 mesi a 2 anni)
- controlli a distanza e indagini sulle opinioni dei lavoratori (reclusione da 15 giorni ad 1 anno)
Sanzioni GDPR correttive
In alternativa o in aggiunta alle normali sanzioni, il Garante della privacy può stabilire sanzioni correttive che consistono in ammonimenti o ingiunzioni rivolte al titolare o al responsabile di trattamento (art. 58 del GDPR). Le sanzioni correttive sono finalizzate, ad esempio, a impedire un trattamento illecito, a imporre una limitazione dei dati, ad adottare misure di sicurezza idonee, etc.
Inoltre, in aggiunta alle sanzioni, il titolare e il responsabile potrebbero essere condannati al pagamento del risarcimento del danno patrimoniale e non patrimoniale del soggetto leso dalla violazione della GDPR.
Autorità privacy: come vengono applicate le sanzioni
L’organo competente ad applicare le sanzioni è il Garante della privacy che dovrà tener conto di:
- natura, gravità e durata della violazione
- carattere doloso o colposo della violazione
- grado di cooperazione con l’autorità al fine di ridurne gli effetti e/o eliminarli
Le sanzioni dell’autorità privacy dovranno essere sempre proporzionate alla redditività dell’azienda, in modo da non costringerla a cessare l’attività.