Il Regolamento generale sulla protezione dei dati (GDPR) è entrato in vigore il 25 maggio 2018, più di cinque anni fa, con l’obiettivo di armonizzare le leggi sulla protezione dei dati in tutta l’Unione europea. Il regolamento ha alzato notevolmente l’asticella per la tutela dei dati personali degli utenti. Nonostante l’annuncio anticipato, molte aziende non sono riuscite ad adeguare in tempo i propri sistemi informativi. Va ricordato che le sanzioni per violazione del GDPR possono raggiungere i 20 milioni di euro o il 4% del fatturato annuo dell’azienda.

Il numero delle sanzioni

Dall’entrata in vigore del regolamento fino ad agosto 2023 sono state inflitte 1801 sanzioni, per un totale di oltre 4 miliardi di euro. I primi 14 mesi di applicazione del GDPR sono stati relativamente tranquilli per numero e importo delle multe (a parte il caso Google di gennaio 2019, quando la società è stata multata per 50 milioni di euro per mancanza di trasparenza). Il grafico seguente mostra il numero di sanzioni al mese.

Nell’ultimo anno (da settembre 2022 ad agosto 2023) la media è stata di 43 sanzioni al mese: non molte, considerando che l’UE conta 27 Paesi. In media si tratta di 1,5 sanzioni per Paese al mese.

Statistiche sull’importo delle sanzioni

Il primo a guidare la classifica per importo delle multe è stato Google nel 2021, con 200 milioni di euro. Google ha imparato in fretta la lezione e dal 2021 non è più stato sanzionato. Il leader indiscusso per importo complessivo è però l’attuale Meta (sanzionata la prima volta come Facebook), con oltre 2,3 miliardi di euro. A differenza di Google, Meta continua a essere multata ogni anno, con importi in crescita impressionante.

Abbiamo provato a “ripulire” i dati mensili escludendo i casi eccezionali superiori a 5 milioni di euro: ne risulta che la sanzione media è di circa 91 000 euro per l’intero periodo dal 2018 e di 88 000 euro negli ultimi 12 mesi.

Il grafico seguente mostra la sanzione media per caso (esclusi i casi superiori a 5 milioni di euro).

La classifica

Il Paese che guida la classifica per importo delle sanzioni è l’Irlanda (ovviamente a causa di Meta e Google). Sorprendentemente, al secondo posto c’è il Lussemburgo.

Per numero di sanzioni, il leader assoluto è la Spagna, con 733 multe su un totale di 1801.

Le violazioni più frequenti (per numero e importo delle sanzioni) riguardano il «mancato rispetto dei principi generali del trattamento dei dati» e l’«insufficienza della base giuridica per il trattamento dei dati». Al terzo posto, a notevole distanza, troviamo le «misure tecniche e organizzative insufficienti per garantire la sicurezza delle informazioni».

E la legge svizzera sulla protezione dei dati?

Ragionando per analogia con il GDPR, anche in Svizzera l’intero sistema avrà bisogno di tempo per adattarsi ai nuovi processi. Questo non significa che possiate rilassarvi e smettere di preoccuparvi della cybersicurezza e della protezione dei dati nella vostra azienda. Se la vostra azienda non ha ancora completato l’adeguamento alla nuova LPD (nLPD), vi raccomandiamo vivamente di farlo al più presto.

Poiché la responsabilità secondo la nLPD ricade principalmente sulle persone fisiche e la multa massima è di 250 000 franchi, probabilmente non ci si devono attendere sanzioni elevate come con il GDPR. E poiché i requisiti svizzeri per il trattamento dei dati personali sono in generale un po’ più moderati di quelli del GDPR, le multe si applicano solo alle violazioni intenzionali e nella maggior parte dei casi vengono inflitte solo su querela, c’è da sperare che in Svizzera i procedimenti penali siano meno numerosi. Almeno in una fase iniziale.

Dopo un “periodo di prova”, le procedure di indagine e di perseguimento previste dalla nuova LPD verranno probabilmente sviluppate e affinate. A quel punto è prevedibile un aumento del numero di casi e dell’importo delle multe.

Per questo è così importante prendere sul serio la protezione dei dati e adottare tutte le misure necessarie.

Se avete domande su come adeguare l’IT della vostra azienda alla nuova normativa, non esitate a contattarci tramite il modulo di contatto sul nostro sito. Siamo qui per aiutarvi!

Fonti:

https://dataprivacymanager.net/5-biggest-gdpr-fines-so-far-2020/

https://www.enforcementtracker.com/?insights

https://gdpr-info.eu/

https://www.mondaq.com/privacy-protection/1292208/new-swiss-data-protection-act--the-most-important-changes-for-companies