Simulatore di rischio e sanzioni GDPR (articolo 83 UE)

Sanzione GDPR (articolo 83): massimale e stima

L'articolo 83 del GDPR fissa due massimali: 10 M€ o il 2% del fatturato mondiale annuo per gli obblighi di mezzi (registro, sicurezza, DPO), 20 M€ o il 4% per i principi, il consenso, i diritti delle persone e i trasferimenti, prevalendo l'importo più alto. Lo strumento calcola questo massimale e poi una sanzione probabile a partire da un indice di gravità da 5 a 100.

Massimale di legge

• Livello 1 (art. 83 §4: registro, sicurezza, DPO): il più alto tra 10 M€ e il 2% del fatturato mondiale annuo.
• Livello 2 (art. 83 §5: principi, consenso, diritti delle persone, trasferimenti fuori dall'UE): il più alto tra 20 M€ e il 4%.

Sanzione probabile secondo lo strumento

Gravità di partenza: 20 (livello 1) o 45 (livello 2); +25 se la violazione è deliberata, +15 per dati sensibili, +15 in caso di recidiva; −10 se la violazione è stata notificata entro 72 h, −10 in caso di cooperazione; risultato limitato tra 5 e 100. Sanzione probabile = fatturato × gravità ÷ 100 × aliquota (2% o 4%) × 1,5, più 25.000 € se la gravità supera 50 (altrimenti 5.000 €), senza superare il massimale.

Esempi

5 M€ di fatturato, livello 2, negligenza, notifica e cooperazione: gravità 45 − 10 − 10 = 25; sanzione probabile = 5.000.000 × 0,25 × 0,04 × 1,5 + 5.000 = 80.000 €; massimale di 20 M€, perché il 4% farebbe solo 200.000 €. Violazione deliberata su dati sanitari, non notificata: gravità 75, sanzione probabile di 250.000 €. Con 1 Md€ di fatturato e tutti i fattori aggravanti presenti, la formula dà 60 M€, limitati a 40 M€.

Limiti

Questa formula è propria dello strumento. L'EDPB (linee guida 04/2022) parte da 0-10%, 10-20% o 20-100% del massimale a seconda della gravità, riduce questo importo per le piccole imprese, poi lo adegua secondo l'articolo 83 §2: una sanzione reale può discostarsi nettamente dal risultato. Non è una consulenza legale. Vedete anche il simulatore DSA (piattaforme, cookie) e la guida ai tempi di conservazione.

Fonti e date: GDPR, art. 83 §2, §4 e §5, applicabile dal 25/05/2018 (CNIL, capitolo VIII del GDPR); art. 33 §1, notifica entro 72 h (CNIL, capitolo IV del GDPR); linee guida 04/2022 dell'EDPB, versione del 24/05/2023 (EDPB, calcolo delle sanzioni) (verificato il 14/10/2026).

Domande frequenti

Qual è l'importo massimo di una sanzione GDPR?

Per le violazioni più gravi (articolo 83 §5), la sanzione può arrivare a 20 M€ o al 4% del fatturato mondiale annuo dell'esercizio precedente, prevalendo l'importo più alto. Un'impresa che fattura 1 Md€ rischia quindi fino a 40 M€. Sotto i 500 M€ di fatturato, si applica il massimale fisso di 20 M€.

Quali violazioni rientrano nel massimale di 10 M€ o 2%?

L'articolo 83 §4 riguarda gli obblighi del titolare e del responsabile del trattamento: consenso dei minori (art. 8), protezione dei dati fin dalla progettazione, registro dei trattamenti, sicurezza, notifica delle violazioni, valutazione d'impatto e responsabile della protezione dei dati (art. 25-39), nonché la certificazione (art. 42 e 43). Il massimale è il più alto tra 10 M€ e il 2% del fatturato mondiale.

Entro quanto tempo va notificata una violazione di dati alla CNIL?

L'articolo 33 impone di notificare l'autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui se ne è venuti a conoscenza, salvo che la violazione non presenti rischi per le persone. Trascorso questo termine, la notifica deve spiegare il ritardo. Nello strumento, una notifica nei tempi toglie 10 punti all'indice di gravità.

Come calcolano le autorità una sanzione GDPR?

Le linee guida 04/2022 dell'EDPB (versione finale del 24/05/2023) fissano un importo di partenza tra 0 e 10%, 10 e 20% o 20 e 100% del massimale di legge a seconda della gravità, ridotto per le imprese di piccole dimensioni. Tale importo è poi adeguato in base alle circostanze aggravanti o attenuanti dell'articolo 83 §2, quindi verificato rispetto al massimale e al principio di proporzionalità. Lo strumento non riproduce questo metodo: applica una propria formula semplificata.

Lo strumento è davvero gratuito?

Sì, tutti gli strumenti di Kristools sono gratuiti al 100% e accessibili senza registrazione.

I miei dati sono protetti?

Sì. Tutte le elaborazioni vengono eseguite direttamente e in modo sicuro nel tuo browser. Nessun dato personale viene inviato ai nostri server.