Squarciato il velo sui Dpo. Il Gdpr in materia di Responsabile della protezione dei dati è un campo minato. Pieno di insidie. E gli interventi punitivi, seppure limitati a qualche unità, fanno scorgere tempeste all’orizzonte. Non è tanto il tabellino delle sanzioni già elevate che preoccupa, quanto la possibilità, illimitata, di sanzionare qualsiasi titolare o responsabile del trattamento per fatti od omissioni riguardanti il Data Protection Officer.
È eccessivo scattare foto al passeggero del trasporto pubblico che non ha un biglietto valido per contestargli la sanzione amministrativa. A questo risultato si giunge attraverso un’analisi del flusso dei dati nel caso in cui non ci sia un archivio fotografico per fare il raffronto delle immagini e il rintraccio del nome. Altra questione è la raccolta di prove per contestare reati.
Le recenti decisioni prese dalle autorità per la protezione dei dati in tutta l'Unione europea mettono in luce quali sono le attuali tendenze dell'applicazione del regime sanzionatorio da parte dei regolatori nazionali, e su quali tipologie di infrazioni essi si stanno concentrando. Oltre al Garante italiano con la sanzione di oltre 3 milioni di euro comminata a Sky, particolarmente rigorose anche l’autorità austriaca, quella tedesca di Amburgo, quella norvegese, e quella francese, che messe insieme hanno ingiunto il pagamento di quasi 14 milioni di euro di sanzioni nell’arco di un solo mese.
A seguito delle decisioni vincolanti sulla risoluzione delle controversie dell'European Data Protection Board (EDPB) del 5 dicembre 2022, l'autorità irlandese per la protezione dei dati (Data Protection Commission) ha adottato le proprie decisioni relative a Facebook e Instagram (Meta Platforms Ireland Limited, "Meta IE"). Queste decisioni sono il risultato di indagini basate su reclami sulle attività di Facebook e Instagram, in particolare per quanto riguarda la liceità e la trasparenza del trattamento per la pubblicità comportamentale. Meta è stata multata dalla Data Protection Commission per 210 milioni di euro nella decisione di Facebook e per 180 milioni di euro nella decisione di Instagram, per un totale di 390 milioni di euro di sanzioni.
Il Garante privacy ha comminato due sanzioni per complessivi 300mila euro a una nota società che produce dispositivi medici per il monitoraggio, la prevenzione e il trattamento di diverse patologie.
Un link per disiscriversi nelle email promozionali inviate senza consenso non rende lecito l’invio. Lo ha precisato il Garante privacy nel comminare una sanzione di 10mila euro ad una società che aveva utilizzato questa modalità per le proprie campagne promozionali indirizzate a numerosi destinatari.
Il Garante Privacy ha inflitto a Enel Energia una sanzione di oltre 79 milioni di euro per le gravi carenze nei trattamenti dei dati personali di numerosi utenti del settore dell’energia elettrica e del gas, realizzati ai fini di telemarketing.
Un consenso in realtà praticamente inutile. Un'incertezza sui tempi inammissibile. E un rischio per il trasferimento dei dati all'estero evidentemente sottovalutato. L'università Bocconi di Milano è stata multata dal garante per la protezione dei dati personali con una sanzione di 200mila euro per l'utilizzo, poco trasparente e non corretto, di un sistema di "controllo" per gli esami a distanza durante i mesi più duri dell'emergenza coronavirus, quando gli Atenei erano stati chiusi e gli studenti erano stati costretti a partecipare agli appelli da casa.
L’indebita curiosità di un agente di polizia e di un operatore sanitario è stata punita dal garante per la privacy estone (Andmekaitse Inspektsioon), che li ha sanzionati nell'ambito di una procedura abbreviata per trattamento illecito di dati personali in violazione degli articoli 5 e 6 del Gdpr.
È intervenuto il 17/2/2021 il provvedimento dell'AGCM con il quale è stata irrogata a Facebook (nel dettaglio, Facebook Ireland Ltd. e la sua controllante Facebook Inc.) una sanzione di complessivi sette milioni di euro per le pratiche commerciali scorrette poste in essere non informando adeguatamente gli utenti delle finalità commerciali sottese alla raccolta dei loro dati personali.
