Il Documento si compone di:

• Quadro d'insieme: Visualizzazione tabellare di processi organizzativi, ricognizione di attività di trattamento, dati personali e loro tipologia;
• Trattamenti, finalità e basi giuridiche: Visualizzazione tabellare con evidenza puntuale del trattamento, della sua finalità e pertinente Base giuridica;
• Analisi del rischio in conformità alle indicazioni di ENISA (l’Agenzia europea per la sicurezza delle reti e dell'informazione) e allo standard ISO/IEC 29134:2017;
• Gap Analysis delle misure di sicurezza adottate in relazione con lo standard ISO/IEC 27001:2013;
• "Registro Attività di Trattamento del Titolare";
• "Registro "Attività di Trattamento del Responsabile",
• "Registro dei Responsabili"
• "Registro Trattamenti/ruoli"
• Analisi del livello di rischio specifico per risorese e trattamenti

Articolo 83

Condizioni generali per infliggere sanzioni amministrative pecuniarie

"...fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore" (Art. 83, comma 5 GDPR).

Alcuni esempi di sanzioni:

Mancata informativa e violazioni artt. 5, 8, 28 e 32 de GDPR: 80.000 euro all'Ospedale “A. Cardarelli” di Napoli e 60.000 euro alla Scanshare s.r.l. per molteplici violazioni del GDPR, durante laprocedura concorsuale. Le violazioni dei principi di liceità, correttezza e trasparenza, (art. 5, par. 1, lett. a); dell’art. 13 del Regolamento, in quanto non è stata fornita agli interessati un’idonea informativa; dell’art. 28 del Regolamento, in quanto l’Azienda ha omesso di regolamentare il rapporto con la Società; degli artt. 6 e 9 GDPR e degli artt. 2-ter, 2-sexies, 2-septies del Codice, in quanto i dati relativi alla salute sono stato trattati, comunicati e diffusi in assenza di un’idonea base giuridica; dell’art. 32 in quanto non sono state adottate adeguate misure tecniche e organizzative volte a garantire la riservatezza e l’integrità dei dati personali trattati.

Monitoraggio dei dipendenti: 35.258.707 euro a H&M per profilazione dei dipendenti. La sanzione è stata comminata dal Commissario di Amburgo per la protezione dei dati e la libertà di informazione (HmbBfDI).

Anonimizzazione mediante iniziali: 4.000 euro al Comune di Greve in Chianti e 6.000 euro all'Unione di Comuni per aver pubblicato, nella sezione “Albo online” del sito web istituzionale del Comune, una determinazione del Segretario Generale, al cui interno erano menzionati riferimenti a vicende relative al rapporto di lavoro di un ex dipendente, anonimizzandola mediante l’uso delle iniziali e il numero di matricola.

Misure di sicurezza: 600.000 euro a Unicredit per un data breach che ha coinvolto i dati di 762.000 clienti (Garante italiano nel Luglio 2020). 

Marketing: 16.729.600 euro a Wind Tre Spa per “marketing selvaggio” (Telemarketing e contatti promozionali indesiderati, effettuati senza consenso tramite sms, e-mail, fax, telefonate e chiamate automatizzate; Impossibilità a esercitare il diritto di revoca del consenso o di opposizione al trattamento per marketing; irregolarità sull'acquisizione del consenso per le app MyWind e My3; illeciti nella filiera dei partner commerciali di Wind Tre, anche con impropria attivazione di contratti (Garante italiano nel Luglio 2020).

Telemarketing: 200.000 € a un call center romano per raccolta e uso inappropriato dei dati (Garante italiano nel Luglio 2020).

Segregazione degli accessi: 800.000 € a Iliad per violazioni del GDPR e accesso dei propri dipendenti ai dati di traffico dei clienti (Garante italiano nel Luglio 2020).

Telemarketing:  27.802.946 a Tim SpA per Marketing e telemarketing: (Mancato controllo su operato dei call center che chiamavano senza consenso, mancato aggiornamento delle black list dove vengono registrate le persone che non vogliono ricevere pubblicità, bbligo di rilascio del consenso per aderire al programma “Tim Party” con i suoi sconti e premi, Informative e raccolta del consenso per le App inadeguate, errata gestione di data breach, non conformità nelle registrazioni audio dei contratti stipulati telefonicamente  - verbal order, tempi di conservazioni errati per le utenze di clienti di altri operatori, detenute da Tim in quanto gestore della rete (Garante italiano nel Gennaio 2020).

Telemarketing e teleselling: 11.500.000 a ENI Gas e Luce per Telemarketing senza il consenso o nonostante il diniego a ricevere chiamate promozionali, Non verifica del Registro pubblico delle opposizioni; Assenza di misure tecnico organizzative in grado di recepire le manifestazioni di volontà degli utenti; tempi di conservazione dei dati superiori a quelli consentiti; Acquisto di liste contatti prive dei consensi (list provider), irregolarità nella conclusione dei contratti (Garante italiano nel Dicembre 2019)

Mancanza di misure di sicurezza:110.390.200 euro a Marriott International per un data breach e divulgazine online dei dati dei clienti di cui circa 30 milioni relativi a residenti in 31 paesi dello Spazio Economico Europeo (SEE) e circa 7 milioni legati ai residenti nel Regno Unito (Garante inglese nel Luglio 2019).

Mancanza di misure di sicurezza: 204.600.000 euro a British Airways per un data breach, a seguito del quale gli utenti erano reindirizzati a un sito fraudolento (Grante inglese nel Luglio 2019).

Mancanza di misure di sicurezza: 130.000 euro a Unicredit Bank S.A (Garante Rumeno nel Giugno 2019).

Segregazione accessi: 460.000 euro all’ospedale di Haga - L’Aia, per un’insufficiente protezione dei file dei pazienti da accessi non autorizzati del personale non medico con un ulteriore anzione di 100.000 euro se le misure non fossero adottate entro 4 mesi (Garante olandese nel Giugno 2019).

Conservazione dei dati: 200.850 euro a IDdesign  per aver conservato i dati di un elevato numero di clienti per un periodo superiore al necessario (Garante danese nel Giugno 2019).

Conservazione dei dati: 400.000 euro a SERGIC, società specializzata nell’acquisto, nella vendita, nell’affitto e nella gestione di proprietà immobiliari, per inadeguate misure di sicurezza, in violazione dell’art. 32 GDPR, e per un eccessivo periodo di conservazione dei dati degli utenti (Garante privacy francese nel maggio 2019).

Misure di sicurezza: 50 mila euro all’Associazione Rousseau per la mancanza di adeguate misure di sicurezza a protezione dei dati personali degli iscritti alla piattaforma (Garante italiano nel aprile 2019).

Misure di sicurezza: 170.000 euro per mancanza di misure di sicurezza adeguate a protezione del sistema informatico comunale, nello specifico delle credenziali di accesso degli studenti e dei dipendenti delle scuole primarie (Garante norvegese nel marzo 2019).

Marketing: 219.538 euro per trattamento di dati per finalità di marketing, nello specifico dati personali provenienti da fonti pubbliche, senza fornire l’informativa ai sensi dell’art. 14 del GDPR (Garante polacco nel marzo 2019)

Trasparenza: 50 milioni di euro per violazioni del GDPR con riferimento al sistema Android per dispositivi mobile in termini di obblighi di trasparenza e informazione e consenso al trattamento dei dati personali per finalità di marketing non validamente ottenuto (Garante Francese nel gennaio 2019)

Misure di sicurezza: 20.000 euro per carenza di misure di sicurezza per un sito web (Garante tedesco nel novembre 2018)

Videosorveglianza: 4.000 euro per uso improprio del sistema di videosorveglianza (Garante austriaco nel ottobre 2018);

Segregazione degli accessi: 400.000 euro per accesso indiscriminao e ingiustificato ai dati sanitari dei pazienti da personale non medico (Garante portoghese nel aprile 2018)