Ammontano a circa 410 milioni di euro le sanzioni che sono state inflitte lo scorso anno in 190 procedimenti condotti dalle autorità di controllo per la protezione dei dati personali europee. A evidenziarlo è l'ultimo rapporto statistico dell'Osservatorio di Federprivacy "Sanzioni privacy in Europa 2019", frutto di un'analisi svolta presso le fonti istituzionali dei trenta paesi dello Spazio Economico Europeo (SEE).

L'autorità più severa in assoluto è risultata quella del Regno Unito (ICO), che ha irrogato multe per 312 milioni di euro, pari al 76% del totale complessivo delle nazioni prese in esame.

Nella graduatoria invece delle autorità più attive, vi sono al terzo posto quella rumena (ANSPDCP) con 20 sanzioni comminate, seconda quella spagnola (AEPD) con 28, e prima quella italiana con 30 provvedimenti sanzionatori irrogati nel 2019 per un totale di € 4.341.990.  

Nonostante il Garante per la privacy italiano attenda da oltre sei mesi di rinnovare il collegio scaduto dal 19 giugno dello scorso anno, l'Authority guidata da Antonello Soro, attualmente in regime di prorogatio con poteri limitati alla gestione degli affari di ordinaria amministrazione e quelli indifferibili e urgenti, ha comunque continuato a svolgere regolarmente le proprie attività ispettive, e già alla fine del primo semestre del 2019 aveva proceduto all'iscrizione a ruolo di 779 contravventori con una riscossione complessiva prevista di circa 11 milioni di euro. 

Se il Gdpr ha assunto ormai piena efficacia da oltre un anno e mezzo con multe che possono arrivare fino a 20 milioni di euro o fino al 4% del fatturato annuo globale dei trasgressori, d'altra parte il rapporto evidenzia che vi sono autorità di controllo che attendono ancora di irrogare le prime sanzioni con il Regolamento UE, come quelle di Irlanda e Lussemburgo, dove hanno la propria sede europea la maggior parte delle multinazionali straniere che trattano dati personali su larga scala. A tal proposito, il presidente di Federprivacy Nicola Bernardi osserva: «Il Gdpr ha posto le basi per una normativa sulla protezione dei dati personali più omogenea all'interno dell'UE, e anche il nuovo regime sanzionatorio costituisce un efficace strumento dissuasivo nel contrasto alle violazioni.

Tuttavia, il rapporto sembra evidenziare un fenomeno di autorità di controllo a doppia velocità, con quella inglese che ha già multato pesantemente British Airways e Marriot, mentre la sua vicina omologa irlandese, benché sia autorità capofila competente per diversi colossi della tecnologia, non ha inflitto ancora nessuna sanzione. Auspichiamo quindi che il meccanismo del "one stop shop" non finisca per agevolare in modo distorto società come Facebook, Twitter, Amazon e Google, e che  si possano conoscere presto gli esiti delle 19 indagini che risultano essere state avviate in Irlanda.»
Tra le infrazioni che sono state più spesso sanzionate, nel 44% dei casi hanno riguardato trattamenti illeciti di dati, nel 18% dei procedimenti sono state riscontrate insufficienti misure di sicurezza, e una multa su cinque è scaturita dalla omessa o inidonea informativa (9%) o dal mancato rispetto dei diritti degli interessati (13%), mentre il 9% delle sanzioni sono scattate a seguito di incidenti informatici o altri data breach. 

I settori che risultano più colpiti sono la pubblica amministrazione con il 17% del totale delle multe, e le telecomunicazioni con 28 procedimenti sanzionatori (14,7%) sul totale dei 190 comminati nel 2019.