Multe GDPR a 225,9 miliardi? No: 225,9 milioni di euro, in aumento del 230% nel Q2 2026

Il caso Yango: 100 milioni per i trasferimenti di dati in Russia

La sanzione individuale più alta del trimestre è arrivata dai Paesi Bassi. L’Autorità olandese per la protezione dei dati ha inflitto una multa di 100 milioni di euro a MLU B.V., la società europea legata all’app di taxi Yango. L’autorità ha contestato l’adeguatezza delle garanzie applicate al trasferimento di dati personali verso la Russia e ha ordinato di interrompere i trasferimenti nei casi in cui non fossero rispettati i requisiti del GDPR.

Il procedimento dimostra che, per i trasferimenti internazionali, non basta predisporre formalmente un contratto standard. Le aziende devono valutare anche il Paese di destinazione, le modalità operative effettive del trasferimento, l’eventuale accesso delle autorità locali ai dati e l’efficacia delle misure supplementari. Le contestazioni olandesi riguardavano proprio l’insufficienza delle garanzie per i trasferimenti verso Paesi terzi.

Con un valore di circa 100 milioni di euro, il caso Yango ha rappresentato quasi il 44% dell’intero totale delle multe del Q2. La concentrazione spiega gran parte del balzo trimestrale e sottolinea quanto i flussi di dati transfrontalieri possano incidere sul rischio finanziario di un’impresa.

Francia, Italia e Regno Unito tra i Paesi con le sanzioni maggiori

Tra gli altri procedimenti di rilievo segnalati nel trimestre figurano:

• Francia: le società di telecomunicazioni Free Mobile e Free hanno ricevuto sanzioni complessive per 42 milioni di euro, compresa una multa di 27 milioni contro Free Mobile, per carenze relative alla sicurezza dei dati degli abbonati.
• Italia: Intesa Sanpaolo è stata multata per 31,8 milioni di euro per carenze nella protezione dei dati bancari dei clienti.
• Regno Unito: l’Information Commissioner’s Office (ICO), l’autorità britannica per la protezione dei dati, ha sanzionato Reddit per 14,47 milioni di sterline. L’autorità ha stabilito che la piattaforma aveva utilizzato illegalmente i dati personali dei minori e non aveva adottato controlli adeguati sulla verifica dell’età. Reddit ha presentato ricorso contro il provvedimento sanzionatorio.

Il caso Reddit conferma che la tutela dei minori resta un’area ad alto rischio. Verifica dell’età, base giuridica per il trattamento dei dati dei minori e misure capaci di ridurre i danni prevedibili sono tutti elementi sottoposti a crescente attenzione da parte dei regolatori.

Le violazioni GDPR che attirano più attenzione

Il quadro del secondo trimestre non riguarda un’unica categoria di infrazione. I temi più rilevanti sono stati i seguenti.

Controlli di sicurezza insufficienti

Carenze nei sistemi di sicurezza sono emerse in diversi casi di grande entità, tra cui quelli che hanno coinvolto le società francesi di telecomunicazioni e l’istituto bancario italiano. Le organizzazioni che gestiscono grandi quantità di informazioni sui clienti devono adottare misure tecniche e organizzative proporzionate alla sensibilità, al volume e al contesto operativo del trattamento.

Trattamento dei dati senza una base giuridica adeguata

L’assenza di una base giuridica sufficiente continua a essere tra le ragioni più frequenti delle sanzioni GDPR significative, secondo la sintesi esecutiva del CMS GDPR Enforcement Tracker. Le aziende dovrebbero poter collegare ogni attività rilevante di trattamento a una base giuridica documentata e dimostrare che tale base corrisponde all’uso effettivo dei dati.

Garanzie deboli per i trasferimenti internazionali

Il procedimento Yango colloca i trasferimenti verso Paesi terzi tra i rischi potenzialmente più costosi. Una valutazione corretta dovrebbe considerare il percorso effettivo dei dati, i soggetti che li ricevono, l’accesso da parte delle autorità del Paese di destinazione e l’efficacia delle garanzie supplementari, non soltanto la presenza della documentazione contrattuale.

Violazioni relative alla privacy dei minori

La decisione dell’ICO su Reddit rafforza la necessità di progettare servizi adeguati all’età degli utenti, adottare procedure affidabili di age assurance e definire un approccio documentabile all’uso lecito dei dati personali dei minori.

Media e finanza tra i settori più esposti

Le aziende dei comparti media e finanza hanno rappresentato sei delle dieci maggiori multe del Q2, secondo la ripartizione riportata da Finbold. Tecnologia, telecomunicazioni e altri settori rivolti ai consumatori possono presentare un’esposizione analoga quando gestiscono dati su larga scala o utilizzano sistemi complessi e interconnessi.

Questo non significa che tutte le imprese di questi comparti corrano lo stesso rischio. L’esposizione tende a crescere quando si combinano grandi volumi di dati, profilazione comportamentale, informazioni sensibili, ampie basi di utenti, infrastrutture internazionali o numerosi fornitori e partner esterni.

Le cinque priorità per le aziende che operano in Europa

Il modello delle sanzioni del Q2 si traduce in cinque priorità operative:

1. Mappare i trattamenti e le basi giuridiche. Il registro delle attività dovrebbe indicare quali dati vengono raccolti, per quale finalità, chi li riceve e quale base giuridica sostiene ogni utilizzo.
2. Verificare la sicurezza in condizioni reali. È necessario testare gestione degli accessi, autenticazione, monitoraggio, conservazione dei dati, risposta agli incidenti e controlli sui fornitori, senza limitarsi alle policy scritte.
3. Rafforzare la protezione dei minori. Quando un servizio può essere utilizzato da bambini o adolescenti, verifica dell’età, consenso, valutazione dei rischi e garanzie adeguate all’età dovrebbero rientrare nelle revisioni di prodotto e compliance.
4. Rivalutare i trasferimenti internazionali. Le imprese dovrebbero documentare le valutazioni del rischio, verificare il ruolo di ogni destinatario e introdurre garanzie supplementari quando le sole clausole contrattuali non sono sufficienti.
5. Portare i trattamenti ad alto rischio all’attenzione dei vertici. L’entità delle sanzioni più elevate mostra che la privacy è una questione finanziaria e operativa, non una semplice casella da spuntare in ambito legale.

La lezione del secondo trimestre 2026

Il totale di 225,9 milioni di euro evidenzia quanto rapidamente una singola decisione possa modificare il quadro delle sanzioni. La multa legata a Yango ha rappresentato quasi la metà del valore trimestrale, mentre i procedimenti contro società di telecomunicazioni, banche e piattaforme digitali mostrano che i regolatori stanno esaminando sia la sicurezza dei sistemi sia la legittimità dell’uso dei dati personali.

Per le aziende che operano in Europa, il messaggio è chiaro: i controlli GDPR devono entrare nella gestione ordinaria del rischio d’impresa. Base giuridica, sicurezza, tutela dei minori e trasferimenti internazionali vanno verificati con continuità e sostenuti da prove in grado di resistere al controllo delle autorità.