Multe GDPR in forte aumento: 225,88 milioni di euro nel Q2 2026

Il dato olandese è dominato dalla sanzione da 100 milioni di euro inflitta a MLU B.V., operatore dell’app di ride-hailing Yango e successore di Ridetech International B.V. L’Autorità olandese per la protezione dei dati ha contestato il trasferimento verso la Russia di dati personali relativi a utenti e conducenti in Finlandia e Norvegia, ritenendo insufficienti le garanzie applicate. L’autorità ha inoltre ordinato di interrompere i trasferimenti finché non saranno assicurate condizioni conformi al GDPR.

Il caso Yango: perché le clausole contrattuali non bastano sempre

La vicenda mette in evidenza un aspetto cruciale dei trasferimenti internazionali: l’utilizzo delle clausole contrattuali standard — uno degli strumenti previsti dal GDPR — non risolve automaticamente ogni problema di conformità.

Secondo le ricostruzioni disponibili, l’autorità olandese ha valutato anche elementi pratici, tra cui il possibile accesso russo alle chiavi di cifratura e la presenza di una gestione condivisa tra soggetti olandesi e russi. Questi fattori potevano aumentare il rischio di accesso ai dati e di reidentificazione delle persone interessate.

Le indicazioni dell’autorità olandese stabiliscono che il trasferimento di dati personali verso un Paese terzo è possibile solo in presenza di un livello di protezione adeguato, di garanzie appropriate o di una specifica eccezione. Le clausole contrattuali standard sono una possibile garanzia, ma l’azienda deve comunque verificare che la protezione sia effettiva nel contesto concreto del trasferimento.

In Francia le sanzioni più pesanti riguardano la sicurezza

La Francia ha totalizzato 52 milioni di euro di multe nel trimestre. Tra i procedimenti più rilevanti figurano la sanzione da 27 milioni di euro contro FREE MOBILE e quella da 15 milioni contro la società madre FREE, entrambe successive a una grave violazione dei dati. IQVIA Operations France ha invece ricevuto una multa da 15 milioni di euro per violazioni relative a dati sanitari.

Nel complesso, i casi francesi mostrano l’esposizione finanziaria legata a controlli di sicurezza inefficaci o alla mancata protezione di informazioni particolarmente sensibili. Le sanzioni possono inoltre coinvolgere più società dello stesso gruppo quando responsabilità e attività di trattamento sono distribuite tra diverse entità.

L’Italia: riflettori sulla protezione dei dati bancari

L’Italia ha registrato 45,50 milioni di euro di sanzioni. La quota principale è rappresentata dalla multa da 31,8 milioni di euro inflitta a Intesa Sanpaolo per carenze nella protezione dei dati bancari dei clienti.

Anche Poste Italiane e PostePay sono state sanzionate, rispettivamente per 6,62 milioni e 5,88 milioni di euro, in relazione a criticità nella gestione delle applicazioni bancarie.

I procedimenti italiani confermano la particolare esposizione degli istituti finanziari quando controlli degli accessi, governance dei dati e processi dei servizi digitali non proteggono adeguatamente le informazioni della clientela.

Reddit: la verifica dell’età diventa un tema centrale

L’Information Commissioner’s Office (ICO) del Regno Unito ha inflitto a Reddit una sanzione di 14,47 milioni di sterline, pari a 16,61 milioni di euro, per una verifica dell’età ritenuta insufficiente e per il trattamento illecito dei dati dei minori.

Il caso amplia il quadro dei rischi oltre le violazioni informatiche e i trasferimenti internazionali. Le piattaforme che trattano informazioni relative a bambini e adolescenti devono dimostrare che i sistemi di verifica dell’età e le relative attività di trattamento abbiano una base giuridica valida e offrano garanzie adeguate.

Quali violazioni e settori ricorrono più spesso?

L’analisi di Finbold rileva che le carenze di sicurezza e l’assenza di una base giuridica per il trattamento hanno rappresentato quasi tutte le principali sanzioni esaminate nel Q2.

Tra le dieci multe più elevate, i settori dei media e della finanza compaiono ciascuno tre volte. Trasporti ed energia rappresentano invece due delle dieci sanzioni più importanti, incluso il caso Yango, che è stato il più oneroso del trimestre.

Il quadro suggerisce che il rischio GDPR non sia soltanto una questione tecnica. Le autorità stanno esaminando anche i presupposti dell’utilizzo dei dati: la liceità del trattamento, l’efficacia concreta delle misure di sicurezza, la sostenibilità dei trasferimenti verso Paesi terzi e la supervisione di fornitori, partner e società collegate.

Che cosa significano questi numeri per le aziende

L’aumento del 230% non implica che tutte le organizzazioni siano esposte allo stesso livello. Inoltre, la ricerca costituisce una raccolta degli importi sanzionatori riportati e non una previsione delle multe future. Resta però un segnale chiaro per la compliance: le sanzioni più pesanti possono nascere da carenze che attraversano contemporaneamente controlli legali, organizzativi, operativi e tecnologici.

Le aree che le aziende dovrebbero verificare con maggiore attenzione includono:

• Base giuridica: documentare perché ogni principale attività di trattamento è consentita e verificare che la base dichiarata corrisponda all’uso effettivo dei dati.
• Controlli di sicurezza: testare nella pratica accessi, cifratura, monitoraggio e procedure di risposta agli incidenti.
• Trasferimenti internazionali: valutare l’ambiente giuridico e tecnico reale del Paese di destinazione, senza affidarsi soltanto al testo contrattuale.
• Supervisione dei terzi: definire accordi sul trattamento, responsabilità e procedure di verifica per fornitori, partner e società del gruppo.
• Dati dei minori e verifica dell’età: assicurarsi che i processi adottati consentano un trattamento lecito, proporzionato e adeguatamente protetto.

La conclusione dell’analisi Finbold è netta: l’applicazione del GDPR rappresenta un rischio finanziario concreto per le organizzazioni con una governance dei dati debole. I casi più costosi non riguardano soltanto errori tecnici isolati, ma carenze strutturali nella liceità dei trattamenti, nella sicurezza, nelle garanzie per i trasferimenti internazionali e nella supervisione della filiera dei dati.