Sanzioni del Garante Privacy: l'elenco aggiornato

Il Garante può infliggere sanzioni amministrative pecuniarie (art. 83 del GDPR e art. 166 del Codice privacy) e, in aggiunta o in alternativa, adottare misure correttive: avvertimenti, ammonimenti, ordini di mettere il trattamento in regola, limitazioni o divieti di trattamento (art. 58, par. 2, GDPR). Può anche disporre, come sanzione accessoria, la pubblicazione del provvedimento sul proprio sito. I reati in materia di dati personali (artt. 167 e seguenti del Codice privacy) spettano invece al giudice penale.

Il GDPR fissa due tetti massimi: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni dell'art. 83, par. 4, e fino a 20 milioni o al 4% del fatturato per quelle dei par. 5 e 6 (principi e basi giuridiche del trattamento, diritti degli interessati, trasferimenti di dati fuori dall'UE, inosservanza di un ordine del Garante); per le imprese vale l'importo più alto. Nella pratica gli importi sono quasi sempre molto più bassi: tra le 162 sanzioni con importo in archivio, metà non supera €6.000 e la media è di €471.923.

Caso per caso, secondo i criteri dell'art. 83, par. 2, del GDPR: natura, gravità e durata della violazione, numero di interessati coinvolti e danno subito, carattere doloso o colposo, misure adottate per attenuare il danno, eventuali violazioni precedenti, grado di cooperazione con il Garante, categorie di dati trattati (ad esempio dati sanitari) e modo in cui l'Autorità è venuta a conoscenza della violazione. La sanzione deve essere effettiva, proporzionata e dissuasiva, e il provvedimento indica di norma gli elementi considerati per fissarne l'importo.

Importi e circostanze ricorrenti nella dashboard →

Chiunque tratti dati personali come titolare o responsabile del trattamento: aziende, professionisti e associazioni, ma anche enti pubblici, perché il Codice privacy prevede espressamente che il procedimento sanzionatorio possa riguardare autorità e organismi pubblici (art. 166, comma 4). In archivio 48 delle 162 sanzioni con importo riguardano amministrazioni ed enti pubblici, per €451.900 complessivi.

Sì. Entro il termine per proporre ricorso, chi è stato sanzionato può definire la controversia pagando la metà della sanzione irrogata e adeguandosi alle eventuali prescrizioni del Garante (art. 166, comma 8, del Codice privacy). Il pagamento in misura ridotta chiude la controversia.

Con ricorso al tribunale ordinario, entro 30 giorni dalla comunicazione del provvedimento (60 se chi ricorre risiede all'estero), come previsto dall'art. 152 del Codice privacy e dall'art. 10 del d.lgs. 150/2011. Il ricorso non sospende da solo il provvedimento: la sospensione va chiesta al giudice, che decide con ordinanza. In questo archivio i provvedimenti la cui efficacia risulta sospesa sono segnalati con un avviso.

I provvedimenti sospesi →

Tra le sanzioni in archivio, pubblicate dall'11 gennaio 2026 in poi, la più alta è quella da €31.800.000 a Intesa Sanpaolo S.p.A., pubblicata il 26 marzo 2026. La classifica si ricalcola a ogni nuova pubblicazione.

La classifica delle multe più alte →

Sul sito del Garante, garanteprivacy.it, che pubblica i provvedimenti nel proprio archivio online (docweb) e ne segnala una parte nella newsletter. Questo archivio indipendente, non affiliato all'Autorità, li raccoglie ogni giorno, ne propone una sintesi e rimanda sempre al testo integrale ufficiale.