Quanto costa una multa GDPR? Sanzioni reali in Italia e UE

Come funzionano le sanzioni GDPR

Il GDPR (Regolamento UE 2016/679) prevede all’articolo 83 due fasce di sanzione. Per le violazioni meno gravi l’importo può arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo dell’azienda. Per le violazioni più gravi — comprese quelle su consenso, basi giuridiche del trattamento e diritti degli interessati — si sale fino a 20 milioni di euro o al 4% del fatturato globale annuo. In entrambi i casi si applica l’importo più elevato tra i due.

L’importo non è mai automatico. Dipende dai criteri previsti dallo stesso articolo 83: gravità e durata della violazione, numero di persone coinvolte, carattere doloso o colposo, misure adottate per limitare il danno e grado di collaborazione con l’autorità. Per questo, a parità di violazione, aziende diverse possono ricevere sanzioni molto diverse.

In Italia le sanzioni sono comminate dal Garante al termine di un’istruttoria, spesso avviata da un reclamo o da un’ispezione. L’azienda può fare ricorso al Tribunale ordinario, e non è raro che un provvedimento venga poi rivisto: nel marzo 2026, ad esempio, il Tribunale di Roma ha annullato la sanzione da 15 milioni di euro comminata a OpenAI, ritenendo competente l’autorità capofila irlandese.

Sanzioni reali 2023-2025

Gli importi variano moltissimo in base alla gravità della violazione e alla dimensione dell’azienda. Ecco una selezione di casi recenti, in Italia e in Europa.

L’ultimo caso è tra i più rilevanti per chi gestisce un sito: non riguarda una violazione eclatante, ma un errore comune — un consenso raccolto in modo generico invece che specifico per ogni finalità.

Focus Italia: cosa fa il Garante

Sul fronte delle multe GDPR in Italia, il Garante è tra le autorità più attive in Europa. Nel solo 2024 ha gestito oltre 4.000 reclami, adottato 835 provvedimenti e comminato sanzioni per un totale di 24 milioni di euro. Cookie, marketing e identità digitale rientrano stabilmente tra le aree del suo piano ispettivo.

Secondo l’ultimo report DLA Piper, dal maggio 2018 l’Italia ha comminato circa 237 milioni di euro di sanzioni, quinta in Europa dietro Irlanda, Lussemburgo, Francia e Paesi Bassi — una classifica trainata dalle multe alle grandi piattaforme con sede in quei paesi. A livello europeo il totale cumulativo ha superato i 7,1 miliardi di euro, con circa 1,2 miliardi comminati sia nel 2024 sia nel 2025.

I settori più colpiti

Le sanzioni non riguardano solo le big tech. Tra i settori più frequentemente sanzionati dal Garante figurano energia e utility, telecomunicazioni, sanità, pubblica amministrazione e, sempre più spesso, siti web ed e-commerce per una gestione non conforme di cookie banner e consenso. Gli importi vanno dalle decine di migliaia di euro per una PMI alle centinaia di milioni per le grandi piattaforme, ma il principio resta lo stesso per tutti: la conformità non dipende dalla dimensione dell’azienda né dal volume di traffico del sito.

Come ridurre il rischio sul tuo sito

La maggior parte delle sanzioni legate a cookie e consenso nasce da errori evitabili: un consenso raccolto in modo generico anziché specifico per finalità, un banner che non permette di rifiutare con la stessa facilità con cui si accetta, script di tracciamento attivi prima del consenso, oppure l’assenza di un registro che dimostri la scelta dell’utente.

Una gestione conforme richiede pochi elementi chiari: pulsanti “Accetta” e “Rifiuta” allo stesso livello di evidenza, blocco preventivo di cookie e tracker non tecnici, consenso granulare per categoria di finalità e registrazione documentabile di ogni scelta.

Come Permissor ti aiuta a essere conforme

Permissor genera un banner conforme alle Linee Guida del Garante, blocca in via preventiva gli script fino al consenso, distingue i cookie tecnici da quelli di profilazione e registra ogni scelta in modo documentabile. Gli aggiornamenti normativi vengono applicati automaticamente, così il tuo sito resta allineato nel tempo, senza bisogno di monitorare ogni nuovo provvedimento.