Sanzioni e applicazione
Sanzioni e applicazione del Data Act UE
Il Data Act UE è applicato dalle autorità nazionali di ciascun paese dell'UE. Non esiste una sanzione pecuniaria unica a livello UE, ma le sanzioni devono essere effettive, proporzionate e dissuasive — e quando sono coinvolti dati personali, possono aggiungersi sanzioni di livello GDPR.
Chi applica il Data Act?
Ogni Stato membro dell'UE designa una o più autorità competenti per applicare e far rispettare il Data Act (art. 37). Quando un paese ne designa diverse, una di esse funge da "coordinatore dei dati" per garantire un'applicazione coerente tra i settori.
Le autorità di protezione dei dati restano competenti per le parti del Data Act che riguardano dati personali. Anche le autorità di regolamentazione settoriali — ad esempio nell'energia, nell'automotive o nelle telecomunicazioni — possono intervenire nei rispettivi ambiti.
Quali sono le sanzioni?
A differenza del GDPR, il Data Act non fissa un tetto unico alle sanzioni a livello UE. Ogni Stato membro stabilisce invece le proprie sanzioni, che devono essere effettive, proporzionate e dissuasive (art. 40). Gli Stati membri dovevano notificare le proprie norme sanzionatorie alla Commissione europea entro il 12 settembre 2025, quindi gli importi esatti variano da paese a paese.
Nel fissare una sanzione, le autorità valutano fattori come la natura, la gravità, l'entità e la durata della violazione, le eventuali misure adottate per attenuare il danno, le violazioni precedenti, il beneficio economico ottenuto e il fatturato annuo dell'autore nell'UE.
Quando si aggiungono le sanzioni GDPR
Quando una violazione riguarda dati personali, le autorità di protezione dei dati possono applicare il regime sanzionatorio proprio del GDPR ai sensi dell'articolo 83 — fino a 20 milioni di € o al 4 % del fatturato mondiale totale annuo, se superiore. Il Data Act non sostituisce il GDPR, quindi entrambi i regimi possono applicarsi alla stessa attività.
Più che sanzioni
Conseguenze oltre le sanzioni economiche
Clausole contrattuali nulle
Le clausole contrattuali abusive sull'accesso e sull'uso dei dati sono automaticamente nulle e inapplicabili (art. 13) — indipendentemente da qualsiasi sanzione.
Reclami
Gli utenti e i clienti aziendali possono presentare un reclamo all'autorità competente (art. 38), che può dare avvio a un'indagine.
Ordini di conformità
Le autorità possono imporre di adeguare prodotti, servizi o contratti — non solo comminare una sanzione.
Rischio commerciale e reputazionale
Un cambio di fornitore bloccato, un accesso ai dati negato o condizioni abusive possono danneggiare i rapporti con i clienti e dare luogo a contenziosi.
Ridurre il rischio
Come ridurre il tuo rischio di sanzione
Conosci la tua autorità
Individua l'autorità competente — e l'eventuale coordinatore dei dati — in ciascun paese dell'UE in cui operi.
Correggi le clausole nulle
Esamina i contratti B2B alla ricerca delle clausole vietate dall'art. 13 e rimuovile prima che una controparte le contesti.
Gestisci bene le richieste
Documenta come ricevi, verifichi e rispondi alle richieste di accesso ai dati e di cambio di fornitore, in modo da rendere meno probabili i reclami.
Mappa la sovrapposizione con il GDPR
Quando la condivisione riguarda dati personali, verifica una base giuridica ai sensi del GDPR per evitare una duplice esposizione alle sanzioni.
Verifica la tua esposizione
Scopri dove sono le tue lacune di conformità
Rispondi ad alcune domande per un'indicazione gratuita di dove la tua azienda potrebbe essere esposta a un rischio di sanzione ai sensi del Data Act.