Lo stato dell'applicazione del GDPR nel 2026: rapporto di un professionista

Il GDPR è entrato in vigore a maggio 2018. Otto anni dopo, il quadro dell’applicazione è diverso da quello che né i sostenitori né gli scettici prevedevano nel 2018.

I sostenitori si aspettavano che un’applicazione aggressiva ridisegnasse il comportamento delle Big Tech in pochi anni. È accaduto, ma più lentamente del previsto e con significative variazioni nazionali.

Gli scettici si aspettavano che il GDPR diventasse “guida con teatro” — un regolamento che le organizzazioni avrebbero potuto tranquillamente ignorare. Non è accaduto. Il track record di applicazione è reale e sostanziale.

Questo è il rapporto 2026 sull’effettiva applicazione del GDPR: i numeri, i pattern, i colli di bottiglia e cosa devono aspettarsi le imprese europee fino al 2027.

I numeri (a maggio 2026)

Sanzioni totali

Sanzioni GDPR cumulative da maggio 2018 a maggio 2026: circa 5,6 miliardi di euro.

Suddivisione per anno (approssimativa, tratta dalla rendicontazione pubblica delle DPA):

2018-2019: 435 milioni di euro (partenza lenta mentre le DPA costruivano capacità)
2020: 158 milioni di euro
2021: 1,1 miliardi di euro (i 746 milioni di Amazon erano un outlier)
2022: 831 milioni di euro
2023: 2,1 miliardi di euro (la sanzione di 1,2 miliardi a Meta da parte della DPC irlandese)
2024: 1,05 miliardi di euro
2025: ~880 milioni di euro (preliminare)
2026 YTD: in linea con il 2025

La base annuale si è stabilizzata tra 800 milioni e 1 miliardo di euro di sanzioni, con outlier occasionali derivanti da grandi azioni di enforcement.

Le maggiori sanzioni fino al 2026

Le maggiori sanzioni GDPR (cumulative fino a maggio 2026):

Meta — 1,2 miliardi di euro (Irlanda, 2023) per i trasferimenti transatlantici di dati
Amazon — 746 milioni di euro (Lussemburgo, 2021) per il consenso pubblicitario
Meta (Instagram) — 405 milioni di euro (Irlanda, 2022) per il trattamento dei dati dei minori
Meta (WhatsApp) — 225 milioni di euro (Irlanda, 2021) per violazioni di trasparenza
TikTok — 345 milioni di euro (Irlanda, 2023) per il trattamento dei dati dei minori
Meta — 390 milioni di euro (Irlanda, 2023) per la base giuridica della pubblicità
Google — 170 milioni di euro complessivi (più giurisdizioni) per il consenso ai cookie
TikTok — 530 milioni di euro (Irlanda, 2024) per i trasferimenti di dati verso la Cina
Apple — 150 milioni di euro (Francia/CNIL, 2025) per violazioni dell’App Tracking Transparency
Meta — 265 milioni di euro (Irlanda, 2022) per data scraping

Il pattern: la maggior parte delle grandi sanzioni colpisce le operazioni UE delle aziende tech statunitensi, spesso emesse dalla Data Protection Commission irlandese (dove la maggior parte delle aziende tech statunitensi ha la sede UE).

I pattern: cosa viene effettivamente applicato

Le violazioni del consenso ai cookie sono la categoria di applicazione più comune per volume. Centinaia di sanzioni sono state emesse dalle DPA europee per:

Banner cookie che non consentono un facile rifiuto
Cookie impostati prima del consenso
Caselle di consenso pre-spuntate
Pulsanti “Rifiuta tutto” nascosti dietro più clic

Enforcement di rilievo sui cookie:

CNIL francese è stata la più aggressiva — oltre 60 milioni di euro di sanzioni specifiche sui cookie, con grandi azioni contro Google, Microsoft, Meta
Garante italiano è stato attivo nell’enforcement sui cookie
DPA federali e statali tedesche hanno portato casi sui cookie contro editori e ad network

Per le imprese europee l’implicazione pratica è: i banner cookie devono consentire un facile rifiuto. “Rifiuta tutto” deve essere facile da cliccare quanto “Accetta tutto”. La pressione economica ha spinto l’adozione di analytics senza cookie (Plausible, Matomo, ecc.) che evitano interamente il problema.

Pattern 2: trasferimenti transatlantici di dati

Schrems II (2020) e il vuoto post-Privacy Shield hanno creato un focus sostenuto di applicazione sulla conformità ai trasferimenti transatlantici di dati. Azioni di rilievo:

Meta — sanzione di 1,2 miliardi della DPC irlandese per la prosecuzione dei trasferimenti senza adeguate garanzie
Più sanzioni minori per implementazione inadeguata delle Standard Contractual Clauses
Indagini sull’uso di Microsoft 365, Google Workspace da parte del settore pubblico europeo

L’EU-US Data Privacy Framework (DPF) del 2023 ha ridotto l’enforcement legato ai trasferimenti, ma la vulnerabilità giuridica permane. Una sentenza “Schrems III” della CGUE potrebbe rilanciare aggressivamente l’applicazione sui trasferimenti.

Pattern 3: dati dei minori

Il trattamento dei dati dei minori è emerso come categoria con sanzioni elevate:

Meta (Instagram) — 405 milioni per il trattamento dei dati degli account adolescenti
TikTok — 345 milioni per le impostazioni di default sul trattamento dei dati dei minori
YouTube — più sanzioni minori per pubblicità rivolta ai bambini

Il pattern: i regolatori sono disposti a emettere sanzioni sostanziose per le violazioni sui dati dei minori. Le piattaforme con basi utenti minori significative affrontano un rischio strutturale di enforcement.

Pattern 4: trasparenza e base giuridica

L’articolo 6 (base giuridica per il trattamento) e gli articoli 13/14 (obblighi di trasparenza) generano un’applicazione costante:

Informative privacy inadeguate
Base giuridica errata invocata (ad es. legittimo interesse per attività che richiedono il consenso)
Informazioni insufficienti sul trattamento dei dati
Mancanza di trasparenza sulla condivisione dei dati

Tendono a essere sanzioni più piccole individualmente ma rappresentano una baseline costante di applicazione contro molte organizzazioni.

Pattern 5: esercizio dei diritti dell’interessato

I diritti degli articoli 15-22 (accesso, cancellazione, portabilità, ecc.) hanno generato un’applicazione costante:

Mancata risposta alle richieste di accesso
Cancellazione inadeguata su richiesta
Mancata fornitura dei dati in formati portabili
Rifiuto di richieste legittime di cancellazione

Molte sanzioni minori (10K-500K euro) per specifici fallimenti nell’esercizio dei diritti dell’interessato.

Il collo di bottiglia della DPC irlandese

La Data Protection Commission irlandese è diventata il problema strutturale più discusso nell’applicazione del GDPR.

Perché esiste il collo di bottiglia

Il meccanismo di “sportello unico” del GDPR (articolo 56) rende la DPA del Paese in cui ha sede principale UE un’azienda l’autorità di controllo capofila per i casi transfrontalieri. La maggior parte delle grandi aziende tech statunitensi (Meta, Google, Apple, Microsoft, TikTok) ha la sede UE in Irlanda. Ciò concentra una quota enorme del lavoro di enforcement GDPR presso la DPC irlandese.

La DPC irlandese è stata cronicamente sotto-dimensionata rispetto al carico di lavoro ed è stata criticata per:

Indagini lente — casi importanti che impiegano oltre 2-5 anni
Sanzioni più basse rispetto a quelle che altre DPA emetterebbero (spesso aumentate in appello presso l’EDPB)
Complessità procedurale — forte dipendenza da processi procedurali lunghi

Il ruolo dell’European Data Protection Board

L’EDPB (l’organo di coordinamento UE di tutte le DPA nazionali) ha svolto un ruolo sempre più importante. La risoluzione delle controversie ai sensi dell’articolo 65 consente all’EDPB di scavalcare le decisioni della DPC irlandese quando altre DPA non sono d’accordo.

Diverse sanzioni importanti (Meta 1,2 miliardi, TikTok 345 milioni) hanno comportato l’intervento dell’EDPB per aumentare le proposte iniziali di sanzione della DPC irlandese. Il pattern: la DPC irlandese propone una sanzione più bassa; l’EDPB la alza dopo le obiezioni di altre DPA.

Cosa sta cambiando

Gli sforzi di riforma sono continuati:

Maggiore dotazione di risorse della DPC irlandese — il personale è cresciuto sostanzialmente nel 2023-2026
Miglioramenti del processo EDPB — risoluzione più rapida delle controversie ex articolo 65
Regolamento procedurale — proposta di regolamento che armonizza le regole procedurali GDPR tra Stati membri

Queste riforme aiutano, ma il problema strutturale (concentrazione dell’applicazione presso una sola DPA) non è stato pienamente risolto.

Variazioni tra Stati membri

Il GDPR è stato implementato in modo non uniforme tra gli Stati membri. A otto anni di distanza, pattern chiari:

DPA con applicazione più aggressiva

Francia (CNIL) — il più prolifico emittente di sanzioni, soprattutto per il consenso ai cookie
Italia (Garante) — attivo in più categorie
Spagna (AEPD) — alto volume di sanzioni minori
Germania (DPA federali + statali combinate) — applicazione sostanziale soprattutto per le violazioni B2B
Paesi Bassi (Autoriteit Persoonsgegevens) — applicazione focalizzata su pattern specifici
Norvegia (Datatilsynet) — sproporzionatamente influente nonostante la piccola popolazione

DPA con applicazione più conservativa

Irlanda (DPC) — discussa sopra
Lussemburgo (CNPD) — meno azioni di enforcement, ma la sanzione di 746 milioni ad Amazon dimostra capacità
Diversi Stati membri più piccoli — capacità di enforcement limitata

Per le imprese europee che operano transfrontaliero, l’implicazione pratica: quale DPA gestisce il caso incide sostanzialmente sull’esito. Questo è importante per la pianificazione della risposta agli incidenti e per la strategia legale.

Cosa è effettivamente cambiato nel comportamento delle imprese

Oltre alle sanzioni, il GDPR ha cambiato in modo misurabile come le imprese europee gestiscono i dati:

1. Adozione della privacy by design

Le aziende incorporano sempre più le considerazioni sulla privacy nello sviluppo del prodotto fin dall’inizio piuttosto che adattare la conformità a posteriori. È il singolo cambiamento comportamentale più grande — e persiste in aziende di tutte le dimensioni.

2. Nomina del DPO e accountability

I ruoli di Data Protection Officer sono ora standard nelle organizzazioni di medie dimensioni e maggiori. L’attivazione obbligatoria del DPO ai sensi dell’articolo 37 riguarda molte imprese; la nomina volontaria del DPO è comune anche tra le più piccole.

3. Registri delle attività di trattamento

La documentazione ROPA (articolo 30) è diventata una pratica di base. Sebbene la qualità vari, la pratica di mantenere registri di trattamento è diffusa.

4. Due diligence sui fornitori

L’articolo 28 GDPR (obblighi del responsabile) ha rimodellato la selezione dei fornitori. Le aziende valutano attivamente la postura di protezione dati dei fornitori, richiedono DPA e valutano le catene di sub-responsabili.

5. Consapevolezza sui trasferimenti internazionali

Schrems II ha aumentato la consapevolezza sui rischi dei trasferimenti transatlantici di dati. Anche le imprese europee più piccole considerano ora la residenza dei dati nelle decisioni sui fornitori.

Applicazione transfrontaliera e cooperazione

La dimensione internazionale del GDPR è maturata:

Cooperazione UE-USA

Dopo molteplici cicli di framework (Safe Harbor, Privacy Shield, attuale Data Privacy Framework), la cooperazione UE-USA sull’applicazione della protezione dei dati si è stabilizzata. I casi congiunti rimangono rari ma la consultazione tra regolatori è aumentata.

Cooperazione UE-UK post-Brexit

Il GDPR del Regno Unito rispecchia da vicino il GDPR UE. Il Regno Unito ha la propria via di applicazione (ICO) ma la cooperazione con le DPA UE è continuata. L’adeguatezza delle protezioni del Regno Unito rimane sotto revisione periodica.

La portata extraterritoriale del GDPR (articolo 3) più il suo effetto modello sulla legge sulla privacy globale (LGPD in Brasile, PIPL in Cina, varie leggi statali statunitensi) significa che l’applicazione in stile GDPR è sempre più il default globale per il trattamento dei dati dei residenti UE.

Cosa porta il 2026-2027

La Commissione ha proposto un regolamento che armonizza le regole procedurali GDPR tra Stati membri. Se adottato, ciò:

Standardizzerebbe le tempistiche di gestione dei reclami
Ridurrebbe la variazione nel processamento dei casi
Snellirebbe i casi transfrontalieri

Tempistica di adozione: possibile 2026-2027.

Priorità strategiche di enforcement dell’EDPB

L’European Data Protection Board ha segnalato priorità strategiche per il 2026-2027:

Intersezione tra AI Act e GDPR (specialmente articolo 22)
Trasferimenti internazionali (stabilità del DPF e alternative)
Protezione dei dati dei minori
Dark pattern nei consensi e banner cookie
Dati biometrici (specialmente in contesti lavorativi ed educativi)

Aspettati che l’attività di enforcement si concentri in queste aree.

Sono circolate varie proposte di revisione del GDPR. Sebbene non esista una proposta legislativa formale, i temi includono:

Conformità SME semplificata — obblighi ridotti per le imprese più piccole con trattamenti a basso rischio
Enforcement armonizzato — affrontare il collo di bottiglia della DPC irlandese e le variazioni tra Stati membri
Disposizioni aggiornate per l’AI e la tecnologia moderna
Riforma del regime cookie — possibilmente attraverso il Regolamento ePrivacy piuttosto che modifiche al GDPR

Una proposta legislativa formale di “GDPR 2.0” nel 2026-2027 è possibile ma incerta.

Sentenza Schrems III

Il caso pendente CGUE che contesta l’EU-US Data Privacy Framework potrebbe portare all’invalidazione dell’attuale meccanismo di trasferimento transatlantico. Tempistica: sentenza possibile 2026-2027.

In caso di invalidazione, i trasferimenti transatlantici tornano a SCC + TIA, con nuova incertezza sugli accordi a lungo termine.

Cosa dovrebbero fare le imprese europee?

Tre indicazioni per la conformità GDPR nel 2026:

Se la tua organizzazione mantiene ancora banner di consenso ai cookie aggressivi sotto pressione regolatoria, passa ad analytics senza cookie (Plausible, Matomo). La soluzione tecnica esiste, l’esposizione legale sparisce e i tassi di conversione tipicamente migliorano.

2. Trattare i trasferimenti transatlantici come rischio legale continuo

Il DPF funziona per ora ma ha una nota vulnerabilità giuridica. Costruisci architetture che funzionino in scenari sia con sia senza il DPF. Usa il trattamento residente UE per i dati sensibili; riserva i provider statunitensi a workload meno sensibili.

3. Mantenere aggiornata la documentazione DPO e ROPA

Il lavoro di conformità ordinario (nomina del DPO, manutenzione del ROPA, esecuzione dei DPA con i fornitori) è ciò che protegge dall’escalation di enforcement. La maggior parte dell’applicazione contro le imprese di medie dimensioni inizia con semplici lacune documentali.

Cosa tenere d’occhio nel 2027

Prima applicazione del regolamento procedurale GDPR se adottato
Sentenza Schrems III della CGUE sull’EU-US Data Privacy Framework
Casi all’incrocio AI Act + GDPR — primi grandi casi che applicano entrambi i regolamenti
Enforcement sui dark pattern — sanzioni sostanziali per interfacce di consenso manipolative probabili
Espansione dell’enforcement sui dati dei minori — oltre TikTok e Instagram, pattern più ampio probabile
Possibile proposta legislativa “GDPR 2.0”

Tratteremo tutto questo nel rapporto del prossimo anno.

Il quadro reale dopo otto anni

L’applicazione del GDPR nel 2026 è reale, sostanziale e in corso. 5,6 miliardi di euro di sanzioni cumulative sono significativi. Il cambiamento comportamentale nella gestione dei dati delle imprese europee è sostanziale. I problemi strutturali (collo di bottiglia della DPC irlandese, variazione tra Stati membri) stanno migliorando ma non sono risolti.

Per le imprese europee, le implicazioni operative non sono cambiate dal 2018 — implementare la privacy by design, mantenere la documentazione, scegliere con attenzione i fornitori, rispondere alle richieste di esercizio dei diritti dell’interessato e trattare l’enforcement come rischio continuo piuttosto che ostacolo una tantum.

Per i compratori europei di tecnologia, l’enforcement del GDPR crea vantaggi misurabili per gli strumenti EU-native rispetto alle alternative statunitensi rese conformi a posteriori. Il carico di conformità è reale; gli strumenti che lo gestiscono per architettura risparmiano denaro reale e riducono rischi reali.

Per i policy maker europei, il track record degli otto anni suggerisce che il GDPR funziona — in modo imperfetto, lento, ma duraturo. Il framework che protegge la sovranità europea sui dati ha tenuto sotto pressione sostenuta. Se questo continuerà dipende dal continuo investimento nell’enforcement e da una possibile riforma procedurale.

Sfoglia tutte le alternative europee conformi al GDPR su BetterInEurope.

Questo rapporto è stato redatto dal team editoriale di BetterInEurope sulla base della rendicontazione pubblica delle DPA, delle decisioni dei tribunali e dell’osservazione diretta dei pattern di conformità delle imprese europee. Metodologia: revisione dei principali rapporti di enforcement delle DPA, decisioni EDPB, sentenze CGUE e conversazioni con clienti/professionisti durante la fine del 2025 e l’inizio del 2026. Le cifre delle sanzioni sono approssimative; consultare le fonti DPA primarie per i numeri ufficiali. Gli errori sono nostri; correzioni benvenute via hello@betterineurope.eu.