Le autorità incaricate di applicare il GDPR hanno imposto sanzioni per 225.879.175 euro nel secondo trimestre del 2026. Il dato, elaborato da Finbold, fotografa una netta accelerazione dell’attività sanzionatoria europea e porta in primo piano il costo economico delle carenze nella gestione dei dati personali. In dollari, l’importo complessivo del trimestre equivale a circa 260,59 milioni.
Rispetto ai 68,18 milioni di euro registrati nei primi tre mesi dell’anno, il valore delle multe è aumentato di circa il 230% su base trimestrale. Il totale del primo semestre 2026 sale così a circa 295 milioni di euro. Durante il secondo trimestre, le imprese coinvolte hanno pagato in media 2,48 milioni di euro al giorno, equivalenti a 17,36 milioni alla settimana.
La distribuzione geografica mostra una forte concentrazione. I Paesi Bassi hanno raggiunto 100,25 milioni di euro, una cifra pari a quasi il 49% delle sanzioni nell’Unione europea. La Francia segue con 52 milioni, mentre l’Italia occupa il terzo posto con 45,50 milioni di euro. Nel Regno Unito le multe hanno totalizzato 18 milioni di euro.
A incidere sul dato olandese è stata soprattutto la sanzione da 100 milioni di euro inflitta a Ridetech International B.V.. La società non avrebbe predisposto garanzie adeguate per il trasferimento di dati personali verso un Paese terzo. Il caso mostra il peso assunto dai flussi internazionali di informazioni e dalle misure richieste alle imprese quando i dati escono dal perimetro regolatorio europeo.
In Italia, Intesa Sanpaolo ha ricevuto una multa da 31,8 milioni di euro per carenze nella protezione dei dati bancari dei clienti. In Francia, FREE MOBILE è stata sanzionata per 27 milioni e la controllante FREE per altri 15 milioni in relazione a una grave violazione di dati. Le contestazioni coinvolgono quindi infrastrutture e processi che custodiscono informazioni finanziarie e identificative particolarmente delicate.
Nel Regno Unito, Reddit è stata multata per 16,61 milioni di euro dopo che l’Information Commissioner’s Office ha riscontrato la mancata implementazione di una procedura di verifica dell’età. Tra gli altri provvedimenti figurano 6,62 milioni e 5,88 milioni contro Poste Italiane e PostePay per la gestione delle applicazioni bancarie, oltre a 5 milioni contro France Travail in seguito ad attacchi informatici.
Il quadro comprende anche una multa da 15 milioni di euro a IQVIA Operations France per violazioni relative ai dati sanitari e una sanzione da 2,68 milioni a DPD Polska, priva di un accordo sul trattamento dei dati con i subappaltatori. Jordan Major, Chief Editor di Finbold, ha osservato che l’accelerazione conferma la natura del GDPR come rischio finanziario concreto, con pochi grandi casi capaci di pesare in modo significativo sul totale.
Le violazioni più ricorrenti restano le carenze di sicurezza e l’assenza di una base giuridica per il trattamento, presenti nella quasi totalità delle maggiori sanzioni. Media e finanza contano ciascuno tre delle dieci multe più elevate, seguiti da trasporti ed energia con due. Per Diana Paluteder, Head of Content di Finbold, data governance, controlli di sicurezza, liceità del trattamento e supervisione delle terze parti devono diventare priorità operative continuative, non semplici adempimenti formali.