Tracker di sanzioni e provvedimenti sulla privacy
Sanzioni, accordi, cause e nuove regole sulla privacy da UE, Regno Unito, USA e altri paesi, verificati sui comunicati delle autorità. Cercate per paese, legge, azienda o motivo e scoprite come evitare gli stessi errori.
- Casi e regole
- 225
- Paesi
- 41
- Ultimo aggiornamento
Prossime scadenze
dic 2026
Apple ATT prompt changes for EU apps in iOS 27.210 dic 2026
Australia Children's Online Privacy Code due to be registered10 dic 2026
Australia: privacy policies must disclose automated decision-making1 gen 2027
Colorado automated decision-making law (SB 26-189) takes effect1 gen 2027
Delaware privacy law amendments (HB 380) take effect1 gen 2027
Louisiana Data Privacy Act takes effect
Ultime sanzioni, cause e regole sulla privacy
Ultimo aggiornamento
Nessun caso corrisponde alla ricerca.
- Regola o scadenzaIn arrivo
India DPDP Rules: core data fiduciary obligations take effect
India Ministry of Electronics and IT (MeitY), India, Altre leggi sulla privacy
Motivo
È la terza fase delle DPDP Rules notificate a novembre 2025. Gli standard su informativa e consenso, gli obblighi dei data fiduciary, le regole sui dati dei minori, i diritti dei data principal e le regole sui trasferimenti transfrontalieri si applicano 18 mesi dopo la notifica.
Esito
In vigore dal 13 maggio 2027
- Regola o scadenzaIn arrivo
Alabama Personal Data Protection Act takes effect
Alabama Legislature, Alabama, Leggi statali USA
Motivo
La HB 351 dà all'Alabama una legge organica sulla privacy per le aziende che trattano dati di più di 25.000 consumatori o che ricavano oltre il 25% del fatturato dalla vendita di dati personali. La fa rispettare l'Attorney General, con un periodo di 45 giorni per sanare le violazioni e sanzioni fino a 15.000 dollari per violazione.
Esito
In vigore dal 1° maggio 2027
- Regola o scadenzaIn arrivo
IAB TCF 2.4 applies to mobile apps and CTV
IAB Europe, Unione europea, IAB TCF
Motivo
App e connected TV che usano il Transparency and Consent Framework devono adottare il TCF 2.4. I siti web sono passati il 23 ottobre 2026.
Esito
Si applica ad app e CTV dal 23 febbraio 2027
- Regola o scadenzaIn arrivo
California Opt Me Out Act: browsers must offer an opt-out signal
California legislature, California, CCPA / CPRA
Motivo
Le aziende che sviluppano browser web devono includere un'impostazione che invii un segnale di preferenza di opt-out, come Global Privacy Control.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
CCPA automated decisionmaking technology (ADMT) rules apply
California Privacy Protection Agency, California, CCPA / CPRA
Motivo
Le aziende che usano tecnologie di decisione automatizzata per decisioni rilevanti sui consumatori devono rispettare i regolamenti CCPA sull'ADMT. In base alle stesse regole, le attestazioni sulle valutazioni del rischio vanno presentate entro il 1° aprile 2028 e le certificazioni degli audit di cybersicurezza tra aprile 2028 e aprile 2030, a seconda del fatturato.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
Oklahoma consumer data privacy law (SB 546) takes effect
Oklahoma Legislature, Oklahoma, Leggi statali USA
Motivo
La SB 546 riguarda i titolari che trattano dati di 100.000 consumatori dell'Oklahoma, o di 25.000 se oltre metà del fatturato deriva dalla vendita di dati. Conta solo le vendite in cambio di denaro, non obbliga a rispettare i segnali universali di opt-out e mantiene un periodo permanente di 30 giorni per sanare le violazioni.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
Louisiana Data Privacy Act takes effect
Louisiana Legislature, Louisiana, Leggi statali USA
Motivo
La SB 386 (Act 502) si applica alle aziende con un fatturato superiore a 25 milioni di dollari, o che trattano dati di 75.000 residenti, nuclei familiari o dispositivi, o che ricavano il 50% del fatturato dalla vendita di dati. Prima di vendere dati sensibili o biometrici serve un'informativa specifica.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
Delaware privacy law amendments (HB 380) take effect
Delaware General Assembly, Delaware, Leggi statali USA
Motivo
La HB 380 abbassa la soglia del Delaware Personal Data Privacy Act da 35.000 a 10.000 consumatori, aggiunge categorie di dati sensibili come i dati neurali e richiede contratti e due diligence prima di comunicare dati a terzi. I consumatori possono anche chiedere l'elenco dei terzi che hanno ricevuto i loro dati.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
Colorado automated decision-making law (SB 26-189) takes effect
Colorado General Assembly, Colorado, Leggi statali USA
Motivo
La SB 26-189 abroga e sostituisce il Colorado AI Act del 2024. I deployer devono informare i consumatori prima che una decisione automatizzata influenzi in modo sostanziale una decisione rilevante. Dopo un esito sfavorevole devono spiegarlo e offrire la rettifica e, se commercialmente ragionevole, una revisione umana.
Esito
In vigore dal 1° gennaio 2027
- Regola o scadenzaIn arrivo
Australia: privacy policies must disclose automated decision-making
Australian Parliament (Privacy and Other Legislation Amendment Act 2024), Australia, Altre leggi sulla privacy
Motivo
In base ai nuovi APP da 1.7 a 1.9, i soggetti che usano programmi informatici per prendere decisioni che possono incidere in modo significativo sulle persone devono indicare nelle privacy policy quali informazioni personali usano e che tipo di decisioni prendono. È solo un obbligo di trasparenza, senza diritto di revisione.
Esito
In vigore dal 10 dicembre 2026
- Regola o scadenzaIn arrivo
Australia Children's Online Privacy Code due to be registered
OAIC, Australia, Altre leggi sulla privacy
Motivo
L'OAIC deve registrare entro il 10 dicembre 2026 un Children's Online Privacy Code per i social media e gli altri servizi online a cui probabilmente accedono i minori. Il codice impone di raccogliere solo lo stretto necessario, di agire nel migliore interesse del minore, una verifica dell'età ragionevole, consenso e diritti di cancellazione più forti e limiti al marketing diretto.
Esito
Registrazione entro il 10 dicembre 2026; data di entrata in vigore non ancora fissata
- Regola o scadenzaIn arrivo
Apple ATT prompt changes for EU apps in iOS 27.2
Apple, Unione europea, Policy della piattaforma
Motivo
Da iOS 27.2 le app distribuite in Germania, Francia, Italia, Polonia e Romania possono usare solo il nuovo prompt di tracciamento di Apple. Elimina il tono da avvertimento e aggiunge un link per saperne di più. L'autorità tedesca della concorrenza ha dato ad Apple quattro mesi dalla decisione di agosto 2026 per introdurlo, quindi la scadenza cade a metà dicembre 2026.
Esito
Scadenza tedesca a metà dicembre 2026
805 Mio €
Motivo
L'app Facebook per Android leggeva foto, video e relativi metadati dalla galleria del telefono per suggerire post. La funzione era attiva per impostazione predefinita e senza un consenso specifico.
Esito
Sanzione di 805 milioni di euro e 60 giorni per disattivare la funzione di default e chiedere un consenso separato
11 Mio €
Motivo
Lo strumento self-service “Download My Data” ometteva alcuni dati personali, o ne forniva solo dei riepiloghi, senza avvisare gli utenti.
Esito
Sanzione di 11 milioni di euro, ammonimento e ordine di adeguarsi entro tre mesi; Match annuncia ricorso
2,975 Mio USD
Motivo
FedEx dichiarava di non vendere né condividere dati personali mentre usava tracker pubblicitari per la pubblicità comportamentale cross-context. Inoltre non rispettava i segnali di preferenza di opt-out, e i controlli sui cookie e il modulo di richiesta non funzionavano per i tracker.
Esito
Sanzione di 2,975 milioni di dollari, più inventari trimestrali dei tracker e test dell'opt-out
- Regola o scadenza
CNIL recommendation on session replay tools
CNIL, Francia, ePrivacy (regole sui cookie)
Motivo
Gli strumenti di session replay richiedono il consenso preventivo, e il banner dei cookie deve citare espressamente il session replay nel primo livello.
Esito
Raccomandazione definitiva pubblicata
1,8 Mio USD
Motivo
Lyft vendeva o condivideva i dati dei passeggeri per annunci mirati in app, ma non offriva un opt-out in app. Gli utenti connessi dovevano seguire dei link a un modulo web e reinserire dati che l'azienda aveva già.
Esito
Sanzione civile di 1,8 milioni di dollari, opt-out in app e avviso ai californiani
Motivo
Le piattaforme di gestione del consenso che usano il Transparency and Consent Framework dovevano implementare sui siti web le informative del TCF 2.4 entro questa data.
Esito
Si applica ai siti web dal 23 ottobre 2026
7 Mio €
Motivo
L'app Fnac usava un tracker che inviava un identificativo dell'utente e i prodotti visualizzati a un servizio di raccomandazione di terzi, anche quando gli utenti avevano rifiutato il tracciamento.
Esito
Sanzione di 7 milioni di euro e ordine di correggere il consenso entro un mese, pena 10.000 euro al giorno
- Regola o scadenza
EU Council agrees its Digital Omnibus position on cookies
Council of the EU, Unione europea, ePrivacy (regole sui cookie)
Motivo
Sei usi dei cookie non richiederebbero più il consenso, e dopo un rifiuto i siti dovrebbero aspettare quattro mesi prima di chiederlo di nuovo. La proposta non è ancora legge.
Esito
Posizione del Consiglio approvata; da negoziare ancora con il Parlamento
6 Mio USD
Motivo
Una violazione del 2023 ha esposto i dati di quasi 7 milioni di clienti, tra cui oltre 855.000 californiani. La California si è opposta anche, in base al Genetic Information Privacy Act, alla vendita dei dati genetici dei clienti nell'ambito del fallimento senza un consenso separato.
Esito
Accordo da 6 milioni di dollari davanti al tribunale fallimentare, in attesa di approvazione
403 Mio €
Motivo
Tra maggio 2018 e febbraio 2020 le impostazioni Web & App Activity, Location History e Location Accuracy di Google hanno trattato i dati di posizione in modo illecito e senza sufficiente trasparenza. Gli utenti potevano non sapere che la loro posizione veniva usata per mostrare annunci mirati o dedurre i loro interessi, e i dati venivano conservati troppo a lungo.
Esito
Sanzioni per 403 milioni di euro; Google deve adeguare il trattamento entro 6 mesi
36.400 USD
Motivo
Il data broker della Virginia vendeva informazioni personali dei consumatori senza essersi iscritto al Data Broker Registry della California entro la scadenza del 2025.
Esito
Sanzione di 36.400 dollari; deve pubblicare metriche sui diritti privacy e gestire le cancellazioni tramite DROP
153,77 Mio BRL
Motivo
TikTok trattava i dati di bambini e adolescenti senza una base giuridica valida, sia nel feed per utenti non connessi sia in fase di registrazione. L'età dichiarata dall'utente era l'unico controllo contro l'iscrizione di minori di 13 anni.
Esito
Sanzione di 153,7 milioni di R$ per cinque violazioni della LGPD, ordine di cancellazione e piano di adeguamento
824,99 Mio €
Motivo
Tra il 2018 e il 2022 il software di Uber sospendeva automaticamente o disattivava in modo permanente gli account degli autisti per sospette frodi o valutazioni basse, senza revisione umana. Gli autisti non venivano nemmeno informati correttamente di questo processo decisionale automatizzato.
Esito
Sanzione di 824,99 milioni di euro; Uber ha annunciato opposizione
400 Mio USD
Motivo
Il DOJ ha fatto causa ad agosto 2024, dopo un'indagine della FTC, sostenendo che TikTok permetteva consapevolmente ai minori di 13 anni di creare account, raccoglieva i loro dati senza il consenso dei genitori, non rispettava le richieste di cancellazione dei genitori e violava un consent order della FTC del 2019.
Esito
Accordo da 400 milioni di dollari: 300 milioni subito e 100 milioni quando sarà revocato il consent decree Musical.ly del 2019. Nessun accertamento di responsabilità e nessuna nuova misura inibitoria.
275.000 USD
Motivo
Dal 2018 al 2022 le tecnologie di tracciamento sul sito di TaxAct hanno inviato ai partner pubblicitari dati dei contribuenti come reddito, rimborsi e familiari a carico, senza informativa e contro quanto promesso nella privacy policy.
Esito
275.000 dollari e un programma di conformità sulle tecnologie di tracciamento con due audit indipendenti
52.400 USD
Motivo
Il data broker di Boston non ha rispettato la scadenza del 2025 per iscriversi al Data Broker Registry della California previsto dal Delete Act.
Esito
Sanzione di 52.400 dollari
116.490 USD
Motivo
Il data broker dell'Iowa si è iscritto in ritardo e chiedeva ai californiani le ultime quattro cifre del Social Security number prima di permettere l'opt-out dalla vendita dei dati.
Esito
Sanzione di 116.490 dollari e modifiche alle pratiche; prima azione basata sia sul CCPA sia sul Delete Act
10,3 Mrd KRW
Motivo
Gli strumenti pubblicitari di TikTok raccoglievano l'attività degli utenti su altri siti e app e la collegavano ai loro account per annunci personalizzati. Questo non era indicato chiaramente, e per usare l'app gli utenti dovevano dare il consenso.
Esito
Sanzione di 10,3 miliardi di KRW; nella stessa seduta Apple è stata sanzionata per 252 milioni di KRW per le registrazioni di Siri
- Causa
NFL Enterprises (Kimmons v. NFL Enterprises)
Alameda County Superior Court, California, CIPA (intercettazioni)
Motivo
Il ricorso conta 182 tracker di terze parti su NFL.com prima di qualsiasi scelta sul consenso e 186 dopo il rifiuto del visitatore. Si tratta di accuse.
Esito
Ricorso depositato; nessuna decisione finora
- Regola o scadenza
UK GDPR: people can complain directly to organisations
UK Parliament, Regno Unito, UK GDPR
Motivo
Le organizzazioni devono ricevere e gestire direttamente i reclami sulla protezione dei dati, in base a una modifica introdotta dal Data (Use and Access) Act 2025.
Esito
In vigore dal 19 giugno 2026
- Regola o scadenza
Google Signals no longer controls Google Ads data from Analytics
Google, Globale, Policy della piattaforma
Motivo
Dal 15 giugno 2026 sono le impostazioni di Consent Mode, e non Google Signals, a decidere se Google Analytics raccoglie cookie e ID di Google Ads. Google Signals ora collega i dati di Analytics agli utenti connessi solo per i report. I controlli sulla personalizzazione degli annunci passeranno a Consent Mode più avanti nel 2026.
Esito
Si applica dal 15 giugno 2026
624,681 Mrd KRW
Motivo
Una gestione carente delle chiavi di firma ha permesso a un ex dipendente di accedere ai dati di circa 33 milioni di utenti. Coupang raccoglieva inoltre, senza consenso, dati comportamentali di circa 11 milioni di utenti da siti e app esterni per annunci mirati.
Esito
Sanzioni pecuniarie per 624,681 miliardi di KRW (423,575 miliardi per la sicurezza, 201,106 miliardi per i dati comportamentali) più una multa di 16,8 milioni di KRW
300.000 £
Motivo
L'azienda ha inviato oltre 5,5 milioni di SMS di marketing non richiesti, tra cui falsi messaggi di ufficiali giudiziari. Hanno generato più di 60.000 segnalazioni al servizio antispam 7726.
Esito
Sanzione di 300.000 sterline
12,75 Mio USD
Motivo
GM ha venduto a Verisk e LexisNexis i dati di guida e di posizione OnStar di centinaia di migliaia di californiani senza informarli, mentre la sua privacy policy affermava che non vendeva questi dati.
Esito
Sanzione di 12,75 milioni di dollari (la più alta mai inflitta in base al CCPA), divieto per 5 anni di vendere dati di guida, cancellazione dei dati
Motivo
Il data broker vendeva, all'insaputa degli utenti, dati di posizione di centinaia di milioni di dispositivi che potevano rivelare visite a strutture sanitarie e luoghi di culto.
Esito
L'ordinanza di accordo vieta di vendere dati di posizione sensibili senza consenso espresso; nessuna sanzione pecuniaria
- Regola o scadenza
CNIL recommendation on email tracking pixels
CNIL, Francia, ePrivacy (regole sui cookie)
Motivo
L'autorità francese ha chiarito quando i pixel di tracciamento nelle email richiedono il consenso e come chiederlo.
Esito
Raccomandazione pubblicata
- Accordo
European Wax Center (Cumor v. European Wax Center)
Florida Circuit Court, Hillsborough County (class action), Florida, CIPA (intercettazioni)
5 Mio USD
Motivo
La class action sosteneva che waxcenter.com usasse pixel e altri tracker per condividere i dati dei visitatori con terzi come Meta senza consenso. European Wax Center nega ogni illecito.
Esito
Accordo collettivo fino a 5 milioni di dollari, senza ammissione di responsabilità
100 Mio €
Motivo
L'app di taxi inviava a società Yandex in Russia, senza garanzie adeguate, i dati di passeggeri e autisti finlandesi e norvegesi, tra cui posizione, chat, coordinate bancarie e scansioni della patente. La cifratura era inefficace perché fino a fine 2023 anche le chiavi erano conservate in Russia.
Esito
Sanzione di 100 milioni di euro a MLU B.V. (succeduta a Ridetech International); ordine di interrompere i trasferimenti verso la Russia; la società annuncia ricorso
31,8 Mio €
Motivo
Nell'arco di 35 mesi un dipendente ha consultato senza motivi di lavoro i dati bancari di 3.573 clienti, tra cui personaggi pubblici, e la banca non aveva misure per impedirlo. In un primo momento la banca aveva comunicato all'autorità che le persone coinvolte erano solo nove.
Esito
Sanzione di 31,8 milioni di euro
375.703 USD
Motivo
Ford chiedeva di verificare l'indirizzo email prima di gestire le richieste di opt-out, un passaggio che il CCPA non consente.
Esito
Sanzione di 375.703 dollari
50 Mio USD
Motivo
Meta ha ingannato gli utenti di Facebook sul controllo che avevano su chi poteva accedere ai loro dati, compresi gli sviluppatori di app di terze parti, nelle condotte alla base dello scandalo Cambridge Analytica.
Esito
Sanzioni civili per 50 milioni di dollari e inibitoria di 3 anni sull'accesso degli sviluppatori ai dati (sentenza della SF Superior Court)
1,1 Mio USD
Motivo
Gli utenti dovevano accettare il tracciamento prima di usare i biglietti o i siti web. PlayOn rimandava agli strumenti di opt-out NAI/DAA invece di offrirne di propri e non rispettava i segnali di preferenza di opt-out.
Esito
Sanzione di 1,10 milioni di dollari, valutazioni del rischio, opt-in per i 13–15enni
- Accordo
Limited Run Games (Carbone v. Limited Run Games)
E.D. New York (class action), Stati Uniti, VPPA
2,72 Mio USD
Motivo
Secondo i ricorrenti, le pagine video dell'azienda usavano il Meta Pixel per inviare a Facebook, senza consenso, l'attività di visione dei video e dati identificativi degli utenti.
Esito
Il tribunale ha approvato un accordo collettivo da 2,72 milioni di dollari
14,473 Mio £
Motivo
Reddit non ha verificato l'età degli utenti fino a luglio 2025, quindi non aveva una base giuridica per trattare i dati dei minori di 13 anni che usavano comunque il sito. Inoltre non ha valutato i rischi per i minori fino a gennaio 2025.
Esito
Sanzione di 14,47 milioni di sterline; Reddit ha presentato ricorso al First-tier Tribunal
2,75 Mio USD
Motivo
Gli opt-out, compresi i segnali Global Privacy Control, valevano solo per un servizio di streaming e un dispositivo invece che per l'intero account.
Esito
Accordo da 2,75 milioni di dollari, la sanzione CCPA più alta all'epoca
Motivo
Secondo la FTC, in un ricorso annunciato per la prima volta a gennaio 2025, GM e OnStar hanno raccolto e venduto alle agenzie di informazioni sui consumatori dati precisi sulla posizione e sullo stile di guida, senza un consenso adeguato e tramite una procedura di iscrizione a OnStar Smart Driver ingannevole.
Esito
Ordinanza definitiva approvata 2-0. Per 5 anni GM non può condividere dati di geolocalizzazione o di guida con agenzie di informazioni sui consumatori, e per 20 anni deve ottenere un consenso espresso e offrire accesso, cancellazione e opt-out. Nessuna sanzione pecuniaria.
- Sanzione
Datamasters (Rickenbacher Data)
California Privacy Protection Agency, California, California Delete Act
45.000 USD
Motivo
Il data broker texano non iscritto rivendeva per pubblicità mirata elenchi di milioni di persone con patologie come l'Alzheimer e le dipendenze.
Esito
Sanzione di 45.000 dollari e obbligo di smettere di vendere i dati dei californiani
62.600 USD
Motivo
A causa di un errore amministrativo S&P Global non si era iscritta come data broker.
Esito
Sanzione di 62.600 dollari e procedure di verifica dell'iscrizione
42 Mio €
Motivo
A ottobre 2024 un attaccante è entrato nei sistemi delle società di telecomunicazioni e ha raggiunto i dati di 24 milioni di contratti di abbonati, compresi i numeri di conto (IBAN). La sicurezza era inadeguata, e le email che informavano i clienti della violazione omettevano informazioni obbligatorie.
Esito
Sanzione di 27 milioni di euro a Free Mobile e di 15 milioni a Free (42 milioni in totale), più ordini di adeguamento
- Sanzione
VNG (Zalo)
Vietnam Competition Commission (Ministry of Industry and Trade), Vietnam, Altre leggi sulla privacy
810 Mio VND
Motivo
Zalo non offriva agli utenti opzioni chiare per scegliere quali dati personali condividere, né per autorizzarne o rifiutarne l'uso a fini pubblicitari e commerciali. Le sue condizioni contenevano anche clausole vietate.
Esito
Sanzione di 810 milioni di VND per sei violazioni della legge sulla tutela dei consumatori; TikTok è stata sanzionata separatamente per 880 milioni di VND per violazioni simili
1 Mio €
Motivo
Un responsabile del trattamento per il marketing ha conservato una copia dei dati di oltre 46 milioni di utenti Deezer dopo la fine del contratto e li ha usati senza istruzioni del cliente.
Esito
Sanzione di 1 milione di euro
56.600 USD
Motivo
Un'agenzia di marketing del Nevada creava e vendeva elenchi di pubblico personalizzati basati sui dati di oltre 262 milioni di americani, senza essersi iscritta come data broker in California.
Esito
56.600 dollari tra sanzioni e quote arretrate
1,5 Mio €
Motivo
Il sito installava tracker pubblicitari prima che i visitatori facessero una scelta e persino dopo il rifiuto. Inoltre continuava a leggere i tracker già presenti dopo la revoca del consenso.
Esito
Sanzione di 1,5 milioni di euro
1,4 Mio USD
Motivo
Nessuno dei 21 giochi mobile di Jam City offriva un opt-out conforme dalla vendita o condivisione dei dati. Alcuni vendevano o condividevano dati di ragazzi tra 13 e 16 anni senza consenso opt-in.
Esito
Sanzione di 1,4 milioni di dollari, opt-out in app, opt-in per i 13–15enni
750.000 €
Motivo
I cookie venivano installati appena i visitatori arrivavano, alcuni cookie pubblicitari erano indicati come strettamente necessari e il rifiuto non li bloccava.
Esito
Sanzione di 750.000 euro; l'editore aveva già ricevuto nel 2021 un ordine della CNIL di adeguarsi sui cookie
10,043 Mio €
Motivo
Il gestore aeroportuale ha avviato un progetto pilota di riconoscimento facciale in diversi aeroporti senza svolgere prima una valutazione d'impatto sulla protezione dei dati.
Esito
Sanzione di 10.043.002 euro
530.000 USD
Motivo
Sling gestiva le richieste di opt-out attraverso le preferenze sui cookie e obbligava gli utenti connessi a reinserire i dati. Inoltre non c'era alcun opt-out nelle app per TV.
Esito
Sanzione di 530.000 dollari, opt-out in app, profili per bambini con annunci mirati disattivati
1,35 Mio USD
Motivo
Le informative privacy omettevano i diritti di consumatori e candidati, gli opt-out non funzionavano (compresi i segnali Global Privacy Control) e i dati venivano condivisi senza i contratti richiesti.
Esito
Sanzione di 1,35 milioni di dollari, scansioni dei tracker e quattro anni di certificazione annuale di conformità
- Causa
Google (Web & App Activity)
N.D. California (class action), California, Altre leggi sulla privacy
425 Mio USD
Motivo
Google ha continuato a raccogliere tramite i suoi strumenti di analytics i dati sull'attività nelle app di circa 98 milioni di utenti che avevano disattivato Web & App Activity.
Esito
Verdetto della giuria di circa 425 milioni di dollari di danni compensativi; nessun danno punitivo; Google farà appello
10 Mio USD
Motivo
Secondo la FTC, Disney non ha etichettato come 'Made for Kids' alcuni video YouTube rivolti ai bambini, quindi i dati dei minori sono stati raccolti e usati per annunci mirati senza il consenso dei genitori.
Esito
Sanzione civile di 10 milioni di dollari e un programma decennale di revisione dei video; il tribunale ha approvato l'ordinanza il 31 dicembre 2025
1,5 Mio DKK
Motivo
ILVA conservava circa 350.000 record di clienti in un vecchio sistema informatico senza alcuna procedura per cancellarli o anonimizzarli. In Danimarca l'autorità raccomanda la sanzione e la fissano i tribunali.
Esito
Nel 2021 il tribunale distrettuale di Aarhus ha inflitto una sanzione di 100.000 DKK per negligenza. Il 2 settembre 2025 la Corte d'appello occidentale ha ritenuto la violazione intenzionale e ha portato la sanzione a 1,5 milioni di DKK, calcolandola sul fatturato del gruppo (CGUE C-383/23).
325 Mio €
Motivo
Annunci mostrati all'interno delle caselle Gmail e cookie installati alla creazione dell'account senza un consenso valido.
Esito
Sanzione di 325 milioni di euro (200 milioni a Google LLC, 125 milioni a Google Ireland) e ordine di risolvere entrambi i problemi entro sei mesi, pena 100.000 euro al giorno
150 Mio €
Motivo
shein.com installava cookie pubblicitari prima che i visitatori rispondessero al banner, e i banner non spiegavano la finalità pubblicitaria. Continuava a installare e leggere cookie anche dopo che gli utenti avevano cliccato 'Refuse all' o revocato il consenso.
Esito
Sanzione di 150 milioni di euro a Infinite Styles Services Co. Ltd (la società irlandese di Shein)
- Accordo
Google, Flo Health and Flurry (Frasco v. Flo Health)
N.D. California (class action), Stati Uniti, CIPA (intercettazioni)
59,5 Mio USD
Motivo
Secondo gli utenti dell'app Flo, tra novembre 2016 e febbraio 2019 i loro dati su ciclo mestruale e gravidanza sono stati condivisi tramite SDK di terze parti con Google, Flurry e Meta, in violazione del California Invasion of Privacy Act.
Esito
Google 48 milioni di dollari, Flo 8 milioni e Flurry 3,5 milioni, senza ammissione di illeciti; il 29 ottobre 2026 il giudice ha dichiarato che concederà l'approvazione definitiva
134,8 Mrd KRW
Motivo
Controlli di accesso deboli e reti interconnesse hanno permesso a degli hacker di sottrarre dati di oltre 23 milioni di abbonati, comprese chiavi di autenticazione SIM non cifrate. SKT ha anche avvisato gli utenti in ritardo.
Esito
Sanzione di 134,8 miliardi di KRW più una sanzione amministrativa di 9,6 milioni di KRW
Motivo
Una giuria ha stabilito che Meta ha violato il California Invasion of Privacy Act registrando intenzionalmente, tramite il suo SDK, le comunicazioni degli utenti dell'app Flo, compresi i dati su ciclo mestruale e gravidanza.
Esito
Verdetto di responsabilità contro Meta; istanze post-processuali respinte a settembre 2025; a novembre 2026 nessuna sentenza sui danni
55.400 USD
Motivo
Il data broker con sede nello Stato di Washington non si è iscritto presso la CPPA e non ha pagato la quota annuale prevista dal Delete Act.
Esito
Ha accettato di pagare una sanzione di 55.400 dollari
85.000 USD
Motivo
L'informativa privacy di TicketNetwork era illeggibile, ometteva diritti fondamentali e i meccanismi per esercitarli non funzionavano. L'azienda non li ha corretti dopo un avviso di sanatoria del 2023.
Esito
85.000 dollari; prima azione pubblica di applicazione del CTDPA
1,55 Mio USD
Motivo
Healthline continuava a condividere dati con i partner pubblicitari dopo l'opt-out degli utenti, anche tramite Global Privacy Control. Condivideva inoltre, per il targeting pubblicitario, titoli di articoli che lasciavano intuire una diagnosi medica.
Esito
Accordo da 1,55 milioni di dollari, il più alto in base al CCPA all'epoca
45 Mio €
Motivo
Vodafone non controllava e supervisionava adeguatamente le agenzie di vendita partner, i cui dipendenti stipulavano contratti e modifiche falsi a spese dei clienti. Un'autenticazione debole tra il portale MeinVodafone e la hotline permetteva inoltre a estranei di ottenere profili eSIM.
Esito
Sanzioni per 45 milioni di euro (15 milioni + 30 milioni) più un avvertimento
7,25 Mio USD
Motivo
Patreon avrebbe condiviso con Meta, tramite il Meta Pixel e senza un consenso adeguato, le scelte di visione dei video e i dati personali degli abbonati.
Esito
Accordo da 7,25 milioni di dollari con approvazione definitiva
1,369 Mrd KRW
Motivo
Temu inviava i dati degli utenti coreani a responsabili del trattamento in Cina, Singapore e Giappone senza dichiararlo. Non aveva inoltre un rappresentante nel paese e raccoglieva documenti d'identità e video del volto dei venditori senza una base giuridica.
Esito
Sanzione di 1,369 miliardi di KRW più una multa di 17,6 milioni di KRW e ordini correttivi
900.000 €
Motivo
L'azienda inviava SMS ed email di marketing usando dati acquistati da data broker, i cui moduli per concorsi spingevano le persone ad accettare. Non riusciva a dimostrare un consenso valido e trasmetteva i dati ai clienti senza base giuridica.
Esito
Sanzione di 900.000 euro; ordine di interrompere la prospezione senza consenso valido
1,375 Mrd USD
Motivo
Due cause intentate in Texas nel 2022 sostenevano che Google tracciasse senza consenso la posizione, le ricerche in incognito e dati biometrici come impronte vocali e geometria del volto.
Esito
Accordo da 1,375 miliardi di dollari; nessuna ammissione e nessuna modifica ai prodotti richiesta
- Sanzione
Jerico Pictures (National Public Data)
California Privacy Protection Agency, California, California Delete Act
46.000 USD
Motivo
Il data broker della Florida coinvolto nella violazione di National Public Data del 2024 non si è iscritto presso la CPPA e non ha pagato la quota annuale. A febbraio 2025 la CPPA ha avviato un procedimento amministrativo nei suoi confronti.
Esito
Condannato a pagare una sanzione di 46.000 dollari
345.178 USD
Motivo
Un portale privacy configurato male non ha gestito le richieste di opt-out per 40 giorni. Il retailer chiedeva inoltre una verifica dell'identità e dati superflui prima di consentire l'opt-out.
Esito
Sanzione di 345.178 dollari, correzione degli strumenti di opt-out, formazione del personale
530 Mio €
Motivo
I dati degli utenti del SEE venivano consultati da remoto dalla Cina senza dimostrare una protezione equivalente, e TikTok non informava gli utenti dei trasferimenti.
Esito
Sanzione di 530 milioni di euro e ordine di adeguarsi entro sei mesi o sospendere i trasferimenti verso la Cina
14,4 Mio €
Motivo
Amadeus ha riutilizzato i dati personali dei viaggiatori provenienti dal suo sistema di prenotazione aerea per un altro prodotto, senza base giuridica e senza informare gli interessati.
Esito
Sanzione di 14,4 milioni di euro (18 milioni ridotti del 20% per pagamento immediato)
27 Mio PLN
Motivo
Le poste nazionali hanno trattato senza base giuridica i dati del registro PESEL di circa 30 milioni di adulti durante la preparazione delle elezioni presidenziali per corrispondenza del 2020.
Esito
Annullata dal Tribunale amministrativo di Varsavia il 5 marzo 2026 (II SA/Wa 837/25), secondo cui le poste erano vincolate dalla decisione del Primo ministro. Non definitiva; l'UODO può presentare ricorso per cassazione.
632.500 USD
Motivo
Honda chiedeva di verificare l'identità per fare opt-out e usava uno strumento privacy che non presentava le scelte in modo equilibrato. Condivideva inoltre dati con aziende ad tech senza i contratti richiesti.
Esito
Sanzione di 632.500 dollari, procedura semplificata per i diritti, consulenza di un UX designer
Motivo
Il data broker californiano, che pubblicizzava di poter scovare quantità 'spaventose' di informazioni sulle persone, non si è iscritto e non ha pagato la quota annuale prevista dal Delete Act.
Esito
Ha accettato di chiudere le attività di data broker fino al 2028; una sanzione di 50.000 dollari è dovuta solo se viola l'accordo
- Accordo
Key Marketing Advantage
California Privacy Protection Agency, California, California Delete Act
55.800 USD
Motivo
Il data broker non si è iscritto presso la CPPA e non ha pagato la quota annuale prevista dal Delete Act.
Esito
Accordo da 55.800 dollari
20 Mio USD
Motivo
Secondo la FTC, lo sviluppatore di Genshin Impact raccoglieva dati di minori di 13 anni senza il consenso dei genitori e ingannava i giocatori su probabilità e costi delle loot box.
Esito
Sanzione di 20 milioni di dollari e divieto di vendere loot box ai minori di 16 anni senza il consenso dei genitori
Motivo
Secondo la FTC, Mobilewalla raccoglieva dati di posizione dagli ad exchange di real-time bidding e vendeva dati che rivelavano visite a luoghi sensibili senza verificare il consenso dei consumatori. È stata la prima volta che la FTC ha definito scorretta questo tipo di raccolta dagli ad exchange.
Esito
L'ordinanza definitiva (4-1) vieta di vendere dati di posizione sensibili e di usare i dati delle offerte degli ad exchange per scopi diversi dalle aste. Nessuna sanzione pecuniaria.
Motivo
Secondo la FTC, in un ricorso annunciato a dicembre 2024, Gravy Analytics e la controllata Venntel vendevano dati di posizione, compresi elenchi di persone che avevano visitato cliniche e luoghi di culto, senza un consenso adeguato.
Esito
L'ordinanza definitiva (5-0) vieta di vendere, condividere o usare dati di posizione sensibili, salvo casi limitati di sicurezza nazionale o di attività delle forze dell'ordine. È richiesto un programma per i dati di posizione sensibili. Nessuna sanzione pecuniaria.
54.200 USD
Motivo
Il data broker non si è iscritto presso la CPPA e non ha pagato la quota annuale dal 1° febbraio al 4 novembre 2024.
Esito
Accordo da 54.200 dollari
46.600 USD
Motivo
Il data broker non si è iscritto presso la CPPA e non ha pagato la quota annuale dal 1° febbraio al 20 settembre 2024.
Esito
Accordo da 46.600 dollari
50 Mio A$
Motivo
I dati di 311.127 utenti australiani di Facebook sono stati esposti al rischio di comunicazione a Cambridge Analytica tramite l'app 'This Is Your Digital Life'.
Esito
Programma di pagamenti da 50 milioni di A$ tramite impegno vincolante, che chiude il procedimento sanzionatorio davanti alla Federal Court
251 Mio €
Motivo
Nel 2018 una falla nella funzione 'View As' di Facebook ha permesso ad attaccanti di impossessarsi dei token di circa 29 milioni di account, 3 milioni dei quali nell'UE/SEE, esponendo dati compresi quelli di minori. La notifica della violazione di Meta era incompleta e i suoi sistemi non erano progettati per proteggere i dati fin dalla progettazione.
Esito
Sanzione di 251 milioni di euro
950.000 €
Motivo
Le richieste di prestito si potevano aprire tramite URL personali dei clienti presi di mira dai phisher. Questo ha esposto reddito, spese per l'abitazione, stato civile e figli dei richiedenti.
Esito
Sanzione di 950.000 euro e ordine di avvisare i clienti coinvolti
40.000 €
Motivo
I cookie di tracciamento venivano installati con caselle preselezionate, considerando la prosecuzione della navigazione come consenso.
Esito
Sanzione di 40.000 euro
- Sanzione
Meta (WhatsApp 2021 privacy policy)
Competition Commission of India, India, Altre leggi sulla privacy
2,131 Mrd INR
Motivo
La CCI ha stabilito che l'aggiornamento della privacy policy di WhatsApp del 2021 era stato imposto agli utenti con la formula prendere o lasciare, una condizione iniqua e un abuso di posizione dominante ai sensi del Competition Act, 2002.
Esito
Sanzione di 213,14 crore di rupie (Rs); il 4 novembre 2025 il NCLAT (tribunale d'appello) l'ha confermata ma ha annullato il divieto quinquennale di condividere i dati di WhatsApp con Meta a fini pubblicitari
2 Mio TRY
Motivo
Una fuga di dati da 125 GB ha coinvolto 35.274 persone in Turchia. Il KVKK ha ritenuto inadeguate le misure di sicurezza e le valutazioni del rischio di Twitch, che inoltre non aveva notificato la violazione.
Esito
1,75 milioni di TRY per sicurezza inadeguata più 250.000 TRY per la mancata notifica della violazione
50 Mio €
Motivo
Mail Orange mostrava, senza consenso, annunci con l'aspetto di email tra i messaggi reali nelle caselle degli utenti. Su orange.fr i cookie continuavano a essere letti dopo la revoca del consenso.
Esito
Sanzione di 50 milioni di euro; ordine di smettere di leggere i cookie dopo la revoca del consenso, pena 100.000 euro al giorno
35.400 USD
Motivo
Il data broker non si è iscritto presso la CPPA e non ha pagato la quota annuale dal 1° febbraio al 26 luglio 2024. È stato uno dei primi accordi basati sul Delete Act.
Esito
Accordo da 35.400 dollari
34.400 USD
Motivo
Il data broker non si è iscritto presso la CPPA e non ha pagato la quota annuale dal 1° febbraio al 21 luglio 2024. È stato uno dei primi accordi basati sul Delete Act.
Esito
Accordo da 34.400 dollari
2,4 Mio €
Motivo
Posti creava automaticamente una casella postale elettronica per i clienti e la abbinava ad altri servizi, così non si poteva rifiutare. I clienti non venivano informati chiaramente ed era usata una casella preselezionata.
Esito
Il Tribunale amministrativo di Helsinki ha annullato la sanzione di 2,4 milioni di euro (notizia del 3 novembre 2025), ma ha mantenuto l'ammonimento e l'ordine di adeguamento
15 Mio €
Motivo
Il Garante ha stabilito che OpenAI ha addestrato ChatGPT sui dati degli utenti senza base giuridica, non era abbastanza trasparente, non ha notificato una violazione dei dati del 2023 e non verificava l'età.
Esito
Sanzione di 15 milioni di euro e campagna informativa di 6 mesi; annullata dal Tribunale di Roma il 18 marzo 2026 perché la competenza era passata dal Garante alla DPC irlandese
310 Mio €
Motivo
Nessuna base giuridica valida per usare i dati degli iscritti a fini di pubblicità comportamentale.
Esito
Sanzione di 310 milioni di euro, ammonimento e ordine di adeguare il trattamento
Motivo
Ordine di inserire “Reject all” nel primo livello del banner dei cookie e di smettere di usare colori che spingono i visitatori ad accettare.
Esito
Ordine di modificare il banner dei cookie con penalità giornaliere, poi ritirato dall'autorità a marzo 2025; il reclamo è stato archiviato a settembre 2025 dopo che RTL ha modificato il banner
91 Mio €
Motivo
Meta conservava in chiaro sui sistemi interni le password di alcuni utenti. Inoltre non l'ha notificato né registrato come violazione.
Esito
Sanzione di 91 milioni di euro e ammonimento
- Ordine
Mediahuis (De Standaard, Het Nieuwsblad, Het Belang van Limburg, Gazet van Antwerpen)
Belgian DPA, Belgio, GDPR
Motivo
Dopo un reclamo di noyb, l'autorità ha ordinato ai quattro siti di notizie di Mediahuis di aggiungere un'opzione di rifiuto nel banner dei cookie ovunque compaia 'accept all' e di smettere di usare colori dei pulsanti ingannevoli. La decisione sostituiva un precedente accordo da 10.000 euro che non richiedeva alcuna modifica al banner.
Esito
Due ordini da rispettare entro 45 giorni, ciascuno con una penalità di 25.000 euro al giorno per sito (fino a 200.000 euro al giorno in totale). La Market Court ha annullato la decisione il 19 marzo 2025 (2024/AR/1690) per motivi procedurali, ritenendo che noyb avesse abusato del diritto di reclamo.
Motivo
Ammonita per aver installato cookie pubblicitari prima che i visitatori potessero accettarli o rifiutarli.
Esito
Ammonimento, nessuna sanzione
290 Mio €
Motivo
I dati personali degli autisti sono stati trasferiti negli Stati Uniti senza una protezione adeguata.
Esito
Sanzione di 290 milioni di euro
1,4 Mrd USD
Motivo
La funzione Tag Suggestions di Facebook, attiva per impostazione predefinita, usava il riconoscimento facciale per raccogliere identificatori biometrici dalle foto caricate senza informativa né consenso.
Esito
1,4 miliardi di dollari in cinque anni; il più grande accordo sulla privacy con un singolo Stato all'epoca
600.000 €
Motivo
Kruidvat.nl tracciava i visitatori con cookie di tracciamento senza un consenso valido: le caselle del consenso nel banner erano preselezionate e rifiutare era più difficile. Così venivano creati profili dettagliati a partire da acquisti sensibili in farmacia, come test di gravidanza e medicinali.
Esito
Sanzione di 600.000 euro
500.000 USD
Motivo
Il gioco 'SpongeBob: Krusty Cook-Off' usava una schermata di verifica dell'età non neutrale e SDK configurati male, quindi raccoglieva e vendeva dati di minori senza il consenso dei genitori.
Esito
Sanzione di 500.000 dollari, verifica dell'età neutrale, governance degli SDK (con il LA City Attorney)
30,5 Mio €
Motivo
Clearview ha raccolto da internet oltre 30 miliardi di foto, anche di persone olandesi, per creare profili di riconoscimento facciale senza base giuridica. Non ha informato le persone.
Esito
Sanzione di 30,5 milioni di euro più ordini con penalità
7 Mio USD
Motivo
Tramite strumenti di tracciamento, l'azienda di telemedicina ha condiviso a fini pubblicitari dati sensibili sulla salute mentale di quasi 3,2 milioni di persone con LinkedIn, Snapchat, TikTok e altri. Rendeva inoltre difficile disdire.
Esito
Oltre 7 milioni di dollari (circa 5,1 milioni di rimborsi più 2 milioni di una sanzione da 10 milioni); divieto di usare i dati sanitari per la maggior parte della pubblicità
351 Mio CZK
Motivo
Avast ha trasmesso alla controllata Jumpshot la cronologia di navigazione di circa 100 milioni di utenti dell'antivirus e delle estensioni per browser. Sosteneva che i dati fossero anonimi, ma erano solo pseudonimizzati e alcune persone potevano essere reidentificate.
Esito
Sanzione di 351 milioni di CZK, ora definitiva
Motivo
La causa sosteneva che Google tracciasse la navigazione degli utenti di Chrome convinti che la modalità Incognito li proteggesse.
Esito
Nessun risarcimento; cancellazione di miliardi di record, informative più chiare, cookie di terze parti bloccabili in Incognito per 5 anni
16,5 Mio USD
Motivo
Avast raccoglieva dati di navigazione tramite l'antivirus e le estensioni e li vendeva tramite Jumpshot a oltre 100 acquirenti, mentre prometteva di proteggere gli utenti dal tracciamento.
Esito
16,5 milioni di dollari e divieto di vendere dati di navigazione a fini pubblicitari
375.000 USD
Motivo
DoorDash ha fornito nomi, indirizzi e cronologia degli ordini dei clienti californiani a una cooperativa di marketing. In base al CCPA si trattava di una vendita, ed è avvenuta senza informativa né opt-out.
Esito
Sanzione di 375.000 dollari, revisione dei contratti con i fornitori, report annuali
79,1 Mio €
Motivo
Controlli deboli hanno permesso ad agenzie non autorizzate di usare telemarketing illecito per acquisire clienti. Enel ha accettato 978 contratti da agenzie esterne alla sua rete di vendita.
Esito
Sanzione di 79,1 milioni di euro
140.000 £
Motivo
HelloFresh ha inviato circa 79 milioni di email e 1 milione di SMS di marketing sulla base di un consenso non valido, abbinato a una casella di conferma dell'età e senza menzione degli SMS. Alcune persone continuavano a ricevere messaggi dopo aver chiesto di smettere.
Esito
Sanzione di 140.000 sterline
Motivo
Il data broker vendeva dati di posizione precisi e non anonimizzati collegati agli ID pubblicitari, comprese le visite a cliniche mediche, senza assicurarsi che gli utenti avessero dato un consenso informato.
Esito
Primo divieto della FTC di vendere dati di posizione sensibili; cancellazione dei dati e dei prodotti derivati
15 Mio DKK
Motivo
Il Datatilsynet ha denunciato Netcompany alla polizia per la casella postale digitale pubblica mit.dk. La sicurezza non era integrata nella progettazione e la valutazione d'impatto era inadeguata.
Esito
L'autorità ha raccomandato almeno 15 milioni di DKK; la sanzione finale la fissano i tribunali. Ancora pendente, nessuna sentenza trovata.
10 Mio €
Motivo
Yahoo installava tracker pubblicitari senza consenso preventivo. Diceva inoltre agli utenti che revocare il consenso avrebbe bloccato servizi chiave come Yahoo Mail.
Esito
Sanzione di 10 milioni di euro a Yahoo EMEA; confermata dal Conseil d'État il 7 ottobre 2025
300.000 USD
Motivo
Dal 2016 al 2022 gli strumenti di tracciamento sul sito dell'ospedale hanno inviato ad aziende tecnologiche le ricerche di medici e patologie e i dettagli degli appuntamenti, in violazione dell'HIPAA.
Esito
300.000 dollari, verifica degli strumenti di tracciamento, cancellazione dei dati condivisi
32 Mio €
Motivo
Amazon monitorava il personale dei magazzini tramite gli scanner, creava indicatori di produttività dettagliati e li conservava troppo a lungo. Inoltre non informava correttamente i lavoratori interinali di questo né della videosorveglianza.
Esito
Sanzione di 32 milioni di euro; ridotta a 15 milioni dal Conseil d'État il 23 dicembre 2025
10 Mio €
Motivo
Uber non comunicava agli autisti europei per quanto tempo conservava i loro dati né in quali paesi extra UE li trasferiva. Rendeva inoltre inutilmente difficile per gli autisti chiedere i propri dati.
Esito
Sanzione di 10 milioni di euro
5,47 Mio €
Motivo
La società di recupero crediti trattava dati di non debitori, e dati sanitari, senza base giuridica. Registrava senza base giuridica le chiamate di circa 49.850 persone, e una sicurezza debole ha permesso di sottrarre dati di 181.641 persone.
Esito
Sanzione di 5,47 milioni di euro, la più alta in Croazia; EOS Matrix ha annunciato ricorso
10 Mio €
Motivo
Venivano attivati contratti energetici a nome di persone a loro insaputa, con recapiti errati o non aggiornati, dopo che Axpo aveva acquisito dati dei clienti da agenti di vendita senza controlli adeguati.
Esito
Sanzione di 10 milioni di euro
345 Mio €
Motivo
Carenze nella gestione dei dati e degli account dei minori.
Esito
Sanzione di 345 milioni di euro
- Accordo
Advocate Aurora Health
Federal court, Wisconsin (class action), Wisconsin, Altre leggi sulla privacy
12,225 Mio USD
Motivo
Il sistema sanitario usava Meta Pixel e Google Analytics sul sito web, sul portale pazienti e sull'app per le prenotazioni, rivelando dati di circa 2,5 milioni di pazienti.
Esito
Accordo collettivo da 12.225.000 dollari
- Accordo
Boston Globe Media Partners (Ambrose v. Boston Globe)
D. Massachusetts (class action), Stati Uniti, VPPA
4 Mio USD
Motivo
Secondo gli abbonati, il pixel di Facebook sulle pagine video del Globe inviava a Facebook i loro dati di visione. Bloomberg Law l'ha definito il primo caso di privacy legato al Meta Pixel.
Esito
Fondo di risarcimento da 4 milioni di dollari; il tribunale ha ridotto le spese legali richieste da circa 1,7 milioni a 750.000 dollari
75.000 USD
Motivo
L'azienda di test genetici lasciava report su DNA e salute in uno spazio cloud pubblico, ingannava gli utenti sulla cancellazione e ha modificato retroattivamente la privacy policy per ampliare la condivisione.
Esito
75.000 dollari per i rimborsi, distruzione dei campioni di DNA, consenso obbligatorio per la condivisione
40 Mio €
Motivo
I dati di navigazione venivano raccolti tramite cookie sui siti partner senza verificare che i partner avessero ottenuto un consenso valido.
Esito
Sanzione di 40 milioni di euro, confermata dal Conseil d'État francese a marzo 2026
58 Mio SEK
Motivo
Quando le persone chiedevano i propri dati, Spotify li consegnava ma non spiegava chiaramente come li usava. I dati tecnici non erano spiegati in modo comprensibile.
Esito
Sanzione di 58 milioni di SEK
20 Mio USD
Motivo
Microsoft raccoglieva dati di minori alla registrazione su Xbox senza avvisare i genitori né ottenere il consenso, e li conservava più a lungo del consentito.
Esito
Sanzione civile di 20 milioni di dollari
25 Mio USD
Motivo
Amazon conservava a tempo indeterminato le registrazioni vocali di Alexa e i dati di posizione dei minori, non rispettava le richieste di cancellazione e usava i dati per migliorare i propri algoritmi.
Esito
Sanzione civile di 25 milioni di dollari e obblighi di cancellazione
5,8 Mio USD
Motivo
Ring permetteva a dipendenti e collaboratori di vedere i video privati dei clienti e non aveva misure di sicurezza di base, così degli hacker hanno preso il controllo di circa 55.000 account.
Esito
5,8 milioni di dollari per i rimborsi e un programma su privacy e sicurezza
1,2 Mrd €
Motivo
I dati degli utenti di Facebook venivano trasferiti negli Stati Uniti senza una protezione adeguata. È la sanzione GDPR più alta finora.
Esito
Sanzione di 1,2 miliardi di euro e ordine di interrompere i trasferimenti
100.000 USD
Motivo
Tramite SDK, l'app per l'ovulazione condivideva dati sanitari sensibili con AppsFlyer, Google e due aziende con sede in Cina, senza mai dirlo agli utenti.
Esito
Sanzione di 100.000 dollari in base alla Health Breach Notification Rule (più 100.000 dollari a CT, DC e OR) e divieto di condivisione a fini pubblicitari
380.000 €
Motivo
Il sito sulla salute raccoglieva dati dai quiz sulla salute senza un consenso specifico e li conservava troppo a lungo. Installava un cookie pubblicitario all'arrivo e altri due anche dopo 'Refuse all'.
Esito
380.000 euro in totale (280.000 euro per il GDPR + 100.000 euro per i cookie)
2,265 Mio €
Motivo
L'agenzia di recupero crediti indicava la base giuridica sbagliata nella privacy policy e non aveva un contratto con il responsabile del trattamento per un servizio di monitoraggio dei fallimenti. Una sicurezza inadeguata ha esposto i dati di almeno 132.652 persone.
Esito
Sanzione di 2,265 milioni di euro, la più alta dell'AZOP all'epoca
12,7 Mio £
Motivo
TikTok permetteva a un gran numero di minori di 13 anni nel Regno Unito di usare l'app senza il consenso dei genitori e faceva troppo poco per individuarli e rimuoverli. Non spiegava inoltre chiaramente come usava i dati delle persone.
Esito
Sanzione di 12,7 milioni di sterline; a settembre 2026 TikTok ha ritirato i ricorsi e l'ha accettata
7,8 Mio USD
Motivo
Secondo la FTC, BetterHelp condivideva indirizzi email, indirizzi IP e risposte ai questionari sulla salute con Facebook, Snapchat, Criteo e Pinterest a fini pubblicitari.
Esito
7,8 milioni di dollari per i rimborsi ai consumatori e divieto di condividere dati sanitari a fini pubblicitari
1,5 Mio USD
Motivo
GoodRx condivideva farmaci e patologie degli utenti con Facebook, Google e Criteo e li usava per annunci mirati, nonostante avesse promesso di non farlo.
Esito
Sanzione di 1,5 milioni di dollari (primo caso in base alla Health Breach Notification Rule) e divieto di condividere dati sanitari a fini pubblicitari
390 Mio €
Motivo
Meta usava il contratto con gli utenti (i termini di servizio) come base giuridica per la pubblicità comportamentale, ma la DPC l'ha ritenuta non valida.
Esito
Sanzione di 390 milioni di euro (210 milioni a Facebook, 180 milioni a Instagram) e ordine di adeguarsi entro tre mesi
3 Mio €
Motivo
L'editore di giochi mobile leggeva l'identificativo IDFV di Apple sugli iPhone a fini pubblicitari senza consenso, anche dopo che gli utenti avevano rifiutato il tracciamento.
Esito
Sanzione di 3 milioni di euro; confermata dal Conseil d'État il 14 maggio 2024
5 Mio €
Motivo
tiktok.com permetteva di accettare tutto con un clic ma non offriva un modo altrettanto semplice per rifiutare i cookie; un pulsante 'refuse all' è arrivato solo a febbraio 2022. I visitatori non erano informati in modo abbastanza chiaro sulle finalità dei cookie.
Esito
Sanzione di 5 milioni di euro
8 Mio €
Motivo
Con iOS 14.6 Apple leggeva gli identificativi degli iPhone per annunci personalizzati nell'App Store senza chiedere prima; il targeting pubblicitario era attivo per impostazione predefinita e servivano diversi passaggi per disattivarlo.
Esito
Sanzione di 8 milioni di euro; Apple ha annunciato ricorso
520 Mio USD
Motivo
Secondo la FTC, Epic raccoglieva dati di minori senza il consenso dei genitori, attivava di default la chat vocale e testuale e usava dark pattern che portavano ad acquisti indesiderati.
Esito
Sanzione COPPA di 275 milioni di dollari più 245 milioni di rimborsi ai consumatori (520 milioni in totale)
60 Mio €
Motivo
bing.com installava cookie, anche pubblicitari, e non permetteva di rifiutarli con la stessa facilità con cui si potevano accettare.
Esito
Sanzione di 60 milioni di euro più un ordine di adeguamento
391,5 Mio USD
Motivo
Secondo gli Stati, dal 2014 Google ingannava gli utenti sul tracciamento della posizione: i dati continuavano a essere raccolti tramite impostazioni come Web & App Activity anche dopo aver disattivato Location History.
Esito
Accordo da 391,5 milioni di dollari, all'epoca il più grande accordo multistatale sulla privacy nella storia degli Stati Uniti
4,3 Mio €
Motivo
Per il censimento 2021 l'INE ha usato Cloudflare con condizioni che consentivano trasferimenti di dati negli Stati Uniti e in altri paesi senza garanzie adeguate. Le altre carenze riguardavano gli obblighi di informazione, le regole sui responsabili del trattamento e la mancanza di una DPIA.
Esito
Sanzione di 4,3 milioni di euro, la più alta in Portogallo; l'INE ha fatto ricorso a gennaio 2023 e non risulta una decisione definitiva
20 Mio €
Motivo
Clearview ha raccolto da internet miliardi di foto, anche di persone in Francia, per il riconoscimento facciale senza base giuridica. Non rispondeva correttamente alle richieste di accesso e cancellazione.
Esito
Sanzione di 20 milioni di euro e ordine di cancellare i dati; nel 2023 un'ulteriore penalità di mora di 5,2 milioni per mancato adeguamento
- Accordo
Google (Google Photos, Rivera v. Google)
Circuit Court of Cook County, Illinois (class action), Illinois, BIPA (Illinois)
100 Mio USD
Motivo
Secondo i residenti dell'Illinois, la funzione di raggruppamento dei volti di Google Foto creava modelli del volto dalle loro foto senza l'informativa e il consenso scritto richiesti dal BIPA.
Esito
Accordo da 100 milioni di dollari con approvazione definitiva il 28 settembre 2022
405 Mio €
Motivo
I recapiti dei minori venivano resi pubblici tramite gli account business e i profili pubblici per impostazione predefinita.
Esito
Sanzione di 405 milioni di euro
69,2 Mrd KRW
Motivo
Google non spiegava chiaramente agli utenti che raccoglieva il loro comportamento su altri servizi per annunci personalizzati, e aveva impostato il consenso su 'agree' di default.
Esito
Sanzione di 69,2 miliardi di KRW e ordine correttivo
30,8 Mrd KRW
Motivo
Meta raccoglieva e usava il comportamento degli utenti su altri siti e app per annunci personalizzati senza ottenere un consenso valido alla registrazione.
Esito
Sanzione di 30,8 miliardi di KRW e ordine correttivo
1,2 Mio USD
Motivo
I dati venivano venduti tramite tracker di terze parti senza informare i clienti, e i segnali Global Privacy Control venivano ignorati.
Esito
Accordo da 1,2 milioni di dollari
35 Mio USD
Motivo
Secondo gli utenti dell'Illinois, Lenses e Filters di Snapchat scansionavano e memorizzavano la geometria del loro volto senza l'informativa e il consenso scritto richiesti dal BIPA. Snap ha respinto le accuse.
Esito
Accordo collettivo da 35 milioni di dollari per gli utenti dell'Illinois da novembre 2015; udienza per l'approvazione definitiva fissata a novembre 2022
92 Mio USD
Motivo
Secondo i ricorrenti, TikTok raccoglieva impronte facciali senza consenso, in violazione del BIPA, e comunicava dati di visione in violazione del VPPA.
Esito
Accordo da 92 milioni di dollari con approvazione definitiva
8,026 Mrd CN¥
Motivo
Dal 2015 Didi raccoglieva illegalmente dati dei clienti, compresi dati di riconoscimento facciale e foto del telefono, senza consenso. Conservava inoltre in modo non sicuro i dati di 57 milioni di autisti.
Esito
Sanzione di 8,026 miliardi di CNY in base alla PIPL e alle leggi sulla cybersicurezza e sulla sicurezza dei dati
20 Mio €
Motivo
Clearview raccoglieva immagini del volto di persone in Grecia da siti pubblici e social network per creare profili biometrici consultabili, senza base giuridica né trasparenza.
Esito
Sanzione di 20 milioni di euro
220.000 €
Motivo
Tra aprile 2020 e marzo 2021 l'assicuratore sanitario ha inviato a una persona 51 email con nulla osta medici e risultati di esami di altre persone, ignorando le sue segnalazioni. Non ha notificato la violazione.
Esito
Proposti 220.000 euro (100.000 euro ai sensi dell'art. 5(1)(f) più 60.000 euro per ciascuna di altre due violazioni); DKV ha pagato 132.000 euro dopo le riduzioni per pagamento volontario e ammissione di responsabilità (PS/00080/2022)
Motivo
L'app tracciava la posizione degli utenti ogni pochi minuti, anche da chiusa, dopo aver detto che raccoglieva la posizione solo durante l'uso.
Esito
Violazioni accertate; Tim Hortons ha accettato di cancellare i dati e avviare un programma privacy (nessuna sanzione)
150 Mio USD
Motivo
Twitter raccoglieva numeri di telefono ed email di oltre 140 milioni di utenti per la sicurezza degli account e poi li usava per annunci mirati, violando un'ordinanza della FTC del 2011.
Esito
Sanzione civile di 150 milioni di dollari
7,553 Mio £
Motivo
Clearview ha creato un database di riconoscimento facciale con oltre 20 miliardi di immagini raccolte da internet, anche di persone nel Regno Unito, senza informarle né avere una base giuridica.
Esito
Sanzione di 7.552.800 sterline e ordine di cancellare i dati del Regno Unito; annullata per difetto di giurisdizione dal First-tier Tribunal nel 2023, ma a ottobre 2025 l'Upper Tribunal ha ribaltato la decisione e rinviato il caso
10 Mio €
Motivo
Google trasmetteva senza base giuridica al progetto Lumen di Harvard, che pubblica queste richieste, i dati personali di chi chiedeva la rimozione di contenuti. Rendeva inoltre difficile ottenere la cancellazione dei dati.
Esito
Sanzione di 10 milioni di euro
17 Mio €
Motivo
Dopo 12 violazioni dei dati nel 2018, Meta non è riuscita a dimostrare di avere misure adeguate per proteggere i dati degli utenti UE.
Esito
Sanzione di 17 milioni di euro
1,5 Mio USD
Motivo
Un'app per la perdita di peso promossa presso bambini anche di otto anni raccoglieva i loro dati senza il consenso dei genitori. La registrazione permetteva ai bambini di dichiarare di avere più di 13 anni.
Esito
Sanzione di 1,5 milioni di dollari, cancellazione di dati e algoritmi
20 Mio €
Motivo
Clearview offriva ricerche biometriche sui volti in immagini raccolte dal web, anche di persone in Italia, senza base giuridica né trasparenza.
Esito
Sanzione di 20 milioni di euro
250.000 €
Motivo
Il Transparency & Consent Framework del settore pubblicitario non aveva una base giuridica valida per gestire la TC String e forniva agli utenti informazioni vaghe. Non garantiva che le scelte degli utenti fossero rispettate.
Esito
Sanzione di 250.000 euro; ordini di correggere il TCF, compreso il divieto di basarsi sul legittimo interesse; piano d'azione poi approvato e quindi sospeso in attesa dell'appello
8 Mio €
Motivo
La DSB ha accertato violazioni del GDPR legate al programma fedeltà jö Bonus Club, dopo una sanzione di 2 milioni di euro inflitta nel 2021 al club stesso per non aver spiegato a circa 2 milioni di clienti come sarebbero stati usati i loro dati.
Esito
Non definitiva al momento dell'annuncio; REWE ha annunciato ricorso. Nessun esito giudiziario trovato.
1,25 Mio €
Motivo
Il comune ha condiviso con terzi, tra cui l'ambasciata russa, i dati personali degli organizzatori di manifestazioni, con 225 violazioni tra il 2018 e il 2021.
Esito
Ridotta dai tribunali perché alcune violazioni erano prescritte; ad agosto 2025 il Tribunale amministrativo centrale Sud ha lasciato circa 738.000 euro per 65 violazioni. È possibile un ulteriore ricorso.
150 Mio €
Motivo
google.fr e youtube.com permettevano di accettare tutti i cookie con un clic, ma per rifiutarli servivano diversi clic.
Esito
150 milioni di euro in totale (90 milioni a Google LLC + 60 milioni a Google Ireland) più un ordine di adeguamento
60 Mio €
Motivo
facebook.com permetteva di accettare i cookie con un clic, ma per rifiutarli servivano diversi clic, e gli utenti non erano informati chiaramente su come rifiutare.
Esito
Sanzione di 60 milioni di euro a Facebook Ireland più un ordine di adeguamento
65 Mio NOK
Motivo
Grindr condivideva con i partner pubblicitari, senza un consenso valido, la posizione GPS, gli ID pubblicitari e altri dati degli utenti, che rivelavano l'uso di un'app di incontri gay. Per usare l'app gli utenti dovevano accettare l'intera privacy policy.
Esito
Sanzione di 65 milioni di NOK; confermata dal Privacy Appeals Board, dal Tribunale distrettuale di Oslo e infine dalla Corte d'appello il 21 ottobre 2025
1,95 Mio TRY
Motivo
Il KVKK ha stabilito che l'aggiornamento privacy di WhatsApp del 2021 non spiegava chiaramente come e perché sarebbero stati trattati i dati degli utenti, e obbligava ad accettare il contratto nel suo insieme invece di consentire un consenso libero.
Esito
Sanzione di 1,95 milioni di TRY (circa 197.000 euro) e ordine di adeguare la privacy policy alla legge turca
225 Mio €
Motivo
WhatsApp non spiegava chiaramente a utenti e non utenti come trattava i loro dati, compresa la condivisione con altre società di Facebook.
Esito
Sanzione di 225 milioni di euro, ammonimento e ordine di adeguamento; aumentata dopo una decisione vincolante dell'EDPB
746 Mio €
Motivo
I dati personali venivano usati per il targeting pubblicitario senza una base giuridica valida.
Esito
Sanzione di 746 milioni di euro, confermata nel 2025 ma annullata a marzo 2026 dalla Corte amministrativa superiore del Lussemburgo e rinviata alla CNPD
650 Mio USD
Motivo
Facebook usava il riconoscimento facciale per raccogliere e memorizzare gli identificatori biometrici degli utenti dell'Illinois senza il consenso scritto richiesto dal BIPA.
Esito
Accordo da 650 milioni di dollari con approvazione definitiva del giudice Donato
60.000 £
Motivo
Tra giugno 2019 e giugno 2020 il marchio di moda ha inviato 1.746.632 messaggi di marketing diretto senza un consenso valido, alcuni dei quali offrivano una mascherina gratuita in cambio del download dell'app. Il checkout non offriva un modo semplice per rifiutare il marketing, quindi il soft opt-in non si applicava.
Esito
Sanzione PECR di 60.000 sterline
10.000 £
Motivo
Il venditore online di adesivi ha inviato 491.995 email di marketing senza consenso tra agosto 2019 e aprile 2020, molte delle quali pubblicizzavano mascherine nelle prime fasi della pandemia.
Esito
Sanzione PECR di 10.000 sterline
50.000 €
Motivo
L'azienda invia campioni nella 'pink box' ai futuri genitori. Trasmetteva i dati dei clienti, compresi quelli dei bambini, a terzi come data broker senza un consenso valido, informato e libero. Una donna che aveva revocato il consenso continuava a ricevere chiamate pubblicitarie.
Esito
Sanzione di 50.000 euro e ordine di adeguare il trattamento (decisione 04/2021)
Motivo
L'app per il monitoraggio del ciclo condivideva dati sanitari, compresa la gravidanza, con aziende terze di analytics e marketing nonostante promettesse riservatezza.
Esito
Consent order: revisione indipendente, consenso prima della condivisione, avviso agli utenti; nessuna sanzione pecuniaria
10,4 Mio €
Motivo
Il retailer online ha filmato il personale per almeno due anni senza base giuridica, riprendendo postazioni di lavoro, aree vendita, magazzini e aree di pausa. Le registrazioni venivano spesso conservate per 60 giorni.
Esito
Il LG Hannover l'ha ridotta a 700.000 euro (6 maggio 2024); su appello della procura, l'OLG Celle ha fissato la sanzione definitiva a 900.000 euro (18 dicembre 2025, 3 ORbs 113/25)
6 Mio €
Motivo
Il consenso dei clienti non era valido e la banca non poteva basarsi sul legittimo interesse per la profilazione. Inoltre non informava correttamente i clienti.
Esito
Sanzione di 6 milioni di euro (4 milioni per trattamento illecito, 2 milioni per mancata informazione)
100 Mio €
Motivo
google.fr installava cookie pubblicitari senza consenso preventivo e non spiegava chiaramente agli utenti a cosa servissero. Un cookie pubblicitario restava attivo anche dopo che gli utenti avevano disattivato la personalizzazione degli annunci.
Esito
100 milioni di euro in totale (60 milioni a Google LLC + 40 milioni a Google Ireland) più un ordine di adeguamento
35 Mio €
Motivo
amazon.fr installava cookie pubblicitari sui dispositivi dei visitatori senza consenso preventivo e senza informazioni chiare.
Esito
Sanzione di 35 milioni di euro ad Amazon Europe Core più un ordine di adeguamento
7.300 €
Motivo
Un'azienda di prospezione via email con due dipendenti inviava email di marketing senza prova del consenso preventivo. Conservava inoltre dati non necessari, informava male le persone, la disiscrizione non funzionava e il contratto con il responsabile del trattamento era incompleto.
Esito
Sanzione di 7.300 euro, contenuta perché si tratta di un'impresa molto piccola, più un ordine di adeguarsi entro due mesi, pena 1.000 euro al giorno (SAN-2020-016)
1,969 Mio PLN
Motivo
Virgin Mobile non testava regolarmente le proprie misure di sicurezza, e una fuga di dati ha esposto i numeri PESEL e dei documenti d'identità di circa 114.000 clienti prepagati.
Esito
La prima decisione è stata annullata; l'UODO ha rideterminato la sanzione in 1.599.395 PLN, confermata nel 2023 e divenuta definitiva quando la Corte suprema amministrativa ha respinto il ricorso il 7 maggio 2026
2,25 Mio €
Motivo
I siti web e il programma fedeltà di Carrefour fornivano informazioni poco chiare, conservavano i dati troppo a lungo, gestivano male le richieste di esercizio dei diritti e non rispettavano le regole sui cookie.
Esito
Sanzione di 2,25 milioni di euro a Carrefour France (Carrefour Banque sanzionata separatamente per 800.000 euro)
1,25 Mio £
Motivo
Nel 2018 un chatbot di terze parti poco protetto sulla pagina di pagamento di Ticketmaster è stato attaccato, con la possibile esposizione dei dati di 9,4 milioni di clienti europei, compresi i dati delle carte di pagamento.
Esito
Sanzione di 1,25 milioni di sterline
12,252 Mio €
Motivo
Milioni di clienti hanno ricevuto chiamate di telemarketing senza consenso, alcune effettuate da partner commerciali con numeri falsi.
Esito
Sanzione di 12.251.601 euro
18,4 Mio £
Motivo
Un attacco informatico del 2014 a Starwood, poi acquisita da Marriott, ha esposto circa 339 milioni di record di ospiti ed è passato inosservato fino al 2018. Marriott non aveva svolto una due diligence né adottato misure di sicurezza sufficienti.
Esito
Sanzione di 18,4 milioni di sterline
20 Mio £
Motivo
Nel 2018, a causa di una sicurezza carente, degli attaccanti hanno dirottato il traffico del sito BA e raccolto i dati di accesso, delle carte di pagamento e delle prenotazioni di circa 400.000 clienti.
Esito
Sanzione di 20 milioni di sterline (ridotta dai 183,39 milioni proposti)
35,259 Mio €
Motivo
I responsabili del centro servizi H&M di Norimberga registravano informazioni sulla vita privata del personale, comprese malattie e diagnosi emerse nei colloqui di rientro, e le usavano per creare profili.
Esito
Sanzione di 35.258.708 euro
16,7 Mio €
Motivo
I clienti ricevevano SMS, email e chiamate di marketing senza consenso. Un'informativa privacy incompleta rendeva difficile revocare il consenso o opporsi.
Esito
Sanzione di 16,7 milioni di euro
1,2 Mio TRY
Motivo
amazon.com.tr trattava dati personali tramite cookie non appena gli utenti arrivavano, senza informativa né richiesta di consenso. Usava inoltre un consenso preselezionato per le email di marketing e trasferiva dati all'estero senza consenso esplicito.
Esito
1,1 milioni di TRY (sicurezza dei dati) più 100.000 TRY (obbligo di informativa); ordine di correggere informativa privacy, condizioni d'uso e cookie policy
27,8 Mio €
Motivo
Centinaia di reclami hanno dimostrato che TIM effettuava chiamate di marketing senza consenso o a persone che avevano fatto opt-out. Usava inoltre informazioni poco chiare nell'app e consensi accorpati.
Esito
Sanzione di 27,8 milioni di euro
9,55 Mio €
Motivo
L'assistenza telefonica forniva ampi dati dei clienti a chiunque indicasse nome e data di nascita di un cliente, un controllo troppo debole ai sensi dell'art. 32 GDPR.
Esito
L'11 novembre 2020 il LG Bonn ha confermato la sanzione nel principio ma l'ha ridotta a 900.000 euro
14,5 Mio €
Motivo
Il sistema di archiviazione del locatore non poteva cancellare i vecchi dati degli inquilini, così buste paga, estratti conto e dati fiscali e di assicurazione sanitaria sono stati conservati per anni (art. 25(1) e art. 5 GDPR).
Esito
Il LG Berlin l'ha annullata nel 2021. Il 5 dicembre 2023 la CGUE ha stabilito (C-807/21) che le aziende possono essere sanzionate direttamente, ma solo per violazioni colpevoli. Il 9 giugno 2026 il LG Berlin I ha ridotto la sanzione a 900.000 euro; non ancora definitiva.
30.000 €
Motivo
Il sito di Vueling non dava ai visitatori alcun modo di rifiutare i cookie: per continuare a navigare bisognava accettarli.
Esito
Sanzione di 30.000 euro (18.000 euro con pagamento anticipato)
18 Mio €
Motivo
Le poste austriache stimavano e vendevano le probabili preferenze politiche di 2,2 milioni di austriaci senza consenso.
Esito
Annullata nel 2020 per un vizio formale, poi rideterminata in 16 milioni di euro dopo la sentenza della CGUE su Deutsche Wohnen. Il 24 giugno 2026 la Corte suprema amministrativa ha fissato la sanzione definitiva a 13 milioni di euro (Ro 2025/04/0007).
2,83 Mio PLN
Motivo
Controlli di accesso e autenticazione deboli, e nessuna reazione a trasferimenti di dati anomali, hanno permesso nel 2018 a un attaccante di sottrarre i dati di circa 2,2 milioni di clienti del negozio online.
Esito
Confermata nel 2020, annullata dalla Corte suprema amministrativa il 9 febbraio 2023; a febbraio 2024 l'UODO ha inflitto una nuova sanzione di 3,8 milioni di PLN, ora impugnata
170 Mio USD
Motivo
YouTube raccoglieva cookie dagli spettatori di canali rivolti ai bambini senza il consenso dei genitori e li usava per annunci mirati.
Esito
170 milioni di dollari (136 milioni alla FTC, 34 milioni a New York); sistema di etichettatura dei contenuti dei canali
195.407 €
Motivo
L'azienda di consegna di cibo non cancellava gli account inattivi da tempo, continuava a inviare email di marketing dopo le opposizioni e non rispondeva alle richieste di accesso.
Esito
Definitiva; annunciata il 19 settembre 2019
5 Mrd USD
Motivo
Secondo la FTC, Facebook ha violato la sua ordinanza sulla privacy del 2012 ingannando gli utenti sul controllo dei loro dati, anche condividendo i dati degli amici con app di terze parti. Le accuse sono seguite allo scandalo Cambridge Analytica.
Esito
Sanzione di 5 miliardi di dollari, all'epoca la più alta mai inflitta per una violazione della privacy, più un comitato privacy nel consiglio di amministrazione
1,2 Mio DKK
Motivo
La compagnia di taxi conservava più a lungo del necessario i numeri di telefono e le posizioni di quasi nove milioni di corse. L'autorità ha raccomandato 1,2 milioni di DKK; in Danimarca le sanzioni le fissano i tribunali.
Esito
A gennaio 2023 il Tribunale distrettuale di Frederiksberg ha inflitto una sanzione di 100.000 DKK
5,7 Mio USD
Motivo
L'app raccoglieva dati personali di utenti minori di 13 anni senza il consenso dei genitori, pur sapendo che molti utenti erano bambini.
Esito
Sanzione civile di 5,7 milioni di dollari, rimozione dei video dei minori di 13 anni
50 Mio €
Motivo
Gli utenti Android che creavano un account Google ricevevano informazioni poco chiare e frammentate sulla personalizzazione degli annunci. Il consenso era accorpato e usava una casella preselezionata.
Esito
Sanzione di 50 milioni di euro; confermata dal Conseil d'État il 19 giugno 2020
- Sanzione
IHiS (Integrated Health Information Systems)
Singapore PDPC, Singapore, Altre leggi sulla privacy
750.000 SGD
Motivo
Come agenzia IT di SingHealth, IHiS non aveva adottato misure di sicurezza ragionevoli prima dell'attacco informatico del 2018, che ha copiato i dati di oltre 1,5 milioni di pazienti.
Esito
Sanzione di 750.000 S$
250.000 SGD
Motivo
SingHealth restava responsabile della protezione delle cartelle dei pazienti affidate in outsourcing a IHiS. Non aveva misure di sicurezza ragionevoli prima della violazione del 2018.
Esito
Sanzione di 250.000 S$
385.000 £
Motivo
Falle di sicurezza evitabili hanno permesso nel 2016 ad attaccanti di sottrarre dati di circa 2,7 milioni di passeggeri e 82.000 autisti nel Regno Unito. Uber ha pagato gli attaccanti e ha tenuto nascosta la violazione per oltre un anno.
Esito
Pagata (Data Protection Act 1998)
20.000 €
Motivo
La piattaforma di chat conservava le password in chiaro, e a luglio 2018 degli hacker hanno sottratto i dati di circa 330.000 utenti.
Esito
Prima sanzione GDPR in Germania, contenuta perché Knuddels ha segnalato da sola la violazione e ha collaborato
500.000 £
Motivo
Facebook ha permesso all'app 'This Is Your Digital Life' di raccogliere dati di un massimo di 87 milioni di utenti, finiti a Cambridge Analytica. Ha violato i principi di trasparenza e sicurezza del Data Protection Act 1998.
Esito
Sanzione massima prevista dalla legge del 1998. Facebook ha fatto ricorso, poi il 30 ottobre 2019 ha accettato di pagare senza ammettere responsabilità, ed entrambe le parti hanno rinunciato ai ricorsi.
4.800 €
Motivo
La videosorveglianza della sala scommesse riprendeva gran parte del marciapiede pubblico senza base giuridica, e la telecamera non era segnalata correttamente.
Esito
Prima sanzione GDPR in Austria; non definitiva al momento della notizia, e non risulta confermato alcun esito giudiziario successivo
- Sanzione
Lifecycle Marketing (Mother and Baby) Ltd (Emma's Diary)
UK ICO, Regno Unito, Altre leggi sulla privacy
140.000 £
Motivo
Il data broker ha venduto a Experian i dati di oltre un milione di persone, soprattutto neomamme. Experian ha creato un database che il Partito Laburista ha usato per gli invii postali delle elezioni del 2017. La privacy policy non menzionava mai il marketing politico.
Esito
Pagata (Data Protection Act 1998)
400.000 €
Motivo
Controlli di accesso carenti permettevano al personale non medico di aprire le cartelle cliniche dei pazienti. Risultavano 985 account medici attivi ma solo 296 medici.
Esito
Dopo il ricorso dell'ospedale la sanzione è stata unificata in un'unica sanzione da 380.000 euro, a cui la CNPD ha rinunciato il 14 luglio 2020 citando la pandemia e il deficit dell'ospedale
77.000 £
Motivo
BT ha inviato ai clienti quasi cinque milioni di email di marketing senza il consenso necessario.
Esito
Pagata
12.000 £
Motivo
Royal Mail ha inviato email a 327.014 persone che avevano già fatto opt-out dal marketing diretto.
Esito
Pagata
300.000 €
Motivo
WhatsApp trasmetteva i dati degli utenti a Facebook senza un consenso valido. Per continuare a usare l'app gli utenti dovevano accettare le condizioni del 2016.
Esito
Violazione grave della legge spagnola sulla protezione dei dati precedente al GDPR (LOPD); WhatsApp ha annunciato ricorso
300.000 €
Motivo
Facebook usava per scopi propri, compresa la pubblicità, i dati ricevuti da WhatsApp senza un consenso libero, specifico e informato.
Esito
Violazione grave della LOPD
1,2 Mio €
Motivo
Facebook usava dati sensibili come ideologia, religione e vita sessuale per il targeting pubblicitario senza consenso espresso. Tracciava inoltre, all'insaputa degli interessati, non utenti e utenti disconnessi tramite cookie e pulsanti Like.
Esito
1,2 milioni di euro in base alla LOPD (PS/00082/2017), all'epoca la sanzione più alta dell'AEPD; Facebook ha annunciato ricorso
10.500 £
Motivo
Morrisons inviava email di marketing a destinatari senza un consenso sufficiente.
Esito
Pagata
150.000 €
Motivo
Facebook tracciava le persone, compresi i non utenti, su altri siti web con il cookie 'datr' senza informazioni chiare, e combinava i dati per il targeting pubblicitario senza base giuridica. Gli utenti non potevano rifiutare davvero i cookie.
Esito
Sanzione di 150.000 euro a Facebook Inc. e Facebook Ireland
70.000 £
Motivo
Flybe ha inviato deliberatamente oltre 3,3 milioni di email a persone che avevano fatto opt-out dal suo marketing.
Esito
Pagata
13.000 £
Motivo
Honda ha inviato 289.790 email per chiedere ai clienti di confermare le preferenze di marketing. Quelle email erano a loro volta marketing inviato senza consenso.
Esito
Pagata
Le sanzioni GDPR e privacy UE più alte
- 1Meta Platforms IrelandIrish DPC, 20231,2 Mrd €
- 2UberDutch DPA (AP), 2026824,99 Mio €
- 3Meta (Facebook Android app)Italian Garante, 2026805 Mio €
- 4Amazon Europe CoreLuxembourg CNPD, 2021746 Mio €
- 5TikTokIrish DPC, 2025530 Mio €
- 6Meta (Instagram)Irish DPC, 2022405 Mio €
- 7GoogleIrish DPC, 2026403 Mio €
- 8Meta (Facebook and Instagram)Irish DPC, 2023390 Mio €
- 9TikTokIrish DPC, 2023345 Mio €
- 10Google LLC and Google IrelandCNIL, 2025325 Mio €
Le sanzioni CCPA e privacy USA più alte
- 1Meta (Facebook)FTC, 20195 Mrd USD
- 2MetaTexas Attorney General, 20241,4 Mrd USD
- 3GoogleTexas Attorney General, 20251,375 Mrd USD
- 4FacebookN.D. California (class action), 2021650 Mio USD
- 5Epic Games (Fortnite)FTC, 2022520 Mio USD
- 6Google (Web & App Activity)N.D. California (class action), 2025425 Mio USD
- 7TikTok and ByteDanceDOJ on behalf of FTC (C.D. California), 2026400 Mio USD
- 8Google (location tracking)40 US state attorneys general, 2022391,5 Mio USD
- 9Google / YouTubeFTC, 2019170 Mio USD
- 10TwitterFTC, 2022150 Mio USD
Sanzioni per legge sulla privacy
Sanzioni per paese
- California37
- Stati Uniti30
- Francia28
- Regno Unito20
- Irlanda12
- Italia9
- Spagna9
- Paesi Bassi7
- Germania7
- Corea del Sud6
- Unione europea4
- Belgio4
- Illinois4
- Australia3
- Danimarca3
- Polonia3
- Turchia3
- Portogallo3
- Austria3
- India2
- Connecticut2
- Texas2
- Finlandia2
- Croazia2
- Singapore2
- Alabama1
- Oklahoma1
- Louisiana1
- Delaware1
- Colorado1
- Brasile1
- Globale1
- Florida1
- Vietnam1
- Cechia1
- New York1
- Wisconsin1
- Svezia1
- Cina1
- Grecia1
- Canada1
- Norvegia1
- Lussemburgo1
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
Domande frequenti
Qual è la sanzione GDPR più alta?
La sanzione GDPR più alta è di 1,2 miliardi di euro, inflitta a Meta Platforms Ireland dall'autorità irlandese per la protezione dei dati nel maggio 2023 per aver trasferito dati degli utenti di Facebook negli USA senza una protezione adeguata.
Qual è la sanzione CCPA più alta?
La sanzione CCPA più alta finora è l'accordo da 12,75 milioni di dollari tra General Motors e il procuratore generale della California del maggio 2026, per la vendita senza preavviso di dati di posizione e di guida. La sanzione più alta dell'agenzia californiana per la privacy è quella da 2,975 milioni di dollari a FedEx nel novembre 2026.
A quanto può arrivare una sanzione GDPR?
Fino a 20 milioni di euro o al 4% del fatturato annuo mondiale dell'azienda, se superiore, per le violazioni più gravi.
Un'azienda fuori dall'UE può essere sanzionata ai sensi del GDPR?
Sì. Il GDPR si applica alle aziende di qualsiasi paese che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento, compreso il tracciamento su un sito web.
Quali sono i motivi più comuni delle sanzioni privacy?
Nei casi raccolti qui, i problemi più comuni sono cookie e pixel di tracciamento attivi prima del consenso, opt-out e segnali Global Privacy Control non rispettati, e pubblicità senza una base giuridica valida.
Ogni quanto viene aggiornato questo tracker?
Aggiungiamo nuove sanzioni, cause e scadenze man mano che ne parliamo sul blog di UniConsent. Ogni caso rimanda alla fonte e alla nostra analisi.
Per un'analisi delle tendenze dietro questi casi, leggete Applicazione e sanzioni GDPR 2026 e Privacy USA 2026: leggi statali, azioni FTC e rischio di class action.
Ultimo aggiornamento
Inizia a rendere il tuo sito web e la tua applicazione conformi a GDPR (UE), CPRA (USA), PIPEDA (Canada) ecc.
RegistratiSempre aggiornati su privacy e consenso
Leggi sulla privacy, consenso e conformità, poche email al mese.