Il REG UE 679/2016 distingue due gruppi di violazioni.
1) Primo Gruppo di Violazioni: le sanzioni possono arrivare fino a 10 milioni di euro oppure al 2% del fatturato mondiale annuo della società se superiore, e riguardano:

a) inosservanza degli obblighi del titolare e del responsabile del trattamento a norma degli articoli 8 (consenso dei minori), 11 (trattamento che non richiede identificazione), da 25 a 39 (privacy by default, contitolari del trattamento, rappresentanti non stabiliti nell’Unione, responsabili del trattamento, registro dei trattamenti, misure di sicurezza, notifica delle violazioni, valutazione di impatto, DPO), 42 e 43;
b) inosservanza degli obblighi dell’organismo di certificazione a norma degli articoli 42 e 43;
c) inosservanza degli obblighi dell’organismo di controllo a norma dell’articolo 41, paragrafo 4.

2) Secondo Gruppo di Violazioni: (art. 83, par. 5, GDPR), per il quale sono previste sanzioni fino 20 milioni di euro o fino al 4 % del fatturato mondiale totale annuo della Società dell’esercizio precedente, se superiore, e riguardano:

a) inosservanza dei principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
b) inosservanza dei diritti degli interessati a norma degli articoli da 12 a 22;
c) inosservanza dei trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale a norma degli articoli da 44 a 49;
d) inosservanza di qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
e) inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo ai sensi dell’articolo 58, paragrafo 2, o il negato accesso in violazione dell’articolo 58, paragrafo 1;
alle quali si aggiunge l’inosservanza delle prescrizioni di cui alle autorizzazioni generale del Garante per la privacy di cui all’art. 21 D. Lgs 101/2018 (adeguamento Codice Privacy) o di cui al provvedimento di cui all’art. 21, comma 1, del D. Lgs. 101/2018 (prescrizioni in materia di dati a trattamento speciale).