Le nuove Linee guida EDPB 04/2026 chiariscono come le autorità di controllo debbano valutare l’applicazione delle sanzioni amministrative previste dal GDPR in relazione agli altri poteri correttivi.
Il documento introduce una metodologia articolata in cinque passaggi, attraverso la quale l’autorità valuta se un’infrazione sia sanzionabile, il livello di responsabilità del titolare o del responsabile del trattamento, la natura intenzionale o negligente della condotta, la sua eventuale natura minore e, infine, se una sanzione sia efficace, proporzionata e dissuasiva.
Dal punto di vista GRC, il messaggio più rilevante è chiaro: la compliance GDPR non può essere dimostrata soltanto attraverso l’esistenza di policy e procedure, ma richiede d’essere validata attraverso la capacità dell’organizzazione di dimostrare che i rischi sono stati effettivamente identificati, valutati e governati.

This article analyzes the evolution of the role of compliance in modern governance systems, highlighting the shift from a reactive approach—focused on regulatory compliance—to a proactive model of “compliance by design.” By examining European regulatory frameworks—in particular the GDPR and the NIS2 Directive—and the principles of ISO 31000, the text demonstrates how contemporary regulation requires the integration of risk management and compliance safeguards right from the design phase of processes. Compliance thus emerges as a strategic function, capable of anticipating risks, guiding organizational decisions, and contributing to the resilience and sustainability of operational structures. The article argues that compliance should not be interpreted as a mere constraint, but as a driver of innovation and competitive advantage, capable of generating long-term value.