Le nuove Linee guida EDPB 04/2026 chiariscono come le autorità di controllo debbano valutare l’applicazione delle sanzioni amministrative previste dal GDPR in relazione agli altri poteri correttivi.
Il documento introduce una metodologia articolata in cinque passaggi, attraverso la quale l’autorità valuta se un’infrazione sia sanzionabile, il livello di responsabilità del titolare o del responsabile del trattamento, la natura intenzionale o negligente della condotta, la sua eventuale natura minore e, infine, se una sanzione sia efficace, proporzionata e dissuasiva.
Dal punto di vista GRC, il messaggio più rilevante è chiaro: la compliance GDPR non può essere dimostrata soltanto attraverso l’esistenza di policy e procedure, ma richiede d’essere validata attraverso la capacità dell’organizzazione di dimostrare che i rischi sono stati effettivamente identificati, valutati e governati.

L’articolo analizza l’evoluzione del ruolo della compliance nei moderni sistemi di governance, evidenziando il passaggio da un approccio reattivo, centrato sull’adempimento normativo, a un modello proattivo di compliance by design. Attraverso l’esame di riferimenti regolamentari europei — in particolare il GDPR e la Direttiva NIS2 — e dei principi della ISO 31000, il testo mostra come la regolamentazione contemporanea richieda l’integrazione della gestione del rischio e delle garanzie di conformità fin dalla progettazione dei processi. La compliance emerge così come funzione strategica, capace di anticipare i rischi, orientare le decisioni organizzative e contribuire alla resilienza e alla sostenibilità delle strutture operative. L’articolo sostiene che la conformità non debba essere interpretata come mero vincolo, ma come leva di innovazione e vantaggio competitivo, in grado di generare valore nel lungo periodo.