Le sanzioni penali rimangono di competenza di ogni singolo Stato, che deve predisporre sanzioni “effettive, proporzionate e dissuasive”.

In Italia, si registra la seguente situazione:

l’art. 167 del Codice, rubricato “Trattamento illecito di dati” dispone che:

- le violazione riguardanti la materia del trattamento dei dati personali attraverso le comunicazioni elettroniche sono punite con la reclusione da sei mesi a un anno e sei mesi.

- le violazioni che riguardano:

a) il trattamento di categorie particolari di dati (artt. 9 e 10 GDPR);

b) il trasferimento di dati personali verso un Paese terzo (cioè al di fuori della UE/SEE) o una organizzazione internazionale;

sono punite con la reclusione da uno a tre anni.

L’art. 167 – bis  del Codice, rubricato “Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala”, dispone che:

la comunicazione/diffusione, senza consenso,  di un archivio automatizzato o di una parte sostanziale di esso, contenente dati personali, è punita con la reclusione da un anno a sei anni.

L’art. 167 – ter  del Codice, rubricato “Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala”, dispone che:

chi acquisisce con mezzi fraudolenti un archivio automatizzato o una parte sostanziale di esso contenente dati personali è punito con la reclusione da un anno e quattro anni.

L’art. 168  del Codice, rubricato “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, dispone che:

• chi dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi è punito con la reclusione da sei mesi a tre anni.
• chi cagiona intenzionalmente una interruzione o turba la regolarità di un procedimento dinanzi al garante o degli accertamenti dallo stesso svolti, è punito con la reclusione sino ad un anno.

L’art. 170  del Codice, rubricato “Inosservanza di provvedimenti del Garante”, dispone che:

• chi, essendovi tenuto, non osserva i provvedimenti del Garante è punito con la reclusione da tre mesi a due anni.

Per tutti i delitti sopra richiamati, come pena accessoria è prevista la pubblicazione della sentenza.