Cosa ha deciso davvero il tribunale
Il 9 giugno 2026 la 26esima Grande Sezione Penale del Tribunale del Land di Berlino I (Landgericht Berlin I), caso 526 OWi LG 1/20, ha ridotto una sanzione che l'autorità berlinese per la protezione dei dati aveva inflitto al gruppo immobiliare Deutsche Wohnen nell'ottobre 2019. La pena originaria era di circa 14,5 milioni di euro, una delle più elevate sanzioni GDPR mai comminate in Germania. Il tribunale ha fissato l'importo definitivo a 900.000 euro.
Non è stata un'assoluzione. La sezione ha ritenuto che l'azienda avesse violato intenzionalmente i principi di minimizzazione e di limitazione della conservazione dei dati dell'Articolo 5 del GDPR, trattenendo documenti d'identità e dati di pagamento di ex inquilini molto oltre qualsiasi necessità giuridica. La sentenza non è ancora definitiva e le due parti possono ancora impugnarla. A cambiare non è stato l'accertamento della violazione, bensì l'entità della conseguenza.
Perché l'importo è sceso così tanto
La riduzione poggia su un principio enunciato dalla Corte di giustizia dell'Unione europea il 5 dicembre 2023: una sanzione GDPR può essere inflitta solo se la violazione è stata commessa con colpa, e l'importo deve restare proporzionato. Il tribunale di Berlino ha valutato che le violazioni ricadevano nella fase iniziale del regolamento, quando le stesse autorità si stavano ancora adattando, e che l'azienda aveva coinvolto revisori esterni, consulenti e specialisti informatici e investito nella modernizzazione dei propri sistemi.
Così lo sforzo documentato di conformarsi è diventato la leva decisiva sulla pena. La stessa condotta che un'autorità può leggere come troppo lenta, un tribunale può leggerla come buona fede in condizioni difficili. Il divario tra 14,5 milioni e 900.000 non è stato un avvocato più abile. È stato un registro di diligenza che esisteva già prima che la controversia iniziasse.
Perché conta già prima di agosto
Dal 2 agosto 2026 entra in vigore il regime sanzionatorio del regolamento UE sull'IA, con sanzioni che possono arrivare fino a 35 milioni di euro o il 7 per cento del fatturato mondiale. Le autorità che lo applicano si fondano sullo stesso impianto europeo appena utilizzato dal tribunale di Berlino: la colpa come presupposto, la proporzionalità e il riconoscimento della diligenza dimostrata. Le prime sanzioni sull'IA saranno commisurate come lo è stata questa.
Per un imprenditore o un family office la lezione è precisa e concreta. La cifra contenuta in un provvedimento dell'autorità è un valore di partenza, non un dato acquisito, e ciò che la muove è la prova che si è in grado di produrre di una governance già esistente. Questa prova si costruisce nei periodi tranquilli e si documenta man mano, non si assembla una volta che un'indagine è già cominciata.
Da leggere ora: L'UE sta riscrivendo il GDPR · La tua spesa per l'AI non ha più un tetto