Le organizzazioni possono essere multate fino al 4% del fatturato globale annuale per aver violato il GDPR o fino a 20 milioni di euro. Questa è la sanzione massima che può essere imposta per le violazioni più gravi, ad esempio per non avere il consenso necessario del cliente ad elaborare i dati oppure per la violazione del concetto base di protezione dei dati fin dalla progettazione. Esiste un approccio a più livelli per le ammende. Per esempio, una società può essere multata al 2% per non aver i propri registri in regola (articolo 28), per non aver notificato all’autorità di vigilanza e alla persona interessata una violazione o per non aver effettuato la valutazione di impatto. È importante notare che queste regole si applicano al titolare del trattamento e al responsabile del trattamento, il che significa che il “cloud” non sarà esentato dall’applicazione del GDPR.