Il DDPA (Dutch Data Protection Authority) ha suddiviso il valore delle sanzioni in quattro categorie in base alla loro gravità (Cat.1 da 0 a 200,000 euro; Cat.2 da 120,000 a 500,000; Cat.3 da 300,000 a 750,000 euro; Cat. 4 da 450,000 ad 1 milione di euro. Inoltre ha fornito degli esempi sulla quantificazione della sanzione entro queste fasce sulla base della dimensione dell’azienda e di una serie di circostanze aggravanti (numero di interessati coinvolti, il comportamento tenuto dall’azienda, il tipo di dati coinvolti, e altri). Le sanzioni superiori al milione di euro vanno applicate nel caso in cui le precedenti non siano ritenute sufficienti. Di seguito è disponibile in inglese un approfondimento sul tema.