Ce sont les peines maximales, il n'y a aucune peine minimale, donc il reste à voir ce que les autorités nationales feront réellement. En Autriche, une ordonnance du gouvernement demande à l'autorité de protection de données locale de se limiter aux avertissements pour le moment, sauf cas extrêmes ou récidifs. (Reste à voir aussi comment exactement l'autorité interprètera cette consigne.) D'autres pays seront peut-être plus sévères, mais iront-ils vraiment jusqu'à la peine maximale?