L'Istituto dovrà avvertire gli utenti entro 15 giorni: rischia fino a 20 milioni di multa