Data Breach: Come Notificarlo e Proteggere i Dati

Introduzione

Lunedì mattina, ore 9:00. Il responsabile IT rileva accessi anomali al database clienti. Centinaia di login da IP sospetti nelle ultime 48 ore. I dati di 5.000 clienti potrebbero essere stati esfiltrati: nome, cognome, email, numero di telefono, cronologia acquisti. La prima reazione è cercare di capire cosa è successo, quantificare il danno, chiudere la falla. Ma c’è un problema: il tempo stringe. Dal momento in cui scopri la violazione, hai 72 ore per notificarla al Garante Privacy. Non 72 ore per capire se notificare. 72 ore per farlo. E se la violazione presenta un rischio elevato per i diritti delle persone, devi anche comunicarla agli interessati, senza ingiustificato ritardo.

Un data breach - violazione di dati personali - è uno degli incidenti più temuti dalle aziende. Non solo per le possibili conseguenze operative (perdita dati, blocco sistemi, danno reputazionale), ma soprattutto per gli obblighi normativi immediati e le sanzioni che derivano dal mancato rispetto delle procedure GDPR. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per violazioni degli articoli 33 e 34 del Regolamento.

Nel 2026, il Garante Privacy ha incluso la gestione dei data breach tra le priorità del piano ispettivo. Una task force interdipartimentale sta verificando le procedure aziendali, con particolare attenzione alle banche dati pubbliche colpite da accessi abusivi e rivendita di informazioni riservate. A marzo 2026, il Garante ha sanzionato Intesa Sanpaolo con 31,8 milioni di euro per violazioni degli articoli 5, 24, 32, 33 e 34 del GDPR, relative a gestione inadeguata di accessi abusivi ai dati dei clienti.

Questo articolo è una guida operativa completa per gestire un data breach: cos’è, quando e come notificarlo al Garante, cosa comunicare agli interessati, come tenere il registro delle violazioni, quali misure preventive implementare per ridurre il rischio di violazioni. Con casi reali, sanzioni concrete, e procedure verificate.

Tempo di lettura: 9 minuti

Sommario

1. Cos’è un data breach secondo il GDPR
2. Quando e come notificare al Garante Privacy entro 72 ore
3. Comunicazione agli interessati: quando è obbligatoria
4. Il registro delle violazioni: obbligo e contenuto
5. Sanzioni per mancata o ritardata notifica
6. Come prevenire i data breach: misure tecniche e organizzative
7. FAQ - Data Breach e Notifica
8. Il prossimo passo

1. Cos’è un data breach secondo il GDPR

Il GDPR definisce il data breach all’articolo 4, paragrafo 12, come “una violazione di sicurezza che comporta - accidentalmente o in modo illecito - la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. Non è solo un attacco informatico. È qualsiasi evento che compromette la sicurezza dei dati personali.

Tre tipi di data breach (classificazione EDPB):

Il Gruppo di lavoro Articolo 29 (WP29), poi ripreso dall’European Data Protection Board (EDPB), ha elaborato una classificazione basata sui tre principi fondamentali della sicurezza dei dati:

1. Confidentiality breach (violazione della riservatezza)

Divulgazione non autorizzata o accesso illecito ai dati. Esempi: - Attacco ransomware con esfiltrazione dati - Dipendente che accede abusivamente ai dati di colleghi o clienti - Email inviata per errore a destinatari sbagliati con dati sensibili in chiaro - Database non protetto accessibile pubblicamente via internet - Furto o smarrimento di dispositivi non crittografati (laptop, USB, smartphone)

2. Integrity breach (violazione dell’integrità)

Modifica non autorizzata dei dati. Esempi: - Attacco che altera dati anagrafici o contabili - Manipolazione di referti medici o documenti amministrativi - Corruzione di database senza possibilità di ripristino da backup

3. Availability breach (violazione della disponibilità)

Perdita, distruzione o inaccessibilità permanente o temporanea dei dati. Esempi: - Attacco ransomware che cripta i dati senza backup recenti - Guasto hardware che causa perdita definitiva di dati - Cancellazione accidentale di database senza possibilità di recupero - Malfunzionamento che rende inaccessibili servizi essenziali per giorni

Molti data breach coinvolgono più categorie contemporaneamente. Un ransomware, ad esempio, può violare contemporaneamente riservatezza (i criminali accedono ai dati), integrità (modificano i file criptandoli), e disponibilità (i dati diventano inaccessibili).

Cosa NON è un data breach:

• Guasti temporanei risolti immediatamente senza conseguenze per i dati
• Accessi autorizzati ai dati da parte di personale legittimato
• Cancellazioni programmate secondo i termini di conservazione previsti
• Malfunzionamenti che non espongono dati personali

Esempi concreti di data breach:

• Un dipendente delle risorse umane accede abusivamente alle buste paga di 200 colleghi per curiosità personale → Confidentiality breach
• Un ransomware cripta il database clienti e i backup sono obsoleti → Availability breach + Confidentiality breach (se i criminali hanno esfiltrato i dati)
• Un’email con 500 referti medici viene inviata per errore a un indirizzo esterno invece che interno → Confidentiality breach
• Un hacker modifica i dati di fatturazione nel gestionale aziendale → Integrity breach
• Un laptop aziendale con database clienti non crittografato viene rubato da un’auto → Confidentiality breach

Per approfondire il quadro generale della conformità GDPR e degli obblighi di protezione dati, leggi l’articolo pillar su GDPR e Privacy: geolocalizzazione, tracciamento e normativa.

2. Quando e come notificare al Garante Privacy (termine di 72 ore)

L’articolo 33 del GDPR stabilisce che il titolare del trattamento deve notificare la violazione al Garante [...] “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza”, secondo le modalità stabilite dal Garante per la notifica telematica delle violazioni di dati personali. Non da quando si è verificata la violazione, ma da quando l’azienda ne è venuta a conoscenza. Il clock parte dal momento della scoperta.

Quando è obbligatoria la notifica:

La notifica è obbligatoria a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche (art. 33 par. 1 GDPR). In pratica, serve una valutazione del rischio immediata:

• Rischio assente o molto basso: notifica non obbligatoria, ma comunque opportuno inserire l’incidente nel registro delle violazioni
• Rischio presente: notifica obbligatoria entro 72 ore
• Rischio elevato: notifica obbligatoria + comunicazione agli interessati (art. 34)

Valutazione del rischio:

Per valutare il rischio, considera: - Natura dei dati coinvolti: dati comuni (nome, email) vs dati sensibili (salute, orientamento sessuale, convinzioni religiose) vs dati finanziari (carte di credito, conti bancari) - Volume: 10 persone vs 10.000 persone - Conseguenze prevedibili: possibilità di furto d’identità, frodi, discriminazioni, danni reputazionali, ricatti - Misure di mitigazione già adottate: i dati erano crittografati? L’accesso abusivo è stato bloccato immediatamente?

Procedura di notifica al Garante:

La notifica deve essere inviata tramite: - Posta elettronica certificata (PEC): protocollo@pec.gpdp.it - Posta elettronica ordinaria: protocollo@gpdp.it (con firma digitale o firma autografa + copia documento identità)

Oggetto del messaggio: deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare.

Contenuto minimo della notifica (art. 33 par. 3 GDPR):

1. Descrizione della natura della violazione
   • Cosa è successo: attacco ransomware, accesso abusivo, furto dispositivo, invio email errato
   • Quando è avvenuta la violazione (se noto)
   • Quando è stata scoperta
2. Categorie e numero approssimativo di interessati coinvolti
   • Esempio: “Circa 5.000 clienti, principalmente privati residenti in Italia”
   • Categorie: clienti, dipendenti, fornitori, pazienti, studenti
3. Categorie e numero approssimativo di registrazioni di dati personali coinvolte
   • Esempio: “Circa 5.000 record contenenti: nome, cognome, email, numero di telefono, indirizzo, cronologia acquisti ultimi 12 mesi”
4. Nome e dati di contatto del DPO (se nominato) o altro punto di contatto
   • Email e telefono per ulteriori informazioni
5. Descrizione delle probabili conseguenze della violazione
   • Esempio: “Possibile utilizzo dei dati per spam, phishing, o tentativi di frode. Non sono stati coinvolti dati di pagamento o password.”
6. Descrizione delle misure adottate o che il titolare propone di adottare per porre rimedio alla violazione
   • Esempio: “Chiusura immediata della falla di sicurezza; reset password forzato per tutti gli utenti; comunicazione agli interessati via email entro 24 ore; implementazione autenticazione a due fattori entro 30 giorni; audit completo sicurezza entro 60 giorni.”

Se al momento della notifica non è possibile fornire tutte le informazioni, puoi inviarle in fasi successive. Importante è rispettare il termine delle 72 ore per la notifica iniziale, anche se parziale. Le notifiche successive devono integrare le informazioni mancanti appena disponibili.

Cosa succede se superi le 72 ore:

Puoi comunque notificare dopo le 72 ore, ma devi fornire una motivazione circostanziata del ritardo. Il ritardo ingiustificato può portare a sanzioni. Esempi di ritardi giustificabili: - Necessità di accertamenti tecnici complessi per comprendere l’entità della violazione - Tempi necessari per contenere l’incidente e impedire ulteriori danni - Complessità dell’infrastruttura IT che ha richiesto analisi approfondite

Il responsabile del trattamento ha un obbligo specifico: se un responsabile del trattamento (fornitore esterno che tratta dati per conto del titolare) viene a conoscenza di una violazione, deve informare immediatamente il titolare affinché quest’ultimo possa notificare al Garante. Il tempo per il titolare parte dal momento in cui il responsabile lo informa.

3. Comunicazione agli interessati: quando è obbligatoria

L’articolo 34 del GDPR prevede che, se la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve comunicarla agli interessati “senza ingiustificato ritardo”. Non basta notificare al Garante: se il rischio è alto, devi informare anche le persone coinvolte.

Quando il rischio è considerato “elevato”:

Il rischio è elevato quando le conseguenze prevedibili della violazione possono essere gravi per gli interessati. Esempi: - Dati sensibili (salute, orientamento sessuale, convinzioni religiose) anche se coinvolti in numero limitato - Dati finanziari (numeri carte di credito, conti bancari) che potrebbero portare a frodi immediate - Password in chiaro o debolmente crittografate che potrebbero consentire accesso ad account personali - Dati di minori - Grandi volumi di dati comuni che combinati potrebbero portare a furto d’identità o danni reputazionali significativi

Contenuto della comunicazione agli interessati (art. 34 par. 2 GDPR):

La comunicazione deve essere scritta in linguaggio semplice e chiaro (no legalese) e deve contenere:

1. Descrizione della natura della violazione
   • Esempio: “Il 5 maggio 2026 abbiamo rilevato un accesso non autorizzato al nostro database clienti. L’accesso ha coinvolto i dati di circa 5.000 clienti.”
2. Nome e dati di contatto del DPO o altro punto di contatto
   • Email e telefono dedicati per domande e chiarimenti
3. Descrizione delle probabili conseguenze della violazione
   • Esempio: “I dati coinvolti includono nome, cognome, email, numero di telefono e indirizzo. Non sono stati coinvolti dati di pagamento. Esiste il rischio che riceviate email di spam o tentativi di phishing nei prossimi mesi.”
4. Descrizione delle misure adottate o proposte per attenuare i possibili effetti negativi
   • Esempio: “Abbiamo immediatamente chiuso la falla di sicurezza e forzato il reset di tutte le password. Ti consigliamo di: cambiare la password del tuo account; prestare attenzione a email sospette che potrebbero fingersi provenienti dalla nostra azienda; monitorare eventuali attività anomale sui tuoi account online.”

Modalità di comunicazione:

La comunicazione deve avvenire direttamente all’interessato, utilizzando i canali più idonei: - Email all’indirizzo registrato - SMS - Lettera raccomandata - Notifica nell’area riservata del sito/app

Eccezioni all’obbligo di comunicazione:

Non devi comunicare agli interessati se:

1. Hai adottato misure tecniche e organizzative adeguate di protezione che rendono i dati incomprensibili a chi non è autorizzato ad accedervi (esempio: crittografia forte con chiavi non compromesse)
2. Hai successivamente adottato misure che azzerano il rischio elevato (esempio: hai recuperato tutti i dati prima che fossero diffusi e hai verificato che nessuno vi abbia avuto accesso)
3. La comunicazione richiederebbe uno sforzo sproporzionato (esempio: milioni di persone coinvolte, impossibilità di reperire contatti aggiornati). In questo caso, puoi sostituire la comunicazione individuale con una comunicazione pubblica o altra misura analoga che garantisca uguale efficacia informativa (comunicato stampa su quotidiani nazionali, banner sul sito web, social media)

L’autorità di controllo (Garante) può comunque ordinare la comunicazione agli interessati anche se ritieni che una delle eccezioni sia applicabile, se valuta che il rischio elevato permane.

4. Il registro delle violazioni: obbligo e contenuto

L’articolo 33, paragrafo 5, del GDPR obbliga il titolare del trattamento a documentare qualsiasi violazione dei dati personali in un registro interno. Questo registro deve contenere tutte le violazioni rilevate, anche quelle per cui hai deciso di non notificare al Garante (perché il rischio era basso o assente). L’obbligo vale per tutti i titolari, indipendentemente dalla dimensione aziendale.

Perché esiste il registro delle violazioni:

Il registro serve a dimostrare la conformità al principio di accountability (art. 5 par. 2 e art. 24 GDPR): devi essere in grado di provare che hai identificato le violazioni, le hai valutate, e hai adottato le misure appropriate. In caso di ispezione del Garante, il registro è uno dei primi documenti richiesti.

Cosa deve contenere il registro:

1. Descrizione dell’incidente
   • Data e ora della violazione (se nota)
   • Data e ora della scoperta
   • Tipo di violazione (confidentiality, integrity, availability)
   • Come è stata rilevata (alert automatico, segnalazione utente, audit interno)
2. Dati coinvolti
   • Categorie di dati personali (anagrafici, finanziari, sanitari, ecc.)
   • Numero approssimativo di record
   • Categorie di interessati (clienti, dipendenti, fornitori, pazienti)
3. Conseguenze
   • Impatto immediato (dati persi, sistemi bloccati, accessi abusivi)
   • Rischi per gli interessati (spam, frodi, furto identità, danni reputazionali)
4. Misure adottate
   • Contenimento immediato (chiusura falla, blocco accessi, isolamento sistemi)
   • Ripristino (recupero da backup, ricostruzione database)
   • Rimedi (reset password, comunicazioni agli utenti, implementazione nuove misure di sicurezza)
5. Valutazione del rischio e decisioni
   • Valutazione se il rischio per gli interessati giustifica notifica al Garante
   • Valutazione se il rischio è elevato (comunicazione agli interessati)
   • Se hai deciso di non notificare, documentare le ragioni
6. Notifiche effettuate
   • Se hai notificato al Garante: data e ora notifica, riferimento pratica
   • Se hai comunicato agli interessati: data, modalità, numero di persone raggiunte

Formato del registro:

Non esiste un formato obbligatorio. Può essere: - Foglio Excel con colonne strutturate - Modulo cartaceo pre-compilato - Software di incident management - Sezione dedicata nel sistema di gestione documentale aziendale

L’importante è che sia aggiornato tempestivamente (ogni violazione va registrata appena rilevata), completo, e accessibile in caso di verifica del Garante.

Conservazione del registro:

Il registro deve essere conservato e aggiornato continuativamente. Non c’è un termine di cancellazione specifico per le singole violazioni registrate, ma è buona prassi conservare i dati delle violazioni per almeno 5 anni (termine di prescrizione per eventuali contestazioni).

5. Sanzioni per mancata o ritardata notifica

Le violazioni degli articoli 33 e 34 del GDPR - mancata o ritardata notifica al Garante, mancata comunicazione agli interessati - rientrano nell’articolo 83, paragrafo 4, del Regolamento. Le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato totale annuo mondiale dell’esercizio precedente, a seconda di quale importo sia superiore.

Criteri per determinare l’importo della sanzione (art. 83 par. 2 GDPR):

Il Garante valuta caso per caso, considerando:

1. Natura, gravità e durata della violazione
   • Quanti dati sono stati coinvolti?
   • Che tipo di dati (comuni, sensibili, finanziari)?
   • Per quanto tempo la violazione è rimasta irrisolta?
2. Carattere doloso o colposo
   • La violazione era intenzionale o accidentale?
   • C’era negligenza nella gestione della sicurezza?
3. Misure adottate per attenuare il danno
   • Hai agito prontamente per contenere l’incidente?
   • Hai comunicato agli interessati per ridurre i rischi?
   • Hai implementato misure correttive?
4. Grado di responsabilità
   • L’azienda aveva adottato misure di sicurezza adeguate prima della violazione?
   • C’erano politiche e procedure documentate?
   • Il personale era formato?
5. Precedenti violazioni pertinenti
   • È la prima volta o ci sono state altre violazioni simili?
   • Hai già ricevuto richiami o sanzioni dal Garante?
6. Grado di cooperazione con l’autorità
   • Hai collaborato durante le indagini?
   • Hai fornito tempestivamente le informazioni richieste?
7. Categorie di dati coinvolti
   • Dati comuni vs dati sensibili (art. 9 e 10 GDPR)
8. Vantaggi economici ottenuti o perdite evitate
   • Hai risparmiato investimenti in sicurezza?
   • Hai tratto profitto dalla violazione?
9. Condizioni economiche dell’organizzazione
   • PMI vs grande impresa

Sanzioni concrete - casi reali:

• Intesa Sanpaolo (marzo 2026): 31,8 milioni di euro per violazioni degli articoli 5, 24, 32, 33 e 34 GDPR. La Banca aveva subito accessi abusivi ai dati dei clienti da parte di dipendenti. Nonostante avesse notificato il data breach al Garante, la gestione dell’incidente è stata ritenuta inadeguata: mancanza di procedure di escalation tempestive, sistemi di alert non sufficientemente efficaci, ritardi nella comunicazione. Il Garante ha evidenziato che “avere sistemi di alert non basta: serve una procedura di governance che consenta una pronta gestione degli accessi non giustificati, in particolare per i soggetti più esposti”.
• Italiaonline (2019): Sanzione per comunicazione inadeguata agli utenti dopo data breach. La notifica al Garante era stata effettuata, ma la comunicazione agli 1,5 milioni di utenti coinvolti era troppo generica e non forniva indicazioni concrete su come proteggersi.

Sanzioni collaterali:

Oltre alle sanzioni pecuniarie, il Garante può: - Ordinare di comunicare la violazione agli interessati anche se ritieni che non sia necessario - Ordinare di adottare specifiche misure correttive entro termini perentori (es. implementazione MFA entro 30 giorni, audit sicurezza completo entro 60 giorni) - Sospendere il trattamento fino all’adeguamento delle misure di sicurezza - Nei casi più gravi, vietare determinati trattamenti

Danno reputazionale:

Al di là delle sanzioni, un data breach mal gestito può causare: - Perdita di fiducia dei clienti - Copertura mediatica negativa - Class action da parte degli interessati per danni patrimoniali e non patrimoniali - Perdita di contratti commerciali (molti clienti B2B inseriscono clausole di conformità GDPR nei contratti)

6. Come prevenire i data breach: misure tecniche e organizzative

Il GDPR impone al titolare del trattamento di “mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio” (art. 32). La prevenzione è più efficace (e meno costosa) della gestione post-violazione. Le misure di sicurezza devono essere proporzionate al rischio: maggiore è il rischio, più robuste devono essere le misure.

Misure tecniche essenziali:

1. Crittografia dei dati

Critta i dati sensibili sia at rest (quando sono conservati su disco) che in transit (quando vengono trasmessi via rete). Esempi: - Database crittografati con chiavi gestite separatamente - HTTPS su tutti i canali web (certificato SSL/TLS) - Email con contenuti sensibili inviate tramite PEC o sistemi di crittografia end-to-end - Crittografia completa disco su laptop e dispositivi mobili (BitLocker, FileVault)

2. Autenticazione a più fattori (MFA)

Implementa autenticazione a due o più fattori per accesso a: - Sistemi che contengono dati personali (database, CRM, ERP) - Email aziendali - VPN e accessi remoti - Pannelli amministrativi

3. Backup regolari e testati

• Backup automatici giornalieri o settimanali (a seconda della criticità dei dati)
• Backup conservati in location separate (anche geograficamente) per protezione da incendi, allagamenti, ransomware
• Test di ripristino periodici: verifica almeno una volta ogni 6 mesi che i backup siano effettivamente recuperabili

4. Controllo accessi (principle of least privilege)

• Ogni utente deve avere accesso solo ai dati strettamente necessari per le sue mansioni
• Segregazione dei privilegi amministrativi
• Revisione periodica degli accessi (almeno annuale): revoca accessi di ex dipendenti, collaboratori esterni, consulenti non più attivi

5. Aggiornamenti e patch di sicurezza

• Sistema operativo, applicativi, firmware router/firewall sempre aggiornati
• Procedure automatiche di patching per vulnerabilità critiche
• Inventario completo dell’hardware e software in uso

6. Sistemi di rilevamento e prevenzione intrusioni

• Firewall configurati correttamente
• Antivirus/antimalware su tutti i dispositivi
• IDS/IPS (Intrusion Detection/Prevention System) per monitorare traffico anomalo
• Log centralizzati e monitoraggio attivo (SIEM - Security Information and Event Management)

Misure organizzative essenziali:

1. Incident Response Plan documentato e testato

Predisponi una procedura scritta che definisce: - Chi fa cosa in caso di data breach (team di risposta, ruoli, responsabilità) - Come valutare il rischio rapidamente - Come contenere l’incidente - Come comunicare internamente e esternamente - Come documentare tutto nel registro delle violazioni - Test periodici: almeno una simulazione annuale (tabletop exercise)

2. Formazione del personale

La maggior parte dei data breach è causata da errore umano (phishing, email inviate per errore, password deboli, USB infette). Formazione obbligatoria per: - Riconoscere tentativi di phishing - Creare password forti e gestirle correttamente (no riutilizzo, uso password manager) - Gestire correttamente i dati personali (no condivisione via WhatsApp, no USB personali su PC aziendali) - Segnalare tempestivamente anomalie o incidenti

Frequenza: almeno annuale, con aggiornamenti più frequenti per ruoli esposti (IT, HR, amministrazione).

3. Data Protection Impact Assessment (DPIA)

Se tratti grandi volumi di dati sensibili, o usi tecnologie ad alto rischio (profilazione automatizzata, videosorveglianza estesa, sistemi AI), devi effettuare una valutazione d’impatto privacy (DPIA, art. 35 GDPR). La DPIA individua i rischi per i diritti degli interessati e definisce le misure per mitigarli.

4. Clausole contrattuali con fornitori (responsabili del trattamento)

Ogni fornitore che tratta dati per tuo conto (hosting, software as a service, consulenti IT, società di payroll) deve essere formalmente nominato responsabile del trattamento con contratto o atto scritto (art. 28 GDPR). Il contratto deve includere: - Obblighi di sicurezza specifici - Obbligo di notificarti tempestivamente eventuali data breach - Clausole di audit e controllo - Clausole su sub-responsabili

5. Politiche di gestione dispositivi mobili (MDM/BYOD)

Se i dipendenti accedono a dati aziendali da smartphone/tablet personali o aziendali: - Politiche BYOD (Bring Your Own Device) o MDM (Mobile Device Management) - Crittografia obbligatoria - Possibilità di cancellazione remota (remote wipe) in caso di smarrimento - Divieto di salvataggio dati aziendali su cloud personali non autorizzati

6. Gestione fine rapporto

Quando un dipendente lascia l’azienda: - Revoca immediata di tutti gli accessi (email, VPN, database, sistemi) - Restituzione dispositivi aziendali - Cancellazione dati personali da dispositivi personali se usati per lavoro - Checklist di offboarding per garantire che nulla venga dimenticato

FAQ - Data Breach e Notifica

1. Se subisco un attacco ransomware ma i dati erano crittografati e i backup sono integri, devo comunque notificare?

Dipende dalla valutazione del rischio. Se i dati erano crittografati con algoritmi robusti e le chiavi non sono state compromesse, e i criminali non hanno esfiltrato i dati prima di crittografarli, il rischio per gli interessati potrebbe essere basso (solo availability breach, risolvibile rapidamente con backup). In questo caso, la notifica al Garante potrebbe non essere obbligatoria. Però devi comunque documentare l’incidente nel registro delle violazioni, con la valutazione del rischio che ha portato alla decisione di non notificare. Attenzione però: molti ransomware moderni esfiltrano i dati prima di crittografarli (double extortion). Se c’è stata esfiltrazione, il rischio è elevato e la notifica è obbligatoria.

2. Un dipendente ha inviato per errore un’email con dati sensibili a 10 destinatari sbagliati. È un data breach?

Sì, è un data breach (confidentiality breach). Devi valutare il rischio: che tipo di dati sono stati esposti? I destinatari sono persone fidate o sconosciuti? Quanti interessati sono coinvolti? Se si tratta di dati sensibili (es. referti medici, dati sanitari), anche 10 persone possono configurare un rischio elevato. In tal caso: notifica al Garante entro 72 ore, comunicazione agli interessati, registrazione nel registro delle violazioni, e misure correttive (formazione del dipendente, implementazione sistemi di conferma pre-invio).

3. Ho scoperto un data breach avvenuto 6 mesi fa. Le 72 ore partono da ora o da 6 mesi fa?

Le 72 ore partono dal momento in cui vieni a conoscenza della violazione. Se hai scoperto oggi che 6 mesi fa c’è stato un accesso abusivo, il termine parte da oggi. Ma dovrai spiegare al Garante perché la violazione non è stata rilevata prima. Questo potrebbe portare a contestazioni sulle misure di sicurezza e monitoraggio inadeguate (art. 32 GDPR).

4. Devo notificare al Garante anche se il data breach ha coinvolto solo dati aziendali (ragione sociale, P.IVA, PEC) senza nominativi di persone fisiche?

No. Il GDPR si applica solo ai dati di persone fisiche. Se hai trattato esclusivamente dati relativi a società (ragione sociale, P.IVA, sede legale, PEC aziendale generica senza nominativo), non c’è obbligo di notifica perché non sono dati personali ai sensi del GDPR. Attenzione però: se la PEC è nominativa (es. mario.rossi@azienda.it) o se ci sono nominativi di referenti aziendali, amministratori, soci, quelli sono dati personali e la notifica potrebbe essere necessaria.

5. Chi deve firmare la notifica al Garante? Il titolare del trattamento o il DPO?

La notifica deve essere sottoscritta dal titolare del trattamento o da un suo delegato (legale rappresentante, amministratore delegato, direttore generale). Il DPO può assistere nella compilazione e invio, ma la responsabilità formale è del titolare. Se hai nominato un DPO, è opportuno indicarlo nella notifica come punto di contatto per ulteriori informazioni.

6. Posso comunicare il data breach agli interessati via SMS invece che via email?

Sì, se l’SMS è un canale idoneo a raggiungere tempestivamente gli interessati. L’importante è che la comunicazione sia diretta, chiara, e comprensibile. Se hai solo numeri di telefono ma non email, l’SMS è appropriato. Se hai entrambi, l’email è preferibile perché consente di fornire più dettagli. In ogni caso, evita comunicazioni troppo sintetiche che non spiegano chiaramente la situazione.

7. Se un fornitore (responsabile del trattamento) subisce un data breach sui dati che tratta per mio conto, chi deve notificare al Garante?

Il fornitore (responsabile del trattamento) deve informarti immediatamente (art. 33 par. 2 GDPR). Sei tu (titolare del trattamento) che devi valutare il rischio e decidere se notificare al Garante entro 72 ore dal momento in cui il fornitore ti ha informato. Il fornitore non notifica direttamente al Garante, salvo che sia esso stesso titolare per altri trattamenti. Ecco perché è fondamentale avere contratti chiari con i fornitori che includano obblighi di notifica tempestiva.

8. Il registro delle violazioni deve essere pubblico o accessibile agli interessati?

No. Il registro delle violazioni è un documento interno, non deve essere pubblicato né reso accessibile agli interessati. Viene esibito solo al Garante in caso di ispezione o richiesta. Gli interessati hanno diritto a essere informati sulle violazioni che li riguardano (art. 34), ma non hanno accesso all’intero registro aziendale.

Il prossimo passo

La gestione dei data breach non è un evento eccezionale che capita una volta nella vita di un’azienda. È una probabilità statistica in aumento. Nel primo semestre 2026, il Garante Privacy ha previsto almeno 40 accertamenti ispettivi dedicati alla gestione dei data breach, con particolare focus su banche dati pubbliche, sistemi di sicurezza, e procedure di notifica. Se gestisci dati personali - e lo fai se hai clienti, dipendenti, fornitori - devi essere pronto.

Il prossimo passo operativo per la tua azienda:

1. Verifica di avere un Incident Response Plan documentato e testalo con una simulazione (anche solo teorica, su carta)
2. Implementa un registro delle violazioni (anche Excel va bene, l’importante è che ci sia)
3. Forma il personale su come riconoscere e segnalare possibili data breach
4. Revisiona i contratti con i fornitori che trattano dati per tuo conto: includono l’obbligo di notifica tempestiva?
5. Implementa o aggiorna le misure tecniche di prevenzione: MFA, crittografia, backup testati, monitoraggio accessi

Per approfondire il quadro completo della conformità GDPR e delle responsabilità del titolare del trattamento, leggi l’articolo su GDPR e Privacy: geolocalizzazione, tracciamento e normativa.

Per una consulenza personalizzata sulla gestione dei data breach e sulle procedure di notifica, contatta il team SILAQ.
silaq.store/contattaci | Tel: +39 02 250 341

Disclaimer

Il presente articolo ha finalità informativa e non costituisce consulenza legale. La normativa in materia di data breach e protezione dati è soggetta a evoluzioni interpretative. Per valutazioni specifiche sulla gestione di violazioni di dati personali nel proprio contesto aziendale, si raccomanda di rivolgersi a un consulente specializzato in diritto della privacy e protezione dati personali o a un Data Protection Officer certificato.

Ultimo aggiornamento: 08/05/2026

Redazione SILAQ - Team Formazione e Compliance