Un data breach non è solo un problema tecnico. È un’emergenza legale con scadenze rigide, obblighi di notifica, rischi di sanzione e, spesso, danni reputazionali difficili da riparare. Il GDPR impone al titolare del trattamento di agire entro 72 ore dalla scoperta. Capire cosa fare, e in quale ordine, fa la differenza fra una gestione corretta e una sanzione che l’art. 83, par. 4, GDPR fissa in 10 milioni di euro o al 2% del fatturato mondiale annuo, quale dei due sia superiore.

E la posta può essere molto più alta: nel marzo 2026 il Garante ha chiuso il caso di accessi indebiti in una grande banca italiana con una sanzione da 31,8 milioni di euro, oggi sospesa da un giudice. Il capitolo 6 la racconta per intero, perché insegna più di molte regole.

1. Cos’è un data breach secondo il GDPR

Quando si parla di violazione di dati personali, l’art. 4, n. 12, GDPR è la norma di riferimento. La definizione è ampia: qualsiasi violazione della sicurezza che comporti, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali trasmessi, conservati o comunque trattati.

Il Gruppo Art. 29 – oggi EDPB – ha chiarito che il concetto si articola in tre tipologie distinte:

• violazione della riservatezza: accesso o divulgazione non autorizzati;
• violazione dell’integrità: alterazione non autorizzata o accidentale dei dati;
• violazione della disponibilità: perdita o distruzione dei dati, incluso lo smarrimento della chiave di decifratura o un attacco che rende i sistemi inaccessibili.

Un black-out temporaneo del call center che impedisce ai clienti di accedere alle proprie registrazioni non costituisce un data breach notificabile, ma rimane un incidente da registrare. Un attacco ransomware che cripta tutti i dati aziendali, invece, è quasi sempre una violazione da notificare – anche se il riscatto non viene pagato.

2. Chi è obbligato a fare cosa

Gli obblighi di notifica gravano in primo luogo sul titolare del trattamento, sia esso un soggetto pubblico o privato. L’obbligo è introdotto dall’art. 33 GDPR per la notifica all’autorità di controllo e dall’art. 34 GDPR per la comunicazione agli interessati.

Il responsabile del trattamento ha un ruolo diverso ma altrettanto vincolante: deve comunicare senza ritardo al titolare qualsiasi violazione di cui venga a conoscenza nell’ambito delle sue attività, collaborare nella gestione e supportarlo nella notifica. I contratti di designazione come responsabile del trattamento devono quindi contenere clausole specifiche sui data breach: è un punto che molte aziende trascurano ancora.

In caso di contitolarità del trattamento ai sensi dell’art. 26 GDPR, l’accordo interno deve stabilire in modo trasparente chi dei due titolari è responsabile della notifica.

Per il trattamento transfrontaliero, la notifica va effettuata all’autorità capofila – non necessariamente quella del paese in cui risiede l’interessato o in cui è avvenuta la violazione. Il Garante italiano ha indicato le modalità di notifica con il provvedimento del 30 luglio 2019, doc. web n. 9126951; dal 1° luglio 2021 la notifica si invia con una procedura online dal portale dell’autorità.

3. La regola delle 72 ore: come si conta

La notifica all’autorità di controllo deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione.

Qui conviene leggere l’art. 33, par. 1, per come è scritto, perché la formula viene spesso capovolta. Il Regolamento non dice che si notifica se c’è un rischio: dice che si notifica «a meno che sia improbabile che la violazione presenti un rischio» per i diritti e le libertà delle persone fisiche. La presunzione è a favore della notifica, e chi non notifica deve poter dimostrare di aver valutato il rischio come improbabile. Non è una sfumatura: sposta l’onere.

Lo stesso paragrafo aggiunge una regola che si dimentica quasi sempre: se la notifica arriva oltre le 72 ore, deve essere corredata dei motivi del ritardo. Un ritardo motivato è un problema gestibile; un ritardo silenzioso è un secondo illecito che si somma al primo.

Il punto critico è stabilire quando iniziano a decorrere le 72 ore. Le Linee Guida EDPB n. 9/2022 chiariscono che il titolare ha acquisito la “conoscenza” della violazione quando ha un ragionevole grado di certezza che essa si sia verificata.

Tre esempi pratici aiutano a capire la logica:

• una chiavetta USB smarrita: le 72 ore decorrono dal momento in cui il titolare realizza che il dispositivo è andato perso, anche se non può ancora stabilire se ci sia stata effettiva violazione della riservatezza;
• una terza parte informa il titolare di aver ricevuto per errore dati personali: le 72 ore decorrono immediatamente;
• possibili intrusioni nella rete aziendale: le 72 ore decorrono dal momento in cui il titolare riscontra concretamente che i dati nel sistema sono stati compromessi.

Se entro le 72 ore il titolare non dispone ancora di tutte le informazioni, l’art. 33, par. 4 consente di fornirle in fasi successive, senza ulteriore ingiustificato ritardo: si notifica quello che si sa, dichiarando che il quadro è incompleto, e si integra dopo. Va ricordato anche l’art. 33, par. 5: il titolare documenta qualsiasi violazione, comprese circostanze, conseguenze e rimedi, e quel registro serve all’autorità per verificare il rispetto della norma. Vale anche per le violazioni che si decide di non notificare.

4. Quando notificare anche gli interessati

La comunicazione agli interessati, disciplinata dall’art. 34 GDPR, non segue la stessa logica della notifica al Garante. Scatta solo se la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

Il Considerando 85 GDPR elenca le conseguenze che possono giustificare questa soglia: discriminazione, furto o usurpazione di identità, perdite finanziarie, decifratura non autorizzata di pseudonimi, pregiudizio alla reputazione, perdita di riservatezza di dati protetti da segreto professionale.

La comunicazione agli interessati non è richiesta se:

• il titolare aveva adottato misure di protezione adeguate – in particolare cifratura – che rendono i dati incomprensibili a chi li ha acquisiti illecitamente;
• il titolare ha adottato misure successive alla violazione tali da scongiurare il rischio elevato;
• la comunicazione richiederebbe sforzi sproporzionati – nel qual caso si deve procedere con una comunicazione pubblica equivalente.

La comunicazione agli interessati deve usare un linguaggio semplice e chiaro, indicare il nome e i contatti del DPO o di un altro referente, descrivere le probabili conseguenze della violazione e le misure adottate o previste per porvi rimedio.

4.1 Il contenuto minimo della notifica al Garante

Ai sensi dell’art. 33, par. 3, GDPR, la notifica all’autorità deve contenere almeno:

• la descrizione della natura della violazione, con le categorie e il numero approssimativo di interessati e di registrazioni di dati coinvolti;
• il nome e i dati di contatto del DPO o di altro punto di contatto;
• le probabili conseguenze della violazione;
• le misure adottate o previste per rimediare alla violazione e per attenuarne gli effetti negativi.

5. La valutazione del rischio: i parametri da applicare

La decisione di notificare o meno non è discrezionale nel senso di arbitraria: si basa su una valutazione oggettiva del rischio, costruita su parametri definiti dal GDPR e chiariti dalle Linee Guida EDPB n. 9/2022 e dal Provvedimento del Garante n. 659 del 2 novembre 2024.

I fattori da considerare sono:

• tipo di violazione (perdita, distruzione, accesso indebito, divulgazione);
• natura, volume e sensibilità dei dati coinvolti (sanitari, finanziari, giudiziari);
• facilità di identificazione degli interessati;
• gravità delle conseguenze per gli individui;
• categorie particolari di soggetti coinvolti (minori, soggetti vulnerabili);
• caratteristiche del titolare (struttura sanitaria, istituto bancario, e-commerce).

Un esempio: se i dati trattati sono crittografati con un algoritmo robusto e il titolare dispone di un backup, la notifica della violazione che abbia coinvolto quei dati crittografati potrebbe non essere necessaria. Se invece i dati non erano protetti, anche una mail inviata in CC anziché in BCC a una lista che riveli lo stato di salute degli interessati può integrare un data breach notificabile – come ha chiarito il Garante con il provvedimento n. 242 del 7 luglio 2022, che ha sanzionato con 45.000 euro una società statunitense per esattamente quel tipo di errore: gli indirizzi, resi visibili in un contesto sanitario, diventavano essi stessi dati sulla salute.

6. Gli errori più comuni da evitare

L’analisi dei provvedimenti del Garante e delle Linee Guida EDPB rivela un pattern ricorrente di errori che espongono le aziende a sanzioni anche quando la violazione era stata inizialmente gestita.

Notifica incompleta o sottostimata. Il Garante ha imposto a una banca di informare i clienti coinvolti con il provvedimento n. 659 del 2 novembre 2024, doc. web n. 10070521, dopo aver accertato che le comunicazioni iniziali all’autorità non avevano evidenziato correttamente l’ampiezza della violazione. La sottostima del numero di interessati o dei dati coinvolti non è un errore neutro: aggrava la posizione del titolare.

Quel caso ha avuto un seguito che vale la pena conoscere, ed è la ragione per cui lo raccontiamo per esteso qui sotto.

6.1 Come è finito il caso della banca: 31,8 milioni, poi sospesi

I fatti accertati: un dipendente aveva consultato senza giustificazione i dati bancari di oltre 3.500 clienti, con migliaia di accessi distribuiti fra il 2022 e il 2024, e i sistemi di controllo interno non se ne erano accorti. La notifica al Garante era risultata incompleta e tardiva, e la comunicazione agli interessati era arrivata solo dopo l’ordine dell’autorità.

Nel marzo 2026 il Garante ha chiuso il procedimento con una sanzione di 31,8 milioni di euro, con il provvedimento n. 208 del 26 marzo 2026.

La vicenda però non è chiusa. Il Tribunale di Torino, con ordinanza cautelare del 13 luglio 2026, ne ha sospeso l’efficacia esecutiva, e per questa ragione il provvedimento risulta temporaneamente rimosso dal sito del Garante, che ne dà conto con un avviso.

Tre cose da portarsi via, e nessuna riguarda l’importo.

La prima è che il danno non è nato dall’attacco ma dal controllo mancato: nessuno viola nulla dall’esterno se un dipendente autorizzato consulta per due anni dati che non gli servono e nessun sistema lo segnala.

La seconda è che notificare male peggiora la posizione. La sottostima iniziale e il ritardo sono contestazioni autonome, che restano anche quando la violazione originaria è opera di un singolo.

La terza riguarda il modo di leggere le notizie: una sanzione annunciata non è una sanzione definitiva, e una sospensione cautelare non è un’assoluzione. Chi costruisce le proprie procedure sull’una o sull’altra sta scommettendo invece di organizzarsi.

Comunicazione agli interessati tramite il canale compromesso. Il caso Italiaonline (Garante Privacy, 30 aprile 2019, doc. web n. 9116509) è emblematico: la società aveva notificato la violazione di oltre 1,5 milioni di credenziali di account email usando come canale di comunicazione le stesse caselle di posta elettronica compromesse dall’attacco. Il Garante ha ordinato una nuova comunicazione con mezzi idonei a raggiungere il maggior numero di interessati.

Mancata cifratura dei dati. Le Linee Guida EDPB 01/2021 lo indicano come errore sistemico più frequente. La cifratura avrebbe reso i dati inutilizzabili in caso di accesso illecito, eliminando o riducendo l’obbligo di comunicazione agli interessati.

Ritardo nella notifica. Il Garante ha sanzionato Poste Vita con 80.000 euro (Provvedimento n. 389 del 10 luglio 2025) anche per la notifica avvenuta oltre il termine di 72 ore, oltre che per le carenze nelle misure di sicurezza.

Mancata notifica per errata valutazione del rischio. Humanitas Mirasole (Provvedimento n. 587 del 9 ottobre 2025) ha classificato come “basso rischio” la distruzione accidentale di un campione di tessuto associato all’identità di una paziente, decidendo di non notificare al Garante. Il Garante ha ritenuto errata quella valutazione e ha irrogato una sanzione di 70.000 euro, di cui 20.000 specificamente per la mancata notifica.

Assenza o inadeguatezza del piano di risposta agli incidenti. Il GDPR non richiede solo di reagire al breach: impone di essere pronti prima che avvenga. Chi non ha un incident response plan documentato si trova a gestire l’emergenza in condizioni di svantaggio, con il rischio concreto di superare le 72 ore per semplice disorganizzazione.

7. Il piano di intervento: le azioni da mettere in campo

Un data breach si gestisce su due livelli paralleli: quello immediato (contenimento e notifica) e quello strutturale (prevenzione e preparazione).

7.1 Azioni preventive obbligatorie

Prima che avvenga qualsiasi violazione, il titolare deve:

• predisporre una procedura interna di gestione dei data breach con ruoli e responsabilità definiti;
• formare il personale autorizzato al trattamento – la maggior parte dei breach nasce da errore umano;
• cifrare o pseudonimizzare i dati sensibili e le categorie particolari;
• limitare l’accesso ai dati al solo personale autorizzato;
• verificare e aggiornare le misure di sicurezza logiche e fisiche sui sistemi;
• inserire clausole specifiche sul data breach nei contratti con i responsabili del trattamento;
• mantenere un registro dei data breach aggiornato.

7.2 Azioni da attuare quando si scopre la violazione

Nell’ordine:

• attivare il team di risposta agli incidenti;
• contenere la violazione: isolare i sistemi compromessi, revocare accessi, modificare le credenziali;
• raccogliere tutte le informazioni disponibili: categorie di dati coinvolti, numero di interessati, tipologia di violazione, causa, momento in cui si è verificata;
• valutare il rischio per i diritti e le libertà degli interessati applicando i parametri EDPB;
• notificare al Garante entro 72 ore se il rischio sussiste, anche con informazioni parziali;
• valutare se comunicare agli interessati in caso di rischio elevato;
• documentare ogni fase nel registro dei data breach;
• condurre un post-assessment per identificare i gap emersi e aggiornare le misure.

8. Sanzioni e responsabilità

Il mancato rispetto degli obblighi di notifica degli artt. 33 e 34 GDPR espone il titolare a sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo (art. 83, par. 4, lett. a), GDPR).

Il WP29 ha chiarito che le infrazioni relative alla notifica e quelle relative alle misure di sicurezza sono separate: si può essere sanzionati per entrambe in modo cumulativo. Unicredit ha subito una sanzione da 600.000 euro (Garante Privacy, 10 giugno 2020, doc. web n. 9429195) per carenze nelle misure di sicurezza che avevano consentito accessi non autorizzati ai dati di circa 762.000 clienti attraverso un applicativo esteso a terzi senza adeguati controlli.

A queste sanzioni si aggiunge la possibilità di risarcimento del danno in favore degli interessati ai sensi dell’art. 82 GDPR, nonché il potere del Garante di vietare il trattamento dei dati fino alla risoluzione della non conformità (art. 58, par. 2, lett. f), GDPR).

Un elemento da non sottovalutare: la CGUE, con la sentenza del 26 settembre 2024, causa C-768/21, ha precisato che l’autorità di controllo non è tenuta ad adottare misure correttive ogni volta che accerta una violazione, qualora il titolare abbia già adottato prontamente le misure necessarie per farla cessare. La reattività e la documentazione della risposta all’incidente incidono quindi anche sulla misura della risposta sanzionatoria.

Conclusioni

Le 72 ore sono la parte del data breach di cui si parla di più e quella che conta di meno. Nessuno sfora il termine perché non lo conosce: lo sfora perché al momento della scoperta non sa chi decide, chi valuta il rischio, chi scrive alla banca dati del Garante e chi parla ai clienti. Quel termine, insomma, non si rispetta reagendo in fretta ma avendo deciso prima.

La lettura corretta dell’art. 33 aiuta a mettere le cose nell’ordine giusto: la notifica è la regola e la sua omissione l’eccezione, da motivare. Chi si chiede «devo notificare?» sta già partendo dal lato sbagliato; la domanda è «posso dimostrare che il rischio era improbabile?».

Il caso della banca dice il resto, e lo dice meglio di qualunque elenco. L’incidente è nato da un accesso interno che nessun sistema ha segnalato per due anni, e si è aggravato con una notifica incompleta. Le due cose insieme, non l’attacco, hanno prodotto il procedimento.

La nostra valutazione, dichiarata come tale: la voce più sottovalutata è la registrazione delle violazioni non notificate. L’art. 33, par. 5 impone di documentare qualsiasi violazione, anche quella che si è deciso di non comunicare, ed è esattamente il documento che un’autorità chiede per primo quando vuole capire se la valutazione del rischio era seria o di comodo. Chi non ce l’ha si trova a spiegare a posteriori una decisione che avrebbe dovuto essere scritta al momento.

Punti chiave

Fonti