Data breach: obblighi di notifica e gestione della violazione

Un ransomware che cifra i server dello studio, una email con dati di clienti inviata al destinatario sbagliato, un portatile smarrito in treno: sono eventi diversi per origine e gravità, ma per il Regolamento (UE) 2016/679 (GDPR) possono essere tutti, a seconda dei casi, una violazione dei dati personali. Da quel momento parte un termine che la legge non sospende: settantadue ore per decidere se notificare l'accaduto al Garante. Questo contributo ricostruisce il quadro normativo, i criteri per valutare il rischio, le modalità della notifica e della comunicazione agli interessati, le sanzioni e una checklist operativa da seguire quando l'evento è già accaduto.

Cos'è una violazione dei dati personali (e cosa non lo è)

L'art. 4, punto 12, del GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. La nozione è volutamente ampia: comprende gli attacchi dolosi (ransomware, accessi abusivi, phishing) ma anche gli eventi accidentali, come l'invio di comunicazioni a destinatari errati, lo smarrimento di dispositivi o un guasto che comprometta la disponibilità dei dati.

Le Linee Guida 9/2022 dell'European Data Protection Board (EDPB), nella versione 2.0 adottata il 28 marzo 2023 in sostituzione delle precedenti linee guida del Working Party Article 29, distinguono tre tipologie di violazione: di riservatezza (accesso o divulgazione non autorizzati), di integrità (alterazione non autorizzata dei dati) e di disponibilità (perdita di accesso o distruzione dei dati). Un evento può appartenere a più categorie contemporaneamente. Le stesse linee guida chiariscono un punto spesso frainteso: non ogni incidente di sicurezza è una violazione di dati personali, ma ogni violazione di dati personali è un incidente di sicurezza. Un guasto che non tocca dati personali resta un problema informatico, non un data breach.

Il quadro normativo: GDPR, Codice Privacy e NIS2

La fonte primaria sono gli articoli 33 e 34 del GDPR, direttamente applicabili in tutti gli Stati membri senza bisogno di recepimento. A livello nazionale, il Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101) integra la disciplina europea con le norme sanzionatorie interne (artt. 166 e seguenti) e individua nel Garante per la protezione dei dati personali l'autorità di controllo competente per l'Italia.

Per i soggetti che rientrano anche nel perimetro della Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, lo stesso evento può configurare anche un incidente da notificare all'Agenzia per la Cybersicurezza Nazionale (ACN). Gli obblighi di notifica GDPR e NIS2 sono autonomi e cumulativi: aver adempiuto all'uno non esonera dall'altro. Vale lo stesso ragionamento per le discipline di settore, come quella bancaria o assicurativa, ove applicabili.

Quando scatta l'obbligo: la valutazione del rischio

La notifica non è automatica. Presuppone una valutazione del rischio per i diritti e le libertà delle persone fisiche coinvolte, da condurre caso per caso. I criteri indicati dalle Linee Guida EDPB 9/2022 sono:

• la tipologia di violazione (riservatezza, integrità, disponibilità);
• la natura, il carattere sensibile e il volume dei dati coinvolti;
• la facilità di identificazione degli interessati;
• la gravità delle conseguenze prevedibili: discriminazione, furto o usurpazione d'identità, perdita finanziaria, pregiudizio alla reputazione;
• le caratteristiche particolari degli interessati (minori, soggetti vulnerabili) e del titolare del trattamento;
• il numero di persone coinvolte.

Da questa valutazione discendono due soglie distinte. La notifica al Garante è dovuta quando la violazione presenta un rischio non improbabile per gli interessati. La comunicazione diretta agli interessati è necessaria solo quando il rischio è elevato. Sono due obblighi diversi, con presupposti diversi: una violazione può richiedere la notifica al Garante senza richiedere la comunicazione ai singoli.

La casistica delle Linee Guida aiuta a orientarsi. La sottrazione di un dispositivo con dati adeguatamente cifrati, con chiave di cifratura non compromessa e in presenza di backup, di regola non richiede notifica. L'indisponibilità dei dati clinici in una struttura ospedaliera la richiede, mentre un analogo disservizio su una newsletter generalmente no. Un attacco ransomware va valutato anche come violazione di riservatezza quando esistono indizi di effettiva esfiltrazione dei dati, e non solo di cifratura o di indisponibilità temporanea: guardare soltanto al blocco dei sistemi è l'errore più frequente.

La notifica al Garante entro 72 ore

Secondo l'art. 33 GDPR, il titolare del trattamento che viene a conoscenza di una violazione soggetta a notifica la comunica all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore. Tre precisazioni fanno la differenza in pratica.

Da quando decorre il termine. Decorre da quando il titolare acquisisce una ragionevole certezza che si sia verificato un incidente di sicurezza lesivo di dati personali, non da quando ne sono accertate compiutamente cause ed estensione. Aspettare la fine dell'indagine interna prima di attivarsi significa, quasi sempre, notificare in ritardo.

La notifica a fasi. Se non si dispone subito di tutte le informazioni, l'art. 33, § 4, consente di notificare in più momenti, fermo l'onere di completare la notifica senza ulteriore ingiustificato ritardo. Meglio una notifica iniziale incompleta ma tempestiva che una notifica perfetta fuori termine.

Il contenuto minimo. L'art. 33, § 3, richiede di indicare la natura della violazione, con le categorie e il numero approssimativo di interessati e di record coinvolti; il nome e i contatti del responsabile della protezione dei dati (DPO) o di altro punto di contatto; le probabili conseguenze della violazione; le misure adottate o proposte per rimediarvi e attenuarne gli effetti.

Se la violazione avviene presso un fornitore che tratta i dati per conto del titolare (il responsabile del trattamento), questi deve informare il titolare senza ingiustificato ritardo, secondo l'art. 33, § 2: per questo i contratti con i fornitori dovrebbero fissare tempi e canali di questa comunicazione.

Il registro delle violazioni. L'art. 33, § 5, impone di documentare ogni violazione, con i fatti, gli effetti e le misure adottate, in un registro interno, anche quando si decide di non notificare. Il registro deve poter essere esibito al Garante e serve a dimostrare che la scelta di non notificare è stata ponderata.

Sul piano operativo, il Garante mette a disposizione dal dicembre 2020 un servizio telematico dedicato (servizi.gpdp.it/databreach/s/), con un modulo di notifica strutturato e una procedura guidata di autovalutazione, utile anche come supporto nei casi dubbi.

La comunicazione agli interessati

Quando il rischio è elevato, l'art. 34 GDPR impone di informare direttamente gli interessati, senza ingiustificato ritardo e con linguaggio semplice e chiaro. La comunicazione deve descrivere almeno la natura della violazione, i contatti del DPO o di altro punto di riferimento, le conseguenze probabili e le misure adottate o proposte. Le Linee Guida EDPB raccomandano canali diretti e dedicati (posta elettronica, SMS, messaggistica, un avviso in evidenza), in modo che l'informazione non si perda tra le comunicazioni ordinarie.

L'art. 34, § 3, individua tre ipotesi in cui la comunicazione non è dovuta: quando i dati erano stati resi incomprensibili a chi non è autorizzato ad accedervi, in primo luogo con una cifratura la cui chiave non è compromessa; quando misure adottate successivamente escludono che il rischio elevato si concretizzi; quando la comunicazione individuale richiederebbe sforzi sproporzionati e si ricorre a una comunicazione pubblica o a una misura analoga di pari efficacia, previa valutazione, se richiesta, dell'autorità di controllo.

La novità 2026: il modello comune EDPB

Nella plenaria del 10 giugno 2026 l'EDPB ha adottato un modello comune di notifica delle violazioni dei dati personali alle autorità di controllo. L'obiettivo dichiarato è uniformare in tutta l'Unione contenuti e modalità della notifica ex art. 33, riducendo tempi e oneri di compilazione, soprattutto per le organizzazioni piccole prive di una funzione di compliance dedicata. Il modello prevede campi predefiniti e guide di compilazione per ogni sezione, così da assicurare che le notifiche contengano sistematicamente le informazioni richieste dalla norma.

Il testo è stato sottoposto a consultazione pubblica fino al 5 agosto 2026. Le modalità e i tempi con cui le singole autorità nazionali, Garante compreso, lo adotteranno operativamente non sono ancora definiti. È ragionevole attendersi che nei prossimi mesi il modulo telematico oggi in uso venga allineato allo standard europeo: conviene seguire gli sviluppi sul sito dell'EDPB e tenere aggiornata la modulistica interna.

Le sanzioni

L'omessa o tardiva notifica (art. 33) e l'omessa comunicazione agli interessati (art. 34) sono illeciti autonomamente sanzionabili ai sensi dell'art. 83, § 4, lett. a), GDPR: sanzione amministrativa pecuniaria fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. Il procedimento davanti al Garante è disciplinato dagli artt. 166 e seguenti del Codice Privacy. A questo si aggiungono la responsabilità risarcitoria verso gli interessati (art. 82 GDPR) e, se ne ricorrono gli elementi, i profili penali previsti dal Codice Privacy per il trattamento illecito di dati.

La checklist operativa in otto passaggi

Quando l'evento è già in corso, la sequenza conta più della completezza. Questa è la procedura che consigliamo di seguire, per sé o per un cliente assistito:

1. Individuare e contenere l'evento: isolare i sistemi coinvolti, cambiare le credenziali, bloccare gli accessi non autorizzati.
2. Accertare in modo sommario natura, causa e perimetro della violazione, con i dati e le categorie di interessati coinvolti.
3. Valutare il rischio con i criteri delle Linee Guida EDPB 9/2022 e verificare la soglia: rischio non improbabile o rischio elevato.
4. Notificare al Garante, se dovuto, entro 72 ore dalla conoscenza, tramite il servizio telematico, integrando poi le informazioni mancanti.
5. Comunicare agli interessati, se il rischio è elevato, con linguaggio chiaro e canali diretti.
6. Registrare l'accaduto nel registro delle violazioni, anche senza notifica esterna.
7. Documentare le misure correttive adottate, a prova di accountability ai sensi dell'art. 5, § 2, GDPR.
8. Verificare gli obblighi paralleli: NIS2 e ACN, discipline di settore bancarie o assicurative, ove applicabili.

Conclusione

Il data breach non si gestisce bene improvvisando dopo l'evento. Le decisioni che contano si prendono prima: chi deve essere avvisato e in quanto tempo, chi valuta il rischio, dove si registra ogni incidente, cosa prevedono i contratti con i fornitori. Quando le 72 ore sono già iniziate, avere una procedura scritta e un registro aggiornato è ciò che separa una notifica tempestiva da una sanzione evitabile.

Vuoi verificare se la tua organizzazione è pronta a gestire una violazione dei dati?

Richiedi una consulenza strategica allo Studio Frattale & Partners: www.studiofrattale.com/contatti

Il presente contributo ha finalità puramente informativa e divulgativa e non costituisce parere legale su un caso concreto. Per una valutazione della propria specifica situazione si consiglia di rivolgersi a un professionista.

A cura del Dott. Guglielmo Frattale, Giurista di impresa e Compliance Manager, Studio Frattale & Partners.

Fonti

• Regolamento (UE) 2016/679 (GDPR), artt. 4(12), 5, 33, 34, 82, 83.
• EDPB, Guidelines 9/2022 on personal data breach notification under GDPR, versione 2.0, 28 marzo 2023.
• EDPB, comunicato sull'adozione del modello comune di notifica delle violazioni dei dati personali, 10 giugno 2026.
• Garante per la protezione dei dati personali, servizio online per la notifica di data breach (servizi.gpdp.it/databreach/s/).
• D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101.
• Direttiva (UE) 2022/2555 (NIS2) e D.Lgs. 4 settembre 2024, n. 138.