In sintesi. Un data breach va notificato al Garante «senza ingiustificato ritardo e, ove possibile, entro 72 ore» (art. 33 GDPR) dal momento in cui se ne ha conoscenza — ore solari, festivi compresi —, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Agli interessati la violazione va comunicata solo quando presenta un rischio elevato (art. 34, che prevede tre esenzioni tassative); ogni violazione, anche non notificata, va documentata nel registro interno (art. 33, par. 5). L’inosservanza espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore.
Nell’immaginario corrente la violazione dei dati personali si identifica con l’attacco informatico sferrato da un soggetto esterno. La realtà è più ampia e, sovente, più prossima: una mail inoltrata al destinatario errato, un dispositivo smarrito, l’accesso indebito di chi opera all’interno dell’organizzazione integrano, del pari, un data breach. Al verificarsi dell’evento si apre, per il titolare, una finestra temporale assai ristretta — segnatamente, le settantadue ore — entro la quale vanno assunte decisioni che il Regolamento (UE) 2016/679 (GDPR) disciplina con precisione. Conviene dunque chiarire che cosa si intenda per violazione, quando e come notificarla al Garante, in quali casi informarne gli interessati e quali conseguenze discendano dall’inerzia.
Che cos’è una violazione di dati personali
L’articolo 4, n. 12, del Regolamento definisce la violazione dei dati personali come la violazione di sicurezza che comporta — accidentalmente o in modo illecito — la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati. Tre, dunque, i profili che possono risultare lesi: la riservatezza (un’indebita divulgazione o un accesso non autorizzato), l’integrità (un’alterazione dei dati) e la disponibilità (una perdita o distruzione, ancorché temporanea).
Ne discende che ricade nella nozione una pluralità di accadimenti eterogenei: l’attacco ransomware che cifra gli archivi e ne preclude l’accesso; lo smarrimento di un computer portatile privo di cifratura; l’invio di una comunicazione a un elenco di destinatari lasciati in chiaro; il furto di credenziali; finanche la condotta del dipendente che consulti le banche dati aziendali per finalità estranee alle proprie mansioni. Non rileva che l’evento sia doloso o meramente colposo: rileva l’effetto prodotto sui dati.
La notifica al Garante: il termine delle 72 ore
Verificatasi una violazione, l’articolo 33 impone al titolare di notificarla all’autorità di controllo — in Italia, il Garante per la protezione dei dati personali — «senza ingiustificato ritardo e, ove possibile, entro 72 ore» dal momento in cui ne sia venuto a conoscenza. Il termine non decorre dall’evento in sé, bensì dall’istante in cui il titolare acquisisce un ragionevole grado di certezza circa il suo verificarsi.
L’obbligo conosce una sola eccezione: la notifica non è dovuta ove sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Si tratta, peraltro, di una valutazione che va condotta con rigore e di cui occorre serbare traccia: l’esonero presuppone un giudizio prognostico motivato, non una comoda autoassoluzione.
La notifica deve recare un contenuto minimo (art. 33, par. 3):
- la descrizione della natura della violazione;
- le categorie e il numero approssimativo di interessati e di registrazioni coinvolte;
- i dati di contatto del referente (il DPO o altro punto di contatto);
- le probabili conseguenze della violazione;
- le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.
Ove tali informazioni non siano disponibili nell’immediatezza, è ammessa una notifica per fasi successive. Quando, infine, la notifica intervenga oltre le settantadue ore, essa deve essere corredata dei motivi del ritardo: il superamento del termine non vale a esonerare, ma va quantomeno giustificato.
Quanto alle modalità, la notifica si trasmette esclusivamente attraverso la procedura telematica disponibile sul portale dei servizi del Garante (provv. 27 maggio 2021, n. 209, doc. web 9667201; servizi.gpdp.it/databreach).
Va soggiunto che, se la violazione si verifica presso un responsabile del trattamento — ad esempio un fornitore di servizi informatici —, questi è tenuto a informarne il titolare senza ingiustificato ritardo, gravando poi su quest’ultimo l’onere della notifica al Garante.
Quando va informato anche l’interessato
Distinta dalla notifica al Garante è la comunicazione alla persona cui i dati si riferiscono. L’articolo 34 la impone quando la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà dell’interessato: in tale ipotesi il titolare deve informarlo senza ingiustificato ritardo, con linguaggio chiaro e semplice, affinché possa adottare le cautele del caso — mutare le proprie credenziali, vigilare sui movimenti del conto e simili.
La comunicazione non è dovuta in tre ipotesi tassative (art. 34, par. 3):
- quando il titolare avesse predisposto misure idonee a rendere i dati inintelligibili ai terzi — segnatamente la cifratura;
- quando abbia adottato, ex post, misure tali da scongiurare il sopraggiungere del rischio elevato;
- quando la comunicazione individuale comporti sforzi sproporzionati, nel qual caso si procede mediante una comunicazione pubblica di efficacia equivalente.
Anche in questi casi, peraltro, resta fermo il potere del Garante di ordinare ugualmente la comunicazione, ove ne ravvisi i presupposti.
L’obbligo di documentare ogni violazione
Vi è un adempimento che troppo spesso si trascura: a norma dell’articolo 33, par. 5, il titolare deve documentare qualsiasi violazione dei dati personali — comprese quelle che, all’esito della valutazione del rischio, si sia deciso di non notificare. La documentazione deve dar conto delle circostanze, degli effetti e dei provvedimenti adottati, sì da consentire all’autorità di verificare il rispetto della norma.
Si tratta, in sostanza, di un registro interno delle violazioni, complementare al registro dei trattamenti e parimenti espressione del principio di responsabilizzazione (accountability). La decisione di non notificare una violazione, in particolare, non va affidata all’oralità: va consacrata in un atto che ne illustri le ragioni. In difetto, in sede di controllo il titolare si troverà nell’impossibilità di dimostrare la correttezza della valutazione compiuta.
Cosa fare nelle prime ore: una procedura
La ristrettezza del termine sconsiglia ogni improvvisazione. È opportuno che l’organizzazione si doti, in via preventiva, di una procedura di gestione degli incidenti che scandisca alcuni passaggi essenziali:
- Contenere. Arrestare la propagazione dell’evento e circoscriverne gli effetti: revocare un accesso, isolare un sistema, richiamare una comunicazione.
- Valutare. Stimare la natura dei dati coinvolti, il numero di interessati e il livello di rischio, onde stabilire se la violazione vada notificata al Garante e se vada comunicata agli interessati.
- Documentare. Annotare tempestivamente l’accaduto nel registro delle violazioni, unitamente alle determinazioni assunte.
- Notificare e comunicare. Ove dovuto, trasmettere la notifica al Garante entro le settantadue ore e, in presenza di un rischio elevato, informare gli interessati.
- Rimediare. Adottare le misure correttive idonee a prevenire il ripetersi dell’evento.
La tempestività non è un formalismo: ogni ora che trascorre amplia il novero degli interessati pregiudicati e aggrava la posizione del titolare.
Cosa dice la giurisprudenza
Sul piano sanzionatorio, l’inosservanza degli obblighi di notifica e di comunicazione è ricondotta alla fascia di cui all’articolo 83, par. 4, lett. a) del Regolamento: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Che il rigore in materia non sia un’astrazione lo conferma un provvedimento di particolare rilievo.
Con provvedimento del 26 marzo 2026 (doc. web n. 10234984) il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione di 31,8 milioni di euro. La vicenda traeva origine da una violazione — notificata dalla banca nel luglio 2024 — consistita nell’accesso abusivo, da parte di un dipendente, ai dati bancari di 3.573 clienti, per oltre 6.600 consultazioni, protrattosi tra il febbraio 2022 e l’aprile 2024: dunque per più di due anni prima di essere rilevato.
Il Garante ha censurato, in primo luogo, l’inadeguatezza complessiva delle misure di sicurezza (art. 32): il modello operativo consentiva agli operatori di interrogare l’intera base clienti senza controlli idonei a prevenire e individuare gli accessi non giustificati. Ma — ciò che più rileva ai presenti fini — l’Autorità ha stigmatizzato altresì la gestione della violazione: la notifica è risultata «incompleta e tardiva», e la comunicazione agli interessati è intervenuta soltanto a seguito di un precedente ordine del Garante del 2 novembre 2024. Il caso illustra in modo plastico un duplice insegnamento: che la violazione promana sovente dall’interno, e non soltanto dall’esterno; e che la tardività e l’incompletezza degli adempimenti informativi non integrano mere irregolarità formali, ma concorrono ad aggravare in misura sensibile la responsabilità del titolare.
La disciplina del data breach premia chi vi si prepara per tempo. Predisporre una procedura di risposta, istruire il personale e tenere con cura il registro delle violazioni consente di affrontare l’incidente con lucidità, proprio nelle ore in cui ogni decisione va assunta rapidamente. È il medesimo approccio che governa gli altri adempimenti privacy — dalla privacy policy del sito al registro dei trattamenti — e che costituisce il fulcro dell’adeguamento al GDPR di imprese e professionisti. Offriamo supporto su questi profili — dall’impostazione preventiva dei presidi alla gestione dell’incidente — nella consulenza in materia di privacy e GDPR.
Domande frequenti
Le 72 ore sono giorni lavorativi? No: sono ore solari e comprendono sabato, domenica e festivi. Per questo è opportuna una procedura di risposta attiva anche fuori dall’orario d’ufficio.
Una mail inviata al destinatario sbagliato è un data breach? Sì: integra una divulgazione non autorizzata. Va valutato il rischio e, se elevato, la violazione va comunicata anche agli interessati.
Va sempre informato l’interessato di una violazione? No: la comunicazione all’interessato (art. 34) è dovuta soltanto quando la violazione presenta un rischio elevato; in caso contrario è sufficiente, ove dovuta, la notifica al Garante.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.