In sintesi. Un data breach va notificato al Garante «senza ingiustificato ritardo e, ove possibile, entro 72 ore» (art. 33 GDPR) da quando il titolare ne ha conoscenza, cioè da quando ha una ragionevole certezza che la violazione sia avvenuta. Sono ore solari, festivi compresi. La notifica non è dovuta solo se è improbabile un rischio per i diritti e le libertà delle persone fisiche. Agli interessati la violazione va comunicata quando presenta un rischio elevato (art. 34, che prevede tre esenzioni tassative). Ogni violazione, anche non notificata, va documentata nel registro interno (art. 33, par. 5). Chi non rispetta questi obblighi rischia sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore.
Quando si parla di violazione dei dati personali si pensa subito all’attacco di un hacker. La realtà è più ampia e spesso più vicina: una mail inoltrata al destinatario sbagliato, un dispositivo smarrito, l’accesso indebito di chi lavora dentro l’organizzazione sono, allo stesso modo, un data breach. Da quel momento il titolare — impresa, professionista, ente pubblico o associazione — ha poco tempo: settantadue ore per prendere decisioni che il Regolamento (UE) 2016/679 (GDPR) disciplina con precisione. Questa guida chiarisce che cosa si intende per violazione, quando e come notificarla al Garante, in quali casi informare gli interessati, come organizzare le prime ore e che cosa rischia chi resta fermo.
Che cos’è una violazione di dati personali
L’articolo 4, n. 12, del Regolamento definisce la violazione dei dati personali come la violazione di sicurezza che comporta — accidentalmente o in modo illecito — la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trattati. I profili che possono essere lesi sono tre: la riservatezza (una divulgazione o un accesso non autorizzati), l’integrità (un’alterazione dei dati) e la disponibilità (una perdita o distruzione, anche solo temporanea).
Rientrano quindi nella nozione eventi molto diversi tra loro: l’attacco ransomware che cifra gli archivi e li rende inaccessibili; lo smarrimento di un computer portatile non cifrato; l’invio di una comunicazione con l’elenco dei destinatari in chiaro; il furto di credenziali; perfino il dipendente che consulta le banche dati aziendali per scopi estranei alle proprie mansioni. Non conta che l’evento sia doloso o soltanto colposo: conta l’effetto prodotto sui dati.
La notifica al Garante: il termine delle 72 ore
Quando si verifica una violazione, l’articolo 33 impone al titolare di notificarla all’autorità di controllo — in Italia, il Garante per la protezione dei dati personali — «senza ingiustificato ritardo e, ove possibile, entro 72 ore» dal momento in cui ne è venuto a conoscenza.
L’obbligo ha una sola eccezione: la notifica non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. È una valutazione da condurre con rigore e da mettere per iscritto: l’esonero presuppone un giudizio motivato, non una comoda autoassoluzione.
La notifica deve avere un contenuto minimo (art. 33, par. 3):
- la descrizione della natura della violazione;
- le categorie e il numero approssimativo di interessati e di registrazioni coinvolte;
- i dati di contatto del referente (il DPO o altro punto di contatto);
- le probabili conseguenze della violazione;
- le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.
Se queste informazioni non sono subito disponibili, è ammessa una notifica per fasi successive: prima una notifica preliminare, poi una integrativa. Se invece la notifica arriva oltre le settantadue ore, deve indicare i motivi del ritardo: superare il termine non esonera dall’obbligo, e il ritardo va giustificato.
La notifica si trasmette esclusivamente con la procedura telematica disponibile sul portale dei servizi del Garante (provv. 27 maggio 2021, n. 209, doc. web 9667201; servizi.gpdp.it/databreach). Sullo stesso portale il Garante mette a disposizione uno strumento di autovalutazione (self assessment), che aiuta a individuare le azioni da compiere dopo un incidente di sicurezza, e un fac-simile del modello di notifica: non vale come notifica, ma permette di vedere in anticipo quali informazioni saranno richieste.
Da quando decorrono le 72 ore
Il termine non decorre dall’evento, ma dal momento in cui il titolare ne viene «a conoscenza». Secondo le Linee guida 9/2022 del Comitato europeo per la protezione dei dati (EDPB), nella versione 2.0 adottata il 28 marzo 2023, questo accade quando il titolare ha un ragionevole grado di certezza che un incidente di sicurezza abbia compromesso dati personali. Dopo una prima segnalazione è ammesso un breve periodo di indagine per capire se la violazione c’è stata davvero; in quel periodo il titolare non si considera ancora «a conoscenza». L’indagine, però, deve partire il prima possibile: chi non si attiva per tempo, avvertono le Linee guida, può vedersi contestare la mancata notifica.
Se la violazione avviene presso un responsabile del trattamento — per esempio un fornitore di servizi informatici — questi deve informare il titolare senza ingiustificato ritardo (art. 33, par. 2), senza attendere di aver valutato il rischio: la valutazione spetta al titolare, così come la notifica al Garante. Di regola il titolare si considera a conoscenza da quando riceve la segnalazione del fornitore. Per questo conviene che il contratto con il responsabile (DPA) stabilisca tempi e contenuti della segnalazione.
Notificare o no? Sei casi tipici
Le Linee guida EDPB 9/2022 chiudono con una tabella di esempi (allegato B). Eccone sei, tra i più frequenti nella pratica.
| Scenario | Notifica al Garante | Comunicazione agli interessati |
|---|---|---|
| Chiavetta USB rubata, con un backup cifrato | No, finché la cifratura è allo stato dell’arte, la chiave non è compromessa e i dati si possono ripristinare in tempi brevi da un’altra copia | No |
| Ransomware che cifra tutti i dati, senza backup | Sì, se sono probabili conseguenze per le persone: è una perdita di disponibilità. Con un backup e un ripristino rapido può non essere necessaria | Sì, in base alla natura dei dati e agli effetti dell’indisponibilità |
| Attacco a un negozio online: nomi utente, password e storico acquisti pubblicati in rete | Sì | Sì: può derivarne un rischio elevato. È opportuno imporre il cambio delle password |
| Cartelle cliniche di un ospedale inaccessibili per 30 ore dopo un attacco informatico | Sì | Sì |
| Mail promozionale con gli indirizzi dei destinatari in chiaro (campo «A» o «Cc») | Può essere obbligatoria se i destinatari sono molti, se emergono dati sensibili (la lista di uno psicoterapeuta) o altri fattori di rischio elevato. Può non servire se gli indirizzi sono pochi e non rivelano dati sensibili | Sì, in base a quantità e tipo dei dati e alla gravità delle possibili conseguenze |
| Blackout di pochi minuti in un call center | No | No. L’episodio va comunque annotato nel registro (art. 33, par. 5) |
Gli esempi hanno valore orientativo: la valutazione va sempre fatta sul caso concreto. Altri casi svolti si trovano nelle Linee guida EDPB 01/2021, dedicate agli esempi di notifica, che il Garante richiama nella propria pagina sul data breach.
Quando va informato anche l’interessato
La comunicazione alla persona cui i dati si riferiscono è distinta dalla notifica al Garante. L’articolo 34 la impone quando la violazione può presentare un rischio elevato per i diritti e le libertà dell’interessato: in questo caso il titolare deve informarlo senza ingiustificato ritardo, con linguaggio chiaro e semplice, perché possa proteggersi — cambiare le credenziali, controllare i movimenti del conto e simili.
La comunicazione non è dovuta in tre ipotesi tassative (art. 34, par. 3):
- quando il titolare aveva adottato misure che rendono i dati incomprensibili ai terzi, come la cifratura;
- quando ha adottato, dopo la violazione, misure tali da scongiurare il sopraggiungere del rischio elevato;
- quando la comunicazione individuale richiederebbe sforzi sproporzionati: in questo caso si procede con una comunicazione pubblica di efficacia equivalente.
Anche in questi casi il Garante può comunque ordinare la comunicazione, se ne ravvisa i presupposti.
L’obbligo di documentare ogni violazione
C’è un adempimento che troppo spesso si trascura: in base all’articolo 33, par. 5, il titolare deve documentare qualsiasi violazione dei dati personali, comprese quelle che, dopo la valutazione del rischio, ha deciso di non notificare. La documentazione deve indicare le circostanze, gli effetti e i provvedimenti adottati, in modo che l’autorità possa verificare il rispetto della norma.
In pratica si tratta di un registro interno delle violazioni, che affianca il registro dei trattamenti ed esprime lo stesso principio di responsabilizzazione (accountability). Secondo le Linee guida EDPB 9/2022 è bene che vi risultino le cause dell’evento, che cosa è accaduto, i dati coinvolti, le conseguenze e i rimedi adottati. Soprattutto, la decisione di non notificare non va lasciata a un’intesa verbale: va messa per iscritto, con le ragioni per cui il rischio è stato ritenuto improbabile. Altrimenti, in caso di controllo, il titolare non potrà dimostrare che la valutazione era corretta.
Cosa fare nelle prime 72 ore: la scaletta
Un termine così breve non lascia spazio all’improvvisazione. Conviene avere pronta una procedura di gestione degli incidenti. I tempi che seguono sono indicativi — l’unico termine fissato dalla legge è quello delle 72 ore — ma aiutano a non arrivarci impreparati.
- Subito: contenere. Fermare la propagazione dell’evento e limitarne gli effetti: revocare un accesso, isolare un sistema, richiamare una comunicazione. Avvisare chi, nell’organizzazione, è incaricato di gestire gli incidenti.
- Entro le prime 24 ore: accertare. Ricostruire che cosa è successo, quali dati e quante persone sono coinvolti. È la breve indagine iniziale che stabilisce se la violazione c’è stata.
- Entro 48 ore: valutare e decidere. Stimare il rischio per le persone: improbabile, presente o elevato. Da qui dipende se notificare al Garante e se informare gli interessati. La decisione va scritta, con le sue ragioni.
- Entro 72 ore: notificare. Trasmettere la notifica con la procedura telematica, anche in forma preliminare se mancano alcune informazioni.
- Senza ritardo: comunicare. Se il rischio è elevato, informare gli interessati con un messaggio chiaro.
- Nei giorni successivi: integrare e rimediare. Completare la notifica, aggiornare il registro delle violazioni, correggere le misure di sicurezza che non hanno funzionato.
La tempestività non è un formalismo: ogni ora che passa può allargare il numero delle persone danneggiate e aggrava la posizione del titolare.
Cosa dice la giurisprudenza
Sul piano sanzionatorio, l’inosservanza degli obblighi di notifica e di comunicazione rientra nella fascia dell’articolo 83, par. 4, lett. a) del Regolamento: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Che il rigore non sia teorico lo mostrano tre provvedimenti del Garante del 2026; il primo, va detto subito, è stato impugnato ed è all’esame del giudice.
Con provvedimento del 26 marzo 2026, n. 208 (doc. web n. 10234984) il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione di 31,8 milioni di euro. Secondo quanto comunicato dall’Autorità, la vicenda nasceva da una violazione — notificata dalla banca nel luglio 2024 — consistita nell’accesso, senza giustificato motivo, di un dipendente ai dati bancari di 3.573 clienti, con oltre 6.600 consultazioni tra il febbraio 2022 e l’aprile 2024: gli accessi erano dunque proseguiti per più di due anni senza che i controlli interni li rilevassero.
Il Garante ha contestato, in primo luogo, l’inadeguatezza complessiva delle misure di sicurezza (art. 32): il modello operativo consentiva agli operatori di interrogare l’intera base clienti senza controlli idonei a prevenire e individuare gli accessi non giustificati. Ma l’Autorità ha criticato anche la gestione della violazione: nel comunicato che ha accompagnato il provvedimento la notifica è definita «incompleta e tardiva», e la comunicazione agli interessati risulta arrivata soltanto dopo un precedente provvedimento del Garante del 2 novembre 2024. La decisione non è definitiva: è stata impugnata davanti al Tribunale di Torino, che con ordinanza cautelare del 13 luglio 2026 ne ha sospeso l’efficacia esecutiva; il giudizio di opposizione è pendente e, nel frattempo, il Garante ha rimosso temporaneamente il testo del provvedimento dal proprio sito. In attesa che il giudice si pronunci, dal caso si possono trarre due indicazioni: la violazione può venire dall’interno dell’organizzazione, e non solo dall’esterno; e l’Autorità non guarda soltanto a come i dati erano protetti, ma anche ai tempi e alla completezza della notifica e della comunicazione agli interessati.
Il secondo caso riguarda proprio i tempi della comunicazione agli interessati. Con provvedimento del 17 aprile 2026, n. 280 (doc. web n. 10252460) il Garante ha applicato a The European House - Ambrosetti S.p.A. una sanzione di 85.000 euro a seguito di un’esfiltrazione di dati che ha coinvolto 61.670 utenti dei servizi online e le loro credenziali di accesso; le password erano conservate in chiaro o con tecniche crittografiche non allo stato dell’arte. La società aveva trasmesso una notifica preliminare l’8 aprile 2024, ma ha informato gli interessati solo a partire dal 7 giugno 2024, circa due mesi dopo essere venuta a conoscenza della violazione (4 aprile 2024) e dopo un provvedimento correttivo dell’Autorità. All’inizio aveva ritenuto che il rischio non fosse elevato e, come ha poi riferito nel procedimento, non aveva inviato la comunicazione anche per i possibili rischi reputazionali. Il Garante ha ritenuto tardiva la comunicazione e ha osservato che «l’avere fatto prevalere motivi reputazionali sui diritti di protezione dei dati degli interessati rappresenta un elemento di evidente scarso rispetto del principio di accountability».
La notifica, infine, non chiude la partita. Con provvedimento del 14 maggio 2026, n. 348 (doc. web n. 10263796), adottato dopo l’esame di due notifiche di data breach presentate da Wind Tre S.p.A. il 20 e il 28 febbraio 2025 — una delle violazioni ha riguardato i dati di 365.048 clienti —, il Garante ha applicato una sanzione di 1.715.600 euro per l’inadeguatezza delle misure di sicurezza. Notificare è doveroso, ma apre la verifica dell’Autorità su come i dati erano protetti.
La disciplina del data breach premia chi si prepara per tempo. Una procedura di risposta, personale istruito e un registro delle violazioni tenuto con cura permettono di affrontare l’incidente con lucidità, proprio nelle ore in cui ogni decisione va presa in fretta. È lo stesso approccio che regge gli altri adempimenti privacy — dalla privacy policy del sito al registro dei trattamenti — e che sta al centro dell’adeguamento al GDPR di imprese, professionisti ed enti. Offriamo supporto in caso di data breach — valutazione del rischio, redazione della notifica al Garante e della comunicazione agli interessati, impostazione della procedura e del registro delle violazioni — nell’ambito della consulenza in materia di privacy e GDPR.
Domande frequenti
Entro quanto tempo il titolare deve notificare il data breach al Garante? Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza (art. 33, par. 1). Una notifica successiva va accompagnata dai motivi del ritardo. Non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone.
Il data breach va sempre registrato? Sì: ogni violazione, anche quella che non si notifica, va documentata nel registro interno con le circostanze, le conseguenze e le misure adottate (art. 33, par. 5).
Le 72 ore sono giorni lavorativi? No: sono ore solari e comprendono sabato, domenica e festivi. Per questo è opportuna una procedura di risposta attiva anche fuori dall’orario d’ufficio.
Da quando decorrono le 72 ore? Da quando il titolare ha una ragionevole certezza che la violazione sia avvenuta, non dal momento dell’evento. È ammessa una breve indagine iniziale, che però va avviata subito.
Una mail inviata al destinatario sbagliato è un data breach? Sì: è una divulgazione non autorizzata. Va valutato il rischio e, se è elevato, la violazione va comunicata anche agli interessati.
Se la violazione avviene presso un fornitore, chi notifica al Garante? Il titolare. Il fornitore, in quanto responsabile del trattamento, deve avvisarlo senza ingiustificato ritardo; la valutazione del rischio e la notifica restano a carico del titolare.
Va sempre informato l’interessato di una violazione? No: la comunicazione all’interessato (art. 34) è dovuta soltanto quando la violazione presenta un rischio elevato; negli altri casi basta, se dovuta, la notifica al Garante.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 28 ottobre 2026.