Le settantadue ore previste dall’art. 33 del Regolamento generale sulla protezione dei dati sono probabilmente il termine più citato e meno compreso dell’intera disciplina. La notifica data breach al Garante non è un adempimento formale che si esaurisce compilando un modulo online: è il momento in cui l’organizzazione dichiara all’autorità cosa è accaduto, e con ciò apre una finestra su come i propri dati erano protetti prima che accadesse. I provvedimenti adottati nell’ultimo anno mostrano che è quasi sempre lì che nasce la contestazione.
Cosa dice la norma, in sintesi
L’art. 33 impone al titolare del trattamento di notificare all’autorità di controllo la violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre quel termine, deve essere corredata dei motivi del ritardo.
L’art. 34 aggiunge un secondo obbligo, distinto dal primo: quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo. Sono due valutazioni diverse, con soglie diverse, e vanno svolte separatamente.
Su chi ricadano questi obblighi dipende dai ruoli: la pagina che spiega chi è il DPO e quali compiti gli assegna il Regolamento aiuta a distinguerli. Il responsabile del trattamento, dal canto suo, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione: è la ragione per cui la catena contrattuale con i fornitori conta molto più di quanto si creda, perché il titolare risponde di un termine che decorre da una notizia che spesso non nasce dentro la sua organizzazione.
Quanto è frequente, davvero
Nella relazione sull’attività del 2025, presentata il 2 luglio 2026, il Garante ha reso noto di aver ricevuto 2.415 notifiche di violazione dei dati personali, con un incremento di circa il dieci per cento rispetto all’anno precedente. Di queste, 514 provengono dal settore pubblico — in prevalenza Comuni, istituzioni scolastiche e strutture sanitarie — e 1.901 dal settore privato. Nello stesso periodo sono state condotte 130 ispezioni, alcune dedicate proprio alla gestione delle violazioni.
Il dato utile non è il volume in sé, ma la sua composizione: la maggior parte delle notifiche non riguarda attacchi sofisticati, bensì configurazioni errate, invii a destinatari sbagliati, accessi non revocati, dispositivi smarriti. Sono eventi che nascono dentro processi ordinari.
Cosa viene contestato dopo la notifica
Qui sta il punto che le organizzazioni sottovalutano. La notifica non chiude la vicenda: la apre. Alcuni provvedimenti recenti lo illustrano bene.
Il ritardo nella comunicazione agli interessati. Nel provvedimento del 17 aprile 2026 relativo a una società di consulenza, che aveva subito una violazione riguardante oltre 61.000 interessati, è stata contestata — oltre alla conservazione di password in chiaro e a una cifratura non conforme — una comunicazione agli interessati intervenuta circa due mesi dopo la scoperta. La sanzione è stata di 85.000 euro.
L’omessa notifica. Nel provvedimento del 9 ottobre 2025 relativo a una struttura sanitaria, alla sanzione per la violazione sostanziale se ne è aggiunta una specifica e autonoma proprio per l’omessa notifica dell’evento. Sono due addebiti che si sommano.
Le misure di sicurezza a monte. È il fronte su cui si concentrano gli importi più elevati. Nel provvedimento del 14 maggio 2026 a carico di un operatore di telecomunicazioni, con una sanzione superiore a 1,7 milioni di euro per una violazione che ha interessato oltre 365.000 clienti e i relativi dati di pagamento, sono state contestate carenze nella gestione delle credenziali e dei certificati: l’evento è stato l’occasione dell’accertamento, non il suo oggetto principale.
L’impostazione del sistema. Nel provvedimento dell’11 giugno 2026 relativo a un ente territoriale, dove per alcuni giorni una comunicazione contenente ipotizzati profili di responsabilità disciplinare era rimasta accessibile a una trentina di persone all’interno dell’ente per un’errata configurazione dei permessi, il Garante ha richiamato tra le altre norme l’art. 25 del Regolamento, sulla protezione dei dati fin dalla progettazione. Il rilievo non riguardava la reazione all’incidente, ma il modo in cui il sistema era stato costruito.
Notifica data breach: perché le settantadue ore sono il problema minore
Il termine, di per sé, è gestibile. Quello che rende difficile rispettarlo è tutto ciò che deve essere già pronto quando l’evento si verifica: sapere chi decide, chi valuta il rischio, dove si trova l’inventario dei sistemi e dei dati, quali fornitori sono coinvolti e a quali obblighi contrattuali sono tenuti, con quali criteri si stabilisce se la soglia del rischio elevato è superata, chi redige il testo della comunicazione agli interessati e attraverso quali canali la diffonde.
Un’organizzazione che affronta queste domande per la prima volta mentre l’incidente è in corso arriva quasi sempre in ritardo, e il ritardo va motivato. Sul punto vale quanto abbiamo scritto a proposito di che cosa viene contestato alle aziende. Un’organizzazione che le ha affrontate prima si limita ad applicare una procedura, e — elemento non secondario — è in condizione di dimostrarlo. I criteri dell’art. 83 valorizzano espressamente le misure adottate per attenuare il danno e il grado di cooperazione con l’autorità: sono fattori che incidono sulla quantificazione, e che si documentano con atti formati prima.
C’è poi una considerazione ulteriore. La valutazione se un evento sia o non sia notificabile è tecnicamente delicata e va compiuta in poche ore, sulla base di informazioni spesso incomplete. Decidere di non notificare è una scelta che va assunta con cognizione e che deve restare tracciata: il registro delle violazioni previsto dall’art. 33, paragrafo 5, serve anche a questo, perché documenta le violazioni non notificate e le ragioni della decisione.
Cosa conviene fare adesso
Se nella vostra organizzazione non esiste una procedura scritta per la gestione delle violazioni, o se esiste ma non è mai stata provata, il momento per occuparsene è quello in cui non sta succedendo nulla. Le verifiche minime sono poche: esiste il registro delle violazioni, e viene tenuto anche per gli eventi non notificati? I contratti con i fornitori che trattano dati per vostro conto prevedono un obbligo di informazione tempestiva, con un termine determinato? Esiste una catena decisionale nota alle persone che per prime si accorgerebbero di un evento? È stata definita in anticipo la modalità di comunicazione agli interessati?
Come lavoriamo
Attraverso il servizio di consulenza e compliance privacy, lo studio assiste aziende, ordini professionali, Comuni, enti pubblici non economici e strutture sanitarie private nella predisposizione delle procedure di gestione delle violazioni, nella valutazione dei singoli eventi e nei rapporti con l’autorità, oltre a svolgere incarichi di responsabile della protezione dei dati. Sul versante del contenzioso amministrativo, la stessa impostazione è quella descritta sul sito dello studio legale dell’avv. Elio Errichiello.
Se avete subito una violazione e dovete decidere in poche ore come muovervi, oppure se volete verificare che la vostra procedura regga, potete contattare lo studio per un esame preliminare della documentazione e dei termini.
