Pubblicato il

Dopo l’incidente c’è una seconda decisione: dirlo alle persone

Copertina dell'articolo sulla comunicazione del data breach agli interessati

Dopo una violazione dei dati personali l’attenzione si concentra quasi sempre sulla notifica all’Autorità e sulle famose settantadue ore. Esiste però un secondo adempimento, distinto per presupposti e per conseguenze, che viene deciso con molta meno lucidità e che pesa molto di più sulla reputazione di un’organizzazione: la comunicazione del data breach agli interessati, disciplinata dall’articolo 34 del GDPR.

Quando la comunicazione del data breach agli interessati è obbligatoria

La soglia è diversa da quella della notifica all’Autorità. Mentre la notifica al Garante scatta salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone, la comunicazione agli interessati è dovuta quando la violazione è suscettibile di presentare un rischio elevato per quei diritti e quelle libertà. In quel caso il titolare deve comunicarla all’interessato senza ingiustificato ritardo.

La comunicazione deve descrivere con linguaggio semplice e chiaro la natura della violazione e contenere almeno il nome e i dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto, la descrizione delle probabili conseguenze e la descrizione delle misure adottate o di cui si propone l’adozione per porvi rimedio, comprese quelle per attenuarne i possibili effetti negativi.

I tre casi in cui si può evitare

Il Regolamento prevede tre esoneri, e vale la pena leggerli con attenzione perché sono più stretti di quanto si creda. La comunicazione non è richiesta quando il titolare aveva messo in atto misure tecniche e organizzative adeguate, applicate ai dati oggetto della violazione, che rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi — la cifratura è l’esempio tipico, purché effettiva e con chiavi non compromesse. Non è richiesta quando il titolare ha successivamente adottato misure atte a scongiurare il sopraggiungere del rischio elevato. E non è richiesta quando richiederebbe sforzi sproporzionati: in questo caso, però, si procede a una comunicazione pubblica o a una misura simile che informi gli interessati con analoga efficacia.

Resta inoltre il potere dell’Autorità di esigere la comunicazione quando ritiene che la violazione presenti un rischio elevato, anche se il titolare aveva deciso diversamente.

Perché il silenzio costa

La valutazione sul rischio elevato appartiene al titolare, ma è una valutazione che va documentata. Quando in istruttoria si scopre che la decisione di non comunicare non poggia su alcuna analisi scritta, la posizione dell’ente si indebolisce su due fronti insieme: quello della trasparenza verso gli interessati e quello del principio di responsabilizzazione.

C’è poi un elemento pratico che molte organizzazioni sottovalutano: gli interessati, se informati, possono proteggersi — cambiare credenziali, bloccare strumenti di pagamento, prestare attenzione a tentativi di contatto fraudolento. Privarli di questa possibilità è esattamente ciò che l’articolo 34 vuole evitare, ed è ciò che rende la mancata comunicazione una condotta valutata con severità. Le violazioni degli obblighi degli articoli 33 e 34 rientrano nella fascia dell’articolo 83, paragrafo 4, del GDPR.

La decisione si prepara prima

Nessuna organizzazione è in grado di valutare serenamente il rischio elevato nelle ore immediatamente successive a un incidente, mentre i sistemi sono fermi e le informazioni sono parziali. Per questo la procedura — chi decide, su quali criteri, con quali modelli di comunicazione già pronti — va scritta quando tutto funziona. È la stessa logica che emerge dalle carenze contestate dopo gli attacchi ransomware e dal quadro descritto per gli enti nell’articolo sul data breach nei Comuni della Campania.

Il presupposto di tutto resta la conoscenza dei propri trattamenti e della catena dei fornitori: senza un registro aggiornato, ricostruire quali dati siano stati coinvolti e quali persone vadano avvisate richiede giorni che non ci sono.

Prima che serva

Lo studio assiste aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli, nella predisposizione delle procedure di gestione delle violazioni e nella fase successiva all’incidente: il perimetro è descritto nel servizio di consulenza privacy, mentre per i profili contenziosi è disponibile il sito dello studio legale. Per un primo esame della documentazione, i riferimenti sono nella pagina dei contatti.

Avv. Elio Errichiello

Pubblicato il

Il Comune subisce un attacco: cosa viene contestato dopo il data breach

Copertina dell'articolo sul data breach nei Comuni della Campania e sugli obblighi dopo un attacco informatico

Un lunedì mattina i server dell’ente non rispondono, i servizi al cittadino si fermano, l’anagrafe non è consultabile. Nelle ore successive la domanda smette di essere tecnica e diventa giuridica: che cosa deve fare l’amministrazione, entro quando, e di che cosa risponde. I data breach nei Comuni della Campania, come nel resto del Paese, seguono uno schema ricorrente, e l’esito dipende quasi sempre da decisioni prese nelle prime settantadue ore.

L’ente resta titolare, anche quando il sistema è di altri

Il primo equivoco da sciogliere riguarda la responsabilità. Quasi nessun Comune gestisce in proprio l’intera infrastruttura: il gestionale è di una software house, l’hosting di un fornitore, la posta di un altro, il sito di un terzo ancora. Questo non sposta la titolarità del trattamento, che resta in capo all’ente.

Il fornitore è responsabile del trattamento ai sensi dell’articolo 28 del Regolamento UE 2016/679, e il contratto deve disciplinare, tra le altre cose, l’obbligo di assistere il titolare nell’adempimento degli obblighi in materia di sicurezza e di violazione dei dati. Quando quel contratto non c’è, o si limita a una clausola generica, l’ente si trova a dover rispondere di un evento su cui non aveva né controllo né visibilità. Il tema è trattato nell’approfondimento sulla nomina del responsabile del trattamento.

Data breach nei Comuni della Campania: la notifica e i suoi tempi

L’articolo 33 del Regolamento impone al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne ha avuto conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre quel termine, va motivato il ritardo.

L’articolo 34 aggiunge un secondo obbligo, distinto: quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicarla anche agli interessati. Per un Comune significa, in concreto, rivolgersi ai propri cittadini.

C’è infine un obbligo che nessuno vede dall’esterno ma che l’Autorità verifica sempre: la documentazione interna di tutte le violazioni, comprese quelle non notificate, con le motivazioni della scelta. Il registro delle violazioni è spesso il primo documento richiesto. Lo studio ha dedicato al punto l’articolo sulla notifica del data breach entro 72 ore.

Quello che viene contestato non è l’attacco

È il passaggio che più sorprende gli amministratori: l’Autorità non sanziona per essere stati attaccati. Sanziona per ciò che l’attacco rivela.

Le carenze che emergono nelle istruttorie sono quasi sempre le stesse: autenticazione a fattore singolo sugli accessi remoti, backup raggiungibili dalla stessa rete compromessa, log assenti o sovrascritti, sistemi non aggiornati, profili di accesso non differenziati, assenza di cifratura sui dati più sensibili. Sono tutte misure che l’articolo 32 del Regolamento richiede di valutare e adottare in funzione del rischio, e la cui mancanza è autonomamente contestabile a prescindere dall’esito dell’attacco. Un quadro analogo emerge dall’articolo sulle carenze contestate nei data breach da ransomware e da quello sulle misure di sicurezza e le sanzioni.

Per un ente pubblico c’è un aggravante strutturale: i dati trattati comprendono categorie particolari — servizi sociali, posizioni tributarie, pratiche di assistenza, dati di minori — e il numero degli interessati coincide, di fatto, con la popolazione residente.

Il ruolo del responsabile della protezione dei dati

Per le pubbliche amministrazioni la designazione del responsabile della protezione dei dati è obbligatoria ai sensi dell’articolo 37 del Regolamento. Nella gestione di una violazione il RPD è il punto di contatto con l’Autorità e il soggetto che deve essere coinvolto tempestivamente in tutte le questioni relative alla protezione dei dati.

Quando la designazione è formale e il RPD viene informato a cose fatte, l’ente perde esattamente la competenza che gli serviva nelle prime ore. Il tema è stato approfondito negli articoli sul DPO nei Comuni della Campania e sull’obbligo di nomina nella pubblica amministrazione.

Le conseguenze, anche oltre la sanzione

L’articolo 83 del Regolamento disciplina le sanzioni amministrative pecuniarie, con la precisazione che gli Stati membri possono stabilire se e in quale misura applicarle alle autorità pubbliche. Ma il profilo sanzionatorio non esaurisce il quadro: restano i poteri correttivi del Garante, le azioni risarcitorie degli interessati previste dall’articolo 82, i riflessi sulla responsabilità amministrativa e contabile e, non da ultimo, la paralisi dei servizi comunali per il tempo necessario al ripristino.

Prima che accada

La differenza tra un ente che gestisce una violazione e uno che la subisce sta tutta nella preparazione: una procedura scritta di gestione degli incidenti, i contatti dei fornitori reperibili, i ruoli assegnati, il registro delle violazioni già impostato, i contratti con i responsabili in regola. Nessuno di questi elementi si costruisce nelle settantadue ore.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste enti pubblici e aziende nell’adeguamento, nell’incarico di responsabile della protezione dei dati e nella gestione delle violazioni, dalla notifica ai rapporti con l’Autorità. Il punto di ingresso è la pagina dedicata alla figura del DPO e, per un primo contatto, la pagina contatti. Per i profili di contenzioso amministrativo che spesso si accompagnano a queste vicende, il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Ransomware: le carenze che trasformano l’attacco in sanzione

Data breach da ransomware: copertina sulle carenze di sicurezza contestate dal Garante nel 2026

Un lunedì mattina i sistemi non rispondono. L’infrastruttura di virtualizzazione è inaccessibile, la password dell’utenza amministrativa è stata cambiata, un nodo risulta spento e sui dischi compare un file con la richiesta di riscatto. Da quel momento l’azienda ha due problemi: recuperare l’operatività e spiegare al Garante perché l’attacco è riuscito. Un data breach da ransomware non si valuta su quanto è stato abile l’attaccante, ma su quali misure l’azienda aveva e quali no.

Il provvedimento di luglio 2026: 120.000 euro

Il caso riguarda una società di consulenza ingegneristica, titolare del trattamento per i dati di dipendenti e organi sociali e responsabile per oltre 1.200 titolari committenti. L’attacco, attribuito a un gruppo noto di operatori ransomware, è stato rilevato il 9 ottobre 2024.

La dinamica ricostruita nell’istruttoria è istruttiva. L’ipotesi principale è che l’attaccante sia entrato attraverso la VPN utilizzando credenziali già in circolazione nel dark web; il vettore iniziale non è stato accertato con certezza perché i log erano stati cancellati. All’interno della rete è stato creato un account amministrativo, da cui si è proceduto per movimenti laterali verso i controller di dominio, fino al gestionale e ai sistemi di backup. Un dispositivo di backup è stato riportato alle impostazioni di fabbrica, con perdita totale dei dati; il secondo ha consentito un ripristino, ma con dati risalenti a due mesi prima. Nel dicembre 2024 parte dei dati esfiltrati è stata pubblicata nel dark web, incluse categorie particolari di dati.

Il Garante ha contestato la violazione degli articoli 5, paragrafo 1, lettera f) e 32, paragrafi 1 e 2 del Regolamento, irrogando una sanzione di 120.000 euro.

Le cinque carenze contestate

È l’elenco che vale la pena confrontare con la propria situazione, perché nessuna di queste misure è esotica.

  • Protezione debole contro il credential stuffing. Il blocco scattava dopo dieci tentativi falliti ma si riattivava automaticamente dopo cinque minuti: una politica che l’Autorità ha definito molto blanda.
  • Autenticazione a più fattori parziale. Era attiva soltanto su alcuni profili della suite di produttività, e non su VPN, firewall e dispositivi di rete. È il punto decisivo del provvedimento.
  • Segmentazione di rete insufficiente. I controller di dominio avevano accesso a tutte le VLAN, e questo rendeva aggirabile la rete dedicata ai backup.
  • Backup non protetti. Mancava una copia offline o immutabile, e l’ultima copia utilizzabile risaliva a due mesi prima dell’incidente.
  • Nessun processo formalizzato di gestione delle vulnerabilità.

La conclusione del Garante è la parte che più dovrebbe interessare chi dirige un’azienda: la violazione non era né imprevedibile né inevitabile, e misure ormai di uso comune — come l’autenticazione a più fattori sulla VPN — avrebbero verosimilmente impedito l’attacco. È il modo in cui l’articolo 32 viene applicato nella pratica: non si chiede la sicurezza assoluta, si chiede lo stato dell’arte ragionevolmente esigibile.

Data breach da ransomware: perché i rimedi successivi non bastano

La società sanzionata aveva comunicato tempestivamente l’accaduto a dipendenti, pubblico e titolari committenti, non aveva precedenti e ha cooperato con l’Autorità. Dopo l’incidente ha investito oltre 200.000 euro in misure correttive e ha conseguito la certificazione ISO/IEC 27001.

Questi elementi hanno pesato come attenuanti sulla quantificazione della sanzione. Non hanno modificato l’accertamento della violazione. È una distinzione che vale la pena fissare: nel sistema del Regolamento ciò che si fa dopo riduce l’importo, ciò che si aveva prima decide se c’è stata violazione.

Il precedente più pesante del 2026

Lo stesso schema argomentativo si ritrova nella sanzione di 1.715.600 euro irrogata nel maggio 2026 a un operatore di telecomunicazioni. In quel caso non c’era alcun ransomware: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli addetti di due punti vendita a consentire l’accesso ai sistemi, sottraendo dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di essi, anche i metodi di pagamento. Le contestazioni hanno riguardato la gestione delle credenziali e dei certificati digitali e l’inefficacia delle verifiche di sicurezza, che non avevano rilevato le vulnerabilità.

Il filo comune è evidente: in entrambi i provvedimenti l’Autorità non si è fermata alla notizia dell’attacco, ma ha ricostruito l’assetto organizzativo che lo ha reso possibile. Il tema è approfondito anche nell’articolo sulle misure di sicurezza dell’articolo 32 e le sanzioni del 2026.

La notifica apre un fascicolo, non lo chiude

Molte aziende affrontano la notifica della violazione come l’adempimento conclusivo: si comunica entro settantadue ore e la pratica è archiviata. I provvedimenti dicono l’opposto. La notifica è il documento con cui il titolare mette per iscritto che cosa è accaduto, e da quel testo l’Autorità ricava le domande successive su misure, log, backup, fornitori e tempi di ripristino.

Significa che la notifica va redatta sapendo che sarà letta come atto istruttorio, e non come adempimento formale. Il punto è trattato nell’approfondimento su che cosa il Garante contesta dopo la notifica di data breach.

La verifica che conviene fare adesso

Senza entrare nel dettaglio tecnico, la domanda utile per chi guida un’impresa è se sia in grado di dare oggi una risposta documentata a quattro questioni: dove sono attivi i fattori di autenticazione aggiuntivi e dove non lo sono; quanto indietro va l’ultima copia di backup effettivamente ripristinabile e se esista una copia che un attaccante non possa raggiungere; per quanto tempo sono conservati i log e se qualcuno li guardi; chi risponde, e in quale ruolo, per i sistemi gestiti da fornitori esterni.

Se una di queste risposte non è disponibile, la carenza esiste già, indipendentemente dal fatto che un incidente sia avvenuto. È esattamente la situazione che i provvedimenti del 2026 hanno qualificato come violazione dell’articolo 32.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende ed enti nella gestione delle violazioni dei dati personali e nei procedimenti che ne derivano, in raccordo con i referenti tecnici: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha subito un incidente o ha già effettuato la notifica può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi collegati il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

Password in chiaro e credenziali deboli: quanto costa davvero

Misure di sicurezza GDPR: copertina dell'articolo sull'art. 32 e le sanzioni del Garante del 2026

Di tutte le norme del Regolamento europeo, l’art. 32 è quella che viene letta più spesso e applicata peggio. Chiede «misure tecniche e organizzative adeguate» a garantire un livello di sicurezza adeguato al rischio, senza fornire un elenco chiuso: e proprio questa apertura, che molti leggono come margine di manovra, è ciò che rende le misure di sicurezza GDPR il terreno su cui nel 2026 si sono viste alcune delle sanzioni più pesanti del Garante italiano.

1.715.600 euro: il caso Wind Tre

Con il provvedimento reso noto nella newsletter del 16 luglio 2026, il Garante per la protezione dei dati personali ha irrogato a Wind Tre S.p.A. una sanzione di 1.715.600 euro per gravi carenze di sicurezza.

I numeri della violazione: i dati personali di oltre 365.000 clienti sono stati esfiltrati e, per 41.359 di essi, sono state compromesse anche le informazioni relative ai metodi di pagamento. L’accesso ai sistemi era stato ottenuto da attaccanti che si erano spacciati per tecnici dell’assistenza — una tecnica di social engineering che non richiede strumenti sofisticati, ma soltanto un punto debole nelle procedure di verifica dell’identità.

L’Autorità ha ritenuto violati gli obblighi di integrità, riservatezza e sicurezza del trattamento e ha ordinato il rafforzamento dei sistemi di protezione delle credenziali e dei certificati. È un passaggio che merita attenzione: la misura correttiva ha riguardato esattamente il punto in cui l’organizzazione aveva ceduto, non un generico invito a fare meglio.

85.000 euro per password conservate male

Il secondo caso è meno clamoroso nei numeri e molto più istruttivo nella dinamica. Nella newsletter del 21 maggio 2026 il Garante ha reso nota la sanzione di 85.000 euro a The European House – Ambrosetti, a seguito di una violazione che ha riguardato 61.670 persone, fra dipendenti di società clienti e personale interno.

Le contestazioni:

  • Password conservate in parte in chiaro e in parte con metodi di cifratura non conformi.
  • Credenziali di sistemi ormai obsoleti mantenute in archivio, in violazione dei principi di conservazione e di sicurezza: dati che non servivano più a nulla e che hanno moltiplicato l’ampiezza della violazione.
  • Il ritardo nella comunicazione agli interessati. La società aveva notificato la violazione all’Autorità entro le settantadue ore previste, ma ha informato le persone coinvolte con circa due mesi di ritardo, e soltanto dopo l’intervento del Garante.

Quest’ultimo punto è quello che più spesso viene sottovalutato. Notificare al Garante e informare gli interessati sono due adempimenti distinti, con presupposti e tempi propri: avere assolto il primo non mette al riparo dalle conseguenze dell’avere trascurato il secondo.

Misure di sicurezza GDPR: cosa hanno in comune i due casi

A prima vista sono vicende diverse: un grande operatore di telecomunicazioni e una società di consulenza, un attacco esterno e una cattiva gestione degli archivi. Il filo che li lega è però lo stesso, e riguarda il modo in cui le misure di sicurezza GDPR vengono valutate dall’Autorità.

In entrambi i casi la contestazione non ha riguardato l’evento in sé — subire un attacco non è, di per sé, una violazione del Regolamento — ma lo stato dell’organizzazione nel momento in cui l’evento si è verificato: come erano protette le credenziali, quali dati erano ancora conservati e perché, quali procedure esistevano per verificare l’identità di chi chiedeva accesso, quanto tempo è passato prima che le persone coinvolte lo sapessero.

È una verifica che guarda indietro. Nel momento in cui l’Autorità avvia l’istruttoria, lo stato dei sistemi è già quello che è, e non c’è più nulla da sistemare: si può solo documentare quello che era stato fatto prima.

I profili che l’Autorità esamina per primi

Dai provvedimenti degli ultimi anni emerge una sequenza ricorrente di domande, che chiunque riceva una richiesta di informazioni dal Garante si vedrà rivolgere in forma pressoché identica: quali misure erano in essere alla data dell’evento e sulla base di quale analisi del rischio erano state scelte; chi aveva accesso a quali dati e con quali credenziali; per quanto tempo i dati venivano conservati e in forza di quale decisione; quali sistemi erano ancora attivi, quali dismessi e che fine avevano fatto le relative credenziali; quando è stata rilevata la violazione, quando notificata e quando comunicata agli interessati.

Sono domande a cui si risponde con documenti datati, non con dichiarazioni. Ed è questa, in concreto, la differenza tra un’organizzazione che ha gestito il rischio e una che se ne è occupata il giorno dopo.

L’ordine di grandezza

L’art. 83 del GDPR colloca le violazioni degli obblighi di sicurezza nella fascia che arriva a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo totale, se superiore; altre violazioni, fra cui quelle dei principi del trattamento, raggiungono i 20 milioni o il 4 per cento. Il Garante gradua tenendo conto della gravità, della durata, del numero di interessati, del grado di responsabilità e della cooperazione prestata.

Su questi aspetti abbiamo scritto più volte: dalla notifica del data breach entro le 72 ore ai tempi di conservazione dei dati personali, fino al registro dei trattamenti, che è il primo documento richiesto in ogni verifica. Il servizio di assistenza è descritto nella pagina sulla consulenza e compliance privacy; per le controversie amministrative collegate si rimanda allo studio legale dell’avv. Elio Errichiello.

Hai subito una violazione, o hai il sospetto che l’assetto delle tue misure non reggerebbe a una verifica? Il momento per parlarne è prima che arrivi la richiesta di informazioni. Scrivici dalla pagina contatti per un esame preliminare della documentazione e delle scadenze.

Avv. Elio Errichiello

Pubblicato il

Notifica data breach al Garante: le 72 ore sono il problema minore

Copertina dell'articolo sulla notifica data breach al Garante, con il marchio Data Protection Law

Le settantadue ore previste dall’art. 33 del Regolamento generale sulla protezione dei dati sono probabilmente il termine più citato e meno compreso dell’intera disciplina. La notifica data breach al Garante non è un adempimento formale che si esaurisce compilando un modulo online: è il momento in cui l’organizzazione dichiara all’autorità cosa è accaduto, e con ciò apre una finestra su come i propri dati erano protetti prima che accadesse. I provvedimenti adottati nell’ultimo anno mostrano che è quasi sempre lì che nasce la contestazione.

Cosa dice la norma, in sintesi

L’art. 33 impone al titolare del trattamento di notificare all’autorità di controllo la violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se la notifica arriva oltre quel termine, deve essere corredata dei motivi del ritardo.

L’art. 34 aggiunge un secondo obbligo, distinto dal primo: quando la violazione è suscettibile di presentare un rischio elevato, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo. Sono due valutazioni diverse, con soglie diverse, e vanno svolte separatamente.

Su chi ricadano questi obblighi dipende dai ruoli: la pagina che spiega chi è il DPO e quali compiti gli assegna il Regolamento aiuta a distinguerli. Il responsabile del trattamento, dal canto suo, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione: è la ragione per cui la catena contrattuale con i fornitori conta molto più di quanto si creda, perché il titolare risponde di un termine che decorre da una notizia che spesso non nasce dentro la sua organizzazione.

Quanto è frequente, davvero

Nella relazione sull’attività del 2025, presentata il 2 luglio 2026, il Garante ha reso noto di aver ricevuto 2.415 notifiche di violazione dei dati personali, con un incremento di circa il dieci per cento rispetto all’anno precedente. Di queste, 514 provengono dal settore pubblico — in prevalenza Comuni, istituzioni scolastiche e strutture sanitarie — e 1.901 dal settore privato. Nello stesso periodo sono state condotte 130 ispezioni, alcune dedicate proprio alla gestione delle violazioni.

Il dato utile non è il volume in sé, ma la sua composizione: la maggior parte delle notifiche non riguarda attacchi sofisticati, bensì configurazioni errate, invii a destinatari sbagliati, accessi non revocati, dispositivi smarriti. Sono eventi che nascono dentro processi ordinari.

Cosa viene contestato dopo la notifica

Qui sta il punto che le organizzazioni sottovalutano. La notifica non chiude la vicenda: la apre. Alcuni provvedimenti recenti lo illustrano bene.

Il ritardo nella comunicazione agli interessati. Nel provvedimento del 17 aprile 2026 relativo a una società di consulenza, che aveva subito una violazione riguardante oltre 61.000 interessati, è stata contestata — oltre alla conservazione di password in chiaro e a una cifratura non conforme — una comunicazione agli interessati intervenuta circa due mesi dopo la scoperta. La sanzione è stata di 85.000 euro.

L’omessa notifica. Nel provvedimento del 9 ottobre 2025 relativo a una struttura sanitaria, alla sanzione per la violazione sostanziale se ne è aggiunta una specifica e autonoma proprio per l’omessa notifica dell’evento. Sono due addebiti che si sommano.

Le misure di sicurezza a monte. È il fronte su cui si concentrano gli importi più elevati. Nel provvedimento del 14 maggio 2026 a carico di un operatore di telecomunicazioni, con una sanzione superiore a 1,7 milioni di euro per una violazione che ha interessato oltre 365.000 clienti e i relativi dati di pagamento, sono state contestate carenze nella gestione delle credenziali e dei certificati: l’evento è stato l’occasione dell’accertamento, non il suo oggetto principale.

L’impostazione del sistema. Nel provvedimento dell’11 giugno 2026 relativo a un ente territoriale, dove per alcuni giorni una comunicazione contenente ipotizzati profili di responsabilità disciplinare era rimasta accessibile a una trentina di persone all’interno dell’ente per un’errata configurazione dei permessi, il Garante ha richiamato tra le altre norme l’art. 25 del Regolamento, sulla protezione dei dati fin dalla progettazione. Il rilievo non riguardava la reazione all’incidente, ma il modo in cui il sistema era stato costruito.

Notifica data breach: perché le settantadue ore sono il problema minore

Il termine, di per sé, è gestibile. Quello che rende difficile rispettarlo è tutto ciò che deve essere già pronto quando l’evento si verifica: sapere chi decide, chi valuta il rischio, dove si trova l’inventario dei sistemi e dei dati, quali fornitori sono coinvolti e a quali obblighi contrattuali sono tenuti, con quali criteri si stabilisce se la soglia del rischio elevato è superata, chi redige il testo della comunicazione agli interessati e attraverso quali canali la diffonde.

Un’organizzazione che affronta queste domande per la prima volta mentre l’incidente è in corso arriva quasi sempre in ritardo, e il ritardo va motivato. Sul punto vale quanto abbiamo scritto a proposito di che cosa viene contestato alle aziende. Un’organizzazione che le ha affrontate prima si limita ad applicare una procedura, e — elemento non secondario — è in condizione di dimostrarlo. I criteri dell’art. 83 valorizzano espressamente le misure adottate per attenuare il danno e il grado di cooperazione con l’autorità: sono fattori che incidono sulla quantificazione, e che si documentano con atti formati prima.

C’è poi una considerazione ulteriore. La valutazione se un evento sia o non sia notificabile è tecnicamente delicata e va compiuta in poche ore, sulla base di informazioni spesso incomplete. Decidere di non notificare è una scelta che va assunta con cognizione e che deve restare tracciata: il registro delle violazioni previsto dall’art. 33, paragrafo 5, serve anche a questo, perché documenta le violazioni non notificate e le ragioni della decisione.

Cosa conviene fare adesso

Se nella vostra organizzazione non esiste una procedura scritta per la gestione delle violazioni, o se esiste ma non è mai stata provata, il momento per occuparsene è quello in cui non sta succedendo nulla. Le verifiche minime sono poche: esiste il registro delle violazioni, e viene tenuto anche per gli eventi non notificati? I contratti con i fornitori che trattano dati per vostro conto prevedono un obbligo di informazione tempestiva, con un termine determinato? Esiste una catena decisionale nota alle persone che per prime si accorgerebbero di un evento? È stata definita in anticipo la modalità di comunicazione agli interessati?

Come lavoriamo

Attraverso il servizio di consulenza e compliance privacy, lo studio assiste aziende, ordini professionali, Comuni, enti pubblici non economici e strutture sanitarie private nella predisposizione delle procedure di gestione delle violazioni, nella valutazione dei singoli eventi e nei rapporti con l’autorità, oltre a svolgere incarichi di responsabile della protezione dei dati. Sul versante del contenzioso amministrativo, la stessa impostazione è quella descritta sul sito dello studio legale dell’avv. Elio Errichiello.

Se avete subito una violazione e dovete decidere in poche ore come muovervi, oppure se volete verificare che la vostra procedura regga, potete contattare lo studio per un esame preliminare della documentazione e dei termini.