Un accesso non autorizzato a un database clienti, un ransomware che cifra i server aziendali, un invio massivo di email con l’indirizzario in copia visibile: sono tutti episodi diversi che il GDPR racchiude sotto un’unica etichetta, quella di data breach, e che impongono al titolare del trattamento di attivare in poche ore una macchina organizzativa fatta di valutazioni tecniche, decisioni legali e adempimenti formali.
È doveroso evidenziare che la gestione di una violazione di dati personali non è un’attività improvvisata. Richiede un protocollo operativo definito in anticipo, ruoli chiari (titolare, responsabile, DPO), strumenti di valutazione del rischio e la capacità di rispettare termini stretti, a partire dalle celebri 72 ore previste dall’articolo 33 del GDPR.
In particolare, occorre strutturare la procedura di segnalazione al Garante per la protezione dei dati personali, comprendere quando scatta l’obbligo di informare direttamente gli interessati, gestire correttamente il registro delle violazioni e conoscere le conseguenze, anche sanzionatorie, di una gestione tardiva o incompleta.
Indice degli argomenti
Quali sono i requisiti di notifica di un data breach secondo il GDPR
Prima di entrare nel merito della procedura, è necessario chiarire da dove nasce l’obbligo di notifica e quali episodi rientrano davvero nella definizione di violazione dei dati personali: due presupposti da cui dipende ogni scelta operativa successiva.
I presupposti normativi per l’obbligo di comunicazione alle autorità
L’obbligo di notifica nasce dagli articoli 33 e 34 del GDPR e si innesta su un principio di accountability: il titolare del trattamento deve essere in grado, in ogni momento, di dimostrare di aver individuato, valutato e gestito correttamente un incidente di sicurezza.
L’articolo 33 impone, infatti, la notifica all’autorità di controllo competente – in Italia il Garante per la protezione dei dati personali – ogni volta che una violazione comporti un rischio, anche non elevato, per i diritti e le libertà delle persone fisiche.
È importante evidenziare che l’obbligo di notifica non si applica nei casi in cui sia ragionevolmente improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà degli interessati.
Si consiglia di leggere le linee guida interpretative dell’European Data Protection Board (EDPB), in particolare le Linee guida 9/2022 sulla notifica delle violazioni e le precedenti Linee guida 01/2021 con casi pratici, che aiutano i titolari a distinguere le fattispecie che richiedono notifica da quelle che possono essere gestite solo internamente.
Data breach e Digital Omnibus: le modifiche in discussione
Le proposte di modifica al GDPR contenute nel Digital Omnibus, attualmente ancora in discussione a livello europeo, non intervengono direttamente sugli obblighi di gestione e di notifica dei data breach previsti dagli articoli 33 e 34 del Regolamento, ma potrebbero incidere sul loro ambito di applicazione e sulle modalità operative di adempimento.
In particolare, la possibile ridefinizione del concetto di “dato personale”, basata sulla concreta possibilità di identificazione dell’interessato da parte del titolare, potrebbe ridurre il numero di eventi qualificabili come violazioni di dati personali.
Ne conseguirebbe che, in questo scenario, alcuni incidenti che coinvolgono dati pseudonimizzati o non ragionevolmente riconducibili a una persona fisica potrebbero essere esclusi dal perimetro applicativo del GDPR.
Un’ulteriore ipotesi in discussione riguarda l’introduzione di un punto unico di notifica (single reporting interface), pensato per semplificare gli adempimenti delle organizzazioni. L’obiettivo sarebbe consentire un’unica comunicazione verso le autorità competenti in caso di incidenti che generano obblighi di notifica previsti da più normative europee, come GDPR, NIS2, DORA o Cyber Resilience Act.
Tale soluzione mira a ridurre duplicazioni, incoerenze e oneri amministrativi, garantendo comunque l’accesso alle informazioni da parte delle diverse autorità competenti.
Si tratta, comunque, di proposte ancora in fase di negoziazione e soggette a possibili modifiche. Fino alla loro eventuale approvazione, restano pienamente vigenti gli attuali obblighi del GDPR in materia di valutazione, gestione e notifica dei data breach.
La definizione di violazione dei dati personali nel contesto aziendale
L’articolo 4, paragrafo 12, del GDPR definisce la violazione dei dati personali come una violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o altrimenti trattati.
Il Garante per la protezione dei dati personali chiarisce che un data breach può compromettere una o più delle tre dimensioni fondamentali della sicurezza dei dati, ossia riservatezza, integrità e disponibilità. Questi tre profili costituiscono una griglia interpretativa essenziale per consentire alle organizzazioni di valutare rapidamente la natura e la gravità di un incidente appena rilevato.
Inoltre, per rendere più operativa tale definizione, il Garante individua una serie di situazioni concrete che configurano una violazione di dati personali. Rientrano in questa categoria l’accesso non autorizzato ai dati da parte di soggetti terzi, il furto o lo smarrimento di dispositivi aziendali contenenti informazioni personali come computer, smartphone, hard disk o chiavette USB, l’alterazione non autorizzata dei dati, nonché l’impossibilità di accedervi a causa di eventi accidentali, attacchi informatici, malware o altre forme di compromissione dei sistemi.
Sono inclusi anche i casi di perdita o distruzione dei dati derivanti da incidenti, eventi avversi o calamità naturali.
Un ulteriore ambito riguarda la divulgazione non autorizzata di dati personali, che può verificarsi, ad esempio, a seguito di errori materiali nell’invio di comunicazioni o documenti che espongono informazioni a destinatari non autorizzati.
Ancora, nella pratica aziendale, la nozione di data breach non si limita agli attacchi informatici più evidenti, ma comprende anche episodi apparentemente minori, come l’invio di un’email con destinatari visibili anziché in copia nascosta, la dimenticanza di documenti cartacei in aree accessibili a terzi o l’accesso non autorizzato a informazioni da parte di personale interno non abilitato.
È doveroso evidenziare che la varietà di queste casistiche rende indispensabile l’adozione di procedure interne strutturate, in grado di intercettare, classificare e gestire correttamente ogni possibile violazione, anche quando non immediatamente evidente.
Come strutturare la procedura di segnalazione al Garante della privacy
Una volta accertato che l’incidente rientra tra quelli notificabili, entrano in gioco due elementi operativi decisivi: il rispetto dei tempi previsti dalla norma e la corretta compilazione del modello di notifica.
I termini temporali delle settantadue ore e il calcolo del ritardo giustificato
Il termine di 72 ore decorre dal momento in cui il titolare del trattamento – o chi agisce per suo conto – viene a conoscenza della violazione e non dal momento in cui l’incidente si è effettivamente verificato.
Ciò significa che l’orologio può scattare giorni o settimane dopo l’attacco originario, se la scoperta avviene solo in un secondo momento, grazie a un sistema di monitoraggio o a una segnalazione esterna.
Il calcolo pratico richiede, quindi, un primo passaggio cruciale: stabilire con precisione e documentare il momento della “conoscenza ragionevolmente certa” dell’incidente, distinguendolo da semplici sospetti iniziali che possono legittimamente richiedere una breve verifica tecnica preliminare.
Inoltre, se la notifica al Garante avviene oltre le 72 ore, la norma non impedisce l’invio tardivo, ma impone di accompagnarlo con una motivazione puntuale del ritardo. I tempi di indagine forense più lunghi del previsto, le difficoltà nel ricostruire l’entità della violazione o il coinvolgimento di fornitori esterni sono le giustificazioni più frequenti, sempre che siano documentate e non generiche.
Il responsabile del trattamento ha l’obbligo di informare tempestivamente il titolare non appena viene a conoscenza di un possibile incidente.
I contenuti essenziali del modello di notifica telematico
Dal primo luglio 2021 la notifica al Garante privacy si effettua esclusivamente attraverso la procedura telematica dedicata, raggiungibile all’indirizzo servizi.gpdp.it/databreach, che ha sostituito i vecchi moduli via PEC.
Il portale mette a disposizione anche un facsimile di anteprima e uno strumento di autovalutazione (self assessment) pensato per orientare le imprese, soprattutto quelle di piccole dimensioni, nella decisione se procedere o meno alla notifica; le istruzioni operative dettagliate sono consultabili nella sezione istruzioni del servizio.
Ai sensi dell’articolo 33, paragrafo 3, del GDPR, la notifica del data breach all’Autorità di controllo deve contenere una serie di informazioni essenziali. In particolare, è necessario descrivere la natura della violazione, indicando, ove possibile, le categorie e il numero approssimativo degli interessati coinvolti e dei dati personali compromessi.
La notifica deve, inoltre, riportare il nome e i recapiti del Data Protection Officer (DPO) o di un altro punto di contatto, descrivere le probabili conseguenze del data breach e illustrare le misure adottate (o che si intendono adottare) per contenere la violazione e ridurne gli effetti negativi.
Qualora tutte le informazioni non siano immediatamente disponibili, il GDPR consente di inviare la notifica in più fasi, integrandola progressivamente non appena emergono nuovi elementi, senza ingiustificato ritardo. Tale approccio permette di rispettare gli obblighi previsti dal Regolamento anche nelle situazioni in cui le attività di analisi dell’incidente siano ancora in corso.
Quali criteri determinano l’obbligo di comunicazione agli interessati
È importante evidenziare che non tutte le violazioni notificate al Garante devono essere portate a conoscenza anche delle persone coinvolte.
Di seguito una descrizione di quando scatta questo obbligo aggiuntivo e in quali casi il titolare può legittimamente evitarlo.
La valutazione del rischio elevato per i diritti e le libertà delle persone
L’articolo 34 del GDPR alza l’asticella rispetto alla notifica all’autorità: la comunicazione diretta agli interessati scatta solo quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e libertà.
Tra gli indicatori che il titolare deve considerare rientrano la natura e la sensibilità dei dati coinvolti, come dati sanitari, finanziari, giudiziari o relativi a minori; la facilità con cui i dati possono essere ricondotti a una persona identificabile; il numero di interessati coinvolti; e le possibili conseguenze concrete, quali furto d’identità, frodi, discriminazioni, danni reputazionali o perdite economiche.
La comunicazione, quando è dovuta, deve avvenire senza ingiustificato ritardo, con un linguaggio semplice e chiaro, indicando: la natura della violazione; il contatto del DPO; le probabili conseguenze; le misure adottate o consigliate agli interessati per proteggersi (ad esempio, il cambio immediato delle password).
Le deroghe all’obbligo di informazione diretta agli utenti coinvolti
Il GDPR prevede specifiche circostanze in cui il titolare del trattamento può essere esonerato dall’obbligo di comunicazione individuale agli interessati in caso di violazione dei dati personali. Tale esenzione non elimina, tuttavia, gli obblighi di tracciamento interno dell’incidente né l’eventuale necessità di notifica al Garante per la protezione dei dati personali.
Inoltre, la comunicazione diretta agli interessati non è richiesta quando il titolare ha implementato misure tecniche e organizzative adeguate applicate ai dati coinvolti nella violazione, tali da renderli di fatto illeggibili o inintelligibili a soggetti non autorizzati, come nel caso della cifratura con chiavi non compromesse.
Un’ulteriore ipotesi riguarda i casi in cui, successivamente all’evento, siano state adottate misure idonee a escludere la concreta sussistenza di un rischio elevato per i diritti e le libertà delle persone fisiche.
L’esenzione può, altresì, applicarsi quando la comunicazione individuale risulti sproporzionata rispetto allo sforzo richiesto: in tali situazioni è ammessa una forma di comunicazione pubblica alternativa, come la pubblicazione di un avviso ben visibile sul sito istituzionale o tramite canali equivalenti.
È importante evidenziare che la valutazione effettuata dal titolare non ha carattere definitivo, poiché l’Autorità Garante può riesaminare la decisione e, qualora ritenga che il rischio per gli interessati sia effettivamente elevato, imporre comunque la comunicazione individuale o adottare ulteriori misure correttive previste dal GDPR.
Come gestire il registro delle violazioni e la documentazione interna
Ogni incidente, indipendentemente dall’esito della valutazione sulla notifica, va documentato in modo strutturato. Di seguito sono indicate le informazioni che non possono mancare nel registro aziendale e il ruolo del DPO in questa fase.
Le informazioni minime da inserire nel registro dei data breach aziendale
Il GDPR, indipendentemente dall’esito della valutazione sulla necessità di notifica dell’incidente, impone al titolare del trattamento un obbligo autonomo e sempre vigente di documentazione di tutte le violazioni di dati personali. Ciò include anche gli eventi che, a seguito di una valutazione interna, non vengono ritenuti soggetti a notifica al Garante.
Tale obbligo di registrazione ha una funzione fondamentale di accountabilitye consente all’Autorità di controllo di verificare ex post la correttezza delle decisioni adottate dall’organizzazione.
Il registro dei data breach può essere gestito come documento indipendente oppure integrato nel registro delle attività di trattamento previsto dall’articolo 30 del GDPR.
Inoltre, per ciascun incidente, il registro dovrebbe riportare in modo strutturato informazioni essenziali quali: la data e le modalità di scoperta della violazione; la data presunta di accadimento; la natura e la causa dell’evento con riferimento all’impatto su riservatezza, integrità o disponibilità dei dati; le categorie e il numero approssimativo di interessati e di dati personali coinvolti.
È altresì necessario includere la valutazione del rischio effettuata dal titolare, comprensiva delle motivazioni che supportano l’eventuale decisione di non procedere alla notifica, unitamente alle misure correttive e di mitigazione adottate per contenere o risolvere l’incidente.
Infine, il registro deve indicare l’esito delle eventuali comunicazioni al Garante e, se applicabile, agli interessati.
È doveroso evidenziare che una gestione accurata del registro, aggiornata in tempo reale e basata su evidenze contestuali, anziché su ricostruzioni successive, rappresenta un elemento determinante in sede di audit o di verifica da parte dell’Autorità, poiché dimostra la solidità del sistema di gestione degli incidenti e il livello di compliance complessivo dell’organizzazione.
Il ruolo del Data Protection Officer (DPO) nella verbalizzazione dell’incidente
Il DPO riveste un ruolo di garanzia e di coordinamento nella gestione dell’incidente: non decide al posto del titolare, che resta l’unico responsabile della scelta finale su notifica e comunicazione, ma fornisce consulenza sulla valutazione del rischio, verifica la completezza della documentazione raccolta e rappresenta il punto di contatto ufficiale indicato nella notifica al Garante e nella comunicazione agli interessati.
È importante evidenziare che il DPO svolge un ruolo chiave nella gestione strutturata del registro dei data breach, assicurandone l’aggiornamento continuo e la corretta classificazione degli incidenti. In particolare, contribuisce a distinguere le violazioni soggette a notifica obbligatoria al Garante da quelle che possono essere gestite internamente, senza comunicazione esterna.
Un ulteriore compito centrale del DPO è garantire la coerenza tra le informazioni registrate, quanto effettivamente accaduto e quanto eventualmente comunicato all’Autorità. Tale allineamento documentale è fondamentale perché rappresenta un elemento di prova rilevante in caso di ispezioni, verifiche o procedimenti sanzionatori successivi.
Quali sono le sanzioni amministrative per la mancata o tardiva segnalazione
Il mancato rispetto dei termini e degli obblighi previsti dal GDPR espone il titolare del trattamento a conseguenze rilevanti sia sul piano economico sia su quello reputazionale. Di fatto, oltre alle possibili sanzioni amministrative, possono emergere costi diretti legati a richieste di risarcimento da parte degli interessati, qualora dalla violazione dei dati derivi un danno concreto.
A questi impatti si aggiungono rischi indiretti, spesso sottovalutati, quali il danno d’immagine e la perdita di fiducia da parte di clienti, partner e stakeholder.
I criteri di quantificazione delle penali per le imprese
La violazione degli obblighi di notifica e di comunicazione previsti dagli articoli 33 e 34 rientra tra le fattispecie sanzionabili ai sensi dell’articolo 83 del GDPR, con sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato totale annuo mondiale dell’esercizio precedente, se superiore.
Nel quantificare la sanzione, il Garante tiene conto di una pluralità di elementi: la natura, la gravità e la durata della violazione, il grado di responsabilità del titolare, le misure di sicurezza già adottate prima dell’incidente, l’eventuale recidiva, il grado di cooperazione con l’autorità durante l’istruttoria e le categorie di dati coinvolte.
Inoltre, il Garante può esercitare i poteri correttivi previsti dall’articolo 58, paragrafo 2, del Regolamento, imponendo misure specifiche come l’adeguamento delle procedure di sicurezza, l’obbligo di comunicare la violazione agli interessati anche quando il titolare non lo aveva ritenuto necessario o limitazioni temporanee al trattamento dei dati.
La responsabilità civile e il danno reputazionale per il brand aziendale
È importante evidenziare che alle sanzioni amministrative si affianca il rischio di azioni risarcitorie da parte degli interessati, ai sensi dell’articolo 82 del GDPR, che riconosce il diritto al risarcimento sia per il danno materiale sia per quello immateriale derivante dalla violazione dei dati personali.
Inoltre, in caso di incidenti che coinvolgono un elevato numero di soggetti, non sono infrequenti azioni collettive o richieste risarcitorie multiple, con un impatto economico che può risultare superiore rispetto all’importo delle sanzioni amministrative.
Oltre agli effetti economici diretti, occorre considerare un danno meno immediato, ma spesso più persistente: quello reputazionale. La perdita di fiducia da parte di clienti, partner e investitori, unitamente alla visibilità mediatica che accompagna le violazioni più gravi, può tradursi in una riduzione delle quote di mercato, in maggiori difficoltà nell’acquisizione di nuovi clienti e in una crescente diffidenza nelle relazioni commerciali. Per questo, la prevenzione e la gestione tempestiva degli incidenti rappresentano una priorità strategica, oltre che normativa.
Conclusione
Una gestione efficace del data breach non si limita al rispetto del termine delle 72 ore previsto dal GDPR, ma richiede soprattutto la definizione preventiva di un sistema strutturato di risposta agli incidenti. Ciò implica la predisposizione di un protocollo chiaro che stabilisca ruoli e responsabilità, flussi di escalation, criteri di valutazione del rischio e modelli standardizzati per la notifica delle violazioni.
Le organizzazioni più mature nella gestione della sicurezza dei dati sono quelle che affrontano gli incidenti con maggiore efficacia, grazie a investimenti preventivi in formazione del personale, aggiornamento costante del registro dei data breach, collaborazione strutturata con il DPO e attività periodiche di test e simulazione dei processi di incident response.
Concludendo, a fronte di un contesto normativo in continua evoluzione, anche alla luce delle possibili novità introdotte a livello europeo, adottare un approccio proattivo e mantenersi costantemente aggiornati rappresenta la strategia più efficace per ridurre i rischi legali, sanzionatori e reputazionali legati alle violazioni di dati personali.
Partecipa alla community