Data breach e GDPR: cosa fare nelle prime 72 ore

Capita di ricevere un messaggio che comincia così: «Comunicazione di violazione dei dati personali ai sensi dell'art. 34 del Regolamento UE 679/2016». È un'azienda che avvisa i propri clienti di un incidente sui loro dati, perché la legge glielo impone. Chi la riceve scopre una norma poco conosciuta; chi tratta dati personali — cioè qualunque impresa con un sito, un gestionale o una newsletter — farebbe bene a conoscerla prima di trovarsi dall'altra parte.

Questa guida spiega quando scattano i due obblighi, che cosa scrivere, entro quando, e come prepararsi adesso.

Che cosa significa per voi

• Avete un sito con moduli o area clienti — i dati che raccogliete rientrano nel perimetro, e la responsabilità della notifica resta vostra.
• Lavorate con fornitori esterni — hosting, software house e agenzie sono responsabili del trattamento, e il contratto deve dire come vi avvisano.
• Avete ricevuto una comunicazione del genere — la parte finale spiega cosa conviene fare come destinatari.

Che cos'è una violazione di dati personali

La definizione sta nell'articolo 4, punto 12 del GDPR, ed è più ampia di quanto molti immaginino: comprende la distruzione, la perdita, la modifica, la divulgazione e l'accesso non autorizzato, avvenuti in modo accidentale oppure illecito.

L'ultima riga sorprende sempre: anche la sola perdita di disponibilità è una violazione. Un archivio clienti cancellato per errore, con la copia di sicurezza che si rivela inutilizzabile, rientra pienamente nella definizione.

I due obblighi, distinti

La differenza pratica: molte violazioni si notificano all'autorità e restano senza comunicazione alle persone, perché il rischio resta contenuto. Il passo in più verso gli interessati scatta quando le conseguenze possono toccarli davvero — credenziali esposte, dati di pagamento, informazioni sulla salute, documenti d'identità.

Le 72 ore: da quando si contano

Il termine decorre dal momento in cui il titolare viene a conoscenza della violazione, cioè da quando ha un ragionevole grado di certezza che un incidente di sicurezza ha coinvolto dati personali. Il tempo per una prima verifica rientra in questo passaggio, e conviene documentarlo.

Due possibilità rendono il termine sostenibile anche quando il quadro resta incerto.

• Notifica per fasi: l'articolo 33 permette di fornire le informazioni in momenti successivi, senza ulteriore ingiustificato ritardo. Si apre la notifica con quello che si sa, e si completa dopo.
• Notifica tardiva motivata: oltre le 72 ore la notifica resta valida, accompagnata dalle ragioni del ritardo.

La notifica si presenta al Garante attraverso la procedura telematica dedicata, disponibile sul suo sito.

Cosa contiene la notifica all'autorità

• Natura della violazione, con le categorie e il numero approssimativo di persone e di registrazioni coinvolte.
• Dati di contatto del responsabile della protezione dei dati, quando designato, o di altro punto di contatto.
• Conseguenze probabili della violazione.
• Misure adottate o proposte per porvi rimedio e per attenuarne gli effetti.

Il numero approssimativo basta: una stima ragionata vale più di un ritardo passato a contare righe.

Quando si avvisano le persone, e quando resta escluso

La comunicazione agli interessati scatta con il rischio elevato. L'articolo 34 prevede però tre situazioni in cui resta esclusa, e vale la pena conoscerle perché premiano chi ha lavorato bene prima.

Resta il potere dell'autorità di richiedere la comunicazione quando ritiene elevato il rischio. E resta un argomento pratico: avvisare per scelta, anche fuori dai casi dovuti, spesso protegge la relazione con il cliente meglio del silenzio.

Come si scrive la comunicazione agli interessati

Il contenuto minimo richiama quello della notifica: natura della violazione, punto di contatto, conseguenze probabili, misure adottate. La forma, invece, cambia del tutto — la norma chiede linguaggio semplice e chiaro.

Una comunicazione efficace sta in mezza pagina e risponde a quattro domande.

1. Che cosa è successo, in una frase, con la data.
2. Quali dati vostri sono coinvolti, elencati senza giri di parole.
3. Che cosa rischiate, detto con onestà.
4. Che cosa vi conviene fare adesso: cambiare la password, diffidare di messaggi che citano l'episodio, controllare i movimenti.

Chiude il contatto a cui scrivere per chiedere altro. Le lettere piene di richiami normativi e povere di indicazioni pratiche ottengono l'effetto contrario: allarmano e lasciano la persona senza strumenti.

Il riferimento operativo per questa parte sono le linee guida EDPB 9/2022, nella versione aggiornata del marzo 2023: dedicano alla comunicazione agli interessati una sezione dettagliata, su quando è dovuta, con quali modalità e con quale contenuto.

Gli otto elementi di una comunicazione fatta bene

Le comunicazioni scritte meglio, quelle che riducono le telefonate invece di moltiplicarle, contengono questi elementi.

Il tempo per avvisare le persone

A differenza della notifica all'autorità, la comunicazione agli interessati ha come termine «senza ingiustificato ritardo», senza un limite in ore. La ragione è pratica: individuare chi è davvero coinvolto richiede analisi tecniche, e un elenco sbagliato produce danni propri. Nei casi complessi passano settimane fra l'evento e le lettere.

Questo rende ancora più importante la documentazione: la ricostruzione delle verifiche svolte è ciò che giustifica il tempo impiegato, verso l'autorità e verso i clienti.

Quando la violazione nasce in un'altra azienda

Capita spesso, e sorprende chi lo vive per la prima volta: l'incidente avviene nei sistemi di un partner o di un fornitore, e tocca dati che riguardano anche i vostri clienti. Ciascun titolare conserva allora gli obblighi verso le proprie persone: valuta il rischio, notifica all'autorità quando dovuto, comunica ai propri interessati con parole proprie.

Da qui tre indicazioni concrete.

• Mappate i flussi verso partner e fornitori: chi tratta quali dati dei vostri clienti.
• Scrivete nel contratto tempi e canali di avviso, insieme all'impegno a fornire le informazioni tecniche necessarie alla vostra valutazione.
• Preparate un modello di comunicazione: quando l'avviso arriva da un terzo, il tempo utile si consuma in fretta.

Il registro delle violazioni

L'articolo 33 chiede al titolare di documentare tutte le violazioni, comprese quelle che restano senza notifica, con effetti, circostanze e rimedi adottati. È il documento che l'autorità guarda per primo in caso di controllo, e serve a dimostrare che la valutazione è stata fatta.

Un registro utile sta in una tabella con sette colonne: data e ora della scoperta, come è emersa, dati e persone coinvolte, valutazione del rischio, decisione su notifica e comunicazione con la motivazione, misure adottate, esito.

Chi fa cosa, fra azienda e fornitori

Il punto delicato è il contratto previsto dall'articolo 28: deve indicare con quali tempi e con quali canali il fornitore avvisa l'azienda. Una clausola generica trasforma le prime ore in una catena di telefonate, mentre un recapito dedicato e un termine scritto fanno partire l'orologio dalla parte giusta.

Il piano per le prime ore

1. Contenere: isolare il sistema colpito, revocare le credenziali esposte, bloccare l'accesso in corso.
2. Accertare: quali dati, quante persone, da quando, con quale origine. Fermare l'orologio della scoperta e annotarlo.
3. Valutare il rischio per le persone, con una motivazione scritta che regga anche mesi dopo.
4. Notificare all'autorità quando dovuto, per fasi se il quadro resta incompleto.
5. Comunicare agli interessati in caso di rischio elevato, con il testo semplice visto sopra.

Poi, a freddo, arriva la parte che evita il seguito: rimuovere la causa, verificare che le copie di sicurezza funzionino davvero, aggiornare il registro e rivedere le procedure.

Errori che vediamo spesso

• Attendere il quadro completo prima di notificare, lasciando scadere le 72 ore.
• Considerare l'evento chiuso perché il problema tecnico è stato risolto: la valutazione e il registro restano dovuti.
• Comunicare in linguaggio giuridico, senza dire alla persona cosa fare.
• Contratti con i fornitori privi di clausola su tempi e canali di avviso.
• Copie di sicurezza lasciate senza prova di ripristino, che trasformano un guasto in perdita definitiva.
• Registro assente, cioè l'unica prova che la valutazione è stata svolta.

Prepararsi conviene più che reagire

Le misure che riducono il rischio sono le stesse che, in caso di incidente, possono escludere la comunicazione agli interessati e alleggerire la posizione dell'azienda.

• Cifratura dei dati a riposo e in transito, a partire dalle copie di sicurezza.
• Accessi personali con autenticazione forte, revocati quando una persona cambia ruolo.
• Copie di sicurezza provate con un ripristino reale, almeno una volta l'anno.
• Registri di accesso conservati, per ricostruire cosa è successo e quando.
• Elenco dei fornitori che trattano dati per vostro conto, con i contratti aggiornati.
• Formazione breve contro i messaggi ingannevoli, che restano la porta d'ingresso più usata.

Se la comunicazione l'avete ricevuta voi

Da destinatari, tre mosse bastano quasi sempre: cambiare la password di quel servizio e di ogni altro dove fosse ripetuta, attivare l'autenticazione a due fattori dove possibile, e tenere alta la guardia sui messaggi che citano l'episodio, perché le campagne di truffa seguono gli incidenti a distanza di giorni. Conservate la comunicazione: contiene il punto di contatto a cui chiedere quali dati vi riguardano.

Come ci lavoriamo

Sul lato tecnico la prevenzione si costruisce con cose concrete: aggiornamenti regolari, accessi separati per ruolo, copie di sicurezza verificate, registri conservati, trasporto cifrato, moduli che raccolgono il minimo necessario. Sul lato documentale servono informative corrette, contratti con i fornitori e un registro pronto all'uso. È il lavoro descritto nelle pagine privacy e cookie e manutenzione e sicurezza.

Se volete una verifica del vostro sito su questi punti, scriveteci dalla pagina preventivo: guardiamo accessi, copie, moduli e fornitori, e vi diciamo dove intervenire per primo.

Fonti

• Regolamento (UE) 2016/679 (GDPR), artt. 4 punto 12, 28, 33, 34 e 83
• Garante per la protezione dei dati personali, Violazioni di dati personali (data breach): gli adempimenti
• EDPB, linee guida 9/2022 sulla notifica delle violazioni di dati personali, versione 2.0 del 28 marzo 2023
• EDPB, linee guida 01/2021 con esempi pratici di violazione e relative decisioni
• Garante, procedura telematica per la notifica delle violazioni

Verificato il 17.10.2026. Questa guida ha finalità informativa: la valutazione di un singolo incidente richiede l'esame del caso concreto.