Data breach: cosa fare nelle prime 72 ore

Per chi è questa guida: titolari di PMI, team IT e responsabili della protezione dei dati (DPO) che devono sapere cosa fare, subito. Se la vostra organizzazione agisce solo come responsabile del trattamento, il vostro obbligo principale è informare il cliente senza ingiustificato ritardo (punto 2).

1 · Riconoscere

È una violazione dei dati?

Il GDPR definisce la violazione dei dati personali, il data breach, come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali (art. 4, punto 12). Non serve un hacker. L’EDPB classifica le violazioni in tre tipi (linee guida 9/2022, punto 17):

• Riservatezza: qualcuno ha visto ciò che non doveva. Un’e-mail alla persona sbagliata, una cartella condivisa con il link aperto, un portatile rubato.
• Integrità: i dati sono stati modificati senza autorizzazione. Per esempio, l’IBAN di un fornitore cambiato in una frode sui pagamenti.
• Disponibilità: i dati non sono più accessibili, anche solo temporaneamente. Un ransomware, un file cancellato senza backup. Una manutenzione programmata non conta (punto 21).

Un’e-mail inviata alla persona sbagliata è una violazione di riservatezza. I dati sono stati comunicati a qualcuno che non aveva il diritto di vederli, anche se quella persona non ha cattive intenzioni.

2 · L’orologio

Quando iniziano le 72 ore

Il termine decorre dal momento in cui l’organizzazione ne viene a conoscenza. Per l’EDPB, questo avviene quando ha «un ragionevole grado di certezza» che si è verificato un incidente di sicurezza che ha compromesso dati personali (linee guida 9/2022, punto 31).

In pratica ci sono due situazioni. Quando l’errore è evidente, come un’e-mail inviata, la conoscenza è immediata. Quando c’è solo un segnale d’allarme, come un avviso dell’antivirus, potete fare una breve indagine per confermarlo. L’indagine deve iniziare subito e non può servire a guadagnare tempo.

Il fine settimana conta. Il regolamento 1182/71, che fissa le regole sui termini nel diritto dell’UE, stabilisce che i termini comprendono i giorni festivi, le domeniche e i sabati, salvo che siano espressi in giorni lavorativi (art. 3, paragrafo 3). Il termine del GDPR è in ore. Se Rui l’ha saputo venerdì alle 17:40, il termine scade al più tardi lunedì alle 17:40.

Se siete responsabili del trattamento (per esempio un’azienda informatica o una piattaforma di e-mail marketing), dovete informare il vostro cliente, il titolare del trattamento, senza ingiustificato ritardo (art. 33, paragrafo 2). Da quell’avviso, l’orologio del cliente è partito (linee guida 9/2022, punto 44). Per questo i contratti con i responsabili del trattamento devono fissare un termine breve per l’avviso.

Modello gratuito: il Kit di risposta ai data breach trasforma questa guida in un foglio di calcolo pronto all’uso.

3 · Il piano

Le 72 ore, ora per ora

Questa divisione non è nella legge. È un modo pratico per avere, al momento di decidere, le informazioni che servono.

4 · La decisione

Il rischio in tre livelli

La domanda non è «quanto è grave per l’azienda?». È «cosa può succedere alle persone i cui dati sono stati coinvolti?». L’EDPB chiede di considerare il tipo di violazione, la natura, la sensibilità e il volume dei dati, la facilità di identificare le persone, la gravità delle conseguenze, le caratteristiche particolari delle persone (per esempio minori) o del titolare, e il numero di persone coinvolte (linee guida 9/2022, punti da 105 a 118).

Volete metterci dei numeri? L’EDPB indica come utile il metodo dell’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza (linee guida 9/2022, punto 120). Calcola la gravità con la formula SE = DPC × EI + CB. DPC valuta il tipo di dati da 1 a 4, EI è la facilità di identificare le persone (da 0,25 a 1) e CB aggiunge punti per le circostanze, come la comunicazione a destinatari sconosciuti o l’intento malevolo. Un risultato sotto 2 indica gravità bassa; da 2 a 3, media; da 3 a 4, alta; da 4 in su, molto alta (ENISA, 2013). Il punteggio aiuta a motivare la decisione, ma non la prende al posto vostro.

5 · Casi

Come decide l’EDPB casi simili

Le linee guida 01/2021 dell’EDPB analizzano 18 casi pratici. Abbiamo scelto quelli più frequenti in una PMI. Riassumiamo i fatti; il verdetto è dell’EDPB.

Notate lo schema. Cifratura e backup cambiano il risultato. Lo stesso errore, come un’e-mail alla persona sbagliata, può passare da «solo documentare» a «notificare e avvisare» a seconda del volume, della sensibilità dei dati e della possibilità di ottenere la cancellazione.

6 · Notificare

Cosa inserire nella notifica

Ogni autorità ha il suo modulo. In Italia si notifica al Garante con la procedura telematica indicata nella sua pagina sul data breach; in Portogallo si usa il modulo della CNPD (l’autorità portoghese per la protezione dei dati). Qualunque sia il modulo, il GDPR richiede almeno quattro elementi (art. 33, paragrafo 3). Tenete pronte queste risposte prima di aprirlo:

1. Cosa è successo. La natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte. Esempio: «Invio per errore, via e-mail, di un file con nome, indirizzo, telefono e storico degli ordini di circa 300 clienti a un contatto esterno».
2. Chi contattare. Nome e dati di contatto del DPO o di un altro punto di contatto. Esempio: «Inês [cognome], DPO, [e-mail], [telefono]».
3. Conseguenze probabili. Cosa può succedere alle persone. Esempio: «Rischio di contatti fraudolenti da parte di chi si spaccia per l’azienda. Nessun dato di pagamento coinvolto».
4. Misure adottate o proposte. Per porre rimedio alla violazione e attenuarne gli effetti. Esempio: «Richiesta di cancellazione alla destinataria, con conferma attesa il primo giorno lavorativo; revisione delle regole per l’invio di file con dati dei clienti».

Non sapete ancora tutto? Inviate ciò che sapete entro il termine e completate dopo. La legge consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo (art. 33, paragrafo 4; linee guida 9/2022, punto 56). Se notificate dopo le 72 ore, dovete indicare i motivi del ritardo (art. 33, paragrafo 1).

7 · Avvisare le persone

Quando e come avvisare gli interessati

Quando il rischio è elevato, dovete avvisare gli interessati senza ingiustificato ritardo (art. 34, paragrafo 1). Il messaggio deve usare un linguaggio semplice e chiaro, descrivere la natura della violazione e contenere gli elementi 2, 3 e 4 della notifica (art. 34, paragrafo 2). Aggiungete cosa può fare la persona: diffidare di telefonate che chiedono dati, cambiare la password, controllare i movimenti del conto. Se, dopo l’avviso, qualcuno chiede quali suoi dati sono stati coinvolti, trattatela come una richiesta di accesso, con il suo termine di un mese.

Non serve avvisare ogni persona in tre situazioni (art. 34, paragrafo 3):

• i dati erano protetti in modo da essere incomprensibili a chiunque non sia autorizzato ad accedervi, per esempio con una cifratura robusta;
• avete adottato successivamente misure che scongiurano il sopraggiungere del rischio elevato;
• avvisare ogni persona richiederebbe sforzi sproporzionati. In quel caso fate una comunicazione pubblica o un’altra misura altrettanto efficace.

Anche quando non è obbligatorio, avvisare può essere la scelta giusta se l’aiuto delle persone riduce il rischio. Nel caso 13 delle linee guida 01/2021, due ordini spediti ai clienti sbagliati, l’EDPB ha concluso che contattare entrambi i clienti era inevitabile per risolvere il problema.

Caso pratico

Un’e-mail sbagliata, dall’inizio alla fine

Come si applicano i passaggi di questa guida a un caso concreto, dal venerdì pomeriggio al lunedì mattina.

8 · Cosa vedono le autorità

La maggior parte dei data breach non inizia con un attacco

Nel 2025 la CNPD, l’autorità portoghese per la protezione dei dati, ha aperto 472 fascicoli per violazioni, il 42% in più dei 332 del 2024. In 390 era coinvolta la riservatezza. Queste sono le cause più dichiarate dalle organizzazioni:

Fonte: CNPD, relazione di attività 2025 (in portoghese), pp. 35 e 36. La stessa CNPD avverte che le cause sono quelle dichiarate dalle organizzazioni e possono essere sottostimate.

La lezione per una PMI è semplice. L’incidente più probabile non è un attacco sofisticato. È qualcuno che invia il file sbagliato, clicca su un link falso o condivide una cartella con chi non doveva. È da lì che deve partire la preparazione.

9 · Cibersicurezza

Se la vostra organizzazione è soggetta anche alla NIS2

I soggetti essenziali e importanti ai sensi della direttiva NIS2 hanno un proprio percorso per notificare gli incidenti di cibersicurezza significativi: un preallarme entro 24 ore, una notifica dell’incidente entro 72 ore e una relazione finale entro un mese (direttiva (UE) 2022/2555, art. 23).

Un ransomware può richiedere due notifiche, una all’autorità per la protezione dei dati e una a quella per la cibersicurezza. Sono obblighi distinti, con contenuti distinti. Tenete un’unica scheda dell’incidente che serva per entrambe, e verificate con l’autorità nazionale per la cibersicurezza (in Italia, l’Agenzia per la cybersicurezza nazionale, ACN) se la vostra organizzazione rientra nell’ambito.

Cosa potrebbe cambiare · aggiornato il 21 ott 2026

Una proposta dell’UE vuole semplificare queste regole

Il 19 novembre 2025 la Commissione europea ha presentato la proposta Digital Omnibus, COM(2025) 837, che modifica il GDPR. Per i data breach propone:

• di notificare l’autorità solo quando è probabile che la violazione presenti un rischio elevato, la stessa soglia che oggi si applica per avvisare le persone;
• di portare il termine da 72 a 96 ore;
• un punto di accesso unico nell’UE per le notifiche, con un modello comune preparato dall’EDPB.

A che punto è: al Parlamento europeo, le commissioni ITRE e LIBE non hanno ancora votato la relazione. Al Consiglio, gli ambasciatori degli Stati membri discutevano il mandato negoziale a ottobre 2026. Seguono i negoziati tra le istituzioni e la pubblicazione nella Gazzetta ufficiale.

Cosa fare oggi: applicare le regole attuali. Finché non è pubblicato un testo definitivo, restano in vigore le 72 ore e la soglia del «rischio». E il registro interno di tutte le violazioni resta in tutte le versioni in discussione.

La stessa proposta cambia anche il diritto di accesso. Spieghiamo entrambi i cambiamenti nell’articolo sul Digital Omnibus.

Fonti: Parlamento europeo, procedura 2025/0360(COD); Consiglio, ordine del giorno del Coreper del 21 ott 2026; parere congiunto EDPB-GEPD 2/2026.

10 · Prima che succeda

Preparatevi in un’ora, oggi

L’Oficina Rocha ha rispettato il termine perché Rui sapeva chi chiamare. Le autorità si aspettano che ogni titolare abbia una procedura interna per rilevare e gestire gli incidenti. Non serve un manuale di 40 pagine. Cominciate da una scheda appesa vicino alla macchinetta del caffè e da un registro delle violazioni con quattro colonne: i fatti, le conseguenze, i provvedimenti adottati e la decisione sulla notifica, con i motivi (art. 33, paragrafo 5). Aiuta anche sapere in anticipo quali dati avete e dove sono: è ciò che dice il vostro registro delle attività di trattamento, ed è la prima cosa che aprirete per valutare una violazione.

Scheda data breach (da appendere)

1. Avete fermato il danno? E-mail richiamata, dispositivo scollegato dalla rete, password cambiate.
2. Chiamate [nome e telefono] e il DPO [nome e telefono].
3. Annotate l’ora in cui l’avete saputo. Le 72 ore iniziano da lì e comprendono il fine settimana.
4. Non cancellate nulla: e-mail, log di sistema, messaggi.
5. Registro delle violazioni: [dove si trova].

Checklist

Prima di chiudere l’incidente

• Ho annotato l’ora esatta in cui ne siamo venuti a conoscenza.
• Ho contenuto la violazione e conservato le prove.
• Ho individuato i dati, gli interessati e il loro numero approssimativo.
• Ho valutato il rischio con i criteri dell’EDPB e annotato i motivi.
• Se c’era un rischio, ho notificato l’autorità entro 72 ore, o ho spiegato il ritardo.
• Se il rischio era elevato, ho avvisato le persone con un linguaggio chiaro, o ho documentato l’eccezione.
• Se ho notificato in fasi, ho inviato le informazioni mancanti.
• Ho verificato se si applica anche la NIS2.
• Ho aggiornato il registro delle violazioni.
• Ho deciso cosa cambia perché non si ripeta.

Domande ricorrenti

Domande frequenti

Le 72 ore contano il fine settimana e i festivi?

Sì. Il termine si conta in ore consecutive e comprende sabati, domeniche e festivi (regolamento 1182/71, art. 3, paragrafo 3). Se l’avete saputo venerdì alle 17:40, avete tempo fino a lunedì alle 17:40 per notificare l’autorità di controllo.

Ho inviato dati personali via e-mail alla persona sbagliata. Devo notificare?

Dipende dal rischio, ma dovete sempre documentarlo. Un elenco breve, con dati poco sensibili e un destinatario che conferma subito la cancellazione, può restare solo nel registro interno (caso 15 delle linee guida 01/2021). Molti dati, dati sensibili o nessuna garanzia di cancellazione portano a notificare l’autorità e, se il rischio è elevato, ad avvisare gli interessati (caso 14).

E se dopo 72 ore non so ancora tutto?

Notificate comunque, con ciò che sapete. Il GDPR consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo (art. 33, paragrafo 4). Aspettare una relazione completa è il modo più comune di mancare il termine.

Anche una violazione senza rischio va documentata?

Sì. Ogni violazione dei dati personali va nel registro interno, con i fatti, le conseguenze, i provvedimenti adottati e la decisione di non notificare, con i motivi (art. 33, paragrafo 5). L’autorità di controllo può chiedere quel registro per verificare la conformità.

Chi notifica l’autorità quando la violazione avviene presso un fornitore?

Il titolare del trattamento, cioè il cliente del fornitore. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo (art. 33, paragrafo 2), e le 72 ore del titolare decorrono da quell’avviso. Se siete DPO di più organizzazioni, concordate con ciascuna chi avvisa chi e in quanto tempo: la guida per il DPO esterno con più clienti spiega come fare il triage quando arriva tutto insieme.

Solo fonti ufficiali

Fonti

Legislazione dell’UE

• Regolamento (UE) 2016/679 (GDPR), articoli 4, 33 e 34 (EUR-Lex)
• Regolamento (CEE, Euratom) 1182/71, norme applicabili ai termini, art. 3 (EUR-Lex)
• Direttiva (UE) 2022/2555 (NIS2), art. 23 (EUR-Lex)

EDPB ed ENISA

• Linee guida 9/2022 sulla notifica delle violazioni dei dati personali, versione 2.0
• Linee guida 01/2021, esempi di notifica di violazioni (in inglese)
• EDPB, sintesi sui data breach («at a glance») (in inglese)
• ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013) (in inglese)
• Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus (in inglese)

Autorità di controllo

• Garante per la protezione dei dati personali, data breach, con la procedura telematica di notifica
• CNPD (Portogallo), violazioni dei dati (in portoghese)
• CNPD, relazione di attività 2025 (in portoghese)

Proposte in corso

• COM(2025) 837, proposta Digital Omnibus
• Parlamento europeo, procedura 2025/0360(COD)
• Consiglio dell’UE, ordine del giorno del Coreper, 21 ott 2026

Ultima revisione: 21 ottobre 2026. Questa guida è un’informazione generale e non costituisce consulenza legale su un caso specifico. Se affrontate un data breach reale, parlatene con il vostro DPO o con un avvocato. Le persone e l’azienda delle scene sono fittizie.