# Data breach: cosa fare nelle prime 72 ore URL: https://pulsaiq.com/it/guide/data-breach-72-ore/ Ultima revisione: 2026-10-23 Lingua: it Base giuridica: GDPR, artt. 33 e 34 Un piano calmo, ora per ora, per quando qualcosa va storto con i dati personali. Con la logica di decisione del Comitato europeo per la protezione dei dati (EDPB), casi reali tratti dalle sue linee guida e le informazioni esatte che deve contenere la vostra notifica. ## In due minuti - **Documentate sempre.** Ogni violazione dei dati personali va nel registro interno, anche quelle che non dovete notificare. Art. 33, paragrafo 5 - **Notificate l’autorità di controllo entro 72 ore** dal momento in cui ne siete venuti a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. Le 72 ore comprendono il fine settimana. Art. 33, paragrafo 1 - **Avvisate gli interessati** senza ingiustificato ritardo quando il rischio è elevato, con un linguaggio semplice e chiaro. Art. 34, paragrafi 1 e 2 - **Non aspettate di sapere tutto.** Potete notificare in fasi successive e completare dopo. Art. 33, paragrafo 4 - **Nel dubbio, notificate.** È ciò che consiglia lo stesso EDPB. Linee guida 9/2022, punto 119 **Per chi è questa guida:** titolari di PMI, team IT e responsabili della protezione dei dati (DPO) che devono sapere cosa fare, subito. Se la vostra organizzazione agisce solo come responsabile del trattamento, il vostro obbligo principale è informare il cliente senza ingiustificato ritardo (punto 2). ## È una violazione dei dati? Il GDPR definisce la violazione dei dati personali, il data breach, come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali (art. 4, punto 12). Non serve un hacker. L’EDPB classifica le violazioni in tre tipi (linee guida 9/2022, punto 17): - **Riservatezza:** qualcuno ha visto ciò che non doveva. Un’e-mail alla persona sbagliata, una cartella condivisa con il link aperto, un portatile rubato. - **Integrità:** i dati sono stati modificati senza autorizzazione. Per esempio, l’IBAN di un fornitore cambiato in una frode sui pagamenti. - **Disponibilità:** i dati non sono più accessibili, anche solo temporaneamente. Un ransomware, un file cancellato senza backup. Una manutenzione programmata non conta (punto 21). Un’e-mail inviata alla persona sbagliata è una violazione di riservatezza. I dati sono stati comunicati a qualcuno che non aveva il diritto di vederli, anche se quella persona non ha cattive intenzioni. ## Quando iniziano le 72 ore Il termine decorre dal momento in cui l’organizzazione **ne viene a conoscenza**. Per l’EDPB, questo avviene quando ha «un ragionevole grado di certezza» che si è verificato un incidente di sicurezza che ha compromesso dati personali (linee guida 9/2022, punto 31). In pratica ci sono due situazioni. Quando l’errore è evidente, come un’e-mail inviata, la conoscenza è immediata. Quando c’è solo un segnale d’allarme, come un avviso dell’antivirus, potete fare una breve indagine per confermarlo. L’indagine deve iniziare subito e non può servire a guadagnare tempo. **Il fine settimana conta.** Il regolamento 1182/71, che fissa le regole sui termini nel diritto dell’UE, stabilisce che i termini comprendono i giorni festivi, le domeniche e i sabati, salvo che siano espressi in giorni lavorativi (art. 3, paragrafo 3). Il termine del GDPR è in ore. Se Rui l’ha saputo venerdì alle 17:40, il termine scade al più tardi lunedì alle 17:40. **Se siete responsabili del trattamento** (per esempio un’azienda informatica o una piattaforma di e-mail marketing), dovete informare il vostro cliente, il titolare del trattamento, senza ingiustificato ritardo (art. 33, paragrafo 2). Da quell’avviso, l’orologio del cliente è partito (linee guida 9/2022, punto 44). Per questo i contratti con i responsabili del trattamento devono fissare un termine breve per l’avviso. ## Le 72 ore, ora per ora Questa divisione non è nella legge. È un modo pratico per avere, al momento di decidere, le informazioni che servono.
Conoscenzaven 17:40
Termine per notificarelun 17:40
Le 72 ore comprendono il fine settimana.
  1. Ore 0–4

    Contenere

    • Fermare il danno: richiamare l’e-mail, chiedere al destinatario di cancellarla, scollegare il dispositivo dalla rete, cambiare le password.
    • Avvisare chi decide e il vostro DPO.
    • Aprire la scheda dell’incidente con l’ora esatta in cui ne siete venuti a conoscenza.
    • Conservare le prove. Non cancellare i log di sistema.
  2. Ore 4–24

    Valutare

    • Quali dati, e di quante persone?
    • Ci sono categorie particolari, dati finanziari o dati di minori?
    • Chi ha avuto accesso, e cosa potrebbe fare con i dati?
    • Le misure già prese hanno ridotto il rischio?
  3. Ore 24–72

    Decidere e notificare

    • Classificare il rischio (punto 4).
    • Se necessario, notificare l’autorità di controllo. In Italia si fa con la procedura telematica del Garante; in Portogallo, con il modulo della CNPD.
    • Se il rischio è elevato, preparare il messaggio per gli interessati.
    • Annotare la decisione e i motivi, qualunque essa sia.
## Il rischio in tre livelli La domanda non è «quanto è grave per l’azienda?». È «cosa può succedere alle persone i cui dati sono stati coinvolti?». L’EDPB chiede di considerare il tipo di violazione, la natura, la sensibilità e il volume dei dati, la facilità di identificare le persone, la gravità delle conseguenze, le caratteristiche particolari delle persone (per esempio minori) o del titolare, e il numero di persone coinvolte (linee guida 9/2022, punti da 105 a 118).
Domanda 1È probabile che la violazione presenti un rischio per i diritti e le libertà delle persone?
Rischio improbabile

Documentare internamente

Va nel registro delle violazioni, con i motivi della decisione. Non si notifica.

art. 33, paragrafo 5
Domanda 2, se la risposta è sìIl rischio è elevato?
Rischio

Documentare e notificare l’autorità

Entro 72 ore. Se arrivate in ritardo, spiegate il motivo.

art. 33, paragrafo 1
Rischio elevato

E avvisare le persone

Senza ingiustificato ritardo, salvo che si applichi una delle eccezioni dell’art. 34, paragrafo 3 (vedete il punto 7).

art. 34, paragrafo 1
**Volete metterci dei numeri?** L’EDPB indica come utile il metodo dell’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza (linee guida 9/2022, punto 120). Calcola la gravità con la formula **SE = DPC × EI + CB**. DPC valuta il tipo di dati da 1 a 4, EI è la facilità di identificare le persone (da 0,25 a 1) e CB aggiunge punti per le circostanze, come la comunicazione a destinatari sconosciuti o l’intento malevolo. Un risultato sotto 2 indica gravità bassa; da 2 a 3, media; da 3 a 4, alta; da 4 in su, molto alta ([ENISA, 2013](https://www.enisa.europa.eu/publications/dbn-severity)). Il punteggio aiuta a motivare la decisione, ma non la prende al posto vostro.

Siete indecisi tra due livelli? Scegliete il più prudente. Nel dubbio, l’EDPB raccomanda al titolare di peccare per eccesso di prudenza e notificare (linee guida 9/2022, punto 119).

## Come decide l’EDPB casi simili Le [linee guida 01/2021](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) dell’EDPB analizzano 18 casi pratici. Abbiamo scelto quelli più frequenti in una PMI. Riassumiamo i fatti; il verdetto è dell’EDPB. | Situazione | Cosa ha pesato nella decisione | Verdetto dell’EDPB | |---|---|---| | **Ransomware in un piccolo produttore**, con backup recente e senza fuoriuscita di dati caso 01 | I log hanno mostrato che non è uscito nessun dato. Il backup ha ripristinato tutto in poche ore. Qualche decina di persone, nessun impatto sull’attività. | Solo documentare | | **Due tablet rubati in un asilo nido**, cifrati, spenti e con password robusta caso 10 | I dati erano illeggibili per il ladro, c’erano backup e i dispositivi sono stati cancellati da remoto. | Solo documentare | | **Portatile rubato senza cifratura né password**, con i dati di oltre 100.000 clienti caso 11 | Chiunque poteva leggere nomi, indirizzi e date di nascita. Grande volume, rischio di furto d’identità. | Notificare e avvisare | | **Elenco dei partecipanti a un corso** inviato per errore a 15 ex partecipanti, con due intolleranze alimentari caso 15 | Errore scoperto subito, destinatari avvisati e invitati a cancellare. Pochi dati e poco sensibili. | Solo documentare | | **E-mail a 60.000 persone in cerca di lavoro** con un allegato che conteneva i dati di tutti, compreso il numero di previdenza sociale caso 14 | Volume enorme, un identificativo sensibile e nessun modo di assicurarsi che i destinatari lo cancellassero. | Notificare e avvisare | Notate lo schema. Cifratura e backup cambiano il risultato. Lo stesso errore, come un’e-mail alla persona sbagliata, può passare da «solo documentare» a «notificare e avvisare» a seconda del volume, della sensibilità dei dati e della possibilità di ottenere la cancellazione. ## Cosa inserire nella notifica Ogni autorità ha il suo modulo. In Italia si notifica al Garante con la procedura telematica indicata nella sua [pagina sul data breach](https://www.garanteprivacy.it/data-breach); in Portogallo si usa il modulo della CNPD (l’autorità portoghese per la protezione dei dati). Qualunque sia il modulo, il GDPR richiede almeno quattro elementi (art. 33, paragrafo 3). Tenete pronte queste risposte prima di aprirlo: 1. **Cosa è successo.** La natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte. Esempio: «Invio per errore, via e-mail, di un file con nome, indirizzo, telefono e storico degli ordini di circa 300 clienti a un contatto esterno». 2. **Chi contattare.** Nome e dati di contatto del DPO o di un altro punto di contatto. Esempio: «Inês \[cognome\], DPO, \[e-mail\], \[telefono\]». 3. **Conseguenze probabili.** Cosa può succedere alle persone. Esempio: «Rischio di contatti fraudolenti da parte di chi si spaccia per l’azienda. Nessun dato di pagamento coinvolto». 4. **Misure adottate o proposte.** Per porre rimedio alla violazione e attenuarne gli effetti. Esempio: «Richiesta di cancellazione alla destinataria, con conferma attesa il primo giorno lavorativo; revisione delle regole per l’invio di file con dati dei clienti». **Non sapete ancora tutto?** Inviate ciò che sapete entro il termine e completate dopo. La legge consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo (art. 33, paragrafo 4; linee guida 9/2022, punto 56). Se notificate dopo le 72 ore, dovete indicare i motivi del ritardo (art. 33, paragrafo 1). ## Quando e come avvisare gli interessati Quando il rischio è elevato, dovete avvisare gli interessati senza ingiustificato ritardo (art. 34, paragrafo 1). Il messaggio deve usare un linguaggio semplice e chiaro, descrivere la natura della violazione e contenere gli elementi 2, 3 e 4 della notifica (art. 34, paragrafo 2). Aggiungete cosa può fare la persona: diffidare di telefonate che chiedono dati, cambiare la password, controllare i movimenti del conto. Se, dopo l’avviso, qualcuno chiede quali suoi dati sono stati coinvolti, trattatela come una richiesta di accesso, con il suo termine di un mese. Non serve avvisare ogni persona in tre situazioni (art. 34, paragrafo 3): - i dati erano protetti in modo da essere incomprensibili a chiunque non sia autorizzato ad accedervi, per esempio con una cifratura robusta; - avete adottato successivamente misure che scongiurano il sopraggiungere del rischio elevato; - avvisare ogni persona richiederebbe sforzi sproporzionati. In quel caso fate una comunicazione pubblica o un’altra misura altrettanto efficace. Anche quando non è obbligatorio, avvisare può essere la scelta giusta se l’aiuto delle persone riduce il rischio. Nel caso 13 delle linee guida 01/2021, due ordini spediti ai clienti sbagliati, l’EDPB ha concluso che contattare entrambi i clienti era inevitabile per risolvere il problema. ## Un’e-mail sbagliata, dall’inizio alla fine Come si applicano i passaggi di questa guida a un caso concreto, dal venerdì pomeriggio al lunedì mattina.
Oficina RochaMobilificio vicino a Braga, nel nord del Portogallo, con negozio online

  1. Venerdì

    Punto 2 · L’orologio

    17:40 Rui si occupa dell’informatica all’Oficina Rocha. Riceve un messaggio da una collega delle vendite: «Credo di aver mandato il file dei clienti all’Ana sbagliata». Il foglio di calcolo conteneva nomi, indirizzi, telefoni e storico degli ordini di 300 clienti. Era destinato ad Ana, dell’amministrazione. È finito ad Ana Ferreira, di un’azienda di trasporti con cui lavorano.

    17:46 Rui chiama Marta, che dirige l’ufficio e «si occupa anche del GDPR». Marta fa le tre domande che fanno tutti. Questo conta come data breach? Chi chiamiamo? E il fine settimana conta nelle 72 ore? Sì. Inês, la DPO esterna dell’azienda. E sì, conta.

  2. Sabato

    Punto 4 · La decisione

    10:00 Inês fa la valutazione con Marta al telefono. Sono dati di contatto e di acquisto di 300 persone, senza dati di pagamento né categorie particolari. La destinataria è un contatto professionale noto, ma l’unica risposta all’e-mail di Rui è stata un messaggio automatico: «In ferie fino a lunedì». Nessuno può confermare che il file sia stato cancellato.

    «Indirizzi, telefoni e cosa ha comprato ciascuno. Qualcuno potrebbe spacciarsi per noi e ingannare i clienti», dice Inês. «Non vedo un rischio elevato. Ma non posso nemmeno dire che non ci sia rischio».

    Scala ENISA2,25 · gravità media
    DecisioneNotificare la CNPD prima della scadenza, non avvisare per ora i clienti e rivalutare se emergono segni di uso illecito. Tutto finisce nel registro, con i motivi.

    Se Ana avesse risposto venerdì sera confermando di aver cancellato il file, la valutazione avrebbe potuto chiudersi come il caso 15: solo documentare.

  3. Lunedì

    Punto 6 · Notificare

    09:30 Marta invia la notifica, con otto ore di margine.

    10:15 Ana Ferreira torna dalle ferie, legge l’e-mail di Rui e conferma per iscritto di aver cancellato l’e-mail e l’allegato. Inês invia la conferma alla CNPD come informazione integrativa e aggiorna il registro.

L’Oficina Rocha, Marta, Rui e Inês sono fittizi. Le norme e i casi citati sono reali. L’azienda è in Portogallo, per questo notifica la CNPD; in Italia, la notifica andrebbe al Garante.

## La maggior parte dei data breach non inizia con un attacco Nel 2025 la CNPD, l’autorità portoghese per la protezione dei dati, ha aperto 472 fascicoli per violazioni, il 42% in più dei 332 del 2024. In 390 era coinvolta la riservatezza. Queste sono le cause più dichiarate dalle organizzazioni: | Causa dichiarata (2025) | Casi | |---|---| | Errore umano | 128 | | Phishing o ingegneria sociale | 72 | | Malware | 49 | | Ransomware | 47 | | Frode (uso improprio di risorse, furto d’identità) | 33 | Fonte: [CNPD, relazione di attività 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (in portoghese), pp. 35 e 36. La stessa CNPD avverte che le cause sono quelle dichiarate dalle organizzazioni e possono essere sottostimate. La lezione per una PMI è semplice. L’incidente più probabile non è un attacco sofisticato. È qualcuno che invia il file sbagliato, clicca su un link falso o condivide una cartella con chi non doveva. È da lì che deve partire la preparazione. ## Se la vostra organizzazione è soggetta anche alla NIS2 I soggetti essenziali e importanti ai sensi della direttiva NIS2 hanno un proprio percorso per notificare gli incidenti di cibersicurezza significativi: un preallarme entro 24 ore, una notifica dell’incidente entro 72 ore e una relazione finale entro un mese (direttiva (UE) 2022/2555, art. 23). Un ransomware può richiedere due notifiche, una all’autorità per la protezione dei dati e una a quella per la cibersicurezza. Sono obblighi distinti, con contenuti distinti. Tenete un’unica scheda dell’incidente che serva per entrambe, e verificate con l’autorità nazionale per la cibersicurezza (in Italia, l’Agenzia per la cybersicurezza nazionale, ACN) se la vostra organizzazione rientra nell’ambito. ## Una proposta dell’UE vuole semplificare queste regole Il 19 novembre 2025 la Commissione europea ha presentato la proposta Digital Omnibus, [COM(2025) 837](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52025PC0837), che modifica il GDPR. Per i data breach propone: - di notificare l’autorità solo quando è probabile che la violazione presenti un **rischio elevato**, la stessa soglia che oggi si applica per avvisare le persone; - di portare il termine da **72 a 96 ore**; - un **punto di accesso unico** nell’UE per le notifiche, con un modello comune preparato dall’EDPB. **A che punto è:** al Parlamento europeo, le commissioni ITRE e LIBE non hanno ancora votato la relazione. Al Consiglio, gli ambasciatori degli Stati membri discutevano il mandato negoziale a ottobre 2026. Seguono i negoziati tra le istituzioni e la pubblicazione nella Gazzetta ufficiale. **Cosa fare oggi:** applicare le regole attuali. Finché non è pubblicato un testo definitivo, restano in vigore le 72 ore e la soglia del «rischio». E il registro interno di tutte le violazioni resta in tutte le versioni in discussione. La stessa proposta cambia anche il diritto di accesso. Spieghiamo entrambi i cambiamenti nell’articolo sul Digital Omnibus. Fonti: [Parlamento europeo, procedura 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)); [Consiglio, ordine del giorno del Coreper del 21 ott 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf); [parere congiunto EDPB-GEPD 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf). ## Preparatevi in un’ora, oggi L’Oficina Rocha ha rispettato il termine perché Rui sapeva chi chiamare. Le autorità si aspettano che ogni titolare abbia una procedura interna per rilevare e gestire gli incidenti. Non serve un manuale di 40 pagine. Cominciate da una scheda appesa vicino alla macchinetta del caffè e da un registro delle violazioni con quattro colonne: i fatti, le conseguenze, i provvedimenti adottati e la decisione sulla notifica, con i motivi (art. 33, paragrafo 5). Aiuta anche sapere in anticipo quali dati avete e dove sono: è ciò che dice il vostro registro delle attività di trattamento, ed è la prima cosa che aprirete per valutare una violazione. ### Scheda data breach (da appendere) 1. Avete fermato il danno? E-mail richiamata, dispositivo scollegato dalla rete, password cambiate. 2. Chiamate [nome e telefono] e il DPO [nome e telefono]. 3. Annotate l’ora in cui l’avete saputo. Le 72 ore iniziano da lì e comprendono il fine settimana. 4. Non cancellate nulla: e-mail, log di sistema, messaggi. 5. Registro delle violazioni: [dove si trova]. ## Prima di chiudere l’incidente - Ho annotato l’ora esatta in cui ne siamo venuti a conoscenza. - Ho contenuto la violazione e conservato le prove. - Ho individuato i dati, gli interessati e il loro numero approssimativo. - Ho valutato il rischio con i criteri dell’EDPB e annotato i motivi. - Se c’era un rischio, ho notificato l’autorità entro 72 ore, o ho spiegato il ritardo. - Se il rischio era elevato, ho avvisato le persone con un linguaggio chiaro, o ho documentato l’eccezione. - Se ho notificato in fasi, ho inviato le informazioni mancanti. - Ho verificato se si applica anche la NIS2. - Ho aggiornato il registro delle violazioni. - Ho deciso cosa cambia perché non si ripeta. ## Domande frequenti ### Le 72 ore contano il fine settimana e i festivi? Sì. Il termine si conta in ore consecutive e comprende sabati, domeniche e festivi (regolamento 1182/71, art. 3, paragrafo 3). Se l’avete saputo venerdì alle 17:40, avete tempo fino a lunedì alle 17:40 per notificare l’autorità di controllo. ### Ho inviato dati personali via e-mail alla persona sbagliata. Devo notificare? Dipende dal rischio, ma dovete sempre documentarlo. Un elenco breve, con dati poco sensibili e un destinatario che conferma subito la cancellazione, può restare solo nel registro interno (caso 15 delle linee guida 01/2021). Molti dati, dati sensibili o nessuna garanzia di cancellazione portano a notificare l’autorità e, se il rischio è elevato, ad avvisare gli interessati (caso 14). ### E se dopo 72 ore non so ancora tutto? Notificate comunque, con ciò che sapete. Il GDPR consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo (art. 33, paragrafo 4). Aspettare una relazione completa è il modo più comune di mancare il termine. ### Anche una violazione senza rischio va documentata? Sì. Ogni violazione dei dati personali va nel registro interno, con i fatti, le conseguenze, i provvedimenti adottati e la decisione di non notificare, con i motivi (art. 33, paragrafo 5). L’autorità di controllo può chiedere quel registro per verificare la conformità. ### Chi notifica l’autorità quando la violazione avviene presso un fornitore? Il titolare del trattamento, cioè il cliente del fornitore. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo (art. 33, paragrafo 2), e le 72 ore del titolare decorrono da quell’avviso. Se siete DPO di più organizzazioni, concordate con ciascuna chi avvisa chi e in quanto tempo: la guida per il DPO esterno con più clienti spiega come fare il triage quando arriva tutto insieme. ## Fonti ### Legislazione dell’UE - [Regolamento (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679), articoli 4, 33 e 34 (EUR-Lex) - [Regolamento (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/IT/ALL/?uri=CELEX:31971R1182), norme applicabili ai termini, art. 3 (EUR-Lex) - [Direttiva (UE) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), art. 23 (EUR-Lex) ### EDPB ed ENISA - [Linee guida 9/2022 sulla notifica delle violazioni dei dati personali, versione 2.0](https://www.edpb.europa.eu/documents/guideline/guidelines-92022-on-personal-data-breach-notification-under-gdpr_it) - [Linee guida 01/2021, esempi di notifica di violazioni](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) (in inglese) - [EDPB, sintesi sui data breach («at a glance»)](https://www.edpb.europa.eu/system/files/2026-10/edpb_guidelines-at-a-glance_data_breaches_en.pdf) (in inglese) - [ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013)](https://www.enisa.europa.eu/publications/dbn-severity) (in inglese) - [Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (in inglese) ### Autorità di controllo - [Garante per la protezione dei dati personali, data breach](https://www.garanteprivacy.it/data-breach), con la procedura telematica di notifica - [CNPD (Portogallo), violazioni dei dati](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) (in portoghese) - [CNPD, relazione di attività 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (in portoghese) ### Proposte in corso - [COM(2025) 837, proposta Digital Omnibus](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52025PC0837) - [Parlamento europeo, procedura 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)) - [Consiglio dell’UE, ordine del giorno del Coreper, 21 ott 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) **Ultima revisione:** 21 ottobre 2026. Questa guida è un’informazione generale e non costituisce consulenza legale su un caso specifico. Se affrontate un data breach reale, parlatene con il vostro DPO o con un avvocato. Le persone e l’azienda delle scene sono fittizie.