Data breach: cosa fare nelle prime 72 ore (2026)

Cos'è un data breach

Il Regolamento europeo sulla protezione dei dati (GDPR) definisce violazione dei dati personali ogni incidente di sicurezza che comporta, anche per errore, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati.

Non serve un attacco informatico sofisticato. Sono data breach anche:

un attacco ransomware che cifra i server dell'azienda;
il furto o lo smarrimento di un computer portatile non protetto;
un'email con dati di clienti inviata al destinatario sbagliato;
l'accesso di un ex dipendente a un gestionale con credenziali mai disattivate;
documenti cartacei con dati personali lasciati accessibili o smaltiti senza distruggerli.

Le violazioni si distinguono in tre tipi: di riservatezza (qualcuno vede dati che non dovrebbe), di integrità (i dati vengono modificati) e di disponibilità (i dati non sono più accessibili, anche solo temporaneamente).

Le 72 ore: da quando si contano

Il termine di 72 ore decorre dal momento in cui l'impresa ha avuto conoscenza della violazione. Secondo le Linee guida del Comitato europeo per la protezione dei dati (EDPB), significa quando si ha una ragionevole certezza che si è verificato un incidente che ha compromesso dati personali.

Il termine si conta in ore, compresi notti, fine settimana e festivi. Un breach scoperto il venerdì sera va notificato entro la sera del lunedì.

Se la violazione avviene presso un fornitore che tratta dati per conto dell'impresa (per esempio il gestore del cloud o del software paghe), il fornitore deve avvisare l'impresa senza ingiustificato ritardo. È importante che il contratto con il fornitore lo preveda in modo chiaro.

Cosa fare, ora per ora

Quando	Cosa fare
Subito	Contenere l'incidente: isolare i sistemi colpiti, cambiare le credenziali, bloccare gli accessi, recuperare quanto possibile (per esempio chiedere al destinatario sbagliato di cancellare l'email)
Entro le prime ore	Avvisare chi gestisce la privacy in azienda e il DPO, se nominato; coinvolgere il tecnico informatico; conservare le prove (log, email, screenshot)
Entro 24 ore	Ricostruire i fatti: quali dati, quante persone, da quando, per quale causa; valutare il rischio per le persone
Entro 72 ore	Decidere se notificare al Garante e, se il rischio è presente, inviare la notifica con la procedura telematica, anche incompleta
Dopo	Integrare la notifica con le informazioni mancanti; avvisare le persone se il rischio è elevato; annotare tutto nel registro; correggere le cause

Se l'incidente è un attacco informatico, può servire anche una denuncia alla Polizia postale. Le imprese che rientrano nella disciplina NIS2 hanno inoltre obblighi propri di notifica degli incidenti al CSIRT Italia, con termini diversi.

Quando notificare al Garante

La notifica è obbligatoria salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Per valutare il rischio contano il tipo di dati (sanitari, bancari, documenti d'identità pesano di più), il numero di persone, la facilità di identificarle e le conseguenze possibili, come furti d'identità, frodi o discriminazioni.

Dal 1° luglio 2021 la notifica si invia solo con la procedura telematica sul portale dei servizi online del Garante. Sullo stesso portale c'è uno strumento di autovalutazione che aiuta a capire se la notifica è dovuta. L'8 giugno 2026 l'EDPB ha adottato, per la consultazione pubblica, un modello comune europeo di notifica: finché non sarà recepito dal Garante resta valida la procedura attuale.

La notifica deve indicare almeno:

la natura della violazione, le categorie e il numero approssimativo di persone e di dati coinvolti;
il nome e i contatti del DPO o di un altro referente;
le probabili conseguenze;
le misure adottate o proposte per porre rimedio e attenuare gli effetti.

Se non tutte le informazioni sono disponibili entro 72 ore, si notifica comunque e si integra in seguito. Una notifica oltre le 72 ore deve spiegare i motivi del ritardo.

Quando avvisare le persone coinvolte

Se la violazione presenta un rischio elevato, l'impresa deve comunicarla anche alle persone interessate, senza ingiustificato ritardo, con un linguaggio semplice. La comunicazione spiega cosa è successo, le possibili conseguenze, le misure adottate e cosa possono fare, per esempio cambiare la password.

La comunicazione non è necessaria se i dati erano protetti in modo da renderli incomprensibili (per esempio cifrati), se le misure successive hanno eliminato il rischio elevato o se avvisare tutti richiederebbe sforzi sproporzionati. In quest'ultimo caso si usa una comunicazione pubblica.

Il registro delle violazioni

Ogni violazione va documentata in un registro interno, anche quando l'impresa decide di non notificarla. Il registro descrive i fatti, le conseguenze, le misure adottate e, per le violazioni non notificate, il motivo della scelta.

Il registro è il primo documento che il Garante chiede in caso di verifica. Permette anche di riconoscere incidenti ricorrenti e di correggerne le cause.

Cosa si rischia

Le violazioni degli obblighi di notifica e comunicazione possono costare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo. Spesso, però, il Garante sanziona soprattutto le carenze di sicurezza che hanno reso possibile il breach.

Un caso recente. Con il provvedimento n. 280 del 17 aprile 2026 il Garante ha sanzionato una società di consulenza e formazione per 85.000 euro. Un attacco aveva esposto nomi, email e password di circa 61.000 utenti, in parte conservate in chiaro o con sistemi di protezione superati. La società aveva notificato il breach al Garante in 4 giorni, ma aveva avvisato gli utenti solo dopo un ordine dell'Autorità, circa due mesi dopo. Il Garante ha contestato la comunicazione tardiva, la conservazione di credenziali non più necessarie e misure di sicurezza inadeguate, ricordando che la responsabilità resta del titolare anche quando la sicurezza è affidata a fornitori esterni.

Un esempio pratico

Una PMI con 40 dipendenti e 2.000 clienti scopre venerdì alle 18 che un ransomware ha cifrato il server con gestionale e anagrafiche.

Venerdì sera: il tecnico isola il server e verifica i backup; il titolare avvisa il consulente privacy.
Sabato: emerge che i dati sono stati anche copiati all'esterno: nomi, contatti e IBAN di clienti e dipendenti.
Domenica: l'impresa valuta il rischio come elevato, per la presenza di dati bancari e la natura dell'attacco, e prepara la notifica.
Lunedì entro le 18: invia la notifica al Garante con la procedura telematica, indicando le informazioni già note e riservandosi di integrarle.
Nei giorni successivi: avvisa clienti e dipendenti via email, con indicazioni pratiche per riconoscere tentativi di frode; annota tutto nel registro; aggiorna le misure di sicurezza.

Errori da evitare

Aspettare di avere tutte le informazioni. La notifica si invia entro 72 ore anche incompleta, e poi si integra.
Dimenticare il fine settimana. Il termine corre anche di sabato e domenica.
Non tenere il registro. Anche le violazioni non notificate vanno annotate, con il motivo.
Rinviare la comunicazione agli interessati per ragioni di immagine. Il Garante non accetta i timori reputazionali come giustificazione.
Scaricare la responsabilità sul fornitore. Il titolare resta responsabile e deve scegliere fornitori affidabili, con contratti che prevedano l'avviso immediato.
Improvvisare. Una procedura interna scritta, con ruoli e contatti, fa risparmiare ore preziose.

Riferimenti normativi e di prassi

Regolamento (UE) 2016/679 (GDPR): art. 4, punto 12 (definizione di violazione dei dati personali); art. 33 (notifica all'autorità di controllo); art. 34 (comunicazione all'interessato); art. 83, par. 4 (sanzioni).
EDPB, Linee guida 9/2022 sulla notifica delle violazioni dei dati personali; Linee guida 01/2021 sugli esempi di notifica.
Garante privacy, provvedimento n. 209 del 27 maggio 2021 (procedura telematica di notifica, doc. web n. 9667201).
Garante privacy, provvedimento n. 280 del 17 aprile 2026 (doc. web n. 10252460).
Proposta di regolamento «Digital Omnibus», COM(2025) 837 del 19 novembre 2025 (non approvata).

Domande frequenti

Cosa si intende per data breach?

È una violazione di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione o l'accesso non autorizzato a dati personali. Comprende sia gli attacchi informatici sia gli errori umani, come un'email inviata al destinatario sbagliato o lo smarrimento di un computer non protetto.

Entro quanto tempo va notificato un data breach?

Al Garante entro 72 ore da quando l'impresa ne ha avuto conoscenza, salvo che sia improbabile un rischio per le persone. Il termine comprende notti e fine settimana. Se alcune informazioni mancano, si notifica comunque e si integra in seguito; una notifica tardiva deve spiegare i motivi del ritardo.

Come si notifica un data breach al Garante?

Con la procedura telematica disponibile sul portale dei servizi online del Garante, l'unica modalità ammessa dal 1° luglio 2021. Sullo stesso portale è disponibile uno strumento di autovalutazione che aiuta a capire se la notifica è dovuta.

Quando bisogna avvisare le persone coinvolte?

Quando la violazione presenta un rischio elevato per i loro diritti e libertà, per esempio se sono state esposte password, dati bancari o sanitari. La comunicazione va fatta senza ingiustificato ritardo e in linguaggio semplice, salvo eccezioni come i dati cifrati e quindi incomprensibili.

Le regole sul data breach stanno cambiando?

La Commissione europea ha proposto nel novembre 2025 il cosiddetto Digital Omnibus, che prevede la notifica solo per le violazioni a rischio elevato, entro 96 ore, tramite un punto di accesso unico europeo. A novembre 2026 la proposta non è approvata: restano in vigore le 72 ore.