Violazione dei dati (data breach): cosa fare nelle prime 72 ore.

“Ho subìto un attacco hacker. Cosa devo fare?”

È una delle domande che le imprese ci rivolgono, a volte con i computer ancora bloccati. Vale anche per un’e-mail con i dati dei clienti mandata alle persone sbagliate o per un portatile rubato. Qui trovi cosa fare ora per ora, come decidere se notificare, i casi tipici e cosa deve fare il fornitore.

Cos’è un data breach (e cosa non lo è).

Il GDPR, il Regolamento europeo sulla protezione dei dati, lo definisce come una violazione di sicurezza. Per errore o per un’azione illecita, porta alla distruzione, alla perdita, alla modifica, alla divulgazione o all’accesso non autorizzato a dati personali. Può riguardare:

• la riservatezza: qualcuno vede dati che non doveva vedere, per esempio con un’e-mail sbagliata o un accesso abusivo;
• l’integrità: i dati vengono modificati, come l’IBAN di un fornitore cambiato in anagrafica;
• la disponibilità: i dati non sono più accessibili, come dopo un attacco ransomware.

Non è una violazione dei dati personali un attacco che blocca solo macchinari senza dati personali, né un fermo programmato per manutenzione.

Da quando partono le 72 ore.

Secondo il Comitato europeo per la protezione dei dati (EDPB), che riunisce i Garanti dell’Unione, le 72 ore partono quando sei ragionevolmente certo che sono stati compromessi dati personali. Non conta il giorno dell’intrusione. Puoi fare una breve indagine per verificarlo, ma deve partire subito.

Esempio. Lunedì alle 9 l’antivirus segnala un’attività strana su un server. Alle 15 il tecnico conferma che qualcuno ha scaricato l’archivio dei clienti. Le 72 ore scadono giovedì alle 15.

Le 72 ore comprendono notti, fine settimana e festivi. Se notifichi dopo, devi spiegare il motivo del ritardo.

Le prime 72 ore, ora per ora.

Una traccia di lavoro, con orari indicativi contati dalla scoperta. Le 72 ore sono il limite massimo: se hai già gli elementi, notifica prima.

Va notificato al Garante? Come valutare il rischio.

Dipende dal rischio per le persone a cui si riferiscono i dati, che il GDPR chiama “interessati” (art. 33 GDPR).

Per valutare il rischio, l’EDPB indica alcuni fattori:

• quali dati: dati sanitari, bancari, documenti d’identità e password pesano più di un indirizzo e-mail;
• quante persone sono coinvolte e quanto è facile identificarle;
• quali conseguenze: frodi, furto d’identità, discriminazione, danni alla reputazione;
• chi sono: minori o persone vulnerabili.

Contano anche le misure che avevi: dati cifrati con una chiave rimasta al sicuro, o una copia di sicurezza ripristinata in poche ore, possono rendere il rischio improbabile. Nel dubbio, l’EDPB suggerisce di notificare. Se non sei sicuro della valutazione, un avvocato esperto di privacy e protezione dei dati può aiutarti a decidere e a scrivere la motivazione.

Esempi: quali casi vanno notificati secondo l’EDPB.

Ecco i casi più vicini a una PMI tra i 18 delle linee guida EDPB 01/2021, più uno delle linee guida 9/2022. Sono un orientamento: contano i dettagli.

Come si fa la notifica al Garante-

Dal 1° luglio 2021 si notifica solo online, sul portale del Garante per il data breach. Lì trovi anche uno strumento di autovalutazione e il fac-simile del modulo, utile per preparare le risposte.

La notifica deve indicare almeno (art. 33, par. 3, GDPR):

• la natura della violazione, con le categorie e il numero approssimativo di persone e di dati coinvolti;
• i contatti del DPO, il responsabile della protezione dei dati, o di un altro referente;
• le conseguenze probabili;
• le misure prese o previste.

Se mancano informazioni, invii una notifica “preliminare” e la completi poi con una “integrativa”, usando il numero di fascicolo e il PIN che ricevi.

Attenzione alla firma. L’8 ottobre 2026 sul portale l’accesso con SPID, CIE o CNS risultava “disponibile a breve”. La notifica si completa così: compili il modulo, ricevi le istruzioni via PEC, firmi digitalmente il PDF e lo carichi. Firma il legale rappresentante o una persona delegata. Verifica adesso, non durante l’emergenza, chi ha una firma digitale valida e una PEC funzionante. [DA VERIFICARE: modalità di accesso al portale alla data di pubblicazione]

Quando e come avvisare le persone coinvolte.

Se il rischio è elevato, devi avvisare le persone senza ingiustificato ritardo (art. 34 GDPR). Con parole semplici, spiega cosa è successo, chi contattare, le conseguenze probabili, cosa hai fatto e cosa possono fare loro, per esempio bloccare la carta. Usa un messaggio dedicato, come e-mail, SMS o lettera: per l’EDPB non basta un avviso in una newsletter.

L’avviso non serve se i dati erano illeggibili, per esempio cifrati, o se dopo la violazione hai preso misure che evitano il rischio elevato. Se contattare tutti è sproporzionato, basta un avviso pubblico ben visibile. Il Garante può comunque chiederti di avvisare le persone.

Il registro delle violazioni: cosa scrivere.

Ogni violazione va documentata, anche se non la notifichi (art. 33, par. 5, GDPR). Il Garante suggerisce un registro apposito, diverso dal registro dei trattamenti. Per ogni violazione annota:

1. 01quando l’hai scoperta e quando ne sei stato ragionevolmente certo;
2. 02cosa è successo e perché;
3. 03quali dati e quante persone;
4. 04conseguenze e misure prese;
5. 05la decisione e il perché, soprattutto se non hai notificato;
6. 06date di notifica e comunicazioni, numero di fascicolo, motivi di un ritardo.

Una scelta di non notificare scritta e motivata è più facile da difendere, se il Garante chiede spiegazioni.

Se la violazione avviene presso un fornitore.

Il fornitore che tratta dati per conto tuo, come il gestionale in cloud o il consulente del lavoro, è il responsabile del trattamento. Se scopre una violazione deve avvisarti senza ingiustificato ritardo, senza valutare lui il rischio. Per l’EDPB, di regola, le tue 72 ore partono da quel momento.

Il fornitore può notificare al Garante al posto tuo, se il contratto lo prevede, ma la responsabilità resta tua. Per questo l’atto di nomina dovrebbe dire entro quante ore deve avvisarti, quali informazioni deve darti e come collabora all’indagine.

Se la tua impresa è soggetta alla NIS2.

Le imprese che rientrano nella NIS2, la disciplina europea sulla cybersicurezza, hanno un obbligo in più per gli incidenti significativi. Devono avvisare il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (art. 25 D.Lgs. 138/2024). È un obbligo separato: lo stesso attacco può richiedere sia questa notifica sia quella al Garante. Se non sai se rientri, parti dalla nostra pagina sull’assistenza per NIS2 e incidenti informatici.

Errori comuni e cosa rischi.

1. 01Contare le 72 ore dall’attacco, o aspettare la fine dell’analisi tecnica. Si notifica appena si è ragionevolmente certi, anche con dati parziali.
2. 02Pensare che ogni incidente vada notificato, o al contrario che senza dati “sensibili” non serva nulla.
3. 03Non registrare le violazioni non notificate.
4. 04Reinstallare i sistemi prima di aver salvato registri e prove.
5. 05Avvisare i clienti con una newsletter invece che con un messaggio dedicato.
6. 06Pensare che pagare un riscatto chiuda il problema. I dati sono stati compromessi e gli obblighi restano.

Chi non notifica o non avvisa quando dovrebbe rischia una sanzione fino a 10 milioni di euro. Per le imprese il tetto è il 2% del fatturato mondiale annuo, se più alto (art. 83 GDPR). Se emerge che la sicurezza non era adeguata, il Garante può contestare anche i principi del trattamento, con una fascia fino a 20 milioni o al 4%. Le persone danneggiate possono chiedere il risarcimento.

Quando serve un avvocato.

Per un errore piccolo, come un’e-mail con pochi indirizzi mandata alla persona sbagliata e subito cancellata, di solito bastano una valutazione ordinata e una nota nel registro. Serve un avvocato se:

• c’è stato un attacco informatico, soprattutto con furto di dati o riscatto;
• la violazione riguarda molte persone, o dati sanitari, bancari, documenti d’identità o dati di minori;
• la violazione è partita da un fornitore, o riguarda anche la NIS2;
• pensi di non notificare un caso dubbio, vuoi presentare denuncia alla Polizia Postale o devi rispondere al Garante.

Hai appena scoperto una violazione dei dati? Con Iusful ti segue un avvocato esperto di protezione dei dati. Ci racconti cosa è successo, l’avvocato è assegnato entro 24 ore e ti dice se il caso va notificato, cosa scrivere al Garante e cosa comunicare alle persone coinvolte. Parla con un esperto

Prepararsi prima conviene: una procedura scritta, i contratti con i fornitori aggiornati, il registro pronto. Se vuoi qualcuno che segua questi temi tutto l’anno, guarda i piani.

Domande frequenti.