Data breach: obblighi dell'azienda (72 ore) e diritti delle vittime

In breve

Che cos'è: ogni violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione o accesso non autorizzati a dati personali (art. 4, n. 12, GDPR), anche per errore umano e anche senza attacco esterno.
Notifica al Garante senza ingiustificato ritardo e ove possibile entro 72 ore, salvo che il rischio per le persone sia improbabile; ritardo motivato, notifica in fasi; il responsabile del trattamento avvisa il titolare senza ritardo (art. 33).
Comunicazione agli interessati senza ritardo se il rischio è elevato, con linguaggio chiaro e le misure da adottare; non dovuta se i dati erano cifrati o il rischio è stato neutralizzato; comunicazione pubblica se lo sforzo è sproporzionato (art. 34).
Registro delle violazioni obbligatorio per tutte, anche quelle non notificate (art. 33, par. 5); sanzioni fino a 10 milioni o il 2% del fatturato (art. 83, par. 4).
Per le vittime: diritto a sapere, reclamo al Garante, risarcimento del danno materiale e immateriale senza soglia di gravità (art. 82), azione di classe, denuncia penale contro gli autori dell'attacco.

Gli obblighi del titolare

Art. 33, par. 1, Reg. (UE) 2016/679 — Notifica di una violazione dei dati personali all'autorità di controllo

«In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo».

La sequenza corretta è: rilevare, contenere, valutare, documentare, e poi notificare e comunicare secondo il rischio. La violazione può riguardare la riservatezza (accesso o divulgazione non autorizzati), l'integrità (alterazione) o la disponibilità (perdita, cifratura da ransomware senza backup): anche l'indisponibilità temporanea dei dati sanitari di un ospedale è un data breach. Il termine di 72 ore decorre dal momento in cui il titolare acquisisce un ragionevole grado di certezza che si è verificata una violazione, e le linee guida del Comitato europeo (9/2022, con gli esempi delle linee guida 1/2021) chiedono di valutare la probabilità e la gravità delle conseguenze per le persone: natura e volume dei dati, facilità di identificazione, categorie di interessati, possibili usi (frodi, furto di identità, discriminazione, danno reputazionale), misure esistenti (cifratura, pseudonimizzazione). Se il rischio non è improbabile, si notifica al Garante con il modulo telematico, indicando natura della violazione, categorie e numero approssimativo di interessati e di dati, contatti del DPO, conseguenze probabili e misure adottate o proposte (par. 3); le informazioni mancanti si integrano «in fasi successive» (par. 4). Il responsabile del trattamento (fornitore cloud, software house, studio paghe) deve informare il titolare «senza ingiustificato ritardo» (par. 2), e i contratti dovrebbero fissare ore, non giorni.

Quando il rischio è elevato si aggiunge la comunicazione diretta agli interessati (art. 34), con linguaggio semplice: che cosa è successo, quali dati, quali conseguenze probabili, che cosa sta facendo il titolare e che cosa possono fare loro (cambiare credenziali, monitorare conti, diffidare di contatti sospetti). Non è dovuta se i dati erano protetti da misure che li rendono incomprensibili (cifratura con chiave non compromessa), se il titolare ha poi adottato misure che scongiurano il rischio elevato, o se richiederebbe sforzi sproporzionati, nel qual caso si usa una comunicazione pubblica; il Garante può comunque ordinarla. Tutte le violazioni, notificate o no, vanno registrate con circostanze, conseguenze e rimedi (par. 5): è il documento che il Garante chiede per primo in ispezione.

Sanzioni, responsabilità e diritti delle vittime

Profilo	Regola	Norma
Sanzione amministrativa	omessa, tardiva o incompleta notifica o comunicazione: fino a 10 milioni di euro o 2% del fatturato mondiale; spesso cumulata con la violazione dell'art. 32 (misure di sicurezza) e con quella dei principi (art. 5), nella fascia dei 20 milioni o 4%; procedimento dell'art. 166 Codice privacy con 30 giorni per le difese	art. 83, par. 4, lett. a, e par. 5, GDPR; art. 166 D.Lgs. 196/2003
Ordini correttivi	il Garante può ordinare la comunicazione agli interessati, la limitazione o il divieto del trattamento, la conformazione delle misure, e pubblicare il provvedimento	art. 58, par. 2, GDPR
Risarcimento	chiunque subisca un danno materiale o immateriale ha diritto al risarcimento dal titolare o dal responsabile; colpa presunta, con esonero solo se il fatto «non è in alcun modo imputabile»; nessuna soglia di gravità; il timore fondato di abusi è danno; la violazione non prova da sola l'inadeguatezza delle misure; il giudice quantifica secondo il diritto nazionale, con funzione compensativa	art. 82 GDPR; CGUE C-300/21 (4/5/2023), C-340/21 (14/12/2023), C-687/21 (25/1/2024)
Giudice e azione collettiva	tribunale ordinario del luogo del titolare o della residenza dell'interessato, rito del lavoro; possibile l'azione di classe per diritti individuali omogenei, promossa da associazioni o da un componente della classe	art. 152 Codice privacy; art. 10 D.Lgs. 150/2011; art. 840-bis c.p.c.
Reclamo e diritti	reclamo al Garante (gratuito), accesso ai dati coinvolti e alle misure, cancellazione, opposizione; il titolare risponde entro un mese	artt. 15-21 e 77 GDPR
Penale	contro gli autori: accesso abusivo a sistema informatico, frode informatica, sostituzione di persona, estorsione; contro il titolare, nei casi di trattamento illecito con profitto o danno, art. 167 Codice privacy	artt. 615-ter, 640-ter, 494, 629 c.p.; art. 167 D.Lgs. 196/2003
NIS2	i soggetti essenziali e importanti notificano al CSIRT Italia gli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale; obbligo aggiuntivo rispetto al GDPR	art. 25 D.Lgs. 138/2024

Sul risarcimento la Corte di giustizia ha fissato in pochi anni le regole: la violazione del regolamento da sola non basta, serve un danno e un nesso, ma non esiste una soglia minima di gravità, e la perdita di controllo sui propri dati o il timore fondato di un uso abusivo futuro possono essere il danno immateriale, se l'interessato li dimostra; il titolare si libera solo provando l'assenza di ogni imputabilità, e il giudice valuta l'adeguatezza delle misure in concreto, senza dedurla dall'esito. In Italia i tribunali liquidano importi contenuti per il singolo interessato (centinaia o poche migliaia di euro), che diventano rilevanti nelle azioni collettive dopo violazioni di massa; la Cassazione richiede comunque la prova del pregiudizio, anche per presunzioni, e nega il danno «in re ipsa».

Che cosa fare, da una parte e dall'altra

Per il titolare, prima: procedura scritta di gestione degli incidenti, responsabile interno e contatti del DPO, backup separati e testati, cifratura dei dati sensibili, contratti con i fornitori che impongano l'avviso entro poche ore, formazione contro il phishing.
Per il titolare, durante: isolare i sistemi, conservare i log, valutare il rischio con criteri scritti, notificare al Garante entro 72 ore (anche in modo preliminare), comunicare agli interessati se il rischio è elevato, registrare tutto; non pagare riscatti senza valutare le conseguenze legali e non cancellare le prove.
Per il titolare, dopo: rispondere alle richieste degli interessati e del Garante, aggiornare le misure, valutare la denuncia contro gli autori e l'assicurazione cyber.
Per la vittima: mettere al sicuro account e conti, conservare la comunicazione ricevuta e le prove di eventuali abusi (tentativi di frode, spam mirato, spese), chiedere informazioni al titolare, presentare reclamo al Garante e valutare l'azione risarcitoria, individuale o di classe.
Per entrambi: attenzione alle truffe «di secondo livello»: dopo un data breach pubblico arrivano chiamate e messaggi che si fingono la banca o l'azienda colpita per carpire credenziali.

Il procedimento sanzionatorio del Garante e le difese dell'azienda sono descritti nella pagina sulle sanzioni privacy; i diritti di accesso e cancellazione nella guida ai diritti GDPR; i reati informatici commessi dagli autori dell'attacco nelle pagine sull'accesso abusivo e sulla frode informatica.

Domande frequenti

Ogni incidente informatico va notificato al Garante?

No. Va notificata, senza ingiustificato ritardo e ove possibile entro 72 ore da quando il titolare ne è venuto a conoscenza, la violazione dei dati personali che presenta un rischio per i diritti e le libertà delle persone; se il rischio è improbabile (per esempio dati cifrati con chiave non compromessa, o un'email inviata per errore a un collega che l'ha cancellata) la notifica non è dovuta, ma la violazione va comunque documentata nel registro interno (art. 33, par. 5). Se il rischio è elevato (dati sanitari, finanziari, credenziali, minori, possibilità di frodi o furto di identità) scatta anche la comunicazione diretta agli interessati (art. 34). Le 72 ore decorrono dalla conoscenza ragionevolmente certa dell'evento, non dal primo allarme, e la notifica può essere fatta in fasi.

Ho ricevuto la comunicazione di un data breach dalla mia banca o dal mio fornitore: che cosa posso fare?

Prima proteggersi (cambiare password, attivare l'autenticazione a due fattori, monitorare conti e SPID, diffidare di chiamate e messaggi che citano l'incidente), poi esercitare i diritti: chiedere al titolare quali dati sono stati coinvolti e quali misure ha preso (art. 15), la cancellazione dove possibile, e presentare reclamo al Garante. Per il risarcimento (art. 82) si può agire davanti al tribunale, anche in forma collettiva; la Corte di giustizia ha chiarito che non serve una soglia di gravità e che anche il timore fondato di un uso abusivo dei dati è un danno risarcibile, ma va provato in concreto (C-300/21, C-340/21).

Se l'azienda è stata vittima di hacker, è comunque responsabile?

La responsabilità dell'art. 82 è per colpa presunta: il titolare risponde salvo che provi che il fatto dannoso «non gli è in alcun modo imputabile». L'attacco di terzi non esclude di per sé la responsabilità, ma non la prova neppure: per la Corte di giustizia (C-340/21) il solo fatto che la violazione sia avvenuta non dimostra l'inadeguatezza delle misure di sicurezza, che il giudice deve valutare in concreto (art. 32). Chi ha adottato misure adeguate, ha reagito tempestivamente e ha notificato e comunicato come dovuto può andare esente da risarcimento e vedere ridotta la sanzione; chi ha ignorato aggiornamenti e allarmi no.

Quali sanzioni rischia chi non notifica?

La violazione degli obblighi degli artt. 33 e 34 rientra nella fascia dell'art. 83, par. 4: fino a 10 milioni di euro o, per le imprese, il 2% del fatturato mondiale annuo, se superiore; la notifica omessa, tardiva o incompleta è tra i motivi più frequenti di sanzione del Garante, spesso insieme all'inadeguatezza delle misure di sicurezza (art. 32) e al mancato riscontro agli interessati. La notifica fatta bene, invece, è considerata un fattore attenuante (art. 83, par. 2, lett. h).

Domande collegate

Fai la tua domanda: rispondono gratis gli avvocati iscritti

Fonti normative

I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.

Da leggere insieme

Privacy e GDPRLe sanzioni del Garante: come si difende un'aziendaReclamo o ispezione, notifica delle violazioni, 30 giorni per memorie e audizione (art. 166 Codice privacy), criteri dell'art. 83 GDPR, pagamento della metà.
Privacy e GDPRI diritti GDPR: accesso, rettifica, cancellazione, opposizione, portabilitàCome esercitare i diritti GDPR (artt. 15-22): richiesta al titolare, risposta entro un mese, gratuità, accesso, cancellazione, opposizione, reclamo al Garante.
Privacy e GDPRLa privacy del lavoratore: email, chat, GPS, badge, cartella sanitariaControlli a distanza solo con accordo o autorizzazione (art. 4 St. lav.), metadati email 21 giorni (Garante 2024), chat e WhatsApp, GPS, impronte.
Privacy e GDPRTelecamere in casa, in condominio, in azienda, in negozio: le regoleCasa: solo le proprie pertinenze (art. 615-bis c.p. se si riprendono i vicini); condominio: maggioranza dell'art. 1122-ter; azienda: accordo sindacale (art. 4 St. lav.).
Reati informaticiL'accesso abusivo a un sistema informatico (art. 615-ter c.p.)Entrare in email, profili o gestionali altrui: fino a 3 anni a querela, da 2 a 10 se pubblico ufficiale, operatore o con dati sottratti (L. 90/2024).
Reati contro il patrimonioLa frode informatica (art. 640-ter c.p.)Alterare un sistema o intervenire sui dati per un profitto ingiusto: 6 mesi-3 anni, 1-5 con trasferimento di denaro, 2-6 con identità digitale; truffa e 493-ter.
Reati informaticiIl furto di identità digitaleIl furto d'identità non è un reato autonomo: artt. 494, 640-ter c. 3, 615-ter e 615-quater c.p., art. 167 Codice privacy; che cosa deve fare la vittima.
Banche, consumatori e assicurazioniL'azione di classe (class action)Artt. 840-bis ss. c.p.c. dal 19/5/2021: diritti omogenei, tribunale delle imprese, adesione online anche dopo la sentenza, compensi; azione rappresentativa UE.
Privacy e GDPRSiti web: cookie, informativa, obblighi per chi ha un sitoArt. 122 Codice privacy e linee guida cookie 2021: banner con X, accetta e rifiuta, niente scroll né cookie wall, analytics, riproposizione a 6 mesi; dati dell'impresa.