In breve
- Le 72 ore partono da quando hai la ragionevole certezza che ci sia stata una violazione, comprese notti e festivi.
- Notifica al Garante: online, anche incompleta, da integrare dopo.
- Comunicazione alle persone coinvolte se il rischio è elevato (dati sanitari, bancari, documenti, credenziali).
- Registro delle violazioni: sempre, anche quando non si notifica.
- Un fornitore che subisce una violazione deve avvisare te subito; la notifica spetta al titolare.
È un data breach? Esempi frequenti
| Incidente | Di solito |
|---|---|
| Ransomware che cifra il server con dati di clienti o dipendenti | Notifica al Garante; spesso anche agli interessati, se i dati sono stati copiati o non recuperabili |
| Email con allegati inviata al destinatario sbagliato | Dipende dai dati: per dati sanitari o economici spesso notifica; per dati banali basta il registro |
| Portatile o telefono rubato | Se cifrato e con password robusta, di solito solo registro; altrimenti notifica |
| Account email violato con phishing | Valutare cosa c’era nella casella: spesso notifica |
| Destinatari visibili in copia in una email massiva | Registro; notifica se il contesto rivela dati delicati (per esempio pazienti di uno studio) |
| Documenti cartacei smarriti o gettati senza distruggerli | Valutare il contenuto: spesso notifica |
Anche la sola indisponibilità temporanea dei dati, per esempio un gestionale bloccato, è una violazione se ha conseguenze per le persone.
Le prime ore: cosa fare in ordine
- Contieni il danno: isola i dispositivi, cambia le password, chiedi al destinatario sbagliato di cancellare l’email e di confermarlo per iscritto. Vedi sicurezza informatica.
- Annota l’ora in cui ne sei venuto a conoscenza: da lì partono le 72 ore.
- Raccogli i fatti: quali dati, di quante persone, di che tipo, cosa è successo, chi è coinvolto, quali misure c’erano.
- Valuta il rischio per le persone: furto d’identità, frodi, danni economici, discriminazione, danno alla reputazione. Il Garante mette a disposizione uno strumento di autovalutazione.
- Decidi e documenta: notifica, comunicazione agli interessati, oppure solo registro, con le ragioni della scelta.
- Se ci sono reati (accessi abusivi, furto), denuncia alla Polizia Postale.
La notifica al Garante
Si fa con la procedura telematica sul sito del Garante e contiene: natura della violazione, categorie e numero approssimativo di persone e dati coinvolti, contatti del titolare o del DPO, conseguenze probabili, misure adottate o proposte. Se non hai tutte le informazioni entro 72 ore, notifica quello che sai e integra dopo; se notifichi oltre le 72 ore devi spiegare i motivi del ritardo. Il Garante può chiedere chiarimenti, ordinare misure o la comunicazione agli interessati.
Avvisare le persone coinvolte
Quando il rischio è elevato, il titolare deve informare direttamente le persone, con un linguaggio semplice: cosa è successo, quali dati, quali conseguenze sono possibili, cosa hai fatto e cosa possono fare loro (cambiare password, controllare il conto, bloccare una carta, diffidare di email sospette). Non serve se i dati erano cifrati in modo sicuro, se hai già eliminato il rischio, o se richiederebbe sforzi sproporzionati: in quel caso si fa una comunicazione pubblica.
Il registro delle violazioni
Ogni violazione, anche minima e non notificata, va annotata in un registro interno: data, fatti, dati coinvolti, valutazione del rischio, decisione e misure adottate. È la prova che hai gestito l’incidente correttamente ed è tra i documenti che il Garante chiede in un controllo. Va tenuto insieme al registro dei trattamenti: vedi nomine e registri.
Se la violazione è del fornitore
Se l’incidente colpisce un fornitore che tratta dati per tuo conto (gestionale in cloud, consulente del lavoro, hosting, software medico), lui deve avvisarti senza ingiustificato ritardo, come previsto dal contratto di nomina. La notifica al Garante resta a te, come titolare. Le 72 ore partono da quando il fornitore ti informa con elementi sufficienti: per questo il contratto dovrebbe prevedere tempi brevi e un referente.
Sanzioni
La mancata notifica o comunicazione può essere sanzionata fino a 10 milioni di euro o al 2% del fatturato mondiale; le sanzioni per le misure di sicurezza insufficienti che hanno causato la violazione possono essere anche più alte. Nella pratica il Garante valuta gravità, dimensioni dell’azienda, collaborazione e tempestività: gestire bene l’incidente e documentarlo riduce molto il rischio. Le persone danneggiate possono chiedere il risarcimento.
Cosa fa il consulente su Intervento
Descrivi cosa è successo, quando lo hai scoperto, quali dati e quante persone sono coinvolte. L’orientamento gratuito ti dice subito se sembra servire una notifica e quanto tempo hai. Con l’Esperto un consulente privacy verificato ti risponde per iscritto entro 4 ore: valutazione del rischio, se notificare, cosa scrivere e come avvisare le persone. Se il tempo stringe, con il Live ne parli subito con il consulente in videochiamata.
Questa guida descrive le regole generali in vigore al 20 ottobre 2026. Le 72 ore corrono anche nei giorni festivi: se pensi di aver subito una violazione, non aspettare il lunedì.
