Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Ha scoperto lunedì mattina che i sistemi erano stati compromessi. Ha chiamato il suo consulente IT, ha aperto un ticket interno, e nel corso della settimana ha inviato la notifica al Garante Privacy. Entro le 72 ore. Tutto a posto, si è detto.
Sei mesi dopo, ha ricevuto un provvedimento correttivo. Il Garante non contestava il ritardo nella notifica. Contestava che gli interessati — migliaia di clienti i cui dati erano stati esfiltrati — non fossero mai stati avvisati.
Questo è l'errore più diffuso nella gestione di un data breach, cioè una violazione dei dati personali: confondere il primo adempimento con l'unico. Il GDPR ne prevede due, con soglie diverse, destinatari diversi e conseguenze diverse. La confusione tra i due è la ragione principale per cui aziende che hanno notificato ricevono comunque sanzioni.
Data breach notifica Garante: cosa dice davvero l'articolo 33 GDPR
L'obbligo di notificare al Garante è fissato dall'articolo 33 del Regolamento (UE) 2016/679, il cosiddetto GDPR. Il titolare del trattamento — soggetto pubblico, impresa, associazione, professionista — deve notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche.
Il termine decorre da quando il titolare acquista consapevolezza ragionevole dell'incidente: non dall'avvio delle indagini interne, non dalla conferma tecnica definitiva. Il termine decorre dalla ragionevole certezza della violazione, non dall'avvio dell'indagine interna.
Se la notifica arriva oltre le 72 ore, deve essere corredata dei motivi del ritardo. Un ritardo motivato è un problema gestibile; un ritardo silenzioso è un secondo illecito che si somma al primo.
Il GDPR consente tuttavia di procedere per fasi: se entro le 72 ore il titolare non dispone ancora di tutte le informazioni, l'art. 33, par. 4 consente di fornirle in fasi successive, senza ulteriore ingiustificato ritardo — si notifica quello che si sa, dichiarando che il quadro è incompleto, e si integra dopo. Questa possibilità, nella pratica, viene usata raramente e spiegata male al Garante: le integrazioni tardive senza motivazione vengono lette come ritardi.
Il secondo obbligo che molte aziende ignorano
Notificare al Garante non esaurisce il dovere. Quando la violazione comporta un rischio elevato per i diritti e le libertà delle persone fisiche, entra in gioco l'articolo 34 GDPR: la comunicazione diretta agli interessati. Se il rischio per gli interessati è elevato serve anche la comunicazione diretta. Le sanzioni per omessa o tardiva notifica possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale.
Le due valutazioni — notificare al Garante, comunicare agli interessati — seguono soglie diverse. Per la prima basta che il rischio sia possibile; per la seconda occorre che sia elevato. Sono due valutazioni diverse, con soglie diverse, e vanno svolte separatamente. Il titolare che ferma la propria analisi alla prima, senza chiedersi se il rischio raggiunga la soglia della seconda, commette l'errore più frequente e più costoso.
I casi del 2026: Wind Tre, Ambrosetti e il modello che si ripete
I provvedimenti degli ultimi mesi confermano con precisione questo schema.
Il Garante Privacy ha inflitto una sanzione di 1.715.600 euro a Wind Tre Spa per gravi carenze nella sicurezza dei sistemi aziendali, che hanno determinato due accessi abusivi e l'esfiltrazione dei dati personali di oltre 365mila clienti. Il provvedimento — n. 348 del 14 maggio 2026 — è istruttivo per due ragioni. Prima: gli attaccanti avevano ottenuto tutti i fattori di autenticazione attraverso tecniche di social engineering, in particolare contattando telefonicamente un addetto del punto vendita e chiedendo l'accesso remoto al dispositivo per asserite necessità di assistenza tecnica. A seguito del primo evento, gli attaccanti sono riusciti a eseguire 66 interrogazioni puntuali della Customer Base di Wind Tre. Seconda: i dati personali di oltre 365.000 clienti sono stati esfiltrati e, per 41.359 di essi, sono state compromesse anche le informazioni relative ai metodi di pagamento. L'Autorità ha ritenuto violati gli obblighi di integrità, riservatezza e sicurezza del trattamento e ha ordinato il rafforzamento dei sistemi di protezione delle credenziali e dei certificati.
Il caso Ambrosetti (provvedimento del 17 aprile 2026) completa il quadro con un dettaglio prezioso. Una sanzione di 85mila euro è stata irrogata dal Garante a The European House – Ambrosetti Spa per carenze nelle misure di sicurezza, a seguito di un data breach che ha coinvolto 61.670 persone, tra cui dipendenti di aziende clienti e personale interno. La società aveva notificato la violazione entro le 72 ore. Il problema stava dopo: l'Autorità ha accertato che la società, pur avendo notificato il data breach entro le 72 ore previste dalla normativa, non ha informato tempestivamente gli interessati, nonostante la violazione potesse rappresentare un rischio elevato. La comunicazione agli utenti è avvenuta a distanza di circa due mesi dalla scoperta dell'incidente, solo dopo un provvedimento correttivo del Garante.
Due mesi. Non è stato un rifiuto di comunicare: è stata una valutazione sbagliata del rischio.
La Cassazione sul termine del procedimento sanzionatorio
Sul piano procedurale, una pronuncia recente introduce un elemento di certezza che cambia l'approccio difensivo delle aziende sanzionate.
La Cass. civ., Sez. I, ord. 4 settembre 2026, n. 24998, Pres. Acierno, Rel. Costanzo — caso Garante Privacy c. INAIL — riguarda tre distinti data breach del servizio online "Sportello virtuale lavoratori", tramite cui gli iscritti che consultavano la propria posizione personale potevano visualizzare anche i dati di altri soggetti. In parziale accoglimento del ricorso presentato dall'INAIL, il Tribunale aveva annullato il provvedimento limitatamente alla sanzione applicata a un primo episodio.
La Cassazione ha confermato la natura perentoria del termine di 120 giorni entro cui il Garante deve avviare il procedimento sanzionatorio, ma ha corretto il punto di partenza: con l'ordinanza n. 24998/2026 la I Sezione Civile della Suprema Corte — caso Garante c. INAIL relativo ai tre data breach dello "Sportello virtuale lavoratori" — conferma la natura perentoria del termine di 120 giorni per l'avvio del procedimento sanzionatorio ma ne corregge il dies a quo: non la notifica della violazione, bensì il momento dell'effettivo accertamento.
Il principio è tempus regit actum: il procedimento sanzionatorio è regolato dalla norma vigente al momento dell'accertamento, e il termine decorre solo da quando l'Autorità ha completato la propria istruttoria preliminare. Per le aziende che ricevono contestazioni relative a violazioni risalenti, questa distinzione può fare la differenza tra una sanzione valida e un provvedimento annullabile per decadenza.
Quando la comunicazione agli interessati è obbligatoria: la valutazione concreta
La domanda che ogni titolare dovrebbe porsi subito dopo la scoperta di un data breach non è solo "devo notificare al Garante?" ma "devo anche comunicarlo agli interessati?". Le due risposte possono divergere.
La comunicazione agli interessati scatta quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il livello "elevato" è superiore alla semplice possibilità di rischio che attiva la notifica al Garante. Per valutarlo si considerano: la tipologia di dati (credenziali, dati sanitari, dati di pagamento, codici fiscali), il numero di interessati coinvolti, la probabilità che i dati vengano effettivamente usati per danneggiare le persone, e la reversibilità del danno.
Nel caso Ambrosetti, password in chiaro e dati di accesso esfiltrati da oltre 61.000 persone avrebbero dovuto portare il titolare a concludere che il rischio era elevato — e dunque che la comunicazione agli interessati era obbligatoria — fin dalle prime ore. Invece la società ha effettuato autonomamente una valutazione di rischio non elevato. Il Garante ha valutato diversamente.
Nella relazione sull'attività del 2025, presentata il 2 luglio 2026, il Garante ha reso noto di aver ricevuto 2.415 notifiche di violazione dei dati personali, con un incremento di circa il dieci per cento rispetto all'anno precedente. Di queste, 514 provengono dal settore pubblico — in prevalenza Comuni, istituzioni scolastiche e strutture sanitarie — e 1.901 dal settore privato. Dato il volume, il Garante non può esaminare ogni notifica nel dettaglio nell'immediato: le istruttorie più approfondite si aprono spesso mesi dopo, quando emergono segnalazioni degli interessati o anomalie nelle integrazioni successive.
Cosa fare nelle prime 72 ore — e cosa non rimandare a dopo
L'esperienza nelle pratiche che seguiamo mostra che l'errore più frequente non è la mancata notifica, ma la gestione sequenziale di adempimenti che invece vanno svolti in parallelo. Mentre il team IT analizza la violazione, il responsabile legale o il DPO (il responsabile della protezione dei dati, figura obbligatoria per molte categorie di titolari) dovrebbe già rispondere a tre domande: quali dati, quante persone, quale rischio per chi.
La notifica al Garante si invia tramite il portale telematico dedicato, disponibile all'indirizzo servizi.gpdp.it/databreach/s/. Se entro le 72 ore la mappatura è incompleta, è preferibile notificare con le informazioni disponibili e integrare successivamente, indicando espressamente che si tratta di notifica parziale.
Per la comunicazione agli interessati, la tempistica è "senza ingiustificato ritardo": non esiste un termine fisso come per la notifica al Garante, ma il criterio interpretativo consolidato è che il ritardo si misura in ore o pochi giorni, non in settimane. Due mesi, come nel caso Ambrosetti, è fuori da qualsiasi margine di ragionevolezza.
La mancata notifica aggrava sempre la valutazione dell'Autorità. Ma aggrava anche la posizione nei confronti degli interessati che, non avvisati, non hanno potuto adottare contromisure: cambiare le credenziali, monitorare i movimenti del conto, bloccare il documento d'identità. Il danno che non si riesce a prevenire per mancanza di avviso è anche il danno che fonda le azioni civili successive.
Scriveva Immanuel Kant che l'obbligo non si esaurisce nel gesto compiuto, ma nella volontà di produrre un effetto utile per chi ne è destinatario. Notificare al Garante senza avvisare i clienti soddisfa la forma, non la sostanza dell'adempimento. I provvedimenti del 2026 mostrano che il Garante ha cominciato a ragionare nello stesso modo.
Domande frequenti
Se notifico al Garante entro 72 ore, sono al sicuro?
No, non necessariamente. La notifica al Garante è il primo adempimento, non l'unico. Se la violazione comporta un rischio elevato per i diritti e le libertà degli interessati, scatta anche l'obbligo di comunicazione diretta a ciascuna persona coinvolta, ai sensi dell'art. 34 GDPR. Il caso Ambrosetti (provvedimento del 17 aprile 2026, sanzione 85.000 euro) dimostra che una notifica tempestiva non esclude la sanzione se la comunicazione agli interessati viene omessa o ritardata di mesi.
Come si valuta se il rischio è "elevato" e scatta l'obbligo di avvisare gli interessati?
La valutazione è a carico del titolare del trattamento e deve essere svolta subito, non a posteriori. I fattori rilevanti sono: la tipologia di dati coinvolti (credenziali, dati di pagamento, dati sanitari), il numero di persone, la probabilità che i dati siano già stati usati per causare un danno, e la capacità degli interessati di proteggersi se avvisati. Questa analisi dovrebbe essere formalizzata per iscritto, anche quando si conclude con l'esclusione del rischio elevato: è una documentazione che il Garante può richiedere.
L'azienda può essere sanzionata anche se la violazione è stata causata da un attacco esterno?
Sì. Il GDPR valuta non solo la causa dell'incidente ma la adeguatezza delle misure di sicurezza adottate prima che avvenisse. Nel caso Wind Tre (provvedimento n. 348 del 14 maggio 2026, sanzione di 1.715.600 euro), l'attacco era stato condotto con tecniche di social engineering da soggetti esterni; la sanzione è stata irrogata ugualmente perché le carenze nella gestione dei certificati digitali e delle credenziali di accesso erano preesistenti all'incidente e avrebbero potuto essere corrette con misure tecniche ordinarie.
Redazione - Staff Studio Legale MP
