Data Breach: cosa fare, come valutarlo e quando notificare al Garante

Un data breach è una violazione di sicurezza che comporta accidentalmente o illecitamente distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali. Non coincide necessariamente con un attacco informatico: può derivare anche da errore umano, invio al destinatario sbagliato, perdita di un dispositivo, configurazioni errate o indisponibilità accidentale.

Quando l’incidente coinvolge dati personali, il titolare deve documentare l’evento, valutarne il rischio e decidere rapidamente se attivare la notifica al Garante e, nei casi a rischio elevato, la comunicazione agli interessati. Questa guida descrive il flusso operativo GDPR da seguire dopo la rilevazione.

Per la prevenzione: come prevenire e mitigare un data breach in azienda

Data breach e incidente informatico: non sono sinonimi

Un incidente cyber può non coinvolgere dati personali e quindi non costituire un personal data breach ai sensi del GDPR. Allo stesso modo, una violazione di dati personali può verificarsi senza malware o hacker. La prima decisione operativa è quindi stabilire se l’evento abbia realmente compromesso riservatezza, integrità o disponibilità di dati personali.

• Violazione di riservatezza: accesso o divulgazione non autorizzata.
• Violazione di integrità: modifica non autorizzata o accidentale dei dati.
• Violazione di disponibilità: perdita o indisponibilità significativa dei dati.

Le prime azioni dopo la segnalazione

1. Aprire un incident log con data e ora della prima segnalazione.
2. Preservare evidenze, log, messaggi, file e informazioni tecniche utili all’indagine.
3. Contenere l’incidente senza distruggere prove necessarie alla ricostruzione.
4. Identificare sistemi, dataset, categorie di dati e soggetti potenzialmente coinvolti.
5. Coinvolgere tempestivamente IT/Security, management, DPO o referente privacy e legale secondo il piano aziendale.
6. Determinare quando il titolare ha acquisito un ragionevole grado di certezza della violazione, perché da quel momento decorre il termine GDPR.

Quando decorrono le 72 ore

L’art. 33 GDPR richiede la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione. La conoscenza non coincide sempre con il primo alert tecnico: secondo le linee guida EDPB, il titolare è considerato a conoscenza quando dispone di un ragionevole grado di certezza che si sia verificato un incidente di sicurezza che ha compromesso dati personali.

Quando notificare il data breach al Garante

La notifica non è automatica per ogni violazione. È richiesta quando la violazione può presentare un rischio per i diritti e le libertà delle persone fisiche. Se il titolare ritiene improbabile tale rischio, può non notificare, ma deve poter documentare la valutazione effettuata.

• Natura e sensibilità dei dati coinvolti.
• Volume dei dati e numero approssimativo degli interessati.
• Facilità con cui gli interessati possono essere identificati.
• Possibili conseguenze: frode, furto d’identità, danno reputazionale, discriminazione, perdita finanziaria.
• Caratteristiche degli interessati, incluse eventuali categorie vulnerabili.
• Misure già applicate, come cifratura efficace o altre protezioni che riducono il rischio.

Come inviare la notifica al Garante Privacy

In Italia, dal 1° luglio 2021, la notifica deve essere presentata tramite la procedura telematica disponibile nel portale dei servizi online del Garante. Il facsimile pubblicato dall’Autorità serve per conoscere in anticipo i dati richiesti, ma non sostituisce l’invio telematico.

Portale ufficiale: Procedura telematica Data Breach del Garante

Quali informazioni deve contenere la notifica

• Natura della violazione e, ove possibile, categorie e numero approssimativo di interessati.
• Categorie e numero approssimativo di registrazioni di dati personali coinvolte.
• Nome e contatti del DPO o di altro punto di contatto.
• Probabili conseguenze della violazione.
• Misure adottate o proposte per porre rimedio alla violazione e attenuarne gli effetti.

Se la notifica avviene oltre le 72 ore, deve essere accompagnata dai motivi del ritardo. Quando non tutte le informazioni sono immediatamente disponibili, possono essere comunicate in fasi successive.

Quando comunicare il data breach agli interessati

La soglia per informare direttamente gli interessati è più alta rispetto a quella della notifica all’autorità. L’art. 34 GDPR richiede la comunicazione senza ingiustificato ritardo quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone.

La comunicazione deve utilizzare un linguaggio chiaro e semplice e descrivere almeno natura della violazione, punto di contatto, probabili conseguenze e misure adottate o proposte.

Registro dei data breach: cosa documentare

Il GDPR richiede di documentare le violazioni, comprese circostanze, conseguenze e provvedimenti adottati. Il registro deve includere anche gli eventi che non sono stati notificati, con la motivazione della decisione.

• Data e ora di rilevazione e di acquisizione della conoscenza.
• Descrizione dell’evento e origine della segnalazione.
• Sistemi, dati e interessati coinvolti.
• Valutazione del rischio e razionale della decisione di notifica/non notifica.
• Azioni di contenimento, remediation e recovery.
• Comunicazioni con Garante, interessati, responsabili, assicurazione o autorità competenti.
• Lesson learned e azioni correttive.

Se il data breach avviene presso un responsabile del trattamento

Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. Il GDPR non impone al responsabile un termine universale di 24 ore: un limite più stringente può essere definito nel contratto o nel data processing agreement per consentire al titolare di rispettare le proprie 72 ore.

Data breach transfrontaliero e autorità capofila

Per trattamenti transfrontalieri può applicarsi il meccanismo one-stop-shop e l’autorità di controllo capofila, in funzione dello stabilimento principale e delle regole GDPR. Le EDPB Guidelines 9/2022 hanno chiarito anche il caso dei titolari non stabiliti nell’UE: la semplice presenza di un rappresentante europeo non crea automaticamente un’autorità capofila.

Il nuovo template comune EDPB del 2026

Il 10 giugno 2026 l’EDPB ha adottato un template comune per le notifiche di data breach, pensato per armonizzare i campi richiesti dalle autorità europee. La consultazione pubblica si è chiusa il 5 agosto 2026. Al 25 agosto 2026 il template non sostituisce ancora la procedura italiana del Garante: l’EDPB deve definire la tempistica di implementazione pratica presso le autorità.

Data breach e Incident Response: due flussi che devono procedere insieme

La valutazione GDPR non sostituisce la risposta tecnica. Durante un attacco è necessario contenere la minaccia, preservare evidenze, ricostruire la timeline, verificare eventuale esfiltrazione e ripristinare i sistemi. Il team privacy deve ricevere informazioni attendibili dal team tecnico per valutare correttamente rischio, numeri e categorie di dati coinvolte.

 Scopri il servizio Incident Response Nexsys

Checklist rapida Data Breach

• L’evento coinvolge dati personali?
• È una violazione di riservatezza, integrità o disponibilità?
• Quando il titolare ha acquisito un ragionevole grado di certezza?
• Quali categorie di dati e quanti interessati sono coinvolti?
• Quali sono le conseguenze plausibili per le persone?
• La violazione presenta un rischio che rende necessaria la notifica al Garante?
• Il rischio è elevato e richiede anche la comunicazione agli interessati?
• Tutte le decisioni e le azioni sono documentate nel registro?

FAQ sul Data Breach

Ogni data breach deve essere notificato al Garante?

No. La notifica è richiesta quando la violazione può presentare un rischio per i diritti e le libertà delle persone. Se il rischio è improbabile, il titolare può non notificare ma deve documentare la valutazione.

 Quanto tempo c’è per notificare un data breach?

Quando la notifica è richiesta, deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione.

La notifica al Garante si può inviare via PEC?

La procedura ordinaria italiana utilizza dal 1° luglio 2021 il portale telematico dedicato del Garante.

Quando bisogna informare anche gli interessati?

Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, salvo le eccezioni previste dall’art. 34 GDPR.

Il responsabile del trattamento ha sempre 24 ore per avvisare il titolare?

No. Il GDPR impone al responsabile di informare il titolare senza ingiustificato ritardo. Un limite di 24 ore può essere previsto contrattualmente, ma non è un termine universale previsto dal GDPR.

Il template comune EDPB 2026 sostituisce già il modulo del Garante?

No. Il template comune è stato adottato dall’EDPB e sottoposto a consultazione, ma al 25 agosto 2026 la tempistica di implementazione pratica presso le autorità deve ancora essere definita.

Modalità̀ di comunicazione agli interessati

Oltre a notificare il Data Breach all’Autorità̀ Garante, deve essere valutata l’esigenza di procedere con la denuncia all’Autorità̀ Giudiziaria competente, nonché́ con la notifica del Data Breach anche ai soggetti interessati i cui dati siano stati violati. 


Nel caso in cui dal Data Breach possa derivare un rischio elevato per i diritti e le libertà delle persone, anche queste devono essere informate senza ingiustificato ritardo, al fine di consentire loro di prendere provvedimenti per proteggersi da eventuali conseguenze negative della violazione. 


L’Ufficio Tutela Dati predispone l’eventuale comunicazione all’interessato/agli interessati, a firma del titolare, da inviarsi nei tempi e nei modi che lo stesso, anche attraverso la funzione consulenziale del DPO, individuerà̀ come più̀ opportuna come specificato nell’art. 34 del GDPR e tenendo conto di eventuali indicazioni fornite dall'Autorità̀ Garante.

Per stabilire se sia necessario provvedere alla notifica agli Interessati, saranno valutati i seguenti fattori:

• il trattamento può̀ comportare discriminazioni, furto d’identità̀, perdite finanziare, disturbi psicologici, pregiudizio alla reputazione, perdita di riservatezza dei Dati personali protetti da segreto professionale o qualsiasi altro danno economico o sociale significativo
• gli Interessati rischiano di essere privati dei loro diritti, delle libertà o venga loro impedito l’esercizio del controllo sui Dati personali che li riguardano
• sono trattati Dati personali che rivelano l'appartenenza sindacale, nonché dati genetici, dati relativi alla salute o i dati relativi a condanne penali e a reati o alle relative misure di sicurezza
• in caso di valutazione di aspetti personali, in particolare mediante l'analisi o la previsione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l'affidabilità̀ o il comportamento, l'ubicazione o gli spostamenti, al fine di creare o utilizzare profili personali
• sono trattati Dati personali di persone fisiche vulnerabili, in particolare minori
• il trattamento riguarda una notevole quantità̀ di Dati personali e un vasto numero di Interessati.

La notifica agli Interessati sarà così effettuata, a meno che non siano state applicate misure tecniche e organizzative per proteggere i dati prima della violazione o per impedire il concretizzarsi dei rischi per diritti e liberà degli Interessati o non comporti uno sforzo sproporzionato rispetto al rischio.

In tal caso si valuterà̀ comunque l’opportunità̀ di procedere a una comunicazione pubblica o a una misura simile, tramite la quale gli Interessati siano comunque informati con analoga efficacia.