Data Breach: Notifica al Garante e Responsabilità dell'Impresa nel 2026
Una violazione dei dati personali può colpire qualsiasi realtà aziendale, indipendentemente dalle sue dimensioni. Quando accade, il Regolamento Generale sulla Protezione dei Dati (GDPR) impone obblighi precisi e scadenze perentorie che non tollerano ritardi. La data breach notifica Garante è uno degli adempimenti più delicati in materia di protezione dei dati: sbagliare tempi, contenuti o valutazione del rischio espone l'impresa a sanzioni amministrative pesanti e, in alcuni casi, a responsabilità civile nei confronti degli interessati.
Questa guida analizza il quadro normativo vigente nel 2026, i passaggi operativi che ogni titolare del trattamento deve seguire, le conseguenze di un inadempimento e gli strumenti che la tecnologia mette oggi a disposizione per gestire gli incidenti informatici in modo più efficiente.
Che cos'è un Data Breach secondo il GDPR
L'articolo 4, paragrafo 12, del GDPR definisce la violazione dei dati personali come "la violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o altrimenti trattati".
La definizione è deliberatamente ampia. Essa comprende:
- attacchi informatici con esfiltrazione di dati (ransomware, phishing, intrusioni nei sistemi);
- perdita o furto di dispositivi contenenti dati personali non cifrati;
- invio accidentale di comunicazioni a destinatari errati;
- cancellazione non autorizzata o irrecuperabile di archivi;
- accessi interni abusivi da parte di dipendenti.
Non si tratta dunque di eventi esclusivamente criminosi. Un errore umano, un guasto tecnico non gestito correttamente, una configurazione errata di un sistema cloud possono costituire data breach a tutti gli effetti.
Le tre tipologie di violazione
Il Comitato europeo per la protezione dei dati (EDPB) distingue tre categorie di violazione in base al tipo di impatto sui dati:
- Violazione della riservatezza: dati divulgati o accessibili a soggetti non autorizzati.
- Violazione dell'integrità: dati alterati o modificati senza autorizzazione.
- Violazione della disponibilità: dati temporaneamente o definitivamente inaccessibili.
Questa distinzione rileva ai fini della valutazione del rischio e dell'obbligo di notifica.
L'obbligo di notifica al Garante: regola e deroghe
La regola generale
L'articolo 33 del GDPR impone al titolare del trattamento di notificare la violazione all'autorità di controllo competente "senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza". In Italia l'autorità di controllo è il Garante per la protezione dei dati personali.
Il termine di 72 ore decorre dal momento in cui il titolare acquisisce una ragionevole certezza che si sia verificato un incidente che coinvolge dati personali. Non è necessario avere contezza di tutti i dettagli: l'obbligo sorge anche quando le informazioni disponibili sono ancora incomplete, ferma restando la possibilità di integrare la notifica successivamente.
Quando la notifica non è obbligatoria
La notifica non è dovuta quando il titolare sia in grado di dimostrare che la violazione "non è suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche". La valutazione deve essere documentata nel registro delle violazioni, indipendentemente dall'esito.
Il carattere eccezionale di questa deroga è sottolineato dalle Linee Guida 9/2022 dell'EDPB: la soglia di esonero è alta e il titolare che ritiene di non notificare deve conservare prove concrete a supporto della propria valutazione.
Notifica tardiva
Se il titolare non rispetta le 72 ore, la notifica rimane comunque doverosa. In tal caso occorre allegare le ragioni del ritardo. L'EDPB ha chiarito che un ritardo giustificato da complessità investigative non comporta automaticamente una violazione del GDPR, ma la motivazione deve essere analitica e documentata.
Contenuto della notifica al Garante
La notifica deve contenere almeno gli elementi indicati dall'articolo 33, paragrafo 3, del GDPR:
- la natura della violazione, le categorie e il numero approssimativo di interessati, nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolte;
- il nome e i dati di contatto del Responsabile della protezione dei dati (DPO) o di altro punto di contatto;
- le probabili conseguenze della violazione;
- le misure adottate o proposte dal titolare per rimediare alla violazione e, se del caso, per attenuarne i possibili effetti negativi.
In Italia le notifiche si effettuano attraverso il portale dedicato del Garante. Nella pratica, molti titolari presentano una notifica iniziale entro le 72 ore con le informazioni disponibili al momento, e la integrano nei giorni successivi man mano che le indagini forensi forniscono elementi più precisi.
L'obbligo di comunicazione agli interessati
Distinto dalla notifica al Garante è l'obbligo, previsto dall'articolo 34 del GDPR, di comunicare la violazione direttamente agli interessati quando essa "è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche".
La comunicazione deve essere effettuata "senza ingiustificato ritardo" e deve descrivere, in linguaggio chiaro e semplice, la natura della violazione e le misure di mitigazione adottate, nonché i riferimenti del DPO o del punto di contatto.
La comunicazione agli interessati può essere omessa nei seguenti casi:
- il titolare ha adottato misure di protezione tecnica adeguate, tali da rendere i dati incomprensibili (ad esempio, cifratura);
- il titolare ha adottato successivamente misure idonee a scongiurare il rischio elevato;
- la comunicazione richiederebbe sforzi sproporzionati, nel qual caso si procede con una comunicazione pubblica equivalente.
Rischio elevato vs. rischio semplice
La distinzione tra rischio (che obbliga alla notifica al Garante) e rischio elevato (che obbliga anche alla comunicazione agli interessati) è cruciale nella gestione del data breach. Le Linee Guida EDPB indicano fattori da considerare: la tipologia di dati coinvolti (categorie particolari ex articolo 9 GDPR, dati relativi a minori, dati finanziari), il numero di interessati, la facilità di identificazione, la gravità delle conseguenze prevedibili.
Il Registro delle Violazioni
Indipendentemente dall'obbligo di notifica, il titolare è tenuto a documentare tutte le violazioni dei dati personali nel registro delle violazioni, come previsto dall'articolo 33, paragrafo 5, del GDPR. Questo registro deve contenere una descrizione dei fatti, degli effetti e delle misure adottate.
Il registro costituisce uno strumento di accountability: consente al titolare di dimostrare all'autorità di controllo di aver correttamente valutato ogni incidente, anche quello per cui ha ritenuto di non procedere con la notifica formale.
Responsabilità dell'impresa in caso di violazione dati personali
Responsabilità amministrativa e sanzioni GDPR
L'inosservanza degli obblighi di notifica e comunicazione configura una violazione diretta del GDPR, sanzionabile ai sensi dell'articolo 83. La mancata notifica al Garante può comportare sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore.
Violazioni più gravi, come il mancato rispetto dei principi fondamentali di trattamento o la carenza strutturale di misure di sicurezza, ricadono nella fascia superiore: fino a 20 milioni di euro o al 4% del fatturato mondiale.
Il Garante italiano ha già irrogato sanzioni significative in materia di data breach negli anni recenti, con provvedimenti che hanno riguardato società di telecomunicazioni, banche, enti sanitari e imprese di medie dimensioni.
Responsabilità civile nei confronti degli interessati
L'articolo 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale a causa di una violazione del regolamento il diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento. Il danno immateriale comprende l'ansia, il disagio, la perdita di controllo sui propri dati.
Il titolare può liberarsi dalla responsabilità solo dimostrando che l'evento dannoso non è a lui in alcun modo imputabile. Si tratta di una responsabilità presunta, con inversione dell'onere della prova a carico del titolare.
Responsabilità penale
In taluni casi, una violazione dei dati può integrare fattispecie penalmente rilevanti: trattamento illecito di dati personali (articolo 167 del Codice Privacy), comunicazione e diffusione illecita di dati personali (articolo 167-bis), acquisizione fraudolenta di dati personali (articolo 167-ter). A queste si possono aggiungere reati informatici previsti dal Codice Penale, come l'accesso abusivo a sistema informatico e il danneggiamento informatico.
Il ruolo del DPO nella gestione del data breach
Il Responsabile della protezione dei dati (DPO) svolge un ruolo centrale nella catena di risposta agli incidenti. Nei casi in cui la sua nomina è obbligatoria (enti pubblici, titolari che trattano dati su larga scala, organizzazioni che monitorano sistematicamente gli interessati), il DPO deve essere coinvolto tempestivamente e i suoi dati di contatto devono essere indicati nella notifica al Garante.
Anche nelle realtà che non hanno l'obbligo di nomina, è prassi consolidata designare internamente un responsabile per la gestione degli incidenti, con un piano di risposta predefinito (Incident Response Plan) che includa procedure di escalation, soglie di valutazione del rischio e modelli di notifica pre-compilati.
Le fasi operative della gestione di un data breach
Una corretta gestione dell'incidente si articola in passaggi sequenziali:
1. Rilevazione e contenimento
Il primo obiettivo è identificare la violazione, valutarne l'entità e adottare misure immediate per contenerne la propagazione: isolamento dei sistemi compromessi, revoca delle credenziali coinvolte, interruzione degli accessi non autorizzati.
2. Valutazione del rischio
Entro le prime ore occorre condurre una valutazione del rischio per determinare se la soglia di notifica sia raggiunta e se esista un rischio elevato per gli interessati. Questa fase richiede l'analisi delle tipologie di dati coinvolti, delle modalità di accesso e delle conseguenze prevedibili.
3. Notifica al Garante entro 72 ore
Se la soglia è superata, si procede alla notifica sul portale del Garante. Se le informazioni sono incomplete, la notifica avviene in forma parziale con successiva integrazione.
4. Comunicazione agli interessati
Se il rischio è elevato e non operano le cause di esonero, si redige e trasmette la comunicazione agli interessati con linguaggio accessibile.
5. Documentazione nel registro delle violazioni
Ogni incidente, indipendentemente dall'esito della valutazione, viene registrato con tutti gli elementi rilevanti.
6. Misure correttive e prevenzione
Conclusa la fase emergenziale, si procede all'analisi delle cause e all'adozione di misure organizzative e tecniche per prevenire il ripetersi dell'evento.
Tendenze nel 2026: NIS2, AI e nuovi scenari di rischio
Nel 2026 la gestione del data breach si intreccia sempre più con gli obblighi derivanti dalla Direttiva NIS2, recepita in Italia con il decreto legislativo attuativo, che impone notifiche agli organi di supervisione sulla cybersicurezza entro termini analoghi a quelli del GDPR. Le imprese che ricadono nell'ambito applicativo di NIS2 devono gestire una doppia filiera di notifica, coordinando l'obbligo verso il Garante con quello verso l'ACN (Agenzia per la Cybersicurezza Nazionale).
L'utilizzo di sistemi di intelligenza artificiale per il monitoraggio della sicurezza informatica sta diventando una risposta comune al problema del rilevamento tardivo degli incidenti. Sistemi di SIEM evoluti, integrati con moduli di AI predittiva, consentono di identificare anomalie nel traffico di rete e nell'accesso ai dati in tempi molto più brevi rispetto ai metodi tradizionali. Tuttavia, anche l'adozione di questi strumenti richiede una valutazione di impatto sulla protezione dei dati (DPIA) e una revisione dei registri delle attività di trattamento.
Domande Frequenti (FAQ)
Le 72 ore decorrono dall'attacco o dalla scoperta?
Le 72 ore decorrono dal momento in cui il titolare ha ragionevole certezza che si sia verificata una violazione dei dati personali, non necessariamente dal momento dell'attacco. Se l'attacco risale a settimane prima ma la scoperta avviene oggi, il termine parte da oggi.
Un fornitore esterno ha subito un data breach che coinvolge i miei dati: chi deve notificare?
Il responsabile del trattamento (fornitore) deve notificare la violazione al titolare senza ingiustificato ritardo. Il titolare, una volta informato, valuta l'obbligo di notifica al Garante e agli interessati. La responsabilità formale di notificare all'autorità rimane in capo al titolare.
Cosa rischia un'impresa che non notifica entro 72 ore?
Rischia una sanzione amministrativa fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale. A questo si aggiunge il rischio di richieste risarcitorie da parte degli interessati danneggiati e, in casi estremi, di procedimenti penali.
Il ransomware costituisce sempre un data breach?
Non automaticamente. Se i dati sono stati cifrati dal titolare prima dell'attacco e l'aggressore non ha avuto accesso ai dati in chiaro, l'incidente può configurarsi come violazione della disponibilità senza accesso ai dati. La valutazione deve essere condotta caso per caso e documentata.
La notifica al Garante è pubblica?
La notifica non viene resa pubblica di default. Il Garante può però disporre la comunicazione agli interessati o rendere pubblico il procedimento sanzionatorio. Le decisioni del Garante contenenti sanzioni sono generalmente pubblicate sul sito istituzionale.
Una PMI senza DPO deve comunque notificare?
Sì. L'obbligo di notifica al Garante e di comunicazione agli interessati non è condizionato alla presenza di un DPO. Tutte le imprese titolari di trattamento sono soggette agli articoli 33 e 34 del GDPR, indipendentemente dalla dimensione.
Come IUS AI supporta la gestione della privacy e dei data breach
La gestione di un data breach richiede reattività, precisione documentale e una conoscenza approfondita degli obblighi normativi. IUS AI mette a disposizione di avvocati, DPO e compliance officer strumenti concreti per affrontare queste sfide:
- il generatore di atti legali consente di predisporre template di notifica al Garante, comunicazioni agli interessati, aggiornamenti del registro delle violazioni e policy interne di incident response, adattati alle specificità di ciascuna organizzazione;
- il motore di ricerca giurisprudenziale permette di consultare i provvedimenti sanzionatori del Garante e le decisioni dell'EDPB più rilevanti, aggiornati in tempo reale;
- l'assistente AI risponde a quesiti specifici sulla normativa privacy, fornendo analisi puntuali sui casi limite che più frequentemente si presentano nella pratica.
Se gestisci la compliance privacy di una struttura aziendale o assisti clienti in materia di protezione dei dati, registrati gratuitamente su IUS AI e scopri come la piattaforma può rendere più efficiente ogni fase della gestione di un data breach.