Data Breach 2026: Obblighi di Notifica al Garante e Gestione della Crisi Legale

Un data breach non è mai soltanto un incidente informatico. È un evento giuridico che attiva una catena precisa di obblighi normativi, responsabilità civili e penali, e rischi reputazionali che possono mettere in ginocchio un'impresa in poche ore. Nel 2026, con il GDPR pienamente consolidato nella prassi sanzionatoria del Garante per la protezione dei dati personali e con la direttiva NIS2 operativa, la gestione di una violazione dei dati personali richiede una risposta legale strutturata, tempestiva e documentata.

Questa guida analizza gli obblighi di notifica al Garante, le responsabilità dell'impresa titolare del trattamento, le procedure di gestione della crisi e gli strumenti per ridurre l'esposizione sanzionatoria.

Che Cosa si Intende per Data Breach

Ai sensi dell'articolo 4, paragrafo 12, del Regolamento UE 2016/679 (GDPR), per violazione dei dati personali si intende qualsiasi violazione della sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali trasmessi, conservati o comunque trattati.

La definizione è volutamente ampia. Rientrano nel perimetro del data breach:

• attacchi ransomware che bloccano l'accesso ai dati o ne comportano l'esfiltrazione;
• accessi non autorizzati a banche dati aziendali;
• perdita di dispositivi contenenti dati personali non cifrati;
• invii accidentali di email contenenti dati di soggetti a destinatari sbagliati;
• pubblicazione involontaria di dati riservati su sistemi accessibili pubblicamente;
• condivisione errata di documenti su piattaforme cloud.

Non è rilevante che l'evento sia frutto di un attacco esterno o di un errore interno: ciò che conta è che si sia verificata una violazione della sicurezza che abbia coinvolto dati personali.

Il Sistema degli Obblighi GDPR: Chi Deve Fare Cosa

Il GDPR distingue due livelli di obblighi in materia di data breach, che si attivano in modo sequenziale ma con presupposti e destinatari diversi.

Il Titolare del Trattamento

Il titolare è il soggetto principale gravato dagli obblighi normativi. Deve valutare tempestivamente la natura e la portata della violazione, documentarla internamente e decidere se e quando notificarla al Garante e comunicarla agli interessati.

Il Responsabile del Trattamento

Il responsabile esterno, quale il fornitore di servizi cloud, la software house o il provider IT, è tenuto a informare il titolare senza ingiustificato ritardo non appena viene a conoscenza della violazione. Questo passaggio è fondamentale: i contratti di data processing agreement devono prevedere clausole precise sui termini e le modalità di comunicazione interna tra responsabile e titolare.

La Notifica al Garante: Termini, Contenuto e Procedura

Il Termine delle 72 Ore

L'articolo 33 del GDPR stabilisce che il titolare notifica la violazione all'autorità di controllo competente entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.

Il termine di 72 ore decorre dal momento in cui il titolare ha una ragionevole certezza che si è verificata una violazione. Non è necessario attendere di aver ricostruito l'intera portata dell'incidente: se le informazioni disponibili indicano che si è verificato un data breach, l'obbligo di notifica si attiva.

In Italia, la notifica viene trasmessa telematicamente attraverso il portale del Garante per la protezione dei dati personali. Se non è possibile fornire tutte le informazioni entro 72 ore, è ammessa una notifica in più fasi, purché le informazioni inizialmente omesse vengano trasmesse successivamente senza ulteriore ritardo, con indicazione delle ragioni del ritardo.

Cosa Deve Contenere la Notifica

Ai sensi dell'articolo 33, paragrafo 3, del GDPR, la notifica al Garante deve contenere:

• la descrizione della natura della violazione, comprese le categorie e il numero approssimativo degli interessati coinvolti e delle registrazioni dei dati personali coinvolte;
• il nome e i dati di contatto del responsabile della protezione dei dati (DPO) o di altro punto di contatto presso cui ottenere più informazioni;
• la descrizione delle probabili conseguenze della violazione;
• la descrizione delle misure adottate o di cui si propone l'adozione da parte del titolare per porre rimedio alla violazione e anche, se del caso, per attenuarne i possibili effetti negativi.

La qualità della notifica è rilevante ai fini della valutazione del Garante in sede sanzionatoria. Una notifica incompleta, ritardata o sostanzialmente inaccurata aggrava la posizione del titolare.

Quando la Notifica Non È Obbligatoria

Il titolare può omettere la notifica soltanto quando ritenga, con valutazione motivata e documentata, che la violazione non presenti alcun rischio per i diritti e le libertà degli interessati. Si tratta di casi residuali, come la temporanea indisponibilità di un sistema che non comporta alcuna fuoriuscita di dati.

Questa valutazione deve essere effettuata con rigore e documentata nel registro delle violazioni. Il Garante ha più volte precisato che il beneficio del dubbio deve essere risolto in favore della notifica.

La Comunicazione agli Interessati

Oltre alla notifica al Garante, l'articolo 34 del GDPR impone in determinati casi la comunicazione diretta agli interessati, ossia alle persone fisiche i cui dati sono stati coinvolti nella violazione.

Quando Scatta l'Obbligo

L'obbligo di comunicazione agli interessati si attiva quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il parametro è più severo rispetto alla notifica al Garante: qui non basta un rischio generico, occorre che la violazione possa determinare un danno significativo agli interessati.

Esempi tipici che richiedono la comunicazione agli interessati:

• esfiltrazione di dati sanitari o di dati relativi alla vita sessuale;
• furto di credenziali di accesso bancario o di carte di pagamento;
• violazione che espone gli interessati a rischio di furto di identità;
• accesso non autorizzato a dati di minori.

Contenuto e Modalità della Comunicazione

La comunicazione deve descrivere in linguaggio chiaro la natura della violazione, le probabili conseguenze e le misure adottate, e deve fornire il contatto del DPO o del referente del titolare. L'interessato deve essere messo in condizione di capire cosa è successo e cosa fare per proteggersi.

Il Garante può ordinare al titolare di effettuare la comunicazione agli interessati anche quando questi non lo abbia ritenuto necessario.

Il Registro delle Violazioni

Indipendentemente dall'obbligo di notifica, il titolare deve documentare tutte le violazioni dei dati personali nel registro interno previsto dall'articolo 33, paragrafo 5, del GDPR. Questo registro deve contenere la descrizione della violazione, i suoi effetti e le misure adottate.

Il registro delle violazioni è uno strumento difensivo fondamentale. In sede ispettiva o sanzionatoria, la presenza di un registro accurato e aggiornato dimostra che il titolare ha adottato un approccio sistematico alla gestione della sicurezza dei dati, il che può incidere significativamente sull'entità delle sanzioni.

Le Sanzioni del Garante per i Data Breach

Le violazioni degli obblighi di notifica e comunicazione in materia di data breach sono sanzionate ai sensi dell'articolo 83 del GDPR con sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Le violazioni sostanziali dei principi di sicurezza del trattamento, invece, possono essere sanzionate fino a 20 milioni di euro o al 4% del fatturato globale.

Nel 2026, il Garante italiano ha intensificato l'attività istruttoria successiva ai data breach notificati, avviando procedimenti d'ufficio nei confronti dei titolari che non avevano adottato misure di sicurezza adeguate o che avevano omesso o ritardato la notifica. L'orientamento prevalente è quello di valutare non soltanto la condotta successiva alla violazione, ma anche le misure preventive che il titolare avrebbe dovuto adottare per impedirla.

Gestione della Crisi Legale: Il Protocollo di Risposta

La risposta a un data breach deve essere organizzata come una vera e propria gestione della crisi, con ruoli, responsabilità e tempi definiti in anticipo. Improvvisare di fronte a un incidente di sicurezza è la scelta peggiore.

Fase 1: Contenimento Immediato

Nelle prime ore, l'obiettivo prioritario è arrestare la violazione e impedire che si estenda. Il team IT deve isolare i sistemi compromessi, bloccare gli accessi non autorizzati e preservare le evidenze informatiche ai fini dell'analisi forense.

Fase 2: Valutazione del Rischio

Entro poche ore, il titolare deve effettuare una prima valutazione della natura e della portata della violazione. Quali categorie di dati sono coinvolte? Quanti interessati? Quali probabili conseguenze per i diritti e le libertà delle persone? Questa valutazione determina se e quando notificare al Garante e se comunicare agli interessati.

Fase 3: Attivazione del Team Legale

Il consulente legale e il DPO devono essere coinvolti immediatamente. Il loro ruolo è duplice: garantire la conformità agli obblighi normativi e gestire i profili di responsabilità. In questa fase si valuta anche se sussistano obblighi di comunicazione verso altri enti, come la Banca d'Italia per gli istituti finanziari, l'AGCOM per gli operatori di comunicazione o l'ACN per i soggetti NIS2.

Fase 4: Notifica al Garante

Entro le 72 ore, si trasmette la notifica al Garante con le informazioni disponibili. Se non si dispone ancora di tutti gli elementi, si effettua una notifica preliminare, indicando esplicitamente che ulteriori informazioni verranno fornite.

Fase 5: Comunicazione agli Interessati

Se la valutazione del rischio lo richiede, si procede alla comunicazione agli interessati attraverso i canali più efficaci per raggiungerli effettivamente: email, SMS, avviso sul sito web o comunicato stampa, a seconda della situazione.

Fase 6: Analisi Post-Incidente e Rimedi

Conclusa la fase acuta, si avvia l'analisi approfondita dell'incidente per identificarne le cause, valutare le misure di sicurezza adottate e implementare le azioni correttive necessarie. Questa fase è fondamentale non solo per prevenire futuri incidenti, ma anche perché il Garante tiene conto, in sede sanzionatoria, delle misure remediali adottate.

Le Responsabilità Civili verso gli Interessati

Il data breach espone il titolare non soltanto alle sanzioni amministrative del Garante, ma anche alle azioni risarcitorie degli interessati. L'articolo 82 del GDPR stabilisce che chiunque subisca un danno materiale o immateriale causato da una violazione del Regolamento ha il diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento.

La Corte di Giustizia dell'Unione Europea ha chiarito in più occasioni che il danno immateriale da data breach è risarcibile anche in assenza di un pregiudizio economico concreto, purché l'interessato provi di aver subito un pregiudizio reale, come ansia, perdita del controllo sui propri dati o timore di futuri pregiudizi.

In Italia, i tribunali stanno progressivamente consolidando una giurisprudenza favorevole agli interessati, con liquidazioni del danno che, seppur spesso contenute per i singoli, diventano rilevanti in presenza di class action o di violazioni massive.

L'Interazione con la Direttiva NIS2

Per i soggetti che rientrano nel perimetro applicativo della direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, il data breach si inserisce in un quadro normativo più ampio che prevede obblighi di segnalazione agli enti competenti, in particolare all'Agenzia per la Cybersicurezza Nazionale. I termini di notifica NIS2 sono addirittura più stringenti di quelli GDPR: la segnalazione iniziale deve avvenire entro 24 ore dalla conoscenza dell'incidente significativo. Questo crea la necessità di procedure interne capaci di gestire obblighi paralleli con tempistiche diverse.

Come IUS AI Supporta la Gestione dei Data Breach

La redazione di procedure interne per la gestione dei data breach, dei modelli di notifica al Garante, degli accordi di data processing, dei registri delle violazioni e delle comunicazioni agli interessati è un'attività che richiede precisione giuridica e aggiornamento costante.

IUS AI permette ad avvocati e DPO di generare in pochi minuti documenti conformi alle più recenti indicazioni del Garante e agli orientamenti della Corte di Giustizia UE, con la possibilità di cercare le sentenze e i provvedimenti più rilevanti tra oltre 100.000 fonti giurisprudenziali.

Se gestisci la privacy di aziende clienti o sei il DPO di un'organizzazione, scopri come IUS AI può trasformare la tua operatività: accedi subito alla piattaforma.

FAQ sul Data Breach nel 2026

Cosa succede se supero le 72 ore per la notifica al Garante?

Il superamento del termine di 72 ore non esclude automaticamente la notifica, che deve comunque avvenire con indicazione dei motivi del ritardo. Il Garante valuta la tardività come elemento aggravante in sede sanzionatoria, ma una notifica tardiva è sempre preferibile all'omissione totale.

Devo notificare anche se il data breach ha riguardato solo dati di dipendenti?

Sì. I dipendenti sono interessati ai sensi del GDPR alla stregua di qualsiasi altra persona fisica. Le violazioni che coinvolgono dati dei lavoratori, specie se riguardano categorie particolari come dati sanitari o sindacali, richiedono la notifica e, se il rischio è elevato, la comunicazione agli interessati.

Il responsabile del trattamento risponde direttamente verso gli interessati?

Sì. L'articolo 82 del GDPR prevede la responsabilità diretta del responsabile verso gli interessati per i danni causati da violazioni degli obblighi specificamente posti a suo carico o per i quali abbia agito in modo difforme dalle istruzioni del titolare.

Un piccolo studio legale o una PMI sono soggetti agli stessi obblighi?

Gli obblighi di notifica e comunicazione si applicano a qualsiasi titolare del trattamento, indipendentemente dalle dimensioni. Le differenze riguardano semmai la proporzionalità delle misure di sicurezza richieste, non l'obbligo di notifica in caso di violazione.

Posso evitare la notifica se i dati erano cifrati?

La cifratura dei dati può escludere o ridurre il rischio per gli interessati e quindi incidere sull'obbligo di comunicazione agli stessi. Tuttavia, la notifica al Garante potrebbe comunque essere necessaria per documentare l'incidente e dimostrare l'adozione di misure adeguate. La valutazione va fatta caso per caso.

Cosa rischio penalmente in caso di data breach?

Se la violazione è stata causata o facilitata da condotte dolose o gravemente negligenti, possono configurarsi reati specifici, tra cui l'accesso abusivo a sistemi informatici ex articolo 615-ter c.p. se vi è stato un attacco esterno, o reati di omessa adozione di misure di sicurezza. La responsabilità penale è personale e riguarda i soggetti fisici che hanno commesso o agevolato la condotta illecita.

Conclusione

Il data breach nel 2026 è un evento giuridico di prima grandezza. La risposta deve essere rapida, documentata e legalmente fondata. Gli obblighi GDPR di notifica al Garante entro 72 ore e di comunicazione agli interessati non sono adempimenti formali: sono il nucleo di un sistema di responsabilità che incide direttamente sul patrimonio e sulla reputazione dell'impresa.

Predisporre in anticipo un piano di risposta agli incidenti, formare il personale, aggiornare i contratti con i fornitori e tenere aggiornato il registro delle violazioni non sono scelte discrezionali: sono obblighi normativi e, soprattutto, misure di buon senso che possono fare la differenza tra una crisi gestita e una catastrofe.

Per strutturare documenti di compliance privacy conformi e aggiornati al 2026, registrati su IUS AI e accedi alla piattaforma che oltre 10.000 professionisti legali italiani usano ogni giorno.