Notifica violazione dati personali: come decidere

La notifica violazione dati personali non dipende dalla dimensione dell’incidente o dalla presenza di un attacco. Il titolare informa l’autorità competente salvo che sia improbabile un rischio per diritti e libertà; intanto le 72 ore decorrono dalla consapevolezza. Contenimento e decisione devono quindi iniziare insieme ¹.

Risposta rapida La notifica violazione dati personali è richiesta salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Fissate l’ora di consapevolezza, contenete l’evento, valutate il rischio e notificate l’autorità competente entro 72 ore, anche per fasi se le informazioni sono ancora incomplete ².

Ultimo aggiornamento: 26 agosto 2026

Due flussi iniziano quando il titolare diventa consapevole

La prima ora non va consumata scegliendo tra risposta tecnica e analisi normativa. Un flusso contiene l’incidente e protegge le persone; l’altro costruisce fatti, rischio e decisioni. Entrambi condividono una cronologia, perché una misura tecnica può cambiare il rischio e una nuova evidenza può modificare la priorità del contenimento.

Una persona mantiene il registro centrale, ma non blocca gli altri. Il team tecnico può revocare una sessione mentre le funzioni operative verificano le persone coinvolte e chi governa la protezione dei dati prepara la valutazione. Ognuno riporta fatti con fonte e ora, distinguendo ciò che è osservato da ciò che è ancora un’ipotesi.

Il contenimento non è una conclusione. Recuperare un’email o ottenere una promessa di cancellazione può ridurre il rischio, ma la valutazione spiega perché la misura sia credibile, che cosa potrebbe essere già accaduto e quali copie restino possibili. La parola «risolto» non sostituisce la cronologia né chiude gli obblighi.

Il responsabile del trattamento avvisa il titolare senza ingiustificato ritardo e fornisce orari, log, dati interessati, misure e contatti disponibili. Il titolare conserva la decisione sull’articolo 33; un fornitore non può chiuderla con un ticket generico o una rassicurazione priva di evidenza ¹.

Punti di situazione brevi e prestabiliti mantengono un unico quadro. Ogni gruppo riferisce cosa ha confermato, cosa ha escluso, quale domanda resta aperta e quale conclusione potrebbe cambiare; il coordinatore assegna la prossima azione e conserva la versione precedente, evitando indagini parallele su ipotesi già risolte.

La consapevolezza viene prima della causa definitiva

Le 72 ore iniziano quando il titolare ha un grado ragionevole di certezza che si sia verificata una violazione di dati personali. Il momento non coincide necessariamente con il primo allarme, che può essere un falso positivo, né con la fine dell’indagine. La cronologia mostra il passaggio fra sospetto e consapevolezza ².

Alle 09:10 arriva una segnalazione su un allegato forse errato. Alle 09:25 il team conferma che il messaggio è partito verso un destinatario esterno e contiene dati di un altro cliente. Quella conferma può fissare la consapevolezza anche se non sono ancora noti apertura, inoltro o conseguenze; aspettare la risposta del destinatario sposterebbe indebitamente il punto legale.

Il record riporta evento, evidenza e motivo dell’ora scelta. Le 72 ore non equivalgono a tre giorni lavorativi: fine settimana e notti restano nel calcolo. Canali fuori orario devono quindi raggiungere chi può contenere, valutare e autorizzare una prima relazione.

La soglia non viene spostata indietro per prudenza teatrale né avanti per convenienza. Un avviso automatico senza elementi sui dati può restare un sospetto; la conferma di un accesso non autorizzato a record identificabili rende invece difficile sostenere che il titolare stia ancora verificando se esista una violazione.

Il rischio riguarda le persone, non il disagio dell’impresa

La domanda centrale è che cosa potrebbe accadere alle persone. Costi interni, fermo del servizio e reputazione possono richiedere gestione, ma non sostituiscono la valutazione dei diritti e delle libertà.

Probabilità e gravità vanno considerate insieme. Un evento poco probabile ma capace di un danno molto grave non viene liquidato con la sola frequenza; dati ordinari inviati a un destinatario affidabile e subito eliminati possono presentare un quadro diverso, purché le circostanze siano verificate.

La valutazione riporta rischio iniziale, misure e rischio residuo. Questa sequenza evita sia di fingere che il contenimento cancelli l’incidente, sia di ignorare l’effetto reale di misure rapide. Se restano dubbi importanti, entrano nella decisione con una domanda, un responsabile e una scadenza.

I fattori non sono punti da sommare. Pochi record possono creare conseguenze gravi se rivelano una condizione sanitaria o un indirizzo protetto; migliaia di elementi pseudonimizzati, separati dalla chiave e resi inutilizzabili possono presentare un quadro diverso. La valutazione collega dato, destinatario e persona, evitando che il volume diventi una scorciatoia.

La decisione usa tre elementi e la corretta autorità

L’articolo 33 impone la notifica all’autorità competente salvo che sia improbabile che la violazione comporti un rischio ¹. La decisione si chiude con esattamente tre elementi, mantenuti nello stesso ordine:

• Fatti accertati e lacune: dati, persone, accesso, durata, destinatari e informazioni ancora mancanti.
• Rischio e mitigazione: conseguenze plausibili, probabilità, gravità e misure che modificano davvero l’esposizione.
• Verdetto operativo: notificare ora, non notificare con motivazione, oppure notificare per fasi mentre l’indagine continua.

Il percorso inizia registrando la consapevolezza e separa l’indagine di sicurezza dalla decisione sulla notifica. Il titolare può evitare la notifica all’autorità competente solo se il rischio per i diritti e le libertà delle persone è improbabile; l’incertezza sui fatti decisivi deve essere risolta rapidamente, non trattata come assenza di rischio ^{1 2}. Se l’eccezione non è dimostrabile, la violazione va notificata all’autorità competente e la comunicazione alle persone in caso di rischio elevato va valutata separatamente.

L’assenza di prova di un danno non significa che il rischio sia improbabile. Nelle prime ore il danno spesso non è osservabile; il team ragiona su possibilità realistiche in base a dati, persone e destinatari. Una formulazione catastrofica priva di collegamento ai fatti non rende invece la decisione più prudente, ma meno controllabile.

Per un trattamento transfrontaliero, il titolare individua l’autorità capofila solo quando esiste lo stabilimento principale o unico richiesto dal meccanismo dello sportello unico. La sola nomina di un rappresentante nell’Unione da parte di un titolare non stabilito nello Spazio economico europeo non crea l’accesso a quel meccanismo; in assenza dei presupposti, la competenza segue le autorità interessate ².

In Italia il punto operativo è la pagina ufficiale Data Breach del Garante per la protezione dei dati personali, dalla quale si segue il servizio corrente. Il contatto rende azionabile la relazione nazionale, mentre la valutazione della competenza transfrontaliera resta separata e documentata.

L’ordinamento britannico vigente usa per la decisione ordinaria una logica materialmente equivalente. La pagina europea può quindi restare unica e non suffissata; il titolare nell’Unione deve però usare autorità, regole di competenza e canale del sistema europeo, non un percorso esterno.

La relazione per fasi nasce da una sola cronologia

Non tutte le informazioni saranno disponibili nella prima relazione. Il GDPR consente di fornirle per fasi senza ulteriore ingiustificato ritardo ¹. Una notifica iniziale dichiara ciò che è noto, le lacune, chi le sta verificando e quando arriverà il prossimo aggiornamento, invece di presentare ipotesi come fatti certi.

Il modello comune EDPB, versione 1.0, è stato adottato l’8 giugno 2026 per consultazione. La consultazione si è svolta dal 10 giugno al 5 agosto ed è chiusa, ma attuazione nazionale e calendario sono ancora da decidere ^{5 6}. Il modello è quindi uno schema di preparazione, non un modulo universale oggi valido per il deposito.

Fino all’attuazione, il titolare usa il percorso corrente dell’autorità competente. In Italia segue il servizio collegato dalla pagina Data Breach del Garante; il record interno può già organizzare i campi del modello EDPB, purché non faccia attendere il canale nazionale né presenti ogni intestazione come obbligatoria in ogni sistema.

Un seguito distingue con chiarezza notifica nuova e aggiornamento. Distingue anche informazioni complete da quelle incomplete: «circa 200 account secondo il log delle 14:00, verifica dei duplicati in corso» è più utile di un numero preciso senza fonte. Ogni versione conserva la precedente e spiega evidenza, cambiamento e conseguenza sul rischio.

Il ritiro è uno stato della stessa cronologia, con ragione e prova. Aggiornamento o ritiro modificano il record rivolto all’autorità, ma non riavviano la consapevolezza, il calcolo delle 72 ore o l’analisi giuridica. Se la decisione precedente cambia, la nuova versione mostra perché era ragionevole sui fatti disponibili e quale fatto ha imposto il nuovo verdetto.

Una copia controllata della cronologia alimenta le relazioni. Nomi di file, conteggi e misure hanno fonte e ora; le ipotesi tecniche restano contrassegnate; chi invia verifica canale, destinatario e allegati per non creare una seconda divulgazione. Approvazioni ordinarie non devono bloccare una prima relazione necessaria vicino alla scadenza.

La cadenza degli aggiornamenti segue il lavoro promesso. Se un’estrazione slitta, il contatto spiega motivo e nuovo punto di controllo. Una sequenza trasparente evita versioni concorrenti fra team, dirigenti e autorità e permette di dimostrare che le lacune vengono chiuse senza ulteriore ritardo.

Informare le persone è una decisione distinta

La comunicazione alle persone usa una soglia più alta: deve essere probabile un rischio elevato, salvo le condizioni previste dall’articolo 34 ¹. Notifica all’autorità e comunicazione agli interessati non sono quindi due copie dello stesso verdetto.

Quando la soglia è raggiunta, il messaggio deve aiutare. Descrive con linguaggio chiaro natura della violazione, contatto, conseguenze probabili e misure; suggerisce poi azioni proporzionate, come cambiare una credenziale specifica o vigilare su un tipo di frode. Un avviso vago che protegge l’immagine dell’impresa ma non orienta la persona manca il proprio scopo.

Canale, lingua e accessibilità dipendono dalle persone coinvolte. La stessa casella compromessa può essere inadatta a un messaggio urgente; un avviso pubblico può non raggiungere individualmente chi corre il rischio. La decisione registra perché il metodo scelto sia efficace e non attende un testo perfetto quando un’azione tempestiva può ridurre il danno.

Soglia e contenuto restano distinti. Una comunicazione può essere utile senza dimostrare da sola un rischio elevato, mentre la decisione di informare non giustifica toni allarmistici. Prima si stabiliscono probabilità e gravità; poi il rischio viene tradotto in istruzioni comprensibili, recapito monitorato e prossima informazione attesa.

Quattro casi ordinari mostrano il confine

Email al cliente sbagliato. Una fattura con nome, indirizzo e acquisto arriva a un altro cliente noto, che conferma cancellazione e mancata apertura. Esiste una violazione; la decisione considera sensibilità, credibilità della conferma, copie automatiche e conseguenze. Non si chiude con «richiamata» senza verifiche.

Portatile perso. Un dispositivo contiene fascicoli del personale, ma la cifratura completa era attiva, le credenziali separate e l’accesso remoto viene revocato. Le misure possono ridurre la probabilità di accesso, mentre perdita di disponibilità e backup restano da controllare. Il record dimostra le protezioni, non le presume dal modello del dispositivo.

Dati paga pubblicati internamente. Un foglio con stipendi e coordinate bancarie resta due ore in una cartella accessibile a tutto il personale. Anche senza aperture dichiarate, log, utenti, possibilità di copia e natura finanziaria guidano il rischio. «Solo dipendenti» non rende autorizzato ogni accesso.

Servizio indisponibile. Un attacco blocca un sistema di prenotazioni contenente dati personali, senza evidenza di esfiltrazione. La disponibilità rientra nella definizione; durata, persone dipendenti dal servizio, integrità delle copie e ripristino determinano rischio e soglia. L’assenza di divulgazione non chiude l’analisi.

I casi non sono precedenti automatici. Cambiare dati sanitari con un indirizzo, un destinatario affidabile con uno ignoto o due ore con due settimane può cambiare il verdetto. Gli esempi EDPB aiutano a individuare fattori, non autorizzano a scegliere il caso più rassicurante e copiarne la conclusione ⁴.

Un fornitore può attraversare tutti gli scenari. Se una piattaforma comunica che un operatore ha consultato record oltre le istruzioni, il titolare ottiene log, privilegi, persone, durata e misure; il responsabile non ritarda perché teme conseguenze contrattuali. Il rischio per le persone viene valutato prima del conflitto commerciale.

Le conclusioni cambiano quando cambia una premessa. Se il destinatario che aveva confermato cancellazione ammette un inoltro, o il portatile ritenuto cifrato mostra una configurazione incompleta, la cronologia collega il nuovo fatto al nuovo verdetto e, se necessario, a una notifica tardiva motivata.

Non notificare richiede un record altrettanto serio

Ogni violazione va documentata anche quando l’autorità non viene notificata ¹. Il record dimostra perché il rischio fosse improbabile e permette di riaprire la conclusione quando una nuova evidenza modifica il quadro.

Una frase come «basso rischio» non è una valutazione. Il fascicolo collega la conclusione ai fatti: dati limitati, destinatario conosciuto, conferma verificata, assenza di copie rilevate e salvaguardie concrete. Se un elemento resta incerto, l’incertezza entra nella decisione con una scadenza.

I casi non notificati vanno analizzati nel tempo. Cinque email errate considerate singolarmente minori possono mostrare un difetto di processo; il registro rende visibili destinatari ricorrenti, interfacce ambigue o passaggi manuali fragili senza attendere un evento grave.

Il riesame aggregato non modifica retroattivamente la soglia di ogni caso, ma cambia la prevenzione. Se gli errori si concentrano negli allegati, il titolare ridisegna il flusso e misura il risultato; aggiungere un’altra firma manuale può invece creare fretta senza affrontare la causa. Incidente, correzione ed efficacia osservata restano collegati.

Dopo la notifica continua un lavoro basato sui fatti

Notificare non equivale automaticamente a una sanzione e non trasferisce la gestione all’autorità. Il titolare resta responsabile di contenimento, assistenza alle persone, indagine e aggiornamenti accurati. La qualità dell’interazione dipende dalla corrispondenza fra ciò che viene dichiarato e ciò che il registro può dimostrare ³.

Un punto di contatto raccoglie le richieste e impedisce risposte divergenti, ma le competenze restano distribuite. Il team tecnico sostiene i fatti sui sistemi; i responsabili operativi spiegano processi e persone; il DPO o il referente mantiene il giudizio sulla disciplina. Quando l’evidenza cambia perimetro, rischio o misure, l’aggiornamento indica esattamente la differenza e la fonte.

L’incertezza dichiarata è governabile. Se la prima relazione dice che il numero di record è in verifica, il successivo conteggio completa il quadro; se una stima era stata presentata come certa, la correzione appare contraddittoria. Lo stesso vale per la causa: una vulnerabilità sospetta resta ipotesi finché log o analisi non la sostengono.

Il lavoro operativo continua lungo una lista visibile: correggere la causa, controllare le protezioni, completare le comunicazioni, sostenere le persone, coordinare fornitori e riesaminare il rischio. Ogni azione possiede responsabile, scadenza, dipendenza e prova di completamento; «in corso» non dice al turno successivo che cosa manchi.

La chiusura arriva quando il rischio è stato affrontato, gli impegni comunicati risultano completati e le correzioni sono state verificate nel processo reale. Il fascicolo finale conserva ciò che non era noto all’inizio e le ragioni di ogni aggiornamento, senza riscrivere la decisione delle prime 72 ore alla luce del risultato finale.

Canali ordinari e fuori orario devono continuare a convergere anche dopo il primo invio. Se un fornitore comunica durante la notte che il perimetro era più ampio, il responsabile di turno collega subito il messaggio al caso, preserva la fonte, avvisa chi governa il rischio e prepara un seguito nella stessa cronologia; non apre un secondo incidente soltanto perché il ticket ha un numero diverso. Questa continuità consente di rivalutare persone, soglia dell’articolo 34 e promesse fatte all’autorità senza perdere il punto originario di consapevolezza.

La conservazione del fascicolo non diventa una replica indiscriminata dei dati compromessi. Evidenze necessarie, estratti e versioni hanno accesso ristretto e integrità controllata, mentre copie operative temporanee terminano quando non servono. La prova della risposta deve sostenere le affermazioni fatte all’autorità senza creare una nuova esposizione.

Le domande dell’autorità entrano nello stesso piano di lavoro, con responsabile, termine, fonte e approvazione, ma non vengono trattate come una richiesta di riscrivere retroattivamente il fascicolo. Se il primo invio stimava cento persone e l’estrazione successiva ne conferma centoventi, il seguito conserva entrambi i valori, identifica il metodo aggiornato e spiega l’effetto sulla valutazione; cancellare la stima iniziale renderebbe impossibile comprendere la decisione assunta nei tempi. Anche una risposta negativa, come l’assenza di log oltre una certa data, resta un fatto con limite dichiarato e non una lacuna coperta da una formula rassicurante.

Prima della chiusura, una persona non coinvolta nella risposta quotidiana ripercorre cronologia, soglie, comunicazioni e impegni. Il controllo cerca contraddizioni tra relazione, messaggi alle persone, ticket tecnici e prove di completamento, perché una correzione segnata come conclusa nel piano ma ancora assente dal sistema lascia aperto il rischio. Gli errori trovati aggiornano il fascicolo con una nuova versione, non con modifiche silenziose ai documenti già inviati.

Infine, la revisione successiva traduce il caso in cambiamenti osservabili: regole di accesso, configurazioni, formazione mirata, accordi con i responsabili e test di ripristino. Il titolare assegna ogni correzione, ne prova l’efficacia e riapre il rischio se la misura non funziona. Una relazione ben chiusa non è quella archiviata più rapidamente, ma quella le cui promesse risultano verificabili mesi dopo.