Violazione dei dati personali: definizione ed esempi

Una violazione dei dati personali si verifica quando un incidente di sicurezza compromette la riservatezza, l’integrità o la disponibilità di informazioni riferibili a persone. Non serve un attacco: bastano un documento nella scatola sbagliata, un file alterato oppure dati necessari divenuti irrecuperabili ¹. La definizione viene prima della distinta decisione sulla notifica.

Risposta rapida Una violazione dei dati personali è distruzione, perdita, modifica, divulgazione non autorizzata o accesso illecito a dati, causati da un incidente di sicurezza. Comprende errori quotidiani e guasti, non soltanto attacchi. Nella prima ora occorre contenere, conservare i fatti, fissare la consapevolezza e avviare la valutazione del rischio ².

Ultimo aggiornamento: 26 agosto 2026

Tre modi in cui i dati possono essere compromessi

La definizione dell’articolo 4, punto 12, guarda all’effetto sui dati, non alla spettacolarità della causa. Un episodio può colpire una sola dimensione oppure tutte e tre; individuare quella coinvolta aiuta a descrivere l’incidente e scegliere un contenimento adeguato ¹.

«Personali» significa che i dati riguardano una persona identificata o identificabile. La perdita di un catalogo pubblico privo di tali informazioni può essere grave per l’impresa, ma non soddisfa per questo la definizione. Un elenco clienti cifrato può invece costituire una violazione di disponibilità se la chiave viene persa e nessuna copia affidabile è recuperabile.

Durata e recupero non cancellano automaticamente l’evento. Ripristinare in pochi minuti una cartella da una copia integra può ridurre conseguenze e rischio, ma la cronologia deve ancora stabilire se i dati siano stati indisponibili e a chi. Allo stesso modo, richiamare un messaggio non prova che il destinatario non lo abbia letto o inoltrato.

Definizione, mitigazione e rischio sono passaggi collegati ma distinti. Il primo stabilisce che cosa è successo ai dati; il secondo limita l’esposizione; il terzo determina gli obblighi successivi. Fonderli nella frase «problema risolto» fa perdere proprio la decisione che deve restare dimostrabile.

La causa può essere del tutto ordinaria

Molte violazioni iniziano in attività normali. Il completamento automatico sceglie il contatto sbagliato; un addetto inserisce un foglio nel pacco successivo; un portatile resta sul treno; una regola di accesso rende visibile una cartella. Nessuno di questi episodi richiede un attaccante, e l’assenza di colpa personale non cambia l’effetto prodotto sui dati.

La prima conversazione ricostruisce l’azione senza trasformarsi in un interrogatorio disciplinare. Servono compito in corso, sistema o supporto usato, dati usciti dal controllo, durata, destinatario possibile e rimedi già tentati. Un allegato aperto non equivale a uno respinto dal server; un dispositivo cifrato con credenziali separate non presenta lo stesso scenario di uno lasciato sbloccato.

Una cultura che punisce chi segnala crea ritardo: le persone aspettano di «essere sicure», la cronologia si spezza e il titolare matura più tardi la consapevolezza. Separare la raccolta dei fatti dall’eventuale valutazione del comportamento permette di contenere subito, conservare informazioni attendibili e sostenere la decisione sul rischio.

Il responsabile del trattamento deve avvisare il titolare senza ingiustificato ritardo. Perché l’avviso sia utilizzabile, dovrebbe contenere fatti disponibili, orari, perimetro iniziale, misure e un contatto operativo, non soltanto il numero di un ticket. La decisione sulle notifiche resta però del titolare ¹.

Quattro violazioni e due casi che non lo sono

Un errore non basta: occorre un effetto reale sui dati personali. I sei scenari mostrano il confine senza anticipare la distinta soglia di notifica.

La conclusione può cambiare con nuove evidenze. Un tentativo inizialmente bloccato diventa un caso diverso quando i log mostrano una sessione rubata. «No, sui fatti indicati» è quindi una decisione da riesaminare, non un’etichetta definitiva.

La cifratura incide soprattutto su conseguenze e probabilità di accesso, ma va descritta con elementi verificabili: algoritmo e configurazione, stato del dispositivo, posizione delle chiavi e possibilità di usare insieme le credenziali. Scrivere soltanto «portatile cifrato» non chiarisce se la riservatezza sia rimasta protetta né affronta l’eventuale perdita di disponibilità.

Anche il destinatario conta senza decidere da solo. Un collega che riceve informazioni fuori dalle proprie mansioni è una persona non autorizzata; il rapporto di lavoro non rende lecita la divulgazione. La valutazione può però considerare obblighi di riservatezza, conferma di cancellazione, log e capacità tecnica di trattenere copie.

Gli esempi dell’EDPB mostrano che la stessa categoria di evento può portare a conclusioni diverse secondo dati, persone, protezioni e conseguenze ³. Il registro deve perciò conservare le premesse del verdetto: copiare l’esito di un caso simile senza confrontare i fatti sostituisce l’analisi con un’analogia rassicurante.

Una violazione non coincide con un incidente informatico

Un incidente informatico descrive ciò che accade a sistemi o reti; una violazione dei dati personali descrive l’effetto sulle informazioni relative a persone. I due insiemi spesso si sovrappongono, ma nessuno contiene interamente l’altro. Un attacco respinto può restare fuori dalla definizione, mentre una lettera imbustata male vi rientra senza componente digitale.

Il confine produce quattro risultati che il registro non dovrebbe confondere. Un evento tecnico senza effetto accertato sui dati resta un incidente di sicurezza; un effetto su riservatezza, integrità o disponibilità diventa una violazione; il rischio non improbabile apre la notifica all’autorità; soltanto il rischio elevato apre, salvo le condizioni previste, la comunicazione alle persone. Ogni passaggio usa fatti propri e può cambiare quando arrivano nuove evidenze, senza riscrivere retroattivamente i livelli precedenti.

Anche «violazione» e «violazione da notificare» non sono sinonimi. Prima si accerta se riservatezza, integrità o disponibilità siano state compromesse; poi si misura il rischio per diritti e libertà. Confondere i passaggi induce a non registrare i casi ritenuti minori, proprio quelli da cui l’organizzazione dovrebbe imparare.

L’articolo 33 richiede la notifica all’autorità competente salvo che sia improbabile un rischio, mentre l’articolo 34 usa la distinta soglia del rischio elevato per la comunicazione alle persone ¹. Ogni violazione va comunque documentata, comprese le ragioni del verdetto e le misure adottate.

L’ordinamento britannico vigente applica alla decisione ordinaria una logica materialmente equivalente. Questa equivalenza consente di mantenere una sola pagina europea non suffissata, ma non cambia il percorso pratico: un titolare nell’Unione usa l’autorità competente o capofila prevista dal GDPR e non il canale di un ordinamento esterno.

La prima ora serve a fatti e contenimento

L’obiettivo iniziale è fermare l’esposizione, proteggere le persone e costruire una cronologia affidabile senza cancellare le prove. Le attività procedono in parallelo, mentre una persona mantiene il quadro complessivo, assegna le lacune e registra come ogni nuova evidenza cambia perimetro o rischio.

Questi sette campi sono intestazioni utili per prepararsi, non un’affermazione che ogni voce sia già obbligatoria in ogni canale nazionale. Il modello comune EDPB, versione 1.0, è stato adottato l’8 giugno 2026 per consultazione pubblica; la consultazione dal 10 giugno al 5 agosto è chiusa, ma l’attuazione nazionale e il calendario restano da decidere ⁴. Non è quindi un modulo universale oggi operativo.

Fino all’attuazione del modello comune, il titolare usa il percorso corrente della propria autorità competente. In Italia occorre partire dalla pagina ufficiale Data Breach del Garante per la protezione dei dati personali e seguire il servizio di notifica indicato dall’autorità; questo percorso resta operativo mentre il modello EDPB serve a preparare un record coerente, non a sostituire il deposito nazionale.

Il contenimento non deve diventare pulizia. Cancellare una casella compromessa prima di acquisire i log o chiedere al destinatario errato di eliminare un allegato senza registrare richiesta e risposta rende più difficile capire portata e probabilità. La misura migliore riduce l’accesso e conserva abbastanza evidenza per sostenere la decisione successiva.

L’ora di consapevolezza merita un campo specifico. Non coincide necessariamente con il primo allarme tecnico: nasce quando il titolare dispone di un grado ragionevole di certezza che una violazione sia avvenuta. Da quel momento decorrono le 72 ore per le notifiche necessarie, anche se causa e perimetro non sono completi ².

Una notifica successiva o un ritiro aggiornano la stessa cronologia e il record rivolto all’autorità. Non riavviano la consapevolezza, il calcolo delle 72 ore né l’analisi giuridica del rischio. Conservare le versioni permette di spiegare che cosa è cambiato, su quale evidenza e perché la conclusione precedente era ragionevole sui fatti allora disponibili.

Il passo successivo è il rischio, non il nome

Classificare l’evento apre il lavoro; non lo conclude. Occorre considerare natura e sensibilità dei dati, volume, facilità di identificazione, destinatario, possibilità di recupero e conseguenze concrete come frode, discriminazione, perdita economica o esposizione privata. Il rischio riguarda le persone, non il danno reputazionale dell’impresa.

La valutazione mostra l’effetto delle misure senza confonderle con l’assenza dell’incidente. Ottenere una conferma credibile di cancellazione, disattivare una sessione prima dell’uso o ripristinare dati essenziali può ridurre il rischio residuo; il registro spiega quali fatti sostengono la riduzione e quali incertezze rimangono.

Il verdetto deve distinguere rischio iniziale, mitigazione e rischio residuo. «Nessun impatto» non dice che cosa sia stato verificato. «Destinatario conosciuto, cancellazione confermata, nessuna copia automatica rilevata e riesame se emergono inoltri» rende invece la decisione controllabile e indica quando riaprirla.

La domanda utile alla fine della prima ora non è «possiamo chiudere il ticket?», ma «quale informazione manca per proteggere le persone e sostenere la decisione entro il tempo disponibile?». Una risposta con responsabile e scadenza trasforma l’incidente in un processo governabile, senza trasformare questa definizione in una seconda guida completa alla notifica.