Studio Cravero ConsultingAggiornato al 9 settembre 2026
Che cosa è una violazione dei dati
La definizione dell'art. 4 n. 12 è più ampia di quanto si creda, e non parla di attacchi informatici. Una violazione è qualunque incidente che comporti in modo accidentale o illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali. Da qui discendono tre categorie, e la seconda e la terza sono quelle che gli enti e le aziende dimenticano.
- Violazione della riservatezza: qualcuno ha visto dati che non doveva vedere. La mail inviata a tutti i destinatari in copia conoscenza invece che in copia nascosta è il caso più frequente in assoluto.
- Violazione dell'integrità: i dati sono stati alterati senza autorizzazione, e non è detto che qualcuno li abbia letti.
- Violazione della disponibilità: i dati non sono più accessibili. Un ransomware che cifra gli archivi è una violazione anche se nessun dato è uscito, e lo è anche un guasto che rende irrecuperabile un archivio privo di backup.
Non serve dolo, non serve un attacco, non serve che i dati siano finiti online. Un faldone dimenticato su un treno è una violazione quanto una intrusione informatica.
Le prime 72 ore
Il conteggio parte dal momento in cui il titolare acquisisce la consapevolezza ragionevole che una violazione si è verificata, non da quando il fatto è avvenuto e non da quando l'indagine è conclusa. Il termine non si sospende nel fine settimana.
L'art. 33 par. 4 prevede espressamente che, se le informazioni non sono disponibili tutte insieme, possano essere fornite in fasi successive senza ulteriore ingiustificato ritardo. Attendere di sapere tutto prima di notificare è l'errore che trasforma un incidente gestito in una contestazione.
Quando si notifica e quando no
La notifica al Garante è la regola; l'eccezione è il caso in cui sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone. La valutazione guarda alla natura dei dati, al numero di interessati, alla facilità di identificarli e alla gravità delle conseguenze possibili.
| Situazione | Notifica al Garante | Perché |
|---|---|---|
| Elenco di indirizzi email inviato in copia conoscenza a tutti i destinatari | da valutare | Dipende da chi sono gli interessati: una newsletter commerciale è una cosa, l'elenco dei pazienti di un centro medico o dei partecipanti a un servizio sociale è tutt'altra. |
| Ransomware con archivi cifrati e backup integro | di norma sì | Anche senza esfiltrazione c'è stata perdita di disponibilità, e quasi sempre non è possibile escludere che i dati siano stati copiati. |
| Portatile smarrito, disco cifrato, chiave non compromessa | spesso no | Se la cifratura è robusta e la chiave non è accessibile, il rischio può essere considerato improbabile. La valutazione va comunque scritta e il fatto annotato nel registro. |
| Referto o documento sanitario consegnato alla persona sbagliata | sì | Sono dati dell'art. 9 e l'interessato è identificato: il rischio è concreto anche se riguarda una sola persona. |
| Credenziali di accesso compromesse | di norma sì | Le credenziali aprono l'accesso ad altri dati e vengono spesso riutilizzate su altri servizi: il rischio si propaga oltre il sistema colpito. |
| Documento con dati comuni affisso per errore in bacheca interna | da valutare | Conta la platea che vi ha avuto accesso e per quanto tempo. Se contiene informazioni su salute o situazioni familiari, la valutazione cambia. |
Quando bisogna avvisare le persone
È un obbligo distinto e con una soglia più alta. L'art. 34 impone di comunicare la violazione agli interessati quando questa è suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà. La comunicazione deve essere in linguaggio semplice e chiaro, e descrivere la natura della violazione, le probabili conseguenze e le misure adottate.
Il par. 3 prevede tre casi in cui non è dovuta: quando i dati erano protetti da misure che li rendono incomprensibili a chi non è autorizzato, tipicamente una cifratura adeguata; quando sono state adottate misure successive che scongiurano il rischio elevato; e quando la comunicazione individuale richiederebbe sforzi sproporzionati, nel qual caso si procede con una comunicazione pubblica di efficacia equivalente.
Il registro delle violazioni, che non ha eccezioni
È l'adempimento più trascurato e il più facile da verificare. L'art. 33 par. 5 impone di documentare qualsiasi violazione, comprese quelle che si è deciso di non notificare, indicando circostanze, effetti e provvedimenti adottati. Serve a consentire al Garante di verificare il rispetto della norma.
Nella pratica significa che un'organizzazione che in tre anni dichiara zero violazioni sta dicendo una cosa poco credibile, perché le mail inviate al destinatario sbagliato capitano ovunque. Un registro con dieci voci gestite bene è un segnale di controllo; un registro vuoto è un segnale di assenza di procedura.
I casi che vedo più spesso
- La mail in copia conoscenza. Cento indirizzi visibili a tutti invece che in copia nascosta. Banale, frequentissima, e in certi contesti rivela l'appartenenza a una categoria: pazienti, assistiti, iscritti a un servizio.
- Il file pubblicato con troppe colonne. Una graduatoria, un elenco di ammessi, un allegato a una determina: online finisce anche la colonna che doveva restare interna.
- Il ransomware. Sistemi fermi, backup che nessuno aveva mai provato a ripristinare, e l'impossibilità di escludere che i dati siano stati copiati prima della cifratura.
- L'accesso non necessario. Un operatore consulta la posizione di una persona che non sta seguendo. Nelle strutture sanitarie è una delle contestazioni più ricorrenti, ed emerge solo se qualcuno guarda i log.
- Il fornitore che comunica in ritardo. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo, ma se il contratto non fissa tempi e modalità, la notizia arriva quando le 72 ore sono già passate.
Come intervengo
- Risposta immediataSe la violazione è in corso ci si sente subito, anche fuori orario. Le prime decisioni da prendere sono poche e vanno prese bene: che cosa bloccare, che cosa conservare come evidenza, chi avvisare internamente.
- Ricostruzione e perimetroChe cosa è successo, quali dati sono coinvolti, quante persone, per quanto tempo. Questa è la parte che determina tutto il resto e va documentata mentre la si fa, non dopo.
- Valutazione del rischioAnalisi motivata sulla notificabilità e sulla comunicazione agli interessati, redatta in forma utilizzabile in caso di controllo.
- NotificaPredisposizione e invio della notifica al Garante attraverso la procedura telematica, con la possibilità di integrare in fasi successive, e stesura della comunicazione agli interessati quando dovuta.
- Chiusura e misureAggiornamento del registro delle violazioni, individuazione delle misure correttive e, dove serve, revisione della procedura interna perché il caso non si ripeta.
Se la violazione è in corso adesso, la cosa più utile è parlarne subito: le prime ore contano più di tutto il resto.
Descrivi la situazionePrepararsi prima, che costa un decimo
La differenza fra un incidente gestito e un incidente subito si decide molto prima che accada. Servono poche cose, e sono tutte semplici da predisporre in tempo di pace.
- Una procedura interna di una pagina che dica chi segnala, a chi, e in quanto tempo: il collo di bottiglia non è quasi mai tecnico, è che la notizia impiega due giorni a raggiungere chi deve decidere.
- Un registro delle violazioni già impostato, in modo che compilarlo sia questione di minuti.
- Le clausole contrattuali con i fornitori che fissino un termine preciso per la loro segnalazione al titolare, e le informazioni minime che devono trasmettere.
- Una formazione breve al personale su come si riconosce una violazione: la maggior parte non viene rilevata dai sistemi, ma da una persona che si accorge di aver sbagliato.
- Un riferimento raggiungibile nel momento in cui serve, compreso il fine settimana.
Questi elementi fanno parte dell'incarico di DPO esterno e della consulenza GDPR, e sono tra i primi che imposto quando prendo in carico un'organizzazione. Per gli enti pubblici il tema è trattato anche nelle pagine dedicate a Comuni, scuole e aziende sanitarie.
Hai una violazione in corso o vuoi arrivarci preparato
Nel primo caso descrivimi cosa è successo e da quando lo sai: la valutazione sulla notificabilità si fa in poche ore. Nel secondo, la procedura e il registro si predispongono in una settimana.
Domande frequenti
Le 72 ore da quando decorrono esattamente?
Dal momento in cui il titolare acquisisce una consapevolezza ragionevole che si è verificata una violazione, non da quando il fatto è avvenuto e non da quando l'indagine interna è conclusa. Se un dipendente si accorge dell'errore il venerdì pomeriggio, il termine parte allora: non si sospende nel fine settimana. Per questo la procedura interna di segnalazione conta più della capacità tecnica di analisi.
Se non sono sicuro che sia una violazione, cosa faccio?
Si tratta l'evento come sospetta violazione e si avvia comunque la ricostruzione, annotando l'orario in cui si è saputo. Se al termine dell'analisi risulta che una violazione non c'è stata, si documenta la conclusione e il caso si chiude. L'errore da evitare è il contrario: lasciare la questione in sospeso per giorni e ritrovarsi fuori termine quando si capisce che era seria.
Devo notificare anche se i dati non sono usciti dall'organizzazione?
Può essere dovuto. La definizione comprende anche la perdita di disponibilità e l'accesso non autorizzato interno. Un archivio reso inaccessibile da un ransomware, o un dipendente che consulta dati che non gli competono, sono violazioni a tutti gli effetti anche se nulla è uscito verso l'esterno.
Cosa rischia chi non notifica quando avrebbe dovuto?
La violazione degli artt. 33 e 34 rientra fra quelle soggette alla soglia sanzionatoria inferiore prevista dall'art. 83 par. 4, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Nella pratica il fattore che pesa di più non è il ritardo in sé, ma l'assenza di documentazione: un'organizzazione che mostra la valutazione svolta si trova in una posizione molto diversa da una che non ha nulla da esibire.
Il mio fornitore ha subito l'attacco: devo notificare io?
Sì, se i dati sono tuoi. Il fornitore che tratta per tuo conto è responsabile del trattamento e ai sensi dell'art. 33 par. 2 deve informarti senza ingiustificato ritardo, ma la notifica al Garante spetta al titolare. È il motivo per cui nel contratto vanno fissati un termine preciso per la sua segnalazione e le informazioni minime che deve fornirti: senza quelle clausole rischi di sapere le cose troppo tardi per rispettare il tuo termine.
Devo avvisare tutte le persone coinvolte?
Solo se la violazione è suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà, che è una soglia più alta di quella prevista per la notifica al Garante. L'art. 34 par. 3 esclude l'obbligo quando i dati erano protetti da misure che li rendono incomprensibili, come una cifratura adeguata, quando misure successive hanno scongiurato il rischio elevato, o quando la comunicazione individuale richiederebbe sforzi sproporzionati: in quest'ultimo caso si procede con una comunicazione pubblica.
Serve un DPO per gestire un data breach?
Non è obbligatorio avere un DPO solo per questo, ma quando esiste è la figura che coordina la valutazione e i rapporti con il Garante, e i suoi dati di contatto sono fra le informazioni richieste nella notifica. Chi non ha un DPO designato può comunque farsi assistere sul singolo incidente: la valutazione sulla notificabilità e la stesura della notifica sono attività circoscritte, che si svolgono nell'arco di poche ore.
Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.