Aggiornato al: 3 novembre 2026
Un attacco informatico che espone i dati personali di clienti, dipendenti o fornitori è, per legge, una violazione dei dati personali: il cosiddetto data breach. Da quel momento il GDPR (Regolamento UE 2016/679) fa partire un conto alla rovescia per il titolare del trattamento, cioè per l’impresa o il professionista che custodisce quei dati.
PRIMA DI TUTTO: FERMA L’EMERGENZA
Isola i dispositivi colpiti, cambia le password compromesse, coinvolgi subito il tuo tecnico informatico e conserva le prove (registri di sistema, email, schermate). Annota il momento in cui hai scoperto la violazione: da lì partono i termini di legge. Se hai una polizza cyber, attiva subito l’assistenza prevista dal contratto.
1. NOTIFICA AL GARANTE ENTRO 72 ORE
Per l’art. 33 del GDPR, il Garante privacy va informato «senza ingiustificato ritardo e, ove possibile, entro 72 ore» da quando ci si accorge della violazione. Si può evitare la notifica solo se è improbabile che l’incidente comporti rischi per le persone; se si superano le 72 ore, bisogna spiegare il perché del ritardo.
La notifica si fa esclusivamente online, con la procedura telematica disponibile sul sito del Garante. Va indicato almeno: che cosa è successo, quante persone e quali tipi di dati sono coinvolti (anche in modo approssimativo), chi contattare per informazioni (ad esempio il DPO, se nominato), quali conseguenze sono prevedibili e quali contromisure sono state prese o pianificate. Le informazioni mancanti possono essere aggiunte in seguito.
2. AVVISA LE PERSONE COINVOLTE SE IL RISCHIO È ELEVATO
Se l’incidente può avere conseguenze serie per le persone – ad esempio quando circolano copie di documenti, IBAN, password o informazioni sulla salute – bisogna avvisarle direttamente e senza ingiustificato ritardo (art. 34 del GDPR).
Il messaggio va scritto in parole comprensibili a tutti: deve spiegare l’accaduto, indicare un referente, descrivere i rischi possibili e le misure adottate e suggerire come proteggersi, per esempio aggiornando le credenziali, avvisando la propria banca, controllando i movimenti del conto e diffidando di email o telefonate insolite. L’avviso non serve, ad esempio, se i dati erano cifrati e quindi illeggibili per chi li ha sottratti.
3. TIENI TRACCIA DI OGNI INCIDENTE
L’art. 33, paragrafo 5, del GDPR chiede di documentare qualsiasi violazione, anche quella che non va notificata, con le circostanze, gli effetti e i rimedi adottati. In pratica serve un registro interno degli incidenti, da tenere aggiornato: in caso di controllo è il documento con cui si dimostra di aver gestito correttamente l’accaduto.
4. DENUNCIA E ALTRI OBBLIGHI
L’accesso abusivo a un sistema informatico è un reato: è opportuno sporgere denuncia alla Polizia postale o a un’altra forza di polizia, anche per collaborare alle indagini e documentare l’accaduto. Le imprese che rientrano nella normativa NIS2 devono inoltre segnalare gli incidenti significativi all’Agenzia per la Cybersicurezza Nazionale, con una prima comunicazione entro 24 ore.
COSA SI RISCHIA
L’art. 83 del GDPR prevede due livelli di sanzioni amministrative: fino a 10 milioni di euro, o fino al 2% del fatturato mondiale annuo se più alto, per chi viola gli obblighi di sicurezza e di notifica; fino a 20 milioni, o al 4% del fatturato, per le violazioni più gravi, come quelle dei principi fondamentali. Spesso, però, il conto più pesante arriva da altro: le richieste di risarcimento delle persone danneggiate, i costi tecnici e legali e la fiducia persa dei clienti.
COSA POTREBBE CAMBIARE
In Europa si discute di semplificare queste regole: la proposta di riforma nota come Digital Omnibus prevede di portare il termine di notifica a 96 ore e di limitarla ai soli casi ad alto rischio. Il 21 ottobre 2026 i rappresentanti dei governi dell’UE hanno approvato il mandato negoziale del Consiglio, ma il testo deve ancora essere concordato con il Parlamento europeo: fino ad allora vale la regola attuale delle 72 ore.
COME PUÒ AIUTARTI UNA POLIZZA CYBER
Una polizza cyber non sostituisce la prevenzione, ma fa la differenza quando l’incidente è già avvenuto: assistenza tecnica per ripristinare dati e sistemi, copertura delle spese legate alla violazione della privacy e delle richieste di risarcimento di terzi, nei limiti e alle condizioni del contratto. Attenzione però: in Italia le sanzioni amministrative non sono assicurabili per legge (art. 12 del Codice delle assicurazioni private), quindi nessuna polizza può pagare le multe del Garante.
Scopri le nostre soluzioni cyber
CONTATTACI
Vuoi capire quanto è esposta la tua attività? Un nostro consulente ti spiega le soluzioni disponibili e prepara un preventivo gratuito e senza impegno.
- Telefono: +39 081 00 50 722
- WhatsApp: +39 351 934 6368
- Email: ufficio.commerciale@italiassicura.it
- Ufficio: Via Palmiro Togliatti, 11 – 84083 Castel San Giorgio (SA)
- Oppure compila il modulo contatti
Fonti: Regolamento (UE) 2016/679 (GDPR), artt. 33, 34 e 83; Garante per la protezione dei dati personali, pagina sul data breach; Consiglio dell’UE, mandato negoziale sul Digital Omnibus del 21 ottobre 2026. Le informazioni hanno carattere generale e non sostituiscono una consulenza legale.
Messaggio pubblicitario con finalità promozionale. Prima della sottoscrizione leggere il Set Informativo, disponibile su richiesta presso ITALIASSICURA SRLS (broker iscritto al RUI, sez. B, n. B000713635).