La gestione del data breach nella normativa italiana

2.1. Dato personale, trattamento e violazione

Ai sensi dell’art. 4, n. 12, GDPR, la violazione dei dati personali è una violazione di sicurezza che coinvolge dati personali con effetti sulla riservatezza, sull’integrità o sulla disponibilità.

È dato personale ogni informazione riguardante una persona fisica identificata o identificabile; è trattamento qualsiasi operazione compiuta su dati personali. La violazione dei dati personali è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati personali trasmessi, conservati o comunque trattati. La nozione comprende quindi violazioni di riservatezza, di integrità e di disponibilità, anche concorrenti.

Un incidente di sicurezza che non coinvolga dati personali può essere grave sul piano tecnico o contrattuale, ma non è per ciò solo un data breach GDPR. La qualificazione richiede un accertamento ragionevole del perimetro informativo, senza attendere una certezza irrealistica che ritardi le decisioni.

2.2. Il significato di «sensibile»

La valutazione del rischio deve considerare sia le categorie particolari dell’art. 9 GDPR sia la sensibilità concreta di dati che possono produrre conseguenze rilevanti.

Nel lessico vigente il GDPR non impiega «dati sensibili» come categoria normativa generale, bensì «categorie particolari di dati personali» ex art. 9: dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale; dati genetici; dati biometrici trattati per identificare univocamente una persona; dati relativi alla salute, alla vita sessuale o all’orientamento sessuale. I dati relativi a condanne penali e reati sono distintamente disciplinati dall’art. 10 GDPR.

La sensibilità concreta ai fini del rischio è più ampia della tassonomia dell’art. 9. Dati finanziari, credenziali di autenticazione, dati di localizzazione, comunicazioni riservate, dati di minori e combinazioni di informazioni possono produrre conseguenze rilevanti pur senza divenire automaticamente categorie particolari. La valutazione deve pertanto considerare contesto, collegabilità e prevedibili effetti sugli interessati.

4.1. Preparazione, rilevazione e preservazione

La preparazione organizzativa riduce il tempo necessario per isolare l’evento e rendere affidabili le evidenze.

La preparazione richiede incident response plan, ruoli reperibili, canali di escalation, inventario di sistemi e trattamenti, contatti dei fornitori, modelli di registro e procedure di comunicazione. Alla rilevazione si procede a triage: isolare l’evento, verificare se siano coinvolti dati personali e preservare log, immagini, ticket e ulteriori evidenze, mantenendo una catena di custodia idonea alla loro affidabilità.

4.2. Contenimento e conoscenza della violazione

Il termine per la notifica decorre dalla ragionevole certezza che un incidente di sicurezza coinvolga dati personali, non dalla ricostruzione completa.

Contenimento, eradicazione e ripristino devono procedere senza compromettere l’analisi. Il termine decorre da quando il titolare ha conoscenza della violazione, ossia dispone di un grado ragionevole di certezza che si sia verificato un incidente di sicurezza con dati personali; non dalla completa ricostruzione. Il titolare deve censire sistemi, trattamenti, dati e interessati coinvolti e aggiornare progressivamente il quadro.

4.3. Decisione, aggiornamento e chiusura

La decisione su notifica e comunicazione deve essere motivata, aggiornata con le nuove informazioni e seguita da remediation e lessons learned.

Sulla base della valutazione del rischio, il titolare decide motivatamente se notificare e se comunicare. La notifica iniziale può essere completata per fasi quando non siano disponibili tutte le informazioni. Seguono aggiornamenti, remediation tecnica e organizzativa, lessons learned, revisione delle misure ex art. 32 e chiusura formalizzata dell’incidente.

12.1. Ambito soggettivo e qualificazione

L’applicazione della NIS 2 deve essere verificata sul settore, sul servizio, sulla dimensione, sullo stabilimento e sulle comunicazioni ACN riferite al singolo soggetto.

La direttiva (UE) 2022/2555 e il d.lgs. 4 settembre 2024, n. 138 impongono una verifica distinta da quella GDPR. L’ambito soggettivo dipende dai settori e dalle tipologie richiamati negli allegati I-IV, dalla classificazione quale soggetto essenziale o importante, dalla dimensione, dai servizi effettivamente svolti, dallo stabilimento e dalla territorialità, da eventuali criteri speciali e dalla comunicazione di inserimento nell’elenco ACN. La registrazione sulla piattaforma ACN, ai sensi dell’art. 7 del decreto, è prevista dal 1° gennaio al 28 febbraio di ogni anno, con i successivi aggiornamenti prescritti; essa non sostituisce, tuttavia, la verifica caso per caso dell’effettiva qualificazione.

12.2. Governance e misure di gestione del rischio

Gli organi di amministrazione e direttivi devono presidiare i rischi cyber e la supply chain, mentre il DPO resta concentrato sui profili di protezione dei dati.

Gli organi di amministrazione e direttivi devono assicurare un presidio effettivo dei rischi cyber, procedure integrate, formazione e controllo della supply chain. La gestione richiede, in funzione di proporzionalità, continuità operativa, disaster recovery, backup testati, controllo degli accessi, monitoraggio, gestione delle vulnerabilità, gestione dei fornitori e piani di risposta agli incidenti. Il DPO deve essere coinvolto per i profili di protezione dei dati e indipendenza della funzione, ma non gli spettano compiti esecutivi di cybersecurity né la sostituzione delle funzioni tecniche o gestionali.

12.3. Incidenti significativi e flusso verso CSIRT Italia

L’art. 25 del d.lgs. n. 138/2024 prevede un flusso progressivo verso CSIRT Italia, distinto dalla notifica al Garante.

Ai sensi dell’art. 25 del d.lgs. n. 138/2024, la significatività dell’incidente va valutata funzionalmente alla gravità dell’impatto sul servizio, sui destinatari e sulle attività interessate. Il flusso prevede pre-notifica al CSIRT Italia senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza; notifica entro 72 ore, con il termine di 24 ore per i prestatori di servizi fiduciari nei casi previsti; relazione intermedia su richiesta; relazione finale entro un mese. Se l’incidente è ancora in corso, sono dovuti aggiornamenti mensili e la relazione finale entro un mese dalla conclusione.

Secondo la disciplina attuativa ACN richiamata dalle fonti aggiornate nel testo fornito, il regime operativo di notifica degli incidenti significativi trova applicazione dal 15 gennaio 2026 per i soggetti destinatari; occorre comunque controllare le determinazioni ACN applicabili e le comunicazioni ricevute dal singolo soggetto.

12.4. Referenti e coordinamento operativo

Referente CSIRT, DPO, CISO, responsabile IT e legale devono conservare ruoli distinti ma lavorare su una cronologia comune dell’evento.

Il referente CSIRT cura il canale operativo verso CSIRT Italia; DPO, CISO, responsabile IT e legale hanno funzioni diverse e complementari. Occorrono ruoli reperibili, poteri di escalation, tracciamento delle decisioni e un’unica cronologia dell’evento. La separazione funzionale evita che il DPO assuma responsabilità esecutive incompatibili con il suo ruolo di consulenza e sorveglianza.

12.5. Matrice di coordinamento GDPR/NIS 2 e workflow

Quando lo stesso evento integra entrambe le fattispecie, il workflow deve gestire due qualificazioni e due flussi di notifica senza sostituzioni reciproche.

Un incidente cyber può non coinvolgere dati personali e quindi non essere un data breach; un data breach può non superare la soglia dell’incidente significativo NIS 2. Se ricorrono entrambe le fattispecie, gli obblighi sono paralleli e autonomi: la notifica al CSIRT non sostituisce quella al Garante, né viceversa. Cambiano autorità, bene tutelato, soglia, dies a quo, termini, contenuti, destinatari delle comunicazioni e registro delle evidenze.

Il workflow unitario deve comprendere rilevazione, preservazione delle evidenze, contenimento, doppia qualificazione GDPR/NIS 2, escalation, pre-notifica NIS entro 24 ore, notifiche entro 72 ore, comunicazione ex art. 34 GDPR se sussiste rischio elevato, relazioni successive, remediation e lessons learned. Possono concorrere, da verificare caso per caso, altri regimi quali DORA per il settore finanziario, Perimetro di sicurezza nazionale cibernetica, Codice delle comunicazioni elettroniche e obblighi giudiziari o di polizia.

13.1. Fonti interpretative e loro diverso rilievo

Le fonti interpretative hanno forza e funzione diverse e devono essere utilizzate senza trasformarle in automatismi decisionali.

La giurisprudenza della Corte di giustizia offre l’interpretazione vincolante del diritto dell’Unione; la giurisprudenza nazionale applica tali principi nel caso concreto. I provvedimenti del Garante esercitano i poteri dell’Autorità e sono rilevanti per la prassi, mentre linee guida WP29/EDPB e strumenti istituzionali costituiscono criteri interpretativi e operativi, non scorciatoie per eludere la valutazione documentata del titolare.

13.2. Comunicazione agli interessati e provvedimento Italiaonline

La comunicazione agli interessati deve essere chiara, adeguata al mezzo e idonea a consentire misure concrete di autoprotezione.

Nel provvedimento del Garante 30 aprile 2019, n. 106, doc. web n. 9116509 (Italiaonline), assumono rilievo la chiarezza, il contenuto e l’adeguatezza del mezzo della comunicazione agli interessati. La comunicazione non dovrebbe utilizzare il canale compromesso e deve offrire indicazioni concrete sulle misure protettive realisticamente adottabili. Il principio va coordinato con l’art. 34 GDPR: non basta informare in modo generico, ma occorre consentire una comprensione effettiva dell’evento e dell’autoprotezione.

13.3. CGUE: sicurezza, danno e nesso causale

La violazione e l’attacco di terzi non producono automatismi né sull’inadeguatezza delle misure né sul risarcimento del danno.

Nella sentenza 14 dicembre 2023, C-340/21, VB c. Natsionalna agentsia za prihodite, la Corte di giustizia, Sez. III, ha chiarito che un attacco di terzi non dimostra automaticamente l’inadeguatezza delle misure adottate, fermo l’onere del titolare di dimostrare l’adeguatezza delle misure ex art. 32 GDPR. Il fondato timore di un futuro uso abusivo dei dati può integrare danno immateriale, ma richiede una valutazione concreta.

Nella sentenza 25 gennaio 2024, C-687/21, BL c. MediaMarktSaturn Hagen-Iserlohn GmbH, indicata in alcune banche dati anche come M.H.I. GmbH, la stessa Sezione ha ribadito che la sola violazione non basta al risarcimento: devono essere provati il danno materiale o immateriale e il nesso causale, e un rischio puramente ipotetico non è sufficiente.

13.4. Giurisprudenza nazionale e ruolo del DPO

La giurisprudenza nazionale richiamata distingue la responsabilità del titolare dal ruolo consultivo e di sorveglianza del DPO.

Cass. civ., Sez. I, ord. 12 maggio 2023, n. 13073, afferma la responsabilità del titolare anche per l’errore umano dei propri dipendenti e precisa che la tempestiva rimozione non esonera automaticamente; il danno non è in re ipsa, pur potendo essere risarcita una lesione concreta e seria. Il caso concerne una diffusione illecita e non è un precedente esclusivamente in materia di notifica di data breach.

Trib. Firenze, Sez. III, sent. 29 maggio 2026, n. 3034, configura il DPO quale figura di informazione, consulenza, sorveglianza e indirizzo, priva di poteri esecutivi o gestionali sulle misure di sicurezza, la cui implementazione grava su titolare o responsabile. È una recente pronuncia di merito, non un orientamento consolidato; resta essenziale prevenire conflitti di interessi nei ruoli che determinano finalità o mezzi del trattamento.

13.5. Linee guida e preparedness

Le linee guida devono tradursi in procedure verificabili su cifratura, backup, ransomware, credenziali, documentazione, indipendenza e risorse del DPO.

Le Guidelines WP250 rev.01 sulla notifica delle violazioni, successivamente fatte proprie dall’EDPB, e le EDPB Guidelines 01/2021 on Examples regarding Personal Data Breach Notification, nella versione definitivamente adottata, orientano la valutazione del rischio attraverso esempi su cifratura, backup, ransomware, credenziali, documentazione e preparedness. Le linee guida WP29/EDPB sui responsabili della protezione dei dati richiedono coinvolgimento tempestivo, indipendenza, risorse adeguate e assenza di conflitti. Tali indicazioni vanno tradotte in procedure verificabili, non in automatismi.

16.1. Fase 0 — prime ore (best practice organizzativa)

1. Attivare escalation, incident response team e DPO, se designato.
2. Contenere l’evento e preservare evidenze, log e catena di custodia.
3. Verificare preliminarmente il coinvolgimento di dati personali e informare il titolare.
4. Aprire il registro dell’evento e avviare la cronologia decisionale.

16.2. Entro 24 ore (best practice organizzativa)

1. Mappare sistemi, trattamenti, categorie e numero stimato di dati e interessati.
2. Accertare origine, durata, diffusione, accessi e misure di cifratura o pseudonimizzazione.
3. Coinvolgere responsabili, sub-responsabili, forensi, legali e assicuratore se necessario.
4. Formulare una prima valutazione motivata del rischio e pianificare la notifica.

16.3. Entro 72 ore dalla conoscenza (termine legale, ove possibile)

1. Decidere e, se dovuta, inviare la notifica al Garante con i contenuti disponibili.
2. Motivare ogni ritardo e utilizzare la notifica per fasi quando necessario.
3. Valutare il rischio elevato e predisporre la comunicazione agli interessati o documentare l’eccezione.
4. Conservare ricevuta o protocollo e allineare la pratica al registro interno.

16.4. Oltre 72 ore, dopo la notifica e fino alla chiusura

1. Inviare integrazioni, cooperare con il Garante e gestire gli interessati attraverso contatti dedicati.
2. Completare ripristino, eradicazione e misure di protezione; verificare l’efficacia delle mitigazioni.
3. Aggiornare contratti, procedure, DPIA ove necessaria, formazione e misure ex art. 32.
4. Formalizzare lessons learned, rischio residuo, criteri di conservazione e chiusura dell’incidente.