Data breach in azienda: GDPR, sanzioni, notifica entro 72 ore e come gestirlo minimizzando i danni

Come accennato nella nostra guida sulla Cyber Security, i data breach sono tra gli incidenti più seri che possano capitare alle organizzazioni. Quando si verifica un data breach, il problema non è solo tecnico. Il GDPR impone obblighi precisi entro 72 ore dalla scoperta, e chi sbaglia tempi o procedura rischia sanzioni che possono arrivare a 20 milioni di euro o al 4% del fatturato globale.

In questo articolo vediamo cosa prevede la normativa, quali errori espongono di più un’azienda e come strutturare una risposta che limiti danni economici e reputazionali.

Il fenomeno della perdita dei dati è legato al GDPR per le sue conseguenze in termini legali. Nel Regolamento Generale sulla Protezione dei dati il data breach corrisponde a una violazione di sicurezza che comporta, in modo accidentale o illecito, distruzione, perdita, modifica o divulgazione non autorizzata di dati personali.

Operativamente, la responsabilità del titolare si traduce in tre azioni immediate:

• valutare rapidamente l’entità dell’incidente e i dati coinvolti
• stimare il rischio per gli interessati (persone fisiche)
• attivare la procedura di notifica prevista dal regolamento quando il rischio è significativo

Questo passaggio si collega anche ai modelli di governance descritti nella nostra guida: senza un’impostazione chiara di ruoli e responsabilità, la gestione di un data breach diventa lenta e disordinata, proprio quando il tempo è la variabile più critica.

Quando si verifica una violazione dei dati, la priorità è agire subito con una procedura chiara: contenere l’evento, capire quali dati sono coinvolti e mettere in sicurezza i sistemi prima che il danno si allarghi. Queste le tre fasi fondamentali:

1. Contenimento immediato
   Primo obiettivo: fermare la perdita o l’esposizione. Significa isolare sistemi compromessi, sospendere accessi sospetti, disattivare credenziali coinvolte e bloccare eventuali canali di esfiltrazione
2. Analisi e raccolta evidenze
   Serve capire cosa è successo, quali dati sono coinvolti e da quanto tempo. Qui tornano utili log, monitoraggio continuo e processi di incident response già impostati (tema trattato nel nostro articolo dedicato al disaster recovery e alla gestione incidenti)
3. Ripristino e remediation
   Una volta contenuto, si corregge la causa: patch, configurazioni, regole di accesso, controlli. L’obiettivo è evitare che lo stesso evento si ripeta.

Questa è la base della gestione dei data breach: reagire prima di tutto per limitare il danno, poi per ricostruire la dinamica e sistemare la vulnerabilità.

Notifica al Garante e comunicazione agli interessati

Un punto delicato della procedura di gestione dei data breach è la comunicazione. Se i dati coinvolti sono personali e l’incidente comporta rischio per le persone, scattano obblighi specifici:

• notifica al Garante entro 72 ore da quando l’azienda ne è venuta a conoscenza
• comunicazione agli interessati quando il rischio è elevato, cioè quando le persone potrebbero subire danni concreti (furto identità, frodi, esposizione di dati sensibili)

In termini pratici, le comunicazioni non devono essere improvvisate: vanno gestite con un piano già definito, per evitare errori che aggravano sia il rischio legale sia quello reputazionale.

L’aspetto che più preoccupa un’azienda non è la violazione in sé, ma le conseguenze economiche che ne derivano se la gestione non è conforme al GDPR.
L’articolo 83 del Regolamento prevede un sistema sanzionatorio basato su un principio di proporzionalità e dissuasività: le multe devono essere abbastanza elevate da scoraggiare comportamenti non conformi, ma commisurate alla gravità del caso concreto.

In pratica, esistono due livelli di rischio economico:

• Primo livello: fino a 10 milioni di euro o il 2% del fatturato globale annuo. Si applica quando mancano misure di sicurezza adeguate o la notifica al Garante non rispetta i termini previsti.
• Secondo livello: fino a 20 milioni di euro o il 4% del fatturato globale annuo. Riguarda le violazioni più gravi, come l’inosservanza dei principi di base del trattamento o dei diritti degli interessati.

C’è inoltre da considerare che le violazioni sulla notifica e quelle sulle misure di sicurezza sono infrazioni distinte e cumulabili.

Significa che un’azienda colpita da un attacco per carenze di sicurezza e che non comunica nei tempi previsti può ricevere due sanzioni separate per lo stesso incidente.

Quando si scopre una violazione di dati personali, il tempo è la variabile più critica. L’articolo 33 del GDPR stabilisce che il titolare del trattamento deve notificare la violazione al Garante entro 72 ore dal momento in cui ne viene a conoscenza.

Non tutti i data breach vanno notificati: la comunicazione è obbligatoria solo se la violazione può comportare un rischio per i diritti e le libertà delle persone fisiche. Ma attenzione: la valutazione del rischio va fatta e documentata comunque, perché in caso di controllo è l’azienda a dover dimostrare di aver fatto questa analisi, non il contrario.

Cosa deve contenere la notifica:

• descrizione del data breach: cosa è successo e quali dati sono coinvolti
• conseguenze della violazione: impatti su utenti e organizzazione
• misure adottate per mitigare i danni e prevenire episodi futuri

Cosa succede se sbagli i tempi o ometti la notifica? Il mancato rispetto di questi termini espone a sanzioni fino a 10 milioni di euro o il 2% del fatturato globale.

Qual è la causa più frequente di data breach? Nella maggior parte dei casi non si tratta di un fattore singolo, ma di una combinazione di debolezze: credenziali rubate, configurazioni errate, vulnerabilità non patchate o accessi troppo ampi.

Phishing e ransomware sono spesso l’innesco di una violazione dati, ma nel flusso delle informazioni il focus è un altro: l’esito finale, cioè l’esposizione o sottrazione di informazioni. Per questo ha senso trattarli come possibili cause, senza rifare l’analisi degli attacchi già coperta altrove.

Prevenire un data breach significa ridurre la probabilità che i dati escano dal perimetro previsto.

Estendendo la questione alla fuoriuscita non intenzionale delle informazioni, la data leak protection comprende strumenti e processi che bloccano o controllano questo fenomeno. Uno dei modelli più usati è il DLP (Data Leak Prevention / Data Leak Protection): un insieme di soluzioni che monitorano i flussi di dati, identificano contenuti sensibili e impediscono che vengano copiati, inviati o esfiltrati senza autorizzazione.

In pratica, con il DLP si può:

• controllare cosa esce via email o cloud sharing
• limitare download e copie su dispositivi non autorizzati
• applicare policy diverse per ruolo e tipologia di dato

Queste misure si integrano bene con i principi Zero Trust e IAM già trattati in un altro articolo: quando identità, privilegi e protezione dei dati lavorano insieme, la superficie di rischio del data breach si abbassa in modo significativo.

Il data breach è una violazione dati che può nascere da attacchi esterni o da errori interni, ma in ogni caso mette a rischio continuità operativa, compliance e reputazione.
Conoscere gli obblighi GDPR e avere una procedura di gestione dei data breach chiara permette di gestire gli incidenti senza caos.
Allo stesso tempo, lavorare su prevenzione, data leak protection e DLP riduce la probabilità che una violazione accada davvero.