Cos’è una breach di dati: guida completa al data breach

Una violazione dei dati personali, comunemente chiamata data breach, è un incidente di sicurezza in cui dati personali vengono distrutti, persi, modificati o divulgati senza autorizzazione, oppure resi accessibili a soggetti non legittimati. Il Garante per la protezione dei dati personali e il GDPR concordano su questa definizione, che abbraccia sia gli eventi accidentali sia quelli dolosi. Non si tratta solo di attacchi informatici: uno smartphone smarrito con dati aziendali o un file inviato per errore al destinatario sbagliato configurano ugualmente una violazione.

La distinzione rispetto ad altri incidenti di sicurezza è precisa: ogni breach è un incidente, ma non ogni incidente è una breach. Un server temporaneamente irraggiungibile per manutenzione non costituisce una violazione dei dati personali, a meno che non comporti la compromissione di riservatezza, integrità o disponibilità dei dati trattati.

Le tipologie più ricorrenti di violazione includono:

• Violazione della riservatezza: accesso o divulgazione non autorizzata di dati personali.
• Violazione dell’integrità: modifica o corruzione non autorizzata dei dati.
• Violazione della disponibilità: perdita, distruzione o impossibilità di accedere ai dati da parte di chi ne ha diritto.
• Violazione mista: combinazione di due o più delle categorie precedenti, spesso la più grave per impatto sugli interessati.

Quali sono le cause principali di una violazione dei dati?

Le cause di una breach sono più variegate di quanto si pensi. Ridurre il fenomeno agli attacchi hacker è un errore comune che porta le organizzazioni a trascurare rischi altrettanto concreti.

Il CERT-AGID classifica le origini più frequenti in quattro categorie principali:

• Perdita accidentale: lo smarrimento di una chiavetta USB con documenti riservati, o di un laptop aziendale, configura una violazione per perdita accidentale anche senza alcun intento malevolo.
• Furto: il furto di un dispositivo contenente dati personali, anche se cifrato, richiede una valutazione del rischio e, in molti casi, la notifica al Garante.
• Infedeltà aziendale: un dipendente che copia dati dei clienti su un supporto esterno per distribuirli o venderli rappresenta una minaccia interna spesso sottovalutata.
• Accesso abusivo: l’intrusione non autorizzata nei sistemi informatici, seguita dalla sottrazione o divulgazione di dati, è la forma più nota di breach.

A queste si aggiungono cause non malevole come errori umani, calamità naturali o guasti tecnici che rendono i dati inaccessibili o li distruggono. Un database cancellato per errore durante un aggiornamento, o un archivio reso pubblico per una configurazione errata del cloud, rientrano pienamente nella definizione normativa.

Dal punto di vista dell’impatto, le violazioni si distinguono anche in base alla gravità:

• Bassa gravità: dati già pubblici o non sensibili, rischio minimo per gli interessati.
• Media gravità: dati personali comuni esposti a un numero limitato di soggetti non autorizzati.
• Alta gravità: dati sensibili (sanitari, finanziari, giudiziari) o dati di categorie vulnerabili, con potenziale danno diretto agli interessati.

Comprendere la varietà di scenari che generano una breach è il primo passo per costruire una risposta adeguata, sia sul piano tecnico sia su quello organizzativo.

Quali obblighi di notifica prevede il GDPR in caso di breach?

Gli articoli 33 e 34 del GDPR stabiliscono un regime di notifica obbligatoria che ogni titolare del trattamento deve conoscere con precisione. La regola generale è chiara: notifica al Garante entro 72 ore dal momento in cui si viene a conoscenza della violazione, senza ingiustificato ritardo.

Le 72 ore decorrono dal momento della «conoscenza», non da quello in cui la breach si è verificata. Se un’azienda scopre lunedì mattina una violazione avvenuta il venerdì precedente, il termine inizia a correre da lunedì. Questo dettaglio ha implicazioni pratiche rilevanti per i sistemi di monitoraggio e rilevamento.

L’obbligo di notifica al Garante non è assoluto. Si applica quando la violazione è «suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche». Se il rischio è improbabile, la notifica non è dovuta, ma la decisione va documentata. Le linee guida EDPB confermano che questa valutazione del rischio è il cardine del sistema e giustifica l’eccezione all’obbligo.

Quando il rischio per gli interessati è elevato, scatta anche l’obbligo di comunicazione diretta alle persone coinvolte, ai sensi dell’articolo 34 del GDPR. L’obiettivo è consentire agli interessati di adottare misure di autotutela, come cambiare password o bloccare carte di credito. Questa comunicazione può essere omessa solo se i dati erano cifrati in modo efficace o se sono state adottate misure che eliminano il rischio residuo.

Aspetti operativi chiave del regime di notifica:

• Notifica incrementale: il GDPR consente notifiche a fasi successive se non tutti i dettagli tecnici sono disponibili entro le 72 ore, purché non vi sia ritardo ingiustificato nell’integrazione.
• Contenuto minimo della notifica: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, dati di contatto del DPO, probabili conseguenze, misure adottate o proposte.
• Documentazione interna: anche le violazioni non notificabili vanno registrate internamente, come prova di responsabilizzazione per eventuali audit del Garante.
• Responsabile del trattamento: se la breach riguarda un responsabile esterno, questi deve informare il titolare senza ingiustificato ritardo.

Come gestire operativamente una breach di dati

La gestione di una violazione richiede un processo strutturato, non una risposta improvvisata. Le fasi sono sequenziali e devono essere documentate in tempo reale.

Rilevazione e valutazione preliminare. La prima azione è contenere l’incidente e raccogliere le informazioni essenziali: quali dati sono coinvolti, quanti interessati, da quando la violazione è attiva, se è ancora in corso. Questa fase deve avvenire nel minor tempo possibile, perché le 72 ore per la notifica al Garante decorrono dal momento della conoscenza.

Coinvolgimento del Data Protection Officer. Il DPO va informato immediatamente. Il suo ruolo non è solo consultivo: deve partecipare attivamente alla valutazione del rischio, alla decisione sulla notifica e alla redazione della documentazione. Nelle organizzazioni che non dispongono di un DPO interno, questa funzione va affidata a un consulente esterno qualificato prima che si verifichi un incidente, non dopo.

Misure di contenimento e rimedio. Bloccare l’accesso non autorizzato, revocare credenziali compromesse, isolare i sistemi colpiti, ripristinare i backup. Le misure tecniche adottate vanno documentate con timestamp precisi, perché il Garante le valuterà in sede di notifica.

Notifica formale e comunicazione agli interessati. Se la valutazione del rischio lo richiede, si procede alla notifica al Garante tramite il portale dedicato e, se necessario, alla comunicazione diretta agli interessati. La comunicazione trasparente e tempestiva alle persone coinvolte riduce il danno reputazionale e dimostra responsabilità.

Documentazione dell’intero processo. Il GDPR richiede un registro interno delle violazioni, separato dagli altri registri GDPR, che includa tutte le breach, comprese quelle minori e non notificate. Questo registro è la prova documentale dell’accountability dell’organizzazione. Documentare anche la decisione di non notificare è altrettanto necessario: in caso di ispezione, l’assenza di questa documentazione è trattata come inadempienza.

Gestione della reputazione. Un’azienda che comunica con chiarezza, rapidità e concretezza dopo una violazione limita i danni alla fiducia di clienti e partner. Il silenzio o la comunicazione tardiva producono l’effetto opposto, spesso con conseguenze più gravi della violazione stessa.

Quali misure di sicurezza aiutano a prevenire una breach?

La prevenzione di una violazione dei dati non si riduce all’installazione di un firewall. Richiede un approccio a più livelli che combina controlli tecnici e misure organizzative, come indicato nelle raccomandazioni EDPB sulla cybersecurity.

Le misure tecniche fondamentali includono:

• Cifratura dei dati: proteggere i dati sia in transito sia a riposo con algoritmi aggiornati. Un dispositivo smarrito con dati cifrati non genera, in molti casi, l’obbligo di notifica. Le misure tecniche ISO 27018 forniscono un riferimento preciso per la protezione dei dati personali in ambienti cloud.
• Controllo degli accessi: applicare il principio del minimo privilegio, assegnando a ciascun utente solo le autorizzazioni strettamente necessarie. La gestione degli accessi privilegiati è una delle aree più critiche e più trascurate.
• Monitoraggio continuo: sistemi di rilevamento delle intrusioni (IDS) e di analisi dei log consentono di identificare comportamenti anomali prima che una violazione si consolidi.
• Gestione delle vulnerabilità: aggiornamenti regolari di software e sistemi operativi, con procedure di patching documentate e verificate.
• Backup e resilienza: copie di sicurezza regolari, conservate in ambienti separati e testati periodicamente. Un backup non testato è un backup inaffidabile.

Sul piano organizzativo, la formazione dei dipendenti è la misura con il rapporto costo-efficacia più elevato. La maggior parte delle violazioni ha un elemento umano: un’email di phishing aperta, una password condivisa, un documento inviato al destinatario errato. Sessioni di formazione regolari, simulate di phishing e procedure chiare per la segnalazione degli incidenti riducono questo rischio in modo misurabile.

Un consiglio: Integrare la sicurezza nelle attività quotidiane significa rendere le procedure di protezione dei dati parte del flusso di lavoro normale, non un adempimento separato. Politiche di scrivania pulita, blocco automatico dei dispositivi e autenticazione a più fattori su tutti i sistemi critici sono misure semplici che eliminano una quota rilevante di rischio residuo.

Cosa dicono le linee guida EDPB aggiornate sulla gestione delle breach?

Il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato linee guida specifiche sulla notifica delle violazioni dei dati personali, aggiornate con esempi pratici che coprono scenari reali. Questi documenti sono vincolanti per le autorità di controllo nazionali, incluso il Garante italiano, e rappresentano il riferimento normativo più autorevole dopo il testo del GDPR.

I punti chiave delle linee guida EDPB riguardano:

• Valutazione del rischio come fulcro del sistema: la decisione di notificare o meno dipende dalla probabilità e dalla gravità del rischio per i diritti e le libertà degli interessati. L’EDPB fornisce una metodologia strutturata per questa valutazione, basata su fattori come la natura dei dati, il numero di interessati, le misure di sicurezza in atto e la reversibilità del danno.
• Notifica parziale e a fasi: quando le informazioni complete non sono disponibili entro 72 ore, è ammessa una notifica iniziale con i dati disponibili, integrata successivamente senza ritardo ingiustificato. Questo meccanismo evita che la complessità tecnica dell’indagine interna diventi un pretesto per ritardare la notifica.
• Documentazione come prova di accountability: l’EDPB sottolinea che documentare la decisione di non notificare è fondamentale per dimostrare responsabilizzazione in caso di controllo. Un’organizzazione che non notifica senza documentare il ragionamento sottostante si espone a sanzioni anche se la decisione era corretta nel merito.
• Esempi pratici per PMI e grandi imprese: le linee guida includono casi concreti, come la perdita di un laptop non cifrato, la pubblicazione accidentale di dati su un sito web, o l’accesso non autorizzato a un database da parte di un dipendente. Questi esempi guidano le organizzazioni nella classificazione della gravità e nella scelta delle azioni appropriate.
• Rafforzamento dei requisiti di documentazione interna: il registro delle violazioni deve contenere non solo i dati dell’incidente, ma anche la motivazione delle decisioni prese, le misure adottate e i tempi di risposta.

Per le PMI, l’applicazione pratica di queste linee guida può risultare complessa senza una struttura dedicata. Integrare i requisiti EDPB in un piano di sicurezza documentato, costruito attorno a uno standard riconosciuto come ISO 27001, è l’approccio più efficiente per garantire la conformità continuativa.

Come Securityhub affronta la gestione e la prevenzione delle breach

Securityhub lavora con organizzazioni italiane di ogni dimensione per costruire sistemi di gestione della sicurezza delle informazioni che rendono la prevenzione delle violazioni una capacità strutturale, non una risposta emergenziale.

I passaggi chiave che Securityhub raccomanda per una gestione efficace includono:

• Adottare ISO 27001 come framework di riferimento: la certificazione ISO 27001 fornisce un sistema di gestione della sicurezza delle informazioni (ISMS) che copre sistematicamente i rischi di violazione, dalla valutazione iniziale alle misure di controllo e alla risposta agli incidenti. Non è un adempimento formale, ma uno strumento operativo.
• Estendere la copertura con ISO 27017 e ISO 27018: per le organizzazioni che trattano dati in ambienti cloud, questi standard integrano ISO 27001 con controlli specifici per la protezione dei dati personali e la sicurezza dei servizi cloud, riducendo i rischi tipici di questi ambienti.
• Nominare e formare il DPO: il Data Protection Officer deve avere competenze tecniche e giuridiche sufficienti per guidare la risposta a una breach. Securityhub supporta le organizzazioni nella definizione del ruolo, nella formazione e nella costruzione delle procedure operative.
• Costruire un piano di risposta agli incidenti: un piano documentato, testato con esercitazioni periodiche, riduce il tempo di risposta e garantisce che le 72 ore per la notifica al Garante siano rispettate anche sotto pressione.
• Condurre valutazioni periodiche del rischio: le minacce evolvono. Una valutazione del rischio annuale, o dopo ogni cambiamento significativo nei sistemi, mantiene le misure di sicurezza allineate al profilo di rischio reale dell’organizzazione.
• Monitorare gli accessi ai dati personali: sistemi di monitoraggio degli accessi ai dati sensibili consentono di rilevare anomalie in tempo reale e di documentare chi ha avuto accesso a quali dati, informazione essenziale in caso di breach.

Le organizzazioni certificate ISO 27001 dispongono di processi documentati per la gestione degli incidenti, riducono il rischio di violazioni non rilevate e dimostrano al Garante e ai propri clienti un livello di maturità nella sicurezza che le organizzazioni non certificate non possono vantare. Per chi vuole costruire o rafforzare questa capacità, la guida alla certificazione ISO 27001 di Securityhub è il punto di partenza più diretto.

Punti chiave

Una violazione dei dati personali richiede rilevazione tempestiva, valutazione del rischio documentata, notifica al Garante entro 72 ore e misure tecniche e organizzative strutturate per prevenire incidenti futuri.

Raccomandati

• Che cosa sono i dati personali: guida GDPR 2026 – Security Hub
• Sicurezza del Dato: Guida Completa per Aziende – Security Hub
• Errori gestione dati personali: guida pratica 2026 – Security Hub
• Come proteggere i dati personali GDPR: guida PMI – Security Hub