Il data breach è l’unico momento della compliance in cui il tempo si misura in ore e le decisioni si prendono con informazioni incomplete. Come DPO ho gestito e visto gestire incidenti di questo tipo, e gli errori delle aziende durante un data breach sono sorprendentemente uguali dal piccolo studio alla media impresa. Questi sette sono quelli che fanno più danni.
1. Prima si spegne tutto
La reazione istintiva davanti a un incidente è staccare tutto: server, connessioni, a volte perfino la corrente. Comprensibile, ma spesso distrugge le evidenze che servirebbero per capire cosa è successo, da quando e su quali dati. Senza quelle evidenze la valutazione del rischio diventa un esercizio di fantasia e la notifica si scrive al buio. Contenere non significa spegnere: significa isolare, preservando log e sistemi per l’analisi. La differenza tra le due cose va decisa prima, non alle tre di notte.
2. Si aspetta “per capire meglio”
Le 72 ore per la notifica al Garante partono da quando si viene a conoscenza della violazione, non da quando si è capito tutto. Ho visto aziende bruciare tre giorni in riunioni per avere un quadro completo e arrivare alla scadenza senza nemmeno una bozza. Il regolamento lo prevede espressamente: si può notificare per fasi, integrando le informazioni man mano. Meglio una notifica iniziale onesta e incompleta che una tardiva e perfetta: la seconda è comunque una violazione.
3. Nessuno sa chi decide
Il breach arriva di venerdì sera, come da tradizione. L’IT dice che decide il titolare, il titolare è in viaggio, il DPO viene cercato ma nessuno ha il suo numero, il fornitore aspetta istruzioni. Le prime ore, le più preziose, se ne vanno a decidere chi decide. Una procedura di gestione delle violazioni può stare in due pagine, ma deve dire con chiarezza una cosa sola: chi valuta, chi decide sulla notifica, chi parla con l’esterno, e i numeri di telefono di tutti.
4. Si notifica tutto o niente
Le due scuole opposte, entrambe sbagliate: chi notifica qualunque cosa per stare tranquillo e chi non notifica mai per non attirare attenzione. Il GDPR chiede una cosa diversa: valutare il rischio per gli interessati caso per caso e documentare la valutazione. Notificare tutto segnala che non sapete valutare; non notificare niente, se poi l’incidente emerge per altre vie, trasforma un problema tecnico in un problema sanzionatorio. La valutazione documentata è la protezione migliore in entrambe le direzioni.
5. Si dimentica il registro interno
Anche le violazioni non notificate vanno documentate nel registro interno delle violazioni, con la valutazione e le ragioni della decisione: lo chiede l’articolo 33, paragrafo 5, del GDPR. Ed è la prima cosa che l’autorità chiede quando arriva un accertamento. Un registro vuoto dopo anni di attività non dimostra che non è mai successo nulla: dimostra che nessuno teneva traccia. E rende indifendibile anche la decisione giusta di non notificare.
6. Comunicazioni agli interessati scritte dal panico
Quando il rischio è elevato bisogna avvisare gli interessati, e qui ho letto di tutto: mail incomprensibili piene di tecnicismi, comunicazioni che minimizzano fino a sembrare pubblicità, testi legali di due pagine senza una sola indicazione pratica. L’interessato deve capire tre cose: cosa è successo, cosa rischia, cosa deve fare adesso. Scrivere una bozza di comunicazione a mente fredda, prima che serva, è uno degli investimenti migliori che si possano fare in un pomeriggio.
7. Il fornitore IT che “sistema” prima di documentare
Il tecnico bravo e volenteroso che formatta il server compromesso e ripristina il backup nella notte: peccato che al mattino nessuno sappia più quali dati fossero coinvolti, da quanto durasse l’accesso abusivo, se qualcosa sia uscito. Il ripristino ha cancellato le risposte a tutte le domande della notifica. Il fornitore va istruito prima, contrattualmente e operativamente: in caso di incidente prima si preserva e si documenta, poi si ripristina. E deve avvisarvi senza ingiustificato ritardo, non a lavoro finito.
La vera preparazione si fa prima
La gestione di un data breach si decide quasi tutta prima del breach: procedura, ruoli, contatti reperibili, bozze pronte, fornitori istruiti. Se oggi non sapreste dire chi fa cosa nelle prime sei ore, è il momento giusto per rimediare: date un’occhiata al nostro servizio dedicato alla gestione dei data breach e partite da una gap analysis della vostra capacità di risposta. Le 72 ore passano in fretta, soprattutto quando iniziano di venerdì sera.
Nota: le osservazioni riportate derivano dall’esperienza di DPO e consulenza, hanno valore generale e non costituiscono parere legale; ogni violazione va valutata nel proprio contesto. Articolo aggiornato a luglio 2026.
