Hai subito un
Data Breach?
Hai 72 ore dalla scoperta per notificare al Garante. Senza panico: ti accompagniamo nell’intero processo, da subito.
La timeline del Data Breach
T0
Scoperta
+24h
Contenimento
+72h
Notifica Garante (Art. 33)
+?
Notifica interessati (Art. 34)
Cos'è un Data Breach
Non è solo un attacco hacker.
Un Data Breach è qualsiasi violazione di sicurezza che comporta la distruzione, perdita, modifica, divulgazione o accesso non autorizzato a dati personali. Comprende eventi molto più frequenti di un attacco hacker: una mail inviata al destinatario sbagliato, un laptop rubato, un fornitore che ha esposto i dati, un dipendente che si è portato via dati uscendo dall'azienda.
L'articolo 33 del GDPR ti impone di notificare al Garante entro 72 ore. L'articolo 34 ti impone di comunicare ai diretti interessati se il rischio è elevato. Sbagliare la valutazione o i tempi è una sanzione quasi certa.
Come ti accompagniamo
Sei fasi. Una squadra. Nessuna improvvisazione.
Quando ricevi la chiamata di scoperta, la cosa peggiore è non avere un piano. Noi siamo il tuo piano, anche se non ci hai mai assunto prima.
01
Chiamata immediata, raccolta delle prime informazioni: cosa è successo, quando, come è stato scoperto, quali dati e quali persone sono potenzialmente coinvolti. Ti diamo le prime indicazioni operative anche se non hai ancora firmato nulla.
02
Attiviamo i partner tecnici (incluso cyber-security.it) per il contenimento dell'incidente: isolamento dei sistemi compromessi, blocco dell'attaccante, prima preservazione delle evidenze forensi.
03
Eseguiamo l'analisi formale del rischio per gli interessati secondo le linee guida WP250 e WP260. Decidiamo motivatamente se notificare al Garante (è obbligatorio in quasi tutti i casi) e se comunicare agli interessati (Art. 34).
04
Predisponiamo e inviamo la notifica al Garante attraverso il portale ufficiale, con tutti gli elementi richiesti: natura del breach, categorie e numero approssimativo di interessati, conseguenze probabili, misure adottate e da adottare. Se ci sono informazioni non ancora disponibili, gestiamo la notifica in fasi.
05
Se il rischio è elevato per i diritti e le libertà degli interessati, redigiamo e organizziamo la comunicazione individuale agli interessati con il linguaggio richiesto dal GDPR. Quando il numero è alto e la comunicazione individuale è impossibile, predisponiamo una comunicazione pubblica equivalente.
06
Aggiorniamo il registro dei data breach, gestiamo le eventuali richieste di approfondimento del Garante, identifichiamo le cause radice del breach e le misure di hardening per evitare che si ripeta. Se serve, ti aiutiamo anche nella gestione delle relazioni pubbliche e nei contatti con le assicurazioni cyber.
Perché chiamare noi
Non devi essere già nostro cliente.
DPO e Lead Auditor
Conosciamo il GDPR per averlo applicato, auditato e difeso davanti al Garante. Non improvvisiamo.
Partner tecnici pronti
Cyber-security.it e altri partner specializzati sono attivabili in poche ore per il contenimento tecnico.
Esperienza con il Garante
Abbiamo gestito decine di notifiche e seguito procedimenti di accertamento. Sappiamo cosa cerca il Garante e come parlare la sua lingua.
Risposta in 1 ora
Il triage iniziale è gratuito e arriva entro un'ora dalla chiamata, anche se non sei ancora cliente. Non perdiamo tempo.
Confidenzialità
Il fatto che ci hai contattato è coperto da segreto professionale. Tutto resta tra noi, indipendentemente da come prosegue.
Tariffe fisse a fasi
Tariffe note in anticipo per ogni fase. Niente sorprese in fattura mentre stai gestendo una crisi.
Strumento gratuito
Devi notificare al Garante? Verifica in 2 minuti.
Self-assessment basato sui criteri ufficiali del Garante per la Protezione dei Dati Personali.
Domande frequenti sul data breach
Quando devo notificare un data breach al Garante?
Entro 72 ore da quando ne sei venuto a conoscenza (art. 33 GDPR), se la violazione presenta un rischio per i diritti e le libertà delle persone. Non tutte le violazioni vanno notificate: serve una valutazione del rischio documentata, che è la prima cosa che facciamo insieme in caso di incidente.
Cosa succede se supero le 72 ore?
La notifica resta dovuta: va presentata con le motivazioni del ritardo. Il ritardo non giustificato è sanzionabile autonomamente, anche se la violazione in sé era gestita bene. Per questo conviene avere una procedura testata prima che serva.
Devo comunicare la violazione anche agli interessati?
Solo se il rischio per i loro diritti è elevato (art. 34 GDPR). Non serve se i dati erano cifrati o se hai adottato misure successive che eliminano il rischio elevato. La valutazione va documentata: è uno dei punti che il Garante verifica per primi.
Devo tenere un registro delle violazioni?
Sì, tutte le violazioni vanno registrate (art. 33 par. 5 GDPR), anche quelle non notificate al Garante, con valutazione e misure adottate. È il documento che dimostra l’accountability in caso di ispezione.
Il breach è avvenuto da un mio fornitore: chi notifica?
Il responsabile del trattamento (fornitore) deve informarti senza ingiustificato ritardo, ma la notifica al Garante spetta a te come titolare. Le 72 ore decorrono da quando TU ne vieni a conoscenza: per questo i contratti ex art. 28 devono prevedere tempi di segnalazione stretti.
Quanto costa farsi assistere in un data breach?
Per i clienti con DPO esterno l’assistenza è inclusa nel canone. Per interventi una tantum la valutazione dipende da gravità e perimetro della violazione: il primo triage telefonico è gratuito e ti diciamo subito se serve notificare.
Aggiornato a luglio 2026. Approfondimento correlato: consulenza GDPR e DPO esterno. Per testare la tua preparazione: tool di autovalutazione data breach.