In breve: se in un attacco viene violata la protezione di dati personali, l'art. 33 GDPR richiede una notifica all'autorità di controllo, possibilmente entro 72 ore dal momento in cui se ne ha conoscenza, qualora sussista un rischio per gli interessati. In caso di rischio elevato si aggiunge, ai sensi dell'art. 34, la comunicazione agli interessati. Indipendentemente da ciò, ogni violazione va documentata. Questa pagina è un'informazione generale e non costituisce consulenza legale.
Nessuna consulenza legale: se e quando sussista un obbligo di notifica nel caso concreto lo valutano il Suo responsabile della protezione dei dati o un avvocato. Noi forniamo i fatti tecnici su cui si basa questa valutazione.
Data breach e notifica entro 72 ore: che cosa disciplina l'art. 33
L'art. 33 GDPR riguarda la «violazione dei dati personali». Si intende ogni violazione di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali. Un web server compromesso con database dei clienti, moduli di contatto o dati di candidati può rientrarvi.
La notifica all'autorità di controllo deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare del trattamento ne è venuto a conoscenza. Non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Chi notifica dopo oltre 72 ore deve motivare il ritardo. Le informazioni possono essere fornite in fasi successive.
Che cosa deve contenere una notifica
L'art. 33, par. 3 GDPR indica i contenuti minimi. Dovrebbe preparare questi punti, anche se non tutto è ancora definito:
- natura della violazione, possibilmente con categorie e numero approssimativo di persone e di registrazioni interessate
- nome e dati di contatto del responsabile della protezione dei dati o di un altro punto di contatto
- probabili conseguenze della violazione
- misure adottate o proposte per porre rimedio e per attenuare i possibili effetti negativi
Proprio negli attacchi ai web server l'entità è spesso poco chiara all'inizio. In tal caso aiuta una prima notifica onesta, con lo stato noto e l'annuncio che ulteriori elementi seguiranno.
Quando decorre il termine dopo un attacco al server?
Il termine si collega alla conoscenza, non al momento dell'attacco. Nella pratica la delimitazione è spesso difficile: una segnalazione su una vulnerabilità come PHP2Shell non fonda da sola la conoscenza di una violazione dei dati. Se però trova indizi concreti di un'intrusione, ad esempio una webshell o interrogazioni sospette al database, la situazione può essere diversa.
Documenti quindi fin dall'inizio, con l'orario, chi ha ricevuto quale informazione e quali passaggi sono seguiti. Questa cronologia aiuta nella valutazione giuridica e in caso di richieste dell'autorità. Un'accurata indagine tecnica, ad esempio tramite l'analisi forense IT, chiarisce se e quali dati siano effettivamente interessati.
Comunicazione agli interessati ai sensi dell'art. 34
Se la violazione presenta probabilmente un rischio elevato per i diritti e le libertà delle persone, devono essere informati senza ritardo anche gli interessati. Può essere il caso, ad esempio, di credenziali di accesso, coordinate bancarie o dati sanitari. La comunicazione dovrebbe descrivere in un linguaggio semplice e chiaro che cosa è accaduto e indicare almeno il punto di contatto, le probabili conseguenze e le misure adottate.
L'art. 34 prevede eccezioni, ad esempio se i dati sono stati resi incomprensibili a chi non è autorizzato, per esempio tramite cifratura. Se la comunicazione a ogni singola persona richiedesse sforzi sproporzionati, può essere presa in considerazione una comunicazione pubblica o una misura analogamente efficace. Se un'eccezione si applichi rientra nella valutazione giuridica. Come informare i clienti in modo comprensibile è descritto alla pagina Comunicazione di crisi dopo un attacco.
Obbligo di documentazione ai sensi dell'art. 33, par. 5
Indipendentemente dall'obbligo di notifica, l'art. 33, par. 5 GDPR richiede di documentare qualsiasi violazione: i fatti, gli effetti e i provvedimenti adottati per porvi rimedio. Questa documentazione deve consentire all'autorità di controllo di verificare. Ciò vale anche se, dopo verifica, giunge alla conclusione che non è necessaria alcuna notifica.
Per i web server significa in pratica: salvare i log prima che vengano ruotati, annotare i riscontri con l'orario, registrare le decisioni e la loro motivazione. Per PHP2Shell la stampa specializzata raccomanda di conservare i log del server a partire dal 20/10/2026. Inoltre una patch non rimuove il malware già introdotto e non prova che prima non sia successo nulla.
Svolgimento pratico nelle prime ore
- Segnalare il sospetto internamente a un punto fisso e coinvolgere il responsabile della protezione dei dati.
- Acquisire le prove: log, elenchi di file, estratti del database, prima che qualcosa venga cancellato o reinstallato.
- Chiarire tecnicamente se possano essere coinvolti dati personali.
- Valutazione giuridica dell'obbligo di notifica e di comunicazione, se del caso con un avvocato e l'assicuratore.
- Notifica tramite il modulo dell'autorità di controllo competente, integrazioni in caso di nuovi elementi.
Un piano di emergenza IT già predisposto accorcia notevolmente questi passaggi.
Come aiuta concretamente PHP SOS?
- Salviamo log e stati dei sistemi in modo che restino utilizzabili per la valutazione e per un successivo controllo.
- Chiariamo tecnicamente se e quali dati fossero raggiungibili e forniamo una sintesi comprensibile per responsabili della protezione dei dati e avvocati.
- Teniamo una cronologia dei riscontri tecnici che può usare per la notifica e la documentazione.
- In caso di intrusione confermata ci occupiamo di incident response e bonifica.
Domande frequenti
Da quando decorrono le 72 ore?
Secondo l'art. 33 GDPR dal momento in cui il titolare del trattamento è venuto a conoscenza della violazione. Quando ciò sia da ritenere nel caso concreto è una valutazione giuridica. Documenti quindi con precisione quando chi ha avuto quale informazione.
Ogni vulnerabilità di sicurezza deve essere notificata?
No. Una vulnerabilità da sola non è ancora una violazione della protezione dei dati personali. La notifica può diventare obbligatoria se ci sono indizi che persone non autorizzate abbiano avuto o potuto avere accesso a tali dati e ne derivi un rischio per gli interessati.
E se dopo 72 ore non so ancora tutto?
L'art. 33, par. 4 GDPR consente di fornire le informazioni in fasi successive, se non possono essere fornite contemporaneamente. Una notifica tardiva va motivata. Attendere piena chiarezza non è quindi, di norma, un motivo per lasciar scadere il termine.
Chi notifica se è stato coinvolto l'hoster?
L'obbligo di notifica spetta al titolare del trattamento, cioè di norma l'azienda che gestisce il sito web. Un responsabile del trattamento come l'hoster deve informare senza ritardo il titolare, ai sensi dell'art. 33, par. 2 GDPR.
Dove notifico una violazione dei dati?
All'autorità di controllo della protezione dei dati competente; in Germania, per le aziende, di norma l'autorità del Land in cui hanno sede. La maggior parte delle autorità offre a questo scopo moduli online.