Violazione dei dati personali: cosa dimostrare nella notifica

Pubblicato il 20 agosto 2026

Quasi ogni organizzazione che tratta dati personali ha una procedura pronta per il caso di violazione dei dati personali: indica che cosa dichiarare al Garante entro settantadue ore, quasi mai che cosa si sarà in grado di dimostrare sei mesi dopo, quando quella dichiarazione verrà riletta da chi può sanzionarla.

Nel 2026 la distanza fra le due cose è difficile da ignorare: gli obblighi di notifica della direttiva NIS2 sono operativi dal 1 gennaio, le misure vanno completate entro ottobre e l’Agenzia per la cybersicurezza nazionale ha avviato i primi controlli. Un incidente di sicurezza informatica che coinvolga dati personali, cioè un data breach, fa scattare due catene di notifica, ed entrambe finiscono nella stessa domanda: da quale evidenza risulta quanto è stato dichiarato?

Un conto è compilare il modulo, un altro è reggere alla domanda che arriva dopo. Gli elementi in gioco sono quattro, e per ciascuno l’evidenza o esiste già o non si costruisce a posteriori.

Cosa impone la normativa quando si notifica una violazione dei dati personali

Una violazione dei dati personali è un incidente di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali trasmessi, conservati o comunque trattati. Il titolare del trattamento la notifica al Garante entro settantadue ore.

Il punto decisivo è la decorrenza. L’articolo 33 del GDPR fissa il termine dal momento in cui il titolare “ne è venuto a conoscenza”, non da quando l’incidente si è verificato, e fra i due istanti possono passare settimane. La notifica non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche, valutazione che il Garante verifica a posteriori. Quando è dovuta e manca, le sanzioni per omessa notifica arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, secondo l’articolo 83 paragrafo 4 lettera a. Il responsabile del trattamento non notifica: informa il titolare senza ingiustificato ritardo, e da lì il termine corre.

Le finestre temporali del GDPR e della direttiva NIS2

Un incidente in perimetro NIS2 che coinvolga dati personali attiva due percorsi paralleli. Il primo nasce dal GDPR e guarda alle persone i cui dati sono esposti; il secondo dalla direttiva UE 2022/2555, recepita dal d.lgs. 138/2024, e guarda all’integrità dei dati nei servizi essenziali.

I tre momenti della catena NIS2 cambiano il lavoro probatorio: il preallarme fotografa una situazione incerta, la relazione finale la ricostruisce, e fra i due l’organizzazione ha quasi sempre cambiato idea.

Gli obblighi che restano dopo l’invio della notifica

Inviare la notifica del data breach al Garante non chiude il fascicolo, perché restano tre adempimenti autonomi.

Il registro delle violazioni previsto dall’articolo 33 paragrafo 5 è dovuto per ogni violazione dei dati personali, comprese quelle non notificate perché prive di rischio: serve al Garante per verificare la valutazione del titolare, e per questo il registro data breach interessa proprio i casi in cui si è scelto di non notificare. Un modello scaricabile aiuta a compilarlo, non a difenderlo.

La comunicazione agli interessati prevista dall’articolo 34 scatta quando il rischio per le persone coinvolte è elevato, ed è un obbligo distinto: le linee guida 9/2022 dell’EDPB ne descrivono i criteri e il Garante offre uno strumento di autovalutazione.

La notifica, infine, può essere integrata in seguito, e ogni versione sarà confrontata con la precedente.

Le quattro cose che un’organizzazione deve poter dimostrare

La notifica chiede di dichiarare quattro elementi. La verifica successiva chiede di dimostrarli, ed è un passaggio di natura diversa: che cosa fare in caso di data breach è documentato ovunque; che cosa si debba poi poter provare, molto meno.

1. Momento del rilevamento, da cui decorre il termine delle settantadue ore.
2. Perimetro dei dati e dei sistemi effettivamente coinvolti nell’incidente.
3. Decisioni assunte durante la gestione, con l’indicazione di chi le ha prese.
4. Misure adottate per contenere la violazione e per rimediarne gli effetti.

Il principio di accountability dell’articolo 5 paragrafo 2 del GDPR inverte l’onere della prova: non è l’autorità a dover provare che il titolare ha agito male, è il titolare a dover dimostrare di aver agito bene. Una dichiarazione senza evidenza verificabile resta un’affermazione dell’organizzazione su se stessa, e la differenza emerge quando qualcuno chiede di vederla.

Il momento esatto in cui l’incidente è stato rilevato

Il momento in cui una violazione dei dati personali viene rilevata determina la decorrenza delle settantadue ore ed è la prima cosa che l’autorità guarda. La domanda che segue è sempre la stessa: da quale evidenza risulta?

Nella pratica il riferimento temporale è un alert del SIEM, una riga di log applicativo, un messaggio in una chat interna. Il limite è comune: il file che registra l’orario e l’orologio che lo genera stanno sotto il controllo di chi deve dimostrare di aver agito con tempestività. Il dato non è falso: regge finché nessuno lo contesta, e la contestazione colpisce esattamente lì, perché spostare di poche ore il rilevamento cambia la posizione dell’organizzazione rispetto al termine. In caso di rilevazione di una violazione dei dati personali il primo atto difensivo utile non è aprire il modulo di notifica, bensì fissare fuori dal proprio perimetro l’ora in cui l’anomalia è stata vista.

Il perimetro dei dati e dei sistemi coinvolti

Il perimetro dichiarato nella notifica della violazione dei dati personali è una ricostruzione fatta con le informazioni disponibili allora, e quasi sempre cambia. Nel frattempo i sistemi vengono isolati e riconfigurati, e lo stato su cui si basava la perimetrazione iniziale non esiste più. Conservare la schermata del pannello di controllo come appariva durante l’analisi resta l’unico modo per spiegare perché quella valutazione fosse ragionevole.

Le decisioni prese e da chi

Le decisioni di gestione di un incidente vivono dentro comunicazioni interne. Chi notifica al Garante è il titolare del trattamento, ma la catena passa dal DPO, dal responsabile della sicurezza, spesso da un fornitore esterno di incident response, ed è ricostruibile solo da quei messaggi. La certificazione delle comunicazioni interne evita di doverli cercare un anno dopo in una casella di posta.

Le misure adottate per contenere e rimediare

Le misure adottate per contenere una violazione dei dati personali sono l’elemento su cui il Garante gradua la sanzione, perché rientrano fra i criteri dell’articolo 83. Dichiarare di aver isolato un segmento di rete o revocato credenziali è semplice; provare quando sia stato fatto richiede l’estratto della configurazione com’era allora.

Perché i registri interni non bastano come prova

Un registro interno è un file modificabile prodotto dalla stessa organizzazione che deve dimostrare la propria diligenza nella gestione della violazione dei dati personali: ammissibile e utile, ma non neutrale rispetto a chi lo produce.

L’articolo 2712 del codice civile stabilisce che le riproduzioni informatiche formano piena prova dei fatti che rappresentano se colui contro il quale sono prodotte non ne disconosce la conformità. Il meccanismo sta tutto in quella condizione: finché nessuno contesta il file vale, dopo il disconoscimento l’onere di dimostrarne la conformità torna a chi lo ha prodotto. Poiché il registro delle violazioni è obbligatorio anche quando la notifica non è dovuta, e poiché i log applicativi sono conservati da chi ha interesse a mostrarsi diligente, il disconoscimento è la mossa da attendersi. L’obbligo NIS2 di conservare i log per diciotto mesi garantisce che il dato ci sia ancora: la conservazione dei log risolve la disponibilità, non l’integrità, e i due problemi vengono confusi.

La risposta all’incidente resta in capo al team di sicurezza; TrueScreen interviene sullo strato successivo, quello che rende opponibile a un terzo ciò che il team ha visto e deciso.

File modificabili prodotti da chi deve dimostrare la propria diligenza

Il conflitto è strutturale, non dipende dalla buona fede di nessuno: chi gestisce l’infrastruttura può scrivere sui registri che quell’infrastruttura produce. Nemmeno l’esportazione firmata dal responsabile risolve: l’attestazione viene ancora dall’interno. Il valore probatorio di una copia forense dipende da chi la produce e da quando, e la catena di custodia digitale documenta quel passaggio.

Il valore probatorio delle riproduzioni informatiche e la contestazione

Una prova digitale viene attaccata sull’origine del contenuto, sull’orario a cui si riferisce e sull’integrità del file dalla raccolta all’esibizione. Sono le obiezioni più frequenti a una schermata prodotta in giudizio e valgono identiche per un estratto di registro allegato a una notifica. L’evidenza digitale regge quando quelle risposte non dipendono dalla parola di chi la esibisce. Il Garante, nella propria sintesi degli adempimenti, chiede di documentare la violazione: documentare significa poter mostrare, non riferire.

Come raccogliere evidenze che reggono alla contestazione

La raccolta utile avviene durante la gestione dell’incidente, perché ogni ora allontana i sistemi dallo stato che la notifica descriverà.

Cosa certificare durante la gestione dell’incidente

Va certificato ciò che verrà dichiarato e che nel frattempo sparirà. Al rilevamento conviene certificare una schermata alla fonte invece di salvarla in una cartella condivisa; per la sessione di analisi serve una registrazione dello schermo certificata; per i portali e le aree di amministrazione consultate, che nessun indirizzo pubblico raggiunge, serve un’acquisizione forense di aree riservate.

Quando certificare: la differenza fra raccolta immediata ed esportazione successiva

A differenza dell’esportazione successiva, la certificazione al momento della raccolta fissa lo stato del sistema mentre quello stato esiste ancora. Un log esportato tre mesi dopo il data breach contiene righe datate, ma dal file non risulta né quando siano state lette la prima volta né che nessuno le abbia toccate. La conservazione a diciotto mesi assicura che il materiale sia ancora reperibile, ma non dice nulla su ciò che è accaduto dentro l’archivio nel frattempo. È la ragione per cui certificare un file al momento dell’estrazione dà un risultato diverso dal certificarlo mesi dopo, a contenuto identico. Chi gestisce una violazione dei dati personali ha quindi poco tempo, perché la possibilità di fissare quello stato finisce quando i sistemi vengono ripristinati. Quando la verifica arriva a distanza, TrueScreen consente di risalire al momento esatto della raccolta, perché la marca temporale è stata apposta da un terzo alla cattura e non ricostruita dopo.

Come certificare le evidenze di un incidente mentre lo si gestisce

TrueScreen certifica le schermate dei sistemi di monitoraggio nel momento in cui vengono guardate, applicando marca temporale e sigillo elettronico tramite un prestatore di servizi fiduciari qualificato terzo. Il meccanismo è quello della marca temporale eIDAS: alla cattura viene calcolato l’hash del contenuto, e su quell’hash un QTSP esterno appone marca temporale e sigillo, così che ogni modifica successiva sia rilevabile e l’orario non provenga più dall’organizzazione. Il risultato è un’evidenza verificabile da un terzo anche a distanza di anni. Le organizzazioni usano TrueScreen per certificare estratti di registro, comunicazioni interne e pagine consultate durante la gestione di una violazione dei dati personali, in modo che l’evidenza non risulti prodotta unilateralmente da chi deve dimostrare la propria diligenza. TrueScreen non è un prestatore di servizi fiduciari: integra il sigillo di un QTSP terzo, secondo i requisiti di un prestatore qualificato fissati dal regolamento europeo.

Ore 23:14 di un venerdì, il centro operativo rileva un’anomalia nei volumi in uscita da un file server: il responsabile apre la console, guarda il grafico e isola il segmento. Lunedì l’organizzazione notifica al Garante indicando le 23:14 come momento del rilevamento. Sei mesi dopo la domanda è una sola: da quale evidenza risulta che alle 23:14 quella schermata mostrava quel dato? Il log del SIEM resta un file conservato dall’organizzazione stessa; la schermata certificata mentre veniva guardata è un’altra cosa.

Dove il volume di eventi è alto, la certificazione si richiama dal flusso di incident response tramite integrazione tramite API, senza doversene ricordare alle undici di sera.