{"id":58064,"date":"2026-08-20T07:26:26","date_gmt":"2026-08-20T05:26:26","guid":{"rendered":"https:\/\/truescreen.io\/articoli\/violazione-dati-personali-cosa-dimostrare-notifica\/"},"modified":"2026-08-20T08:09:17","modified_gmt":"2026-08-20T06:09:17","slug":"violazione-dati-personali-cosa-dimostrare-notifica","status":"publish","type":"articoli","link":"https:\/\/truescreen.io\/it\/articoli\/violazione-dati-personali-cosa-dimostrare-notifica\/","title":{"rendered":"Violazione dei dati personali: cosa dimostrare nella notifica"},"content":{"rendered":"
\n
\n

Violazione dei dati personali: cosa dimostrare nella notifica<\/h1>\n<\/div>\n<\/div>\n
\n
\n

Pubblicato il 20 agosto 2026<\/p>\n

Quasi ogni organizzazione che tratta dati personali ha una procedura pronta per il caso di violazione dei dati personali: indica che cosa dichiarare al Garante entro settantadue ore, quasi mai che cosa si sar\u00e0 in grado di dimostrare sei mesi dopo, quando quella dichiarazione verr\u00e0 riletta da chi pu\u00f2 sanzionarla.<\/p>\n

Nel 2026 la distanza fra le due cose \u00e8 difficile da ignorare: gli obblighi di notifica della direttiva NIS2 sono operativi dal 1 gennaio, le misure vanno completate entro ottobre e l’Agenzia per la cybersicurezza nazionale ha avviato i primi controlli. Un incidente di sicurezza informatica che coinvolga dati personali, cio\u00e8 un data breach, fa scattare due catene di notifica, ed entrambe finiscono nella stessa domanda: da quale evidenza risulta quanto \u00e8 stato dichiarato?<\/p>\n

Un conto \u00e8 compilare il modulo, un altro \u00e8 reggere alla domanda che arriva dopo. Gli elementi in gioco sono quattro, e per ciascuno l’evidenza o esiste gi\u00e0 o non si costruisce a posteriori.<\/p>\n

Cosa impone la normativa quando si notifica una violazione dei dati personali<\/h2>\n

Una violazione dei dati personali \u00e8 un incidente di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali trasmessi, conservati o comunque trattati. Il titolare del trattamento la notifica al Garante entro settantadue ore.<\/p>\n

Il punto decisivo \u00e8 la decorrenza. L’articolo 33 del GDPR<\/a> fissa il termine dal momento in cui il titolare “ne \u00e8 venuto a conoscenza”, non da quando l’incidente si \u00e8 verificato, e fra i due istanti possono passare settimane. La notifica non \u00e8 dovuta se \u00e8 improbabile che la violazione presenti un rischio per i diritti e le libert\u00e0 delle persone fisiche, valutazione che il Garante verifica a posteriori. Quando \u00e8 dovuta e manca, le sanzioni per omessa notifica arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, secondo l’articolo 83 paragrafo 4 lettera a. Il responsabile del trattamento non notifica: informa il titolare senza ingiustificato ritardo, e da l\u00ec il termine corre.<\/p>\n

Le finestre temporali del GDPR e della direttiva NIS2<\/h3>\n

Un incidente in perimetro NIS2 che coinvolga dati personali attiva due percorsi paralleli. Il primo nasce dal GDPR e guarda alle persone i cui dati sono esposti; il secondo dalla direttiva UE 2022\/2555<\/a>, recepita dal d.lgs. 138\/2024<\/a>, e guarda all’integrit\u00e0 dei dati nei servizi essenziali<\/a>.<\/p>\n

\n\n\n\n\n\n\n\n\n\n
Elemento<\/th>\nNotifica al Garante<\/th>\nNotifica al CSIRT Italia<\/th>\n<\/tr>\n<\/thead>\n
Autorit\u00e0<\/td>\nGarante per la protezione dei dati personali<\/td>\nCSIRT Italia, presso l’ACN<\/td>\n<\/tr>\n
Norma<\/td>\nArt. 33 GDPR<\/td>\nDirettiva NIS2, d.lgs. 138\/2024<\/td>\n<\/tr>\n
Termine<\/td>\n72 ore dalla conoscenza della violazione<\/td>\nPreallarme 24 ore, notifica 72 ore, relazione finale un mese<\/td>\n<\/tr>\n
Oggetto<\/td>\nRischio per diritti e libert\u00e0 degli interessati<\/td>\nImpatto sul servizio e sulla sua continuit\u00e0<\/td>\n<\/tr>\n
Chi vi \u00e8 tenuto<\/td>\nTitolare del trattamento<\/td>\nSoggetto essenziale o importante nel perimetro NIS<\/a><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

I tre momenti della catena NIS2 cambiano il lavoro probatorio: il preallarme fotografa una situazione incerta, la relazione finale la ricostruisce, e fra i due l’organizzazione ha quasi sempre cambiato idea.<\/p>\n

Gli obblighi che restano dopo l’invio della notifica<\/h3>\n

Inviare la notifica del data breach al Garante non chiude il fascicolo, perch\u00e9 restano tre adempimenti autonomi.<\/p>\n

Il registro delle violazioni previsto dall’articolo 33 paragrafo 5 \u00e8 dovuto per ogni violazione dei dati personali, comprese quelle non notificate perch\u00e9 prive di rischio: serve al Garante per verificare la valutazione del titolare, e per questo il registro data breach interessa proprio i casi in cui si \u00e8 scelto di non notificare. Un modello scaricabile aiuta a compilarlo, non a difenderlo.<\/p>\n

La comunicazione agli interessati prevista dall’articolo 34<\/a> scatta quando il rischio per le persone coinvolte \u00e8 elevato, ed \u00e8 un obbligo distinto: le linee guida 9\/2022 dell’EDPB<\/a> ne descrivono i criteri e il Garante offre uno strumento di autovalutazione<\/a>.<\/p>\n

La notifica, infine, pu\u00f2 essere integrata in seguito, e ogni versione sar\u00e0 confrontata con la precedente.<\/p>\n

Le quattro cose che un’organizzazione deve poter dimostrare<\/h2>\n

La notifica chiede di dichiarare quattro elementi. La verifica successiva chiede di dimostrarli, ed \u00e8 un passaggio di natura diversa: che cosa fare in caso di data breach \u00e8 documentato ovunque; che cosa si debba poi poter provare, molto meno.<\/p>\n

    \n
  1. Momento del rilevamento, da cui decorre il termine delle settantadue ore.<\/li>\n
  2. Perimetro dei dati e dei sistemi effettivamente coinvolti nell’incidente.<\/li>\n
  3. Decisioni assunte durante la gestione, con l’indicazione di chi le ha prese.<\/li>\n
  4. Misure adottate per contenere la violazione e per rimediarne gli effetti.<\/li>\n<\/ol>\n

    Il principio di accountability dell’articolo 5 paragrafo 2 del GDPR inverte l’onere della prova: non \u00e8 l’autorit\u00e0 a dover provare che il titolare ha agito male, \u00e8 il titolare a dover dimostrare di aver agito bene. Una dichiarazione senza evidenza verificabile resta un’affermazione dell’organizzazione su se stessa, e la differenza emerge quando qualcuno chiede di vederla.<\/p>\n

    \n\n\n\n\n\n\n\n\n
    Elemento dichiarato<\/th>\nDomanda in sede di verifica<\/th>\nEvidenza che la soddisfa<\/th>\n<\/tr>\n<\/thead>\n
    Momento del rilevamento<\/td>\nDa quale evidenza risulta l’orario indicato?<\/td>\nSchermata dell’alert certificata alla visualizzazione, con marca temporale di un terzo<\/td>\n<\/tr>\n
    Perimetro di dati e sistemi<\/td>\nSu quale stato dei sistemi si basa la perimetrazione?<\/td>\nAcquisizione delle aree consultate, congelata al momento dell’analisi<\/td>\n<\/tr>\n
    Decisioni e responsabili<\/td>\nChi ha deciso, quando, su quali informazioni?<\/td>\nComunicazioni interne ed escalation certificate mentre venivano scambiate<\/td>\n<\/tr>\n
    Misure di contenimento<\/td>\nLe misure sono state applicate quando si afferma?<\/td>\nEstratti di configurazione e di registro certificati all’estrazione<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    Il momento esatto in cui l’incidente \u00e8 stato rilevato<\/h3>\n

    Il momento in cui una violazione dei dati personali viene rilevata determina la decorrenza delle settantadue ore ed \u00e8 la prima cosa che l’autorit\u00e0 guarda. La domanda che segue \u00e8 sempre la stessa: da quale evidenza risulta?<\/p>\n

    Nella pratica il riferimento temporale \u00e8 un alert del SIEM, una riga di log applicativo, un messaggio in una chat interna. Il limite \u00e8 comune: il file che registra l’orario e l’orologio che lo genera stanno sotto il controllo di chi deve dimostrare di aver agito con tempestivit\u00e0. Il dato non \u00e8 falso: regge finch\u00e9 nessuno lo contesta, e la contestazione colpisce esattamente l\u00ec, perch\u00e9 spostare di poche ore il rilevamento cambia la posizione dell’organizzazione rispetto al termine. In caso di rilevazione di una violazione dei dati personali il primo atto difensivo utile non \u00e8 aprire il modulo di notifica, bens\u00ec fissare fuori dal proprio perimetro l’ora in cui l’anomalia \u00e8 stata vista.<\/p>\n

    Il perimetro dei dati e dei sistemi coinvolti<\/h3>\n

    Il perimetro dichiarato nella notifica della violazione dei dati personali \u00e8 una ricostruzione fatta con le informazioni disponibili allora, e quasi sempre cambia. Nel frattempo i sistemi vengono isolati e riconfigurati, e lo stato su cui si basava la perimetrazione iniziale non esiste pi\u00f9. Conservare la schermata del pannello di controllo come appariva durante l’analisi resta l’unico modo per spiegare perch\u00e9 quella valutazione fosse ragionevole.<\/p>\n

    Le decisioni prese e da chi<\/h3>\n

    Le decisioni di gestione di un incidente vivono dentro comunicazioni interne. Chi notifica al Garante \u00e8 il titolare del trattamento, ma la catena passa dal DPO, dal responsabile della sicurezza, spesso da un fornitore esterno di incident response, ed \u00e8 ricostruibile solo da quei messaggi. La certificazione delle comunicazioni interne<\/a> evita di doverli cercare un anno dopo in una casella di posta.<\/p>\n

    Le misure adottate per contenere e rimediare<\/h3>\n

    Le misure adottate per contenere una violazione dei dati personali sono l’elemento su cui il Garante gradua la sanzione, perch\u00e9 rientrano fra i criteri dell’articolo 83. Dichiarare di aver isolato un segmento di rete o revocato credenziali \u00e8 semplice; provare quando sia stato fatto richiede l’estratto della configurazione com’era allora.<\/p>\n

    Perch\u00e9 i registri interni non bastano come prova<\/h2>\n

    Un registro interno \u00e8 un file modificabile prodotto dalla stessa organizzazione che deve dimostrare la propria diligenza nella gestione della violazione dei dati personali: ammissibile e utile, ma non neutrale rispetto a chi lo produce.<\/p>\n

    L’articolo 2712 del codice civile stabilisce che le riproduzioni informatiche formano piena prova dei fatti che rappresentano se colui contro il quale sono prodotte non ne disconosce la conformit\u00e0. Il meccanismo sta tutto in quella condizione: finch\u00e9 nessuno contesta il file vale, dopo il disconoscimento l’onere di dimostrarne la conformit\u00e0 torna a chi lo ha prodotto. Poich\u00e9 il registro delle violazioni \u00e8 obbligatorio anche quando la notifica non \u00e8 dovuta, e poich\u00e9 i log applicativi sono conservati da chi ha interesse a mostrarsi diligente, il disconoscimento \u00e8 la mossa da attendersi. L’obbligo NIS2 di conservare i log per diciotto mesi garantisce che il dato ci sia ancora: la conservazione dei log risolve la disponibilit\u00e0, non l’integrit\u00e0, e i due problemi vengono confusi.<\/p>\n

    La risposta all’incidente resta in capo al team di sicurezza; TrueScreen interviene sullo strato successivo, quello che rende opponibile a un terzo ci\u00f2 che il team ha visto e deciso.<\/p>\n

    File modificabili prodotti da chi deve dimostrare la propria diligenza<\/h3>\n

    Il conflitto \u00e8 strutturale, non dipende dalla buona fede di nessuno: chi gestisce l’infrastruttura pu\u00f2 scrivere sui registri che quell’infrastruttura produce. Nemmeno l’esportazione firmata dal responsabile risolve: l’attestazione viene ancora dall’interno. Il valore probatorio di una copia forense<\/a> dipende da chi la produce e da quando, e la catena di custodia digitale<\/a> documenta quel passaggio.<\/p>\n

    Il valore probatorio delle riproduzioni informatiche e la contestazione<\/h3>\n

    Una prova digitale viene attaccata sull’origine del contenuto, sull’orario a cui si riferisce e sull’integrit\u00e0 del file dalla raccolta all’esibizione. Sono le obiezioni pi\u00f9 frequenti a una schermata prodotta in giudizio<\/a> e valgono identiche per un estratto di registro allegato a una notifica. L’evidenza digitale regge quando quelle risposte non dipendono dalla parola di chi la esibisce. Il Garante, nella propria sintesi degli adempimenti<\/a>, chiede di documentare la violazione: documentare significa poter mostrare, non riferire.<\/p>\n

    Come raccogliere evidenze che reggono alla contestazione<\/h2>\n

    La raccolta utile avviene durante la gestione dell’incidente, perch\u00e9 ogni ora allontana i sistemi dallo stato che la notifica descriver\u00e0.<\/p>\n

    Cosa certificare durante la gestione dell’incidente<\/h3>\n

    Va certificato ci\u00f2 che verr\u00e0 dichiarato e che nel frattempo sparir\u00e0. Al rilevamento conviene certificare una schermata alla fonte<\/a> invece di salvarla in una cartella condivisa; per la sessione di analisi serve una registrazione dello schermo certificata<\/a>; per i portali e le aree di amministrazione consultate, che nessun indirizzo pubblico raggiunge, serve un’acquisizione forense di aree riservate<\/a>.<\/p>\n

    Quando certificare: la differenza fra raccolta immediata ed esportazione successiva<\/h3>\n

    A differenza dell’esportazione successiva, la certificazione al momento della raccolta fissa lo stato del sistema mentre quello stato esiste ancora. Un log esportato tre mesi dopo il data breach contiene righe datate, ma dal file non risulta n\u00e9 quando siano state lette la prima volta n\u00e9 che nessuno le abbia toccate. La conservazione a diciotto mesi assicura che il materiale sia ancora reperibile, ma non dice nulla su ci\u00f2 che \u00e8 accaduto dentro l’archivio nel frattempo. \u00c8 la ragione per cui certificare un file al momento dell’estrazione<\/a> d\u00e0 un risultato diverso dal certificarlo mesi dopo, a contenuto identico. Chi gestisce una violazione dei dati personali ha quindi poco tempo, perch\u00e9 la possibilit\u00e0 di fissare quello stato finisce quando i sistemi vengono ripristinati. Quando la verifica arriva a distanza, TrueScreen consente di risalire al momento esatto della raccolta, perch\u00e9 la marca temporale \u00e8 stata apposta da un terzo alla cattura e non ricostruita dopo.<\/p>\n

    Come certificare le evidenze di un incidente mentre lo si gestisce<\/h2>\n

    TrueScreen certifica le schermate dei sistemi di monitoraggio nel momento in cui vengono guardate, applicando marca temporale e sigillo elettronico tramite un prestatore di servizi fiduciari qualificato terzo. Il meccanismo \u00e8 quello della marca temporale eIDAS<\/a>: alla cattura viene calcolato l’hash del contenuto, e su quell’hash un QTSP esterno appone marca temporale e sigillo, cos\u00ec che ogni modifica successiva sia rilevabile e l’orario non provenga pi\u00f9 dall’organizzazione. Il risultato \u00e8 un’evidenza verificabile da un terzo anche a distanza di anni. Le organizzazioni usano TrueScreen per certificare estratti di registro, comunicazioni interne e pagine consultate durante la gestione di una violazione dei dati personali, in modo che l’evidenza non risulti prodotta unilateralmente da chi deve dimostrare la propria diligenza. TrueScreen non \u00e8 un prestatore di servizi fiduciari: integra il sigillo di un QTSP terzo, secondo i requisiti di un prestatore qualificato<\/a> fissati dal regolamento europeo.<\/p>\n

    Ore 23:14 di un venerd\u00ec, il centro operativo rileva un’anomalia nei volumi in uscita da un file server: il responsabile apre la console, guarda il grafico e isola il segmento. Luned\u00ec l’organizzazione notifica al Garante indicando le 23:14 come momento del rilevamento. Sei mesi dopo la domanda \u00e8 una sola: da quale evidenza risulta che alle 23:14 quella schermata mostrava quel dato? Il log del SIEM resta un file conservato dall’organizzazione stessa; la schermata certificata mentre veniva guardata \u00e8 un’altra cosa.<\/p>\n

    Dove il volume di eventi \u00e8 alto, la certificazione si richiama dal flusso di incident response tramite integrazione tramite API<\/a>, senza doversene ricordare alle undici di sera.<\/p>\n

    \n

    FAQ: le domande pi\u00f9 frequenti sulla notifica di una violazione dei dati personali<\/h2>\n
    \n
    \nDa quando decorrono le 72 ore, dall’incidente o dal rilevamento?<\/span>
    \n+<\/span><\/summary>\n
    Dal rilevamento. L’articolo 33 del GDPR fa decorrere il termine da quando il titolare “\u00e8 venuto a conoscenza” della violazione dei dati personali, non da quando l’incidente si \u00e8 verificato: fra i due momenti possono passare settimane. Se a scoprirla \u00e8 il responsabile del trattamento, il termine parte da quando informa il titolare.<\/div>\n<\/details>\n
    \nCome si dimostra il momento in cui l’incidente \u00e8 stato rilevato?<\/span>
    \n+<\/span><\/summary>\n
    Con un’evidenza esterna al sistema che lo ha generato. Un alert del SIEM registra un orario, ma il file di log e l’orologio che lo produce sono controllati da chi deve dimostrare la propria tempestivit\u00e0. Certificando la schermata dell’alert con TrueScreen, che applica marca temporale alla cattura tramite un QTSP terzo, il riferimento esce da quel perimetro.<\/div>\n<\/details>\n
    \nQuali informazioni deve contenere la notifica al Garante?<\/span>
    \n+<\/span><\/summary>\n
    L’articolo 33 paragrafo 3 del GDPR richiede la natura della violazione dei dati personali, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, i contatti del DPO, le probabili conseguenze e le misure adottate per porvi rimedio. Se non \u00e8 tutto disponibile, si trasmette in fasi successive.<\/div>\n<\/details>\n
    \nIl registro delle violazioni \u00e8 obbligatorio anche se non notifico?<\/span>
    \n+<\/span><\/summary>\n
    S\u00ec. L’articolo 33 paragrafo 5 del GDPR impone di documentare qualsiasi violazione dei dati personali, comprese quelle non notificate perch\u00e9 ritenute prive di rischio per gli interessati. Il registro data breach serve al Garante per verificare la valutazione del titolare, e la sua assenza \u00e8 contestabile a prescindere dalla notifica.<\/div>\n<\/details>\n
    \nChe differenza c’\u00e8 fra la notifica al Garante e quella al CSIRT Italia?<\/span>
    \n+<\/span><\/summary>\n
    Riguardano oggetti diversi. Quella al Garante deriva dal GDPR e guarda al rischio per le persone i cui dati sono coinvolti, con termine di 72 ore. Quella al CSIRT Italia deriva dalla direttiva NIS2, recepita dal d.lgs. 138\/2024, guarda all’impatto sul servizio e prevede preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Un incidente pu\u00f2 attivarle entrambe.<\/div>\n<\/details>\n
    \nUn log interno basta come prova davanti al Garante?<\/span>
    \n+<\/span><\/summary>\n
    \u00c8 ammissibile ma contestabile. Le riproduzioni informatiche formano piena prova dei fatti che rappresentano finch\u00e9 chi le subisce non ne disconosce la conformit\u00e0; dopo il disconoscimento l’onere torna a chi le ha prodotte. Poich\u00e9 i log e il registro delle violazioni dei dati personali sono file modificabili conservati da chi deve dimostrare la propria diligenza, il disconoscimento \u00e8 l’obiezione attesa.<\/div>\n<\/details>\n
    \nCosa succede se la notifica viene integrata dopo l’invio?<\/span>
    \n+<\/span><\/summary>\n
    L’integrazione successiva \u00e8 prevista dall’articolo 33 paragrafo 4 del GDPR quando le informazioni non sono disponibili tutte insieme, e non \u00e8 di per s\u00e9 una violazione purch\u00e9 il ritardo sia giustificato. Le versioni vengono per\u00f2 confrontate: se cambia il perimetro dichiarato o il momento del rilevamento, va spiegato da quale evidenza derivi la nuova ricostruzione.<\/div>\n<\/details>\n<\/div>\n<\/section>\n<\/div>\n<\/div>\n
    \n
    \n
    \n
    \n

    Certifica le evidenze di un incidente mentre lo gestisci<\/h2>\n

    Con TrueScreen le schermate, gli estratti di registro e le comunicazioni raccolte durante un incidente ricevono marca temporale e sigillo elettronico nel momento della cattura, tramite un prestatore di servizi fiduciari qualificato terzo.<\/p>\n

    Inizia ora<\/a>
    \n    Richiedi una demo<\/a>\n<\/div>\n

    \"TrueScreen\"<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"featured_media":58068,"template":"","class_list":["post-58064","articoli","type-articoli","status-publish","has-post-thumbnail","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/truescreen.io\/it\/wp-json\/wp\/v2\/articoli\/58064","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/truescreen.io\/it\/wp-json\/wp\/v2\/articoli"}],"about":[{"href":"https:\/\/truescreen.io\/it\/wp-json\/wp\/v2\/types\/articoli"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/truescreen.io\/it\/wp-json\/wp\/v2\/media\/58068"}],"wp:attachment":[{"href":"https:\/\/truescreen.io\/it\/wp-json\/wp\/v2\/media?parent=58064"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}