Data breach e accountability: il nuovo modello comune EDPB per la notifica delle violazioni di dati personali

Sommario: 1. Un modello comune europeo: la precisazione cronologica e la sua portata – 2. La violazione dei dati personali nel sistema del GDPR – 3. Dal formulario alla ricostruzione istruttoria dell’incidente – 4. Le informazioni richieste: dalla materialità dell’evento alla valutazione del rischio – 5. Rischio, mitigazione e comunicazione agli interessati – 6. Responsabili, contitolari e flussi di escalation – 7. Le implicazioni per imprese, professionisti, enti pubblici e PMI – 8. Conclusioni

1. Un modello comune europeo: la precisazione cronologica e la sua portata

L’European Data Protection Board ha adottato un Template for personal data breach notification, versione 1.0, in data 8 giugno 2026, ai fini della consultazione pubblica. La diffusione pubblica dell’iniziativa e l’apertura della consultazione risultano, tuttavia, collocate al 10 giugno 2026; la raccolta delle osservazioni resta aperta sino al 5 agosto 2026. Alla data odierna, pertanto, il documento non rappresenta ancora un formulario definitivamente implementato dalle autorità nazionali, poiché lo stesso EDPB ha espressamente riservato a un momento successivo alla consultazione la definizione della tempistica per la sua concreta adozione da parte delle autorità di controllo dello Spazio economico europeo.

La precisazione non è soltanto nominalistica. Il documento non costituisce un atto normativo dell’Unione, né introduce un’autonoma fonte di obblighi ulteriori rispetto al Regolamento (UE) 2016/679. Esso si configura, più propriamente, come un modello tecnico-organizzativo comune, predisposto per essere incorporato dalle autorità di controllo in strumenti informatici di notifica. L’obiettivo dichiarato è quello di rendere più uniforme, strutturata e intelligibile la trasmissione delle informazioni che l’art. 33 GDPR già richiede al titolare del trattamento, facilitando tanto la tempestività della segnalazione quanto la successiva istruttoria dell’autorità competente.

L’iniziativa si colloca, dunque, nel perimetro della funzione di coerenza assegnata all’EDPB dall’art. 70 GDPR. Il Comitato è infatti chiamato a emanare linee guida, raccomandazioni e migliori prassi sia per l’individuazione delle violazioni dei dati personali e del ritardo ingiustificato di cui all’art. 33, sia per la definizione delle circostanze nelle quali una violazione può presentare un rischio elevato ai sensi dell’art. 34. Il nuovo modello non sembra sostituire né modificare direttamente il contenuto di tali disposizioni: tende piuttosto a tradurle in una grammatica informativa comune, orientata all’interoperabilità dei processi notificatori.

2. La violazione dei dati personali nel sistema del GDPR

L’art. 4, n. 12), GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali trasmessi, conservati o comunque trattati. La definizione, volutamente ampia, comprende quindi non soltanto le intrusioni informatiche e gli attacchi ransomware, ma anche lo smarrimento di documenti cartacei, l’invio di informazioni al destinatario errato, l’errata configurazione di archivi cloud, l’uso improprio di privilegi di accesso e le indisponibilità di sistemi idonee a pregiudicare la disponibilità dei dati.

La nozione di data breach non coincide, però, con l’obbligo di notifica. L’art. 33 GDPR impone al titolare di notificare la violazione all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che l’evento presenti un rischio per i diritti e le libertà delle persone fisiche. Il ritardo oltre tale soglia temporale non determina l’automatica irricevibilità della notifica, ma deve essere motivato.

Diversa è la comunicazione agli interessati disciplinata dall’art. 34 GDPR. Essa è dovuta quando la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche e deve essere effettuata senza ingiustificato ritardo, con un linguaggio semplice e chiaro. La comunicazione non è tuttavia necessaria, tra l’altro, quando i dati compromessi fossero già protetti da misure che li rendano incomprensibili a soggetti non autorizzati, quando siano state adottate misure successive idonee a neutralizzare il rischio elevato, oppure quando il contatto individuale implichi uno sforzo sproporzionato e sia quindi sostituito da una comunicazione pubblica ugualmente efficace.

Vi è poi un terzo piano, spesso sottovalutato nella gestione operativa dell’incidente: la documentazione interna. L’art. 33, par. 5, GDPR impone al titolare di documentare ogni violazione, comprese le circostanze, le conseguenze e le misure adottate per porvi rimedio. Si tratta di un obbligo autonomo, che opera anche quando l’evento non richiede né la notifica all’autorità né la comunicazione agli interessati. Il registro dei data breach non è, dunque, un adempimento accessorio: è lo strumento attraverso cui il titolare rende verificabile il percorso valutativo che lo ha condotto a notificare, a non notificare, a comunicare o a non comunicare l’incidente.

3. Dal formulario alla ricostruzione istruttoria dell’incidente

Il tratto più rilevante del modello EDPB consiste nella trasformazione della notifica da dichiarazione sintetica dell’accaduto a rappresentazione strutturata dell’intero ciclo di gestione dell’incidente. Il template prevede infatti una prima distinzione tra notifica nuova e notifica successiva, nonché tra segnalazione completa, incompleta e revoca. In tal modo viene valorizzata la possibilità, espressamente ammessa dall’art. 33, par. 4, GDPR, di trasmettere le informazioni per fasi successive quando non sia possibile acquisirle contestualmente, senza ulteriore ingiustificato ritardo.

La scelta è significativa soprattutto per gli incidenti complessi, nei quali la ricostruzione forense richiede tempo. Il titolare non è autorizzato a rinviare la notifica sino al completamento assoluto dell’indagine tecnica; deve, invece, distinguere tra le informazioni già disponibili, quelle ragionevolmente stimabili e quelle ancora in corso di accertamento. Le Linee guida EDPB 9/2022 chiariscono che la mancanza di dati precisi, ad esempio sul numero esatto degli interessati coinvolti, non deve impedire una notifica tempestiva, potendosi ricorrere a stime e aggiornamenti successivi.

In questa prospettiva, assumono rilievo le sezioni del modello dedicate alla cronologia dell’evento: momento iniziale e finale della violazione, data della scoperta, momento della conoscenza da parte del titolare, eventuale comunicazione da parte di soggetti terzi e ragioni del ritardo. Non si tratta di informazioni meramente descrittive. Esse consentono all’autorità di verificare sia il rispetto della soglia delle settantadue ore sia l’effettiva adeguatezza dell’assetto organizzativo predisposto dal titolare per rilevare, classificare ed escalare gli incidenti.

La tempestività, infatti, non è soltanto una questione di calendario. È l’esito di un sistema di rilevazione e governo degli eventi: monitoraggio dei log, definizione delle responsabilità, canali di segnalazione interna, disponibilità di competenze tecniche e giuridiche, capacità di convocare rapidamente le funzioni interessate e disponibilità di flussi decisionali predefiniti. Le Linee guida 9/2022 riconducono espressamente la capacità di individuare, affrontare e segnalare tempestivamente una violazione al più generale dovere di adottare misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR.

4. Le informazioni richieste: dalla materialità dell’evento alla valutazione del rischio

Il modello organizza le informazioni attorno a cinque nuclei essenziali: identificazione del titolare e dei referenti; dinamica dell’incidente; categorie e dimensione dei dati e degli interessati coinvolti; valutazione delle conseguenze e del rischio; misure di contenimento, mitigazione e prevenzione.

Sotto il primo profilo, il template richiede dati sul titolare, sul soggetto che effettua la segnalazione, sul responsabile della protezione dei dati o su altro punto di contatto, nonché sull’eventuale coinvolgimento di responsabili del trattamento, contitolari o ulteriori soggetti. La struttura rende evidente che la notifica non è un atto isolato del DPO, né una pratica esclusivamente informatica: è un atto imputabile al titolare, il quale deve poter dimostrare chi ha raccolto le informazioni, chi ha compiuto la valutazione e quali soggetti abbiano concorso alla gestione dell’evento.

Quanto alla materialità dell’incidente, il modello distingue espressamente le violazioni di riservatezza, integrità e disponibilità. La tripartizione, consolidata nella prassi europea, evita che l’attenzione resti assorbita dai soli attacchi esterni o dalle sole esfiltrazioni di dati. La perdita definitiva di informazioni essenziali, la temporanea indisponibilità di un sistema sanitario, l’alterazione non autorizzata di dati contabili o l’accesso improprio a una cartella condivisa possono produrre effetti differenti, ma egualmente rilevanti sotto il profilo della protezione dei dati personali.

Il modello richiede inoltre di contestualizzare la violazione indicando il tipo di incidente, la sua causa, i sistemi, software, servizi e infrastrutture interessati, la localizzazione delle risorse e le misure di sicurezza già in vigore al momento dell’evento. Tale impostazione è particolarmente utile perché impedisce una lettura retrospettiva e astratta dell’accaduto. L’autorità non viene chiamata a valutare soltanto il danno prodotto, ma anche l’idoneità delle misure preventive concretamente presenti prima della violazione: cifratura, pseudonimizzazione, autenticazione multifattore, backup, segregazione degli accessi, formazione del personale, audit periodici, procedure di gestione degli incidenti.

Il terzo nucleo informativo riguarda le categorie e il numero degli interessati, le categorie dei dati coinvolti e il numero delle registrazioni compromesse. La distinzione non è ridondante. Un incidente che coinvolga pochi interessati ma dati sanitari, credenziali di accesso o informazioni finanziarie può presentare un rischio più elevato di un evento quantitativamente più esteso ma relativo a dati meno sensibili. Analogamente, la presenza di minori, pazienti, dipendenti, studenti o persone vulnerabili impone una valutazione qualitativa più rigorosa, coerente con la natura concreta degli effetti potenzialmente pregiudizievoli.

5. Rischio, mitigazione e comunicazione agli interessati

Il passaggio centrale resta la valutazione del rischio per i diritti e le libertà delle persone fisiche. Il template induce il titolare a esplicitare non soltanto l’esito della valutazione, ma anche la metodologia adottata, i fattori considerati, la natura degli impatti potenziali e la loro gravità. Si tratta di un’evoluzione coerente con il principio di accountability: non basta dichiarare che il rischio sia «basso», «medio» o «alto»; occorre rendere intellegibile il ragionamento che sorregge tale conclusione.

La valutazione deve misurarsi con possibili conseguenze quali perdita del controllo sui dati, furto d’identità, frode, pregiudizio economico, danno reputazionale, discriminazione, compromissione della riservatezza professionale, limitazione dei diritti o danno fisico e psicologico. Non è una tassonomia da completare per scrupolo formale. È la base necessaria per decidere se ricorra l’obbligo di notifica ex art. 33 GDPR e, a un livello più elevato di gravità, quello di comunicazione individuale previsto dall’art. 34 GDPR.

Il modello distingue opportunamente le misure adottate per gestire e mitigare l’incidente dalle misure permanenti destinate a prevenire il ripetersi di violazioni analoghe. Le prime si collocano nella fase immediata di contenimento: blocco dell’accesso abusivo, disabilitazione delle credenziali, ripristino del backup, conservazione delle evidenze, analisi forense, assistenza agli interessati. Le seconde hanno una funzione correttiva e prospettica: revisione delle policy, rafforzamento dell’autenticazione, segmentazione dei privilegi, aggiornamento dei sistemi, verifica dei fornitori, formazione mirata del personale.

Ne deriva che il data breach non può essere trattato come un episodio concluso con l’invio del modulo. La notifica costituisce, al contrario, il punto di emersione di una possibile carenza organizzativa e il presupposto per un’azione correttiva documentabile. In questa chiave, il modello EDPB presenta un’indubbia utilità: induce i titolari a collegare la gestione dell’evento alla più ampia architettura della sicurezza del trattamento.

6. Responsabili, contitolari e flussi di escalation

Particolare attenzione merita la presenza, nel template, di campi dedicati ai responsabili del trattamento, ai contitolari e ad altri soggetti coinvolti. L’art. 33, par. 2, GDPR impone al responsabile che venga a conoscenza di una violazione di informare il titolare senza ingiustificato ritardo. La valutazione del rischio, la decisione sulla notifica e l’eventuale comunicazione agli interessati restano, tuttavia, nella sfera di responsabilità del titolare.

Sul piano contrattuale, ciò richiede clausole che disciplinino in modo puntuale i tempi di allerta del responsabile, il contenuto minimo delle informazioni iniziali, le modalità di aggiornamento, l’accesso alle evidenze tecniche, la cooperazione nell’analisi forense e la ripartizione delle attività comunicative. La previsione contrattuale di un generico obbligo di «collaborazione» non è più sufficiente a sostenere una risposta efficiente nel ristretto arco temporale imposto dall’art. 33 GDPR.

Analoghe considerazioni valgono per i contitolari. Le Linee guida EDPB 9/2022 raccomandano che gli accordi ex art. 26 GDPR definiscano espressamente chi assuma la funzione di coordinamento e chi sia responsabile dell’adempimento degli obblighi di cui agli artt. 33 e 34 GDPR. In assenza di una chiara governance preventiva, la crisi tende a generare un effetto paradossale: la moltiplicazione dei soggetti coinvolti non aumenta le garanzie, ma rallenta la decisione.

7. Le implicazioni per imprese, professionisti, enti pubblici e PMI

Per le grandi organizzazioni, il modello europeo può rappresentare un utile strumento di normalizzazione dei flussi tra cybersecurity, ufficio legale, DPO, compliance, comunicazione e direzione aziendale. Per le PMI e i professionisti, esso può invece svolgere una funzione di semplificazione, poiché rende più chiaro il set informativo da predisporre prima che l’incidente si verifichi. L’EDPB sottolinea espressamente che l’uso di opzioni predefinite e istruzioni di compilazione è destinato a ridurre tempi e costi, in particolare per le organizzazioni prive di DPO o risorse legali dedicate.

Gli enti pubblici dovranno, inoltre, coordinare il futuro modello comune con gli eventuali obblighi settoriali di notifica di incidenti informatici, con le procedure interne di sicurezza e con la disciplina nazionale applicabile. In Italia, il Garante già mette a disposizione una procedura telematica per la notifica delle violazioni e un facsimile informativo dei contenuti da comunicare; l’eventuale implementazione del template EDPB richiederà quindi una verifica di compatibilità tra il formulario europeo e l’attuale canale nazionale.

In ogni caso, il presidio effettivo non risiede nel modulo, ma nella preparazione organizzativa. Occorre aggiornare il registro delle violazioni, predisporre schede di raccolta immediata delle evidenze, definire soglie di escalation, individuare sostituti del DPO e dei referenti tecnici, testare periodicamente le procedure di incident response e coordinare gli obblighi privacy con i piani di continuità operativa e di comunicazione di crisi.

8. Conclusioni

Il Template for personal data breach notification adottato dall’EDPB segna un passaggio significativo verso l’armonizzazione europea delle modalità di notifica delle violazioni di dati personali. Non introduce una nuova fattispecie di illecito, né sostituisce le regole degli artt. 33 e 34 GDPR; tuttavia, rende più visibile il contenuto sostanziale di quegli obblighi, imponendo una ricostruzione ordinata dell’evento, del rischio, delle misure adottate e delle responsabilità coinvolte.

La sua futura implementazione potrà favorire maggiore uniformità tra le autorità di controllo e migliorare la qualità delle notifiche, ma produrrà effetti concreti soprattutto sul versante interno dei titolari. La notifica è destinata a divenire sempre meno una comunicazione reattiva e sempre più un documento di accountability: una traccia istruttoria capace di dimostrare come l’organizzazione abbia rilevato l’incidente, valutato il rischio, protetto gli interessati e corretto le vulnerabilità emerse.

È questa, in definitiva, la lezione più utile del nuovo modello: la compliance non comincia quando il data breach viene notificato; si misura, assai prima, nella capacità dell’organizzazione di sapere cosa fare quando il sistema — tecnico, umano o procedurale — smette di funzionare come dovrebbe.

Fonti essenziali

• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, in particolare artt. 4, n. 12), 32, 33, 34 e 70.

• European Data Protection Board, Template for personal data breach notification, versione 1.0, adottato per consultazione pubblica l’8 giugno 2026; consultazione aperta dal 10 giugno al 5 agosto 2026.

• European Data Protection Board, Guidelines 9/2022 on personal data breach notification under GDPR, versione 2.0, 4 aprile 2023.

• European Data Protection Board, Guidelines 01/2021 on Examples regarding Personal Data Breach Notification, 3 gennaio 2022.

• European Data Protection Board, Guidelines on Personal data breach notification under Regulation 2016/679, WP250 rev.01, fatte proprie dall’EDPB il 25 maggio 2018 e successivamente superate dalle Linee guida 9/2022.

• Garante per la protezione dei dati personali, pagina tematica «Data Breach – Violazioni di dati personali».