Data breach sul sito: le 72 ore spiegate a chi ha un e-commerce

Hai un data breach quando qualcuno ruba i dati dei clienti dal tuo sito. Se ne hai la ragionevole certezza, hai 72 ore per notificarlo al Garante privacy. Fa eccezione il caso in cui sia improbabile un rischio per le persone. Il conto non parte dall’attacco, ma da quel momento.

In questo articolo trovi cosa dicono le Linee guida europee, cosa scrivere nella notifica, quando avvisare i clienti e cosa fare nelle prime ore. È pensato per chi ha un e-commerce o un sito che raccoglie dati di clienti. Non sostituisce un consulente legale o l’eventuale responsabile della protezione dei dati (DPO).

Quando iniziano a contare le 72 ore del data breach?

Iniziano quando il titolare del trattamento, cioè la tua azienda, viene a conoscenza della violazione. Le Linee guida 9/2022 sono del Comitato europeo per la protezione dei dati (EDPB), l’organo che riunisce le autorità privacy dei Paesi UE. Secondo l’EDPB hai «conoscenza» quando hai un ragionevole grado di certezza che un incidente abbia compromesso dati personali.

Subito dopo la prima segnalazione puoi fare una breve indagine per capire se è davvero successo. In quel periodo non sei ancora considerato a conoscenza. L’indagine però deve partire subito, senza rimandare.

Un esempio dell’EDPB: un criminale ti scrive chiedendo un riscatto dopo aver violato il sistema. Una volta verificato l’attacco, non ci sono dubbi che tu ne sia a conoscenza.

Cosa conta come violazione dei dati su un sito?

Conta qualsiasi incidente di sicurezza che compromette dati personali. Per esempio un accesso non autorizzato al gestionale o un codice malevolo sul sito che copia i moduli. O ancora credenziali dei clienti pubblicate online, o dati persi senza copia. Nelle Linee guida 01/2021 l’EDPB riporta più casi. Uno riguarda il sito di un’agenzia per il lavoro, con un codice malevolo che catturava i dati dei moduli. Servivano sia la notifica al Garante sia l’avviso alle persone coinvolte.

Anche un ransomware, cioè un virus che blocca i dati e chiede un riscatto, può essere una violazione. Se l’attaccante ha avuto accesso ai dati, si parla di violazione di riservatezza: anche se ripristini tutto dal backup, potrebbe servire comunque la notifica. Perdere l’unica copia dei dati, cifrata dal ransomware, è una perdita di dati.

Devo sempre notificare la violazione al Garante?

No. La notifica non serve se è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone. Ma devi documentare la violazione e anche il motivo per cui hai deciso di non notificare. Nel dubbio, dice l’EDPB, è meglio notificare.

Per valutare il rischio l’EDPB indica questi criteri:

• il tipo di violazione;
• la natura e la sensibilità dei dati;
• il numero di persone coinvolte e quanto è facile identificarle;
• la gravità delle conseguenze.

Dati finanziari e documenti di identità insieme ad altri dati possono servire per furti di identità.

La cifratura può cambiare la valutazione. In linea di principio non serve notificare se valgono tre condizioni insieme. I dati erano cifrati con un metodo aggiornato, la chiave non è compromessa e hai una copia. Il rischio va però rivalutato nel tempo, per esempio se la chiave viene sottratta.

Cosa devo scrivere nella notifica di data breach?

La notifica deve contenere almeno quattro cose. Primo: la natura della violazione, con le categorie e il numero approssimativo di persone e registrazioni coinvolte. Secondo: nome e contatti del DPO o di un altro referente. Terzo: le probabili conseguenze. Quarto: le misure già prese o previste, comprese quelle per limitare i danni.

Non serve avere cifre precise: l’EDPB ammette stime. Se mancano dettagli, puoi notificare a fasi, avvisando il Garante già nella prima comunicazione che ne seguiranno altri. Se superi le 72 ore devi spiegare il motivo del ritardo, ma il ritardo non deve diventare la regola.

Dal 1° luglio 2021 la notifica si fa con la procedura online indicata dal Garante nella pagina Violazioni di dati personali (Data Breach). Lì trovi anche un facsimile per vedere in anteprima le informazioni richieste e uno strumento di autovalutazione.

Quando devo avvisare anche i miei clienti?

Quando è probabile un rischio alto per le persone. La soglia è più alta di quella per il Garante. Può essere il caso di dati di pagamento, credenziali o storico acquisti collegato all’identità, ma ogni caso va valutato. Se il rischio è alto, devi avvisare i clienti senza ingiustificato ritardo.

L’EDPB porta l’esempio di un marketplace online in cui un attaccante pubblica nome utente, password e storico acquisti. Prevede la notifica all’autorità e la comunicazione agli utenti, con reset forzato delle password.

Il messaggio deve essere:

• chiaro, con almeno la descrizione della violazione, le probabili conseguenze, le misure prese e un referente a cui rivolgersi;
• pratico, con consigli concreti, per esempio cambiare la password;
• dedicato, non mescolato a una newsletter;
• diretto: email, SMS o avviso sul sito. Un comunicato o un articolo sul blog da soli non bastano, e non usare un canale compromesso dalla violazione.

Non serve avvisare i clienti in tre casi:

• i dati erano resi incomprensibili, per esempio con una cifratura aggiornata;
• hai poi adottato misure che rendono improbabile l’alto rischio;
• l’avviso individuale richiederebbe uno sforzo sproporzionato: allora serve una comunicazione pubblica equivalente.

Il Garante può comunque imporre l’avviso.

E se la violazione parte dal mio hosting o dall’agenzia?

Il fornitore deve avvisarti, ma la responsabilità di notificare resta tua. Chi tratta i dati per tuo conto, il cosiddetto responsabile del trattamento, deve avvisarti senza ingiustificato ritardo. Non deve prima valutare il rischio: lo fai tu. In linea generale per te le 72 ore partono quando il fornitore ti informa. Se lo scopri prima, conta quel momento. Vale se hai nominato il fornitore responsabile del trattamento con un contratto: controlla di averlo.

Questo vale anche se il fornitore notifica per tuo conto. Per questo conviene leggere ora i contratti con hosting, agenzia e piattaforme: chi ti avvisa, in quanto tempo e con quali informazioni. Sul tema dei fornitori extra UE c’è un altro articolo: fornitori USA e dati dei clienti.

Cosa rischio se non notifico?

Secondo l’EDPB, l’omessa notifica o comunicazione può portare a una sanzione amministrativa. Il tetto è 10 milioni di euro o, per un’impresa, il 2% del fatturato mondiale annuo, se superiore. Sono massimi: la sanzione effettiva dipende dal caso. La violazione degli obblighi di sicurezza è un’infrazione distinta e può essere sanzionata in aggiunta. Non documentare le violazioni può portare a sanzioni.

Quanto è diffuso il problema? Secondo la sintesi della Relazione 2025 del Garante, del 2 luglio 2026, nel 2025 sono state notificate 2.415 violazioni. Sono il 10% in più del 2024: le notifiche sono aumentate. Nel settore privato sono 1.901 e hanno riguardato soprattutto piccole e medie imprese. Il dato conta le notifiche, non gli attacchi totali.

E con la NIS2 cambia qualcosa?

Sì, se la tua azienda rientra tra i soggetti NIS2. In quel caso, per un incidente significativo, il D.Lgs. 138/2024 (art. 25) prevede due passaggi verso il CSIRT Italia, il centro nazionale di risposta agli incidenti informatici. Prima una pre-notifica entro 24 ore, poi una notifica entro 72 ore da quando ne sei venuto a conoscenza. Sono notifiche diverse da quella al Garante, con destinatari diversi.

Avere un e-commerce non basta per essere soggetto NIS2: contano il settore in cui opera la tua azienda e la sua dimensione. Se non sai se rientri, parti dalla pagina su compliance e NIS2. L’obbligo parte in date diverse, a seconda di quando l’azienda è stata inserita nell’elenco ACN. Per le scadenze di 24 e 72 ore leggi la guida alla notifica degli incidenti NIS2.

Come si presenta in pratica? Un esempio

È un esempio ipotetico. Giovedì sera un cliente ti scrive: ha ricevuto una email che cita il suo ultimo ordine, ma non l’hai mandata tu. Segni l’ora e controlli i registri di accesso del sito. Trovi un accesso sospetto all’area amministrativa, avvenuto la notte prima.

Ora hai la ragionevole certezza che i dati siano stati compromessi, quindi le 72 ore sono partite. Conservi i registri, cambi le credenziali e valuti il rischio: nome, indirizzo e storico degli ordini possono servire per truffe mirate. In questo esempio il rischio risulta alto. Notifichi al Garante, anche a fasi, e avvisi i clienti con un messaggio dedicato. Infine compili il registro. In un altro caso la valutazione può cambiare.

Come ti aiuta Aeon Lab a prepararti

Come MSP e MSSP di Roma ci occupiamo di sicurezza, aggiornamenti e backup dei siti web. Con il servizio di assistenza IT e di backup e disaster recovery ti aiutiamo a preparare la procedura prima che serva. Il primo passo è una fotografia della tua situazione, gratuita. Se sei a Roma o provincia possiamo venire a vederla sul posto, altrimenti facciamo una piccola analisi da remoto. Se emergono problemi seri ti proponiamo subito un preventivo, altrimenti nessun impegno. Poi ti aiutiamo su questi punti:

• Procedura minima in caso di violazione: chi chiama chi, cosa si annota e quando.
• Registro delle violazioni pronto da compilare.
• Backup separati e prove di ripristino.
• Controllo degli accessi con password robuste e autenticazione a due fattori.
• Aggiornamenti di sito, plugin e server. Ne parliamo anche nell’articolo sulle falle PHP2Shell.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Richiedi la fotografia della tua situazione →

Domande frequenti

Cosa succede se supero le 72 ore?

Puoi comunque notificare, ma devi spiegare i motivi del ritardo. Il ritardo non deve diventare la regola, quindi conviene avere un referente e una procedura già scritti prima che serva.

Se non ho tutte le informazioni, posso aspettare?

No. Puoi notificare a fasi: avvisa il Garante nella prima comunicazione che seguiranno altri dettagli e completa appena possibile.

Se ripristino tutto dal backup, devo notificare lo stesso?

Non sempre. Se l’attaccante ha avuto accesso ai dati, può esserci una violazione di riservatezza anche se tutto torna al suo posto. Va valutato il rischio e, in ogni caso, documentato.

Se le password dei clienti erano protette, devo avvisarli?

Per legge spesso no, ma conviene avvisarli lo stesso. Nel caso descritto dall’EDPB, un sito con 1.200 password salvate con un hash robusto, non era richiesta la notifica, ma l’avviso agli utenti era consigliato. Ogni caso va valutato.

Il mio fornitore può notificare al posto mio?

Solo se lo autorizzi, e la responsabilità legale resta tua. Il fornitore deve comunque avvisarti senza ingiustificato ritardo.

In breve: cosa conviene fare già oggi

Le 72 ore del data breach partono quando sai, con ragionevole certezza, che i dati sono stati compromessi. Valuta il rischio, notifica a fasi se serve, avvisa i clienti se il rischio è alto e tieni sempre il registro. Prepararsi prima ti evita di decidere sotto pressione. Per i controlli di base su accessi, backup e aggiornamenti c’è la checklist dei 12 controlli di sicurezza. Questo articolo fa parte di una serie sul GDPR del sito. Le altre guide: la guida alle 10 verifiche, il cookie banner a norma e i tracking pixel nelle email.

Pubblicato il 6 novembre 2026. Ultimo aggiornamento: 6 novembre 2026.

Fonti

• EDPB, Linee guida 9/2022 sulla notifica delle violazioni dei dati personali (v2.0), adottate il 28 marzo 2023 (consultate il 5 novembre 2026).
• EDPB, Linee guida 01/2021 con esempi di notifica, pubblicate a gennaio 2022 sul sito dell’EDPB (consultate il 5 novembre 2026).
• Garante per la protezione dei dati personali, Violazioni di dati personali (Data Breach) (consultata il 5 novembre 2026).
• Garante per la protezione dei dati personali, Relazione sull’attività 2025, sintesi per la stampa, 2 luglio 2026.
• Normattiva, D.Lgs. 138/2024, art. 25 (consultato il 5 novembre 2026).