TL;DR per il DPO
Trenitalia ha comunicato ai clienti un data breach circa otto mesi dopo l'attacco. Promemoria fondamentale: art. 33 (notifica al Garante entro 72h) e art. 34 (comunicazione agli interessati senza ingiustificato ritardo, se rischio elevato) sono obblighi DISTINTI. La comunicazione tardiva vanifica lo scopo dell'art. 34: permettere alle persone di difendersi subito (cambiare password, diffidare di email sospette, monitorare i conti).
I tre punti che contano
- La comunicazione agli interessati serve a LORO, non al titolare: cambiare credenziali, alzare la guardia sul phishing, monitorare movimenti. Dopo otto mesi, il danno da campagne di phishing mirate puo' essere gia' fatto.
- Il caso Intesa (31,8 mln) ha gia' mostrato che il Garante misura anche i TEMPI e la completezza: notifiche formalmente 'complete' ma sostanzialmente lacunose, o integrate in ritardo, aggravano la posizione del titolare.
- Se si sceglie di NON comunicare (perche' il rischio non e' elevato o si applicano le eccezioni art. 34.3), la valutazione va documentata subito, per iscritto: e' l'unica difesa credibile in un'istruttoria.
Cosa fare adesso, in pratica
Nel piano data breach di ogni cliente devono esistere DUE binari con tempi propri: (1) valutazione e notifica al Garante entro 72h; (2) valutazione del rischio per gli interessati e, se elevato, comunicazione rapida con indicazioni pratiche di autotutela. Prepara i template di comunicazione PRIMA che serva: nel panico dell'incidente non si scrive lucidamente. Il timer 72h della piattaforma copre il binario 1; il registro eventi documenta le decisioni sul binario 2.
Perche' conta per i tuoi clienti
Ogni titolare tende a rimandare la comunicazione agli interessati per paura del danno reputazionale. Il paradosso e' che il ritardo moltiplica sia il danno reputazionale (la notizia esce comunque, e peggio) sia l'esposizione sanzionatoria. Per un DPO questo caso e' l'esempio concreto da portare in formazione: la trasparenza rapida e' anche la strategia meno costosa.
Fonte ufficiale:Federprivacy - Trenitalia comunica un data breach ai clienti otto mesi dopo l'attacco hacker (4 luglio 2026)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
