security 1. Una fuga di dati, due colpe distinte
Il Garante per la protezione dei dati personali ha sanzionato per 85.000 euro The European House - Ambrosetti S.p.A. a seguito di un data breach che ha coinvolto oltre 61.000 persone: nomi, cognomi, indirizzi email, username e password. Il provvedimento n. 280/2026, adottato il 17 aprile 2026, non punisce un solo errore ma due condotte separate e cumulabili.
lock 2. La prima colpa: misure di sicurezza inadeguate
L'accesso non autorizzato è stato reso possibile da una vulnerabilità tecnica, ma il Garante ha rilevato che le misure di protezione erano sotto lo standard richiesto.
Garante Privacy, provv. n. 280/2026
La società conservava alcune password in chiaro e altre con tecniche di cifratura non conformi agli standard di sicurezza avanzati, oltre a mantenere credenziali di sistemi non più in uso. I titolari del trattamento devono adottare misure tecniche e organizzative adeguate e garantire la gestione tempestiva e trasparente delle violazioni di dati personali.
schedule 3. La seconda colpa: la notifica arrivata in ritardo
Il Regolamento europeo sulla protezione dei dati impone di notificare una violazione all'autorità di controllo senza ingiustificato ritardo, e comunque entro 72 ore da quando se ne è venuti a conoscenza. Nel caso Ambrosetti, la comunicazione è arrivata oltre questo termine: una seconda violazione, autonoma dalla prima, che il Garante ha valutato separatamente.
La regola delle 72 ore
Il titolare del trattamento che rileva una violazione di dati personali deve notificarla al Garante Privacy senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che comporti un rischio per i diritti e le libertà delle persone.
| Violazione | Cosa è successo | Norma di riferimento |
|---|---|---|
| Sicurezza inadeguata | Password in chiaro, cifratura non conforme, credenziali dismesse non eliminate | Misure tecniche e organizzative adeguate (RGPD) |
| Notifica tardiva | Comunicazione della violazione oltre i termini | Obbligo di notifica senza ingiustificato ritardo (RGPD) |
business_center 4. Non è un problema solo delle grandi società
Ambrosetti è una grande società di consulenza, ma i principi richiamati dal Garante valgono per qualunque impresa che tratti dati personali di clienti o dipendenti: uno studio professionale, un negozio con un database clienti, una piccola azienda con un gestionale online. La dimensione dell'organizzazione non riduce l'obbligo di adottare misure adeguate.
fact_check 5. La domanda da farsi prima che succeda
Il punto che il provvedimento mette in luce è procedurale, non solo tecnico: chi tratta dati personali dovrebbe sapere, prima che accada un incidente, chi deve essere avvisato, in che tempi e con quali contenuti. Un piano di risposta alla violazione dei dati, anche essenziale, riduce il rischio di sommare alla falla di sicurezza anche una gestione tardiva.
support_agent 6. Prevenire è più economico che sanare
Verificare la conformità delle misure di sicurezza e predisporre una procedura per la gestione dei data breach costa molto meno di una sanzione, e ancora meno del danno reputazionale. Se la tua azienda vuole una valutazione della propria esposizione in materia di protezione dei dati, lo Studio Legale BCS offre una consulenza dedicata. Puoi prenotare un primo confronto su cal.com/bcslegal/consulenza.