Quanto può costare un Data Breach a PMI e professionisti?

Quando si verifica una violazione dei dati personali, entrano in gioco diversi livelli di responsabilità. Dal punto di vista normativo, il titolare del trattamento deve attivarsi immediatamente. Dal punto di vista economico, iniziano a sommarsi costi diretti e indiretti.

Le conseguenze possono includere sanzioni amministrative rilevanti previste dal GDPR data breach, richieste di risarcimento da parte dei clienti, consulenze legali e costi di comunicazione. E non va dimenticato il danno alla reputazione, che per molte PMI rappresenta il colpo più duro.

Una cosa è perdere un file. Un’altra è perdere la fiducia del mercato.

In caso di accertata violazione del GDPR, il Garante per la protezione dei dati personali può intervenire imponendo specifiche misure correttive, come previsto dall’articolo 58, paragrafo 2, del Regolamento UE 2016/679.³

Questo significa che, oltre a valutare l’evento in sé, l’Autorità può verificare se l’impresa abbia adottato misure tecniche e organizzative adeguate per garantire la sicurezza dei dati coinvolti.

Se dovessero emergere carenze nella protezione dei dati, possono essere applicate sanzioni amministrative pecuniarie significative: fino a 10 milioni di euro oppure, nel caso di imprese, fino al 2% del fatturato annuo mondiale.⁴ Una prospettiva che rende evidente quanto sia strategico non solo prevenire un data breach, ma poter dimostrare di aver fatto tutto il possibile per evitarlo.

Il quadro normativo è molto chiaro. L'articolo 33 del regolamento UE 2016/679⁵ impone che, in caso di data breach, il titolare del trattamento notifichi l’evento all’autorità garante entro 72 ore dal momento in cui ne viene a conoscenza.

La procedura di notifica del data breach entro 72 ore non è facoltativa. Ecco cosa fare:

• Leggere con attenzione le istruzioni per la compilazione della notifica sul sito del Garante della Privacy.⁶
• Valuta con attenzione se l’evento rientra effettivamente nella definizione di data breach secondo il GDPR (ossia una violazione di sicurezza che comporta la perdita, alterazione, divulgazione o accesso non autorizzato a dati personali). Se il rischio per i diritti e le libertà delle persone è improbabile, non è necessario procedere con la notifica.
• Compilare la notifica, dal 2021 è possibile farlo online, accedendo al servizio dedicato sul sito del Garante della Privacy.⁷
• Tramite l’interfaccia online vanno inserite tutte le informazioni richieste, come la descrizione della violazione, quali categorie di dati sono state coinvolte, numero approssimativo di interessati, probabili conseguenze e misure adottate o previste per mitigare gli effetti. È possibile indicare anche se si sta inviando una notifica preliminare o completa e aggiungere allegati.
• Dopo la compilazione la notifica va inviata tramite la piattaforma. Chi ha eseguito la procedura riceve un documento elettronico di conferma con le informazioni inserite. 
• La notifica al Garante deve avvenire senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione.

Se la violazione comporta un rischio elevato per i diritti e le libertà delle persone fisiche, scatta anche l’obbligo di comunicazione agli interessati. Questo significa informare clienti e partner che i loro dati sensibili potrebbero essere stati compromessi.

Non è solo un adempimento burocratico. È un passaggio che può influire profondamente sulla reputazione dell’impresa contro il rischio cyber.

Sì, e più di uno.

Ogni organizzazione dovrebbe avere una procedura di data breach formalizzata, una specie di procedura d'emergenza già codificata che scatta nel momento dell'emergenza. A questo, si possono legare un registro data breach aggiornato e un sistema di data breach check interno per valutare rapidamente l’impatto dell’evento.

Se nominato (è richiesto per enti pubblici e imprese che trattano dati sensibili o monitorano persone su larga scala), il data protection officer (DPO), ovvero o Responsabile della Protezione dei Dati (RPD) deve essere coinvolto immediatamente.⁸

Il registro di data breach è un documento interno che ogni titolare del trattamento deve tenere per tracciare tutte le violazioni di dati personali che si verificano nella propria organizzazione, anche quando non è necessario notificare l’evento al Garante. 

Non è un registro “pubblico” e non va inviato automaticamente all’Autorità, ma deve essere disponibile in caso di controllo. È uno strumento di responsabilizzazione previsto dal principio di accountability del GDPR: in pratica serve a dimostrare che l’impresa ha gestito correttamente l’evento.

Il data breach check è la fase di verifica e valutazione interna che un’impresa effettua quando si verifica un possibile incidente di sicurezza, per capire se l’evento rientra nella definizione di Data breach secondo il GDPR e quali obblighi ne derivano.

Non è un termine tecnico previsto espressamente dal Regolamento, ma indica in modo operativo quel momento cruciale in cui il titolare del trattamento deve fermarsi e chiedersi: è davvero una violazione dei dati personali? E quanto è grave?

Secondo il citato report di IBM, anche nel 2025, e per il terzo anno consecutivo, il phishing è stato tra i principali vettori di attacco che ha comportato una violazione dei dati.¹

La compromissione di fornitori e supply chain è oggi tra le principali modalità di attacco, subito dopo l’uso di credenziali compromesse. In pratica, i cybercriminali non colpiscono solo direttamente l’impresa, ma sfruttano le vulnerabilità presenti nei partner tecnologici o nei fornitori per entrare nei sistemi e accedere ai dati. In molti casi, in estrema sintesi, non c’è un super hacker con competenze avanzate. C’è un dipendente che clicca su un link sbagliato.

Questi vettori - che possono realizzarsi attraverso malware, violazioni dei dati o tecniche come il credential stuffing - hanno generato costi molto elevati per le organizzazioni coinvolte. Non si tratta solo di ripristinare i sistemi, ma di affrontare interruzioni operative, possibili sanzioni e danni reputazionali.

Per questo oggi la sicurezza non può più limitarsi ai confini dell’impresa: proteggere la propria impresa significa valutare con attenzione anche l’affidabilità dell’intera filiera digitale.

Un data leak o una fuga di dati si verifica quando informazioni riservate vengono rese accessibili pubblicamente o a soggetti non autorizzati. Può trattarsi di documenti contenenti dati personali, di database con nomi completi, numeri di telefono o carte di credito, oppure di archivi contenenti informazioni strategiche e segreti commerciali.

Il danno, in questi casi, non è solo tecnico. È strategico. Perché oltre ai dati personali, possono essere compromessi anche elementi di proprietà intellettuale fondamentali per la competitività dell’impresa.

Come abbiamo visto, in caso di data breach le sanzioni previste dal GDPR possono essere rilevanti, soprattutto quando emergono misure di sicurezza inadeguate oppure una notifica al Garante mancata o tardiva. Ma per una PMI italiana, anche una sanzione di poche decine di migliaia di euro può avere un impatto significativo.

A questo si aggiungono i costi di eventuale violazione della privacy dopo una denuncia, le spese legali e le possibili richieste di risarcimento da parte degli interessati, soprattutto nei casi di furto d’identità o utilizzo illecito delle carte di credito.

Arriviamo al cuore della questione. Il costo di un data breach per una PMI o un professionista si articola su più livelli.

In primo luogo, ci sono i costi tecnici: consulenti informatici, analisi, ripristino dei sistemi, blocco dell’accesso ai dati personali, implementazione di misure correttive eventualmente richieste dal Garante. Anche un intervento di emergenza può superare facilmente i 20mila euro.

In secondo luogo, c’è il costo dell’interruzione dell’attività. Se il gestionale è bloccato e le transazioni finanziarie si fermano, l’impresa perde fatturato ogni giorno. Una settimana di fermo può significare decine di migliaia di euro di mancati ricavi. 

• Il 65% delle imprese che, nell'ultimo anno, ha subito un attacco che ha comportato un data breach non si è ancora ripreso.¹
• L'86% delle imprese ha subito un'interruzione delle attività dopo un attacco. Il ripristino completo delle attività avviene, in media, dopo oltre 100 giorni.¹

Infine ci sono le conseguenze reputazionali. La pubblicità poco favorevole generata da una necessaria divulgazione dell'incidente informatico subito può allontanare clienti storici e compromettere nuove opportunità di business, perché quando c'è una violazione di dati, tutti sono a rischio. E, spesso, è proprio questo il costo che pesa di più.

Non esiste rischio zero, ma la prevenzione riduce drasticamente l’impatto economico. Le organizzazioni che investono in formazione del personale e in programmi di formazione attraverso attività di phishing simulate costanti registrano minori possibilità di attacco.

È fondamentale proteggere le password, evitare la condivisione tramite messaggi di testo, monitorare gli account aziendali e limitare l’accesso ai dati ai soli soggetti autorizzati. Anche un individuo con accesso privilegiato deve sempre essere soggetto a controlli e deve essere invitato ad attivare un'autenticazione a due fattori che rendano più sicura la password e l'accesso.

La protezione dei dati non è una voce di costo superflua. È un investimento in continuità aziendale.

Il cyber risk non è più un’ipotesi remota. Se la tua impresa gestisce dati personali, utilizza email, conserva documenti, effettua transazioni elettroniche o tratta informazioni riservate, è esposta a un possibile data breach. Per questo Allianz propone due soluzioni assicurative, che si differenziano in base alla dimensione dell’impresa, misurata sul fatturato annuo.