Una fuga di dati non si limita a un furto di identificativi. Il quadro normativo europeo sovrappone ora diversi regimi giuridici (GDPR, DSA) che creano obblighi distinti per i titolari del trattamento e le piattaforme online. Per le persone interessate, questa sovrapposizione apre leve d’azione spesso sottoutilizzate.
Articolazione GDPR e DSA: due regimi cumulativi in caso di fuga su una piattaforma
Quando si verifica una violazione di dati su una grande piattaforma, il GDPR impone la notifica all’Autorità Garante e, in caso di rischio elevato, l’informazione diretta delle persone. Il regolamento sui servizi digitali (DSA) aggiunge obblighi specifici per le piattaforme online, in particolare in materia di trasparenza e gestione dei rischi sistemici.
Questi due regimi si cumulano, non si sostituiscono l’uno all’altro. Una piattaforma che notifica una violazione ai sensi del GDPR rimane vincolata dai suoi obblighi DSA sulla moderazione dei contenuti derivanti dalla fuga, ad esempio la diffusione di banche dati rubate sui propri servizi.
Osserviamo che la maggior parte dei privati invoca solo il GDPR nelle proprie richieste all’Autorità Garante. Menzionare esplicitamente il DSA in un reclamo consente di segnalare all’autorità che la piattaforma ha anche mancato ai suoi obblighi di diligenza. Diverse risorse documentano questa doppia esigenza, come le guide pratiche di Mindtrap che dettagliano i ricorsi mobilizzabili a seconda del tipo di piattaforma coinvolta.
Sanctions CNIL nel 2026: cosa rivelano gli importi sulla dottrina di controllo
La CNIL non sanziona solo la falla tecnica. Nel suo bilancio pubblicato il 9 settembre 2026, l’autorità ha inflitto una multa di 27 milioni di euro a un operatore di telefonia mobile l’8 gennaio 2026. Le violazioni rilevate includevano la sicurezza dei dati, ma anche il difetto di informazione delle vittime.
Il segnale è chiaro: un’azienda che subisce una fuga e che tarda a informare le persone interessate si espone a una sanzione autonoma per questo solo ritardo. Per un privato, ciò significa che l’assenza di notifica costituisce di per sé un motivo di reclamo ricevibile davanti alla CNIL.
Dati sanitari: un livello di rischio giuridico superiore
Il 3 settembre 2026, la CNIL ha sanzionato un ospedale privato con 500.000 euro per una violazione di dati sanitari. I dati medici beneficiano di un regime di protezione rafforzato ai sensi dell’articolo 9 del GDPR. La loro divulgazione può comportare discriminazioni nell’assicurazione, nel lavoro o nel credito, ben oltre il rischio di phishing classico.
Raccomandiamo alle persone le cui informazioni sanitarie sono state compromesse di documentare sistematicamente ogni rifiuto o cambiamento delle condizioni contrattuali avvenuto dopo la violazione. Questi elementi costituiscono prove di danno nell’ambito di un’azione risarcitoria.
Diritti delle vittime di fughe di dati: leve concrete spesso ignorate
Gli articoli di pubblico interesse si concentrano sul cambio di password e sulla vigilanza contro il phishing. Queste misure sono necessarie, ma coprono solo una frazione delle azioni disponibili.
- Diritto di accesso rafforzato (articolo 15 GDPR): richiedere al titolare del trattamento l’elenco esatto delle categorie di dati compromessi, i destinatari ai quali sono stati comunicati e la data precisa di rilevazione della violazione. Questo diritto obbliga l’organismo a fornire una risposta documentata entro un mese.
- Reclamo CNIL con doppio fondamento: invocare simultaneamente la violazione della sicurezza (articolo 32 GDPR) e il difetto di notifica alle persone (articolo 34 GDPR). Menzionare il DSA se la fuga riguarda una piattaforma online soggetta a questo regolamento.
- Azione di risarcimento del danno: il GDPR apre un diritto al risarcimento del danno materiale o morale (articolo 82). Documentare i tentativi di frode ricevuti dopo la fuga, le procedure amministrative intraprese e il tempo dedicato a mettere in sicurezza i propri conti costituisce un fascicolo utilizzabile davanti al giudice civile.
- Monitoraggio attivo dell’IBAN: in caso di fuga di un identificativo bancario, contattare la propria banca per attivare una lista bianca di creditori autorizzati per addebiti SEPA. Contestare qualsiasi addebito non riconosciuto entro 13 mesi.
Sicurezza dei conti dopo una fuga: oltre la password
Cambiare una password compromessa non basta se lo stesso identificativo (indirizzo email) viene utilizzato come pivot di autenticazione su più servizi. Il riutilizzo di identificativi rimane il primo vettore di sfruttamento dopo una fuga.
Un gestore di password genera identificativi unici per servizio, ma il livello di protezione determinante rimane l’autenticazione multifattoriale (MFA). Privilegiare un’app TOTP o una chiave fisica FIDO2 piuttosto che l’SMS, la cui intercettazione tramite SIM swapping è documentata.
Monitorare i propri dati esposti sul web
Diversi servizi consentono di verificare se un indirizzo email figura in una banca dati compromessa. Questi strumenti non sostituiscono la notifica obbligatoria da parte del titolare del trattamento, ma colmano un’area cieca: alcune fughe non vengono mai notificate alle vittime, sia per negligenza, sia perché l’organismo contesta la qualificazione di violazione.
Configurare avvisi sui propri identificativi principali consente di reagire prima di ricevere una notifica ufficiale, se questa arriva un giorno.
Il quadro giuridico europeo offre alle vittime di fughe di dati rimedi più ampi rispetto alle sole misure di igiene digitale. Documentare la cronologia della violazione, invocare i giusti fondamenti giuridici e sfruttare la complementarità GDPR-DSA trasforma una postura difensiva in una leva d’azione reale contro gli organismi inadempienti.
