Con il provvedimento n. 389 del 10 luglio 2025, il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa di 80.000 euro a una compagnia assicurativa per due profili di violazione:

• comunicazione indebita di dati personali a un soggetto non autorizzato;
• ritardo nella notifica della violazione all’Autorità, oltre i termini previsti dal Regolamento (UE) 2016/679 (GDPR).

Il procedimento è scaturito da un reclamo presentato da una cittadina, che ha scoperto che i propri dati erano stati utilizzati in un giudizio civile. Le informazioni erano state trasmesse dalla compagnia assicurativa a un indirizzo email tedesco che la reclamante non aveva mai attivato né indicato alla compagnia. Le richieste di informazioni, apparentemente legittime, erano firmate e contenevano dati dettagliati che solo la titolare delle polizze avrebbe potuto conoscere.

Nonostante le rassicurazioni dell’operatore incaricato, che riteneva veritiere le richieste per la loro precisione e per la presenza della firma autografa, la società non ha verificato l'effettiva titolarità dell’indirizzo email.

Il disconoscimento dell’indirizzo da parte della cliente è avvenuto nel settembre 2024, ma la compagnia ha notificato il data breach al Garante solo a gennaio 2025, ovvero quattro mesi dopo, ben oltre le 72 ore previste dall’art. 33 del GDPR.

Le violazioni contestate dal Garante

Secondo il Garante, il comportamento della compagnia è stato in violazione dei seguenti principi del GDPR:

• art. 5, par. 1, lett. a) – liceità, correttezza e trasparenza del trattamento;
• art. 5, par. 1, lett. f) – integrità e riservatezza dei dati personali;
• art. 33, par. 1 – obbligo di notificare la violazione entro 72 ore dalla conoscenza.
  

Tra le motivazioni che hanno condotto all’irrogazione della sanzione:

• natura colposa dell’errore: gli operatori hanno omesso verifiche minime sull’identità del mittente;
• assenza di procedura certa per validare l’indirizzo e-mail prima dell’invio di dati personali;
• mancata segnalazione tempestiva al Garante;
• presenza di un trattamento illecito e lesivo dei diritti della reclamante.
  

La violazione, pur non riguardando dati sensibili ai sensi dell’art. 9 GDPR, ha avuto conseguenze rilevanti, anche in ambito giudiziario.

Il caso mostra, in modo esemplare, le conseguenze di un’inadeguata verifica dell’identità digitale del richiedente e della gestione non tempestiva delle notifiche di data breach.

Le principali misure di prevenzione da adottare sono:

• verificare l’identità dell’utente richiedente tramite canali certificati o autenticati (es. PEC, area riservata, SPID);
• non inviare informazioni a indirizzi email non registrati formalmente nei sistemi aziendali;
• introdurre workflow automatizzati per individuare le richieste sospette, specialmente quando provengono da indirizzi email non riconosciuti;
• formare adeguatamente il personale addetto alle risposte agli utenti in merito al rischio di furto di identità e social engineering;
• istituire un protocollo interno di gestione delle violazioni dei dati, che consenta di attivare il DPO e il GDPR team entro poche ore dalla segnalazione del sospetto.
  

Conclusioni

Il provvedimento del Garante fornisce un importante orientamento per tutti gli operatori pubblici e privati che trattano dati personali:

• la conoscenza del cliente non è sufficiente se manca la certezza dell’identità digitale del mittente;
• la velocità è un requisito essenziale nella gestione dei data breach: anche il sospetto di violazione richiede attivazione immediata dei presidi interni;
• le procedure vanno aggiornate continuamente, soprattutto quando emergono nuove modalità di attacco e manipolazione (es. deepfake, email spoofing).

L’art. 33 del GDPR, come ricordato anche dalle Linee guida EDPB n. 9/2022, non richiede la certezza assoluta della violazione, ma una ragionevole convinzione: se sussistono indizi gravi, la notifica deve essere fatta senza ritardi.

In sintesi, i punti chiave da ricordare sono:

• verifica formale e documentata dell’identità del richiedente prima di inviare dati personali;
• non inviare dati a indirizzi email non ufficialmente registrati;
• 72 ore: è il limite massimo per notificare un data breach al Garante, a partire dal momento in cui si ha ragionevole conoscenza dell’accaduto;
• sistemi di sicurezza informatici e gestionali aggiornati e documentati;
• formazione degli operatori quale misura tecnica e organizzativa obbligatoria secondo il GDPR.