In breve
Per l'EDPB l'esposizione di dati di contatto come le email espone le persone a tentativi di frode, compreso il phishing.
L'avviso ai clienti è obbligatorio con un rischio elevato (art. 34 GDPR); la notifica al Garante entro 72 ore ha una soglia più bassa.
L'avviso deve essere un messaggio dedicato, in linguaggio chiaro, con contatti, conseguenze probabili e misure: blog e comunicato stampa non bastano.
Niente link di accesso né allegati: scrivi cosa l'azienda non chiederà mai e indica un canale di verifica già noto.
SPF, DKIM e DMARC proteggono il tuo dominio esatto: servono anche controllo dei domini simili e un servizio clienti preparato.
Quando un'azienda scopre che nomi e indirizzi email dei clienti sono finiti nelle mani sbagliate, il problema non si chiude con l'avviso. Quei dati sono proprio ciò che serve per scrivere email false credibili, che si presentano a nome dell'azienda e chiedono di cliccare un link, aggiornare un pagamento o confermare le credenziali. Le linee guida del Comitato europeo per la protezione dei dati (EDPB) lo indicano in modo esplicito: se escono dati di contatto, le persone possono diventare bersaglio di tentativi di frode come email di phishing, SMS e telefonate fraudolente.
In questa guida trovi cosa prevede il GDPR per la comunicazione ai clienti dopo una violazione (art. 34), come si collega alla notifica al Garante (art. 33) e cosa deve contenere l'avviso secondo le linee guida EDPB 9/2022 e 01/2021. Poi vediamo come ridurre il rischio di email false a tuo nome, con avvisi chiari, difese tecniche e un servizio clienti preparato. Non è una consulenza legale: ogni caso va valutato con il tuo DPO o consulente privacy.
Perché dopo un data breach arriva il phishing?
Perché nome ed email bastano per un attacco credibile e mirato. L'email falsa non arriva da uno sconosciuto: arriva, in apparenza, da un'azienda con cui il cliente ha davvero un rapporto.
Cosa dicono le linee guida EDPB sui dati di contatto
Le linee guida EDPB 01/2021 raccolgono esempi pratici di violazioni. Nel caso n. 6, un sito con password protette da hash, l'EDPB esclude un rischio significativo anche perché non erano stati compromessi dati di contatto come email o numeri di telefono: per questo gli utenti non risultavano esposti a tentativi di frode come email di phishing, SMS o telefonate fraudolente.
Il ragionamento funziona anche al contrario. Nel caso n. 7, un attacco a un sito di online banking, l'EDPB osserva che i dati sottratti potevano servire a indovinare le password o a lanciare una campagna di spear phishing contro i clienti della banca. Nel caso n. 18, un'esfiltrazione di email aziendali, considera il rischio elevato anche perché i dati potevano facilitare altri attacchi, come il phishing.
Questo non significa che ogni esposizione di indirizzi email sia automaticamente ad alto rischio. Significa che il phishing successivo è un elemento da considerare in modo esplicito quando valuti la violazione e decidi cosa dire ai clienti.
Il primo segnale può arrivare proprio dai clienti
A volte l'azienda scopre la violazione dopo il phishing, non prima. Le linee guida EDPB 9/2022 riportano l'esempio di una persona che segnala al titolare di aver ricevuto un'email che lo impersona, con dati personali sul suo uso reale del servizio. Se una breve indagine conferma un'intrusione con accesso ai dati, secondo l'EDPB il titolare è da considerarsi "a conoscenza" della violazione e la notifica all'autorità è dovuta, salvo che sia improbabile un rischio per le persone. Le segnalazioni di email sospette a tuo nome non sono semplice spam.
Quando è obbligatorio avvisare i clienti dopo un data breach?
È obbligatorio quando la violazione può presentare un rischio elevato per i diritti e le libertà delle persone. Lo prevede l'articolo 34, paragrafo 1, del GDPR: in quel caso il titolare comunica la violazione agli interessati senza ingiustificato ritardo.
Notifica al Garante e comunicazione ai clienti: due soglie diverse
La notifica al Garante (art. 33) e la comunicazione agli interessati (art. 34) sono due obblighi distinti. La notifica va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare è venuto a conoscenza della violazione, salvo che sia improbabile che presenti un rischio per le persone.
La comunicazione ai clienti scatta invece solo con un rischio elevato. L'EDPB spiega che la soglia è più alta di quella della notifica, così da non esporre le persone ad avvisi inutili. In Italia la notifica si invia con la procedura telematica sul portale dei servizi del Garante, che mette a disposizione anche uno strumento di autovalutazione. Tempi e passaggi della notifica sono spiegati nella guida su cosa fare nelle prime 72 ore dopo un data breach.
Come si valuta il rischio quando escono nomi ed email
L'EDPB indica alcuni criteri: tipo di violazione, natura, sensibilità e volume dei dati, facilità di identificare le persone, gravità delle conseguenze, caratteristiche degli interessati e numero di persone coinvolte.
Anche dati che sembrano innocui possono dire molto. Per l'EDPB conta ciò che rivelano: un elenco di clienti poco sensibile in sé può essere utile ai criminali. Un indirizzo email associato al nome della tua azienda può rivelare il tipo di rapporto con il cliente: un servizio sanitario, finanziario o legale non è una newsletter di ricette.
Nell'allegato delle linee guida 9/2022 l'EDPB esamina un'email di marketing inviata con gli indirizzi dei destinatari visibili a tutti. Notifica e comunicazione possono essere necessarie se le persone coinvolte sono molte, se emergono dati sensibili o se ci sono altri fattori di rischio elevato; possono non esserlo se gli indirizzi esposti sono pochi e non ci sono dati sensibili. In caso di dubbio, l'EDPB raccomanda di essere prudenti e notificare.
Le eccezioni e il potere del Garante
L'articolo 34, paragrafo 3, prevede tre casi in cui la comunicazione non serve: dati resi incomprensibili a chi non è autorizzato prima della violazione, per esempio con la cifratura; misure adottate subito dopo che rendono improbabile il rischio elevato; sforzo sproporzionato per contattare le persone, nel qual caso serve una comunicazione pubblica o una misura analoga altrettanto efficace.
Se il titolare decide di non avvisare, il Garante può richiedere la comunicazione quando ritiene probabile un rischio elevato (art. 34, par. 4). L'EDPB ricorda inoltre che la valutazione può cambiare nel tempo: se iniziano ad arrivare segnalazioni di phishing a tuo nome, il rischio va rivalutato. Ogni scelta, compresa quella di non avvisare, va motivata e documentata nel registro delle violazioni previsto dall'articolo 33, paragrafo 5.
Cosa deve contenere l'avviso ai clienti?
L'avviso deve descrivere con un linguaggio semplice e chiaro la natura della violazione e contenere almeno le informazioni dell'articolo 33, paragrafo 3, lettere b), c) e d). L'EDPB le riassume in quattro elementi, a cui conviene aggiungere istruzioni pratiche contro il phishing.
Elemento | Cosa prevede il GDPR | Come declinarlo dopo un'esposizione di nomi ed email |
|---|---|---|
Natura della violazione | Descrizione in linguaggio semplice e chiaro (art. 34, par. 2) | Quali dati sono coinvolti e quali no, solo dopo averlo verificato |
Punto di contatto | Nome e contatti del DPO o di un altro punto di contatto (art. 33, par. 3, lett. b) | Un indirizzo o un numero dedicato, già presente sul sito ufficiale |
Conseguenze probabili | Descrizione delle probabili conseguenze (art. 33, par. 3, lett. c) | Dire in modo esplicito che potrebbero arrivare email, SMS o telefonate a nome dell'azienda |
Misure adottate o proposte | Misure per porre rimedio e attenuare gli effetti (art. 33, par. 3, lett. d) | Cosa ha fatto l'azienda e cosa può fare il cliente per proteggersi |
L'EDPB precisa che, dove opportuno, il titolare dovrebbe dare consigli specifici alle persone per proteggersi, come cambiare la password se le credenziali sono state compromesse. Secondo le linee guida, l'obiettivo principale della comunicazione è proprio dare informazioni sui passi da compiere per tutelarsi.
Messaggi dedicati e canali efficaci
Secondo l'EDPB l'avviso deve essere un messaggio dedicato, non inserito in una newsletter, in un aggiornamento periodico o in un messaggio standard. Tra i metodi di comunicazione trasparenti cita la messaggistica diretta (email, SMS, messaggi diretti), banner o notifiche ben visibili sul sito, la posta cartacea e annunci evidenti sulla stampa.
Un avviso confinato in un comunicato stampa o nel blog aziendale non è considerato un mezzo efficace per informare le persone. L'EDPB raccomanda il mezzo che massimizza la probabilità di raggiungere tutti, anche con più canali insieme.
Il canale compromesso e i tempi
C'è un'indicazione che riguarda direttamente il phishing: il titolare deve evitare un canale compromesso dalla violazione, perché potrebbe essere usato anche dagli attaccanti che si spacciano per lui. Se l'attacco ha toccato il sistema di invio delle email o lo strumento delle newsletter, quel canale va messo in sicurezza o affiancato da altri prima di usarlo per l'avviso.
Quanto ai tempi, "senza ingiustificato ritardo" significa il prima possibile. Il considerando 86 del GDPR prevede che la comunicazione avvenga in stretta cooperazione con l'autorità di controllo e che un rischio immediato di danno richieda una comunicazione tempestiva. L'EDPB ammette un rinvio solo in casi giustificati, su indicazione delle autorità di contrasto per non compromettere le indagini; dopo, le persone vanno informate subito.
Come scrivere un avviso che non sembri a sua volta phishing?
Un buon avviso deve essere riconoscibile come autentico e non deve abituare il cliente a cliccare. Se il tuo messaggio contiene un link a una pagina di accesso, un allegato e una richiesta di confermare i dati, ai truffatori basterà copiarlo.
Il Garante privacy, nella sua scheda divulgativa sul phishing, ricorda che in generale banche, enti pubblici e aziende non chiedono informazioni personali via email, SMS, social media o chat. Suggerisce di non cliccare sui link e di non aprire gli allegati dei messaggi sospetti, e di diffidare dei toni intimidatori e delle minacce di sanzioni. Nell'avviso ai clienti puoi trasformare questo principio in un impegno esplicito, scrivendo che cosa la tua azienda non chiederà mai via email, SMS o telefono:
password, codici OTP o PIN;
dati completi della carta di pagamento o coordinate bancarie da "aggiornare";
pagamenti urgenti su un IBAN diverso da quello abituale;
installazione di programmi o app per "mettere in sicurezza" l'account;
conferma dei dati personali tramite un link o un modulo ricevuto via email.
Mantieni l'avviso sobrio: niente link di accesso, niente allegati, niente urgenza artificiale. Se il cliente deve fare qualcosa, per esempio cambiare la password, invitalo ad accedere digitando a mano l'indirizzo del sito o usando l'app ufficiale. Pubblica lo stesso testo in una pagina del sito raggiungibile dalla home, così chi riceve un messaggio dubbio può confrontarlo con la versione ufficiale.
Indica un canale di verifica già noto, come il numero del servizio clienti presente sul sito o sul contratto, e un indirizzo dedicato a cui inoltrare le email sospette. Usa lo stesso mittente e lo stesso dominio delle comunicazioni abituali: un avviso inviato da un dominio mai visto prima è difficile da distinguere da un tentativo di phishing.
Quali difese tecniche riducono le email false a tuo nome?
Le difese tecniche servono a rendere più difficile usare il tuo dominio per spedire email false. Non eliminano il rischio.
SPF, DKIM e DMARC sul tuo dominio
Ad aprile 2026 l'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato le linee guida sulla configurazione della posta elettronica per l'autenticazione del mittente, con l'obiettivo di contrastare spoofing, phishing e manomissione dei messaggi. L'ACN raccomanda di implementare SPF, DKIM e DMARC insieme: SPF da solo non è sufficiente, DKIM firma i messaggi e DMARC verifica l'allineamento e permette di mettere in quarantena o rifiutare i messaggi non autenticati.
Questi protocolli proteggono il tuo dominio esatto, non quelli simili. Ne parliamo nel dettaglio nella guida sulla truffa del CEO e i falsi IBAN, dove trovi anche come introdurre DMARC per gradi senza bloccare la posta legittima.
Domini simili da tenere d'occhio
Il bollettino CSIRT Italia del 17 febbraio 2026 su una campagna di Business Email Compromise descrive attaccanti che registrano domini molto simili a quelli reali, con caratteri facilmente confondibili. Lo stesso espediente può essere usato contro i tuoi clienti: un dominio che differisce per una lettera rende credibile un'email falsa anche se SPF, DKIM e DMARC sono configurati correttamente.
Per questo conviene monitorare le registrazioni di domini simili al tuo, per esempio con i servizi offerti da registrar e fornitori di sicurezza, e valutare la registrazione preventiva delle varianti più evidenti. Se trovi un dominio usato per impersonarti, raccogli le prove, avvisa i clienti con i canali ufficiali e valuta con i tuoi consulenti tecnici e legali le azioni possibili, compresa la segnalazione alla Polizia Postale. Controlla anche gli account dimenticati, come le caselle di ex dipendenti ancora attive: come gestirle è spiegato nella guida sull'email aziendale dell'ex dipendente.
Come preparare il servizio clienti?
Il servizio clienti è la prima linea dopo l'avviso: riceverà domande, segnalazioni e, a volte, clienti che hanno già cliccato. Se non è preparato, rischia di dare risposte contraddittorie o di chiedere dati personali per "verificare" l'identità, proprio come farebbe un truffatore.
Prepara uno script condiviso prima di inviare l'avviso: cosa è successo in parole semplici, quali dati sono coinvolti, cosa l'azienda non chiederà mai e come riconoscere una comunicazione autentica. L'operatore non deve mai chiedere password o codici né dare dettagli non ancora confermati.
Definisci un percorso di escalation. Le segnalazioni di email, SMS o telefonate sospette vanno raccolte in un unico punto, conservando quando possibile il messaggio originale completo, e inoltrate a chi gestisce l'incidente e al DPO. Servono a rivalutare il rischio e ad aggiornare la documentazione.
Se un cliente dice di aver già inserito dati su una pagina falsa, l'operatore deve sapere cosa consigliare: cambiare subito la password del servizio e di quelli in cui la riutilizza; se ha fornito dati della carta o del conto, contattare la banca attraverso canali conosciuti e affidabili, come suggerisce anche il Garante. Il phishing non arriva per forza nei giorni dell'avviso: tieni lo script aggiornato e a portata di mano anche nelle settimane successive.
Checklist: cosa fare nei primi giorni dopo l'esposizione dei dati
Questa sequenza non sostituisce il piano di risposta agli incidenti, ma aiuta a non dimenticare i passaggi che riducono il phishing successivo. Adattala alla tua situazione insieme al DPO.
Contieni la violazione e verifica quali dati sono usciti: nomi, email, telefoni o altro.
Valuta il rischio con il DPO, considerando in modo esplicito il phishing mirato, e decidi su notifica e comunicazione.
Se la notifica è dovuta, inviala al Garante entro 72 ore dalla conoscenza, anche in più fasi.
Metti in sicurezza i canali di invio prima di usarli per l'avviso.
Controlla SPF, DKIM e DMARC del dominio e cerca domini simili registrati di recente.
Prepara un avviso dedicato, senza link di accesso né allegati, con l'elenco di ciò che non chiederai mai.
Pubblica la stessa informazione sul sito e forma il servizio clienti con uno script condiviso.
Raccogli le segnalazioni, rivaluta il rischio e aggiorna il registro delle violazioni.
Cosa fare nei mesi successivi?
Nei mesi successivi l'obiettivo è capire perché è successo e ridurre la probabilità che succeda di nuovo.
Rivedi chi ha accesso agli elenchi clienti, quali fornitori trattano le anagrafiche e con quali garanzie, e se i dati conservati sono davvero necessari. Se era coinvolto un fornitore, verifica che il contratto preveda l'obbligo di informarti senza ingiustificato ritardo, come richiede l'articolo 33, paragrafo 2.
Aggiorna la formazione di tutto il personale, non solo del servizio clienti. Nella scheda di sintesi sulle violazioni dei dati personali, l'EDPB elenca tra le misure di prevenzione la formazione dei dipendenti sulla protezione dei dati, l'autenticazione a più fattori per l'accesso ai dati sensibili e il monitoraggio dei flussi di dati anomali.
Infine, verifica che il piano di risposta preveda un modello di avviso già approvato, i canali da usare, lo script del servizio clienti e i contatti del DPO. L'EDPB raccomanda di coinvolgere il DPO nella gestione delle violazioni; se non hai una figura interna, valuta un DPO esternalizzato. Per un ripasso su principi e obblighi generali, parti dalla guida su cos'è il GDPR.
Come Complaion ti aiuta con GDPR e protezione dei dati
Complaion affianca le aziende nella conformità al GDPR e nelle certificazioni sulla gestione delle informazioni. Un Lead Auditor dedicato parte dalla tua situazione, verifica cosa hai già e cosa manca e ti propone il percorso più adatto tra adeguamento GDPR, ISO 27701 e ISO 27001.
La piattaforma raccoglie le evidenze, gestisce policy, informative e registro dei trattamenti, tiene lo scadenziario delle revisioni e ti prepara all'audit. Il Lead Auditor conduce anche l'audit interno, così sai se le procedure funzionano davvero. Se ti serve un responsabile della protezione dei dati, c'è il servizio di DPO esternalizzato.
Oltre 1.000 clienti hanno già scelto Complaion. Se vuoi capire da dove partire, contattaci.
Domande frequenti su data breach e phishing
Se sono usciti solo nomi ed email, devo avvisare i clienti?
Dipende dal rischio. La comunicazione è obbligatoria solo se la violazione può presentare un rischio elevato per le persone. Contano il numero di clienti coinvolti, il tipo di rapporto che l'indirizzo rivela, l'eventuale presenza di dati sensibili e la probabilità di phishing mirato. Anche quando non è obbligatoria, l'EDPB considera in molti casi una buona pratica informare le persone perché possano proteggersi.
Basta pubblicare un avviso sul blog o un comunicato stampa?
No. Secondo le linee guida EDPB 9/2022, un avviso limitato a un comunicato stampa o al blog aziendale non è un mezzo efficace. Servono messaggi dedicati e diretti, come email o SMS, eventualmente affiancati da un banner ben visibile sul sito. La comunicazione pubblica è prevista quando contattare le persone una per una richiederebbe uno sforzo sproporzionato.
Posso mettere un link nell'email di avviso?
È meglio evitare link a pagine di accesso o moduli. Un avviso con un link da cliccare è facile da copiare per i truffatori e abitua i clienti al gesto sbagliato. Invita invece a raggiungere il sito digitando l'indirizzo a mano o a usare l'app ufficiale, e indica un numero di assistenza già noto.
Se ho avvisato i clienti, devo notificare anche il Garante?
Sì, se la notifica è dovuta. La notifica al Garante è obbligatoria salvo che sia improbabile un rischio per le persone, mentre la comunicazione ai clienti scatta con un rischio elevato: se c'è un rischio elevato, servono entrambe. La notifica va inviata entro 72 ore dalla conoscenza con la procedura telematica del Garante, e ogni violazione va comunque documentata nel registro.
Cosa deve fare il servizio clienti se un cliente segnala un'email sospetta?
Deve ringraziare, chiedere di non cliccare e di inoltrare il messaggio originale all'indirizzo dedicato, senza mai chiedere password o codici. La segnalazione va registrata e girata a chi gestisce l'incidente e al DPO: può indicare una campagna in corso o una violazione non ancora scoperta e portare a rivalutare il rischio.
