Violazione dei dati in Microsoft 365: cosa notificare e quando

Un utente ha cliccato su una mail di phishing, l’attaccante è entrato nella sua casella e ha letto per due giorni. Domanda: quante ore hai, e per fare cosa?

La risposta che quasi tutti danno — «settantadue, per notificare al Garante» — è giusta per un terzo. Sbaglia da quando partono le ore, sbaglia sul fatto che la notifica sia sempre dovuta, e dimentica l’obbligo che resta anche quando decidi di non notificare.

Questa guida sta sugli artt. 33 e 34 del GDPR, letti sul testo, e li traduce in ciò che accade dentro un tenant Microsoft 365.

Prima cosa: cos’è una violazione

La definizione è all’art. 4, punto 12, ed è più larga di come viene ricordata:

«la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati»

Tre conseguenze pratiche.

Non serve che i dati siano usciti. Il semplice accesso non autorizzato è già violazione: la casella letta da un intruso lo è, anche se non ha scaricato nulla e anche se non sapete cosa abbia visto.

Non serve un attaccante. «Accidentalmente» copre l’errore: la cartella SharePoint condivisa con «Tutti», il file mandato al destinatario sbagliato, il Ccn usato come Cc.

La perdita conta come la divulgazione. Un ransomware che cifra i dati senza esfiltrarli è una violazione di disponibilità: non è uscito niente, ma l’obbligo scatta comunque.

Le 72 ore non partono da quando te ne accorgi

L’art. 33, par. 1 dice «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza».

Il punto che sfugge sta nel paragrafo dopo:

«Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.» (art. 33, par. 2)

Nel vostro tenant Microsoft è responsabile, voi siete titolari. Quindi la mail che il Message Center o il Service Health vi manda per un incidente che riguarda i vostri dati è il momento in cui l’orologio parte per voi. Non quando aprite quella mail, non quando il consulente la legge lunedì.

Vale anche verso il basso: se avete un fornitore IT che amministra il tenant, quello è a sua volta responsabile e ha lo stesso obbligo verso di voi. È la ragione per cui il canale di comunicazione va scritto nel contratto e non lasciato al buon senso.

E il considerando 87 chiede una cosa in più, che è facile leggere di sfuggita: bisogna aver messo in atto le misure adeguate per stabilire immediatamente se c’è stata una violazione. Un tenant in cui il log di controllo non registra non è solo un tenant senza prove: è un tenant in cui il titolare non è in condizione di adempiere.

Non ogni violazione va notificata — ma il silenzio va motivato

Lo stesso art. 33, par. 1 chiude con l’eccezione: la notifica non è dovuta «a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche».

Ed è qui che il considerando 85 aggiunge il pezzo decisivo: quella improbabilità va dimostrata, «conformemente al principio di responsabilizzazione».

Tradotto: non notificare non è un’omissione, è una decisione. E come tutte le decisioni di conformità, vale quanto la sua documentazione. Se in sede di controllo non sapete spiegare perché avevate concluso che il rischio era improbabile, la posizione è peggiore di quella di chi ha notificato per prudenza.

Il considerando 85 elenca anche cosa intende per danno, e l’elenco è utile per fare quella valutazione con criterio: perdita di controllo sui propri dati, discriminazione, furto d’identità, perdite finanziarie, decifratura non autorizzata della pseudonimizzazione, pregiudizio alla reputazione, perdita di riservatezza dei dati protetti da segreto professionale.

Cosa deve contenere la notifica

L’art. 33, par. 3 fissa un minimo di quattro elementi:

Notate «numero approssimativo». Il regolamento non chiede una cifra esatta: chiede un ordine di grandezza. È una concessione deliberata, perché a 48 ore da un’intrusione il numero esatto non lo sa nessuno.

E se non basta, ci sono due valvole di sfogo. L’art. 33, par. 4 permette di fornire le informazioni in fasi successive. E se le 72 ore scadono comunque, si notifica corredando la notifica dei motivi del ritardo: il ritardo motivato è previsto dalla norma, il silenzio no.

Avvisare le persone è un’altra decisione, con un’altra soglia

L’art. 34, par. 1 impone di comunicare la violazione agli interessati solo quando è «suscettibile di presentare un rischio elevato».

Sono quindi due soglie diverse: rischio non improbabile fa scattare la notifica all’autorità, rischio elevato fa scattare la comunicazione alle persone. Esistono violazioni da notificare al Garante e da non comunicare agli interessati — ed è una distinzione che conviene aver chiara prima, non mentre si scrive la mail a quattrocento clienti.

Il paragrafo 3 prevede tre casi in cui la comunicazione non è richiesta, e il primo è quello che riguarda più spesso un tenant Microsoft:

«il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura»

Leggete «erano state applicate». È il punto in cui l’esonero si guadagna o si perde, e nella maggior parte degli incidenti M365 si perde: se l’attaccante è entrato con le credenziali di un utente legittimo, la cifratura a riposo del servizio non ha reso nulla incomprensibile a lui. Era autorizzato, per quanto ne sapeva il sistema. L’esonero della lettera a) protegge il portatile rubato con BitLocker, non la casella compromessa.

Gli altri due casi: misure adottate successivamente che scongiurano il rischio elevato (lett. b), e sforzi sproporzionati, che però non liberano dall’obbligo — impongono «una comunicazione pubblica o una misura simile» (lett. c).

Un’ultima cosa da sapere: se non comunicate, il Garante può ordinarvelo (art. 34, par. 4). La decisione non è definitiva finché l’autorità non l’ha vista.

Il registro che nessuno tiene

L’art. 33, par. 5 è due righe e viene dimenticato più di tutto il resto:

«Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all’autorità di controllo di verificare il rispetto del presente articolo.»

Qualsiasi: anche quelle che avete deciso di non notificare. Anzi, soprattutto quelle — perché è lì che il registro fa il suo lavoro. Quando spiegate al Garante perché tre violazioni su quattro non sono state notificate, il registro è l’unica cosa che rende quella spiegazione credibile.

Non ha un formato prescritto. Le colonne che servono si ricavano dall’articolo stesso: quando è accaduto, quando ne siete venuti a conoscenza, cosa è successo, quali dati e quante persone, la valutazione del rischio con la conclusione, se avete notificato e quando, cosa avete fatto per rimediare. Se tenete già il registro dei trattamenti, questo gli sta accanto: sono due documenti diversi con due obblighi diversi.

GDPR e NIS2 non sono la stessa notifica

È l’errore che vediamo più spesso, e costa perché fa perdere una delle due scadenze.

Un singolo incidente — un ransomware su un file server con dati di clienti — può far scattare entrambi, con orologi che non coincidono. Il dettaglio del binario NIS2 è nel runbook di notifica ad ACN.

Cosa vuol dire, in un tenant Microsoft 365

Le prime ore decidono se avrete qualcosa da scrivere nella notifica. Tre cose in ordine.

Stabilire l’ora della conoscenza, e scriverla. È il dato da cui dipende tutto il resto, ed è il primo che si perde. Un’annotazione con data, ora e chi ha visto cosa vale più di un ricordo condiviso una settimana dopo.

Raccogliere prima che scada. Le finestre non sono negoziabili: i sign-in log di Entra ID coprono 30 giorni, il log di controllo unificato 180, il tracciamento dei messaggi 90. Se l’intrusione è iniziata prima, quella parte non esiste più. È esattamente ciò per cui abbiamo pubblicato il toolkit di emergenza per un tenant compromesso: dieci script che contengono l’accesso e portano fuori i log prima che la finestra si chiuda.

Guardare cosa è rimasto dentro. Bloccare gli utenti non tocca le regole della posta in arrivo, gli inoltri di cassetta e i consensi applicativi: un consenso OAuth sopravvive al blocco, al cambio password e alla revoca delle sessioni. Se l’attaccante ha piazzato una regola che nasconde le risposte, la violazione continua mentre voi scrivete la notifica.

E una nota sulla conservazione, perché è il conflitto meno raccontato: se avete un litigation hold o una retention label di Purview attivi, quei dati non si cancellano — e questo interagisce con le richieste degli interessati in modo che vale la pena capire prima, non durante. Ne parliamo nella guida sulla conservazione della posta dei dipendenti.

Le quattro cose da preparare adesso

Nessuna richiede budget, tutte richiedono che siano decise prima.

• Chi decide se notificare, e chi lo fa se quella persona è in ferie. Una scelta da prendere in 72 ore non può dipendere da una singola disponibilità.
• Il canale col fornitore IT scritto nel contratto: l’art. 33 par. 2 mette su di lui un obbligo verso di voi, e il vostro termine decorre da quando lui vi avvisa.
• Il registro delle violazioni, vuoto ma esistente, con le colonne dell’art. 33 par. 5 già pronte.
• Il log di controllo attivo. Se non registra, non ci sono prove da raccogliere per il passato, e accenderlo dopo non è retroattivo.

Se volete che qualcuno guardi il vostro tenant e vi dica in che stato siete su questi quattro punti, la nostra cybersecurity gestita parte esattamente da qui.

Domande frequenti

Da quando decorrono le 72 ore?

Dal momento in cui il titolare ne è venuto a conoscenza (art. 33, par. 1), non da quando l’evento è accaduto né da quando l’indagine è conclusa. E c’è un passaggio che sfugge: l’art. 33, par. 2 impone al responsabile del trattamento di informare il titolare senza ingiustificato ritardo. Quindi la comunicazione di Microsoft — che nel vostro tenant è responsabile, non titolare — è il momento in cui l’orologio parte per voi.

Ogni violazione va notificata al Garante?

No. L’art. 33, par. 1 esclude la notifica quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Ma il considerando 85 aggiunge il pezzo che conta: quella improbabilità va dimostrata, in coerenza col principio di responsabilizzazione. Non notificare è una decisione da motivare per iscritto, non un’omissione.

Cosa succede se non riesco a notificare entro 72 ore?

Si notifica comunque, corredando la notifica dei motivi del ritardo (art. 33, par. 1). E l’art. 33, par. 4 consente di fornire le informazioni in fasi successive quando non è possibile darle tutte insieme. Il regolamento preferisce una notifica parziale nei termini a una completa fuori termine.

Devo avvisare anche le persone coinvolte?

Solo se la violazione è suscettibile di presentare un rischio elevato per i loro diritti e libertà (art. 34, par. 1). È una soglia più alta di quella della notifica all’autorità: esistono violazioni da notificare al Garante ma non da comunicare agli interessati.

Se i dati erano cifrati devo comunicarlo agli interessati?

L’art. 34, par. 3, lett. a) esonera dalla comunicazione quando il titolare aveva messo in atto misure adeguate e tali misure erano state applicate ai dati oggetto della violazione, in particolare quelle che rendono i dati incomprensibili a chi non è autorizzato, come la cifratura. Attenzione al «erano state applicate»: la cifratura a riposo di un servizio cloud non aiuta se l’accesso è avvenuto con le credenziali di un utente legittimo, perché in quel caso i dati erano perfettamente leggibili.

Devo tenere un registro delle violazioni?

Sì, ed è l’obbligo che si dimentica più spesso. L’art. 33, par. 5 impone di documentare qualsiasi violazione — anche quelle che avete deciso di non notificare — con circostanze, conseguenze e provvedimenti adottati, «per consentire all’autorità di controllo di verificare il rispetto» dell’articolo. È il documento che vi difende quando spiegate perché non avete notificato.

La notifica GDPR e quella NIS2 sono la stessa cosa?

No, e confonderle è un errore costoso. Hanno presupposto, destinatario e orologio diversi: il GDPR guarda ai dati personali e notifica al Garante entro 72 ore dalla conoscenza; NIS2 guarda alla continuità del servizio, notifica ad ACN, e le sue 72 ore decorrono dalla pre-notifica delle 24 ore, non dalla conoscenza. Un solo incidente può far scattare entrambi, con scadenze che non coincidono.

Fonti. Regolamento (UE) 2016/679 (GDPR), testo italiano pubblicato in GU L 119 del 4 maggio 2016: art. 4, punto 12; art. 33; art. 34; considerando 85, 86, 87 e 88. Testo consultato su EUR-Lex il 1° settembre 2026, insieme alla rettifica pubblicata in GU L 127 del 23 maggio 2018 — che non tocca gli articoli citati in questa guida. I termini NIS2 provengono dal D.Lgs. 138/2024 e dalle determinazioni ACN, di cui abbiamo scritto separatamente. Questa guida descrive il contenuto della norma e non è una consulenza legale: la valutazione del rischio di una singola violazione va fatta sul caso concreto.