Stato all’11 novembre 2026
Dopo un ciberattacco, le imprese devono agire rapidamente: mettere in sicurezza i sistemi, indagare sull’accaduto e limitare i possibili danni. Occorre contemporaneamente stabilire quali autorità debbano essere informate. Per le imprese svizzere, la risposta può andare oltre l’Incaricato federale della protezione dei dati e della trasparenza, in breve IFPDT.
Le soglie di notifica sono diverse. Secondo la legge federale sulla protezione dei dati, il titolare del trattamento deve notificare quanto prima all’IFPDT una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali degli interessati. La guida dell’IFPDT ne illustra i dettagli.[1]
Il regolamento generale europeo sulla protezione dei dati, il RGPD, prevede una soglia inferiore: la notifica può essere omessa se è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche. Se sussiste un obbligo di notifica, occorre procedere senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui si viene a conoscenza della violazione. La valutazione «nessun rischio elevato» non è quindi sufficiente. È determinante l’art. 33 RGPD.[2]
Il presente contributo si concentra sulle notifiche alle autorità di protezione dei dati nell’UE/SEE. I collegamenti con altri Stati e le disposizioni settoriali richiedono un esame supplementare.
Verificare anzitutto l’ambito di applicazione
Il principale argomento contro una notifica all’estero si presenta spesso già prima della valutazione del rischio: il trattamento concretamente interessato è effettivamente soggetto al RGPD?
Un’impresa svizzera può rientrare nel suo ambito, in particolare, se il trattamento si svolge nel contesto delle attività di uno stabilimento nell’UE. In assenza di un tale stabilimento, occorre soprattutto stabilire se l’impresa offra in modo mirato beni o servizi a persone nell’UE oppure ne monitori il comportamento in tale territorio. Anche l’IFPDT descrive questi effetti extraterritoriali.[3]
La cittadinanza europea di una persona interessata non è invece sufficiente. Neppure la semplice accessibilità di un sito web dalla Germania determina, di per sé, l’applicabilità del regolamento. Sono decisive l’attività effettiva e la sua relazione con il mercato europeo.
Un esempio aiuta a chiarire: un’impresa argoviese attiva esclusivamente a livello locale perde dati del personale relativi a dipendenti che risiedono e lavorano in Svizzera. Il fatto che alcuni abbiano un passaporto tedesco non basta a far sorgere un obbligo di notifica ai sensi del RGPD. Altri elementi di collegamento, in particolare uno stabilimento rilevante nell’UE, devono comunque essere esaminati separatamente.
È inoltre importante considerare ogni singolo trattamento: un negozio online rivolto all’UE non implica automaticamente che tutti i trattamenti interni indipendenti della stessa impresa siano soggetti al RGPD. Questa distinzione emerge dalle linee guida del Comitato europeo per la protezione dei dati, il CEPD, sull’ambito di applicazione territoriale.[4]
Nella pratica è quindi utile un’attribuzione concreta: quali sistemi e dati sono interessati, a quale attività aziendale servono e in cosa consiste il collegamento di tale attività con l’Europa? L’affermazione generica «abbiamo anche clienti in Europa» non sostituisce questa verifica.
Quattro motivi per cui una notifica all’autorità può non essere necessaria
1. Il trattamento interessato non rientra nel RGPD.
Se manca il necessario collegamento territoriale e materiale, non sussiste il relativo obbligo di notifica ai sensi dell’art. 33 RGPD. Ciò può giustificare la mancata notifica alle autorità europee di protezione dei dati anche quando il diritto svizzero impone di notificare l’incidente all’IFPDT. I due ordinamenti vanno valutati separatamente.
2. Non si è verificata una violazione dei dati personali.
Un tentativo di attacco respinto senza compromettere dati personali non costituisce di per sé una violazione soggetta a notifica. Lo stesso vale per un incidente che riguarda esclusivamente informazioni prive di carattere personale.
Per contro, un furto di dati accertato non è un presupposto necessario: anche la distruzione, la modifica o la perdita di dati personali può costituire una violazione. «Non abbiamo rilevato alcuna esfiltrazione di dati» risponde quindi soltanto a una parte della verifica. L’autorità berlinese di protezione dei dati illustra le diverse forme che una violazione può assumere.[5]
3. È improbabile che sussista un rischio per gli interessati.
Anche se il RGPD si applica e una violazione dei dati personali è accertata, la notifica può non essere necessaria. Occorre però una valutazione comprensibile delle possibili conseguenze per le persone i cui dati sono coinvolti.
Un esempio è la perdita di un dispositivo spento e cifrato efficacemente. Se le chiavi rimangono protette e i dati restano disponibili grazie a copie di sicurezza funzionanti, la mancata notifica può essere giustificata. È determinante la protezione effettiva: una semplice password di accesso o l’affermazione generale «i nostri dispositivi sono cifrati» non bastano a motivarla. Le linee guida del CEPD con esempi pratici trattano situazioni comparabili.[6]
Vanno valutate in particolare la sensibilità dei dati, la loro utilizzabilità da parte di terzi e le possibili conseguenze negative personali o economiche. Il numero degli interessati è un fattore, ma non crea automaticamente un’esenzione per i casi di lieve entità.
La mancanza di informazioni non va confusa con l’assenza di rischio. Se l’indagine non è ancora conclusa, può essere necessaria una notifica preliminare seguita da integrazioni. L’autorità bavarese di protezione dei dati prevede espressamente questa procedura.[7]
4. L’impresa agisce esclusivamente come responsabile del trattamento.
Un fornitore svizzero che tratta i dati interessati esclusivamente per conto altrui deve informare senza ingiustificato ritardo il titolare del trattamento ai sensi dell’art. 33 par. 2 RGPD. La notifica all’autorità secondo il par. 1 spetta in linea di principio al titolare. Può quindi non sussistere un obbligo del fornitore di informare personalmente un’autorità estera di protezione dei dati. Resta possibile effettuare la notifica per conto del cliente. Questa ripartizione dei ruoli risulta dall’art. 33 RGPD.[2]
Tale motivazione presuppone una corretta individuazione dei ruoli. Se il medesimo incidente coinvolge anche dati di cui il fornitore determina autonomamente le finalità del trattamento, questa parte va esaminata separatamente.
Più autorità: delimitare le competenze
Per le imprese prive di uno stabilimento rilevante nell’UE, il sistema europeo di notifica è particolarmente impegnativo. Secondo le linee guida del CEPD, una violazione soggetta a notifica deve essere comunicata alle autorità di controllo competenti degli Stati membri in cui risiedono gli interessati. Un rappresentante ai sensi dell’art. 27 RGPD non consente di accedere al cosiddetto sportello unico con un’autorità capofila. Lo stabilisce espressamente il punto 73 delle linee guida 9/2022.[8]
Ciò non implica tuttavia una notifica indiscriminata a tutte le autorità europee di protezione dei dati. Occorre anzitutto individuare gli Stati interessati e le rispettive autorità competenti. Una delimitazione accurata può ridurre sensibilmente l’onere, ma non giustifica automaticamente la rinuncia a ogni notifica all’estero. Neppure una notifica all’IFPDT sostituisce quelle necessarie in Europa.
Quali ulteriori obiezioni sono sostenibili?
L’esigenza di notifiche parallele può essere discussa sul piano della politica legislativa. Quando più autorità ricevono le stesse informazioni, sorgono costi, mentre la protezione aggiuntiva degli interessati può apparire limitata nel singolo caso.
Sul piano giuridico si potrebbe verificare se una determinata interpretazione della competenza sia compatibile con il testo normativo, il principio di proporzionalità e la certezza del diritto. Le linee guida non sono atti legislativi. A mio avviso, ciò può giustificare un esame approfondito o la contestazione di una concreta pretesa di competenza multipla.
Non ne deriva però un’esenzione generale affidabile dall’obbligo di notifica. L’art. 33 RGPD non prevede un’esenzione per costi amministrativi elevati. L’eccezione per sforzi sproporzionati nell’art. 34 par. 3 riguarda la comunicazione individuale agli interessati e prevede invece una comunicazione pubblica o una misura analoga. Non è applicabile alle notifiche alle autorità.[2]
Neppure il divieto svizzero di atti compiuti senza autorizzazione per conto di uno Stato estero offre una soluzione generale. Il Dipartimento federale di giustizia e polizia, il DFGP, afferma espressamente che una normale notifica contenente le informazioni previste dall’art. 33 par. 3 RGPD non rientra in questo divieto. A suo avviso non è necessaria un’autorizzazione federale. In particolare, il contenuto minimo non richiede un elenco nominativo degli interessati. Il DFGP lo illustra nelle spiegazioni sull’art. 271 CP e sulle notifiche ai sensi del RGPD.[9]
Ulteriori richieste di informazioni o di prove da parte di un’autorità estera possono sollevare questioni diverse. Vanno esaminate autonomamente, senza dedurne un divieto generale della notifica iniziale.
Infine, le imprese possono considerare la probabilità di una sanzione estera e della sua esecuzione. Si tratta però del rischio derivante dalla violazione di un obbligo. Ciò non risponde alla questione preliminare della sua esistenza. Chi rinuncia alla notifica pur riconoscendo un obbligo assume una decisione sul rischio giuridico e dovrebbe qualificarla come tale.
Sono previste semplificazioni, ma non si applicano ancora
Il dibattito europeo sulle riforme affronta l’onere delle notifiche. Nell’ambito del Digital Omnibus sono state proposte, fra l’altro, l’estensione del termine di notifica a 96 ore e la limitazione della notifica alle autorità alle violazioni che comportano verosimilmente un rischio elevato. Il CEPD e il Garante europeo della protezione dei dati sostengono queste modifiche nel loro parere congiunto del febbraio 2026.[10]
Il Consiglio ha adottato la propria posizione negoziale il 21 ottobre 2026. Sostiene un termine di notifica più lungo e prevede punti di accesso nazionali per le segnalazioni previste da diverse disposizioni dell’UE. Si tratta di una posizione negoziale del Consiglio, non ancora di una nuova disciplina applicabile.[11]
All’11 novembre 2026, la procedura legislativa è ancora aperta. Le imprese non possono quindi anticipare l’applicazione della soglia di notifica più elevata proposta né del termine di 96 ore.[12]
La mancata notifica richiede una motivazione solida
Una buona nota decisionale indica:
- quali dati e operazioni di trattamento sono interessati;
- perché il RGPD si applica oppure no;
- quale ruolo assume l’impresa;
- quali conseguenze sono possibili per gli interessati e quali misure di protezione sono effettivamente efficaci;
- perché si procede alla notifica o vi si rinuncia e quando nuove informazioni impongono una rivalutazione.
Una mancata notifica giustificata non esonera da altri obblighi. Oltre al diritto svizzero sulla protezione dei dati, dall’aprile 2025 gli operatori di infrastrutture critiche rientranti nel campo di applicazione possono ad esempio essere soggetti a obblighi autonomi di notifica all’Ufficio federale della cibersicurezza.[13]
Un’impresa svizzera può dunque giungere alla conclusione giuridicamente fondata di non dover informare alcuna autorità europea di protezione dei dati. Tale conclusione deve poggiare sull’esame del caso concreto: ambito di applicazione, ripartizione dei ruoli e rischio devono sostenere la decisione. La sola sede in Svizzera non è sufficiente.