Data breach con l'IA: va notificato al Garante?

Qualcuno nello studio ha incollato in una chat di intelligenza artificiale il documento di un cliente. Può essere un data breach da notificare al Garante, e se lo è il termine di 72 ore probabilmente sta già correndo. Ma non corre da quando è successo: corre da quando lo studio lo ha saputo.

La parte utile è il dettaglio, perché gli obblighi sono tre e spesso si confondono in uno solo. Documentare l’incidente è obbligatorio sempre. Notificarlo al Garante, solo se il rischio per le persone è probabile. Avvisare il cliente, solo se quel rischio è elevato. Hanno presupposti diversi, e arrivare tardi a ciascuno costa cose diverse.

Questa guida parte dal momento in cui il testo è già uscito. Se sei ancora al passo prima, cioè quale strumento si può usare e con quali regole, la risposta sta nella guida su GDPR e intelligenza artificiale, e la parte organizzativa nel modello di policy per i dipendenti.

Data breach con l’IA: la risposta in tre domande

Il percorso è scritto nel regolamento e ha un ordine. Chi lo salta finisce per notificare troppo, troppo poco o troppo tardi. La prima domanda è se c’è stata una violazione. La seconda, se ne deriva un rischio probabile per le persone. La terza, se quel rischio è elevato.

Domanda	Norma	Se la risposta è sì
C’è stata una violazione dei dati personali?	Art. 4, punto 12, GDPR	Documentarla, sempre
È probabile un rischio per le persone?	Art. 33 GDPR	Notificare al Garante entro 72 ore
Il rischio è elevato?	Art. 34 GDPR	Comunicarla anche all’interessato

Solo la seconda domanda decide la notifica al Garante, e la terza decide se devi anche chiamare il cliente. L’obbligo di documentare non dipende da nessuna delle due: nasce appena la prima risposta è sì, e resta intatto anche se concludi che non c’è niente da notificare.

Quando un documento incollato in una chat è un data breach

Non ogni uso di uno strumento di IA con dati di clienti è un data breach. A decidere non è lo strumento, ma se c’è stata una divulgazione o un accesso non autorizzati. L’articolo 4, punto 12, del GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Le linee guida del Comitato europeo distinguono tre famiglie di violazioni: di riservatezza, di integrità e di disponibilità. Un testo incollato in una chat è quasi sempre la prima, cioè una divulgazione o un accesso non autorizzati o accidentali. Non serve un attacco informatico: basta un documento finito dove non doveva, come spiega anche la guida su cosa succede quando carichi un documento su ChatGPT.

Il testo è uscito dallo studio, ed è questo che conta

La domanda utile non è se il servizio sia buono o cattivo, ma se il contenuto è uscito dal tuo controllo. Un testo incollato in una chat viene trasmesso a un terzo, conservato nei suoi sistemi e sottoposto alle sue condizioni. Se è successo senza una base che lo copra, può rientrare nella definizione.

Che cosa conserva ciascun fornitore, per quanto e chi lo può leggere cambia da uno all’altro, e cambia tra i piani dello stesso fornitore. Il dettaglio, con la data di ogni documento ufficiale, è nelle guide su ChatGPT e la privacy e su Claude e la privacy.

Il contratto decide, non il marchio

La differenza tra un incidente da valutare e un trattamento ordinario sta spesso in un foglio, non nel nome del prodotto. Se con quel fornitore è in vigore un contratto di responsabile del trattamento con i contenuti dell’articolo 28, e l’account era quello dello studio, l’uso può essere coperto. Se non c’è, lo stesso testo nello stesso strumento è un’altra cosa.

Per questo la prima telefonata dopo l’incidente non va al cliente né alla compagnia assicurativa, ma a chi tiene il registro dei trattamenti e sa se quel fornitore è dentro o fuori. Lo stesso vale per Microsoft Copilot e per Gemini: la differenza tra account personale e account di lavoro è tutta lì.

Togliere il nome non chiude la pratica

È forte la tentazione di chiudere l’incidente dicendo che i nomi erano stati tolti. Il rischio si riduce davvero, e il GDPR lo riconosce: l’articolo 34, paragrafo 3, esonera dalla comunicazione agli interessati quando i dati erano stati resi incomprensibili a chiunque non fosse autorizzato ad accedervi, e cita la cifratura come esempio.

La parola da leggere piano è incomprensibili. Un atto da cui hai tolto il nome ma che conserva il numero di ruolo, la data dell’udienza, il tribunale e i fatti della causa permette ancora di arrivare alla persona. Lì i dati personali ci sono ancora, e conviene non scrivere il contrario. È la differenza che la guida sui dati pseudonimizzati spiega per esteso.

Le 72 ore decorrono da quando lo sai, non da quando è successo

L’articolo 33 del GDPR chiede di notificare senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Le linee guida 9/2022 del Comitato europeo per la protezione dei dati, nella versione 2.0 adottata il 28 marzo 2023, spiegano che cosa vuol dire, in pratica, venire a conoscenza.

72 ore

La differenza in pratica è enorme. Un documento incollato tre settimane fa che salta fuori oggi non ti mette fuori termine di tre settimane: ti mette dentro, con il conto che parte oggi. Quello che conta è che da quel momento non c’è più margine per lasciarlo riposare. E il regolamento conta in ore: un venerdì sera alle sei porta la scadenza al lunedì sera alle sei.

Una delle prime cose che vorrai sapere è per quanto tempo il fornitore conserva quello che è stato scritto, perché entra nella valutazione del rischio. Sono tempi suoi e non hanno niente a che fare con il termine di notifica: per ChatGPT, per esempio, cancellare una chat non cancella i ricordi salvati che ne sono nati.

La breve indagine che le linee guida concedono

Le linee guida dicono che, quando qualcuno segnala una possibile violazione, il titolare può svolgere una breve indagine per stabilire se c’è stata davvero, e che durante quel periodo non si considera ancora a conoscenza. Aggiungono subito la condizione: l’indagine iniziale deve partire il prima possibile e arrivare a una ragionevole certezza.

Non è un modo per prendere tempo. È il tempo per aprire la chat, leggere che cosa è stato incollato e capire se dentro c’erano dati personali. Per un documento incollato in un assistente di solito bastano pochi minuti, e da lì il conto è partito.

Chi lo sa, dentro lo studio

Le linee guida chiedono procedure interne perché una violazione rilevata arrivi subito a chi deve decidere (par. 37), e avvertono che l’inerzia del titolare può essere considerata una mancata notifica (par. 40). Se un praticante vede l’incidente il martedì e lo dice il venerdì, è difficile sostenere che il conto sia partito il venerdì. Quello che regge è avere scritto a chi si segnala e in quanto tempo.

È la ragione per cui la policy per i dipendenti deve dire a chi si segnala, e proteggere chi lo fa. Una regola che punisce chi sbaglia senza tutelare chi segnala produce silenzio, e il silenzio non ferma il termine.

La notifica per fasi

È il punto che toglie più ansia. Non serve avere tutto chiaro entro 72 ore. L’articolo 33, paragrafo 4, consente di fornire le informazioni in fasi successive, senza ulteriore ingiustificato ritardo, quando non è possibile darle tutte insieme.

Momento	Che cosa si fa	Che cosa può restare aperto
Entro 72 ore	Prima notifica, dicendo che è incompleta	Portata esatta e conseguenze
Appena si sa di più	Integrazione della notifica	Solo quello che si sta ancora verificando
Se si sa già tutto	Notifica completa	Niente

Le linee guida raccomandano di dire all’Autorità, già nella prima notifica, che non hai ancora tutte le informazioni e che le fornirai dopo. Se la notifica arriva oltre le 72 ore, va accompagnata dai motivi del ritardo: lo chiede l’articolo 33 e lo ripete il Garante nella sua pagina sul data breach. E se poi l’incidente si rivela non essere una violazione, le linee guida precisano che averlo segnalato non comporta alcuna sanzione (par. 60).

Data breach e notifica al Garante: come si fa

In Italia il percorso è unico e passa da un solo indirizzo. Dal 1° luglio 2021 la notifica al Garante si fa soltanto con la procedura telematica del portale dei servizi online dell’Autorità. Lo ha stabilito il provvedimento n. 209 del 27 maggio 2021, che ha cambiato contenuto e modalità della notifica fissati nel 2019 con il provvedimento n. 157.

La pagina del Garante sul data breach dice a chi tocca: al titolare del trattamento, che sia un soggetto pubblico, un’impresa, un’associazione o un professionista. Se il tuo è un Comune, le regole su che cosa può uscire dagli uffici sono nella guida sull’intelligenza artificiale nei Comuni.

L’autovalutazione e il facsimile

Sullo stesso portale il Garante mette a disposizione due cose che conviene aprire prima di notificare. La prima è uno strumento di autovalutazione, che aiuta a capire quali azioni intraprendere dopo una violazione nata da un incidente di sicurezza. Non decide al posto tuo, e la decisione va comunque scritta.

La seconda è un facsimile del modulo, che l’Autorità avverte di non usare per notificare ma che serve per vedere in anteprima che cosa ti verrà chiesto. Prima di entrare conviene avere a portata di mano l’ora della scoperta e il contenuto minimo che il regolamento chiede a ogni notifica.

Art. 33, par. 3	Che cosa preparare
Natura della violazione	Categorie e numero approssimativo di persone e di dati coinvolti
Punto di contatto	Il responsabile della protezione dei dati, o chi ne fa le veci
Conseguenze probabili	Che cosa può succedere alle persone coinvolte
Misure	Quelle adottate o proposte per rimediare e attenuare gli effetti

Il destinatario affidabile, e perché il fornitore di IA ci assomiglia solo a volte

Le linee guida 9/2022 hanno un passaggio che pesa molto in questi casi. Al paragrafo 114 parlano dei dati inviati per errore a un destinatario con cui il titolare ha un rapporto continuativo, per esempio un fornitore usato di frequente. Quel destinatario, dicono, può essere considerato affidabile.

Se lo è, il titolare può ragionevolmente aspettarsi che non legga i dati e che segua l’istruzione di restituirli o distruggerli. L’affidabilità del destinatario può neutralizzare la gravità delle conseguenze, e allora la notifica al Garante e alle persone può non essere più necessaria. Le linee guida aggiungono due cose: che la violazione c’è stata comunque, e che va registrata lo stesso.

Quando l’argomento regge, e quando no

L’argomento è tuo da valutare caso per caso, e le linee guida non lo applicano ai servizi di IA. Ma il ragionamento aiuta a mettere in fila le domande. C’è un contratto con quel fornitore, con impegni scritti sulla conservazione e sull’uso dei dati? L’account era quello dello studio, con l’addestramento spento? Hai potuto cancellare la conversazione, e sai che cosa resta?

Con un account personale, l’addestramento acceso e nessun contratto, la risposta va nella direzione opposta: il destinatario non è uno che conosci, e non hai modo di chiedergli niente. Che cosa cambia da un piano all’altro lo spiega la guida su ChatGPT e la privacy, e la stessa domanda vale per le foto caricate su ChatGPT.

Quando bisogna avvisare il cliente: l’articolo 34

La comunicazione all’interessato ha una soglia più alta della notifica. L’articolo 34 del GDPR la chiede quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, e va fatta senza ingiustificato ritardo, con un linguaggio semplice e chiaro.

Il paragrafo 3 elenca tre casi in cui non serve: i dati erano incomprensibili a chi non era autorizzato, il titolare ha preso misure che scongiurano il rischio elevato, oppure avvisare le persone una per una richiederebbe sforzi sproporzionati, e allora si procede con una comunicazione pubblica. Nei referti, dove un dettaglio basta a identificare il paziente, la soglia si raggiunge in fretta: lo spiega la guida sui referti medici e l’intelligenza artificiale.

Quando il Garante non è d’accordo con la tua valutazione

Il paragrafo 4 dell’articolo 34 dà al Garante il potere di chiederti di comunicare la violazione, se ritiene che il rischio sia elevato e tu non l’hai fatto. È successo davvero, e il caso è istruttivo anche se non c’entra l’IA.

Con il provvedimento n. 659 del 2 novembre 2024, il Garante ha ordinato a Intesa Sanpaolo di informare i clienti coinvolti in una violazione dei dati bancari senza ritardo e comunque entro venti giorni dalla ricezione del provvedimento. Nel comunicato del 5 novembre l’Autorità spiega di aver valutato il rischio come elevato, diversamente dalla banca, e chiede un riscontro documentato entro trenta giorni.

20 giorni

La lezione per uno studio è semplice: la valutazione del rischio è tua, ma non è definitiva. Va motivata per iscritto, perché è proprio quella motivazione che l’Autorità leggerà se un giorno la mette in discussione. Se il documento conteneva dati sanitari o sindacali, la soglia si abbassa: quali siano nelle carte di uno studio lo spiega la guida sui dati sensibili GDPR.

I data breach in Italia, con i numeri del Garante

Molti si chiedono se notificare non sia peggio che tacere. Ha una risposta misurabile, perché il Garante pubblica i suoi numeri. Nella Relazione sull’attività 2025, presentata il 2 luglio 2026, l’Autorità scrive di aver ricevuto 2.415 notifiche di data breach, il 10 per cento in più dell’anno prima.

2.415data breach notificati nel 2025

1.901nel settore privato

514nel settore pubblico

Il dato che conta è da dove arrivano. I 1.901 casi del settore privato riguardano soprattutto piccole e medie imprese e professionisti, oltre alle società di telecomunicazioni, energia, banche e servizi. I 514 del settore pubblico vengono soprattutto da Comuni, scuole e strutture sanitarie. Chi notifica, insomma, sono in buona parte uffici come il tuo.

Anche ChatGPT ha avuto il suo data breach

C’è un precedente che in Italia tutti ricordano per un’altra ragione. Il 30 marzo 2023 il Garante ha bloccato ChatGPT, e nel comunicato del giorno dopo, tra i motivi, ricordava che il servizio aveva subito il 20 marzo una perdita di dati riguardante le conversazioni degli utenti. Il data breach, quella volta, era del fornitore.

Va raccontato bene anche il seguito. Nel comunicato del 20 dicembre 2024 il Garante contestava a OpenAI, tra l’altro, di non avergli notificato quella violazione, e annunciava una sanzione da 15 milioni di euro. Il provvedimento n. 755 del 2 novembre 2024 è stato poi tolto temporaneamente dal sito del Garante, dopo che il Tribunale di Roma, con la sentenza n. 4153/2026 pubblicata il 18 marzo 2026, ha accolto l’opposizione: la vicenda è nella guida sul segreto professionale con ChatGPT. Resta il punto di metodo: il fornitore può avere i suoi incidenti, e i tuoi dati ci sono dentro solo se ce li hai messi tu.

Se sei responsabile del trattamento per il tuo cliente

Molti commercialisti, consulenti del lavoro ed elaboratori paghe trattano dati per conto dei clienti, e in quel rapporto sono responsabili del trattamento, non titolari. Cambia tutto. L’articolo 33, paragrafo 2, dice che il responsabile informa il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. Da lì il tuo compito è assisterlo, come prevede l’articolo 28, paragrafo 3, lettera f).

Compito	Responsabile	Titolare
Informare dell’incidente	Sì, senza ingiustificato ritardo	Non applicabile
Valutare il rischio	Lo assiste	Sì
Notificare al Garante	No	Sì, se il rischio è probabile
Comunicare all’interessato	No	Sì, se il rischio è elevato

Il regolamento non fissa un termine in ore per questo avviso interno, ed è la ragione per cui conviene scriverlo nel contratto. Se l’avviso arriva al cliente il giorno dopo, le sue 72 ore sono già più corte. Per uno studio di commercialisti è la clausola da rileggere per prima.

Il responsabile risponde lo stesso delle sue misure

Essere responsabile non è una posizione comoda. Il 26 febbraio 2026, con il provvedimento n. 119, il Garante ha sanzionato con 32.000 euro un fornitore di software, in quanto responsabile del trattamento per alcune aziende sanitarie: un aggiornamento del sistema di rilevazione presenze mostrava ai colleghi le richieste di permesso, comprese quelle per la legge 104. Il fornitore sosteneva che fossero informazioni del tutto generiche. L’Autorità ha risposto che il solo riferimento alla legge 104 permette di ricavare informazioni sulla salute.

Per uno studio professionale c’è anche il segreto

Qui uno studio legale, un commercialista o uno studio medico smettono di somigliare a qualunque altra impresa. La notifica al Garante riguarda la protezione dei dati. Il segreto professionale è un altro obbligo, con un altro destinatario, e nessuna notifica lo estingue.

L’articolo 622 del codice penale punisce chi rivela senza giusta causa un segreto conosciuto per ragione della propria professione, se dal fatto può derivare nocumento, con la reclusione fino a un anno o la multa da 30 a 516 euro, a querela della persona offesa. Il testo parla di rivelare, una condotta dolosa: un incidente nato da una distrazione non coincide automaticamente con il reato. Ma un cliente che lo scopre da altri può decidere di querelare.

La legge sull’IA ha aggiunto due cose

La legge 132 del 2025 pesa qui in due modi. Dal 10 ottobre 2025, per l’articolo 13, il professionista deve comunicare al cliente quali sistemi di intelligenza artificiale usa, con linguaggio chiaro, semplice ed esaustivo, e la frase da usare è nella guida sull’informativa ai clienti. E l’articolo 26 ha aggiunto all’articolo 61 del codice penale un’aggravante comune per i reati commessi con sistemi di IA, che però scatta solo a condizioni precise e la valuta un giudice.

Gli obblighi del regolamento europeo sull’IA sono un’altra cosa ancora, e per chi usa questi strumenti in ufficio stanno nella guida sull’AI Act per i deployer. Per un avvocato il punto pratico è lo stesso: la notifica chiude il conto con il Garante, non quello con il cliente.

La prima ora, nell’ordine in cui conta

1. Annota l’ora esatta. Non quella dell’incidente, che può non essere nota: quella in cui lo studio lo ha saputo. È l’inizio di qualunque termine che si discuterà.
2. Ricostruisci che cosa è stato incollato, alla lettera. Non il riassunto di chi l’ha fatto: il testo esatto, con i suoi identificativi, decide il resto della valutazione.
3. Controlla l’account e il contratto. Account dello studio o personale, contratto di responsabile in vigore o no, addestramento acceso o spento.
4. Cancella quello che si può cancellare, e annota che cosa no. Conversazioni, file caricati, link condivisi, ricordi salvati. Anche quello che non si riesce a togliere va scritto.
5. Decidi se il rischio è probabile, e scrivi perché. Con lo strumento di autovalutazione del Garante o senza, la decisione e il suo motivo sono quello che dovrai mostrare.
6. Se lo è, notifica entro le 72 ore. Senza aspettare di sapere tutto: la notifica per fasi esiste per questo.
7. Guarda il termine della polizza, che è un altro. La denuncia alla compagnia segue il contratto, non il GDPR: che cosa copre lo spiega la guida sulla polizza cyber risk, e il questionario della polizza ti chiederà poi come usi l’IA.

Che cosa non fare in quella prima ora

1. Non cancellare le tracce interne. Le email, i messaggi e gli appunti che documentano l’incidente sono la prova della tua diligenza, non il tuo problema.
2. Non chiamare subito il cliente. La comunicazione dell’articolo 34 ha la sua soglia, e una telefonata improvvisata prima di averla valutata non aiuta nessuno.
3. Non chiudere la pratica perché il rischio è improbabile. È una decisione legittima e va documentata lo stesso, con il suo motivo.
4. Non scrivere che i dati erano anonimizzati se hai solo tolto il nome. È un’affermazione che l’Autorità può verificare, e la guida su quali dati togliere da un documento spiega perché raramente è vera.

Documentare è obbligatorio anche se non notifichi

L’articolo 33, paragrafo 5, del GDPR obbliga il titolare a documentare qualsiasi violazione dei dati personali, con le circostanze, le conseguenze e i provvedimenti adottati per porvi rimedio, in modo che il Garante possa verificare il rispetto della norma. La pagina dell’Autorità aggiunge il come: a prescindere dalla notifica, ad esempio con un registro apposito.

È il finale più probabile dell’incidente che hai avuto. Molti casi di un documento incollato per errore si chiudono con una valutazione motivata di rischio improbabile. Quella valutazione non chiude l’adempimento: è proprio la parte che va scritta. Se è uscito un PDF oscurato, la valutazione comincia dal controllare se il testo era ancora sotto il rettangolo nero.

Che cosa si scrive	Perché
Ora della conoscenza e chi l’ha avuta	È l’inizio di ogni termine che si discuterà
Quali dati e di quante persone	Decide il livello di rischio
Che cosa si è fatto per contenerlo, e quando	Sono i provvedimenti dell’art. 33, par. 5
La decisione, notificare o no, e il motivo	È ciò che il Garante può chiedere di vedere

Per uno studio piccolo il registro è una cartella e un documento per incidente, senza progetti. Quello che non può essere è un’email persa nella casella di qualcuno che fra due anni non lavorerà più lì.

Che cosa cambia uno strumento la prossima volta

Uno strumento cambia che cosa esce dallo studio la prossima volta, e questo sposta l’intera valutazione: se quello che è uscito era meno riconducibile alle persone, cambiano sia il rischio dell’articolo 33 sia quello dell’articolo 34. Con un Word, la prossima volta si comincia da accettare le revisioni e togliere i commenti prima di inviarlo.

Nonimo è un’applicazione per Mac e Windows che sostituisce i dati identificativi sul tuo computer, con un tasto, prima che il testo parta. Ecco una nota di fascicolo sintetica, presa dalla dimostrazione registrata nella pagina iniziale (motore del 12 ottobre 2026):

Prima                                       Dopo
  Amministratrice: sig.ra Ornella Vezzani   Amministratrice: sig.ra [PERSONA_1]
  PEC: ornella.vezzani@example.com          PEC: [EMAIL_1]
  Debitore: sig. Loris Bergonzini           Debitore: sig. [PERSONA_2]
  C.F. debitore: BRGLRS74B31T618R           C.F. debitore: [CODICE_FISCALE_1]
  Tribunale di Modena, R.G. n. 3187/2026    Tribunale di Modena, R.G. n. [RIFERIMENTO_2]

Riconosce gli identificativi delle carte italiane, dal codice fiscale alla partita IVA e all’IBAN, e la corrispondenza per tornare indietro resta cifrata sul tuo computer. Il fatto della causa resta nel testo: un incidente con le etichette al posto dei nomi va comunque documentato. Che cosa conserva e che cosa esce lo dice la pagina sulla sicurezza, e il controllo sul codice fiscale ha una guida tutta sua.

Fonti

Tutte verificate il 13 ottobre 2026.

• Regolamento (UE) 2016/679, GDPR (EUR-Lex): art. 4, punto 12, per la definizione di violazione dei dati personali; art. 28 per il contratto con il responsabile e il suo dovere di assistere il titolare (par. 3, lett. f); art. 33 per le 72 ore dalla conoscenza, i motivi del ritardo, l’avviso del responsabile al titolare (par. 2), il contenuto della notifica (par. 3), le fasi successive (par. 4) e la documentazione (par. 5); art. 34 per la comunicazione all’interessato in caso di rischio elevato, le tre esenzioni (par. 3) e il potere dell’autorità di richiederla (par. 4).
• Garante per la protezione dei dati personali, pagina sul data breach (garanteprivacy.it): chi deve notificare, la procedura telematica dal 1° luglio 2021, lo strumento di autovalutazione, il facsimile da non usare per la notifica, i motivi del ritardo oltre le 72 ore e la documentazione di tutte le violazioni, ad esempio in un registro.
• Garante, provvedimento n. 209 del 27 maggio 2021 (doc. web 9667201): procedura telematica per la notifica delle violazioni dal 1° luglio 2021, che modifica il provvedimento n. 157 del 30 luglio 2019.
• Garante, portale dei servizi online, sezione data breach (servizi.gpdp.it): la notifica telematica e lo strumento di autovalutazione.
• Comitato europeo per la protezione dei dati, linee guida 9/2022 sulla notifica delle violazioni dei dati personali, versione 2.0 adottata il 28 marzo 2023 (PDF in italiano): le tre famiglie di violazioni, la conoscenza e la breve indagine iniziale (parr. 33 e 34), le procedure interne e l’inerzia del titolare (parr. 37 e 40), la notifica per fasi (parr. 56 e 57), nessuna sanzione per un incidente segnalato che poi non è una violazione (par. 60), la notifica tardiva che non dovrebbe essere la regola (par. 65) e il destinatario affidabile (par. 114). La versione 1.0 è del 10 ottobre 2022.
• Comitato europeo per la protezione dei dati, linee guida 01/2021 con esempi di notifica (edpb.europa.eu): i casi pratici a cui rimanda la pagina del Garante.
• Garante, provvedimento n. 659 del 2 novembre 2024 (doc. web 10070521) e comunicato del 5 novembre 2024 (doc. web 10070547): l’ordine a Intesa Sanpaolo, ai sensi dell’art. 34, par. 4, di informare i clienti entro venti giorni dalla ricezione, il rischio valutato elevato diversamente dalla banca e il riscontro entro trenta giorni.
• Garante, Relazione sull’attività 2025, sintesi per la stampa, 2 luglio 2026 (doc. web 10266612): 2.415 data breach notificati, più 10 per cento sul 2024; 1.901 nel settore privato, soprattutto piccole e medie imprese e professionisti; 514 nel settore pubblico, soprattutto Comuni, scuole e strutture sanitarie.
• Garante, comunicato sul blocco di ChatGPT (doc. web 9870847): la limitazione del 30 marzo 2023, comunicata il 31 marzo, e la perdita di dati del 20 marzo riguardante le conversazioni degli utenti.
• Garante, comunicato del 20 dicembre 2024 sull’istruttoria su OpenAI (doc. web 10085432): tra le violazioni contestate, la mancata notifica al Garante del data breach del marzo 2023, e la sanzione da 15 milioni di euro.
• Garante, avviso sul provvedimento n. 755 del 2 novembre 2024 (doc. web 10085455): la rimozione temporanea del provvedimento dal sito dopo la sentenza del Tribunale di Roma n. 4153/2026, pubblicata il 18 marzo 2026, che ha accolto l’opposizione.
• Garante, provvedimento n. 119 del 26 febbraio 2026 (doc. web 10234928): sanzione di 32.000 euro, per l’art. 32 GDPR, a un fornitore di software responsabile del trattamento per conto di aziende sanitarie; le richieste di permesso visibili ai colleghi, comprese quelle per la legge 104, e la risposta del Garante sulla loro natura sanitaria.
• Codice penale, art. 622 (Normattiva): rivelazione di segreto professionale, punibile a querela, con la reclusione fino a un anno o la multa, se dal fatto può derivare nocumento. Gli importi in euro, da 30 a 516, sono quelli aggiornati dalle leggi generali successive.
• Legge 23 settembre 2025, n. 132, artt. 13 e 26 (Normattiva): l’informazione al cliente sull’uso dell’intelligenza artificiale da parte del professionista e la nuova aggravante comune dell’art. 61, n. 11-undecies, del codice penale.