I miei dati sono finiti in un data breach: posso chiedere il risarcimento?

Una breve email che dice «i tuoi dati potrebbero essere stati coinvolti» è il punto in cui quasi tutti si fermano. Tu non devi farlo. Nell'UE e nel Regno Unito il GDPR ti permette di chiedere all'azienda cosa è successo esattamente, e l'azienda deve rispondere entro un mese. Se la violazione ti ha causato un danno, puoi chiedere il risarcimento ai sensi dell'articolo 82. Copre il denaro che hai perso e il danno immateriale, compreso il timore che i tuoi dati vengano usati in modo illecito. La violazione da sola non basta: devi dimostrare il danno.

Cosa ti deve l'azienda dopo una violazione

Quando una violazione può presentare un rischio elevato per te, l'azienda deve comunicartelo senza ingiustificato ritardo, con un linguaggio semplice e chiaro. La comunicazione deve indicare le probabili conseguenze, cosa ha fatto per porre rimedio alla violazione e chi puoi contattare, ad esempio il suo responsabile della protezione dei dati.

Deve anche notificare la violazione alla sua autorità per la protezione dei dati entro 72 ore da quando ne è venuta a conoscenza, a meno che sia improbabile che ne derivi un rischio.

Poi puoi chiedere di più. Con l'articolo 15 puoi ottenere una copia dei dati che l'azienda conserva su di te, sapere a chi sono stati comunicati e da dove provengono. L'azienda deve rispondere entro un mese. Per le richieste complesse può prorogare il termine di due mesi, ma deve dirtelo entro il primo mese e spiegarti perché.

Quando puoi chiedere il risarcimento

La Corte di giustizia dell'UE ha fissato i criteri nel 2023. Servono tre elementi insieme:

• Una violazione del GDPR, ad esempio misure di sicurezza non sufficienti a proteggere i tuoi dati.
• Un danno: denaro che hai perso, o un danno immateriale.
• Un nesso tra i due: il danno deriva dalla violazione.

Per il danno immateriale non esiste una soglia minima di gravità. Ma la Corte è stata chiara: la violazione da sola non fa scattare il risarcimento. Devi dimostrare quali conseguenze ha avuto su di te.

«Siamo stati hackerati» non chiude la questione

Spesso le aziende rispondono di essere state vittima di un attacco criminale. La Corte ha esaminato proprio questo caso nel dicembre 2023, dopo un attacco informatico all'agenzia delle entrate bulgara.

• Il timore conta. Il timore di un possibile uso illecito dei tuoi dati può costituire di per sé un danno immateriale.
• L'onere della prova è loro. L'azienda deve dimostrare che le sue misure di sicurezza erano adeguate.
• Un attacco informatico non prova nulla, né in un senso né nell'altro. Non dimostra di per sé che la loro sicurezza abbia fallito, e non li esonera da responsabilità.

Ai sensi dell'articolo 82, paragrafo 3, l'azienda è esonerata dalla responsabilità solo se dimostra di non esserne in alcun modo responsabile.

Nel Regno Unito lo UK GDPR ha lo stesso articolo 82, ma i giudici britannici non sono vincolati da queste sentenze dell'UE e quindi decidono i criteri in autonomia.

A chi presentare reclamo

Puoi presentare reclamo all'autorità per la protezione dei dati del paese in cui vivi, in cui lavori o in cui è avvenuta la violazione.

Paese	Autorità per la protezione dei dati
Francia	CNIL
Germania	L'autorità per la protezione dei dati del tuo Land (a livello federale, il BfDI)
Spagna	AEPD
Italia	Garante per la protezione dei dati personali
Portogallo	CNPD
Paesi Bassi	Autoriteit Persoonsgegevens
Polonia	UODO
Belgio	APD-GBA
Irlanda	Data Protection Commission
Regno Unito	Information Commissioner's Office (ICO)

L'autorità può svolgere indagini e ordinare all'azienda di intervenire. Non riconosce risarcimenti: quelli arrivano dall'azienda o da un giudice.

Come chiedere il rimborso, passo dopo passo

1. Prima metti al sicuro i tuoi account. Cambia le password esposte, attiva la verifica in due passaggi e avvisa la tua banca se sono coinvolti i dati della carta o del conto.
2. Conserva tutto. La comunicazione della violazione, ogni SMS truffa, chiamata o tentativo di accesso ricevuto da allora, e le ricevute di ogni spesa.
3. Tieni un breve diario. Data, cosa hai fatto, quanto tempo ci è voluto e che effetto ha avuto su di te. È la tua prova del danno immateriale.
4. Scrivi al responsabile della protezione dei dati. Chiedi quali dati sono stati coinvolti, quando, cosa hanno fatto e se hanno notificato la violazione. Chiedi una copia dei tuoi dati.
5. Chiedi il risarcimento nello stesso messaggio. Cita l'articolo 82, descrivi il danno e indica l'importo che chiedi. L'importo lo scegli tu: basati sulle ricevute e su un resoconto onesto delle conseguenze.
6. Indica una scadenza. Un mese, come previsto dall'articolo 12, paragrafo 3.

Il messaggio da inviare

Oggetto: Violazione dei dati personali comunicata il 14 ottobre 2026: richiesta di informazioni e di risarcimento

Sono vostro cliente (codice cliente 4471920). Con la vostra email del 14 ottobre 2026 mi avete informato che i miei dati personali sono stati coinvolti in una violazione dei vostri sistemi.

Ai sensi degli articoli 15 e 34 del GDPR, vi chiedo di indicarmi con precisione quali miei dati sono stati coinvolti, quando è avvenuta la violazione e quando ne siete venuti a conoscenza, cosa avete fatto per contenerla e se e quando l'avete notificata all'autorità per la protezione dei dati. Vi chiedo inoltre di inviarmi una copia dei dati personali che conservate su di me.

Dopo la violazione ho ricevuto quattro SMS di phishing con il mio nome e i dettagli dei miei ordini, e ho impiegato circa quattro ore per cambiare le password e controllare i miei account. Ai sensi dell'articolo 82 del GDPR chiedo un risarcimento di €300 per il disagio e il tempo che tutto questo mi ha causato.

Vi chiedo di rispondere entro un mese, cioè entro il 14 novembre 2026, come previsto dall'articolo 12, paragrafo 3.

Sostituisci i dettagli con i tuoi. Allega la comunicazione e i tuoi screenshot.

Termini e cosa fare se rifiutano

• Nessuna risposta dopo un mese: invia un breve sollecito con una scadenza finale a 14 giorni.
• Un rifiuto o un'offerta bassa: invia un reclamo formale. Cita l'articolo 82, paragrafo 3, e le sentenze della Corte del 2023, e chiedi la loro posizione definitiva per iscritto.
• Ancora un no: presenta reclamo all'autorità per la protezione dei dati e, per il risarcimento, rivolgiti al giudice. Puoi fare causa dove l'azienda ha una sede o dove vivi. Per gli importi più bassi esistono procedure per le controversie di modesta entità, e il procedimento europeo per le controversie di modesta entità vale per un'azienda di un altro paese dell'UE.
• I termini per fare causa sono fissati dalla legge di ogni paese. Verifica quelli del tuo prima di aspettare troppo.

Se le persone coinvolte sono molte, chiedi a un'associazione dei consumatori se esiste già un'azione collettiva.

In breve

Chiedi all'azienda cosa è successo ai tuoi dati e ottieni una copia entro un mese. Se la violazione ti è costata denaro, tempo o serenità, chiedi il risarcimento ai sensi dell'articolo 82 con le tue prove. «Siamo stati hackerati» non è di per sé una difesa. Se rifiutano, presenta reclamo all'autorità per la protezione dei dati e porta la richiesta davanti al giudice.

Domande

Quanto posso ottenere di risarcimento per una violazione dei dati?

Il GDPR non fissa importi, quindi decidono i giudici di ogni paese. Le spese reali che hai sostenuto contano per intero, mentre per il disagio l'importo dipende da quello che riesci a dimostrare su come la violazione ti ha colpito.

L'azienda dice che finora nessuno ha usato illecitamente i miei dati. Posso comunque chiedere il risarcimento?

Sì. La Corte di giustizia dell'UE ha stabilito che il timore di un possibile uso illecito dei tuoi dati può costituire di per sé un danno immateriale, ma devi comunque dimostrare di averlo subito.

L'autorità per la protezione dei dati mi farà ottenere un risarcimento?

No. L'autorità può svolgere indagini e ordinare all'azienda di intervenire, ma il risarcimento arriva dall'azienda stessa o, se rifiuta, da un giudice.

Mi hanno offerto un servizio gratuito di monitoraggio del credito. Devo accettare?

È una protezione utile, ma non è un risarcimento per il danno che hai già subito. Leggi prima l'offerta: se dice che chiude la tua richiesta, accettandola rinunci al risarcimento.

Informazioni generali, non consulenza legale. Le regole cambiano e dipendono da dove vivi: controlla la fonte ufficiale prima di basarti su una data o un importo.

Fonti

• GDPR, Regolamento (UE) 2016/679, articoli 12, 15, 33, 34, 77 e 82 (EUR-Lex, verificato a ottobre 2026)
• Corte di giustizia dell'UE, causa C-300/21, 4 maggio 2023 (verificato a ottobre 2026)
• Corte di giustizia dell'UE, causa C-340/21, 14 dicembre 2023 (verificato a ottobre 2026)
• Comitato europeo per la protezione dei dati: autorità nazionali per la protezione dei dati (verificato a ottobre 2026)