I diritti delle vittime di attacchi informatici: obblighi di notifica, risarcimento e assicurazione

Di Tom Meevis, avvocato presso Law & More

Gli attacchi informatici come ransomware, phishing, attacchi DDoS e intrusioni nei sistemi informatici raramente colpiscono solo l'organizzazione attaccata. Le vittime degli attacchi informatici includono anche clienti, dipendenti, pazienti, fornitori e altri partner della catena di approvvigionamento che possono subire perdite, e la loro posizione legale varia da gruppo a gruppo. Chiunque cerchi di stabilire, dopo un attacco, quali obblighi sussistano e quali pretese sussistano, farebbe quindi bene a determinare innanzitutto con precisione chi è stato colpito e quali danni si sono verificati.

Questo articolo affronta, in successione, chi può essere considerato vittima, quando è necessario notificare una violazione dei dati, a quali condizioni sussiste il diritto al risarcimento, quali soggetti possono essere ritenuti responsabili, quale ruolo svolge il diritto penale, cosa copre in genere una polizza di assicurazione informatica e quali misure dovrebbero essere adottate immediatamente dopo un attacco.

Chi sono le vittime degli attacchi informatici?

In un attacco informatico si possono distinguere tre gruppi.

• L'organizzazione stessa colpita, che si trova ad affrontare tempi di inattività del sistema, perdita di fatturato, costi di ripristino, costi di indagine forense e danni alla reputazione.
• Persone fisiche i cui dati personali sono stati esposti, come clienti, dipendenti e pazienti. Possono subire perdite finanziarie, ma anche danni non patrimoniali dovuti alla perdita di controllo sui propri dati, all'incertezza o al timore di furto d'identità.
• Terze parti interessate tramite un rapporto contrattuale o di catena di fornitura, ad esempio perché dipendono da un fornitore i cui sistemi sono fuori servizio.

Questa classificazione è giuridicamente rilevante. La base di qualsiasi reclamo e la parte contro cui può essere presentato dipendono dalla posizione della vittima. Un'organizzazione lesa generalmente riterrà responsabile il proprio fornitore IT in base al contratto, mentre un interessato può fare affidamento direttamente sulla base autonoma di responsabilità prevista dal GDPR.

Quando è necessario notificare una violazione dei dati?

Qualora i dati personali siano coinvolti in un attacco informatico, occorre valutare se si sia verificata una violazione dei dati personali e se la notifica sia obbligatoria. L'articolo 33 del GDPR prevede che la violazione debba essere notificata all'autorità di controllo senza indebito ritardo e, ove possibile, entro settantadue ore, a meno che non sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche.

Inoltre, l'articolo 34 del GDPR può imporre all'organizzazione di informare direttamente gli interessati. Tale obbligo sorge quando la violazione dei dati è suscettibile di comportare un rischio elevato per i loro diritti e le loro libertà. La comunicazione può essere omessa qualora siano state adottate misure tecniche adeguate, come la crittografia, o qualora le misure successive garantiscano che il rischio elevato non si concretizzi più, o ancora qualora la comunicazione individuale comporti uno sforzo sproporzionato; in quest'ultimo caso, è sufficiente una comunicazione pubblica.

Per l'interessato, tale comunicazione è ben più di una semplice formalità. Gli consente di adottare misure preventive, ad esempio cambiando le password o monitorando eventuali transazioni sospette, e in pratica rappresenta spesso il punto di partenza per qualsiasi richiesta di risarcimento.

Un'organizzazione deve quindi accertare non solo che si sia verificato un attacco, ma anche quali dati siano stati compromessi, se i dati siano stati effettivamente esfiltrati e quali rischi ne derivino. A tal fine, un'indagine forense indipendente è spesso indispensabile.

Ciò vale a maggior ragione quando l'attacco si verifica presso un responsabile del trattamento piuttosto che presso l'organizzazione stessa. Nel procedimento sommario tra Blauw Research e Nebu (Tribunale distrettuale di Rotterdam, 6 aprile 2023, ECLI:NL:RBROT:2023:2931), il giudice per le misure cautelari ha stabilito che, in base all'accordo sul trattamento dei dati concluso tra le parti, il titolare del trattamento aveva diritto a maggiori informazioni sull'attacco, sulle sue conseguenze e sulle misure adottate rispetto a quelle inizialmente fornite. Al responsabile del trattamento è stato inoltre ordinato di far eseguire un'indagine forense indipendente e di presentare rapporti periodici. La sentenza dimostra che un accordo sul trattamento dei dati ben redatto è, in pratica, lo strumento più importante per ottenere tempestivamente informazioni dopo un incidente, proprio perché il titolare del trattamento necessita di tali informazioni per adempiere ai propri obblighi di notifica.

Quando sorge il diritto al risarcimento?

Ai sensi dell'articolo 82 del GDPR, gli interessati possono richiedere un risarcimento al titolare o al responsabile del trattamento. Un attacco informatico, tuttavia, non dà automaticamente diritto a un risarcimento. Deve essere comprovato:

• che il GDPR è stato violato;
• che il danno sia stato effettivamente subito; e
• che esista un nesso causale tra tale violazione e tale danno.

Il danno materiale può consistere in perdite finanziarie, costi di recupero o danni causati da frode d'identità. Per quanto riguarda il danno immateriale, la Corte di giustizia dell'Unione europea ha stabilito nella sentenza Österreichische Post (CGUE 4 maggio 2023, C-300/21) che non esiste una soglia minima di gravità, ma che la sola violazione del GDPR non è sufficiente per ottenere un risarcimento.

Di particolare rilevanza per le violazioni dei dati a seguito di un attacco informatico è la sentenza Natsionalna agentsia za prihodite (Corte di giustizia dell'Unione europea, 14 dicembre 2023, C-340/21). In tale sentenza, la Corte ha stabilito che il timore di un possibile futuro uso improprio dei dati personali trafugati può di per sé costituire un danno non materiale. L'interessato deve tuttavia dimostrare concretamente tale timore e le sue conseguenze; ​​il semplice fatto di constatare la fuga di dati non è sufficiente. Nella stessa sentenza, la Corte ha confermato che spetta al titolare del trattamento dimostrare l'adeguatezza delle misure di sicurezza adottate e che un attacco da parte di terzi non esonera di per sé il titolare del trattamento dalla responsabilità.

La responsabilità ai sensi del GDPR si affianca ai fondamenti di diritto civile dell'inadempimento contrattuale e dell'illecito civile. Ai sensi dell'articolo 6:162(1) del Codice civile olandese, la parte che commette un atto illecito imputabile deve risarcire il danno causato. Si applica il principio di relatività di cui all'articolo 6:163: la norma violata deve essere finalizzata a proteggere dal tipo di danno subito dalla parte lesa.

È importante sottolineare che, oltre a queste basi giuridiche, esiste anche l'articolo 82 del GDPR. Pertanto, l'interessato non è obbligato a fondare la propria azione legale esclusivamente sulla violazione del contratto o sull'illecito civile, ma può fare affidamento direttamente sulla base giuridica autonoma per la responsabilità prevista dal GDPR. Per l'organizzazione colpita, questa combinazione di basi giuridiche significa che, a seguito di un attacco, più soggetti possono presentare reclami contemporaneamente.

Chi può essere ritenuto responsabile?

L'organizzazione interessata può essere ritenuta responsabile qualora non adempia ai propri obblighi contrattuali o non adotti misure di sicurezza sufficienti. Anche un fornitore di servizi IT o un responsabile del trattamento dei dati può essere chiamato a rispondere. Le aspettative nei confronti di tale fornitore di servizi sono determinate in primo luogo dal contratto.

Nell'ambito di un rapporto di trattamento dei dati, l'accordo sul trattamento dei dati riveste un ruolo centrale. L'articolo 28 del GDPR impone al titolare del trattamento e al responsabile del trattamento di stipulare tale accordo, che disciplina, tra l'altro, le misure di sicurezza e la gestione delle violazioni dei dati. Qualora l'attacco derivi da una sicurezza inadeguata da parte del responsabile del trattamento, il titolare del trattamento può ritenere quest'ultimo responsabile, ai sensi di tale accordo, per la perdita subita.

Ciò emerge chiaramente dal caso relativo all'attacco informatico al comune di Hof van Twente (Tribunale distrettuale di Overijssel, 10 maggio 2023, ECLI:NL:RBOVE:2023:1731). Le parti avevano concordato un monitoraggio funzionale, non un monitoraggio della sicurezza. Il tribunale ha stabilito che il dovere di diligenza di un amministratore IT non si estende al punto da rendere il monitoraggio della sicurezza parte integrante di un incarico di monitoraggio funzionale, e ha respinto la richiesta del comune. Ha inoltre valutato che il comune stesso aveva preso decisioni che avevano aumentato il rischio, tra cui la sua politica sulle password e l'apertura di una porta RDP.

L'immagine speculare è il caso O'Cliance (Tribunale distrettuale di Amsterdam(14 novembre 2018, ECLI:NL:RBAMS:2018:10124). In quel caso, il fornitore aveva installato un'infrastruttura IT completa e se ne era assunto la gestione. A seguito di un attacco ransomware che aveva crittografato anche i backup, il tribunale ha stabilito che la fornitura di un pacchetto così completo comportava un obbligo di diligenza di vasta portata e che erano state omesse misure di sicurezza basilari. La responsabilità non è stata tuttavia riconosciuta integralmente: a causa del concorso di colpa del cliente, due terzi del danno sono rimasti a carico del fornitore.

Il caso di un account di posta elettronica di un concessionario auto violato illustra quanto possa essere gravoso l'onere della prova in merito all'adeguata sicurezza. Nella sentenza interlocutoria del 5 novembre 2024 (Corte d'Appello di Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), al concessionario è stata data la possibilità di dimostrare che il suo account di posta elettronica era stato adeguatamente protetto ai sensi del GDPR, dopo che un hacker lo aveva utilizzato per inviare un'istruzione di pagamento falsa a un acquirente. Nella successiva sentenza del 22 luglio 2025 (ECLI:NL:GHARL:2025:4556), la Corte ha constatato che tale prova non era stata fornita, dopodiché le parti dovevano ancora pronunciarsi sulla colpa concorrente dell'acquirente. Entrambe le sentenze riguardano quindi lo stesso procedimento.

Il filo conduttore è che gli accordi contrattuali, i rischi del trattamento, le misure effettivamente adottate, gli avvertimenti forniti da entrambe le parti e la condotta della parte lesa sono tutti elementi rilevanti. Oltre alla responsabilità civile, l' Autorità olandese per la protezione dei dati può imporre sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, a seconda di quale dei due importi sia maggiore. Tali sanzioni sono indipendenti dal fatto che i singoli interessati abbiano subito un danno.

Il percorso del diritto penale

Un attacco informatico può anche costituire un reato penale, come l'intrusione informatica, la messa inaccessibile dei dati o l'appropriazione di dati non pubblici. L'articolo 138ab(1) del Codice penale olandese sanziona l'accesso intenzionale e illecito a un sistema automatizzato.

Le vittime possono denunciare il reato alla polizia, che dispone di squadre specializzate in crimini informatici. Qualora un sospettato venga perseguito, la vittima può partecipare al procedimento penale come parte lesa e richiedere un risarcimento. Questa procedura evita procedimenti civili separati, ma l'esito dipende dall'individuazione, dal perseguimento e dalle prove, che, nel caso di criminali che operano a livello internazionale, spesso non portano a risultati concreti. Per le organizzazioni, la denuncia è spesso anche una necessità pratica, poiché viene richiesta dalle compagnie assicurative e dai partner della catena di fornitura.

Che cosa copre l'assicurazione informatica?

Una polizza di assicurazione informatica può fornire copertura, tra le altre cose:

• risposta agli incidenti e indagini forensi;
• ripristino dei sistemi e dei dati;
• perdite dovute all'interruzione dell'attività e al mancato fatturato;
• comunicazione di crisi;
• responsabilità nei confronti di terzi;
• spese legali; e
• in alcuni casi multe, pagamenti transattivi o riscatti, nella misura in cui siano assicurabili ai sensi della legge applicabile.

La copertura precisa dipende dalla polizza. Presta attenzione alle esclusioni, alle condizioni di sicurezza, ai termini di notifica, alle franchigie e ai requisiti relativi al coinvolgimento di esperti. L'articolo 7:957(1) del Codice civile olandese obbliga inoltre l'assicurato ad adottare misure ragionevoli per prevenire o limitare il danno. Qualora tale obbligo di salvataggio non venga rispettato, l'assicuratore può ridurre l'indennizzo.

È quindi opportuno informare al più presto la compagnia di assicurazione contro i rischi informatici. Il ricorso a esperti esterni o il pagamento di un riscatto senza il consenso dell'assicuratore potrebbero invalidare la copertura.

Cosa bisogna fare immediatamente dopo un attacco informatico?

• Registra con cura l'incidente e tutte le azioni pertinenti.
• Isolare i sistemi interessati senza perdere le prove.
• Rivolgetevi a un esperto forense.
• Valutare se si è verificata una violazione dei dati soggetta a notifica.
• Valutare se gli interessati debbano essere informati.
• Denuncia il reato alla polizia.
• Segnala l'accaduto alla tua compagnia di assicurazione informatica.
• Conservare registri, backup, e-mail e altri dati rilevanti.
• Mappare i danni e le parti potenzialmente responsabili.
• Informare con attenzione e tempestività clienti, dipendenti e partner della catena di fornitura.

Un attacco informatico non è quindi un semplice incidente tecnico. È anche una questione di protezione dei dati, diritto civile, diritto penale e diritto assicurativo. Una risposta rapida e ben documentata non solo limita i danni, ma è decisiva ai fini delle denunce, della copertura assicurativa e della vostra posizione probatoria in qualsiasi procedimento.

In chiusura

I diritti e gli obblighi derivanti da un attacco informatico si estendono a diversi ambiti del diritto e l'esito di un caso dipende in larga misura dalle circostanze specifiche, dal contenuto del contratto e dalla qualità della documentazione. La giurisprudenza esaminata dimostra che sia il fornitore che il cliente vengono giudicati in base alla propria condotta e che termini come quello di settantadue ore per la notifica non lasciano molto margine di manovra.

Law & More Assistiamo le organizzazioni e gli interessati nella gestione legale degli incidenti informatici: dalla valutazione degli obblighi di notifica e dalla revisione degli accordi sul trattamento dei dati alla definizione della responsabilità, delle questioni assicurative e al recupero delle perdite. Stai subendo un attacco informatico o una violazione dei dati, oppure desideri che i tuoi contratti vengano esaminati preventivamente rispetto a questi rischi? IT Legge squadra? Sentiti libero di contatta Law & More per una consulenza gratuita e senza impegno sulla tua situazione.

Domande frequenti

Di seguito rispondiamo alle domande che ci vengono poste più frequentemente su questo argomento.

Chi sono le vittime di un attacco informatico?

Ci sono tre livelli. In primo luogo, l'organizzazione stessa colpita, che subisce i tempi di inattività del sistema, la perdita di fatturato, i costi di ripristino, i costi delle indagini forensi e il danno alla reputazione. In secondo luogo, gli interessati, ovvero le persone fisiche i cui dati personali sono stati esposti, come clienti, dipendenti e pazienti. In terzo luogo, le terze parti che subiscono perdite a causa di un rapporto contrattuale o di catena di fornitura, ad esempio perché dipendono da un fornitore che ha cessato l'attività. Tale classificazione determina su quali basi una parte può presentare un reclamo e contro chi.

Entro quanto tempo devo segnalare una violazione dei dati?

L'articolo 33 del GDPR impone l'obbligo di notifica all'autorità di controllo senza indebito ritardo e, ove possibile, entro settantadue ore dal momento in cui si viene a conoscenza della violazione. Tale obbligo non si applica qualora sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche. Tale valutazione richiede un'analisi della natura della violazione, delle categorie di dati interessati e delle possibili conseguenze.

Quando devo informare direttamente gli interessati?

Ai sensi dell'articolo 34 del GDPR, qualora la violazione dei dati possa comportare un rischio elevato per i diritti e le libertà degli interessati, la comunicazione può essere omessa se sono state adottate misure tecniche adeguate, come la crittografia, se le misure successive garantiscono che il rischio elevato non si concretizzerà più, oppure se la comunicazione individuale comporterebbe uno sforzo sproporzionato. In quest'ultimo caso, è sufficiente una comunicazione pubblica.

Posso richiedere informazioni a un fornitore che ha subito un attacco informatico?

Sì, laddove un accordo sul trattamento dei dati lo preveda. Nel procedimento sommario tra Blauw Research e Nebu (Tribunale distrettuale di Rotterdam, 6 aprile 2023, ECLI:NL:RBROT:2023:2931) il giudice provvisorio ha stabilito che, in base all'accordo sul trattamento dei dati, il titolare del trattamento aveva diritto a maggiori informazioni sull'attacco, sulle sue conseguenze e sulle misure adottate rispetto a quelle fornite, e ha ordinato al responsabile del trattamento di far eseguire un'indagine forense indipendente e di presentare rapporti periodici. Tali informazioni sono necessarie per adempiere ai propri obblighi di notifica.

In qualità di interessato, ho automaticamente diritto a un risarcimento in caso di violazione dei dati?

No. L'articolo 82 del GDPR fornisce una base giuridica autonoma, ma è necessario dimostrare che il GDPR è stato violato, che si è effettivamente subito un danno e che esiste un nesso causale tra la violazione e tale danno. L'onere della prova spetta al ricorrente.

Il timore di una frode d'identità può essere considerato un danno non materiale?

Potrebbe essere. Nella sentenza Natsionalna agentsia za prihodite (Corte di giustizia dell'UE, 14 dicembre 2023, C-340/21), la Corte di giustizia ha stabilito che il timore di un possibile futuro uso improprio dei dati personali divulgati può di per sé costituire un danno non materiale. L'interessato deve tuttavia dimostrare concretamente tale timore e le sue conseguenze. La sentenza Österreichische Post (Corte di giustizia dell'UE, 4 maggio 2023, C-300/21) aggiunge che non esiste una soglia minima di gravità, ma che la sola violazione del GDPR non è sufficiente.

Chi deve dimostrare che le misure di sicurezza fossero adeguate?

Il titolare del trattamento. Nella sentenza C-340/21, la Corte di giustizia ha confermato che spetta al titolare del trattamento dimostrare che le misure di sicurezza adottate fossero adeguate e che un attacco da parte di terzi non lo esonera di per sé dalla responsabilità. Nei Paesi Bassi, questo principio è stato applicato nel caso di un account di posta elettronica violato di un concessionario di automobili, dove la Corte d'appello di Arnhem-Leeuwarden ha inizialmente concesso al concessionario la possibilità di fornire tale prova (ECLI:NL:GHARL:2024:6812) e successivamente ha stabilito che non era stata fornita (ECLI:NL:GHARL:2025:4556).

Il mio fornitore di servizi IT è responsabile se non è riuscito a rilevare un attacco?

Dipende da cosa è stato concordato. Nel caso relativo all'attacco informatico al comune di Hof van Twente (Tribunale distrettuale di Overijssel, 10 maggio 2023, ECLI:NL:RBOVE:2023:1731) le parti avevano concordato un monitoraggio funzionale, non un monitoraggio della sicurezza. Il tribunale ha ritenuto che il dovere di diligenza di un amministratore IT non si estenda al punto da includere il monitoraggio della sicurezza come parte tacita, e ha respinto la richiesta. Laddove venga fornito un pacchetto totale più ampio, il dovere di diligenza può invece essere di vasta portata, come nel caso O'Cliance (Tribunale distrettuale di Amsterdam, 14 novembre 2018, ECLI:NL:RBAMS:2018:10124), dove il fornitore è stato ritenuto responsabile per due terzi della perdita.

Il mio comportamento può ridurre il risarcimento?

Sì. La colpa concorrente gioca un ruolo ricorrente in questi casi. Nel caso O'Cliance, un terzo della perdita è rimasto a carico del cliente, e nel caso dell'account email violato le parti sono state tenute a riconoscere la colpa concorrente dell'acquirente. La vostra politica sulle password, le porte lasciate aperte o gli avvisi ignorati possono quindi influire direttamente sull'esito.

Quali sanzioni può imporre l'autorità garante della protezione dei dati?

Per le violazioni del GDPR, l'autorità di controllo può imporre sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, a seconda di quale dei due importi sia maggiore. Tali sanzioni sono indipendenti dal fatto che i singoli interessati abbiano effettivamente subito un danno e rappresentano pertanto un rischio distinto dalla responsabilità civile.

Posso denunciare il reato e richiedere il risarcimento per il danno subito tramite procedimento penale?

Sì. L'articolo 138ab(1) del Codice penale olandese sanziona l'accesso intenzionale e illegale a un sistema automatizzato. È possibile denunciare il reato alla polizia e, qualora un sospettato venga perseguito, partecipare al procedimento penale come parte lesa per richiedere un risarcimento. L'esito dipende dall'individuazione, dal perseguimento e dalle prove, che, nel caso di criminali che operano a livello internazionale, spesso non portano a risultati.

Cosa copre in genere l'assicurazione informatica?

Solitamente copre la gestione degli incidenti e le indagini forensi, il ripristino dei sistemi e dei dati, le perdite dovute all'interruzione dell'attività e al mancato fatturato, la comunicazione in situazioni di crisi, la responsabilità verso terzi e le spese legali e, in alcuni casi, multe, pagamenti transattivi o riscatti, nella misura in cui siano assicurabili ai sensi della legge applicabile. Presta attenzione alle esclusioni, alle condizioni di sicurezza, ai periodi di preavviso e alle franchigie e rivedi la polizza prima che si verifichi un incidente.

Posso perdere la copertura comportandomi in modo scorretto dopo un attacco?

È possibile. L'articolo 7:957(1) del Codice civile olandese obbliga l'assicurato ad adottare misure ragionevoli per prevenire o limitare il danno; qualora tale obbligo di salvataggio non venga rispettato, l'assicuratore può ridurre l'indennizzo. Anche il ricorso a periti esterni o il pagamento di un riscatto senza il consenso dell'assicuratore possono influire sulla copertura. Informate il vostro assicuratore il prima possibile.

Quali passi devo intraprendere immediatamente dopo un attacco informatico?

Documentate l'incidente e tutte le azioni intraprese, isolate i sistemi interessati senza perdere prove e contattate un esperto forense. Valutate quindi se si è verificata una violazione dei dati soggetta a notifica e se gli interessati devono essere informati. Segnalate l'illecito, informate la vostra compagnia di assicurazione informatica, conservate i log, i backup e la corrispondenza, mappate i danni e le parti potenzialmente responsabili e informate tempestivamente e con attenzione clienti, dipendenti e partner della catena di fornitura.