Data breach Trenitalia, notifica ai passeggeri con otto mesi di ritardo: si riapre il nodo dei tempi imposti dal GDPR

TheKing — Fri, 10 Jul 2026 07:13:06 +0000

{"image":"","content":"

Nella gestione di un incidente informatico, la rapidit\u00e0 con cui un’azienda avverte chi ha subito il danno pesa spesso quanto la capacit\u00e0 di prevenire l’attacco stesso. \u00c8 il nodo al centro del caso che ha coinvolto Trenitalia nelle scorse settimane, dopo la comunicazione inviata a milioni di clienti a proposito di una violazione dei propri sistemi informatici.<\/p>\n

Secondo quanto reso noto dall’azienda, l’attacco ha esposto dati anagrafici e di contatto dei passeggeri, tra cui nome, cognome, data e luogo di nascita, indirizzo email, numero di telefono, dettagli dei viaggi prenotati, codici di prenotazione e della carta di fidelizzazione, oltre a informazioni sui documenti d’identit\u00e0. Non risultano invece coinvolti dati di pagamento n\u00e9 le credenziali di accesso agli account, una distinzione che l’azienda ha voluto sottolineare fin dalla prima comunicazione per contenere l’allarme tra i viaggiatori.<\/p>\n

Il punto pi\u00f9 discusso non riguarda tanto la natura dei dati sottratti, quanto la tempistica: l’intrusione risale al 25 ottobre 2025<\/strong>, ma la comunicazione ai clienti \u00e8 arrivata solo il 26 giugno 2026, a distanza di circa otto mesi<\/strong>. Trenitalia ha reso noto di aver notificato tempestivamente il Garante per la protezione dei dati personali e il CSIRT Italia, e di aver presentato una denuncia alla Procura di Roma.<\/p>\n

Le associazioni dei consumatori non hanno atteso a lungo per far sentire la propria voce. L’Unione per la Difesa dei Consumatori ha criticato apertamente sia la solidit\u00e0 dei sistemi di sicurezza dell’azienda sia i tempi di reazione, invitando i passeggeri coinvolti alla massima cautela di fronte a possibili tentativi di phishing mirato che sfruttino i dettagli di viaggio sottratti.<\/p>\n

Il Regolamento europeo sulla protezione dei dati impone al titolare del trattamento di notificare una violazione all’Autorit\u00e0 di controllo senza ingiustificato ritardo, di norma entro 72 ore<\/strong> dalla scoperta, e di informare gli interessati quando il rischio per i loro diritti \u00e8 elevato. Uno scarto di mesi tra i due momenti, quando riguarda gli utenti finali, \u00e8 il tipo di circostanza che le autorit\u00e0 di vigilanza tendono a valutare come profilo autonomo di responsabilit\u00e0, a prescindere dalla gravit\u00e0 tecnica dell’attacco originario: il ritardo nella comunicazione, di per s\u00e9, pu\u00f2 costituire una violazione del regolamento distinta e autonoma rispetto alla violazione di sicurezza che l’ha originata.<\/p>\n

Per gli studi legali che assistono aziende esposte a incidenti analoghi, il caso Trenitalia offre un promemoria che va oltre la cronaca ferroviaria: il valore della compliance in materia di data breach si misura sempre pi\u00f9 spesso nei tempi di reazione interna, prima ancora che nell’efficacia delle misure tecniche di prevenzione messe in campo.<\/p>\n\t

TheKing – SM Servicematica

Anomalie Servizi PCT – Consultazione

Disservizi temporanei ai servizi telematici per un guasto alla sala server nazionale di Palermo

Rallentamenti servizio PEC Namirial

Data breach Trenitalia, notifica ai passeggeri con otto mesi di ritardo: si riapre il nodo dei tempi imposti dal GDPR