Una sanzione GDPR da 85.000 euro è arrivata a una delle realtà di consulenza più note d’Italia — The European House Ambrosetti — e la cosa più istruttiva non è la cifra, ma il motivo. Non un attacco sofisticato, non un hacker geniale: password conservate senza protezione adeguata e una comunicazione agli interessati arrivata con mesi di ritardo. È la conferma di una regola che vale per chiunque tratti dati: le multe nascono quasi sempre dalle basi mancanti, non dagli attacchi impossibili da prevedere.
C’è un pregiudizio diffuso, soprattutto tra studi professionali e piccole imprese: “il Garante colpisce solo i grandi”. Questo caso lo ribalta. E lo fa proprio perché le carenze contestate — gestione delle password, tempistiche di comunicazione — sono esattamente quelle alla portata di qualsiasi studio o PMI, sia come errore sia come soluzione.
Vediamo cosa è successo, cosa insegna e qual è la checklist minima per non trovarsi dalla parte sbagliata di un controllo.
Cosa è andato storto (senza tecnicismi)
Nell’aprile 2026 il Garante per la protezione dei dati personali ha definito il provvedimento (Decreto 280/2026) a carico della società, a seguito di un data breach che aveva coinvolto 61.670 persone — dipendenti, collaboratori e utenti dei servizi online. Da un accesso non autorizzato erano stati esfiltrati nomi, email, username e password.
Due gli errori decisivi contestati, entrambi banali solo in apparenza:
- Password non protette adeguatamente. Una parte delle password era conservata in chiaro, un’altra con tecniche di cifratura non allineate agli standard di sicurezza avanzati. In più, credenziali legate a finalità ormai esaurite non erano state rimosse: dati che non servivano più, lasciati lì a generare rischio.
- Comunicazione agli interessati tardiva. Qui va fatta una precisazione importante, perché è il cuore della lezione. La notifica della violazione al Garante era stata effettuata nei termini previsti (entro 72 ore). Ciò che è mancato è la comunicazione tempestiva alle persone coinvolte: è arrivata circa due mesi dopo la scoperta, e solo dopo un ordine correttivo dell’Autorità — pur trattandosi di una violazione potenzialmente ad alto rischio per i diritti degli interessati.
Secondo quanto emerso, la mancata comunicazione sarebbe stata dettata dal timore di ripercussioni reputazionali. Ed è proprio questo l’insegnamento più scomodo: il silenzio, in caso di data breach, costa più della trasparenza.
sanzione GDPR: Le “basi” che valgono più di qualsiasi tecnologia costosa
Prima di investire in strumenti di sicurezza sofisticati, servono le regole minime — quelle che nel caso Ambrosetti sono mancate:
- Gestione corretta di password e accessi: niente credenziali in chiaro, algoritmi di hashing robusti, autenticazione a più fattori, principio del privilegio minimo (ognuno accede solo a ciò che gli serve).
- Ciclo di vita del dato: quando una finalità termina, i dati collegati vanno cancellati o resi irreversibilmente anonimi. La permanenza ingiustificata è di per sé un rischio sanzionabile.
- Una procedura di data breach scritta e testata: sapere in anticipo chi fa cosa, in che tempi e con quali comunicazioni.
Sono misure organizzative prima che tecnologiche. Non richiedono budget da grande impresa: richiedono metodo.
Il data breach non è “se” ma “quando”: la regola delle 72 ore
Il GDPR non presume che le violazioni non accadano: presume che vadano gestite. Quando si verifica una violazione, al fine di evitare una sanzione GDPR, il titolare deve valutarne il rischio e, salvo eccezioni, notificarla al Garante entro 72 ore. Se la violazione comporta un rischio elevato per i diritti e le libertà delle persone, scatta anche l’obbligo di comunicarla agli interessati senza ingiustificato ritardo — l’anello che, nel caso Ambrosetti, si è spezzato.
Non avere una procedura pronta significa arrivare a quel momento improvvisando, ed è già metà del problema. Le 72 ore passano in fretta quando non si sa da dove cominciare.
Sanzione GDPR: perché riguarda anche il tuo studio
Il punto non è la dimensione dell’organizzazione, ma la natura dei dati trattati. E qui quasi nessuno è escluso:
- un commercialista custodisce dati fiscali e bilanci dei clienti;
- uno studio medico o odontoiatrico tratta dati sanitari, categoria particolare ai sensi dell’Art. 9, con obbligo di DPIA;
- una RSA gestisce dati di persone fragili — responsabilità etica prima ancora che legale;
- una farmacia movimenta ricette dematerializzate e flussi Tessera Sanitaria;
- un hotel conserva liste ospiti, log Wi-Fi e dati del Portale Alloggiati.
In tutti questi casi, la perdita o l’esposizione dei dati fa scattare gli stessi obblighi che hanno portato alla sanzione di una grande società di consulenza. La dimensione dello studio non attenua la responsabilità — semmai riduce il margine per assorbire l’impatto economico di una multa. Non a caso uno degli errori più frequenti riguarda proprio la gestione delle password negli studi professionali.
La checklist minima da avere subito
Se dovessi verificare oggi lo stato del tuo studio o della tua impresa, questi sono i punti da cui partire:
- Registro dei trattamenti aggiornato e coerente con ciò che tratti davvero.
- Gestione di accessi e password: hashing robusto, MFA, revoca delle credenziali non più necessarie.
- DPIA dove il trattamento la richiede (dati sanitari, videosorveglianza, profilazione).
- Formazione di chi tratta i dati: il rischio umano è il primo da ridurre.
- Procedura di data breach scritta e testata, con ruoli, tempi e modelli di comunicazione già pronti.
Come interveniamo
La forza di questo tipo di lavoro è avere un interlocutore unico per la parte tecnica e per quella normativa, senza rimpalli tra fornitori diversi. Nel nostro lavoro quotidiano affianchiamo studi e PMI su tre fronti: Compliance GDPR (registri, DPIA, documentazione tecnica), Controllo Accessi (policy, VPN, autenticazione forte, principio del privilegio minimo) e formazione del personale, il tutto poggiato su un presidio di sicurezza informatica costruito per le PMI e non copiato dalle grandi imprese.
La sicurezza dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio. Se vuoi sapere se le basi della tua sicurezza reggerebbero a un controllo, il nostro referente commerciale è a disposizione per un’analisi gratuita dello stato di sicurezza, senza impegno. Richiedi l’analisi gratuita.
In sintesi: una sanzione GDPR da 85.000 euro comminata non per un attacco sofisticato, ma per password non protette e una comunicazione agli interessati arrivata in ritardo. La lezione per studi e PMI è netta: le multe nascono dalle basi mancanti, e le basi — accessi, procedura data breach, formazione — sono alla portata di chiunque decida di metterle a posto prima, non dopo.
Fonti:
- Garante per la protezione dei dati personali — Newsletter del 21 maggio 2026, “Data breach, il Garante privacy sanziona The European House Ambrosetti” — https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10252530
- Federprivacy — “Il Garante Privacy sanziona The European House Ambrosetti per 85mila euro a seguito di un data breach che aveva coinvolto 61.670 persone” — https://www.federprivacy.org/informazione/garante-privacy/
- Altalex — “Data breach GDPR: sanzione da 85.000 euro ad Ambrosetti per mancata comunicazione” (29/05/2026) — https://www.altalex.com/documents/news/2026/05/29/
