Torno nuovamente sulla grave violazione di dati personali che ha subito Trenitalia, perché ho letto un articolo sul data breach di Trenitalia nel quale si sottolineava la bontà della comunicazione spedita ai milioni di interessati coinvolti nella violazione. Secondo l’autore del pezzo essa sarebbe stata formalmente ineccepibile, salvo poi (giustamente) sottolineare la grossolana pretesa di riservatezza riportata in calce alla stessa.
Le due gravi carenze nella comunicazione di Trenitalia
Resto convinto invece – come già ribadito proprio qui su Cyber & Cyber – che tale comunicazione (pur se più che opportuna) fosse stata carente almeno per due ordini di motivi:
– non conteneva l’indicazione di nome e dati di contatto del DPO
– non specificava quando si è determinato l’evento.
Il GDPR oltre il formalismo: perché la data è fondamentale
Secondo l’autore del breve pezzo che ho letto, la data del data breach non sarebbe invece da considerarsi obbligatoria perché non è espressamente prevista dal GDPR (in particolare dagli artt. 33-34).
In realtà, il GDPR precisa che in caso di data breach è dovere del titolare effettuare la comunicazione agli interessati nel momento in cui la violazione sia suscettibile di presentare un rischio elevato per i loro diritti e libertà ed essa va fatta senza ingiustificato ritardo.
Come farebbero gli interessati alla violazione a valutare se essa sia stata fatta in tempistiche idonee a loro tutela, se nella stessa non viene specificata la data dell’evento potenzialmente dannoso?
Sarebbe impossibile per loro anche sviluppare delle contromisure che siano idonee in base al tempo passato.
Occorre sempre guardare la ratio della normativa, oltre i formalismi, come lo stesso GDPR ci insegna.
Trenitalia: un ritardo di 8 mesi coperto dal silenzio?
Peraltro, si è venuto a sapere che il data breach di Trenitalia è avvenuto diversi mesi fa, nello specifico a novembre 2025. Quindi, sono passati ben 8 mesi dall’episodio. Forse la ragione della mancanza di questa doverosa indicazione si spiega semplicemente con il tentativo maldestro da parte di Trenitalia di evitare di palesare una evidente brutta figura.
A pensar male si fa peccato, ma spesso ci si indovina.
In ogni caso, a volte, noi giuristi finiamo effettivamente per discutere di questioni di lana caprina.
Ma questa è un’altra storia.
