In Europa 443 data breach al giorno. Lo studio di DLA Piper

Crescono in modo deciso le violazioni di dati personali in Europa. Secondo l’ottava edizione del GDPR Fines and Data Breach Survey di DLA Piper, nel periodo compreso tra il 28 gennaio 2025 e il 27 gennaio 2026 le notifiche di data breach hanno raggiunto una media di 443 al giorno, in aumento del 22% rispetto all’anno precedente. Un dato che segna una netta discontinuità dopo anni di relativa stabilità e che fotografa un contesto di rischio cyber sempre più complesso.

L’incremento delle notifiche – passate da 363 a 443 al giorno – si inserisce in uno scenario caratterizzato da tensioni geopolitiche, dall’evoluzione delle minacce abilitate dall’intelligenza artificiale e da una serie di attacchi informatici ad alto impatto mediatico, capaci di generare interruzioni operative su scala globale. Paesi Bassi, Germania e Polonia risultano i Paesi con il maggior numero di violazioni segnalate nel periodo analizzato.

Sanzioni stabili, enforcement elevato

Sul fronte delle sanzioni, il report evidenzia come negli ultimi 12 mesi le autorità di controllo europee abbiano inflitto multe GDPR per circa 1,2 miliardi di euro, un dato sostanzialmente in linea con quello del 2024. L’assenza di una crescita ulteriore non è però indice di un rallentamento, ma piuttosto della stabilizzazione di un livello di enforcement già molto elevato.

Dall’entrata in vigore del GDPR, nel maggio 2018, fino a gennaio 2026, l’ammontare complessivo delle sanzioni ha raggiunto i 7,1 miliardi di euro. A guidare la classifica resta l’autorità irlandese per la protezione dei dati, che da sola ha irrogato sanzioni per 4,04 miliardi di euro. L’Italia si colloca al quinto posto, con un totale di 277 milioni di euro.

La multa più alta mai inflitta rimane quella da 1,2 miliardi di euro comminata nel 2023 a Meta. Nel 2025, ancora una volta, la sanzione più elevata dell’anno è arrivata dall’Irlanda: 530 milioni di euro contro una società di social media per violazioni delle regole sui trasferimenti internazionali di dati personali.

Oltre la big tech

Se negli anni passati l’enforcement si è concentrato prevalentemente sulle grandi piattaforme tecnologiche e sui social media – che rappresentano nove delle dieci sanzioni più elevate mai irrogate – il perimetro dei controlli si sta progressivamente ampliando. Le autorità stanno infatti rivolgendo l’attenzione anche a settori come servizi finanziari, telecomunicazioni, utilities e fornitori di servizi tecnologici.

Il 2025 segna inoltre un passaggio significativo: per la prima volta è stata inflitta una sanzione di rilievo per il trasferimento di dati personali verso un Paese terzo non statunitense. La multa da 530 milioni di euro riguarda flussi di dati verso la Cina, in assenza di garanzie ritenute equivalenti a quelle previste dal quadro europeo. Un segnale che conferma come le restrizioni GDPR sui trasferimenti internazionali costituiscano una sfida globale, non limitata ai rapporti con gli Stati Uniti.

Resta centrale, infine, l’attenzione delle autorità su liceità, correttezza e trasparenza dei trattamenti, così come sulla sicurezza dei dati personali, con un numero crescente di sanzioni legate a carenze nelle misure tecniche e organizzative.

Il punto sull’Italia

«Il dato più evidente di questo report è la conferma che il panorama delle minacce cyber ha raggiunto un livello senza precedenti», osserva Giulio Coraggio (in foto), partner responsabile del dipartimento Intellectual Property and Technology di DLA Piper in Italia. «Nel nostro Paese il fenomeno è particolarmente rilevante: l’elevato numero di data breach notificati dimostra come le organizzazioni siano sempre più esposte a incidenti che producono effetti immediati non solo sul piano tecnologico, ma anche su quello legale e reputazionale».

Secondo Coraggio, negli ultimi anni il Garante per la protezione dei dati personali ha adottato un approccio «molto attivo e articolato», intensificando i controlli sulla sicurezza dei trattamenti e sulla gestione degli incidenti, e facendo ricorso in modo crescente a misure correttive, prescrittive e a provvedimenti di limitazione o blocco dei trattamenti in presenza di carenze strutturali.

Un orientamento che emerge anche sul fronte dell’innovazione tecnologica. «Il Garante italiano è stato tra i primi in Europa a intervenire sui sistemi di AI generativa, richiamando l’attenzione su basi giuridiche del trattamento, obblighi informativi e tutela dei minori, ben prima dell’entrata in applicazione del nuovo quadro normativo europeo sull’AI», sottolinea il partner. «È un segnale chiaro che l’uso dei dati in contesti innovativi è già oggi oggetto di uno scrutinio regolatorio stringente».

In questo contesto, la stabilità delle sanzioni complessive a livello europeo non va letta come un allentamento della pressione. «Il rischio per le imprese non si esaurisce nella multa», conclude Coraggio, «ma comprende anche l’impatto operativo di ordini di adeguamento, sospensioni dei trattamenti e possibili effetti diretti sul business».