Question 1

Il nostro provider cloud ha subito un attacco e sono stati esposti dati di 500 clienti. Ora riceviamo richieste di risarcimento e il Garante ci ha scritto. Nel contratto c'è una clausola di limitazione responsabilità. Posso comunque chiedere i danni al fornitore?

Accepted Answer

In caso di data breach causato dal provider cloud, la tua azienda rimane responsabile verso clienti e Garante come titolare del trattamento, ma può esercitare diritto di regresso contro il fornitore se il breach deriva da sue violazioni degli obblighi GDPR o contrattuali. La clausola di limitazione della responsabilità non esonera automaticamente il fornitore, poiché gli obblighi GDPR prevalgono sul contratto e tali clausole sono invalide per dolo, colpa grave o violazioni intenzionali del regolamento privacy. Per recuperare i danni dovrai dimostrare l'inadempimento del fornitore mediante prove concrete come audit, log e documentazione delle vulnerabilità non risolte, inviando formale messa in mora con allegati richieste di risarcimento e comunicazione del Garante. Nel frattempo, devi comunque adempiere agli obblighi di notifica e comunicazione del breach e prepararti a potenziali sanzioni dimostrando di aver effettuato adeguata selezione e monitoraggio del fornitore.

Question 2

La violazione risale a tre mesi fa. Ho appena scoperto che potrei rivalermi sul partner che gestiva il nostro CRM. C'è un termine entro cui devo muovermi per contestare il danno?

Accepted Answer

Sì, esistono termini da rispettare. Per la responsabilità contrattuale del partner esterno che ha causato il data breach, la prescrizione ordinaria è di 10 anni dalla violazione o dalla scoperta del danno. Tuttavia, il vostro contratto di outsourcing potrebbe prevedere clausole di decadenza molto più brevi (tipicamente da 8 a 60 giorni dalla scoperta) per contestare inadempimenti o danni. È fondamentale verificare subito il contratto con il partner e inviare tempestivamente una contestazione formale tramite raccomandata A/R o PEC, citando la violazione degli obblighi GDPR e la richiesta di risarcimento: questo interrompe la prescrizione e tutela i vostri diritti. Parallelamente, dovete adempiere all'obbligo di notifica al Garante Privacy entro 72 ore dalla scoperta del breach, giustificando l'eventuale ritardo per evitare sanzioni fino a 10 milioni di euro o il 2% del fatturato.

Question 3

Oltre ai 15mila euro già spesi per notifiche e consulenze post-breach, quanto può costare un'azione legale contro il fornitore? Rischio di spendere più di quanto potrei recuperare?

Accepted Answer

In caso di data breach causato da un fornitore IT esterno, un'azione legale può costare da decine di migliaia fino a oltre 100.000-200.000 euro, tra perizie informatiche forensi, compensi legali e spese processuali che si protraggono mediamente 2-4 anni. Con soli 15.000 euro di danni accertati, esiste un rischio concreto di spendere più di quanto recuperabile, poiché i costi fissi superano facilmente il recupero netto senza garanzie di vittoria. È consigliabile tentare prima una negoziazione stragiudiziale o mediazione, verificare eventuali coperture assicurative cyber e ottenere un preventivo da un avvocato specializzato citando il contratto IT e le norme GDPR applicabili.

Question 4

Ho pagato 8mila euro di sanzione del Garante più 12mila di risarcimenti ai clienti. Posso recuperare tutto dal fornitore IT che ha causato il breach? E le spese legali?

Accepted Answer

Se il data breach è causato esclusivamente dal fornitore IT, puoi in linea di principio recuperare sanzione Garante, risarcimenti ai clienti e spese legali tramite azione di rivalsa, ma il successo dipende dal contratto stipulato e dalla prova della sua colpa. Come titolare del trattamento, rispondi comunque solidalmente verso Garante e clienti: se hai omesso di verificare garanzie del fornitore, effettuare audit o stipulare contratto conforme all'art. 28 GDPR, una quota di responsabilità resta a tuo carico e non recuperi tutto. Il contratto deve prevedere espressamente responsabilità per breach, obblighi di indennizzo e assenza di cap risarcitori; senza clausole ad hoc, il recupero integrale è incerto. Raccogli prove tecniche del nesso causale tra breach e colpa del fornitore, diffidalo formalmente e valuta con un avvocato specializzato l'azione risarcitoria entro i termini di prescrizione.

Question 5

Sto ancora gestendo le richieste dei clienti e non ho tempo di occuparmi del fornitore. Se aspetto sei mesi per contestare il breach, perdo il diritto di rivalsa?

Accepted Answer

Attendere sei mesi per contestare il data breach al fornitore IT non comporta automaticamente la perdita del diritto di rivalsa, che si prescrive ordinariamente in dieci anni dalla conoscenza del danno, salvo termini più brevi previsti dal contratto di outsourcing. Tuttavia, molti contratti SLA impongono obblighi di notifica rapida (30-90 giorni) per attivare garanzie e limitare i danni, e ritardi prolungati possono indebolire la tua posizione probatoria e il diritto a indennizzo se il fornitore dimostra che la tempestiva segnalazione avrebbe ridotto le conseguenze. Intanto, come titolare del trattamento devi comunque rispettare gli obblighi GDPR di notifica al Garante entro 72 ore e agli interessati in caso di rischio elevato, indipendentemente dalla gestione della rivalsa. È essenziale verificare subito le clausole contrattuali su responsabilità e termini di messa in mora, e contestare formalmente via PEC per cristallizzare la tua richiesta e bloccare eventuali decadenze pattuite. Consulta un legale per preservare il diritto di rivalsa senza compromettere la conformità normativa e la quantificazione dei danni.

Question 6

Con il fornitore non abbiamo mai firmato un Data Processing Agreement formale, solo il contratto commerciale standard. Questo mi impedisce di chiedere i danni per il data breach?

Accepted Answer

L'assenza di un Data Processing Agreement formale non ti impedisce di chiedere i danni al fornitore IT responsabile del data breach. La responsabilità può essere affermata sulla base del contratto commerciale standard e del Codice Civile: il fornitore ha l'obbligo di adottare misure di sicurezza adeguate allo stato dell'arte, e se il breach deriva da negligenza (vulnerabilità non corrette, configurazioni errate) risponde per inadempimento contrattuale secondo l'art. 1218 c.c. Puoi richiedere il risarcimento di danni emergenti e lucro cessante, dimostrando con perizie forensi il nesso tra la condotta negligente e il danno subito. L'art. 28 GDPR si applica comunque, e il fornitore resta responsabile indipendentemente dalla formalizzazione del DPA, pur rimanendo tu titolare responsabile verso gli interessati.

Question 7

Nel nostro contratto IT c'è scritto che il fornitore risponde solo dei danni diretti fino a 5mila euro. Ma io ho già pagato 20mila tra sanzioni e risarcimenti. Quella clausola è valida o posso contestarla?

Accepted Answer

La clausola che limita la responsabilità del fornitore IT a 5mila euro per danni diretti è generalmente valida, ma può essere contestata se risulta manifestamente sproporzionata o in contrasto con gli obblighi imperativi del GDPR. Nel tuo caso, avendo pagato 20mila euro tra sanzioni e risarcimenti per un data breach causato dal fornitore, puoi impugnare la clausola davanti al giudice per nullità parziale o abusività, poiché il limite risulta irrisorio rispetto al danno subito e il fornitore, come responsabile del trattamento secondo l'articolo 28 GDPR, è obbligato ad adottare misure di sicurezza adeguate la cui violazione genera responsabilità che non può essere elusa da limiti contrattuali. Ti consiglio di inviare una messa in mora al fornitore richiedendo l'integrale risarcimento e di consultare un avvocato per analizzare il contratto e raccogliere le prove della negligenza.

Question 8

So che il breach è partito dai server del partner, ma lui dice che la configurazione era responsabilità nostra. Come faccio a dimostrare che l'errore è stato suo e non nostro?

Accepted Answer

Nel caso di data breach causato da un partner IT in outsourcing, dimostrare l'errore del fornitore non vi esonera automaticamente dalla responsabilità: il GDPR prevede infatti una responsabilità concorrente tra titolare e responsabile del trattamento. Per provare la responsabilità del partner dovete raccogliere un audit tecnico indipendente che accerti oggettivamente dove risiede il difetto, documentare la due diligence pre-affidamento con verifica delle certificazioni, esibire un Data Processing Agreement conforme all'articolo 28 GDPR con responsabilità tecniche chiaramente specificate, e dimostrare di aver effettuato audit periodici sul fornitore. Anche provando l'errore altrui, mantenete una responsabilità residuale se non avete implementato adeguati controlli e verifiche, con possibili sanzioni del Garante e un'eventuale azione di regresso verso il fornitore solo se prevista contrattualmente.

Data Breach da Fornitore IT: Chi Paga i Danni?

Ti stai facendo queste domande?

Posso rivalere sul fornitore IT?

Quanto tempo ho per agire?

Quanto costa difendersi e rivalere?

Cosa posso chiedere al fornitore?

Cosa succede se non contesto subito?

Serve il DPA per rivalere?

Il contratto mi protegge davvero?

Come dimostrare colpa del fornitore?

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Perché scegliere IUSPERT

Risposte rapide e mirate

Avvocati selezionati per competenza reale

Sicuro, trasparente e garantito

Come funziona

Aprile 2026 - Disponibilità avvocati in tempo reale

Cosa ottieni concretamente

Inquadramento del problema

Analisi di rischi e opzioni

Strategia immediata

Il Report riepilogativo

Domande frequenti

Posso annullare o spostare l'appuntamento con l'avvocato?

Cosa succede dopo la prenotazione?

E se ho bisogno di più tempo?

Devo preparare documenti prima della call?

La consulenza è davvero riservata?

Come funziona il rimborso se non sono soddisfatto?