Nel 2025 le imprese e le amministrazioni italiane hanno notificato al Garante per la protezione dei dati personali 2.415 violazioni dei dati personali, cioè i casi che nel linguaggio corrente si chiamano data breach, in crescita di circa il dieci per cento sull’anno precedente, e 1.901 di queste notifiche sono arrivate dal settore privato. Nello stesso anno l’Autorità ha riscosso oltre 37 milioni di euro di sanzioni, contro gli oltre 24 milioni del 2024. Sono i due numeri che descrivono meglio lo stato dell’adempimento privacy in Italia, perché il primo misura quanto le organizzazioni dichiarano di essere state colpite e il secondo quanto costa non essersi organizzati prima.

I dati provengono dalla Relazione sull’attività 2025 del Garante, presentata il 2 luglio 2026, e dalla corrispondente relazione sull’attività 2024, diffusa il 15 luglio 2025. Il confronto fra le due edizioni restituisce un quadro che non si legge nella singola cifra.

L’attività dell’Autorità in due anni a confronto

La prima cosa che emerge è che il volume complessivo dei provvedimenti collegiali scende mentre la quota di quelli correttivi e sanzionatori sale. Nel 2024 l’Autorità aveva adottato 835 provvedimenti, di cui 468 correttivi e sanzionatori, cioè il 56 per cento. Nel 2025 i provvedimenti sono 807 e quelli correttivi e sanzionatori 506, cioè il 63 per cento.

Il numero delle ispezioni resta identico nei due anni, centotrenta. È un dato che conviene tenere a mente, perché non sostiene la lettura secondo cui l’aumento delle sanzioni deriverebbe da un numero maggiore di ispezioni. Il numero delle ispezioni non è cresciuto, mentre sono cresciuti i provvedimenti correttivi e sanzionatori e le somme riscosse.

Le notifiche sono molto meno degli incidenti dichiarati

Il dato sulle violazioni notificate misura le notifiche, non gli eventi. È una distinzione decisiva, perché la notifica al Garante non è dovuta quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone, e la valutazione di quel rischio spetta in prima battuta al titolare del trattamento.

Il confronto con una fonte indipendente aiuta a capire l’ordine di grandezza. Secondo l’ultima rilevazione Istat sulle imprese e le tecnologie dell’informazione che riporta il dato, condotta fra maggio e luglio 2024 su imprese con almeno dieci addetti e riferita al 2023, il 15,8 per cento delle imprese ha dichiarato di aver subito almeno un problema di sicurezza fra indisponibilità dei servizi, distruzione o corruzione dei dati e divulgazione di dati riservati, la stessa quota rilevata nel 2022. La quota sale al 29,9 per cento fra le imprese con almeno duecentocinquanta addetti.

Le due grandezze non sono sovrapponibili, perché non ogni problema di sicurezza è una violazione di dati personali notificabile. Restano però distanti in modo che merita attenzione, perché l’universo di riferimento della rilevazione conta circa 197 mila imprese con almeno dieci addetti, e il 15,8 per cento corrisponde quindi a circa 31 mila imprese, mentre le notifiche dal settore privato nel 2025 sono 1.901. Il divario può dipendere dalla soglia di rischio, ma anche da violazioni che non vengono riconosciute come tali o che restano gestite internamente.

Per chi guida un’impresa questo è il punto pratico. La mancata notifica di una violazione notificabile è essa stessa un illecito, e può essere accertata anche a distanza di tempo, quando la vicenda emerge per altra via.

Perché le somme riscosse crescono più dei provvedimenti

Fra il 2024 e il 2025 i provvedimenti collegiali calano del 3 per cento circa, quelli correttivi e sanzionatori crescono dell’8 per cento e le somme riscosse passano da oltre 24 a oltre 37 milioni di euro. La crescita degli importi è quindi molto più rapida di quella del numero dei provvedimenti.

La sintesi della Relazione non indica gli importi delle singole sanzioni, quindi non consente di stabilire se sia aumentato l’importo medio. Fra gli interventi del 2025 la Relazione segnala pesanti sanzioni contro il telemarketing aggressivo, soprattutto nel settore energetico, e un provvedimento d’urgenza sul trattamento dei dati dei lavoratori di un’impresa della logistica.

Va aggiunto che le somme riscosse in un anno non coincidono con le sanzioni irrogate in quello stesso anno, perché fra irrogazione e incasso possono passare mesi e possono intervenire ricorsi. Il dato di cassa è quindi un indicatore ritardato dell’attività sanzionatoria, non una sua fotografia istantanea.

Il salto delle comunicazioni di notizia di reato

La variazione più marcata fra le due annualità non riguarda le sanzioni. Le comunicazioni di notizia di reato all’autorità giudiziaria passano da sedici a sessantacinque, e cinquantaquattro di queste riguardano la diffusione non consensuale di immagini o video sessualmente espliciti.

L’aumento si concentra quindi su un solo fenomeno, la diffusione illecita di contenuti intimi, e non va letto come una crescita generale dei reati legati alla gestione dei dati nelle organizzazioni.

Che cosa questi numeri non dicono

La base dati è l’attività di un’unica autorità e descrive ciò che arriva alla sua attenzione, non il fenomeno sottostante. Tre limiti vanno dichiarati.

Il primo è che le notifiche dipendono dalla propensione a notificare, che a sua volta dipende dalla maturità organizzativa del titolare. Un settore con più notifiche non è necessariamente un settore più colpito, può essere un settore più attrezzato a riconoscere e dichiarare gli eventi.

Il secondo è che il perimetro è nazionale e non intercetta i casi trattati da altre autorità europee nei procedimenti transfrontalieri, che per i gruppi con stabilimento principale in altri Stati membri sono la regola.

Il terzo è che le due relazioni sono documenti della stessa fonte, quindi il confronto fra annualità è omogeneo nel metodo ma non costituisce una verifica indipendente. Il riscontro con la rilevazione Istat citata sopra serve proprio a introdurre un termine di paragone esterno, con l’avvertenza che la sua unità di misura è diversa.

Quali conclusioni ne trae un’impresa

I numeri indicano tre priorità concrete per un’organizzazione di medie dimensioni.

1. Una procedura di gestione delle violazioni che stabilisca chi valuta il rischio, entro quanto tempo e sulla base di quali criteri. L’esito è positivo quando un evento rilevato alle sette di sera di un venerdì trova qualcuno che sa cosa fare entro le settantadue ore previste per la notifica.
2. Un registro delle violazioni tenuto anche per gli eventi non notificati, con la motivazione della decisione. L’esito è positivo quando per ogni evento esiste una traccia scritta del perché non è stato notificato, perché è quella traccia che regge in caso di contestazione.
3. Una revisione dei trattamenti su larga scala, cioè quelli che riguardano molti interessati, come le liste di contatto usate per il marketing telefonico e i dati del personale. L’esito è positivo quando per ciascuno è stata verificata la necessità della valutazione d’impatto sulla protezione dei dati.

Dal costo dell’adempimento al costo dell’inadempimento

La lettura dei due anni restituisce un’immagine coerente. L’attività di controllo resta costante nel numero delle ispezioni, mentre crescono i provvedimenti correttivi e sanzionatori e le somme riscosse. Per un’impresa che confronta il costo di un presidio privacy con il rischio di non averlo, questa è l’informazione che cambia il calcolo.

La direzione è quella di una compliance che si misura sui processi e sulla capacità di dimostrarli, non sulla presenza dei documenti. Affianchiamo le imprese nella costruzione del presidio privacy, dalla mappatura dei trattamenti alla procedura di gestione delle violazioni e alla valutazione d’impatto sui trattamenti a maggior rischio.