Da ottobre 2026, il Garante ha un nuovo informatore: si chiama ACN! E ad ACN l’avvisano gli hacker…
10 Giugno 2026
Avv. Francesco Cucci – (articolo redatto con l’ausilio dell’intelligenza artificiale)
Immagina la scena: sei nel tuo ufficio, apri le email e trovi una comunicazione dal fornitore del tuo software di contabilità in cloud. “Gentile cliente, la informiamo che abbiamo subìto un incidente di sicurezza…”. La reazione istintiva?
“Problema loro, ci penseranno loro”.
Sbagliato! E questo errore potrebbe costarti caro.
È quello che sta succedendo in questi giorni a migliaia di imprese, professionisti e studi che utilizzano TeamSystem “Contabilità in Cloud”.
Il 24 agosto è stato rilevato un accesso non autorizzato con esfiltrazione di dati: anagrafiche, recapiti, IBAN e — qui viene il bello — movimentazioni contabili complete. Causali, importi, controparti.
Tradotto: chi ha rubato quei dati ora sa con chi lavori, quanto paghi, quanto incassi e da chi.
Il riflesso pavloviano: “TeamSystem notificherà al Garante”
Sbagliato!
Ai sensi dell’art. 33, secondo paragrafo del GDPR, TeamSystem, in qualità di Responsabile del Trattamento, NON PUO’ NOTIFICARE NULLA AL GARANTE.
In qualità di “mero” Responsabile del trattamento, aveva solo l’obbligo, che sembra aver ottemperato, di “informare senza ingiustificato ritardo” tutti i titolari del trattamento che si avvalgono dei suoi servizi.
Ma tu? Tu che usi quel software per gestire la contabilità dei tuoi clienti? Tu che in quel database hai caricato i dati dei tuoi fornitori, dei tuoi dipendenti, delle tue controparti commerciali?
Ecco l’angolo cieco che nessuno sta guardando: TU sei il TITOLARE del trattamento per i dati che hai inserito in quella piattaforma. E quando il tuo responsabile subisce un breach, l’obbligo di valutazione ricade su di te.
Non è un’opinione. È l’articolo 33 del GDPR, quello che TeamSystem stessa cita nella propria comunicazione. Solo che loro citano il paragrafo 2 — l’obbligo del responsabile di informare il titolare. Il paragrafo 1, quello che obbliga il titolare a notificare al Garante entro 72 ore, riguarda solo te.
Sei un commercialista, un’azienda, uno studio di consulenza? Sei tu che devi auto-qualificarti (nel senso: sei a tua volta responsabile del trattamento per le aziende clienti o agisci come titolare?) e procedere all’istante o, al più tardi, nelle 72 ore da quando hai avuto notizia della violazione, a mettere in campo tutti gli adempimenti previsti dal GDPR.
La catena che tutti ignorano
Facciamo un esempio concreto. Sei un commercialista. Usi Contabilità in Cloud per gestire qualche centinaio di clienti privati, persone fisiche. In quel caso sei Titolare del Trattamento.
Ora quei dati sono stati esfiltrati.
La domanda non è se TeamSystem abbia notificato al Garante. La domanda è: sei tu che devi fare la notifica al Garante? Sei tu che devi comunicare il data breach ai tuoi clienti ai sensi dell’art. 34 GDPR, al fine di consentire loro di adottare tutte le cautele necessarie ad evitare ulteriori danni come: furto di identità, frodi bancarie, altre tecniche di ingegneria sociale?
Quello che ancora non sappiamo (e dovrebbe preoccuparti):
La comunicazione di TeamSystem lascia aperti buchi enormi:
– Vettore d’attacco: non sappiamo come sono entrati
– Durata dell’accesso: il 24 agosto è quando l’hanno scoperto, non quando è iniziato
– Perimetro reale: quali ambienti, quali archivi, quali account
– Numero di interessati: nessuna stima
Questo significa che la tua valutazione d’impatto oggi si basa su informazioni incomplete. E tra due settimane potrebbe emergere che il breach è più grave del previsto.
Cosa fare adesso, concretamente
Primo: non aspettare comunicazioni ulteriori. Documenta subito cosa hai caricato su quella piattaforma. Quali categorie di dati, quali interessati, quale volume.
Secondo: fai una valutazione del rischio. IBAN + anagrafiche + causali di pagamento = rischio frode elevato. Phishing mirato, truffe BEC, social engineering. Non è teoria, è quello che succede dopo ogni breach di questo tipo.
Terzo: decidi se notificare. Se concludi che il rischio per i tuoi interessati è più che improbabile, documenta il perché e conserva tutto. Se il rischio c’è, hai 72 ore dalla conoscenza effettiva del breach.
Quarto: valuta la comunicazione agli interessati. Se i tuoi clienti rischiano frodi bancarie perché i loro IBAN sono finiti in mani sbagliate, devono saperlo. Non per gentilezza: per obbligo.
Il vero problema è culturale
Troppi imprenditori e professionisti considerano ancora il software in cloud come una delega totale di responsabilità. “I dati stanno da loro, il problema è loro.”
No. I dati sono tuoi. La responsabilità è tua. Il fornitore è uno strumento, non uno scudo.
E se il tuo DPA (Data Processing Agreement) con il fornitore del software non prevede procedure chiare per questi casi, hai un problema nel problema.
Se usi quello o altri software contabili in cloud e non sai da dove partire con la valutazione d’impatto contattami a: Richiedi informazioni È esattamente il tipo di situazione in cui serve qualcuno che parli sia di GDPR che di cybersecurity — senza annacquare nessuno dei due.
fcucci@studiolegalecucci.net
054156050
#GDPR #DataBreach #TeamSystem #ProtezioneDati #Cybersecurity #Compliance #DPO #SupplyChainSecurity
