Il Garante italiano per la protezione dei dati personali ha sanzionato The European House – Ambrosetti, la nota società di consulenza e think tank, con una multa da 85.000 euro per aver omesso di notificare tempestivamente un data breach. Il caso è stato reso pubblico nella newsletter dell'Autorità del 21 maggio 2026 e ha suscitato attenzione non tanto per l'entità della sanzione, quanto per la motivazione dichiarata dall'azienda stessa: la scelta del silenzio era stata guidata dalla paura delle conseguenze reputazionali.
Cosa è successo
La società ha subito un attacco informatico che ha coinvolto dati personali di utenti e clienti. L'incidente ha evidenziato carenze tecniche significative nell'infrastruttura: tra le vulnerabilità sfruttate figurano una SQL injection, problema ben noto e prevenibile, e la conservazione delle password in chiaro (ovvero non cifrate), una pratica considerata inaccettabile secondo qualsiasi standard di sicurezza moderno.
Il problema non era solo tecnico, però. Quando l'azienda ha preso atto della violazione, invece di notificarla al Garante entro le 72 ore previste dall'articolo 33 del GDPR, ha deliberatamente scelto di non farlo. Il motivo, ammesso dalla stessa Ambrosetti nel corso del procedimento, è stato esplicito: la comunicazione avrebbe potuto generare conseguenze mediatiche e danneggiare l'immagine dell'organizzazione.
Il GDPR non ammette il silenzio strategico
Il Regolamento europeo sulla protezione dei dati è chiaro: il titolare del trattamento è obbligato a notificare le violazioni che presentano un rischio per i diritti e le libertà delle persone fisiche. Non si tratta di una scelta discrezionale, e l'eventuale impatto reputazionale non costituisce una giustificazione valida per omettere la comunicazione.
Il Garante ha ritenuto che il comportamento di Ambrosetti configurasse una violazione dell'articolo 33 GDPR, applicando una sanzione che tiene conto sia dell'omessa notifica sia delle carenze di sicurezza preesistenti che hanno reso possibile l'incidente.
Un precedente che vale come avvertimento
Il caso Ambrosetti si inserisce in un contesto più ampio: il piano ispettivo del Garante per il primo semestre 2026 ha individuato proprio i data breach come uno degli ambiti prioritari di controllo, insieme all'intelligenza artificiale, al whistleblowing e al telemarketing.
Il messaggio che emerge è chiaro: nascondere un data breach per tutelare la reputazione non solo non funziona (la sanzione e la pubblicità negativa arrivano comunque), ma aggrava la posizione dell'azienda davanti all'Autorità. La trasparenza tempestiva, al contrario, è considerata un elemento positivo nella valutazione delle misure adottate dal titolare.
Per le organizzazioni italiane, questo provvedimento rappresenta un ulteriore promemoria dell'importanza di disporre di procedure interne chiare per la gestione degli incidenti, con catene di responsabilità ben definite e tempistiche rispettate. Le lacune tecniche di base — come SQL injection e password in chiaro — che sono alla radice dell'attacco, rendono poi la posizione dell'azienda ancora più difficile da difendere di fronte al Garante.
Ambrosetti ha 30 giorni per impugnare il provvedimento davanti all'Autorità giudiziaria.
