Lidl, la catena di discount del gruppo tedesco Schwarz — il più grande retailer alimentare d'Europa, con oltre 376.000 dipendenti e 12.000 punti vendita — ha notificato ai clienti del proprio negozio online in Germania, Belgio e Paesi Bassi il furto di alcuni dati personali. La violazione, resa nota il 13 luglio 2026, non è avvenuta nei sistemi di Lidl ma presso un suo fornitore di servizi IT: è l'ennesimo caso in cui l'anello debole della catena è un terzo.

Cosa è successo

Secondo le comunicazioni pubblicate da Lidl sui siti di assistenza belga e olandese, ignoti sono riusciti ad accedere per un breve periodo a un file conservato separatamente, contenente dati dei clienti del negozio online, e a sottrarne una parte. I sistemi dello shop online, precisa l'azienda, non sono stati compromessi.

I dati confermati come rubati comprendono titolo, nome e cognome, numero di telefono, indirizzo email, data di nascita e numero cliente. Lidl aggiunge però di non poter ancora escludere che la violazione riguardi anche password, indirizzi di fatturazione e consegna, coordinate bancarie o altre informazioni di pagamento: un'ammissione prudente ma significativa, perché sposta il potenziale impatto dal semplice spam a un rischio ben più concreto.

Il fornitore colpito — la cui identità non è stata resa nota — ha sporto denuncia e incaricato esperti forensi di ricostruire la portata dell'incidente. Lidl ha notificato l'autorità garante olandese per la protezione dei dati e ha invitato i clienti a diffidare di possibili tentativi di phishing costruiti sui dati sottratti.

Perché un elenco di nomi ed email è già un problema

È facile sottovalutare un data breach che "non contiene password né carte di credito". In realtà la combinazione di nome, email, telefono e data di nascita, associata alla certezza che la persona sia cliente Lidl, è materia prima ideale per phishing e smishing mirati. Un messaggio che ti chiama per nome, cita il tuo numero cliente e finge di provenire dal servizio clienti Lidl ha un tasso di successo molto più alto di uno spam generico. È il cosiddetto rischio di secondo livello: i dati rubati non fanno danno da soli, ma alimentano la truffa successiva.

Cosa significa per le aziende italiane

Il caso Lidl non riguarda tanto la GDO quanto il rischio di terza parte, che è oggi il fronte più trascurato dalla maggior parte delle organizzazioni italiane. Il messaggio per un'azienda italiana non è "attenzione ai discount", ma: il perimetro di sicurezza non finisce ai propri firewall. Ogni fornitore che tratta dati dei vostri clienti — il gestore della newsletter, la piattaforma e-commerce, il CRM in cloud, l'agenzia di marketing — è una porta che può essere sfondata al posto vostro, con conseguenze che ricadono sul vostro nome.

Sul piano del GDPR la responsabilità è netta: verso l'interessato il titolare del trattamento resta l'azienda, non il fornitore che ha subito l'attacco. Se un vostro responsabile del trattamento (data processor) viene violato, siete comunque voi a dover valutare la notifica al Garante entro 72 ore e l'eventuale comunicazione agli interessati quando il rischio per i loro diritti è elevato. Per questo l'art. 28 del Regolamento impone contratti che vincolino i responsabili a misure adeguate e all'obbligo di segnalarvi tempestivamente ogni violazione: un obbligo che, sulla carta, molti hanno, ma che pochi verificano davvero nella pratica.

Per i soggetti che rientrano nella NIS2, poi, la gestione della sicurezza della catena di fornitura è un requisito esplicito: non basta mettere in sicurezza i propri sistemi, occorre valutare e monitorare il rischio introdotto dai fornitori.

Cosa fare subito

  • Mappare tutti i fornitori che trattano dati dei vostri clienti e classificarli per criticità dei dati gestiti.
  • Verificare che i contratti con i responsabili del trattamento (art. 28 GDPR) prevedano misure di sicurezza adeguate e l'obbligo di notifica tempestiva delle violazioni.
  • Richiedere ai fornitori evidenze concrete: certificazioni, risultati di audit o penetration test, piani di risposta agli incidenti.
  • Predisporre un piano di risposta che copra esplicitamente il caso "violazione presso un fornitore", con i tempi GDPR delle 72 ore già definiti.
  • Per chi fosse cliente del negozio online Lidl in Germania, Belgio o Paesi Bassi: diffidare di email o SMS che citano dati personali, non cliccare link sospetti e verificare sempre il mittente.
  • Se gestite un e-commerce, limitare i dati dei clienti condivisi con terzi al minimo necessario e cifrare i file esportati.

L'incidente Lidl è un promemoria scomodo: si può investire molto nella propria sicurezza e ritrovarsi comunque a scrivere una notifica al Garante per colpa di un file lasciato da qualcun altro. La sicurezza della catena di fornitura non è un adempimento formale, è la parte del perimetro che non controllate direttamente ma di cui rispondete comunque.