La risposta breve
Trenord ha comunicato ai passeggeri, con una nota del 18 ottobre 2026, che i loro dati sono stati coinvolti nella violazione dei sistemi Trenitalia resa nota il 26 giugno 2026. Sono interessati dati anagrafici, recapiti, dettagli dei viaggi, codici delle carte fedeltà e dati dei documenti d'identità. Credenziali di accesso e dati delle carte di pagamento non risultano coinvolti. Trenord ha notificato l'incidente al Garante per la protezione dei dati personali.
Per le aziende la lezione va oltre il settore ferroviario: quando i dati dei propri clienti vivono anche nei sistemi di un socio o di un fornitore, il perimetro di rischio è quello del partner. Mappare questi flussi e definire chi notifica cosa, e in quanto tempo, è il cuore di una conformità GDPR che regge alla prova di un incidente reale.
Cosa è successo e quando?
Il 26 giugno 2026 Trenitalia ha comunicato ai propri clienti di aver subito un incidente di sicurezza: soggetti esterni non identificati avevano avuto accesso a dati personali collegati ai titoli di viaggio. La società del gruppo Ferrovie dello Stato aveva informato il Garante e presentato denuncia alla Procura della Repubblica presso il Tribunale di Roma, come riportato all'epoca dal Sole 24 Ore.
Quasi quattro mesi dopo è emerso un secondo perimetro. Con una nota datata 18 ottobre 2026, ripresa da Milano Finanza il 19 ottobre e da CyberSecurity Italia il 21 ottobre, Trenord — l'operatore del trasporto ferroviario regionale lombardo, di cui Trenitalia è socio — ha informato i propri passeggeri che anche i loro dati rientrano nell'incidente. Trenord ha precisato di aver già notificato la violazione al Garante.
Non sono stati diffusi il numero di persone coinvolte né i dettagli tecnici dell'intrusione: vettore d'attacco, durata dell'accesso e sistemi precisi restano non pubblici. Al momento nessun gruppo criminale risulta aver rivendicato l'attacco.
Quali dati sono coinvolti?
Secondo la comunicazione di Trenord, le categorie di dati potenzialmente compromesse sono:
- Dati anagrafici e identificativi: nome, cognome, data e luogo di nascita.
- Recapiti: indirizzo email e numero di telefono.
- Dati di viaggio: tratta, data e orario dello spostamento, numero del titolo di viaggio.
- Codici delle carte fedeltà.
- Informazioni sul datore di lavoro, presenti ad esempio nei titoli legati a convenzioni aziendali.
- Dati dei documenti d'identità.
Restano fuori, secondo l'azienda, le credenziali di accesso agli account e i dati degli strumenti di pagamento: numero della carta, data di scadenza e codice di sicurezza.
È un insieme meno «spettacolare» di un furto di carte, ma più utile a chi prepara truffe mirate. Per un pendolare, tratta e orario abituali descrivono una routine quotidiana; il datore di lavoro e il documento d'identità aggiungono contesto e credibilità a qualunque messaggio fraudolento.
Perché i passeggeri lo scoprono solo ora?
Il punto più discusso del caso è la tempistica. Il GDPR prevede che il titolare del trattamento notifichi una violazione all'autorità di controllo entro 72 ore da quando ne viene a conoscenza (art. 33) e che, se il rischio per le persone è elevato, la comunichi agli interessati senza ingiustificato ritardo (art. 34). Il conto delle 72 ore parte da quando il titolare è consapevole che i propri dati sono coinvolti: per una società i cui dati transitano nei sistemi di un altro soggetto, quel momento può arrivare molto più tardi rispetto alla scoperta dell'incidente da parte di chi lo ha subito.
Le fonti non chiariscono quando Trenord sia stata informata, né se il ritardo dipenda dall'analisi forense o dalla ricostruzione di quali record appartenessero a quale operatore. È però esattamente il genere di zona grigia che un accordo sul trattamento ben scritto deve eliminare: chi avvisa chi, entro quanto tempo e con quali informazioni minime.
Quali rischi concreti per i passeggeri?
Senza dati di pagamento il rischio principale non è l'addebito diretto, ma il phishing e lo smishing contestualizzati: messaggi che citano la tratta reale, l'abbonamento o la carta fedeltà e chiedono di «confermare i dati» o di pagare un presunto rimborso o una sanzione. Con un documento d'identità in mano, i truffatori possono inoltre tentare furti d'identità presso altri servizi.
Trenord raccomanda di diffidare di comunicazioni sospette su viaggi o biglietti acquistati che chiedono informazioni personali o finanziarie, o che contengono link e allegati inattesi; di verificare sempre il mittente; e di non fornire mai credenziali o dati di pagamento a contatti non richiesti. Per informazioni l'azienda indica i propri canali ufficiali di assistenza.
Cosa significa per chi progetta software con dati condivisi
Il caso Trenord non riguarda solo il trasporto: è lo schema tipico di qualunque ecosistema in cui più società condividono piattaforme di vendita, bigliettazione, programmi fedeltà o CRM. Nel settore travel e mobilità l'interoperabilità tra operatori è un vantaggio per l'utente, ma moltiplica i punti in cui lo stesso dato personale è replicato.
Per chi commissiona o mantiene questi sistemi, alcune domande diventano requisiti di progetto e non solo clausole legali:
- Mappa dei flussi. Quali dati dei nostri clienti vengono copiati nei sistemi di partner e soci, e con quale base giuridica? Senza registro aggiornato, la valutazione d'impatto dopo un incidente richiede settimane.
- Minimizzazione. Serve davvero replicare il documento d'identità o il datore di lavoro in un sistema di bigliettazione condiviso? Ogni campo non indispensabile è superficie d'attacco gratuita.
- Segregazione per titolare. I record di ogni società sono identificabili e separabili? È la condizione per sapere in poche ore, e non in mesi, chi deve notificare e chi avvisare.
- Clausole di notifica. L'accordo ex art. 28 GDPR, o quello tra contitolari ex art. 26, fissa tempi di comunicazione tra le parti compatibili con le 72 ore?
- Prova sul campo. Esercitazioni congiunte di risposta agli incidenti tra partner rivelano i ritardi prima che li riveli un attacco.
Domande frequenti
Quali dati dei passeggeri Trenord sono stati esposti?
Secondo la comunicazione di Trenord del 18 ottobre 2026 possono essere stati coinvolti dati anagrafici (nome, cognome, data e luogo di nascita), recapiti (email e telefono), dati di viaggio (tratta, data, orario e numero del titolo), codici delle carte fedeltà, informazioni sul datore di lavoro e dati dei documenti d'identità. Credenziali di accesso e dati delle carte di pagamento non risultano coinvolti.
Perché i dati Trenord erano nei sistemi Trenitalia?
Trenord ha collegato la fuga di dati all'incidente informatico subito da Trenitalia e comunicato il 26 giugno 2026: i dati legati ai titoli di viaggio dei passeggeri Trenord transitavano anche su sistemi di Trenitalia, socio della società lombarda. I dettagli tecnici del flusso non sono stati resi pubblici.
Cosa devono fare i passeggeri coinvolti?
Trenord invita a diffidare di comunicazioni inattese su viaggi o biglietti che chiedono dati personali o finanziari o contengono link e allegati imprevisti, a verificare sempre il mittente e a non fornire mai credenziali o dati di pagamento in risposta a contatti non richiesti.
Fonti
Milano Finanza — Trenord, fuga di dati personali: a rischio email, numeri di telefono e documenti, 19 ottobre 2026
CyberSecurity Italia — Data leak Trenord, ecco i dati dei passeggeri finiti nelle mani dei cyber criminali, 21 ottobre 2026
Il Sole 24 Ore — Trenitalia hit by hacker attack, some customer data compromised, giugno 2026