800 561720
La sentenza n. 3034/2026 del Tribunale di Firenze offre un chiarimento rilevante per chi svolge il ruolo di Data Protection Officer.
Il caso riguarda una società vittima di una frode informatica, una cosiddetta “truffa dell’IBAN”, con una perdita di circa 390.000 euro; un Business Email Compromise.
L’azienda Titolare del trattamento ha tentato di attribuire la responsabilità al proprio DPO esterno, sostenendo che non fossero state adottate misure di sicurezza adeguate. Il Tribunale ha rigettato la domanda.
Il principio espresso è stato chiaro: il DPO, ai sensi degli artt. 37-39 GDPR, ha compiti di informazione, consulenza, sorveglianza e indirizzo.
Non è invece il soggetto che decide, finanzia o implementa le misure tecniche e organizzative di sicurezza.
Questa responsabilità resta in capo al Titolare del trattamento, secondo l’art. 24 GDPR.
Nel caso concreto, il DPO aveva documentato di aver segnalato criticità e raccomandato misure come autenticazione a due fattori 2FA, formazione anti-phishing e rafforzamento dei presidi di sicurezza anche attraverso audit.
L’azienda, tuttavia, non aveva dato seguito pieno a tali indicazioni, anche per ragioni di costo.
La sentenza contiene indicazioni interessanti per le organizzazioni:
- nominare un DPO non significa trasferire su di lui la responsabilità della cybersecurity.
E per i DPO:
- la verbalizzazione dell’attività svolta, delle raccomandazioni formulate e delle criticità segnalate è la prima vera linea di difesa professionale.
Il DPO non è un “assicuratore” del rischio informatico dell’azienda. Ma resta responsabile se non informa, non consiglia, non segnala o non vigila secondo diligenza.
Per questo, nella pratica, diventa essenziale:
- formalizzare le raccomandazioni;
- conservare evidenza delle gap analysis;
- distinguere chiaramente attività consulenziali e decisioni aziendali;
- segnalare per iscritto i rischi non presidiati;
- evitare ambiguità contrattuali sul perimetro dell’incarico.
Questa pronuncia non elimina ogni possibile responsabilità civile del DPO, ma conferma un punto fondamentale: le scelte operative sulla sicurezza restano del Titolare del trattamento.
