Responsabilità del DPO e accountability del titolare: i confini tracciati dalla sentenza n. 3034/2026 del Tribunale di Firenze
La sentenza n. 3034/2026 del Tribunale di Firenze si inserisce nel novero delle pronunce di maggiore interesse in materia di protezione dei dati personali, poiché affronta, con particolare nettezza argomentativa, il tema della responsabilità professionale del Data Protection Officer (DPO).
La controversia trae origine da una frode informatica subita da una società, dalla quale era derivato un pregiudizio patrimoniale di circa 390.000 euro. L’impresa aveva contestato al proprio DPO l’inadempimento degli obblighi connessi alla protezione dei dati e, in particolare, la mancata adozione di misure idonee a prevenire l’evento dannoso.
Il Tribunale, tuttavia, ha disatteso tale ricostruzione, offrendo una lettura più aderente al quadro delineato dal GDPR e dalle Linee guida del WP29: il DPO non è il garante universale della sicurezza dell’organizzazione, né può assurgere a destinatario ultimo dell’accountability gravante sul titolare del trattamento.
Il nucleo dell’analisi muove dunque dagli artt. 37, 38 e 39 GDPR, secondo cui il DPO svolge una funzione di informazione, consulenza e sorveglianza sull’osservanza della normativa. Egli assiste il titolare del trattamento, fornisce pareri, sensibilizza l’organizzazione e vigila sul rispetto della normativa, senza che a tali attività corrisponda, tuttavia, un trasferimento dell’obbligo di adottare misure adeguate, il quale, come stabilito dagli artt. 24, 25 e 32 GDPR, resta in capo al titolare.
Ne consegue una fondamentale separazione tra consulenza e decisione, controllo e gestione. Il DPO può individuare il rischio, rappresentarlo e raccomandare l’adozione di determinate misure, ma non può essere onerato della loro concreta attuazione quando questa rientri nelle competenze decisionali e operative del titolare.
È proprio qui che si colloca uno dei passaggi più significativi della pronuncia: imputare al DPO la mancata adozione di una misura che egli non aveva il potere di adottare significherebbe attribuirgli una responsabilità per una funzione che non gli compete, confondendo il piano della consulenza e della sorveglianza con quello della decisione e della gestione.
Pertanto, una volta rilevata una vulnerabilità, il DPO può segnalarla e formulare le opportune raccomandazioni; spetta tuttavia al titolare valutare l’an e il quomodo dell’intervento.
Da questo punto di vista, assume particolare importanza anche il principio di indipendenza del DPO. Proprio in ossequio a tale principio, il professionista non deve disporre di poteri di spesa né di poteri decisionali in ordine alle scelte operative dell’organizzazione. Se al DPO venissero riconosciute prerogative operative, infatti, si determinerebbe una sovrapposizione di ruoli suscettibile di comprometterne l’autonomia: il DPO non potrebbe essere colui che assume le decisioni operative e, al contempo, colui che è chiamato a vigilare sulla loro correttezza.
Tra l’altro, la necessità di distinguere le funzioni consulenziali da quelle operative può desumersi anche dal modo in cui il Tribunale affronta il tema dell’indipendenza del DPO in relazione al conflitto di interessi. Nello specifico, il giudice esclude che la parziale coincidenza della compagine societaria tra il soggetto incaricato quale DPO e quello che presta consulenza informatica al titolare possa, da sola, determinare un’incompatibilità, ammettendo però, in astratto, l’esistenza di un conflitto di interessi proprio quando il DPO si trovi nella posizione di esercitare un’influenza diretta sulle decisioni relative ai trattamenti.
Le medesime considerazioni possono essere svolte con riferimento al principio di accountability. L’accountability non è un onere suscettibile di essere trasferito mediante la nomina del DPO: il titolare rimane il soggetto chiamato a governare il rischio, assumere le decisioni e predisporre le risorse necessarie affinché il trattamento si svolga nel rispetto della normativa, mentre il DPO rappresenta un presidio qualificato di consulenza e controllo indipendente.
Da ciò deriva una conseguenza anche sul piano della responsabilità civile. La mera verificazione del danno non può, di per sé, determinare la responsabilità del DPO. Occorre, piuttosto, qualificare l’obbligazione gravante sul professionista come obbligazione di mezzi, verificarne l’eventuale inadempimento e accertare il necessario nesso causale tra la condotta tenuta e il danno lamentato.
Diversamente, si rischierebbe anzitutto di trasformare l’obbligazione del DPO da obbligazione di mezzi in obbligazione di risultato, imponendogli non soltanto di adempiere diligentemente i propri compiti di informazione, consulenza e sorveglianza, ma anche di garantire l’assenza di violazioni o incidenti di sicurezza: un esito che, peraltro, dipende dalle decisioni e dalle misure adottate dal titolare.
In una prospettiva ancora più estrema, ciò potrebbe financo tradursi in una responsabilità “di posizione”, fondata sul solo verificarsi dell’evento dannoso e svincolata dall’effettivo accertamento di una condotta inadempiente del DPO e del nesso causale tra quest’ultima e il danno.
Questo non significa, naturalmente, che il DPO sia esente da responsabilità. Come osservato dal Tribunale, il professionista resta tenuto ad adempiere con diligenza gli obblighi derivanti dall’incarico e deve poter dimostrare, attraverso un’adeguata tracciabilità documentale, di avere tempestivamente individuato e rappresentato i rischi di cui fosse venuto a conoscenza, nonché di avere svolto le attività di consulenza e sorveglianza di propria competenza.
All’esito di quanto descritto, si può dunque concludere che il Tribunale di Firenze non elimini la responsabilità del DPO, ma ne delimiti piuttosto il perimetro. La vera questione, allora, non è se il DPO sia o meno responsabile, ma di cosa sia responsabile. Ed è proprio nella risposta a questa domanda che la sentenza n. 3034/2026 del Tribunale di Firenze sembra offrire il proprio contributo più significativo: la responsabilità del DPO non può essere costruita per traslazione sulla responsabilità del titolare, ma deve essere ricondotta agli specifici obblighi che il GDPR e l’incarico professionale gli impongono.
Avv. Francesca Biancucci