Il DPO non ha responsabilità operative sulla sicurezza informatica dell’azienda: il suo mandato si esaurisce nella consulenza, nel monitoraggio e nel raccordo con l’autorità di controllo. Confondere questo ruolo con quello di un responsabile IT espone il titolare del trattamento a deleghe invalide e il DPO a responsabilità che il GDPR non gli attribuisce. Il Tribunale di Firenze lo ha ora fissato in un provvedimento scritto, rendendo il punto difficilmente contestabile in sede di verifica o contenzioso.
Punti chiave
- Punto 1 — Il DPO non risponde della sicurezza IT: la responsabilità resta in capo al titolare del trattamento.
- Punto 2 — Delegare misure di sicurezza tecniche al DPO invalida la delega e non esonera il titolare.
- Punto 3 — Il provvedimento fiorentino rafforza la linea del Garante e orienta il contenzioso sulla compliance GDPR.
Se assisti aziende nella strutturazione della governance privacy, questo provvedimento ti offre un argomento giurisprudenziale concreto da spendere subito: il DPO non può essere incaricato — nemmeno implicitamente — di gestire o supervisionare la sicurezza informatica aziendale. Usarlo come parafulmine IT non solo è sbagliato, ma espone il titolare del trattamento a una responsabilità piena e indifendibile in caso di data breach.
Il Tribunale di Firenze ha chiarito con un provvedimento scritto che il Data Protection Officer esaurisce il suo perimetro nelle funzioni di consulenza, monitoraggio della conformità e interfaccia con il Garante, senza alcuna competenza operativa sulla sicurezza dei sistemi. La notizia è riportata da Diritto.it.
Il contesto normativo
Il Regolamento UE 2016/679 (GDPR) definisce i compiti del DPO all’art. 39, elencandoli in modo tassativo: informare e consigliare il titolare, sorvegliare il rispetto del regolamento, cooperare con l’autorità di controllo e fungere da punto di contatto. L’art. 32 GDPR attribuisce invece al titolare — e al responsabile del trattamento — l’obbligo di adottare misure tecniche e organizzative adeguate alla sicurezza dei dati. Il Considerando 97 precisa che il DPO deve poter svolgere le proprie funzioni in piena indipendenza, il che è incompatibile con un ruolo esecutivo sulla sicurezza IT. Il Garante per la protezione dei dati personali ha ribadito questa distinzione nelle Linee guida WP243 del Gruppo Art. 29, ora fatte proprie dall’EDPB.
Cosa cambia per lo studio
- Nei contratti di nomina del DPO che stai redigendo o revisionando, verifica che non compaiano clausole che gli attribuiscano compiti di gestione, supervisione o validazione delle misure di sicurezza IT: quelle clausole sono oggi attaccabili in giudizio.
- Se il tuo cliente ha subito un data breach e punta il dito sul DPO per scaricare la responsabilità, il provvedimento fiorentino chiude quella strada: il titolare del trattamento rimane il soggetto responsabile ex art. 5, par. 2, GDPR (principio di accountability).
- Negli organigrammi privacy che predisponi, separa nettamente il DPO dalla funzione IT Security o dal CISO: tenerli sovrapposti — anche solo nella prassi operativa — crea un conflitto di interessi rilevabile dal Garante in sede ispettiva.
- In caso di procedimento sanzionatorio del Garante, usa il provvedimento come prova documentale per sostenere che il titolare non poteva delegare al DPO le misure ex art. 32 GDPR e che eventuali lacune IT restano nella sfera di responsabilità esclusiva dell’azienda.
- Per i clienti che stanno selezionando un DPO esterno, il chiarimento riduce il profilo di rischio del professionista incaricato: puoi strutturare l’incarico con perimetro definito e responsabilità circoscritta alla funzione consultiva, evitando clausole di garanzia improprie.
Attenzione a
Il rischio principale è la delega implicita: molte aziende coinvolgono il DPO nelle riunioni del team IT o nei processi di acquisto di software, creando di fatto una sovrapposizione di ruoli. In sede di ispezione del Garante, questa prassi può essere letta come un’assunzione informale di responsabilità operativa, con conseguenze sia per il titolare che per il DPO stesso. Documenta sempre per iscritto i limiti dell’incarico.
Secondo rischio: il DPO che accetta compiti IT per ampliare il proprio mandato o per ragioni commerciali perde l’indipendenza richiesta dall’art. 38, par. 6, GDPR, che vieta espressamente l’attribuzione di compiti che determinino un conflitto di interessi. Un DPO in conflitto di interessi può essere rimosso dal Garante e le sue attività di monitoraggio perdono valore probatorio.
Domande frequenti
Il DPO può essere responsabile di un data breach se non ha vigilato sulla sicurezza IT?
No. L’art. 39 GDPR non attribuisce al DPO compiti operativi sulla sicurezza informatica. La responsabilità per le misure tecniche ex art. 32 GDPR resta in capo al titolare del trattamento. Il Tribunale di Firenze ha confermato questo perimetro: il DPO consiglia e monitora, ma non gestisce sistemi né risponde delle loro vulnerabilità.
Cosa rischia un’azienda che affida la sicurezza IT al DPO invece che a un responsabile tecnico dedicato?
Rischia una doppia esposizione: verso il Garante per violazione del principio di accountability ex art. 5, par. 2, GDPR, e verso i soggetti interessati in caso di data breach. Inoltre, il DPO in conflitto di interessi per funzioni esecutive perde l’indipendenza richiesta dall’art. 38, par. 6, GDPR, rendendo invalido il suo stesso mandato.
Come si redige correttamente un contratto di nomina del DPO per evitare conflitti di interessi?
Il contratto deve elencare tassativamente i compiti del DPO richiamando l’art. 39 GDPR, escludere esplicitamente qualsiasi funzione operativa su sistemi IT o misure di sicurezza, e prevedere la garanzia di indipendenza ex art. 38 GDPR. Clausole che attribuiscano al DPO poteri decisionali su acquisti tecnologici o configurazioni di sistema sono oggi contestabili in giudizio.
Fonte di riferimento: Diritto.it