Con la sentenza del 28 maggio 2026, il Tribunale di Firenze ha affrontato la controversia relativa alla responsabilità del Data Protection Officer (DPO), chiarendo i limiti della sua responsabilità contrattuale in caso di eventi dannosi nell’organizzazione del titolare del trattamento. La decisione offre importanti chiarimenti su quanto possa estendersi la responsabilità del DPO in situazioni problematiche.
1. I fatti: una truffa informatica da € 390.000 e un DPO chiamato a rispondere
Una società operante nel settore delle utility aveva affidato nel 2019 a un consulente esterno l’incarico di responsabile della protezione dei dati. Dopo una truffa informatica di € 390.000, avvenuta mentre il DPO aveva cessato l’incarico, la società ha contestato il credito del DPO, affermando che avrebbe dovuto vigilare sulle misure di sicurezza. Tuttavia, il Tribunale ha confermato il diritto del DPO al pagamento e ha rigettato l’opposizione, sottolineando che la responsabilità di attuare misure di sicurezza grava esclusivamente sul titolare del trattamento.
2. Il punto fermo: il DPO non esegue, consiglia
Il Tribunale ha chiarito che il DPO non assume compiti esecutivi, ma si limita a informare, consigliare e segnalare eventuali difformità. La responsabilità ricade sul titolare del trattamento, come indicato nel GDPR e confermato dalle Linee Guida WP29.
3. L’adempimento diligente: la documentazione ha vinto la causa
La documentazione prodotta dal DPO ha dimostrato la sua diligenza professionale. Rilevamenti critici e raccomandazioni erano stati formalizzati, evidenziando che il titolare era consapevole dei rischi e ha scelto di non intervenire.
4. La questione del conflitto di interessi
Il Tribunale ha respinto le obiezioni riguardo un conflitto di interessi tra il DPO e terze parti che operavano per il titolare, sottolineando che tale conflitto non esisteva nel contesto specifico.
5. Implicazioni per i DPO
Questa sentenza, pur non modificando il diritto applicabile, chiarisce che la responsabilità del DPO è limitata alle sue funzioni di consulenza e monitoraggio, sottolineando l’importanza di documentare le proprie attività e raccomandazioni. Inoltre, ogni cambiamento nel rapporto contrattuale deve essere formalizzato.
__________
Puoi leggere la fonte originale dell’articolo qui
