La figura del Data Protection Officer (DPO) o Responsabile della Protezione dei Dati (RPD) riveste da anni un ruolo centrale nella governance aziendale e pubblica. Eppure, nonostante la sua diffusione, le pronunce giurisprudenziali chiamate a perimetrarne l’effettiva responsabilità civile in caso di incidenti informatici sono state finora rarissime.
A fare chiarezza su questo delicato assetto giurisprudenziale è intervenuta una recente e significativa sentenza del Tribunale di Firenze (Terza Sezione Civile, n. 7332/2026, depositata il 28 maggio 2026) , commentata anche dall’avvocato Alessandro De Nicola nella rubrica “Lampi di governance” de Il Sole 24 Ore. Il caso esaminato offre lo spunto per fare definitivamente il punto sui doveri del DPO e, soprattutto, su ciò che non può essergli imputato.
Il caso concreto: frode informatica e “caccia al colpevole”
La vicenda nasce da una sofisticata truffa informatica del tipo “man in the middle” ai danni di un’azienda operante nel settore delle utility energetiche. Alcuni malviventi sono riusciti a intercettare le comunicazioni e-mail tra l’azienda e un suo fornitore di smart meter, inducendo la prima – tramite e-mail contraffatte – a dirottare un pagamento di oltre 390.000 euro su un codice IBAN fraudolento.
A seguito del danno subito, l’azienda si è opposta al decreto ingiuntivo con cui la società di consulenza incaricata delle funzioni di DPO richiedeva il saldo dei propri compensi, avanzando una domanda riconvenzionale per chiedere il risarcimento dell’intero danno. Secondo la tesi dell’attrice, il DPO non avrebbe vigilato adeguatamente sulla sicurezza informatica aziendale, né avrebbe garantito una reale indipendenza a causa di una parziale sovrapposizione societaria con l’advisor incaricato della riorganizzazione IT.
I chiarimenti del Tribunale: compiti consultivi, non esecutivi
Il Tribunale di Firenze ha rigettato integralmente le pretese dell’azienda, confermando il diritto del DPO a percepire il proprio compenso e delineando i confini della responsabilità sulla base degli articoli 37, 38 e 39 del GDPR.
I punti cardine espressi dal Giudice Umberto Castagnini offrono un orientamento fondamentale per tutto il settore:
Funzione di consulenza e sorveglianza: Il DPO informa, vigila e segnala le difformità, ma non dispone di poteri esecutivi o di intervento diretto sui sistemi informatici.
La responsabilità resta in capo al Titolare: Ai sensi dell’articolo 24 del GDPR, è il Titolare del trattamento (l’azienda) – e non il DPO – a dover adottare concretamente le misure tecniche e organizzative adeguate alla protezione dei dati. Le lacune di sicurezza non possono essere traslate sul consulente.
La diligenza professionale fa fede: Nel caso specifico, la documentazione ha dimostrato che il DPO aveva operato con assoluta diligenza. Già a partire dal 2021/2022, il professionista aveva formalmente segnalato la necessità di adottare l’autenticazione a due fattori (2FA) per gli accessi VPN, di segregare i server di backup e di formare il personale contro il phishing e le e-mail truffa. Negli audit periodici, il DPO aveva persino valutato come “non accettabili” i sistemi di autenticazione aziendali.
Di fronte a un quadro documentale così puntuale, il Tribunale ha escluso qualsiasi nesso di causalità tra l’operato del DPO e la truffa subita dall’azienda.
Conflitto di interessi e indipendenza funzionale
La pronuncia affronta anche il tema del conflitto di interessi. L’azienda lamentava una parziale coincidenza di soci tra la struttura del DPO e la società incaricata della gestione IT.
Il Giudice ha chiarito che l’indipendenza richiesta al DPO deve essere di tipo funzionale. Ricordando che il GDPR consente persino a un lavoratore dipendente del Titolare di assumere il ruolo di DPO (art. 37, par. 6), l’incompatibilità va ravvisata solo rispetto a ruoli manageriali di vertice che determinino finalità e mezzi del trattamento (es. Amministratore Delegato, Responsabile IT, Direttore Risorse Umane). In assenza di un rapporto di controllo giuridico tra le due società esterne, la mera coincidenza parziale dei soci non è sufficiente a inficiarne l’autonomia.
A blindare la decisione, infine, un dato temporale dirimente: il DPO aveva cessato regolarmente il proprio incarico oltre due mesi prima che la frode informatica avesse luogo.
Conclusioni: l’importanza dell’accountability e dei flussi documentali
Come evidenziato anche nel commento su Il Sole 24 Ore, questa sentenza riconduce la responsabilità del DPO nei binari corretti della sua funzione : una figura di alta consulenza e controllo, non un “paracadute assicurativo” per le inadempienze informatiche dell’organizzazione.
Per le imprese e i professionisti, la lezione della sentenza di Firenze è duplice:
Per i Titolari del Trattamento: Ascoltare e dare seguito alle prescrizioni e ai remediation plan indicati dal proprio DPO è vitale. Ignorare i rischi formalizzati espone l’azienda non solo ad attacchi informatici, ma anche all’impossibilità di rivalersi sui consulenti.
Per i DPO: Diventa fondamentale la cultura dell’accountability e della tracciabilità documentale. Report as-is, verbali di audit interno e comunicazioni – anche informali – di warning tempestivo rappresentano lo scudo giuridico per dimostrare l’esatto e diligente adempimento del proprio mandato professionale.
Lo studio legale associato resta a disposizione di imprese e manager per la revisione dei modelli di data protection governance, l’assunzione di incarichi DPO e l’analisi dei rischi legati alla sicurezza delle informazioni.