Responsabilità del DPO: la sentenza del Tribunale di Firenze chiarisce i limiti del ruolo nel GDPR
Con sentenza n. 3034, pubblicata il 29 maggio 2026, il Tribunale di Firenze interviene sul regime di responsabilità del Responsabile della Protezione dei Dati (DPO) ai sensi del GDPR, nel contesto di una frode informatica. La sentenza conferma che il DPO non è responsabile delle violazioni della sicurezza informatica causate dalla mancata attuazione, da parte del cliente, delle raccomandazioni formalmente documentate.
Il Tribunale ha evidenziato che, ai sensi dell’articolo 39, paragrafo 1, lettere a) e b), del GDPR, i compiti principali del DPO consistono nel:
- informare e consigliare il titolare o il responsabile del trattamento e i dipendenti che effettuano trattamenti sui loro obblighi normativi;
- sorvegliare l’osservanza del GDPR e delle altre disposizioni in materia di protezione dei dati.
Elemento decisivo della sentenza è l’affermazione secondo cui il DPO non assume mai funzioni esecutive. Ai sensi dell’articolo 24, paragrafo 1, del GDPR, è il titolare del trattamento — e non il DPO — a dover adottare misure tecniche e organizzative adeguate per garantire e dimostrare la conformità del trattamento al Regolamento.
La sentenza offre alcune importanti indicazioni pratiche.
In primo luogo, il DPO svolge un ruolo esclusivamente consultivo e non esecutivo: la responsabilità per l’implementazione delle misure di sicurezza resta in capo al titolare del trattamento.
La documentazione rappresenta una tutela essenziale per il DPO. Audit, e-mail e comunicazioni formali consentono di dimostrare l’adempimento dei propri compiti.
La sentenza richiama inoltre l’attenzione delle aziende. Non attuare le raccomandazioni del DPO può comportare conseguenze rilevanti e aggravare la posizione dell’organizzazione in caso di contenzioso.