[Privacy & Sicurezza Informatica]  [DPR 15/2018]  [GDPR]  [Obblighi Datoriali]

Il diritto non chiede al datore di lavoro di essere infallibile. Gli chiede di essere diligente. Ecco cosa significa, in concreto, nelle misure di sicurezza per la gestione delle credenziali: un catalogo normativo aggiornato con le conseguenze della violazione.

1. Il quadro normativo: una pluralità di fonti

La gestione delle credenziali di autenticazione è disciplinata da un sistema normativo composito che integra fonti di diverso rango e origine:

• Art. 25, DPR 15 gennaio 2018, n. 15: misure minime di sicurezza per i trattamenti di dati personali nel settore pubblico (con principi applicabili per analogia al settore privato);
• Art. 32, GDPR (UE) 2016/679: obbligo di misure tecniche e organizzative adeguate al rischio;
• Art. 16, D.Lgs. 18 maggio 2018, n. 51: misure di sicurezza per trattamenti in materia penale;
• Art. 24, D.Lgs. 4 settembre 2024, n. 138 (attuazione Direttiva NIS2): misure di gestione dei rischi di cybersicurezza;
• Art. 51, CAD: sicurezza dei sistemi nelle pubbliche amministrazioni.

2. Le misure specifiche: un catalogo operativo

Il disciplinare tecnico allegato al Codice della privacy (richiamato dall’art. 25 DPR 15/2018) dettaglia le misure minime che ogni datore di lavoro che tratta dati personali deve adottare. Non si tratta di semplici raccomandazioni: sono obblighi giuridici la cui inosservanza è sanzionata.

2.1 Credenziali personali e non condivisibili

Ogni incaricato del trattamento deve essere dotato di credenziali di autenticazione individuali, un codice identificativo unico e una componente riservata (password), che gli consentano l’accesso al sistema. Le credenziali non possono essere condivise tra più incaricati.

2.2 Rinnovo periodico delle password

La password deve essere rinnovata dall’incaricato a intervalli regolari: almeno ogni sei mesi per i trattamenti ordinari, almeno ogni tre mesi per i trattamenti che includono dati sensibili o giudiziari. La modifica deve avvenire al primo utilizzo e ogniqualvolta vi sia il sospetto che le credenziali siano state compromesse.

2.3 Disattivazione delle credenziali inutilizzate

Le credenziali inutilizzate per un periodo superiore a sei mesi devono essere disattivate. Questa misura è particolarmente rilevante nei contesti di alto turnover o di presenza di collaboratori occasionali.

2.4 Disattivazione immediata in caso di perdita della qualità

Le credenziali devono essere disattivate immediatamente in caso di perdita della qualità che consente all’incaricato l’accesso ai dati. La ‘perdita della qualità’ include non solo la cessazione del rapporto di lavoro, ma anche il cambio di mansioni che non richiedano più l’accesso a determinati sistemi.

2.5 Profili di autorizzazione limitati al need-to-know

I profili di autorizzazione devono essere configurati in modo da consentire l’accesso ai soli dati e sistemi necessari per l’esecuzione dei compiti assegnati (principio del need-to-know). La verifica della sussistenza delle condizioni per la conservazione dei profili deve essere effettuata almeno annualmente.

2.6 Custodia sicura e istruzioni scritte

Devono essere impartite istruzioni scritte agli incaricati per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi di autenticazione in uso esclusivo dell’incaricato. La mera predisposizione formale delle istruzioni non è sufficiente: occorre verificarne la comprensione e l’applicazione pratica (Trib. Bari, n. 1780/2025).

2.7 Procedura per la gestione delle assenze prolungate

Quando l’accesso ai dati è consentito esclusivamente mediante uso delle credenziali personali, devono essere predisposte procedure scritte per garantire la disponibilità dei dati in caso di assenza prolungata o impedimento dell’incaricato. La custodia di eventuali copie delle credenziali deve essere organizzata garantendo la segretezza e individuando preventivamente per iscritto i soggetti incaricati della custodia.

2.8 Autenticazione a più fattori

L’art. 24 del D. Lgs. 138/2024 (NIS2) impone, per i soggetti rientranti nell’ambito applicativo, l’uso di soluzioni di autenticazione a più fattori. Anche per gli altri soggetti, si tratta di una misura che il giudice tenderà a valutare come attesa nei contesti in cui il rischio è elevato.

3. Le conseguenze della violazione

La violazione delle misure minime espone il datore di lavoro su tre fronti:

• Sanzioni amministrative da parte del Garante (ai sensi dell’art. 83 GDPR, fino al 4% del fatturato mondiale annuo o 20 milioni di euro, secondo il più alto);
• Responsabilità civile extracontrattuale per i danni causati a terzi da accessi non autorizzati resi possibili dalla violazione (art. 2043 c.c.);
• Possibile responsabilità penale in concorso, almeno colposo, per i reati informatici agevolati dalla mancata adozione delle misure.