[Obblighi Datoriali]  [DPR 15/2018]  [Privacy by Design]  [Gestione HR]

La dipendente è in maternità da sei mesi. Il suo account è ancora attivo. Il cambio di mansioni è avvenuto ma nessuno ha aggiornato i profili di accesso. Due scenari frequentissimi e due violazioni normative che la giurisprudenza sanziona con crescente rigore.

1. Il problema delle assenze prolungate: un rischio sottovalutato

La gestione delle credenziali durante le assenze prolungate del lavoratore è uno degli aspetti più trascurati della compliance informatica aziendale. Eppure è uno dei più rischiosi. Il lavoratore assente (per maternità, malattia, aspettativa, distacco, sospensione cautelare) mantiene formalmente il rapporto di lavoro, ma le sue credenziali di accesso restano attive su sistemi a cui non ha più ragione di accedere. Chiunque entri in possesso di quelle credenziali può usarle senza che vi sia un titolare ‘vigile’ dall’altro lato.

2. L’obbligo normativo: procedure scritte preventive

Il disciplinare tecnico allegato al Codice della privacy, richiamato dall’art. 25 del DPR 15/2018, è esplicito: quando l’accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso delle credenziali personali, devono essere impartite idonee e preventive disposizioni scritte per assicurare la disponibilità dei dati in caso di prolungata assenza o impedimento dell’incaricato.

La norma non si limita a richiedere che il problema sia gestito: richiede che la soluzione sia preventivamente pianificata e documentata. Le procedure scritte devono individuare: le modalità con cui il titolare garantisce la continuità operativa; i soggetti incaricati della custodia delle credenziali di backup, ove previste; l’obbligo di informare tempestivamente l’incaricato di ogni intervento effettuato durante la sua assenza.

3. La ‘perdita della qualità’: non solo la cessazione del rapporto

L’obbligo di disattivare le credenziali in caso di ‘perdita della qualità che consente l’accesso ai dati personali’ non riguarda solo la cessazione del rapporto di lavoro. La giurisprudenza ha progressivamente ampliato questa nozione in modo significativo.

La Corte d’Appello di Napoli (n. 418/2025) ha affermato con chiarezza che il datore di lavoro è tenuto a verificare periodicamente la sussistenza delle condizioni per la conservazione dei profili di autorizzazione e a disattivare tempestivamente le credenziali degli incaricati che abbiano cambiato mansione o che, per effetto di riorganizzazioni interne, non debbano più accedere a determinati dati. La qualità legittimante è funzionale: si valuta in base alle mansioni effettivamente svolte, non a quelle formalmente attribuite. La Cassazione penale (n. 43385/2023) ha confermato questo orientamento, precisando che l’omessa disattivazione in caso di perdita della qualità può integrare anche responsabilità penale nei casi più gravi.

In concreto, ogni variazione organizzativa rilevante (cambio di mansioni, trasferimento, modifica del perimetro di competenza, distacco, inserimento in procedimento disciplinare, riduzione dell’orario) deve innescare automaticamente una verifica e, se necessario, un aggiornamento dei profili di accesso.

4. La proporzionalità delle misure: valutazione ex ante, non ex post

Un principio spesso frainteso: la proporzionalità delle misure di sicurezza non si valuta dopo il danno, ma prima. Il Tribunale di Brindisi (n. 1449/2021) ha affermato che la valutazione della proporzionalità delle misure deve essere effettuata ex ante, ossia al momento della progettazione e dell’attuazione del trattamento, e non ex post sulla base dell’evento dannoso verificatosi.

Questo significa che il datore di lavoro non può difendersi affermando che, ‘a posteriori’, le misure adottate erano ragionevoli. Deve dimostrare di aver effettuato una valutazione preventiva dei rischi, avendo riguardo alle specificità del trattamento: natura dei dati (ordinari, sensibili, giudiziari), volume, categorie di interessati, vulnerabilità organizzative, stato dell’arte tecnologico, costi di attuazione. E di aver calibrato le misure in ragione di questa valutazione.

Per i trattamenti che includono dati sensibili o giudiziari, la proporzionalità richiede misure rafforzate: cifratura dei dati in transito e a riposo, autenticazione a più fattori, custodia separata dei supporti rimovibili, distruzione certificata dei supporti dismessi, accesso ai log riservato a personale specificatamente autorizzato.

5. La documentazione delle procedure: standard minimi

Il Tribunale di Bari (n. 1780/2025) ha chiarito che l’omessa o inadeguata documentazione delle procedure espone il datore di lavoro a responsabilità sia per violazione degli obblighi di sicurezza, sia per responsabilità contrattuale nei confronti dei lavoratori e degli interessati. La mancata prova di un’adeguata organizzazione e documentazione comporta la responsabilità oggettiva per i danni derivanti da accessi non autorizzati. In caso di ispezione o contenzioso, l’assenza di documentazione scritta sulle procedure adottate costituisce elemento a sfavore che non può essere superato da dichiarazioni retroattive.

6. Il principio di revisione annuale obbligatoria

L’art. 25 DPR 15/2018 impone che almeno annualmente sia verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. Questa non è una mera raccomandazione: è un obbligo minimo la cui inosservanza, di per sé, integra una violazione delle misure minime di sicurezza. La revisione annuale deve essere documentata con un report che indichi: l’elenco dei profili verificati; le variazioni apportate; le motivazioni degli accessi conservati; i profili revocati; l’identità dei soggetti che hanno svolto la verifica.

✦ NOTA PRATICA Trigger per la revisione immediata dei profili di accesso (non attendere la revisione annuale): inizio di maternità/paternità; inizio di aspettativa per qualsiasi causa; cambio di mansioni o ufficio; trasferimento a sede diversa; inserimento in procedimento disciplinare; riduzione dell’orario con modifica delle competenze; riorganizzazione aziendale che riduca il perimetro di responsabilità. Per ciascuno di questi eventi, il sistema HR dovrebbe generare automaticamente una notifica all’IT per la verifica e l’eventuale aggiornamento dei profili. Il workflow deve essere documentato con timestamp di ogni passaggio.

[Responsabilità Datoriale]  [Onere della Prova]  [Accountability GDPR]

In caso di data breach o accesso non autorizzato, il datore di lavoro non è presunto innocente: è presunto inadempiente. Deve essere lui a dimostrare di aver fatto tutto il necessario. Ma cosa significa, concretamente, ‘tutto il necessario’? La giurisprudenza più recente lo dice con precisione inusuale.

1. L’inversione dell’onere della prova: il fondamento normativo

Il principio di accountability sancito dall’art. 5, par. 2 del GDPR non è solo un imperativo di buona governance: è una regola processuale. Il titolare del trattamento (nella quasi totalità dei casi, il datore di lavoro) deve essere in grado di dimostrare la conformità del trattamento ai principi del Regolamento. In caso di danno da accesso non autorizzato ai sistemi informatici, spetta dunque al datore di lavoro provare di aver adottato tutte le misure idonee, non al danneggiato dimostrare le carenze.

Il Tribunale di Bari (n. 1780/2025) ha espresso questo principio nella forma più nitida: il danneggiato può limitarsi a dimostrare l’esistenza del danno e il nesso di causalità rispetto al trattamento illecito, mentre spetta al titolare del trattamento dimostrare di aver adottato tutte le misure idonee per evitare il danno.

2. Prova negativa vs. prova positiva: una distinzione fondamentale

La giurisprudenza ha chiarito che la prova liberatoria del datore di lavoro non può consistere nella mera conformità formale alle prescrizioni di legge. Non è sufficiente affermare di non aver violato norme, questo è solo prova negativa. Occorre la prova positiva, cioè la dimostrazione concreta e documentata di aver:

• valutato autonomamente e specificamente i rischi del trattamento;
• adottato misure tecniche e organizzative calibrate su quei rischi;
• verificato nel tempo l’efficacia concreta delle misure adottate;
• formato adeguatamente il personale incaricato del trattamento;
• documentato ogni passaggio in modo da renderlo verificabile ex post.

La differenza tra prova negativa e prova positiva non è formale: una policy aziendale mai applicata è irrilevante. Un corso di formazione mai documentato è come se non fosse stato svolto. Un audit periodico mai verbalizzato non esiste agli occhi del giudice.

3. Il catalogo della documentazione necessaria

Componendo le indicazioni della giurisprudenza (Trib. Bari 1780/2025; Trib. Roma 8722/2023; Trib. Pordenone 329/2023; Corte dei Conti, sez. Giurisdizionale Trento, 7/2024), è possibile costruire il catalogo minimo della documentazione che il datore di lavoro deve essere in grado di produrre in giudizio:

Documento	Contenuto minimo	Frequenza di aggiornamento
Policy sulle credenziali	Divieto di cessione, obbligo di riservatezza, procedure di segnalazione, sanzioni previste	Annuale o al cambio di sistemi
Registro delle istruzioni scritte	Firma di presa visione di ciascun incaricato, con data e oggetto	Ad ogni onboarding e aggiornamento
Registro delle formazioni	Partecipanti, contenuti, data, attestati individuali	Ogni volta che si eroga formazione
Registro dei profili di autorizzazione	Chi ha accesso a cosa, con quale livello, dal quando al quando	Ad ogni variazione organizzativa
Log delle disattivazioni	Data e ora di revoca, sistema interessato, credenziale disattivata, operatore che ha eseguito	In tempo reale
Report di audit	Verifiche periodiche sui profili attivi vs. personale in forza, anomalie rilevate, azioni correttive	Almeno semestrale
DPIA (se applicabile)	Valutazione del rischio specifico del trattamento, misure adottate, residual risk	Prima del trattamento e al cambio di rischio

4. Il caso dei servizi di pagamento: responsabilità oggettiva aggravata

Per i datori di lavoro che operano nel settore bancario e dei servizi di pagamento, lo standard è ancora più elevato. La Corte d’Appello di Ancona (n. 18/2021) e quella di Napoli (n. 4123/2021) hanno affermato che la responsabilità dell’intermediario per accessi non autorizzati ai sistemi informatici è di tipo oggettivo aggravato: il soggetto si libera solo provando di aver adottato tutte le misure opportune e idonee, nonché fornendo la prova positiva del dolo o della colpa grave del cliente o del dipendente. Non è sufficiente dimostrare la conformità allo standard medio di settore; occorre provare che le misure adottate erano le migliori disponibili.

Questa impostazione, elaborata per il settore bancario, tende progressivamente ad espandersi verso tutti i contesti in cui il trattamento di dati personali è particolarmente sensibile o massivo. Il giudice valuta la responsabilità dell’intermediario professionale con lo stesso metro dell’accorto banchiere: la diligenza qualificata richiesta da chi gestisce dati per professione è ben più alta di quella del privato.

5. Il ruolo della Corte dei Conti: la responsabilità erariale

Un fronte spesso trascurato è quello della responsabilità erariale per i soggetti pubblici. La Corte dei Conti (sez. Giurisdizionale Trento, n. 7/2024) ha affermato che la responsabilità per accessi non autorizzati può essere imputata anche in assenza di dolo o colpa grave, se il sistema di gestione delle credenziali non prevede controlli automatici e procedure di revoca tempestiva, e se non sono state adottate misure tecniche e organizzative idonee a prevenire l’uso improprio delle credenziali da parte di soggetti non più autorizzati. Per i dirigenti pubblici, l’inadeguatezza del sistema di gestione delle credenziali può dunque tradursi in un danno erariale personale.

6. La prova liberatoria nei giudizi davanti al Garante

Nei procedimenti sanzionatori avviati dal Garante per la protezione dei dati personali, la prova liberatoria segue gli stessi principi ma con alcune specificità procedurali. Il titolare deve presentare, nel termine assegnato, memorie difensive corredate dalla documentazione delle misure adottate. L’assenza di documentazione (anche solo parziale) è valutata come elemento aggravante, che può incidere sull’entità della sanzione irrogata. Il Garante ha espressamente indicato, in più occasioni, che l’assenza di audit log e di controlli periodici aggrava la posizione del titolare in caso di data breach.

✦ NOTA PRATICA Lista di controllo per la prova liberatoria: (1) Policy sulle credenziali scritta, datata, firmata dagli incaricati: esiste? (2) Registro delle formazioni con attestati individuali: è aggiornato? (3) Log delle disattivazioni delle credenziali con timestamp: è completo? (4) Report di audit semestrale sui profili di autorizzazione: è stato redatto? (5) Valutazione del rischio documentata prima dell’avvio del trattamento: c’è? Se anche un solo punto manca, il datore di lavoro è esposto. Costruire questo sistema non è un onere burocratico: è la condizione per potersi difendere in giudizio.

[Diritto Disciplinare]  [Subordinazione Gerarchica]  [Difesa del Lavoratore]

Un direttore chiede alla propria dipendente di accedere al sistema usando le sue credenziali. La dipendente obbedisce. Può essere sanzionata disciplinarmente? La risposta della giurisprudenza è articolata e molto più favorevole al lavoratore di quanto si possa pensare.

1. Il problema: subordinazione e sicurezza informatica in rotta di collisione

Nei contesti lavorativi caratterizzati da rapporti gerarchici marcati, il dipendente si trova spesso in una posizione di oggettiva difficoltà quando riceve dal proprio superiore una richiesta che collide con le regole di sicurezza informatica: cedere le proprie credenziali, consentire l’uso della propria postazione, non effettuare il log-out in presenza del responsabile. Il diritto disciplinare deve fare i conti con questa realtà.

La giurisprudenza di merito ha elaborato, negli ultimi anni, una linea interpretativa coerente: il vincolo di subordinazione gerarchica è un elemento di contesto che il giudice del lavoro deve necessariamente valutare nel giudizio di proporzionalità della sanzione disciplinare, e che in presenza di condizioni specifiche può escludere integralmente la responsabilità del lavoratore.

2. Il caso paradigmatico: Trib. Napoli n. 423/2023

La pronuncia del Tribunale di Napoli (25 gennaio 2023, n. 423) è la più compiuta elaborazione di questi principi nella giurisprudenza di merito. Il caso riguardava una dipendente che aveva consentito al proprio direttore di utilizzare la sua postazione e le sue credenziali di accesso. L’azienda aveva irrogato una sanzione disciplinare. Il Tribunale l’ha annullata, valorizzando due ordini di ragioni strettamente correlati.

In primo luogo, la condotta della dipendente era espressione di una prassi aziendale diffusa e tollerata: non si trattava di una deviazione individuale, ma di un comportamento generalizzato che coinvolgeva numerosi colleghi e che non era mai stato oggetto di formale contestazione o revoca. In secondo luogo, e questo è il profilo più innovativo della decisione, il giudice ha specificamente valorizzato la difficoltà, per il lavoratore, di opporsi a richieste provenienti da superiori gerarchici. In un rapporto di lavoro subordinato, l’autorità del superiore non è solo formale: è percepita come un obbligo, e la resistenza a una sua direttiva comporta rischi concreti di ritorsione o conflitto.

3. I cinque elementi del giudizio di esculpazione

Componendo le indicazioni della giurisprudenza — Trib. Napoli Nord 423/2023, Trib. Varese 181/2023, Cass. pen., sez. V, n. 72/2020 — è possibile individuare cinque elementi concreti che il giudice valuta per escludere la responsabilità disciplinare del dipendente che ha ceduto le credenziali su richiesta del superiore:

Elemento	Contenuto	Effetto
Prassi generalizzata	La condotta era diffusa nell’organizzazione, non limitata al singolo episodio	Esclude la colpevolezza individuale
Tolleranza gerarchica	I superiori conoscevano e tolleravano la prassi, senza mai contrastarla formalmente	Rafforza il ragionevole affidamento del dipendente
Assenza di revoca formale	Non vi sono stati richiami, circolari o comunicazioni che vietassero espressamente la condotta	Esclude la consapevolezza dell’illecito
Condizione di subordinazione	Il dipendente era gerarchicamente sottordinato a chi ha richiesto la cessione delle credenziali	Riduce significativamente la libertà di rifiutare
Formazione carente o assente	Il datore di lavoro non aveva fornito istruzioni chiare sul divieto di cessione	Aggrava la responsabilità del datore, attenua quella del lavoratore

4. Il limite invalicabile: la consapevolezza dell’illiceità

La tutela del lavoratore gerarchicamente subordinato ha un confine preciso: non può essere invocata quando il dipendente era pienamente consapevole dell’illiceità della condotta. Se l’azienda aveva comunicato formalmente il divieto di cessione, se il dipendente aveva ricevuto formazione specifica, se vi erano stati precedenti richiami per condotte analoghe, la subordinazione gerarchica non è sufficiente a escludere la responsabilità. In questi casi, il lavoratore avrebbe potuto (e dovuto) rifiutare la richiesta del superiore, ricorrendo se necessario alle procedure interne di segnalazione.

La Cassazione penale (SS.UU., n. 41210/2017) ha precisato che, anche per i pubblici ufficiali tenuti al rispetto di obblighi di servizio particolarmente stringenti, la condotta resta abusiva quando è ontologicamente incompatibile con le finalità per cui l’accesso è stato attribuito. A fortiori, il dipendente privato non può invocare la gerarchia come scudo assoluto.

5. Le implicazioni per il datore di lavoro: il ‘boomerang’ disciplinare

La giurisprudenza analizzata produce un effetto paradossale per il datore di lavoro che non gestisce correttamente la sicurezza informatica: la stessa prassi di condivisione delle credenziali che egli ha tollerato (o addirittura incoraggiato indirettamente attraverso richieste dei dirigenti) diventa uno scudo per il dipendente che intende impugnare la sanzione disciplinare. L’azienda si trova nella scomoda posizione di dover dimostrare di aver vietato formalmente una condotta che in realtà non ha mai contrastato.

L’unico modo per spezzare questo circolo vizioso è costruire preventivamente un sistema di compliance credibile: policy scritta, formazione documentata, segnalazione delle violazioni, intervento tempestivo sulle prassi non conformi. Solo un’azienda che ha investito in questi strumenti può legittimamente sanzionare il dipendente che cede le credenziali — anche se lo fa su richiesta del superiore.

6. Il conflitto tra subordinazione e whistleblowing

Un profilo emergente, ancora poco esplorato dalla giurisprudenza, riguarda l’interazione tra l’obbligo di segnalare le violazioni di sicurezza (art. 2 D. Lgs. 24/2023 sul whistleblowing) e il vincolo gerarchico. Il dipendente che riceve dal superiore una richiesta di cessione delle credenziali si trova tecnicamente nella condizione di dover segnalare una condotta illecita che è proprio il superiore a richiedere. La disciplina sul whistleblowing offre tutele specifiche contro le ritorsioni: vale la pena valutare se e in che misura queste tutele possano essere invocate in questo contesto.

✦ NOTA PRATICA Per i responsabili delle risorse umane: prima di avviare un procedimento disciplinare per cessione di credenziali, verificare scrupolosamente: (1) se esiste una policy scritta che vieta la condivisione, firmata dal lavoratore; (2) se il lavoratore ha ricevuto formazione specifica sul punto; (3) se la condotta era diffusa nell’organizzazione; (4) se la richiesta proveniva da un superiore gerarchico; (5) se il superiore stesso è stato — o sarà — sanzionato. L’asimmetria nell’applicazione delle regole disciplinari è uno dei principali motivi di annullamento giudiziale delle sanzioni.

[Colpa di Organizzazione]  [Data Breach]  [Responsabilità del Titolare]  [D.Lgs. 231/2001]

Quando un data breach è causato dall’uso di credenziali compromesse o di ex dipendenti non revocati, chi risponde e a quale titolo? La giurisprudenza ha elaborato il concetto di ‘colpa di organizzazione’ come asse portante della responsabilità del titolare del trattamento con conseguenze che vanno ben oltre le sanzioni del Garante.

1. La ‘colpa di organizzazione’: nozione e fondamento

Il concetto di ‘colpa di organizzazione’, elaborato originariamente in materia di responsabilità degli enti ai sensi del D.Lgs. 231/2001 (Cass. pen., sez. IV, n. 18413/2022), è stato progressivamente recepito dalla giurisprudenza in materia di protezione dei dati personali come categoria descrittiva della responsabilità del titolare del trattamento.

La ‘colpa di organizzazione’ si configura come un deficit strutturale o funzionale dell’assetto organizzativo del titolare, che si manifesta nell’omessa adozione, nell’inadeguatezza o nell’inefficace attuazione di misure tecniche e organizzative idonee a garantire la sicurezza dei dati personali. Non è una responsabilità oggettiva: è una forma di responsabilità per colpa qualificata, in cui il rimprovero deriva dall’inottemperanza all’obbligo di adottare le cautele organizzative che la legge impone e che l’ordinaria diligenza professionale avrebbe suggerito.

2. Come il giudice accerta la colpa di organizzazione

Il Tribunale di Roma (n. 8722/2023) ha fornito la griglia di accertamento più dettagliata elaborata dalla giurisprudenza di merito. Il giudice deve verificare:

2.1 Specificità e adeguatezza delle misure adottate

Non è sufficiente affermare di aver adottato ‘misure adeguate’. Il titolare deve documentare le misure specifiche: quali sistemi di autenticazione, quali procedure di revoca, quali audit, quali sistemi di alert. La genericità della risposta è di per sé indice di inadeguatezza.

2.2 Attuazione concreta ed efficacia

Le misure formalmente adottate devono essere state concretamente attuate ed efficaci. Una policy sulla sicurezza delle credenziali che non viene applicata nella pratica è peggio dell’assenza di policy: dimostra che il titolare era consapevole del rischio e non ha fatto nulla di concreto per mitigarlo.

2.3 Formazione del personale

Il livello di formazione e sensibilizzazione del personale sui temi della sicurezza informatica è un indicatore rilevante. La mancata formazione specifica o la sua genericità sono valutate come elementi a sfavore del titolare (Trib. Roma, n. 8722/2023). Rileva anche la cultura organizzativa: un’organizzazione che non prende sul serio la sicurezza informatica espone il proprio titolare a una valutazione negativa.

2.4 Audit e controlli periodici

L’omissione di audit e controlli periodici è considerata una violazione autonoma, anche in presenza di misure inizialmente adeguate. Il Tribunale di Milano (n. 9157/2023) ha accertato che l’assenza di audit ha contribuito causalmente al data breach, impedendo la rilevazione tempestiva di comportamenti anomali.

2.5 Nesso causale tra deficit organizzativo e violazione

Il giudice deve verificare il nesso causale tra il deficit organizzativo e la violazione contestata. Questo accertamento è fondamentale: non ogni deficit organizzativo genera responsabilità, ma solo quello che ha concretamente reso possibile o agevolato la violazione.

3. L’onere della prova e l’accountability

In coerenza con il principio di accountability del GDPR (art. 5, par. 2), l’onere della prova della non responsabilità grava sul titolare del trattamento. In caso di data breach da credenziali compromesse, il titolare deve dimostrare:

• di aver adottato misure tecniche e organizzative adeguate, documentate e periodicamente aggiornate;
• che il data breach è stato causato da una condotta individuale imprevedibile e non prevenibile neppure con le misure più avanzate (Trib. Roma, n. 8722/2023);
• di aver attivato tempestivamente le procedure di notifica al Garante e agli interessati.

Il titolare che non è in grado di produrre documentazione a supporto si trova in una posizione di estrema debolezza processuale. La mancanza di documentazione non è solo un problema probatorio: è di per sé un indice di inadempimento degli obblighi di accountability.

4. Le responsabilità sovrapposte: Garante, giudice civile, giudice penale

Il data breach da credenziali aziendali attiva un sistema di responsabilità concorrenti:

• Garante per la protezione dei dati personali: sanzione amministrativa ai sensi dell’art. 83 GDPR, fino al 4% del fatturato mondiale annuo;
• Giudice civile: risarcimento del danno patrimoniale e non patrimoniale agli interessati ai sensi dell’art. 82 GDPR;
• Giudice penale: responsabilità ai sensi dell’art. 167 D. Lgs. 196/2003 (trattamento illecito di dati personali) e, ove applicabile, ai sensi del D. Lgs. 231/2001 per responsabilità dell’ente.

Queste responsabilità non si escludono a vicenda: possono cumularsi, con effetti devastanti per l’organizzazione che non abbia costruito un sistema di compliance adeguato.

5. Le implicazioni per la costruzione del sistema di compliance

La ‘colpa di organizzazione’ è prevenibile. Il messaggio della giurisprudenza è chiaro: le organizzazioni che costruiscono, documentano, attuano e aggiornano sistemi di gestione delle credenziali conformi agli standard normativi e alle best practice di settore si trovano in una posizione radicalmente diversa  (e migliore) rispetto a quelle che affidano la sicurezza informatica all’improvvisazione.

Gli elementi di un sistema di compliance solido sono stati descritti nei post precedenti. Il punto conclusivo è che la compliance non è un costo: è un investimento nella limitazione del rischio legale, reputazionale e operativo. E, alla luce della giurisprudenza analizzata in questa serie, un investimento che si ripaga ampiamente alla prima crisi.

Aspetto	Standard richiesto	Fonte/Precedente
Natura responsabilità	Colpa di organizzazione, non oggettiva	Trib. Roma n. 8722/2023; Cass. pen. n. 18413/2022
Onere della prova	In capo al titolare (accountability)	Art. 5 par. 2 GDPR; Trib. Bari n. 1780/2025
Audit periodici	Obbligatori e documentati	Trib. Pordenone n. 329/2023
Sistemi di alert	Obbligatori per sistemi ad alto rischio	Trib. Milano n. 9157/2023; Garante n. 137/2014
Formazione personale	Specifica, documentata, periodica	Trib. Roma n. 8722/2023
Causa di esclusione	Condotta individuale imprevedibile e non prevenibile	Trib. Roma n. 8722/2023; C.A. L’Aquila n. 368/2025

[Sicurezza Informatica]  [File di Log]  [Audit Trail]  [Data Breach]

Un sistema informatico che non registra gli accessi non solo è insicuro: è giuridicamente esposto. La tracciabilità non è un lusso tecnologico ma è un obbligo normativo la cui inosservanza, come la giurisprudenza dimostra, può costare milioni.

1. L’obbligo di registrazione degli accessi

L’art. 21 del D. Lgs. 51/2018 dispone che tutte le operazioni di raccolta, modifica, consultazione, comunicazione, trasferimento, interconnessione e cancellazione di dati, eseguite in sistemi di trattamento automatizzati, siano registrate in appositi file di log. Tali registrazioni devono consentire di conoscere:

• i motivi dell’operazione;
• la data e l’ora;
• l’identità della persona che ha eseguito l’operazione;
• i destinatari dei dati.

I file di log devono essere non modificabili e protetti con idonee misure contro ogni uso improprio. L’accesso è consentito esclusivamente ai fini della verifica della liceità del trattamento, del controllo interno, per garantire l’integrità e la sicurezza dei dati, e nell’ambito di procedimenti penali.

2. I tempi di conservazione: un quadro differenziato

La durata minima di conservazione varia in base al settore e alla tipologia di dati:

Contesto	Durata conservazione log	Fonte normativa
Sistemi generali (videosorveglianza)	5 anni	Art. 24 DPR 15/2018
Sistemi tracciabilità armi	20 anni	Art. 20 D.M. 12 luglio 2023, n. 114
Banca dati DNA	20 anni	Art. 3 DPR 87/2016
Consultazioni automatizzate (Prüm)	2 anni	Art. 17 DPR 87/2016
Dati sensibili/giudiziari — standard	Limitazione rafforzata al necessario	Art. 15 D. Lgs. 51/2018
Conservazione prorogata per indagini penali	+2/3 del termine ordinario	Art. 1 D.M. 114/2023

3. I sistemi di alert: da buona prassi a obbligo normativo

L’implementazione di sistemi di alert automatici per rilevare comportamenti anomali sta transitando da best practice a obbligo normativo de facto, sotto la pressione combinata della giurisprudenza e dei provvedimenti del Garante.

Il Tribunale di Milano (n. 9157/2023 e n. 1164/2024) ha esaminato un caso di data breach di ampia portata, con accesso non autorizzato a centinaia di migliaia di dati personali, in cui il consulente tecnico d’ufficio aveva evidenziato che ‘semplici funzionalità di analisi statistica avrebbero potuto segnalare l’abnorme comportamento delle utenze coinvolte nel data breach’. Il Tribunale ha ritenuto la mancata adozione di alert basilari una grave carenza organizzativa, che ha aggravato la posizione del titolare e giustificato sanzioni di importo rilevante.

Il Garante (provvedimento n. 137/2014) ha prescritto l’adozione di soluzioni informatiche idonee ad assicurare il controllo delle attività svolte da ciascun incaricato sui dati, anche mediante la registrazione delle operazioni e l’implementazione di sistemi di alert per comportamenti anomali.

4. L’audit periodico: obbligo autonomo e non delegabile

La verifica periodica dei profili di autorizzazione e l’audit dei log di accesso costituiscono un obbligo autonomo, distinto dall’adozione iniziale delle misure di sicurezza. Il Tribunale di Pordenone (n. 329/2023) ha affermato che l’omessa implementazione di audit e controlli periodici costituisce una violazione autonoma e imputabile al titolare, anche in presenza di responsabilità concorrenti del responsabile del trattamento esterno.

La mancata dimostrazione di audit e controlli periodici comporta, in caso di contestazione, una presunzione di inadempimento con inversione dell’onere della prova a carico del titolare.

5. La sanzione per la mancata conservazione dei log

La mancata conservazione dei log per il periodo previsto costituisce una violazione autonoma e sanzionabile, anche in assenza di un danno concreto dimostrato. Questo principio, ribadito dal Tribunale di Milano (n. 9157/2023 e n. 1164/2024), ha conseguenze importanti: il titolare non può difendersi affermando che ‘tanto non è successo niente’. L’obbligo di conservazione è strumentale alla possibilità futura di verificare e ricostruire gli accessi, e la sua violazione pregiudica in radice questa possibilità.

6. Il bilanciamento con la privacy dei lavoratori

I file di log contengono, per loro natura, dati personali dei lavoratori (chi ha fatto cosa, quando, su quali dati). La loro conservazione e consultazione deve rispettare i principi di minimizzazione, limitazione della finalità e proporzionalità. La Corte di Giustizia dell’Unione Europea (C-77/21, Digi Kft, 2022) ha chiarito che il principio di limitazione della finalità non osta alla registrazione in una banca dati di test di dati precedentemente raccolti in un’altra banca dati, purché il trattamento ulteriore sia compatibile con le finalità iniziali.

✦ NOTA PRATICA Indicatori di adeguatezza del sistema di logging: (1) tutti gli accessi ai dati sono registrati in log non modificabili; (2) i log includono data, ora, identità dell’accedente, operazione compiuta; (3) i log sono conservati per il periodo previsto dalla normativa applicabile; (4) esistono alert automatici per comportamenti anomali (accessi in orari insoliti, volume anomalo di consultazioni, accessi da IP non noti); (5) gli audit vengono effettuati almeno semestralmente e documentati; (6) l’accesso ai log è riservato a personale specificatamente autorizzato; (7) i log sono protetti da modifiche non autorizzate. Ogni lacuna in questo sistema è un rischio giuridico misurabile.