[Colpa di Organizzazione]  [Data Breach]  [Responsabilità del Titolare]  [D.Lgs. 231/2001]

Quando un data breach è causato dall’uso di credenziali compromesse o di ex dipendenti non revocati, chi risponde e a quale titolo? La giurisprudenza ha elaborato il concetto di ‘colpa di organizzazione’ come asse portante della responsabilità del titolare del trattamento con conseguenze che vanno ben oltre le sanzioni del Garante.

1. La ‘colpa di organizzazione’: nozione e fondamento

Il concetto di ‘colpa di organizzazione’, elaborato originariamente in materia di responsabilità degli enti ai sensi del D.Lgs. 231/2001 (Cass. pen., sez. IV, n. 18413/2022), è stato progressivamente recepito dalla giurisprudenza in materia di protezione dei dati personali come categoria descrittiva della responsabilità del titolare del trattamento.

La ‘colpa di organizzazione’ si configura come un deficit strutturale o funzionale dell’assetto organizzativo del titolare, che si manifesta nell’omessa adozione, nell’inadeguatezza o nell’inefficace attuazione di misure tecniche e organizzative idonee a garantire la sicurezza dei dati personali. Non è una responsabilità oggettiva: è una forma di responsabilità per colpa qualificata, in cui il rimprovero deriva dall’inottemperanza all’obbligo di adottare le cautele organizzative che la legge impone e che l’ordinaria diligenza professionale avrebbe suggerito.

2. Come il giudice accerta la colpa di organizzazione

Il Tribunale di Roma (n. 8722/2023) ha fornito la griglia di accertamento più dettagliata elaborata dalla giurisprudenza di merito. Il giudice deve verificare:

2.1 Specificità e adeguatezza delle misure adottate

Non è sufficiente affermare di aver adottato ‘misure adeguate’. Il titolare deve documentare le misure specifiche: quali sistemi di autenticazione, quali procedure di revoca, quali audit, quali sistemi di alert. La genericità della risposta è di per sé indice di inadeguatezza.

2.2 Attuazione concreta ed efficacia

Le misure formalmente adottate devono essere state concretamente attuate ed efficaci. Una policy sulla sicurezza delle credenziali che non viene applicata nella pratica è peggio dell’assenza di policy: dimostra che il titolare era consapevole del rischio e non ha fatto nulla di concreto per mitigarlo.

2.3 Formazione del personale

Il livello di formazione e sensibilizzazione del personale sui temi della sicurezza informatica è un indicatore rilevante. La mancata formazione specifica o la sua genericità sono valutate come elementi a sfavore del titolare (Trib. Roma, n. 8722/2023). Rileva anche la cultura organizzativa: un’organizzazione che non prende sul serio la sicurezza informatica espone il proprio titolare a una valutazione negativa.

2.4 Audit e controlli periodici

L’omissione di audit e controlli periodici è considerata una violazione autonoma, anche in presenza di misure inizialmente adeguate. Il Tribunale di Milano (n. 9157/2023) ha accertato che l’assenza di audit ha contribuito causalmente al data breach, impedendo la rilevazione tempestiva di comportamenti anomali.

2.5 Nesso causale tra deficit organizzativo e violazione

Il giudice deve verificare il nesso causale tra il deficit organizzativo e la violazione contestata. Questo accertamento è fondamentale: non ogni deficit organizzativo genera responsabilità, ma solo quello che ha concretamente reso possibile o agevolato la violazione.

3. L’onere della prova e l’accountability

In coerenza con il principio di accountability del GDPR (art. 5, par. 2), l’onere della prova della non responsabilità grava sul titolare del trattamento. In caso di data breach da credenziali compromesse, il titolare deve dimostrare:

• di aver adottato misure tecniche e organizzative adeguate, documentate e periodicamente aggiornate;
• che il data breach è stato causato da una condotta individuale imprevedibile e non prevenibile neppure con le misure più avanzate (Trib. Roma, n. 8722/2023);
• di aver attivato tempestivamente le procedure di notifica al Garante e agli interessati.

Il titolare che non è in grado di produrre documentazione a supporto si trova in una posizione di estrema debolezza processuale. La mancanza di documentazione non è solo un problema probatorio: è di per sé un indice di inadempimento degli obblighi di accountability.

4. Le responsabilità sovrapposte: Garante, giudice civile, giudice penale

Il data breach da credenziali aziendali attiva un sistema di responsabilità concorrenti:

• Garante per la protezione dei dati personali: sanzione amministrativa ai sensi dell’art. 83 GDPR, fino al 4% del fatturato mondiale annuo;
• Giudice civile: risarcimento del danno patrimoniale e non patrimoniale agli interessati ai sensi dell’art. 82 GDPR;
• Giudice penale: responsabilità ai sensi dell’art. 167 D. Lgs. 196/2003 (trattamento illecito di dati personali) e, ove applicabile, ai sensi del D. Lgs. 231/2001 per responsabilità dell’ente.

Queste responsabilità non si escludono a vicenda: possono cumularsi, con effetti devastanti per l’organizzazione che non abbia costruito un sistema di compliance adeguato.

5. Le implicazioni per la costruzione del sistema di compliance

La ‘colpa di organizzazione’ è prevenibile. Il messaggio della giurisprudenza è chiaro: le organizzazioni che costruiscono, documentano, attuano e aggiornano sistemi di gestione delle credenziali conformi agli standard normativi e alle best practice di settore si trovano in una posizione radicalmente diversa  (e migliore) rispetto a quelle che affidano la sicurezza informatica all’improvvisazione.

Gli elementi di un sistema di compliance solido sono stati descritti nei post precedenti. Il punto conclusivo è che la compliance non è un costo: è un investimento nella limitazione del rischio legale, reputazionale e operativo. E, alla luce della giurisprudenza analizzata in questa serie, un investimento che si ripaga ampiamente alla prima crisi.