[Responsabilità Datoriale]  [Onere della Prova]  [Accountability GDPR]

In caso di data breach o accesso non autorizzato, il datore di lavoro non è presunto innocente: è presunto inadempiente. Deve essere lui a dimostrare di aver fatto tutto il necessario. Ma cosa significa, concretamente, ‘tutto il necessario’? La giurisprudenza più recente lo dice con precisione inusuale.

1. L’inversione dell’onere della prova: il fondamento normativo

Il principio di accountability sancito dall’art. 5, par. 2 del GDPR non è solo un imperativo di buona governance: è una regola processuale. Il titolare del trattamento (nella quasi totalità dei casi, il datore di lavoro) deve essere in grado di dimostrare la conformità del trattamento ai principi del Regolamento. In caso di danno da accesso non autorizzato ai sistemi informatici, spetta dunque al datore di lavoro provare di aver adottato tutte le misure idonee, non al danneggiato dimostrare le carenze.

Il Tribunale di Bari (n. 1780/2025) ha espresso questo principio nella forma più nitida: il danneggiato può limitarsi a dimostrare l’esistenza del danno e il nesso di causalità rispetto al trattamento illecito, mentre spetta al titolare del trattamento dimostrare di aver adottato tutte le misure idonee per evitare il danno.

2. Prova negativa vs. prova positiva: una distinzione fondamentale

La giurisprudenza ha chiarito che la prova liberatoria del datore di lavoro non può consistere nella mera conformità formale alle prescrizioni di legge. Non è sufficiente affermare di non aver violato norme, questo è solo prova negativa. Occorre la prova positiva, cioè la dimostrazione concreta e documentata di aver:

• valutato autonomamente e specificamente i rischi del trattamento;
• adottato misure tecniche e organizzative calibrate su quei rischi;
• verificato nel tempo l’efficacia concreta delle misure adottate;
• formato adeguatamente il personale incaricato del trattamento;
• documentato ogni passaggio in modo da renderlo verificabile ex post.

La differenza tra prova negativa e prova positiva non è formale: una policy aziendale mai applicata è irrilevante. Un corso di formazione mai documentato è come se non fosse stato svolto. Un audit periodico mai verbalizzato non esiste agli occhi del giudice.

3. Il catalogo della documentazione necessaria

Componendo le indicazioni della giurisprudenza (Trib. Bari 1780/2025; Trib. Roma 8722/2023; Trib. Pordenone 329/2023; Corte dei Conti, sez. Giurisdizionale Trento, 7/2024), è possibile costruire il catalogo minimo della documentazione che il datore di lavoro deve essere in grado di produrre in giudizio:

4. Il caso dei servizi di pagamento: responsabilità oggettiva aggravata

Per i datori di lavoro che operano nel settore bancario e dei servizi di pagamento, lo standard è ancora più elevato. La Corte d’Appello di Ancona (n. 18/2021) e quella di Napoli (n. 4123/2021) hanno affermato che la responsabilità dell’intermediario per accessi non autorizzati ai sistemi informatici è di tipo oggettivo aggravato: il soggetto si libera solo provando di aver adottato tutte le misure opportune e idonee, nonché fornendo la prova positiva del dolo o della colpa grave del cliente o del dipendente. Non è sufficiente dimostrare la conformità allo standard medio di settore; occorre provare che le misure adottate erano le migliori disponibili.

Questa impostazione, elaborata per il settore bancario, tende progressivamente ad espandersi verso tutti i contesti in cui il trattamento di dati personali è particolarmente sensibile o massivo. Il giudice valuta la responsabilità dell’intermediario professionale con lo stesso metro dell’accorto banchiere: la diligenza qualificata richiesta da chi gestisce dati per professione è ben più alta di quella del privato.

5. Il ruolo della Corte dei Conti: la responsabilità erariale

Un fronte spesso trascurato è quello della responsabilità erariale per i soggetti pubblici. La Corte dei Conti (sez. Giurisdizionale Trento, n. 7/2024) ha affermato che la responsabilità per accessi non autorizzati può essere imputata anche in assenza di dolo o colpa grave, se il sistema di gestione delle credenziali non prevede controlli automatici e procedure di revoca tempestiva, e se non sono state adottate misure tecniche e organizzative idonee a prevenire l’uso improprio delle credenziali da parte di soggetti non più autorizzati. Per i dirigenti pubblici, l’inadeguatezza del sistema di gestione delle credenziali può dunque tradursi in un danno erariale personale.

6. La prova liberatoria nei giudizi davanti al Garante

Nei procedimenti sanzionatori avviati dal Garante per la protezione dei dati personali, la prova liberatoria segue gli stessi principi ma con alcune specificità procedurali. Il titolare deve presentare, nel termine assegnato, memorie difensive corredate dalla documentazione delle misure adottate. L’assenza di documentazione (anche solo parziale) è valutata come elemento aggravante, che può incidere sull’entità della sanzione irrogata. Il Garante ha espressamente indicato, in più occasioni, che l’assenza di audit log e di controlli periodici aggrava la posizione del titolare in caso di data breach.