[Obblighi Datoriali]  [DPR 15/2018]  [Privacy by Design]  [Gestione HR]

La dipendente è in maternità da sei mesi. Il suo account è ancora attivo. Il cambio di mansioni è avvenuto ma nessuno ha aggiornato i profili di accesso. Due scenari frequentissimi e due violazioni normative che la giurisprudenza sanziona con crescente rigore.

1. Il problema delle assenze prolungate: un rischio sottovalutato

La gestione delle credenziali durante le assenze prolungate del lavoratore è uno degli aspetti più trascurati della compliance informatica aziendale. Eppure è uno dei più rischiosi. Il lavoratore assente (per maternità, malattia, aspettativa, distacco, sospensione cautelare) mantiene formalmente il rapporto di lavoro, ma le sue credenziali di accesso restano attive su sistemi a cui non ha più ragione di accedere. Chiunque entri in possesso di quelle credenziali può usarle senza che vi sia un titolare ‘vigile’ dall’altro lato.

2. L’obbligo normativo: procedure scritte preventive

Il disciplinare tecnico allegato al Codice della privacy, richiamato dall’art. 25 del DPR 15/2018, è esplicito: quando l’accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso delle credenziali personali, devono essere impartite idonee e preventive disposizioni scritte per assicurare la disponibilità dei dati in caso di prolungata assenza o impedimento dell’incaricato.

La norma non si limita a richiedere che il problema sia gestito: richiede che la soluzione sia preventivamente pianificata e documentata. Le procedure scritte devono individuare: le modalità con cui il titolare garantisce la continuità operativa; i soggetti incaricati della custodia delle credenziali di backup, ove previste; l’obbligo di informare tempestivamente l’incaricato di ogni intervento effettuato durante la sua assenza.

3. La ‘perdita della qualità’: non solo la cessazione del rapporto

L’obbligo di disattivare le credenziali in caso di ‘perdita della qualità che consente l’accesso ai dati personali’ non riguarda solo la cessazione del rapporto di lavoro. La giurisprudenza ha progressivamente ampliato questa nozione in modo significativo.

La Corte d’Appello di Napoli (n. 418/2025) ha affermato con chiarezza che il datore di lavoro è tenuto a verificare periodicamente la sussistenza delle condizioni per la conservazione dei profili di autorizzazione e a disattivare tempestivamente le credenziali degli incaricati che abbiano cambiato mansione o che, per effetto di riorganizzazioni interne, non debbano più accedere a determinati dati. La qualità legittimante è funzionale: si valuta in base alle mansioni effettivamente svolte, non a quelle formalmente attribuite. La Cassazione penale (n. 43385/2023) ha confermato questo orientamento, precisando che l’omessa disattivazione in caso di perdita della qualità può integrare anche responsabilità penale nei casi più gravi.

In concreto, ogni variazione organizzativa rilevante (cambio di mansioni, trasferimento, modifica del perimetro di competenza, distacco, inserimento in procedimento disciplinare, riduzione dell’orario) deve innescare automaticamente una verifica e, se necessario, un aggiornamento dei profili di accesso.

4. La proporzionalità delle misure: valutazione ex ante, non ex post

Un principio spesso frainteso: la proporzionalità delle misure di sicurezza non si valuta dopo il danno, ma prima. Il Tribunale di Brindisi (n. 1449/2021) ha affermato che la valutazione della proporzionalità delle misure deve essere effettuata ex ante, ossia al momento della progettazione e dell’attuazione del trattamento, e non ex post sulla base dell’evento dannoso verificatosi.

Questo significa che il datore di lavoro non può difendersi affermando che, ‘a posteriori’, le misure adottate erano ragionevoli. Deve dimostrare di aver effettuato una valutazione preventiva dei rischi, avendo riguardo alle specificità del trattamento: natura dei dati (ordinari, sensibili, giudiziari), volume, categorie di interessati, vulnerabilità organizzative, stato dell’arte tecnologico, costi di attuazione. E di aver calibrato le misure in ragione di questa valutazione.

Per i trattamenti che includono dati sensibili o giudiziari, la proporzionalità richiede misure rafforzate: cifratura dei dati in transito e a riposo, autenticazione a più fattori, custodia separata dei supporti rimovibili, distruzione certificata dei supporti dismessi, accesso ai log riservato a personale specificatamente autorizzato.

5. La documentazione delle procedure: standard minimi

Il Tribunale di Bari (n. 1780/2025) ha chiarito che l’omessa o inadeguata documentazione delle procedure espone il datore di lavoro a responsabilità sia per violazione degli obblighi di sicurezza, sia per responsabilità contrattuale nei confronti dei lavoratori e degli interessati. La mancata prova di un’adeguata organizzazione e documentazione comporta la responsabilità oggettiva per i danni derivanti da accessi non autorizzati. In caso di ispezione o contenzioso, l’assenza di documentazione scritta sulle procedure adottate costituisce elemento a sfavore che non può essere superato da dichiarazioni retroattive.

6. Il principio di revisione annuale obbligatoria

L’art. 25 DPR 15/2018 impone che almeno annualmente sia verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. Questa non è una mera raccomandazione: è un obbligo minimo la cui inosservanza, di per sé, integra una violazione delle misure minime di sicurezza. La revisione annuale deve essere documentata con un report che indichi: l’elenco dei profili verificati; le variazioni apportate; le motivazioni degli accessi conservati; i profili revocati; l’identità dei soggetti che hanno svolto la verifica.