[GDPR]  [Privacy by Design]  [Accountability]  [Protezione dei Dati]

Il GDPR non è un mero adempimento burocratico: è un sistema di responsabilità che, applicato alla gestione delle credenziali informatiche, impone al datore di lavoro di dimostrare, non solo di affermare, di aver fatto tutto il necessario per proteggere i dati. Il principio di accountability ridisegna l’intera governance della sicurezza informatica aziendale.

1. Il GDPR e la gestione delle credenziali: il quadro

Il Regolamento (UE) 2016/679 non disciplina espressamente la gestione delle credenziali informatiche, ma i suoi principi fondamentali, in particolare il principio di accountability (art. 5, par. 2), il principio di privacy by design e by default (art. 25), e l’obbligo di adottare misure tecniche e organizzative adeguate (art. 32), si applicano con piena forza a questo aspetto della sicurezza informatica aziendale.

2. Il principio di accountability e il suo significato pratico

Il principio di accountability, codificato nell’art. 5, par. 2, GDPR, impone al titolare del trattamento non solo di rispettare i principi di protezione dei dati, ma di essere in grado di dimostrarlo. Applicato alla gestione delle credenziali, questo significa:

• non è sufficiente adottare le misure — occorre documentarle;
• non è sufficiente predisporre procedure — occorre verificarne l’applicazione;
• non è sufficiente affermare di aver formato il personale — occorre provarlo con registri, attestati, firme di presa visione.

Il Tribunale di Bari (n. 1780/2025) ha applicato questo principio con rigore: il datore di lavoro deve fornire la prova positiva di aver valutato autonomamente il rischio e di aver attuato misure organizzative e tecniche idonee. In assenza di tale prova, la responsabilità è presunta.

3. Privacy by design e by default nella gestione delle credenziali

L’art. 25 GDPR impone di progettare i sistemi di gestione delle credenziali tenendo conto, fin dalla fase di ideazione, dei principi di protezione dei dati. In concreto:

• i sistemi devono essere configurati, per impostazione predefinita, in modo da limitare l’accesso ai soli dati necessari per ogni specifica funzione (minimizzazione);
• le credenziali devono scadere automaticamente dopo un periodo di inutilizzo;
• i profili di autorizzazione devono essere aggiornati automaticamente in risposta a variazioni organizzative;
• la condivisione delle credenziali deve essere tecnicamente impedita, oltre che regolamentarmente vietata.

4. L’integrazione con la normativa nazionale: DPR 15/2018 e D. Lgs. 51/2018

Il GDPR si applica in stretto coordinamento con la normativa nazionale. In particolare:

• Il DPR 15/2018 (art. 25) specifica le misure minime per i trattamenti nel settore pubblico, con principi analogici applicabili al settore privato;
• Il D. Lgs. 51/2018 (art. 16) disciplina i trattamenti in materia penale e processuale, con obblighi di pseudonimizzazione e misure rafforzate per i dati sensibili;
• Il D. Lgs. 138/2024 (NIS2) introduce, per i soggetti rilevanti, obblighi specifici di autenticazione a più fattori e gestione sicura delle identità digitali.

5. La DPIA e le credenziali: quando è obbligatoria

La valutazione d’impatto sulla protezione dei dati (DPIA, art. 35 GDPR) è obbligatoria quando il trattamento presenta rischi elevati per i diritti e le libertà degli interessati. Nei contesti in cui il sistema di gestione delle credenziali governa l’accesso a grandi quantità di dati personali, o a dati particolari (sensibili, giudiziari), la DPIA non è opzionale. Il Tribunale di Milano (n. 9157/2023) e la Corte d’Appello (Bologna, n. 618/2022) hanno valorizzato l’assenza di DPIA come elemento aggravante nella valutazione della responsabilità del titolare.

6. Il responsabile del trattamento e la catena di responsabilità

Quando la gestione tecnica delle credenziali è affidata a un soggetto esterno (responsabile del trattamento ex art. 28 GDPR), il datore di lavoro non può scaricare su di esso la responsabilità in caso di violazione. Il Tribunale di Pordenone (n. 329/2023) ha affermato con chiarezza che il titolare del trattamento mantiene un dovere di coordinamento attivo e di somministrazione documentata di istruzioni, non potendosi esimere dal verificare la correttezza del trattamento dei dati, anche quando la gestione tecnica è affidata a un responsabile esterno.

La nomina di un DPO e la stipulazione di un contratto ex art. 28 GDPR non esonerano il titolare dalla vigilanza effettiva.