DPO e sicurezza delle reti

La sentenza

Partiamo da una recente sentenza del 28 maggio 2026, con la quale il Tribunale di Firenze (Sez. III Civ.- sentenza n. 7332) si è occupato di un'annosa questione: fin dove si spinge l’attività del Data Protection Officer in tema di sicurezza delle reti?

Il tribunale conclude nel senso che il DPO non assume mai compiti esecutivi, ma informa, consiglia, sorveglia e segnala le difformità. Di contro, la responsabilità di mettere in atto le misure tecniche e organizzative grava sul titolare del trattamento. Quindi il DPO non risponde degli inadempimenti del titolare. Quanto conferma il tribunale è, in realtà, esattamente ciò che asserisce il Regolamento europeo (GDPR) e le Linee Guida WP29: “in caso di inosservanza delle misure previste dal GDPR, la responsabilità grava esclusivamente in capo al titolare e al responsabile del trattamento”.

Questo ci offre l’occasione di affrontare una domanda correlata, anch’essa spesso mal posta nella pratica: la gestione della sicurezza delle reti implica l’obbligo di nomina del DPO? E, più in generale, una grande quantità di dati trattati da un’azienda implica necessariamente tale nomina?

La sicurezza delle reti

La sicurezza delle reti è un’attività indubbiamente complessa e comporta una gestione di una notevole quantità di dati, basti pensare alla sola presenza dei dati di log che devono essere conservati per legge. La domanda è se tale attività esula dal perimetro del ruolo di DPO.

1. La finalità: difesa dell’infrastruttura vs. sorveglianza umana

L’Articolo 37 del GDPR impone il DPO quando c’è un “monitoraggio regolare e sistematico degli interessati”. La parola chiave qui è interessati (cioè persone fisiche). Quando un’azienda conserva i log di rete, analizza il traffico DDoS o traccia gli IP, il suo scopo non è “spiare” il comportamento degli utenti (come farebbe Facebook per mandarti pubblicità mirata), ma difendere le macchine e le reti. Anche se l’indirizzo IP è considerato un dato personale, in ambito Cybersecurity viene trattato come una “coordinata tecnica” per bloccare un attacco, non per profilare l’individuo. L’EDPB ha chiarito che l’uso di dati per la pura sicurezza informatica non fa scattare in automatico l’obbligo del DPO.

Per essere più chiari, l’indirizzo IP rimane un dato personale a tutti gli effetti - come confermato dalla giurisprudenza della Corte di Giustizia UE - e non perde tale qualificazione per il solo fatto di essere rilevato in un contesto di sicurezza. Ciò che cambia, però, è la finalità del trattamento: in ambito cybersecurity l’IP non viene elaborato per profilare il comportamento dell’utente o per inviargli pubblicità mirata, ma come indicatore tecnico funzionale a bloccare un attacco, rilevare un’intrusione o proteggere l'integrità dell'infrastruttura. È questa differenza di scopo (non una pretesa diversa natura del dato) che rileva ai fini dell'art. 37 GDPR: il “monitoraggio regolare e sistematico degli interessati” che fa scattare l'obbligo di DPO presuppone una finalità orientata all’individuo, non alla macchina.

2. L’incompatibilità dei ruoli

Il DPO è una figura di garanzia e controllo, non operativa (come precisa il Tribunale di Firenze con la sentenza citata). Se il DPO fosse anche responsabile della sicurezza delle reti (decidendo quali firewall acquistare, come configurare i sistemi o gestendo i log), verrebbe meno il presupposto fondamentale della sua funzione: l’indipendenza.

L’art. 38(3) GDPR impone che il DPO possa esercitare i propri compiti senza ricevere istruzioni, e l’art. 38(6) vieta che i compiti aggiuntivi generino conflitti di interessi. Le Guidelines 04/2017 traducono questo principio in termini operativi: il DPO non può ricoprire ruoli che dovrebbe poi controllare.

Un DPO che ha configurato l’infrastruttura non potrebbe mai segnalare in modo indipendente una falla che lui stesso ha contribuito a creare. La sicurezza materiale delle reti è, pertanto, competenza esclusiva del reparto IT, del CISO o degli Amministratori di Sistema.

3. Cosa fa (e cosa NON fa) il DPO sulla sicurezza

Il fatto che il DPO non si occupi di sicurezza delle reti non significa che se ne disinteressi. Il perimetro del DPO si incrocia con quello dell’IT, ma da una prospettiva diversa:

• L'IT Security (Amministratore di Sistema) configura il server per salvare i log, sceglie l’algoritmo di crittografia e blocca gli hacker.
• Il DPO (o il Referente Privacy) si assicura che l’IT non conservi quei log per 10 anni (violando la minimizzazione dei dati), verifica che l’accesso ai log sia tracciato e controlla che l’algoritmo di crittografia sia adeguato agli standard richiesti dal GDPR (Art. 32).

In sintesi, l’IT costruisce la cassaforte, il DPO verifica che la cassaforte sia a norma di legge.

Questo porta ad un’ovvia conclusione. Anche se l’EDPB non ha mai affrontato direttamente la questione, e quindi non ha mai detto che “l’uso di log di sistema solo per sicurezza informatica esclude automaticamente l’obbligo di DPO”, tuttavia, dal quadro normativo e dalle linee guida dell’EDPB si può desumere che la mera attività di sicurezza (es. monitoraggio di log per difendere macchine e reti) non è di per sé sufficiente a far scattare l’obbligo di nomina del DPO, a meno che non rientri nei casi previsti dall’art. 37 GDPR.

Quando scatta l’obbligo di DPO

L’obbligo di nomina del DPO discende dall’art. 37 GDPR e si applica quando:

• Il trattamento è effettuato da un’autorità pubblica o da un ente pubblico.
• Le attività principali del titolare/Responsabile consistono nel monitoraggio regolare e sistematico su larga scala di interessati.
• Le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali.

L’EDPB chiarisce che il “monitoraggio regolare e sistematico” implica un’attività di profilazione, tracciamento continuo del comportamento online, o comunque un uso dei dati finalizzato a influenzare o prevedere il comportamento degli utenti.

Log di sistema e sicurezza informatica

L’EDPB, nelle linee guida sull’uso dell’articolo 6(1)(f) GDPR, riconosce che la protezione e la sicurezza delle reti informatiche (es. controllare log per prevenire intrusioni, malware, attacchi) possono costituire un legittimo interesse del titolare (o responsabile) del trattamento.

Occorre tuttavia precisare che il legittimo interesse non è una base giuridica che si invoca per sottrazione (cioè quando le altre non si applicano) né si esaurisce nella sua enunciazione. L’art. 6(1)(f) richiede che il titolare conduca e documenti un Legitimate Interest Assessment (LIA): una valutazione in tre fasi che verifica se l’interesse è reale e specifico, se il trattamento è necessario per perseguirlo, e se tale interesse prevale sui diritti e le aspettative degli interessati. In ambito cybersecurity questo bilanciamento è generalmente favorevole al titolare, ma deve comunque essere formalizzato nel registro dei trattamenti o in un documento separato. 

In questo contesto, però, l’EDPB distingue nettamente tra:

• attività di sicurezza “tecniche” (monitoraggio di flussi di rete, log di accesso, eventi di sicurezza) finalizzate a difendere sistemi e reti;
• attività di vero e proprio monitoraggio sistematico del comportamento degli utenti (profilazione, targeting, ecc.).

Se l’azienda digitale (es. un fornitore di hosting) utilizza i log esclusivamente per:

• prevenire e rilevare accessi non autorizzati;
• proteggere la disponibilità, integrità e riservatezza dei sistemi;
• gestire incidenti di sicurezza;

e non per profilare o tracciare sistematicamente il comportamento degli utenti, il trattamento rientra tipicamente nella “sicurezza informatica” e non è automaticamente considerato “monitoraggio regolare e sistematico” ai sensi dell’art. 37 GDPR.

Cosa dice in pratica l’EDPB

Le linee guida EDPB sul DPO (es. Guidelines 04/2017 (WP243)) ribadiscono che:

• l’obbligo di nomina del DPO è legato alla natura, all’oggetto e alle finalità dei trattamenti, mentre la mera quantità di dati non è sufficiente;
• attività di sicurezza, come la gestione di incidenti o il monitoraggio di log puramente tecnici, non determinano di per sé l’obbligo di DPO, a meno che il monitoraggio sistematico su larga scala degli interessati non costituisca un’attività principale del titolare o responsabile del trattamento.

In sintesi: un fornitore di servizi digitali (es. hosting) che analizza log di sistema solo per difendere macchine e reti non è automaticamente tenuto a nominare un DPO, ma deve comunque:

• verificare se altre attività (es. profilazione, marketing, analisi di comportamento) possano far scattare l’obbligo;
• documentare la finalità “sicurezza informatica” e limitare il trattamento a quanto strettamente necessario, in linea con le linee guida EDPB.

Conclusione

Un fornitore di servizi digitali, come un provider hosting, che tratta log di sistema esclusivamente per difendere le proprie infrastrutture non è automaticamente tenuto a nominare un DPO. L’obbligo non discende dalla quantità di dati gestiti né dal solo fatto di trattare indirizzi IP, ma dalla natura e dalla finalità delle attività principali del titolare, nei termini precisi dell’art. 37 GDPR e delle Guidelines 04/2017.

Questo porta ad adempimenti diversi e più calibrati: una base giuridica documentata, una finalità circoscritta, una conservazione limitata al necessario, e una verifica periodica che nessuna delle attività svolte faccia scattare i criteri dell’art. 37. La conformità al GDPR, in questo ambito come negli altri, non si misura dalla presenza di una figura nominata, ma dalla qualità delle scelte organizzative e dalla loro tracciabilità.