Sport, modelli organizzativi e Linee Guida delle federazioni. Nuovi oneri per le società?

Lo scorso 31 agosto è scaduto il termine per la redazione da parte degli Organismi Sportivi delle Linee Guida in materia di tutela dei minori e di prevenzione di ogni forma di abuso, violenza e discriminazione. 

Come previsto dal D.lgs. n. 39/2021, entro un anno dalla pubblicazione delle Linee Guida ad esse riferibili, le Società vi si dovranno uniformare, predisponendo Modelli Organizzativi e Codici di condotta conformi, ovvero integrando il Modello già attuato ai sensi del D.lgs. 231/2001.

Cosa prevedono le recenti Linee Guida? 
Quali sono i nuovi oneri posti in capo alle Società Sportive?

Con il Focus di settembre Giuseppe Fornari, Emanuele Angiuli e Eleonora Rocca risponderanno a questi e ad altri interrogativi emersi dalla lettura delle nuove Linee Guida.

1.  La responsabilità da reato degli Enti.

Agli operatori del mondo giuridico ed economico è ormai noto che il D.lgs. n. 231/2001 ha introdotto nel panorama legislativo italiano la disciplina della responsabilità degli Enti per gli illeciti amministrativi dipendenti da reato.

Sovvertendo il tradizionale principio secondo cui “societas delinquere non potest”, con il citato Decreto il Legislatore ha predisposto un sistema sanzionatorio che consente di punire, oltre alla persona fisica che abbia tenuto una condotta penalmente rilevante, anche la persona giuridica, la società o l’associazione (anche priva di personalità giuridica), cui il primo appartiene.

Dinnanzi, dunque, alla commissione di un fatto di reato da parte di un soggetto interno alla compagine societaria, possono essere sanzionati sia la persona fisica, sia l’Ente di cui il primo è parte, purché il fatto sia stato commesso a suo vantaggio o nel suo interesse.

Nondimeno, affinché l’Ente possa essere destinatario di una sanzione, è necessario che il procedimento penale accerti che la commissione del reato da parte della persona fisica sia stata resa possibile per una c.d. colpa di organizzazione, id est una carenza della struttura organizzativa dell’Ente che abbia consentito la commissione dell’illecito.

Il Decreto individua una serie di presupposti che devono sussistere perché l’Ente possa essere ritenuto responsabile. 

Sotto il profilo soggettivo, è necessario che il reato (presupposto) sia stato commesso da un soggetto c.d. qualificato. Ai sensi dell’art. 5 del D.lgs. n. 231/2001 sono tali:

-i cc.dd. soggetti apicali, ossia coloro che “rivestono funzioni di rappresentanza, di amministrazione o di direzione dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale nonché da persone che esercitano, anche di fatto, la gestione e il controllo dello stesso” (come, ad esempio, gli amministratori e i direttori generali);

-coloro che sono “sottopost[i] alla direzione o alla vigilanza” dei soggetti apicali (quali, i dipendenti o i collaboratori).

Sotto il profilo oggettivo, la responsabilità dell’Ente è subordinata alla sussistenza di due distinti requisiti che possono essere riassunti in questi termini:  

-il reato deve essere stato commesso nell’interesse o a vantaggio dell’Ente. In altre parole, l’autore del reato presupposto deve aver agito con l’intenzione di perseguire un interesse dell’Ente o, perlomeno, questo deve aver conseguito un vantaggio (anche non economico);

-il reato posto in essere dal soggetto interno alla compagine aziendale deve essere ricompreso nell’elenco tassativo dei cc.dd. reati presupposto, individuati dal Decreto. Il modello di responsabilità previsto dal legislatore è, dunque, un ‘modello chiuso’, che impedisce che l’Ente possa essere chiamato a rispondere di un illecito amministrativo dipendente da un reato non previsto dal D.lgs. n. 231/2001.

Di indubbio rilievo poi sono le sanzioni a cui l’Ente è esposto in caso di accertamento della propria responsabilità: oltre a importanti sanzioni pecuniarie e alla confisca di quanto venga considerato il profitto dell’illecito, il Decreto prevede l’applicabilità di sanzioni interdittive che si inaspriscono progressivamente sino a determinare l’impossibilità di esercitare l’attività aziendale.

2.  Il Modello Organizzativo e di Gestione (MOG) ex D.lgs. n. 231/2001.

Nel sistema 231, un ruolo centrale è attribuito al Modello Organizzativo e di Gestione (MOG): un insieme di protocolli e di norme di comportamento che regolano e definiscono la struttura aziendale e la gestione dei suoi processi sensibili.

Funzionale alla riduzione del rischio di commissione di reati nell’ambito dell’attività di impresa, il MOG è uno strumento di primaria importanza, dal momento che, se efficacemente adottato, costituisce il primo (indefettibile) elemento per consentire all’ente di beneficiare di un’esimente dalla responsabilità dipendente da reato.

Il primo requisito individuato dall’art. 6 del D.lgs. n. 231/2001 per evitare che l’Ente imputato venga dichiarato responsabile dell’illecito che gli è contestato è, infatti, che questi dimostri di aver efficacemente adottato, prima della commissione del fatto, un modello organizzativo rispondente alle esigenze individuate dal Decreto e, dunque, effettivamente idoneo a prevenire la commissione di reati nel contesto aziendale.

E proprio questo conduce dinnanzi ad un paradosso che caratterizza l’intera normativa 231. Com’è noto, l’adozione del MOG è una mera facoltà per gli Enti, non essendo prevista quale  obbligo da parte del Decreto. Tuttavia, se da un lato le società possono scegliere di non dotarsi di un Modello senza incorrere – per ciò solo – in alcuna sanzione, tale scelta le renderebbe del tutto inermi davanti alla prospettiva di vedersi applicata una sanzione per illeciti derivanti da reato, escludendo dal principio la possibilità di andare esenti dal riconoscimento nei loro confronti della responsabilità amministrativa.

La conseguenza, come è facile comprendere, è una sola: un’analisi costi-benefici conduce un Ente a propendere per l’adozione del MOG che, ancorché indirettamente, costituisce ormai un onere di conformità normativa con cui le imprese italiane sono inevitabilmente chiamate a confrontarsi.

3. Le società sportive e il D.lgs. n. 231/2001: tra ‘lavoratori sportivi’ e reati presupposto.

Neppure gli Enti sportivi (società o associazioni) sono esclusi dall’applicazione della normativa 231; anzi, il loro coinvolgimento in questo sistema di applicazione della responsabilità è cresciuto negli ultimi anni, in ragione di specifiche iniziative del nostro legislatore.

Un primo intervento ha avuto ad oggetto i reati che possono fungere da presupposto per il riconoscimento della responsabilità amministrativa. Sino a pochi anni fa, infatti, questa tipologia di società o associazioni era esposta a rischi del tutto analoghi a quelli che caratterizzano ogni altro Ente. 

Le principali ‘aree di rischio’ concernevano infatti:

-i reati contro la Pubblica Amministrazione (la cui commissione è ipotizzabile nello svolgimento di attività che vedano coinvolti organi di giustizia sportiva o amministrazioni locali);

-i reati societari (come, ad esempio, il reato di false comunicazioni sociali);

-i reati di lesioni o omicidio, quale conseguenza della violazione di norme in materia di sicurezza sul lavoro, disciplinati dal D.lgs. n. 81/2008 (rilevanti, ad esempio, nella gestione dei centri sportivi);

-delitti contro la personalità individuale (si pensi al rischio di impiego di lavoratori minorenni provenienti dai Paesi in via di sviluppo).

Insomma, tutte categorie di reati che ben si prestano ad essere astrattamente configurabili – seppur con diverse modalità – in contesti di società operanti in ogni settore economico.

Nondimeno, in questi oltre venti anni dall’entrata in vigore del Decreto 231, il catalogo di reati presupposto è stato più volte integrato con nuove fattispecie, nel tentativo di fronteggiare il ripetersi di fenomeni illeciti che coinvolgevano specifici settori economici.

E questo è accaduto anche in ambito giuridico-sportivo: sulla scia di vicende giudiziarie che negli anni precedenti avevano colpito il mondo dello sport, il Legislatore è intervenuto sul catalogo dei reati-presupposto, inserendovi delle fattispecie criminose formulate avendo particolare riguardo alle società sportive.

In particolare, ad opera della L.  3 maggio 2019, n. 39, è stata estesa la responsabilità degli Enti in caso di “frode in competizioni sportive, esercizio abusivo di gioco o di scommessa e giochi d’azzardo esercitati a mezzo di apparecchi vietati”.

A seguito di tale novità legislativa, è stato introdotto l’art. 25-quaterdecies del D.lgs. n. 231/2001 che prevede l’applicazione delle sanzioni 231, qualora – ad esempio – un soggetto interno all’ente sportivo offra o prometta  denaro o altra utilità o vantaggio ad un partecipante ad una competizione sportiva, allo scopo di raggiungere un risultato diverso da quello che ne sarebbe derivato da uno svolgimento della gara corretto e leale, ovvero abbia compiuto altri atti fraudolenti volti al medesimo fine.

Trattasi, evidentemente, di una previsione normativa che ha quale principale destinatario proprio le società e le associazioni sportive, andando ad impattare nell’attività principale che esse svolgono.

A tale riforma in senso oggettivo, si è in seguito aggiunta una novità normativa in materia di presupposti soggettivi della responsabilità degli Enti sportivi.

Con la c.d. Riforma dello Sport (D.lgs. n. 36/2021), è stata ampliata la nozione di “lavoratore sportivo”, prevedendo in maniera pacifica l’applicabilità della normativa 231 sia quando l’autore del reato presupposto è un apicale sia quando questo è un c.d. ‘sottoposto’. 

Sul punto, occorre fare un passo indietro: in passato, se con riguardo ad alcuni individui, quali gli amministratori o i direttori, non vi erano dubbi che questi potessero assumere la qualità di soggetti qualificati, autori del reato presupposto, poiché lo stesso art. 5 del Decreto include nel campo di applicazione della disciplina i soggetti apicali, maggiori perplessità si sono poste nell’individuare i confini della nozione di “sottoposto alla direzione o alla vigilanza”.  

In altri termini, non era chiaro se alcune figure, quali i tesserati o alcuni consulenti (come lo staff medico), fossero riconducibili a tale nozione o meno.

La soluzione è stata di recente offerta dal Legislatore, che ha ampliato la nozione “lavoratore sportivo”, includendovi oltre alle figure già previste (come l’allenatore o l’atleta) ogni altro tesserato che svolga verso un corrispettivo mansioni necessarie per lo svolgimento dell’attività sportiva.

Riassumendo, negli ultimi anni il Legislatore è intervenuto due volte nell’ambito dei rapporti tra Enti sportivi e responsabilità 231, introducendo nuove fattispecie criminose che possono fungere da presupposto per la commissione dell’illecito amministrativo e allargando il novero dei soggetti che, commettendo simili reati, possono provocare l’applicazione di una sanzione nei confronti dell’ente.

Anche in questo caso, è agevole intuire quale effetto ne consegua: l’adozione di un Modello Organizzativo per un Ente sportivo – ancorché non imposta normativamente dal D.lgs. n. 231/01 – costituisce ormai un onere imprescindibile, in ragione dei rischi cui tale categoria di società e associazioni è oggi esposta.

4. Il ruolo delle Associazioni di Categoria nella predisposizione del MOG 231 e le nuove Linee Guida in ambito sportivo.

Come anticipato in precedenza, il Modello Organizzativo può svolgere la propria funzione di strumento di esenzione dalla responsabilità, a condizione che esso sia effettivamente idoneo a prevenire la verificazione di reati in ambito aziendale.

Pertanto, per ogni Ente è fondamentale prestare particolare attenzione alle modalità di predisposizione del Modello: ciò che occorre è che esso preveda protocolli di gestione e di controllo efficaci ed efficienti e che costituisca un ostacolo concreto alla commissione di un crimine.

In tale contesto, giocano un ruolo chiave le cc.dd. associazioni di categoria, ossia enti che rappresentano gli interessi di un determinato settore produttivo o professionale.  

Nell’ottica di ‘assistere’ le società nell’adozione del proprio Modello Organizzativo, le citate associazioni elaborano delle Linee Guida che costituiscono degli standard di riferimento, a cui ispirarsi per considerare un MOG idoneo a soddisfare le esigenze prescritte dall’art. 6 del Decreto 231.

Considerata la varietà dei soggetti destinatari, le Linee Guida, invero, non pretendono di fornire alle società indicazioni puntuali, bensì si propongono di indirizzare le stesse nella costruzione di un MOG efficace, che tenga in considerazione le specificità di ogni singola realtà imprenditoriale.

Nondimeno, un Modello Organizzativo che abbia rispettato le indicazioni fornite dalle associazioni di categoria di riferimento avrà senza dubbio più probabilità di superare positivamente il vaglio del giudice chiamato a giudicare della responsabilità dell’Ente.

Se ciò vale in generale per tutti gli Enti che adottano un Modello Organizzativo, in ambito sportivo sono recentemente state emanate delle Linee Guida – da parte delle varie federazioni, per le rispettive società e associazioni affiliate – che sembrano fare un passo ulteriore, orientandosi non soltanto verso la minimizzazione del rischio di commissione di reati, ma anche nella direzione di favorire la valorizzazione di precisi principi etici.

È necessario a questo punto una precisazione di carattere normativo. Nel 2021, il Legislatore ha previsto (con il D.lgs. n. 39/2021) che, entro il 31 agosto 2023, gli Organismi Sportivi (le  Federazioni  sportive  nazionali,  le  Discipline  sportive associate,  gli  Enti  di  promozione  sportiva  e  le   Associazioni benemerite) avrebbero dovuto redigere apposite Linee Guida “per la predisposizione dei modelli organizzativi e di controllo dell’attività sportiva e dei codici di condotta a tutela dei  minori e per la prevenzione delle molestie, della violenza di  genere  e  di ogni  altra  condizione  di  discriminazione  prevista  dal   decreto legislativo 11 aprile 2006, n. 198 o per ragioni di etnia, religione, convinzioni personali, disabilità, età o orientamento sessuale”.

Leggendo questa disposizione si evince chiaramente l’intenzione del legislatore: far sì che il mondo sportivo si indirizzi in modo sempre più pregnante verso la prevenzione e il contrasto di ogni condotta di abuso, violenza o discriminazione.

E, a tale scopo, non è stato soltanto posto un onere in capo alle federazioni sportive, ma anche nei confronti delle società e delle associazioni affiliate: entro un anno dall’emanazione delle Linee Guida, esse sono infatti obbligate ad adottare tali modelli organizzativi e codici di condotta, ovvero ad integrare il MOG già attuato ai sensi della normativa 231; in caso di inadempimento, gli Enti saranno soggetti a procedure e sanzioni disciplinari da parte delle federazioni affilianti.

Anche in questo caso, è chiara la spinta del legislatore verso l’adozione di strumenti di compliance. Nonostante, la normativa 231 non lo imponga per legge, gli Enti sportivi sono adesso obbligati a dotarsi di un Modello Organizzativo  quantomeno per la prevenzione di molestie, violenze e discriminazioni. Se ciò si somma all’esistenza (già ricordata in precedenza) di fattispecie di reato specifiche per l’ambito dello sport, risulta evidente che quella di adottare un Modello 231 è ormai una scelta pressoché ineludibile.

5. In particolare: le Linee Guida della F.I.G.C.

Come detto, il 31 agosto scorso è scaduto il termine posto in capo alle federazioni, che hanno dunque pubblicato i propri elaborati: è pertanto possibile fare una panoramica delle conseguenti indicazioni, allo scopo di comprendere a quali oneri di compliance siano oggi chiamati gli Enti sportivi; i quali, come già accennato, dovranno conformarsi alla nuova normativa entro il termine di dodici mesi dalla pubblicazione delle Linee Guida a loro riferibili.

Prendendo ad esempio il testo pubblicato dalla F.I.G.C., è possibile osservare sia quali siano gli obiettivi che la federazione mira a conseguire, sia quali siano i plurimi nuovi oneri che vengano posti a carico delle società.

Quanto al primo aspetto, già in premessa, la F.I.G.C. specifica che, mediante l’emanazione delle Linee Guida, si intende “prevedere misure e procedure di prevenzione e contrasto verso ogni condotta di abuso, violenza o discriminazione” che sia commessa “di persona o tramite modalità informatiche”. E nel successivo art. 3, viene fornito un elenco dei comportamenti che costituiscono abuso, violenza o discriminazione: ad esempio, l’abuso psicologico, l’abuso fisico, la molestia sessuale, l’abuso di matrice religiosa o il bullismo.

Venendo agli obblighi di attivazione per gli Enti, è possibile suddividere gli stessi in tre categorie: i) adozione del Modello Organizzativo (o aggiornamento di quello esistente) e del codice di condotta; ii) formazione e informazione dei destinatari; iii) gestione delle segnalazioni delle violazioni.

In primo luogo, bisogna osservare che l’art. 4 delle Linee Guida stabilisce non soltanto l’obbligo di dotarsi del Modello Organizzativo, ma anche di curarne l’aggiornamento con cadenza quantomeno quadriennale.

Il successivo art. 5 stabilisce poi un contenuto minimo di tale Modello, affinché esso possa ritenersi conforme alle Linee Guida. In particolare, gli Enti sportivi dovranno:

-individuare specifiche modalità di prevenzione e gestione del rischio di commissione di abusi, violenze e discriminazioni, mediante – ad esempio – l’adozione di adeguati strumenti di gestione e tutela dei tesserati, soprattutto minori, da parte dei tecnici e dei soggetti preposti, ai fini della promozione dei relativi diritti, durante gli allenamenti, le manifestazioni sportive e ogni attività anche collegata e connessa organizzata dalla società;

-prevedere protocolli di contenimento del rischio di abusi, quali ad esempio, controlli periodici e conseguenze sanzionatorie in caso di violazioni.

In punto di oneri formativi e informativi, le Linee Guida F.I.G.C. prescrivono agli Enti di: i) prevedere adeguate misure per la diffusione  e la pubblicizzazione delle politiche di tutela adottate; ii) predisporre e divulgare materiali informativi finalizzati alla prevenzione degli abusi, delle violenze e delle discriminazioni.

In altri termini, sarà onere delle società e delle associazioni far conoscere ai propri tesserati i principi fondamentali da rispettare e le politiche di prevenzione adottate.

Quanto, poi, alla terza categoria sopra individuata, sarà onere degli Enti predisporre dei canali che consentano ai tesserati di segnalare eventuali violazioni della normativa in materia di prevenzione degli abusi, garantendo la riservatezza delle segnalazioni nonché la tempestiva ed efficace gestione delle stesse.

Il parallelismo con l’istituto del whistleblowing (soprattutto per come riformato recentemente) è di tutta evidenza; parallelismo che si manifesta anche nell’onere per gli Enti sportivi di nominare un “Responsabile contro abusi, violenze e discriminazioni” che sia adeguatamente competente, nonché autonomo e indipendente rispetto all’organizzazione sociale.

Alle previsioni appena richiamate – che come detto concernono la predisposizione e adozione del Modello Organizzativo (o l’aggiornamento di quello adottato ai sensi della normativa 231) – si affianca, infine, l’obbligo di predisporre un apposito codice di condotta, nel quale indicare i principi fondamentali cui orientare l’attività dell’ente in materia di prevenzione di abusi, violenze e discriminazioni, nonché specifici obblighi di comportamento a carico sia dei tesserati, sia dei dirigenti sportivi e dei tecnici.

Conclusioni.

Nel corso degli anni la direzione in cui si è mosso il Legislatore è stata quella di ampliare il novero degli oneri posti in capo agli Enti sportivi.

Di fronte a questa tendenza, le Società del mondo dello sport non sono più soltanto chiamate a valutare l’opportunità di avere o meno un Modello 231, per quanto – come detto – la sua adozione sia ormai una scelta imprescindibile. Basti pensare che per alcuni Enti – in particolare quelli calcistici – un Modello efficacemente adottato può essere lo strumento per attenuare o, addirittura, escludere la responsabilità oggettiva degli stessi per gli illeciti sportivi commessi dai propri tesserati o da soggetti comunque ad essi riconducibili.

Oggi le Società sono tenute a fare un passo ulteriore: alla decisione se implementare o meno un Modello Organizzativo si aggiunge l’obbligo per gli Enti di dotarsi necessariamente di nuovi presidi e strumenti organizzativi, plasmati sulla falsariga del Modello Organizzativo ex D.lgs. n. 231/2001, del Codice Etico, nonché delle previsioni in materia di whistleblowing. 

Ecco che, di fronte a questi nuovi oneri che incombono sulle Società, non resta che attendere e assistere a come nei prossimi mesi gli Enti sportivi affronteranno questa nuova sfida di compliance.

Ransomware: prevenzione e reazione

Premessa.

Varcata la soglia di una azienda o di un ente pubblico per dare inizio alla giornata lavorativa, ci si rende conto che i personal computers non sono funzionanti: sono bloccati in una schermata su cui compare unicamente l’avviso di essere vittima di un attacco hacker, l’eventuale nome in gergo degli autori dell’attacco e, componente essenziale, la richiesta di inoltrare una determinata quantità di bitcoin (o altra valuta virtuale) ad un preciso wallet in blockchain.

Si è vittima di un ransomware attack. Una risorsa vitale per la produttività aziendale – i dati informatici – sono stati, nel migliore dei casi, criptati, e, nel peggiore dei casi, criptati ed esfiltrati: sono dunque per certo inaccessibili e, potenzialmente, nella disponibilità di terzi.

Da questo momento, il management ha poche ore per compiere importanti decisioni strategiche, che possono significativamente condizionare gli esiti dell’attacco informatico e i danni subiti dalla persona giuridica amministrata:

-è possibile recuperare i dati aziendali da un precedente backup locale e recente, o questi sono da considerarsi irrimediabilmente inaccessibili?

-è necessario denunciare il fatto alle Autorità? Come gestire le notificazioni dovute al Garante Privacy ai sensi della normativa GDPR?

-è necessario pagare il riscatto in favore dei criminali per rientrare in possesso dei dati? Quali le conseguenze giuridiche ed economiche dell’eventuale pagamento?

-quali professionisti possono essere di aiuto nella calibrazione della miglior strategia difensiva?

-in che modo è possibile prevenire un ransomware attack?

Con ogni evidenza, il ransomware attack è un evento dal grande impatto economico ed emotivo, il quale richiede oculate valutazioni da compiersi in un contesto convulso e condizionato dall’urgenza.

A seguire, dei brevi appunti per una strategia di prevenzione e reazione.

1.  Cos’è un ransomware?

Il ransomware è un tipo di malware (malicious software) che, introdotto in dispositivi informatici, può rubare informazioni, aprire le porte a controlli remoti o, attraverso tecniche di cifratura dei file, rendere inutilizzabili documenti, archivi, immagini e qualunque altro file memorizzato sul disco fisso.

Un attacco ransomware, oltre a compromettere singoli dispositivi informatici, può mirare alla compromissione di una intera rete informatica (e.g. la rete informatica aziendale), espandendosi al server centrale e ai sistemi collegati.

Il virus, dopo aver criptato i file informatici, trasmette sulla schermata della vittima una richiesta di riscatto – che nella maggior parte dei casi dovrà essere corrisposta in bitcoin o in altra valuta virtuale – finalizzata al recupero dei dati e, spesso, anche a garanzia della riservatezza dei file esfiltrati. In assenza del pagamento del riscatto, i dati aziendali potrebbero risultare definitivamente inaccessibili ed essere divulgati a terzi.

Breve: i ransomware sono dei trojan horse crittografici finalizzati all’estorsione di somme di denaro.

2.  Quanto è diffuso il fenomeno?

In tempi recenti, la frequenza e la portata degli attacchi ransomware hanno registrato un significativo incremento.

Già nel 2016, la US Federal Trade Commission (FTC) definiva il ransomware come “una delle minacce online più gravi per le persone e le aziende”, nonché “la forma più redditizia di malware utilizzata dai criminali”.

Più recentemente, un report pubblicato dall’Agenzia dell’Unione europea per la cybersicurezza (ENISA) ha rivelato come, nel periodo maggio 2021-giugno 2022, circa 10 terabyte di dati sono stati esfiltrati ogni mese da hacker specializzati in attacchi ransomware. Significativamente, il report individua, tra i Paesi più colpiti dai cybercriminali, gli Stati Uniti, seguiti da Germania, Francia e Italia.

Alla recente accelerazione del fenomeno ha senz’altro contribuito la diffusione di soluzioni RaaS (Ransomware as a Service), le quali, reperibili nel dark-web, permettono lo sviluppo di attacchi ransomware anche da parte di soggetti privi delle necessarie competenze informatiche: in questo caso, invero, l’attacco viene portato a termine da soggetti qualificati per conto dei mandanti; il tutto a fronte del pagamento di una flat-fee o di una percentuale del riscatto ricavato dall’illecito.

Emerge la tendenza dei cybercriminali a bersagliare soggetti ai quali è possibile estorcere somme di denaro consistenti: in primis, aziende e enti pubblici. Ciò con evidenti danni al tessuto produttivo del Paese coinvolto e pregiudizi all’esercizio delle funzioni necessarie a garantire il welfare nazionale.

A titolo di esempio – stando a una ricerca della società multinazionale Trend Micro (svolta nei mesi di maggio e giugno 2022 e che ha coinvolto 2.958 IT Decision Makers in 26 Paesi) – delle organizzazioni colpite da un attacco ransomware, il 25% ha affermato di aver dovuto interrompere completamente le operazioni a causa dell’attacco informatico, mentre il 60% ha rivelato che alcuni processi aziendali hanno dovuto subire modifiche in seguito all’attacco. La maggior parte delle organizzazioni ha impiegato giorni (56%) o settimane (24%) per ripristinare le operazioni. Inoltre, il 60% del campione ha ammesso di aver subito il furto di dati sensibili, aumentando così i rischi legati alla compliance, i danni reputazionali e i costi di indagine, riparazione e pulizia.

3.  La situazione italiana?

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha osservato 130 attacchi ransomware in danno di Pubbliche Amministrazioni e operatori privati nel corso del 2022.

È tuttavia verosimile ritenere che tale dato rappresenti soltanto una parte del numero complessivo degli attacchi ransomware effettivamente avvenuti in Italia: in alcuni casi le vittime – in particolar modo se appartenenti al tessuto produttivo delle Piccole Medie Imprese, spesso sprovviste di know-how e strutture interne dedicate – sono (imprudentemente) inclini a non segnalare gli attacchi subiti.

I settori più colpiti nel nostro Paese sono quello manifatturiero, seguito dal tecnologico, dal retail e dal settore sanitario. Inoltre, anche in Italia – in linea con quanto avviene nel resto del mondo – gli attacchi ransomware alle Pubbliche Amministrazioni sono in continuo aumento. Da un punto di vista geografico, le zone maggiormente interessate dal fenomeno corrispondono alle grandi aree metropolitane di Roma, Milano, Torino e ai distretti manifatturieri del Nord Ovest e Nord Est.

4. Quali fattispecie di reato integra l’attacco ransomware?

Non vi è dubbio che un attacco ransomware integri il delitto di estorsione previsto e punito dall’art. 629 c.p.

Si ravvisano poi ulteriori fattispecie delittuose che, a seconda dei casi, potrebbero essere oggetto di possibile contestazione nei confronti dell’autore di un attacco ransomware, tra cui: i) Accesso abusivo ad un sistema informatico o telematico ex art. 615 ter c.p.; ii) Detenzione, diffusione e installazione abusiva di apparecchiature, codici e altri mezzi atti all’accesso a sistemi informatici o telematici ex art. 615 quater c.p. iii) Detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico ex art 615 quinquies c.p.; iv) Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche ex art. 617 quater c.p.; v) Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità ex art. 635 ter c.p.

5.  Cosa prevede il GDPR in caso di data breach?

Può essere definito quale data breach un evento – quale il ransomware attack – in grado di compromettere la riservatezza, l’integrità o la disponibilità dei dati personali.

L’art. 33 del GDPR prevede l’obbligo per il titolare del trattamento (data controller) di notificare il data breach – senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza – al Garante per la protezione dei dati personali.

La notifica della violazione deve: i) descrivere la natura del data breach (numero e categorie di soggetti e dati coinvolti); ii) descrivere le probabili conseguenze derivanti dalla violazione dei dati; iii) descrivere le misure adottate o che il titolare del trattamento adotterà per porre rimedio alla violazione dei dati personali e attenuarne gli effetti negativi. Ove la suddetta comunicazione fosse tardiva, il titolare del trattamento deve fornire una motivazione adeguata, pena l’irrogazione di una sanzione. Naturalmente, sanzioni sono altresì previste in caso di omessa notifica.

La segnalazione al Garante non è necessaria qualora il titolare del trattamento ritenga che il data breach occorso non comporti rischi per i diritti e le libertà delle persone fisiche. In questa ultima ipotesi, il titolare si potrà limitare a tenere nota dell’avvenuta violazione, così da consentire all’Autorità di effettuare eventuali verifiche circa il rispetto della normativa.

È bene rilevare che – complice la stretta tempistica imposta dalla normativa – il titolare del trattamento non deve attendere un esame forense dettagliato e/o le prime misure di mitigazione per valutare se la violazione dei dati debba essere notificata o meno: la valutazione dovrà essere effettuata nel momento in cui si ha contezza della violazione.

Ai sensi dell’art. 34 GDPR, nel caso in cui la violazione comporti un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve notificare il data breach senza ingiustificato ritardo anche agli interessati (i.e. i data subjects: soggetti a cui si riferiscono i dati personali coinvolti nel breach). Al tempo stesso, la medesima disposizione normativa contempla tre distinte deroghe all’obbligo di notifica del data breach ai soggetti interessati:

I. il titolare del trattamento ha messo in atto adeguate misure tecnico/organizzative di protezione, e tali misure erano state applicate ai dati personali oggetto di violazione in un momento antecedente al data breach (in particolare quelle misure, quali la cifratura, destinate a rendere i dati personali inaccessibili a soggetti non autorizzati);

II. il titolare del trattamento ha adottato, successivamente al data breach, misure atte a scongiurare il materializzarsi di un rischio elevato per i diritti e le libertà degli interessati;

III. la comunicazione ai singoli interessati richiederebbe uno sforzo sproporzionato. In tal caso, tuttavia, è necessario procedere a una comunicazione pubblica o ad altra comunicazione idonea ad informare i data subjects con analoga efficacia.

Di seguito si riportano, in sintesi, alcuni esempi di data breach con associati i relativi obblighi di notifica, così per come ricostruiti dal Comitato europeo per la protezione dei dati (European Data Protection Board: “EDPB”) tramite le linee guida n. 01/2021:

I. attacco ransomware che colpisce dati criptati senza coinvolgere dati sensibili. Inoltre, il backup è adeguato e i dati non sono stati esfiltrati.

In una siffatta ipotesi non è necessaria la notifica al Garante né tantomeno alcuna comunicazione agli interessati: è improbabile che la violazione comporti un rischio per le libertà e i diritti dei data subjects poiché i dati (inaccessibili ai criminali, poiché adeguatamente criptati) possono essere ripristinati rapidamente grazie al backup;

II. attacco ransomware senza esfiltrazione di dati. Non vi è un adeguato backup e neppure una criptazione dei dati.

In questa circostanza, è necessaria la notifica al Garante; tuttavia, non è necessario comunicare il breach agli interessati: sussiste il rischio per i diritti e le libertà delle persone fisiche (non–availability dei dati), ma senza raggiungere un livello di rischio elevato (confidentiality dei dati non compromessa);

III. attacco ransomware senza esfiltrazione dati ai danni di una struttura ospedaliera.

In questo caso la violazione deve essere notificata sia al Garante sia ai soggetti interessati: sussiste un grave rischio per i diritti e le libertà dei data subjects a causa della natura sensibile dei dati sottratti.

6.  Pagare il riscatto integra una condotta illecita?

Il pagamento del riscatto in favore dei cybercriminali non costituisce, di per sé, una condotta illecita penalmente rilevante.

Tuttavia, è bene porre attenzione tanto alle modalità di contabilizzazione del pagamento, quanto al soggetto che viene foraggiato.

L’omesso o fittizio inserimento in bilancio del costo sostenuto per il pagamento del riscatto potrebbe configurare l’ipotesi delittuosa di “False comunicazioni sociali” (o di “False comunicazioni sociali delle società quotate”) di cui agli artt. 2621 e 2622 c.c.

Inoltre, le condotte finalizzate ad occultare l’avvenuto pagamento del riscatto, ostacolando così l’attività di controllo dei soci e degli altri organi sociali, potrebbero integrare il reato previsto dall’art. 2625 c.c. di “Impedito controllo”.

Parimenti, nel rapporto con le Autorità Amministrative Indipendenti, potrebbe venire in rilievo la fattispecie incriminatrice di “Ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza” ex art. 2638 c.c.

Ove, invece, il pagamento del riscatto dovesse essere effettuato utilizzando una provvista proveniente dalla commissione di un illecito, potrebbe configurarsi il reato di riciclaggio di cui all’art. 648 bis c.p.

Sul versante tributario, l’Agenzia delle Entrate ha avuto modo di ribadire l’orientamento già consolidato in giurisprudenza per cui sono deducibili esclusivamente i costi inerenti all’esercizio dell’attività d’impresa, ossia i costi all’impresa imprescindibilmente e indissolubilmente correlati. Sul punto, l’Agenzia ha puntualizzato che l’onere della prova circa la stretta correlazione del pagamento con l’attività imprenditoriale gravi sul contribuente.

A tal proposito, va chiarito che la condotta della vittima dell’attacco ransomware che, al fine di detrarre fiscalmente i costi sostenuti per il riscatto, indichi in dichiarazione elementi passivi fittizi avvalendosi di fatture o di altri documenti per operazioni inesistenti – e.g. una falsa consulenza – integra la fattispecie delittuosa di cui all’art. 2 del D. Lgs n. 74/2000 “Dichiarazione fraudolenta mediante uso di fatture o altri documenti per operazioni inesistenti”.

Con riferimento ai reati appena passati in rassegna deve essere fatto un richiamo al D. Lgs. 231 del 2001. Infatti, qualora il pagamento del riscatto venisse sostenuto utilizzando risorse aziendali e nell’interesse o a vantaggio dell’ente, le fattispecie incriminatrici summenzionate potrebbero essere contestate anche alla persona giuridica.

Quanto agli enti pubblici, laddove il funzionario dovesse pagare il riscatto utilizzando risorse finanziarie della Pubblica Amministrazione, egli potrebbe incorrere in responsabilità personale per danno all’erario, salvo la prova che la condotta abbia evitato all’Amministrazione danni maggiori.

Da tenere in considerazione sono poi i rischi connessi all’identità dei soggetti sovvenzionati tramite il pagamento del riscatto.

Negli USA, i pagamenti di riscatti in favore di organizzazioni terroristiche straniere (Foreign Terrorist Organizations: “FTOs”) o terroristi internazionali (Specially Designated Global Terrorists: “SDGTs”) identificati dall’”OFAC” sono vietati per legge. Nello specifico: (i) i contributi finanziari alle FTOs sono preclusi ai sensi dell’art. 18 U.S.C. 2339B, poiché considerati un sostegno materiale ai gruppi terroristici; (ii) i trasferimenti in favore degli SDGTs costituiscono una violazione delle sanzioni economiche imposte dalla legge federale statunitense “International Emergency Economic Powers Act” (IEEPA).

Venendo allo scenario europeo, preme invece approfondire il pagamento di riscatti ransomware a gruppi di cybercriminali legati alla Russia.

Gli attacchi ransomware in Occidente sono aumentati in modo esponenziale dall’inizio della guerra in Ucraina: il fenomeno può essere interpretato, non solo come un atto ritorsivo dello Stato russo contro le sanzioni economiche adottate, ma altresì come una precisa strategia di aggiramento di tali misure.

Per quanto di nostro interesse, il pagamento del riscatto in favore di hacker legati alla Russia potrebbe integrare un’ipotesi di aggiramento delle sanzioni previste dai Regolamenti UE nn. 269 – 883 del 2014 s.m.i., e attivare dunque le relative responsabilità penali in capo alla vittima pagante.

7.  Pagare il riscatto è la scelta giusta?

L’attacco ransomware è un fenomeno improvviso, dal notevole impatto economico ed emotivo. Non è insolito, dunque, che le vittime del ransomware decidano di pagare il riscatto, ritenendo ciò il modo più efficace e veloce per risolvere la vicenda.

Tuttavia, sebbene il pagamento del riscatto non è una condotta di per sé illecita, tale decisione potrebbe rivelarsi inefficiente sotto il profilo economico.

È di certo probabile che i cybercriminali, una volta ottenuto il pagamento, forniscano le chiavi per decrittare e recuperare i file; tuttavia, è altrettanto probabile che questi chiedano in seguito un nuovo pagamento per non divulgare le informazioni esfiltrate al pubblico (c.d. doppia estorsione).

Un’altra argomentazione che dovrebbe dissuadere dal pagamento del riscatto è quella per cui, laddove la vittima dovesse procedere con il pagamento, essa verrebbe in seguito riconosciuta dai cybercriminali come “buona pagatrice”, accrescendo così il rischio di subire attacchi futuri.

In ultimo luogo, cedere al pagamento del riscatto, ove la notizia si diffondesse tra il pubblico, avrebbe conseguenze anche sul piano reputazionale, disvelando la presunta vulnerabilità dei sistemi informatici interni all’azienda e la sopravvenuta necessità di finanziare organizzazioni criminali per il recupero dei dati.

8.  Come reagire ad un attacco ransomware?

Anzitutto, è fondamentale creare un gruppo di lavoro (Incident Response Team: “IRT”) che sia capace di rispondere all’incidente informatico in modo tempestivo ed efficace.

È di basilare importanza che l’IRT sia composto da soggetti dotati di diverse e specifiche competenze, tra cui:

I. esperti di sicurezza informatica, i quali provvedano in modo tempestivo ad i) isolare i sistemi o i dispositivi infetti al fine di evitare un’ulteriore propagazione del ransomware; ii) analizzare i dati colpiti per determinare la portata dell’incidente; iii) disattivare gli account o chiudere le porte di rete e, infine, iv) ove possibile, ripristinare i dati;

II. esperti nell’ambito OSINT e Forensic Analysis, i quali dovranno ottenere più informazioni possibili sugli autori del ransomware e sulle modalità dell’attacco (utili non solo all’autorità giudiziaria, ma anche alla compagnia assicurativa ove sia stata stipulata una polizza);

III. Data Protection Consultant/Specialist, figura basilare per agire in modo conforme alle disposizioni previste dal GDPR;

IV. Data Protection Officer, il quale deve essere tempestivamente coinvolto in tutti i casi di data breach. Il DPO svolgerà le proprie attività a stretto contatto, sia con gli eventuali altri Data Protection Officer, sia con l’Autorità Garante, sia con i soggetti interessati;

V. esperto di comunicazione in stato di crisi, figura utile a gestire l’incidente nel modo più oculato per la reputazione della vittima;

VI. esperto di negoziazione in ambito ransomware, figura incaricata di acquisire e gestire i rapporti con i cybercriminali;

VII. esperto di diritto penale, di cybercrime e di normativa AML (antiriciclaggio), professionalità imprescindibili per adottare tutti gli accorgimenti necessari sia sul versante della compliance sia sul fronte giudiziario. Inoltre, ove si volesse procedere con il pagamento del riscatto, gli esperti in materia penale dovranno valutare attentamente gli eventuali rischi penali correlati al pagamento;

VIII. esperto in criptovalute, il quale, ove si optasse per il pagamento, può mettere a disposizione le proprie competenze al fine di acquistare in modo lecito e sicuro le criptovalute e procedere in sicurezza con il trasferimento del denaro.

9.  Come si previene un attacco ransomware?

Com’è facilmente intuibile, la forte diffusione degli attacchi informatici è dovuta soprattutto ad una scarsa cultura della sicurezza informatica, nonché ad un livello medio/basso di alfabetizzazione digitale.

In primo luogo, è da tenere presente che l’infiltrazione del malware è spesso facilitata da una o più interazioni inconsapevoli di un agente interno al bersaglio. Pertanto, al fine di garantire un’efficace attività di prevenzione, è imprescindibile assicurare un’adeguata e costante formazione degli operatori che hanno accesso ai sistemi informatici. Quest’ultimi, infatti, devono conoscere la politica di sicurezza e la politica di protezione della privacy aziendale, così da possedere quel bagaglio di conoscenze utile a riconoscere una possibile minaccia, isolarla tempestivamente ed evitare che si diffonda ulteriormente.

Sotto il profilo tecnico, si raccomanda di:

I. mantenere un backup aggiornato dei file e dei dati personali, isolato dalla rete. Inoltre, applicare la regola 3-2-1 del backup: 3 copie, 2 diversi supporti di memorizzazione e 1 copia fuori sede;

II. mantenere i dati personali crittografati secondo le disposizioni del GDPR e con controlli adeguati basati sul rischio;

III. controllare gli accessi, limitare i privilegi amministrativi e utilizzare sempre il principio del privilegio minimo quando si concede qualsiasi tipo di accesso;

IV. condurre una valutazione regolare del rischio e prendere in considerazione la possibilità di stipulare un’assicurazione ransomware sulla base di siffatta valutazione;

V. in seguito ad un attacco ransomware, agire in ottica lesson learned: identificare le falle del proprio sistema IT che hanno reso possibile l’attacco e porvi rimedio.

Whistleblowing: linee guida Anac e aspetti operativi | Anac guidelines and operational aspects

A seguito dell’entrata in vigore del D. Lgs. n. 24/2023, le società sono chiamate ad un’opera di complesso – e, parimenti, indispensabile – adeguamento alla nuova disciplina whistleblowing.

In questo scenario, di particolare rilievo e supporto sono le Linee Guida adottate da ANAC con delibera del 12 luglio 2023.

Il nostro Focus, a cura di Giuseppe Fornari, Enrico Di Fiorino, Pasquale Grella e Martina Pangallo – sulla base dell’esperienza già maturata dallo Studio nell’implementazione della materia – si propone di agevolare le società, offrendo soluzioni operative e indicando una road map degli adempimenti cui gli enti sono chiamati a provvedere.

*

Following the entry into force of Decree no. 24/2023, companies are called upon to undertake a complex – and equally indispensable – adjustment to the new whistleblowing rules.

In this scenario, the Guidelines adopted by ANAC with its resolution of 12 July 2023 are of particular importance.

Our Focus, edited by Giuseppe Fornari, Enrico Di Fiorino, Pasquale Grella and Martina Pangallo – on the basis of the experience already acquired by the Firm in the implementation of the subject – aims to facilitate companies, offering operational solutions and indicating a road map of the fulfilments that entities are called upon to provide.

Premessa

Lo scorso 10 marzo 2023 il Governo ha emanato un decreto che disciplina in modo organico “la protezione delle persone che segnalano violazioni del diritto dell’Unione” e “violazioni di disposizioni normative nazionali” (D. Lgs. n. 24/2023, di seguito anche “il Decreto”).

È noto come la novella legislativa abbia sollevato – e tutt’ora sollevi – molteplici quesiti interpretativi e altrettanti problemi applicativi, cui – da più parti – si è tentato di trovare adeguate soluzioni. Del resto, le società sono chiamate ad un’opera di complesso adattamento alla nuova normativa in materia di whistleblowing, pena l’imposizione di pecuniarie la cui entità – a differenza di molti altri temi regolamentati dal Decreto – è stata sin da subito crystal clear.

In questo scenario, di particolare rilievo e supporto per le imprese sono le Linee Guida adottate da ANAC con delibera n. 311 del 12 luglio 2023, cui si farà costante riferimento nel prosieguo del Focus. Il presente contributo (pagine 2 – 8) – sulla base dell’esperienza già maturata nell’implementazione della materia e senza alcuna pretesa di esaustività – si propone di:
– offrire concrete soluzioni applicative agli interrogativi posti dalla disciplina;
– tracciare una road map degli adempimenti che le aziende sono tenute ad effettuare per conformarsi alla nuova normativa.

*

Introduction

On 10 March 2023, the Government issued a decree that comprehensively regulates “the protection of persons who report breaches of Union law” and “breaches of national legislation” (Legislative Decree No. 24/2023, hereinafter ‘the Decree’).

It is well known that the new legislation raised – and still raises today – many questions of interpretation and as many application problems, to which – from several sides – attempts have been made to find adequate solutions. Moreover, companies are called upon to make a complex adjustment to the new whistleblowing legislation, to avoid the imposition of administrative fines, the extent of which – unlike many other issues regulated by the Decree – has been crystal clear from the outset.

In this scenario, of particular importance and support for companies are the Guidelines adopted by ANAC with Resolution No. 311 of 12 July 2023, to which constant reference will be made in the remainder of this Focus. This contribution (pages 9 – 15) – on the basis of the experience already gained in the implementation of the matter and without any claim to exhaustiveness – aims to: — – offer concrete application solutions to the questions posed by the discipline;
– outline a road map of what companies are required to do to comply with the new legislation.

I. A quali soggetti si applica la nuova disciplina e a partire da quando?

Tra gli altri, il Decreto ha sicuramente il pregio di aver definito con chiarezza l’ambito soggettivo di applicazione della nuova disciplina.

Oltre agli enti del settore pubblico, sono destinatari della normativa Whistleblowing:

– gli enti che hanno impiegato nell’ultimo anno una media di almeno cinquanta lavoratori subordinati (con contratti a tempo determinato o indeterminato);

– gli enti che operano in specifici settori (bancario, del credito, dell’investimento, dell’assicurazione e della riassicurazione, delle pensioni professionali o dei prodotti pensionistici individuali, dei titoli, dei fondi di investimento, dei servizi di pagamento) ancorché con una media di lavoratori inferiore a cinquanta nell’ultimo anno;

– gli enti che abbiano adottato Modelli organizzativi e di gestione ai sensi del D. Lgs. n. 231/2001 (di seguito anche “Modelli 231”), ancorché con una media di lavoratori inferiore a cinquanta nell’ultimo anno.

Ai fini del calcolo della media annua dei lavoratori impiegati, ciascun ente deve fare riferimento – di volta in volta – all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione, per le quali si considera l’anno in corso.

Sempre con riferimento al settore privato, le disposizioni transitorie scandiscono cronologicamente l’efficacia delle disposizioni del Decreto, chiarendo che esse hanno effetto:

– a partire dal 15 luglio 2023, per gli enti che hanno impiegato una media di almeno 250 lavoratori subordinati (con contratti di lavoro a tempo indeterminato o determinato) nell’ultimo anno;

– a partire dal 17 dicembre 2023, per gli enti che hanno impiegato una media di lavoratori subordinati inferiore a 250 nell’ultimo anno.

II. Cosa può essere oggetto di segnalazione negli enti che occupano meno di 50 dipendenti?

Nell’ambito degli enti che occupino meno di 50 dipendenti e che abbiano adottato Modelli 231, potranno essere effettuate segnalazioni di condotte che integrino reati presupposto della disciplina di cui al D. Lgs. 231/2001 o violazioni del Modello. Dette segnalazioni possono essere effettuate esclusivamente tramite il canale interno istituito dall’ente.

Diversamente, negli enti che occupino meno di 50 dipendenti, ma operino in uno dei settori elencati dal Decreto – come sopra individuati – potranno invece essere effettuate anche segnalazioni di violazioni di disposizioni dell’Unione Europea, attraverso tutti i canali di segnalazione.

Naturalmente, tale possibilità è prevista anche per gli enti che occupino più di 50 dipendenti.

III. Cosa devono fare gli enti entro le citate scadenze?

Gli adempimenti cui gli enti sopra individuati devono – tempestivamente – provvedere si possono riassumere nella seguente road map:

1. individuazione del gestore delle segnalazioni (interno o esterno, monocratico o collegiale);
2. individuazione del canale di segnalazione interno;
3. adozione di una policy whistleblowing;
4. aggiornamento del Modello 231, del Codice Etico e della eventuale documentazione interna che menzioni i canali di segnalazione;
5. adempimenti relativi alla privacy;
6. informazione nei confronti di soggetti interni ed esterni all’organizzazione;
7. formazione dei dipendenti e del gestore, se interno.

In primo luogo, ciascun ente deve provvedere alla adozione di una policy che regolamenti integralmente la materia whistleblowing all’interno della medesima realtà organizzativa.

È opportuno che tale attività sia affidata ad un legale o – ad ogni modo – ad un soggetto qualificato e dotato di competenze specifiche in materia, eventualmente esterno all’ente.

In modo particolare, la policy deve:

– definire il ruolo e i compiti dei soggetti preposti alla gestione delle segnalazioni;

– individuare le modalità e i termini di conservazione dei dati;

– prevedere e regolamentare diverse modalità di segnalazione (in forma scritta e orale);

– prevedere procedure che garantiscano la riservatezza del segnalante, degli altri soggetti indicati dal Decreto e del contenuto della segnalazione;

– prevedere iniziative di sensibilizzazione e formazione del personale per divulgare le finalità dell’istituto del whistleblowing e la procedura per il suo utilizzo.

Parallelamente, gli enti del settore privato che abbiano adottato Modelli 231 dovranno procedere all’aggiornamento dei Modelli: il Decreto ha infatti previsto che siano questi ultimi a disciplinare i canali di segnalazione interna, il divieto di ritorsione ed il sistema disciplinare. Alternativamente, il Modello 231 dovrà contenere un esplicito rinvio alla policy.

IV. Canale interno: quali modalità di segnalazione deve prevedere la policy?

Il Decreto richiede che ciascun ente preveda, in via alternativa, due diverse modalità di acquisizione delle segnalazioni: in forma scritta (“anche con modalità informatiche”) e in forma orale (“attraverso linee telefoniche o con sistemi di messagistica orale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole”).

Unico – e imprescindibile – requisito è quello che i canali garantiscano, “anche mediante il ricorso a strumenti di crittografia”, la riservatezza:

– del segnalante;

– del facilitatore;

– della persona coinvolta o della persona comunque menzionata nella segnalazione;

– del contenuto della segnalazione;

– della relativa documentazione.

Tanto premesso, è indubbio che lo strumento più idoneo ai fini della ricezione e della successiva gestione delle segnalazioni siano le piattaforme informatiche. Soltanto questo strumento è infatti in grado di garantire adeguatamente la riservatezza (tramite l’utilizzo di strumenti di crittografia e, eventualmente, l’oscurazione dei dati del segnalante), la piena tracciabilità delle comunicazioni e la sicura conservazione dei dati.

Si rileva che – nonostante il Decreto consenta formalmente la trasmissione di segnalazioni, in forma scritta, anche tramite posta ordinaria e posta elettronica certificata – le Linee Guida Anac hanno da ultimo confermato le preoccupazioni, già emerse da più parti, per cui tali strumenti non sarebbero da ritenersi adeguati a garantire la riservatezza dei soggetti indicati dal Decreto e del contenuto della segnalazione.

Invero, la scelta di non adottare una piattaforma informatica e di prediligere, invece, canali di comunicazione tradizionali potrebbe comportare a carico dell’ente e del medesimo whistleblower oneri di non poco conto, proprio al fine di bilanciare le esigenze di riservatezza richieste dalla normativa. La medesima ANAC, infatti, suggerisce – qualora si consenta l’invio della segnalazione tramite posta ordinaria – l’adozione di un sistema di cautele artificioso (si prevede perfino la predisposizione di tre diverse buste da parte del segnalante). Un simile sistema correrebbe il rischio di aggravare la procedura di trasmissione della segnalazione, sino a produrre il denegato risultato di scoraggiarne l’invio.

Appare quindi opportuno – se non, addirittura, necessario – che anche le registrazioni, le trascrizioni o i verbali delle segnalazioni orali siano conservati e trattati per mezzo della piattaforma informatica (laddove presente). In linea generale, la modalità di acquisizione per via orale delle segnalazioni deve essere, ad un tempo, prevista e scoraggiata. A titolo esemplificativo, la policy potrebbe prevedere che la richiesta di incontro diretto da parte del segnalante sia motivata e che la comunicazione orale non abbia una durata superiore ad un certo periodo di tempo (come, d’altro canto, disposto da ANAC con riferimento alle segnalazioni esterne).

V. A chi è affidata la gestione delle segnalazioni?

Altrettanta cura è richiesta all’ente nell’attività di individuazione del soggetto deputato alla gestione delle segnalazioni.

Il Decreto chiarisce che il soggetto debba, in ogni caso, essere autonomo (rectius – come chiarito da ANAC – imparziale e indipendente).

Fermo restando tale requisito, quanto agli enti di diritto privato, la scelta è rimessa alla libera autonomia organizzativa delle società, le quali – in base al proprio assetto organizzativo e alla luce di una accurata analisi costi-benefici – sono chiamate a valutare:

– se affidare la gestione ad un soggetto interno o esterno all’ente;

– se affidare la gestione ad un organo monocratico o collegiale;

– se affidare la gestione a funzioni già attive all’interno dell’azienda o ad organo appositamente individuato.

Secondo ANAC, la scelta potrebbe ricadere su uno dei seguenti organi: Organismo di Vigilanza (di seguito anche “OdV”), internal audit e/o comitati etici.

Quanto agli enti pubblici, il Decreto stabilisce che nei casi in cui sia fatto obbligo di prevedere la figura del Responsabile della Prevenzione, della Corruzione e della Trasparenza (“RPCT”), le funzioni di Gestore delle segnalazioni sono affidate a quest’ultimo.

In ogni caso, il Gestore deve:

– ricevere apposita formazione professionale in relazione alla disciplina whistleblowing e in materia di privacy;

– essere autorizzato al trattamento dei dati da parte dell’Amministrazione o dell’ente titolare del trattamento (nel caso in cui il Gestore sia esterno, sarà necessaria la stipula di apposito accordo).

VI. L’OdV può essere gestore delle segnalazioni?

A tale quesito si deve, in linea di principio, dare risposta affermativa.

Invero, il Decreto non prevede espressamente – come fa per il settore pubblico con la figura del RPCT – che l’OdV debba essere destinatario del flusso delle segnalazioni e gestore delle medesime. Nondimeno, dalla lettura delle disposizioni che individuano il gestore, si deve dedurre che tale opzione non è tantomeno esclusa. 

Anzi, come sopra accennato, le Linee Guida ANAC avallano esplicitamente tale possibilità.

Tanto premesso – nonostante il placet di ANAC – si deve rilevare che l’opzione (pur essendo la più agevole per le numerose realtà aziendali che avevano già adottato tale soluzione nell’ambito del Modello 231) lascia aperti alcuni quesiti.

In particolar modo, negli enti con numero di dipendenti superiore a 50, l’OdV – lungi dall’essere destinatario esclusivamente di segnalazioni rilevanti ai fini del Modello 231, come avvenuto sino ad oggi – sarebbe destinatario altresì della inedita tipologia di “segnalazione allargata” avente ad oggetto violazioni degli atti normativi italiani e degli atti dell’Unione Europea individuati dal Decreto.

In tal senso, ci si deve chiedere se l’Organismo sia il soggetto effettivamente idoneo a ricevere e a gestire questo tipo di segnalazioni. Diversamente, la questione non si pone con riferimento agli enti che abbiano adottato un Modello 231 e occupino meno di 50 dipendenti, in relazione ai quali il Decreto prevede che le segnalazioni possano avere ad oggetto esclusivamente reati presupposto e violazioni del Modello 231. Negli enti di grandi dimensioni (soprattutto, nel caso in cui non vi sia un’internal audit) come suggerito da autorevole dottrina, il ruolo dell’OdV potrebbe preferibilmente essere quello di svolgere funzioni di vigilanza sull’adeguatezza delle procedure whistleblowing (quali componenti del Modello 231), sul loro funzionamento, sulle attività di informazione e di formazione, nonché sugli esiti delle indagini e sui trattamenti riservati ai whistleblowers.

Ovviamente, tale attività presupporrebbe un flusso informativo costante da parte del gestore delle segnalazioni e non precluderebbe, ove debba ritenersi necessario, la scelta dell’Organismo di svolgere ulteriori approfondimenti e valutazioni indipendenti anche mediante l’utilizzo del proprio budget.

VII. E’ opportuno optare per un canale interno condiviso?

L’art. 4 del Decreto prevede altresì la possibilità che taluni soggetti condividano il canale di segnalazione interna e la relativa gestione.

In modo particolare, per quanto concerne il settore pubblico, tale facoltà è concessa ai Comuni diversi dai capoluoghi di Provincia. Secondo ANAC, nondimeno, si deve ritenere che anche le pubbliche amministrazioni e gli enti pubblici di piccole dimensioni possano condividere la gestione del canale.

Quanto invece al settore privato, sono gli enti di piccole dimensioni (che abbiano impiegato, nell’ultimo anno, una media di lavoratori subordinati non superiore a 249) a poter condividere canale interno e gestore.

Con particolare riferimento alle PMI, si tratta di una scelta indubbiamente produttiva di significativi benefici in termini di semplificazione degli oneri, contenimento di costi e di specializzazione delle funzioni.

D’altro canto, è auspicabile che un simile sistema non venga adottato tra enti tra loro del tutto slegati, al fine di evitare di ingenerare confusione nei potenziali whistleblowers.

È noto, peraltro, che nell’ambito di gruppi di imprese fosse già frequente l’adozione di sistemi di whistleblowing centralizzati, eventualmente gestiti da comitati internazionali. Sul punto, la Commissione Europea ha sottolineato come al fine di garantire l’efficienza e la prossimità dei canali di segnalazione, debba essere consentito al whistleblower di scegliere il canale a cui rivolgersi (centrale o locale). In tal senso, i gruppi di imprese dovrebbero valutare con attenzione se rinunciare alla procedura centralizzata o prevedere un doppio canale interno (l’uno a livello della società controllata e l’altro a livello della capogruppo), lasciando al segnalante la scelta di quale canale attivare.

Ad ogni modo, come Anac non ha mancato di precisare, è necessario che il canale istituito garantisca che ciascun ente acceda esclusivamente alle segnalazioni di propria competenza, anche in considerazione della attribuzione della relativa responsabilità.

VIII. Cosa deve fare il Gestore a seguito della ricezione di una segnalazione?

Alla luce di quanto disposto dall’art. 5 del Decreto e di quanto precisato dalle Linee Guida ANAC, le incombenze richieste per una efficace gestione della segnalazione possono essere cadenziate come di seguito:

1. entro 7 giorni, inoltro al segnalante di un avviso di ricevimento della segnalazione (tale adempimento parrebbe essere facoltativo);
2. valutazione della ammissibilità della segnalazione;
3. qualora la segnalazione sia ammissibile, inizio dell’attività istruttoria;
4. entro 3 mesi dalla trasmissione dell’avviso di ricevimento (o, in mancanza dell’avviso, entro 3 mesi dalla scadenza del termine di 7 giorni dal ricevimento della segnalazione) inoltro di una comunicazione di un riscontro al segnalante.

Più nel dettaglio, le Linee Guida chiariscono che al Gestore compete lo svolgimento di una valutazione preliminare di ammissibilità della segnalazione.

A mero titolo esemplificativo, la segnalazione è da ritenersi inammissibile per i seguenti motivi:

– manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti;

– accertato contenuto generico della segnalazione;

– segnalazione corredata da documentazione non appropriata o inconferente;

– produzione di sola documentazione in assenza della segnalazione di condotte illecite;

– sussistenza di violazioni di lieve entità.

Come anticipato, qualora il gestore ritenga ammissibile la segnalazione ricevuta, questi dà seguito alla stessa tramite lo svolgimento di attività istruttoria. Ancora a titolo esemplificativo, l’attività istruttoria può comportare interlocuzioni con il whistleblower (preferibilmente tramite la piattaforma informatica), la richiesta di documenti, il coinvolgimento di altri uffici/funzioni e l’audizione di terze persone.

Il riscontro fornito al whistleblower all’esito dell’attività istruttoria può consistere:

– nella comunicazione della archiviazione con adeguata motivazione, nel caso in cui siano emersi elementi di manifesta infondatezza della segnalazione;

– nella comunicazione dell’avvio di un’inchiesta interna, con eventuale indicazione delle relative risultanze;

– nella comunicazione dei provvedimenti eventualmente adottati;

– nella comunicazione del rinvio ad un’autorità competente per ulteriori indagini.

In sostanza, dunque, salvo che il gestore non ritenga di archiviare la segnalazione, lo step successivo – come chiarito da ANAC –   è quello dell’immediata interlocuzione con gli organi preposti interni all’ente e/o con l’istituzione o autorità esterna, ognuno secondo le proprie competenze.

Tale ultima precisazione apre a considerazioni in merito al ruolo e alle responsabilità del gestore. Sul punto, le Linee Guida forniscono indicazioni che meritano di essere riportate testualmente: “Non spetta al soggetto preposto alla gestione della segnalazione accertare le responsabilità individuali qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dall’ente/amministrazione oggetto di segnalazione, a pena di sconfinare nelle competenze dei soggetti a ciò preposti all’interno di ogni ente o amministrazione ovvero della magistratura”. 

Con riferimento al termine di 3 mesi, indicato dal Decreto, le Linee Guida precisano infatti che il riscontro fornito entro tale scadenza possa essere di carattere interlocutorio. In tal caso, si renderà necessaria una ulteriore comunicazione con la quale il Gestore informa il whistleblower del seguito dato alla segnalazione e degli esiti dell’attività svolta.

Al di fuori dell’attività successiva alla ricezione della segnalazione, è fondamentale che il gestore si occupi di fornire informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare segnalazioni interne ed esterne.

IX. Quali sono gli adempimenti privacy cui gli enti devono provvedere?

Numerosi sono, infine, gli adempimenti cui – in conformità al Regolamento UE 2016/679 (GDPR) e al Codice in materia di protezione dei dati personali – ciascun ente deve provvedere nell’ambito della ricezione e gestione delle segnalazioni whistleblowing.

Tra questi rientrano:

– la designazione del gestore, se interno, a “Persona Autorizzata” al trattamento dei dati personali nell’ambito della gestione delle segnalazioni;

– la nomina del gestore, se esterno, a “Responsabile del trattamento” dei dati personali nell’ambito della gestione delle segnalazioni;

– la nomina del fornitore della piattaforma informatica (se presente) a “Responsabile del trattamento” dei dati personali in esecuzione dei servizi concordati;

– in caso di condivisione di risorse per il ricevimento e la gestione delle segnalazioni, la stipulazione di un accordo che regoli le rispettive responsabilità;

– la consegna di una informativa ai segnalanti e agli altri soggetti coinvolti nel processo di gestione della segnalazione;

– lo svolgimento di una valutazione d’impatto (DPIA);

– l’aggiornamento del registro dei trattamenti.

*

I. To which subjects does the new discipline apply and from when?

Among others, the Decree certainly has the merit of having clearly defined the subjective scope of application of the new discipline.

In addition to public sector entities, the recipients of the Whistleblowinglegislation are:

– entities that have employed an average of at least fifty employees (with fixed-term or open-ended contracts) in the last year;

– institutions operating in specific sectors (banking, credit, investment, insurance and reinsurance, occupational pensions or individual pension products, securities, investment funds, payment services) even if the average number of employees is less than fifty in the last year;

– entities that have adopted Organisational and Management Models pursuant toLegislative Decree No. 231/2001 (hereinafter referred to as “231 Models”), even if they have an average of less than fifty workers in the last year.

For the purpose of calculating the average number of employees per year, each institution must refer – from time to time – to the calendar year preceding the current one, except in the case of newly established enterprises, for which the current year is taken into account.

Again with reference to the private sector, the transitional provisions chronologically mark out the effectiveness of the provisions of the Decree, making it clear that they take effect:

– from 15 July 2023, for entities that have employed an average of at least 250 employees (with permanent or fixed-term employment contracts) in the last year;

– from 17 December 2023, for entities that employed an average of less than 250 employees in the last year.

II. What can be reported in entities employing less than 50 employees?

In the context of entities employing fewer than 50 employees and which have adopted Models 231, reports may be made of conduct constituting offences relevant under Legislative Decree 231/2001 or violations of the Model. Such reports may be made exclusively through the internal channel set up by the entity.

On the other hand, entities employing fewer than 50 employees but operating in one of the sectors listed in the Decree – as identified above – may also report breaches of EU provisions through all reporting channels.

Of course, this possibility also applies to entities with more than 50 employees.

III. What must the entities do by the aforementioned deadlines?

The fulfilments that the entities identified above must – promptly – provide can be summarised in the following road map:

1. identification of the reporting manager (internal or external, monocratic or collegiate);
2. identification of the internal reporting channel;
3. adoption of a whistleblowing policy;
4. update of the 231 Model, the Code of Ethics and any internal documentation mentioning reporting channels;
5. privacy obligations;
6. information to persons inside and outside the organisation;
7. training of employees and manager, if internal.

First, each entity must adopt a policythat fully regulates whistleblowingwithin the same organisation.

This activity should be entrusted to a lawyer or – at any rate – to a qualified person with specific competence in the matter, possibly external to the entity.

In particular, the policy must:

– define the role and tasks of the persons in charge of handling alerts;

– identify the modalities and terms of data retention;

– provide for and regulate different modes of reporting (written and oral);

– provide for procedures guaranteeing the confidentiality of the whistleblower, the other persons referred to in the Decree and the content of the report;

– provide for staff awareness-raising and training initiatives to disseminate the purpose of whistleblowing and the procedure for its use.

At the same time, private sector entities that have adopted Models 231 will have to update their Models: the Decree has in fact stipulated that the latter must regulate internal reporting channels, the prohibition of retaliation and the disciplinary system. Alternatively, 231 Model will have to contain an explicit reference to the policy.

IV. Internal channel: which reporting modalities should the policy provide for?

The Decree requires each entity to provide, as an alternative, for two different ways of obtaining reports: in writing (“including by computerised means“) and in oral form (“by means of telephone lines or oral messaging systems or, at the request of the reporting person, by means of a face-to-face meeting set within a reasonable period of time“).

The only – and unavoidable – requirement is that the channels guarantee confidentiality, “including through the use of encryption tools”:

– of the reporter;

– of the facilitator;

– of the person involved or the person otherwise mentioned in the report;

– of the content of the alert;

– of the relevant documentation.

Having said this, there is no doubt that the most appropriate tool for the receipt and subsequent handling of reports are IT platforms. Only this tool is in fact able to adequately guarantee confidentiality (through the use of encryption tools and, possibly, the hiding of the reporter’s data), the full traceability of communications and the secure storage of data.

It should be noted that – despite the fact that the Decree formally allows the transmission of reports, in written form, also by ordinary mail and certified electronic mail – the ANAC Guidelines have recently confirmed the concerns, which had already emerged from several areas, that such instruments would not be considered adequate to guarantee the confidentiality of the persons indicated by the Decree and of the content of the report.

Indeed, the choice of not adopting an IT platform and preferring, instead, traditional channels of communication could entail considerable burdens for both the institution and the whistleblower himself/herself, precisely in order to balance the confidentiality requirements required by the legislation.

The same ANAC, in fact, suggests – if the sending of the report by ordinary mail is allowed – the adoption of an artificial system of precautions (it even provides for the preparation of three different envelopes by the reporter). Such a system would run the risk of aggravating the reporting procedure, to the point of producing the unfortunate result of discouraging its sending.

It therefore seems appropriate – if not, indeed, necessary – that recordings, transcripts or minutes of oral reports should also be stored and processed by means of the IT platform (where present). As a general rule, the oral acquisition of reports should be both expected and discouraged. By way of example, the policy could provide that the request for a face-to-face meeting by the whistleblower should be justified and that the oral communication should not last longer than a certain period of time (as, on the other hand, provided for by ANAC with reference to external reports).

V. To whom is the handling of alerts entrusted?

Equal care is required of the institution in identifying the person in charge of handling the reports.

The Decree clarifies that the subject must, in any case, be autonomous (rectius – as clarified by ANAC – impartial and independent).

Notwithstanding this requirement, as far as private law entities are concerned, the choice is left up to the free organisational autonomy of the companies, which – on the basis of their organisational structure and in the light of a thorough cost-benefit analysis – are called upon to assess:

– whether to entrust management to an entity inside or outside the entity;

– whether to entrust management to a monocratic or collegiate body;

– whether to entrust the management to functions already active within the company or to a specially identified body.

According to ANAC, the choice could fall on one of the following bodies: Supervisory Board (hereinafter “SB”), internal audit and/or ethics committees.

As regards public bodies, the Decree stipulates that in cases where it is mandatory to provide for the figure of the Prevention, Corruption and Transparency Officer (“RPCT”), the functions of Reporting Manager are entrusted to the latter.

In any event, the Manager must:

– receive appropriate professional training in relation to whistleblowing and privacy regulations;

– be authorised to process the data by the administration or body in charge of the processing (in the event that the Manager is external, an agreement will be required).

VI. Can the Supervisory Body be a reporting manager?

This question must, in principle, be answered in the affirmative.

In fact, the Decree does not expressly provide – as it does for the public sector with the figure of the RPCT – that the Supervisory Board must be the recipient of the flow of reports and the manager of such reports. Nevertheless, from reading the provisions identifying the manager, it must be inferred that this option is not ruled out. 

Indeed, as mentioned above, the ANAC Guidelines explicitly endorse this possibility.

Having said this – despite ANAC’s approval- it must be noted that this option (despite being the easiest for the many companies that had already adopted this solution within the 231 Model) leaves some questions open.

In particular, in entities with more than 50 employees, the Supervisory Board – far from being the exclusive recipient of reports relevant for the purposes of the 231 Model, as has been the case to date – would also be the recipient of the unprecedented type of ‘extended report’ concerning violations of Italian legislative acts and European Union acts identified by the Decree.

In this sense, the question arises as to whether the SB is actually the appropriate entity to receive and handle this type of report. On the contrary, the question does not arise with regard to entities that have adopted a 231 Model and employ fewer than 50 employees, in relation to which the Decree provides that reports may relate exclusively to predicate offences and violations of the 231 Model.

In large entities (especially where there is no internal audit), as suggested by authoritative doctrine, the role of the SB might preferably be to perform supervisory functions on the adequacy of whistleblowingprocedures (as components of the 231 Model), their functioning, information and training activities, as well as on the outcomes of investigations and the treatment of whistleblowers.

Obviously, such an activity would presuppose a constant flow of information from the reporting manager and would not preclude, where deemed necessary, the choice of the SB to carry out further in-depth investigations and independent assessments also through the use of its own budget.

VII. Is it appropriate to opt for a shared internal channel?

Article 4 of the Decree also provides for the possibility of certain institutions sharing the internal reporting channel and its management. In particular, as far as the public sector is concerned, this option is granted to municipalities other than provincial capitals. According to ANAC, however, it must be assumed that public administrations and small public bodies can also share the management of the channel.

As for the private sector, it is the small entities (employing an average of no more than 249 employees in the last year) that can share the internal channel and manager.

With particular reference to small and medium entities, this choice is undoubtedly productive of significant benefits in terms of simplification of burdens, cost containment and specialisation of functions.

On the other hand, it is desirable that such a system should not be adopted between entities that are completely unrelated to each other, in order to avoid confusing potential whistleblowers.

It is known, moreover, that within groups of companies the adoption of centralised whistleblowing systems, possibly managed by international committees, was already common. On this point, the European Commission emphasised that in order to ensure the efficiency and proximity of the whistleblowing channels, the whistleblowershould be allowed to choose the channel to which he/she wishes to turn (central or local). In this sense, groups of companies should carefully consider whether to forego the centralised procedure or to provide for a dual internal channel (one at the level of the subsidiary and the other at the level of the parent company), leaving the whistleblower the choice of which channel to activate.

In any case, as ANAC has not failed to point out, it is necessary that the channel set-up ensures that each institution only accesses reports falling within its competence, also in view of the allocation of the relevant responsibility.

VIII. What should the Manager do following receipt of a report?

In the light of the provisions of Article 5 of the Decree and the ANAC Guidelines, the tasks required for the effective management of the report can be broken down as follows:

1. within 7 days, forward an acknowledgement of receipt ofthe report to the reporter (this would appear to be optional);
2. assessment of the admissibility ofthe alert;
3. if the report is admissible, commencement of the internal investigation;
4. within 3 months of the transmission of the acknowledgement of receipt (or, in the absence of an acknowledgement, within 3 months of the expiry of the 7-day time limit from receipt of the report) forwarding a feedback to the reporter.

More specifically, the Guidelines clarify that the Manager is responsible for carrying out a preliminary assessment of the admissibility of the report.

By way of example only, the report is inadmissible for the following reasons:

– manifestly unfounded due to the absence of factual elements capable of justifying findings;

– ascertained generic content of the report;

– report accompanied by inappropriate or irrelevant documentation;

– production of only documentation in the absence of a report of unlawful conduct;

– existence of minor infringements.

As mentioned above, if the manager deems the report received to be admissible, he follows it up by carrying out investigative activities. Again by way of example, the investigative activity may involve interlocutions with the whistleblower(preferably through the IT platform), requests for documents, the involvement of other offices/departments and speaking with third persons.

The feedback provided to the whistleblowerat the outcome of the investigation activity may consist of:

– the communication of the filing with adequate justification, if elements of manifest unfoundedness of the report have come to light;

– the announcement of the opening of an internal investigation, possibly including the findings;

– the communication of any measures taken;

– the notification of the referral to a competent authority for further investigation.

In essence, therefore, unless the manager decides to file the report, the next step- as clarified by ANAC – is that of immediate interlocution with the bodies in charge within the institution and/or with the external institution or authority, each according to its competences.

This last clarification opens up considerations regarding the role and responsibilities of the manager.

On this point, the Guidelines provide indications that deserve to be quoted verbatim: ‘It is not for the person in charge of handling the report to ascertain individual responsibilities, whatever their nature, nor to carry out legitimacy or substantive checks on the acts and measures adopted by the reporting body/administration, under penalty of encroaching on the competences of the persons in charge of such matters within each body or administration or of the judiciary‘. 

With reference to the time limit of three months, indicated by the Decree, the Guidelines specify that the feedback provided within this deadline may be of an interlocutory nature. In such a case, a further communication will be required in which the Manager informs the whistleblowerof the action taken on the report and the outcome of the activity performed.

Outside the activity following the receipt of the report, it is crucial that the manager takes care to provide clear information on the channel, procedures and prerequisites for internal and external reporting.

IX. What are the privacy requirements to be fulfilled by entities?

Finally, there are numerous obligations to which – in accordance with EU Regulation 2016/679 (GDPR) and the Personal Data Protection Code – each institution must comply when receiving and handling whistleblowingreports.

These include:

– the designation of the manager, if internal, as an “Authorised Person” for the processing of personal data in the context of alert management;

– the appointment of the manager, if external, as “Data Processor” ofpersonal data in the context of the handling of alerts;

– the appointment of the IT platform provider (if any) as “Data Processor” of personal data in performance of the agreed services;

– in the case of shared resources for receiving and handling alerts, the conclusion of an agreement regulating the respective responsibilities;

– the delivery of a report to the whistleblowers and other persons involved in the process of handling the report;

– carrying out an impact assessment;

– the updating of the data processing register.

La criminalizzazione delle sanzioni internazionali e le recenti novità in ambito nazionale

Nell’ambito del quadro normativo internazionale di prevenzione e contrasto del terrorismo, della proliferazione delle armi di distruzione di massa e del loro finanziamento, le Nazioni Unite hanno imposto, attraverso le risoluzioni del proprio Consiglio di Sicurezza, misure di prevenzione (cosiddette “misure restrittive” o “sanzioni internazionali”) nei confronti di soggetti in qualunque modo collegati ad una rete terroristica o in attività di proliferazione delle armi di distruzione di massa. Le tipologie di “misure restrittive” adottate dal Consiglio di Sicurezza delle Nazioni Unite includono le sanzioni economiche, l’embargo sulle armi, le restrizioni finanziarie, i divieti di viaggio, la cessazione delle relazioni diplomatiche, sino ad azioni militari collettive. Tra le sanzioni internazionali previste dalle risoluzioni delle Nazioni Unite, particolare rilievo riveste la misura del congelamento di beni o fondi da applicarsi nei confronti di individui, gruppi o entità designati dal Consiglio di Sicurezza o dai suoi Comitati per le Sanzioni, istituiti dalle risoluzioni medesime. Le designazioni vengono da questi effettuate ove si ritenga che tali soggetti, sulla base di criteri di volta in volta stabiliti dalle risoluzioni, siano collegati in qualunque modo al terrorismo o al suo finanziamento, ovvero ad attività di proliferazione delle armi di distruzione di massa. L’imposizione di una misura di congelamento risulta, dunque, di particolare importanza: infatti, impedire a tali soggetti di utilizzare il sistema finanziario globale per promuovere le attività criminali è essenziale per la repressione del terrorismo internazionale e della proliferazione delle armi di distruzione di massa. Le designazioni effettuate dal Consiglio di Sicurezza o da un suo Comitato, predisposte sulla base delle indicazioni fornite dai singoli Paesi (proposte di designazione), sono vincolanti – in quanto adottate in base al Capitolo VII della Carta delle Nazioni Unite – ed obbligano gli Stati a procedere all’applicazione delle misure restrittive nei confronti dei soggetti inseriti nelle suddette liste (c.d. “Liste delle Nazioni Unite”). Inoltre, l’obbligo di dare attuazione alle risoluzioni del Consiglio di Sicurezza delle Nazioni Unite in materia di prevenzione e contrasto al terrorismo, al suo finanziamento e alla proliferazione delle armi di distruzione di massa, è, altresì, ribadito dalle Raccomandazioni 6 e 7 del GAFI (1).

I. Cosa sono le sanzioni internazionali?

Le sanzioni internazionali sono misure restrittive, ossia restrizioni o divieti, imposte dal diritto pubblico internazionale. Generalmente, la comunità internazionale impiega tali sanzioni come strumento di ritorsione avverso Paesi o regimi che si rendono protagonisti di gravi violazioni dei diritti umani e/o di attività aggressive che mettano in pericolo i rapporti pacifici tra gli stati. Non mancano però casi in cui l’adozione di tali misure restrittive sia invece motivata da ragioni strettamente politico-commerciali.

Lo scopo delle sanzioni internazionali è spesso quello indurre uno stato o un regime a modificare determinate politiche, sia interne che estere, ritenute in qualche modo lesive degli interessi del sanzionante. Le sanzioni internazionali sono generalmente imposte da stati sovrani o da organizzazioni internazionali e sono applicabili nei confronti di individui, gruppi o entità.

Indipendentemente dagli scopi e dai soggetti sanzionanti, i principali tipi di sanzioni internazionali possono essere classificati all’interno delle seguenti categorie:

– restrizioni finanziarie – restrizioni relative a risorse e strumenti finanziari appartenenti, posseduti, detenuti o controllati da un soggetto di diritto pubblico internazionale, una persona fisica o giuridica altri soggetti presenti nelle liste delle Nazioni Unite;

– restrizioni civili – restrizioni relative a tutti i tipi di transazioni che riguardano risorse economiche, nei casi in cui tali transazioni comportano un cambiamento di proprietà o lo scopo di tali transazioni è rendere disponibili fondi in contanti o altri tipi di risorse economiche a soggetti presenti nelle liste delle Nazioni Unite; restrizioni all’ingresso – divieto di ingresso e di soggiorno, o di attraversamento in transito, in determinati Paesi, di soggetti inclusi nelle liste delle Nazioni Unite;

– restrizioni alla circolazione di beni strategici e di altri beni – divieto di vendita, fornitura, trasferimento, esportazione di beni strategici o altri beni specificati nella legislazione in materia di sanzioni o alienazione di tali beni o accesso ad essi;

– restrizioni alla fornitura di servizi turistici – divieto di offrire servizi turistici per viaggiare verso aree specifiche;

– restrizioni alla fornitura di servizi relativi a specifiche sanzioni – divieto di offrire servizi relativi a armi, munizioni, veicoli militari, ed altro o servizi relativi ad attrezzature e software per il monitoraggio delle comunicazioni via Internet e telefoniche.

II. Quali sono i protagonisti del sistema delle sanzioni internazionali?

Tra i Paesi del “blocco occidentale” assumono particolare rilevanza i provvedimenti sanzionatori adottati dagli Stati Uniti d’America e dall’Unione Europea.

Per quanto attiene agli Stati Uniti, l’Office of Foreign Assets Control (“OFAC”) del Dipartimento del Tesoro è l’autorità competente che applica e amministra le sanzioni economiche commerciali che derivano dalle decisioni di politica estera dell’Amministrazione, al fine di tutelare la sicurezza nazionale verso determinati Paesi, terroristi, trafficanti di droga e/o soggetti coinvolti nel commercio di armi di distruzione di massa. A tal fine, L’OFAC gestisce la Specially designated nationals and blocked persons list (“SDN”).

In sintesi, gli strumenti sanzionatori a disposizione dell’OFAC si distinguono, in ragione dei soggetti a cui sono rivolti, tra:

-sanzioni primarie: sono sanzioni territoriali, destinate ad applicarsi a cittadini e aziende americane, a cui è imposto il divieto di intrattenere rapporti commerciali e/o finanziari con particolari soggetti riconducibili al Paese oggetto di sanzione. Tali sanzioni sono dunque oggetto di un enforcing diretto da parte delle autorità USA, essendo i soggetti passivi di tali divieti assoggettati direttamente alla giurisdizione USA;

–sanzioni secondarie: sono sanzioni extraterritoriali che possono essere imposte a soggetti non statunitensi, che intrattengano determinate attività commerciali con Paesi oggetto di restrizioni.

La componente extraterritoriale propria delle sanzioni secondarie, che si rivolge a soggetti non americani, prevede che qualsiasi società, ovunque essa abbia sede, debba rispettare le sanzioni americane quando vengono impiegati dollari statunitensi per eseguire le transazioni e quando le stesse aziende hanno succursali negli Stati Uniti o sono controllate da americani.

Trattandosi di divieti rivolti a soggetti sottratti alla giurisdizione USA, l’enforcing di tali misure avviene in maniera indiretta (ad esempio, bloccando il clearing sui dollari o il mantenimento di conti in dollari sul territorio americano, applicando restrizioni alle importazioni negli Stati Uniti o rifiutando i visti d’entrata negli Stati Uniti a dirigenti o azionisti di controllo, etc.).

La caratteristica della extraterritorialità rappresenta una delle differenze più marcate che distinguono il sistema sanzionatorio americano e quello europeo, posto che quest’ultimo si limita a bersagliare solo soggetti residenti all’interno dell’Unione.

Le misure restrittive dell’Unione Europea sono invece stabilite all’interno delle decisioni del Consiglio Europeo in materia di politica estera e di sicurezza comune (PESC), su proposta formulata dall’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza. Le misure proposte sono quindi esaminate e discusse dai pertinenti organi preparatori del Consiglio, che, successivamente, adotta la decisione all’unanimità. Se la decisione del Consiglio Europeo prevede il congelamento dei beni e/o altri tipi di sanzioni economiche e/o finanziarie, tali misure devono essere attuate mediante un regolamento del Consiglio. La decisione del Consiglio Europeo entra in vigore all’atto della pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Tutte le misure restrittive in vigore sono costantemente riesaminate per garantire che continuino a contribuire al conseguimento dell’obiettivo dichiarato. Le decisioni del Consiglio Europeo che impongono misure restrittive autonome dell’Unione Europea si applicano solitamente per un periodo di 12 mesi, mentre i corrispondenti regolamenti del Consiglio non hanno scadenza.

Affianco alle specifiche misure restrittive adottate sulla base della procedura sopra descritta, il regolamento (UE) n. 821 del 2021 merita una menzione particolare. Tale regolamento infatti, nel disciplinare l’esportazione in ogni sua forma dei prodotti c.d. “dual use”, ossia progettati e realizzati per scopi civili ma con una spiccata utilizzabilità in ambito militare, rappresenta il punto di riferimento tecnico-normativo di tutto l’impianto sanzionatorio architettato dall’Unione Europea in materia di blocchi alle esportazioni.

Per quanto riguarda invece l’ordinamento nazionale, le due principali fonti normative sono rappresentate dal D.lgs. n. 109 del 2007, che ha introdotto l’istituto del congelamento dei fondi e delle risorse economiche impiegate nell’ambito delle attività riconducibili al terrorismo e alla proliferazione nucleare, e dal D.lgs. 221 del 2017, che recepisce quanto previsto dalla normativa comunitaria in tema di: 1) limiti all’esportazione di prodotti “dual use”, 2) limiti al commercio di merci che potrebbero essere utilizzate per la pena di morte, per la tortura o per trattamenti e altre pene crudeli, 3) misure restrittive nei confronti di specifici Paesi terzi.

III. Quale è stato l’impatto del conflitto tra Russia e Ucraina sulle sanzioni internazionali?

Il conflitto Russo-Ucraino è uno scontro politico, diplomatico e militare iniziato nel 2014 e che nel febbraio 2022 è sfociato nell’invasione dell’esercito della Federazione Russa nei territori dell’Ucraina.

In risposta a tale aggressione sono state adottate dalla comunità internazionale una serie di sanzioni economiche, le quali comprendono misure restrittive mirate (sanzioni individuali), sanzioni economiche e misure in materia di visti.

Segnatamente, l’Unione Europea ha adottato un corpus di misure restrittive, inizialmente implementato nel 2014 all’epoca dell’annessione della Crimea e poi marcatamente inasprito in seguito all’invasione del 2022, allo scopo di contrastare gli sforzi bellici russi agendo su più fronti.

Sul piano delle limitazioni all’esportazione di risorse direttamente o indirettamente utili al complesso industriale-militare russo, fu implementato il regolamento (UE) n. 833 del 2014, poi successivamente aggiornato a più riprese, il quale prescrive una serie di divieti e restrizioni per gli Stati membri e per le persone fisiche e giuridiche residenti o operanti, anche in parte, all’interno del territorio dell’Unione, i quali possono essere così sintetizzati:

-il divieto di trasferire a qualsiasi titolo beni e tecnologie individuati in apposti elenchi o di dare supporto tecnico e/o finanziario per la realizzazione e la manutenzione di tali beni o tecnologie,in quanto strumentali allo sforzo bellico russo;

-l’introduzione di specifiche restrizioni al regime autorizzativo vigente ai sensi del regolamento n. 821 del 2021 in tema di esportazione di prodotti c.d. “dual use”;

-il divieto di fornire assistenza finanziaria alle iniziative russe;

-il divieto di importazione all’interno del territorio dell’Unione di specifiche categorie merceologiche di beni provenienti dalla Russia;

-il divieto di partecipare, consapevolmente e intenzionalmente, ad attività aventi l’obbiettivo o l’effetto di eludere i divieti previsti dal regolamento.

A tale articolato testo normativo, la cui continua evoluzione rende complessa l’individuazione del perimetro delle condotte lecite, anche in ragione delle numerose deroghe previste all’interno del medesimo, si affianca il regolamento (UE) n. 269 del 2014, il quale contiene due prescrizioni principali riferite ad una lista di persone fisiche e giuridiche ritenute coinvolte nello sforzo bellico russo, ossia:

-il congelamento di tutti i fondi e le risorse economiche detenute o controllate direttamente o per interposta persona dai soggetti listati;

-il divieto di mettere a diposizione fondi e risorse economiche ai soggetti listati sia direttamente che indirettamente.

L’assetto normativo sopra delineato rappresenta il framework attraverso il quale il Consiglio Europeo modula la risposta sanzionatoria all’aggressione russa, aggiungendo soggetti all’interno dell’elenco di cui al regolamento n. 269 del 2014 e categorie merceologiche nel novero di quelle disciplinate dal regolamento n. 833 del 2014.

Nell’ultimo anno il legislatore comunitario si è dimostrato particolarmente attivo nel predisporre e implementare pacchetti di sanzioni al fine di bersagliare i settori dell’economia russa ritenuti man mano più sensibili alla luce dello sviluppo del conflitto.

Se infatti i primi pacchetti di sanzioni avevano ad oggetto beni, servizi e soggetti strettamente legati allo sforzo bellico, con il passare dei mesi l’attenzione del legislatore si è spostata su vaste categorie di beni e servizi al fine di indebolire il tessuto industriale russo e di intaccare la qualità della vita della classe dirigente del Paese, arrivando a vietare l’esportazione di beni di lusso e l’erogazione dei più disparati servizi di consulenza.

IV. La criminalizzazione delle sanzioni internazionali e le recenti modifiche al D.LGS. N. 221/2017

Con tutta evidenza, l’efficacia delle misure restrittive previste dall’Unione dipende dalla circostanza che i soggetti passivi di tali sanzioni, ossia gli operatori economici residenti e/o operanti sull’territorio dell’Unione, adottino comportamenti conformi, rispettando i divieti e seguendo le varie procedure autorizzative previste all’interno dei vari pacchetti di sanzioni.

Conseguentemente, lo strumento del diritto penale è apparso sia al legislatore comunitario che a quello nazionale come l’unico in grado di tutelare i delicati interessi in gioco, contrastando i possibili incentivi economici che potrebbero indurre un operatore UE a violare i divieti a fronte di condizioni economiche particolarmente vantaggiose.

Sotto questo profilo, li Legislatore Comunitario si è attivato al fine di garantire l’uniformità del presidio sanzionatorio penale all’interno di tutte le giurisdizioni degli Stati membri, inserendo le violazioni delle misure restrittive dell’Unione nell’elenco dei c.d. “reati dell’UE” ai sensi dell’art. 83 paragrafo 1 del TFUE.

Il secondo passo di questa iniziativa di armonizzazione dovrebbe concretizzarsi nell’emanazione di una direttiva UE che definisca compiutamente la nozione di violazione penalmente rilevante delle misure restrittive adottate dall’Unione.

Sul versante interno, il Governo ha adottato il D.l. n. 69 del 2023 al fine di riorganizzare ed espandere il novero della fattispecie di reato a tutela dell’effettività delle sanzioni internazionali adottate dall’UE.

Tale decreto, la cui entrata in vigore risale al 14 giugno p.s. e la cui conversione in legge è attesa entro il 13 agosto p.v., introduce sostanziali modifiche al D.lgs. 221 del 2017 che, come accennato in introduzione, rappresenta la norma con cui il Legislatore nazionale ha dato piena attuazione ai regolamenti UE in materia di “dual use”, di contrasto alla pena di morte e ai trattamenti crudeli e di misure restrittive internazionali.

Le modifiche introdotte mirano a superare il preesistente impianto sanzionatorio, il quale presentava alcuni profili di criticità divenuti intollerabili alla luce del mutato contesto politico.

Se infatti le sanzioni minacciate dal decreto apparivano sicuramente aspre, la loro applicazione era limitata solo ad alcune specifiche ipotesi di violazione dei regolamenti, lasciando ampi vuoti di tutela.

Il preesistente quadro sanzionatorio era infatti strutturato come segue:

in merito alle violazioni delle disposizioni in materia di “dual use” era prevista: 1) la pena della reclusione da due a sei anni o della multa da 25.000 a 250.000 per l’esportazione di prodotti a duplice uso e/o la prestazione dei relativi servizi di intermediazione in assenza della necessaria autorizzazione o con autorizzazione ottenuta con informazioni false; 2) la pena della reclusione da uno a quattro anni o la multa da 15.000 a 150.000 euro per l’esportazione e/o l’intermediazione di beni a duplice uso in difformità rispetto agli obblighi previsti nell’autorizzazione concessa; 3) la pena dell’arresto fino a due anni o dell’ammenda da 15.000 a 90.000 per la violazione degli obblighi di segnalazione previsti al comma 7 dalla clausola “catch all” prevista dal medesimo decreto; 4) la sanzione amministrativa da 15 a 15.000 euro per ogni violazione degli obblighi di tenuta e comunicazione dei registri.

Relativamente alla violazione degli obblighi in tema di misure restrittive UE, invece, era prevista: 1) la pena della reclusione da due a sei anni per l’esportazione di beni lisati all’interno delle misure restrittive UE o la prestazione dei relativi servizi di intermediazione e di assistenza tecnica; 2) la pena della reclusione da due a sei anni e la multa da 25.000 a 250.000 euro per l’esportazione di beni o la prestazione di servizi ristretti ai sensi delle misure unionali in assenza di autorizzazione o sulla base di autorizzazione ottenuta fornendo informazioni false; 3) la pena della reclusione da uno a quattro anni o la multa da 15.000 a 150.000 euro per l’esportazione di beni o la prestazione di servizi ristretti violando gli obblighi previsti dall’autorizzazione concessa.

Tale sistema sanzionatorio, incentrato sul contrasto alla sola esportazione di beni e servizi oggetto di limitazioni, offriva un presidio penale “a macchia di leopardo”, a causa del ristretto novero di condotte oggetto di incriminazione.

Il legislatore è dunque intervenuto espandendo il perimetro delle fattispecie incriminatrici e rimodulando le cornici edittali.

Alla luce di tali modifiche, sono dunque penalmente rilevanti in ambito “dual use”:

-l’esportazione di prodotti a duplice uso, la prestazione dei relativi servizi di intermediazione e di assistenza tecnica in assenza della necessaria autorizzazione o con autorizzazione ottenuta con informazioni false, sanzionata con la pena della reclusione fino a sei anni e della multa da 25.000 a 250.000;

-l’esportazione, la prestazione di assistenza tecnica e l’intermediazione di beni a duplice uso in difformità rispetto agli obblighi previsti nell’autorizzazione concessa, sanzionata con la pena della reclusione fino a quattro anni e la multa da 15.000 a 150.000 euro;

-l’omessa segnalazione nei casi previsti dalle clausole “catch all” previste dal regolamento UE sul “dual use” e dal D.lgs 221 del 2017, sanzionata con la pena dell’arresto fino a due anni e dell’ammenda da 15.000 a 90.000 euro.

In sintesi, sono ora penalmente rilevanti anche tutte le forme di assistenza tecnica relative a prodotti “dual use” erogate in assenza o in violazione delle necessarie autorizzazioni. Inoltre, l’adempimento degli obblighi informativi previsti da tutte le clausole “catch all” è assistito da una sanzione penale.

Ancora più dirompenti risultano le modifiche in materia di beni e servizi listati all’interno delle misure restrittive unionali, che il legislatore ha deciso di presidiare punendo:

-l’esportazione, l’importazione e la prestazione di servizi di intermediazione e di assistenza tecnica relativamente a beni listati con la pena della reclusione fino a sei anni. Alla medesima pena soggiace chi partecipa a procedure per l’affidamento o esegue appalti pubblici, concessioni e ogni tipologia di contratto assimilabile ristretto ai sensi delle misure unionali;

-l’esportazione, l’importazione e la prestazione di servizi ristretti, nonché la partecipazione o l’esecuzione di appalti, concessioni e contratti assimilabili aventi ad oggetto i medesimi, in assenza dell’apposita autorizzazione o in forza di un’autorizzazione ottenuta sulla base di informazioni false con la pena della reclusione fino a sei anni e della multa da 25.000 a 250.000 euro;

-l’esportazione, l’importazione e la prestazione di servizi ristretti, nonché la partecipazione o l’esecuzione di appalti, concessioni e contratti assimilabili aventi ad oggetto i medesimi, in violazione degli obblighi previsti dall’autorizzazione concessa, con la pena della reclusione fino a 4 anni e della multa da 15.000 a 150.000 euro.

Il legislatore ha dunque voluto stigmatizzare anche le ipotesi di importazione di beni ristretti o listati, al fine di massimizzare l’efficacia di quelle misure restrittive mirate a stremare l’economia russa disturbando i flussi finanziari in entrata nel Paese.

A chiusura del rinnovato impianto sanzionatorio, il legislatore ha inoltre voluto prevedere la confisca obbligatoria, anche per equivalente e per interposta persona, dei beni strumentali alla commissione di tali reati e del prodotto o profitto del medesimo.

V. Quali sono le possibili strategie utilizzabili dalle imprese italiane per adeguarsi al nuovo scenario, affrontare le implicazioni doganali e ridurre al minimo gli impatti sull’operatività delle aziende coinvolte?

L’aggiornato quadro normativo fin qui tratteggiato rende ancora più marcata l’esigenza, per tutti gli operatori che intrattengono rapporti commerciali o finanziari con i Paesi oggetto di sanzioni, di dotarsi di robusti compliance program. Tali programmi di compliance potrebbero essere strutturati come Internal compliance program – ICP ai sensi del regolamento (UE) n. 821 del 2021, in quanto la normativa sui controlli alle esportazioni e le autorità incaricate del controllo e del rispetto delle previsioni sanzionatorie, raccomandano alle imprese l’adozione di specifici sistemi di politiche aziendali e procedure interne volte a introdurre presidi adeguati e proporzionati al rischio per la gestione delle tematiche relative alle esportazioni, oppure come modelli di organizzazione, gestione e controllo ai sensi del D.Lgs. n. 231/2001 anche sei i reati di cui al D.Lgs. n. 221/2017 non rientrerebbero tra i reati presupposto.

Il continuo ampliarsi delle categorie merceologiche oggetto di restrizioni, unito alla formulazione ampia e la gravità delle sanzioni ipotizzate dalle nuove norme incriminatrici, richiedono infatti un costante aggiornamento delle policy interne, posto che da un momento all’altro interi comparti merceologici possono diventare oggetto di restrizioni la cui violazione può avere conseguenze particolarmente afflittive.

Ai fini di mitigare tali rischi, un efficacie sistema di controllo interno dovrebbero necessariamente:

-implementare policy e procedure volte a disciplinare il processo di gestione delle attività di export control;

-identificare la controparte e il relativo beneficiario effettivo di ogni transazione avente ad oggetto beni “dual use”, listati o ristetti anche tramite l’utilizzo di adeguati tool informatici;

-garantire la corretta classificazione dei beni o dei servizi oggetto di ogni transazione alla luce della normativa applicabile;

-prevedere un controllo di corrispondenza interno tra le autorizzazioni concesse e le transazioni effettuate; prevedere specifiche clausole contrattuali finalizzate a garantire l’effettiva corrispondenza tra controparte contrattuale e beneficiario effettivo di ogni transazione avente ad oggetto beni “dual use”, listati o ristetti;

-prevedere un sistema di reportistica interna idoneo a garantire l’immediato adempimento degli obblighi di segnalazione previsti dalle clausole “catch all”;

-avere un adeguato programma formativo sia relativo alle policy e procedure interne sia relativo alla normativa di riferimento;

–svolgere periodiche attività di audit volte a verificare a testare il corretto funzionamento del sistema di controllo interno.

In sostanza, è fondamentale che il sistema di controllo interno si basi sui seguenti quesiti:

–Chi è la tua controparte commerciale/distributore? La tua controparte commerciale/distributore so trova in una blacklist? È stata verificata la proprietà e la catena di controllo? Chi è l’end-user?

–Quale tipologia di beni stai esportando? È richiesta un’autorizzazione per l’esportazione dei beni?

–Qual è la destinazione finale? In quale Paese il bene viene assemblato/utilizzato?

–Il prodotto rientra nella categoria dei beni dual-use? Sono state effettuate le verifiche?

–Per cosa verrà utilizzato il prodotto?

Domani | L’algoritmo commette un reato ma nessuno è colpevole

Il nostro Founding Partner Giuseppe Fornari e il nostro Senior Associate Nicolò Biligotti intervengono in materia di AI e diritto penale su un articolo del Domani.

APELIA Annual Conference – The Global Dimension of the Digital Revolution

Il nostro Senior Associate Nicolò Biligotti parteciperà alla quarta conferenza annuale APELIA (Asia Pacific Europe Law Institutes Alliance) con un intervento in materia di intelligenza artificiale e processo penale (artificial intelligence and criminal proceedings).

L’evento si terrà il 6-7 luglio presso l’Università Bocconi, con un panel di eccellenti relatori ad inquadrare le plurime sfide regolamentari connesse alla rivoluzione digitale globale.

Link per iscrizione nella locandina.

MediaLaws – La tutela dei minori nel cyberspazio

Un articolo del nostro Senior Associate Nicolò Biligotti è stato pubblicato sulla prestigiosa MediaLaws – Rivista dei Media.

“La tutela dei minori nel cyberspazio. Parental Control di Stato e libera circolazione dei contenuti: un delicato equilibrio”

Un’analisi sistematica delle Linee Guida AGCOM in materia di Parental Control sui dispositivi dei minorenni, alla luce dei principi giuridici che governano il cyberspazio.

Il nuovo Codice dei contratti pubblici: cause di esclusione e procedimento penale

Gli operatori economici che intendono partecipare a una procedura per l’aggiudicazione di un appalto sono tenuti a presentare il documento di gara unico europeo, un’autodichiarazione che attesta il possesso dei requisiti previsti dalla legge, tra cui l’insussistenza di cause di esclusione.

Nel Focus di marzo 2022, intitolato “Codice degli Appalti: gare pubbliche e diritto penale”, era stata analizzata la disciplina prevista dall’allora vigente art. 80 D.lgs. n. 50/2016, nel tentativo di rispondere ad alcuni quesiti che l’indeterminatezza del dato normativo aveva posto.

Proprio per far fronte a questa disciplina, spesso troppo incerta, lo scorso 31 marzo 2023 il Consiglio dei Ministri ha approvato il testo definitivo del D.lgs. n. 36/2023. Attraverso il nuovo Codice dei contratti pubblici, entrato in vigore lo scorso 1° aprile ed efficace dal 1° luglio 2023, si è inteso rioganizzare la normativa, seguendo quattro direttive: semplificazione, accelerazione, digitalizzazione e tutela dei lavoratori e delle imprese.

Tra le novità di maggiore rilievo, si inseriscono le nuove disposizioni contenute nel Titolo IV, Parte V, Libro II, relative ai requisiti di partecipazione e di selezione dei partecipanti alle gare pubbliche.

Ecco che, dinnanzi al testo definitivo del nuovo Codice, rivisto e integrato sulla scorta delle osservazioni formulate dalle Commissioni parlamentari e dalle associazioni di categoria, sembra opportuno porsi alcuni quesiti.

Quali sono i nuovi requisiti perché gli operatori economici siano considerati idonei a partecipare alle gare pubbliche? È riuscito il Legislatore con il D.lgs. n. 36/2023 a superare quelle incertezze che il vecchio Codice degli Appalti aveva sollevato?

A questi ed altri interrogativi si fornirà una risposta attraverso una disamina delle nuove cause di esclusione, ponendo particolare attenzione al grave illecito professionale, per giungere ad illustrare poi il rapporto tra il nuovo Codice dei contratti pubblici e il procedimento penale che vede coinvolto il soggetto che voglia partecipare ad una gara pubblica.

I. Quali sono le principali modifiche del Nuovo codice degli appalti in merito ai requisiti di partecipazione alle gare pubbliche?

Il Titolo IV, Parte V, Libro II, del D.lgs. n. 36/2023 (di seguito anche “Decreto” o “Codice dei Contratti Pubblici” o “Codice”) è dedicato all’individuazione dei requisiti di partecipazione e di selezione degli operatori economici che presentino domanda di partecipazione a una gara pubblica.

Da un lato il nuovo Codice ha apportato alcune importanti modifiche al novero dei soggetti cui si riferisce l’obbligo di presentazione del documento di gara unico europeo (di seguito anche solo “DGUE”), attraverso il quale l’operatore economico e le imprese ausiliarie dichiarano a) di essere in possesso dei requisiti di ordine generale di cui al Capo II, Titolo IV, Parte V, Libro II; b) di essere in possesso dei requisiti di ordine speciale di cui all’articolo 100 e, se richiesto, dei requisiti di cui all’articolo 103 del Capo III, Titolo IV, Parte V, Libro II.

Dall’altro, profondamente mutato, sia dal punto di vista formale sia da quello sostanziale, risulta il quadro delle cause di esclusione.

A differenza del vecchio art. 80 D.lgs. n. 50/2016, che racchiudeva indistintamente al proprio interno tutte le cause di esclusione, il vigente Codice – in un’ottica chiarificatrice e di riordino – suddivide tali condizioni in distinti articoli, a seconda del loro carattere.

In particolare, vengono disciplinate in separate disposizioni:

-le cause di esclusione “automatica”, ossia quelle che trovano applicazione in via diretta, privando la stazione appaltante di qualsivoglia margine valutativo circa l’integrazione dei presupposti per la partecipazione alla gara;

-le cause di esclusione “non automatica”, ossia quelle rispetto alle quali resta in capo alla stazione appaltante l’apprezzamento in merito alla sussistenza della causa di esclusione.

Per esigenze di completezza si evidenzia, sin da ora, che nella tassonomia delle cause di esclusione, accanto a queste prime due categorie, il Legislatore inserisce altresì le cause di esclusione dei partecipanti a raggruppamenti, regolamentate dall’art. 97 del Decreto.

Nel prosieguo del presente Focus, tuttavia, si rivolgerà lo sguardo alle prime due classificazioni, avendo particolare riguardo alla causa del grave illecito professionale.

II. Quali sono, oggi, i “soggetti rilevanti” che devono possedere i requisiti di partecipazione?

Ai sensi del combinato disposto dell’art. 65 e dell’art. 1, comma 1, lett. l), allegato I.1 del Codice, sono ammessi a partecipare alle procedure di affidamento dei contratti pubblici gli operatori economici intesi come “qualsiasi persona o ente, anche senza scopo di lucro, che, a prescindere dalla forma giuridica e dalla natura pubblica o privata, può offrire sul mercato, in forza del diritto nazionale, prestazioni di lavori, servizi o forniture corrispondenti a quelli oggetto della procedura di evidenza pubblica”, nonché gli operatori economici stabiliti in altri Stati membri, costituiti conformemente alla legislazione vigente nei rispettivi Paesi.

Nel compilare il DGUE, dunque, il legale rappresentante dell’operatore economico deve sapere quali sono i soggetti ai quali è richiesto di possedere i requisiti previsti dalla legge (c.d. “soggetti rilevanti”).  

L’elenco di questi è ora riportato nel nuovo art. 94, comma 3, D.lgs. n. 36/2023 (in merito alle cause di esclusione automatica derivanti da sentenze di condanna definitive o decreti penali di condanna divenuti irrevocabili o misure interdittive ex commi 1 e 2), richiamato anche dall’art. 98, comma 3, lett. g) e h) in tema di gravi illeciti professionali quali cause di esclusione non automatica.

Rispetto al previgente art. 80 D.lgs. n. 50/2016, alcune delle principali modifiche riguardano, a titolo esemplificativo:

-l’espresso riferimento, come primo soggetto rilevante, dell’“operatore economico ai sensi e nei termini di cui al decreto legislativo 8 giugno 2001, n. 231”, così dimostrando un particolare interesse rispetto all’universo della compliance aziendale;

-l’indicazione, per le società in nome collettivo, invece che del mero “socio”, come nella precedente formulazione, del “socio amministratore”;

-la previsione, in chiusura dell’elenco dei soggetti rilevanti, anche dell’“amministratore di fatto nelle ipotesi di cui alle lettere precedenti”, prediligendo, dunque, la sostanza alla forma.

Il comma 4 dell’art. 94 del Codice, inoltre, precisa ora che, nel caso in cui il socio sia una persona giuridica, “l’esclusione va disposta se la sentenza o il decreto ovvero la misura interdittiva sono stati emessi nei confronti degli amministratori di quest’ultima”.

Non è stato (ancora) chiarito, invece, se il riferimento ai “componenti degli organi con poteri di direzione o di vigilanza o dei soggetti muniti di poteri di rappresentanza, di direzione o di controllo” ex art. 94, comma 3, lettera f), sia riferibile anche ai membri dell’Organismo di Vigilanza di cui all’art. 6, comma 2, lett. b) D.lgs. n. 231/2001.

III. Quali sono le cause di esclusione automatica?

Le cause di esclusione “automatica”, oggi disciplinate dall’art. 94 del Codice, si dividono nelle seguenti categorie:

-quelle derivanti dalle condanne con sentenza definitiva o decreto penale di condanna divenuto irrevocabile per una serie di reati (tra cui, quelli associativi, molte fattispecie contro la Pubblica Amministrazione – dalla corruzione alla turbata libertà degli incanti, alla frode nelle pubbliche forniture – le false comunicazioni sociali, il riciclaggio, nonché “ogni altro delitto [diverso da quelli espressamente  indicati] da cui derivi, quale pena accessoria, l’incapacità di contrattare con la Pubblica Amministrazione”) (comma 1);

-quelle legate alla sussistenza di una causa di decadenza, di sospensione o divieto di cui all’art. 67 del Codice Antimafia, nonché del riscontro di un tentativo di infiltrazione mafiosa tendente a condizionare scelte d’impresa (comma 2);

-quelle connesse all’applicazione di sanzioni interdittive, come quelle di cui al D.lgs. n. 231/2001 e al D.lgs. n. 81/2008 (comma 5, lett. a);

-quelle relative al mancato rispetto dell’obbligo di certificazione in merito all’osservanza delle norme che disciplinano il diritto al lavoro dei disabili ex art. 17 L. n. 68/1999 (comma 5, lett. b);

-quelle che riguardano la mancata produzione, da parte di chi vi è tenuto, del rapporto sulla situazione del personale ai sensi del codice delle pari opportunità, nelle procedure afferenti agli investimenti pubblici finanziati, anche in parte, con le risorse previste dai regolamenti UE sullo strumento di sostegno tecnico e il dispositivo per la ripresa e la resilienza (comma 5, lett c);

-quelle relative alla sottoposizione a procedure di liquidazione, salvo che non siano stati adottati particolari provvedimenti come il concordato con continuità aziendale (comma 5, lett. d);

-quelle derivanti dall’iscrizione dell’operatore economico nel casellario informatico dell’ANAC (comma 5, lett. e ed f);

-quelle relative a violazioni gravi, definitivamente accertate, degli obblighi relativi al pagamento delle imposte e tasse o dei contributi previdenziali, salvo particolari casi di estinzione del debito prima della scadenza del termine di presentazione dell’offerta (comma 6).

IV. Se sussiste una delle cause di esclusione automatica, quindi, l’operatore economico non potrà mai più partecipare a una gara pubblica?

No.

Il divieto di aggiudicare non si applica più quando il reato viene depenalizzato o interviene la riabilitazione o, comunque, la dichiarazione di estinzione del reato o la revoca della condanna (art. 94, comma 7, del Decreto).

V. Quali sono le cause di esclusione non automatica?

Le cause di esclusione, che non determinano automaticamente l’esclusione dell’operatore economico dalla partecipazione alla procedura di gara, sono oggi elencate nell’art. 95 del Decreto.

Spetta, dunque, alla stazione appaltante valutare l’idoneità dell’operatore economico qualora accerti:

-gravi infrazioni delle norme in materia di salute e di sicurezza sul lavoro, nonché degli obblighi in ambito ambientale e sociale;

-conflitti di interesse, derivanti dalla partecipazione alla gara pubblica, non risolvibili in altro modo;

-distorsione della concorrenza derivante dal precedente coinvolgimento degli operatori economici nella preparazione della procedura d’appalto, non risolvibile con modalità meno intrusive;

-rilevanti indizi circa la sussistenza di un accordo tra gli operatori economici partecipanti alla gara sulle offerte;

-la commissione di“un illecito professionale grave, tale da rendere dubbia la sua integrità o affidabilità, dimostrato dalla stazione appaltante con mezzi adeguati”;

-violazioni, anche non definitivamente accertate, di obblighi previdenziali o fiscali, salvo particolari casi di estinzione del debito.

VI. In particolare: cosa si intende per “illecito professionale grave”?

Tra le cause di esclusione non automatica è meritevole di particolare attenzione quella individuata dall’art. 95, comma 1, lett. e) del Decreto.

Già prevista dal vecchio Codice, tale causa di esclusione aveva sollevato non poche criticità. Come l’ANAC non aveva mancato di sottolineare in passato, proprio l’indeterminatezza del dettato normativo, che caratterizzava la previgente disciplina, era stata alla base dell’insorgenza di numerose controversie in materia.

Recependo i moniti provenienti dall’Autorità stessa – e non solo – il nuovo Codice mira a fornire una disciplina più chiara e precisa, volta a circoscrivere in maniera adeguata l’ambito applicativo della disposizione.

Proprio in tale prospettiva, l’art. 98 del Codice cristallizza le condizioni che devono essere integrate affinché la commissione di un illecito professionale grave, compiuto dall’operatore economico offerente, possa assumere rilievo. A tal fine, dunque, devono sussistere:

–elementi sufficienti per l’integrazione (oggettiva) dell’illecito;

–l’idoneità dello stesso ad incidere sia sull’affidabilità sia sull’integrità dell’operatore;

–adeguati mezzi di prova.

In particolare, il Legislatore fornisce un elenco di elementi al verificarsi dei quali è possibile desumere la sussistenza dell’illecito.

A ciascuno di tali elementi, che trovano esplicita collocazione normativa nel comma 3 dell’art. 98, viene ascritto un differente mezzo di prova, individuato dal comma 6 del citato articolo. 

Questo innovativo modus operandi del Legislatore rappresenta la prova di un apprezzabile – seppur non integrale – recepimento dei reiterati moniti che sia l’ANAC sia la giurisprudenza indirizzavano al Legislatore. Per concludere con un esempio, l’illecito professionale grave si può desumere in caso di contestata o accertata commissione, da parte dell’operatore economico (ovvero dei soggetti di cui al comma 3 dell’articolo 94) di uno dei reati (consumati) previsti dal D.lgs. n. 231/2001 (art. 98, comma 3, lett. h, n. 5). In tale ipotesi, il Legislatore individua quale mezzo di prova adeguato “la sentenza di condanna definitiva, il decreto penale di condanna irrevocabile, la condanna non definitiva, i provvedimenti cautelari reali o personali, ove emessi dal giudice penale” (combinato disposto del comma 3, lett. h, n. 5 e del comma 6 lett. h).

VII. Possono, quindi, rilevare i procedimenti penali, anche se non è intervenuta condanna definitiva?

È evidente dall’esempio supra illustrato che si debba rispondere in maniera affermativa a tale quesito.

Questa risposta trova, altresì, conferma nella previsione di cui all’art. 98, comma 6, lett. g) del Decreto. Invero, tale disposizione prescrive che costituisca causa di esclusione “non automatica” il grave illecito professionale derivante dalla commissione di uno dei reati consumati o tentati ex comma 1 dell’articolo 94 (id est, reati particolarmente gravi), desumibile – tra le altre cose – dall’esercizio dell’azione penale da parte del Pubblico Ministero o, addirittura, da una sentenza non irrevocabile di patteggiamento ex art. 444 c.p.p.

Nondimeno, come evidenziato da diverse Organizzazioni, tra cui l’Unione delle Camere Penali Italiane, tali previsioni si porrebbero in contrasto con alcuni principi fondamentali che governano il diritto penale. In particolare, la normativa, così come oggi vigente, determinerebbe una violazione del principio di presunzione di non colpevolezza di cui all’art. 27, comma 2, Cost.

Secondo tali Autori, infatti, assegnare alla stazione appaltante la possibilità di escludere un operatore economico dalla partecipazione ad una gara pubblica, benché nei suoi confronti non sia intervenuta una pronuncia che ne accerti in via definitiva la responsabilità, costituirebbe una grave lesione del richiamato principio costituzionale.

Inoltre, il dettato dell’art. 98, comma 6, lett. g) del Decreto costituirebbe altresì frattura esposta con l’ordinamento processuale penale risultante dalla recente Riforma Cartabia (D.lgs. n. 150/2022) con riferimento alla sentenza di patteggiamento ex art. 444 c.p.p.

Quest’ultima, infatti, che – a seguito delle agitazioni delle associazioni di categoria – è stata espunta dal novero delle cause di esclusione automatica (prevista inizialmente sia dal previgente art. 80, comma 1, D.lgs. n. 50/2016, che dallo schema del Nuovo codice) rimane, come visto, quale mezzo di prova adeguato della gravità dell’illecito.

Il nuovo art. 445, comma 1 bis,  c.p.p., tuttavia, prevede espressamente che la sentenza di patteggiamento, anche quando è pronunciata dopo la chiusura del dibattimento, non abbia efficacia e non possa essere utilizzata a fini di prova nei giudizi civili, disciplinari, tributari o amministrativi, compreso il giudizio per l’accertamento della responsabilità contabile. Inoltre, la norma precisa che, se non sono applicate pene accessorie, non producono effetti le disposizioni di leggi diverse da quelle penali che equiparano la sentenza prevista dall’articolo 444, comma 2, alla sentenza di condanna.

È lapalissiana dunque la distonia venutasi a creare.

Nonostante tali persistenti problematiche, è doveroso, comunque, riconoscere un piccolo passo in avanti rispetto al passato.

Anzitutto, è opportuno prendere atto di come la nuova disciplina del Codice dei contratti pubblici non consenta più di subordinare la (possibile) esclusione dell’operatore economico dalla partecipazione alla gara pubblica alla mera pendenza di un procedimento penale, che veda coinvolto lo stesso.

Invero, come messo in luce attraverso i due esempi sopra citati, è sempre richiesto un vaglio di un certo approfondimento da parte dell’autorità giudiziaria.  

Peraltro, tale previsione si pone in linea, soggiacendo alla medesima ratio, con il nuovo art. 335-bis c.p.p., introdotto di recente dal D.lgs. n 150/2022, il quale prescrive che “la mera iscrizione nel registro di cui all’articolo 335 non [possa], da sola, determinare effetti pregiudizievoli di natura civile o amministrativa per la persona alla quale il reato è attribuito”.

In entrambe le discipline, dunque, ad essere precluso è l’utilizzo, in via esclusiva, del dato relativo alla sola iscrizione nel registro degli atti costituenti notizie di reato, che non può determinare effetti pregiudizievoli per il soggetto coinvolto; condizione comunque distinta da quella in cui sia stato adottato un provvedimento cautelare o una sentenza (pur non irrevocabile).

VIII. L’operatore economico può fare qualcosa per evitare l’esclusione?

Già il vecchio articolo 80, comma 7, D.lgs. n. 50/2016, prevedeva la possibilità che – in alcuni casi – l’esclusione dalla gara pubblica potesse venire meno nel caso in cui l’operatore economico avesse adottato misure di “self-cleaning”, ritenute sufficienti dalla stazione appaltante.

Con la locuzione “self-cleaning” si fa riferimento ad una forma di ravvedimento operoso, consistente in misure di riorganizzazione interna all’Ente, volte a dimostrare la sua concreta affidabilità, nonostante il pregresso illecito.

Il medesimo meccanismo è previsto dal nuovo Codice dei contratti pubblici, con una disciplina un po’ più articolata.

Più nel dettaglio, l’art. 96, comma 2, del Codice oggi prevede che l’operatore economico che si trovi in una delle situazioni di cui all’art. 94 – salvo quelle di cui al comma 6 – e all’art. 95 – eccetto quanto previsto dal comma 2 – non è escluso dalla partecipazione alla procedura di appalto, qualora siano rispettate due condizioni:

-il verificarsi delle condizioni di cui al comma 6 dell’art. 96;

-l’adempimento degli oneri di informazione e allegazione di cui ai commi 3 e 4 dell’art. 96 (relativi sempre all’adozione delle misure previste al successivo comma 6).

In particolare, il predetto comma 6 prevede che al fine di evitare l’esclusione l’operatore economico debba dimostrare “di aver risarcito o di essersi impegnato a risarcire qualunque danno causato dal reato o dall’illecito, di aver chiarito i fatti e le circostanze in modo globale collaborando attivamente con le autorità investigative e di aver adottato provvedimenti concreti di carattere tecnico, organizzativo e relativi al personale idonei a prevenire ulteriori reati o illeciti”.

Laddove la stazione appaltante, dunque, valuti le misure adottate sufficienti e tempestive, l’operatore economico, che pur versi in una delle condizioni che determinano l’esclusione, viene ammesso alla gara. Nel valutare l’adeguatezza e la tempestività, la stazione tiene in considerazione la gravità e le particolari circostanze del reato o dell’illecito, nonché la tempestività della loro assunzione.

Nondimeno, l’art. 96 non rappresenta l’unico articolo del Codice dedicato a tale procedura. In relazione all’ipotesi del grave illecito professionale, infatti, l’art. 98, comma 4, richiama il meccanismo del “self-cleaning”: in particolare, il Legislatore ha specificatamente prescritto che ai fini dell’apprezzamento della gravità dell’illecito si debbano considerare le eventuali modifiche intervenute nel frattempo all’organizzazione dell’impresa.

Ancora una volta, si deve certamente apprezzare lo sforzo del Legislatore che ha cercato di riorganizzare la normativa, seguendo il criterio della tassativizzazione e della tipizzazione. 

Tuttavia, anche la recente disciplina non è andata esente da dubbi e critiche.

A livello formale, invero, sorgono perplessità circa alcune locuzioni utilizzate dal Legislatore. Ad esempio, quando si deve ritenere soddisfatta la condizione di “aver chiarito i fatti e le circostanze in modo globale”? O ancora,cosa intende il Legislatore quando parla di collaborazione attiva con le autorità investigative?

Incertezze sulla nuova disciplina sono state, altresì, sollevate a livello sostanziale-sistematico. È stato osservato, infatti, come ai fini di evitare l’esclusione dalla procedura di gara, l’operatore economico potrebbe “sentirsi” costretto a modificare il proprio assetto organizzativo; ciò anche nel caso in cui l’Ente si ritenga ingiustamente incolpato e volesse difendere, nell’ambito del procedimento penale pendente, l’idoneità e l’efficace attuazione del proprio modello organizzativo.

L’adozione di misure di “self-cleaning”, tese ad evitare l’esclusione dell’operatore economico dalla procedura pubblica, potrebbe però avere dei risvolti negativi nell’ambito del giudizio penale: la modifica del proprio sistema organizzativo interno, invero, potrebbe essere strumentalmente ritenuto elemento indiziante da parte dell’Accusa.

Anche se non espressamente costrette ad adottare modifiche del proprio sistema organizzativo, però, il bivio dinanzi al quale si troveranno gli Enti che vorranno partecipare ad una gara pubblica, non sarà di facile soluzione e richiederà particolari accortezze per limitare al massimo conseguente negative nell’ambito del procedimento penale a loro carico.

IX. Considerazioni conclusive

Come evidenziato nel Focus pubblicato a marzo 2022 (“Codice degli Appalti: gare pubbliche e diritto penale”, p. 6), la scarna e confusa disciplina in materia di cause di esclusione aveva indotto sia la giurisprudenza amministrativa sia l’ANAC ad intervenire ripetutamente, nel tentativo di colmare le lacune della normativa interna.

Con il nuovo Codice dei contratti pubblici, il Legislatore ha cercato di normare in modo più preciso tale procedimento, ma permangono numerose questioni da risolvere.

Primo fra tutte l’ancoraggio del concetto della gravità dell’illecito professionale a parametri più rigorosi, che siano effettiva espressione di un attuale e concreto pregiudizio per l’affidabilità dell’operatore economico.

Ciò detto, come noto, la disciplina di nuova introduzione prevede dal 1° luglio 2023 l’abrogazione del vecchio codice degli appalti, ma anche la sua ultrattività nei procedimenti in corso, ex art. 226 del Codice.

Vi sarebbero, dunque, i tempi per eventuali aggiustamenti e/o chiarimenti delle questioni medio tempore sollevate, a vantaggio del corretto svolgimento dell’attività imprenditoriale e dell’efficacia e tempestività dei controlli da parte della pubblica amministrazione.

Whistleblowing: una nuova sfida per le imprese

Le criticità e le incertezze interpretative del Decreto Legislativo n. 24/2023 non agevolano le imprese, chiamate oggi a operare in conformità con la nuova normativa. Un panel di relatori di eccezione si confronterà sui temi di maggior attualità, fornendo indicazioni pratiche e spunti operativi per i prossimi adempimenti.

Il webinar, moderato dal nostro Enrico Di Fiorino, si terrà il prossimo 31 maggio, dalle ore 17.00 alle ore 19.00.

Interverranno:

Luca Antonetto (Partner Fieldfisher Italy)

Maurizio Arena (Commissione Antiriciclaggio Consiglio Nazionale Forense)

Mara Chilosi (Presidente AODV231)

Alessandro Del Ninno (Professore Ordinario Informatica Giuridica Luiss Guido Carli University)

Lorenzo Maria Di Vecchio (Legal, Ethics & Compliance Director EMEA Christian Dior Couture, Co-founder and Chairman My Governance Zucchetti)

Pasquale Grella (Of Counsel Fornari e Associati)

Cosimo Pacciolla (Head of Legal Risk Management & Integrated Compliance Q8 Kuwait Petroleum Italia S.p.A. –Presidente Osservatorio Italiano Whistleblowing)

Alessandro Paone (Partner LabLaw Studio Legale Rotondi & Partners)

Ciro Santoriello (Procura di Torino)

Marianna Vintiadis (CEO 36Brains – Advisory Board Member Transparency International Italia)

Per iscrizioni: https://us06web.zoom.us/webinar/register/WN_9pTFP8BlTHK-gu01Q9M3SA#/registration

Sole 24 Ore – Statista

Il Sole 24 Ore, con la ricerca promossa da Statista, conferma anche quest’anno Fornari e Associati tra le eccellenze del Diritto Penale.

Un sentito ringraziamento a tutti i clienti e i professionisti che ci hanno segnalato.

Diritto Bancario – L’efficacia dell’iscrizione nel registro degli indagati ai fini civili e amministrativi: i nuovi limiti e i riflessi sull’attività di impresa

Su Diritto Bancario la nostra partner Lorena Morrone ha condiviso alcune osservazioni in tema di iscrizione nel registro degli indagati, soffermandosi sui limiti introdotti dalla Riforma Cartabia con gli artt. 335 e 335-bis c.p.p. e sui conseguenti riflessi sull’attività di impresa.

***

1. Premessa

La mera pendenza di un procedimento penale è di per sé un grande turbamento per il soggetto sottoposto a indagine.

Le conseguenze delle investigazioni a proprio carico, però, possono facilmente esorbitare la sfera prettamente emotiva, intaccando quella reputazionale e, quindi, quella professionale; tutte inevitabilmente connesse tra loro.

Oltre all’uso spesso bulimico, da parte dei media, delle informazioni relative alle indagini condotte dalla Procura, invero, vi sono norme extrapenali che fanno discendere effetti pregiudizievoli nei confronti dei soggetti coinvolti in procedimenti penali.

Il dibattito sul punto è sempre stato molto accesso, trovandosi contrapposti, di volta in volta, da una parte, il diritto all’informazione, la libertà economica, la sicurezza pubblica, il buon andamento della Pubblica Amministrazione e, dall’altra, il singolo, particolarmente fragile e impotente nella fase preliminare delle investigazioni[1].

Ogni valutazione in merito non può che partire da due dati fondamentali: il nostro impianto costituzionale e i principi pattizi di carattere internazionale.

L’art. 27, comma 2, Cost., invero, prevede che «l’imputato non [sia] considerato colpevole sino alla condanna definitiva» e l’art. 6, comma 2, CEDU statuisce, coerentemente, che «ogni persona accusata di un reato è presunta innocente fino a quando la sua colpevolezza non sia stata legalmente accertata».

Tali disposizioni, chiare nel definire il termine ultimo per l’applicazione del divieto di assimilare l’imputato al colpevole (id est la chiusura definitiva del processo)[2], lasciano (rectius, lasciavano) alcune incertezze in merito al momento a partire dal quale la predetta regola di trattamento dovesse intendersi operativa e se lo fosse anche al di fuori del procedimento penale[3].

Nel prosieguo si analizzerà il nuovo impianto codicistico risultante dalle modifiche apportate dal d.lgs. n. 150/2022, come modificato dal d.l. n. 162/2022, convertito in l. n. 199/2022 e ss.mm.ii. (d’ora in poi anche solo «Riforma Cartabia»), che ha fornito risposte “positive” che si attendevano da tempo e che avranno sicuramente un impatto anche sulla vita delle imprese.

2. L’iscrizione nel registro degli indagati ex art. 335 c.p.p.

A fronte di una notizia di reato, la Procura della Repubblica ha il dovere di iscriverla immediatamente nell’apposito registro custodito presso l’ufficio e, non appena emergano indizi a carico delle persone cui il fatto è attribuito, dovrà annotare anche i relativi nominativi[4].

Vi sono due ordini di ragioni che depongono in favore della considerazione di tale ultima iscrizione quale momento a partire dal quale dovrà accordarsi tutela al soggetto sottoposto a indagine.

Come sopra visto, l’art. 27, comma 2, Cost. fa riferimento all’imputato, così presupponendo che l’autorità inquirente abbia già assunto le proprie determinazioni, formulando una contestazione formale nei confronti del soggetto sottoposto ad indagine.

A ben vedere, però, sarebbe del tutto illogico accordare tutela a un soggetto raggiunto da un determinato addebito e non farlo nei confronti di colui il quale magari è stato iscritto perché apparentemente coinvolto nei fatti, ma al primo accertamento si rivela estraneo e, conseguentemente, la sua posizione viene immediatamente archiviata.

Inoltre, occorre considerare come la fase delle indagini preliminari sia spesso lunga e travagliata, potenzialmente intervallata dal compimento di atti irripetibili che ne differiscono inevitabilmente la conclusione.

In questa fase, i contorni fattuali della notizia di reato sono, nella maggior parte dei casi, fisiologicamente fluidi[5] e opachi; la Procura cerca, quindi, di acquisire il maggior numero di informazioni, che le consentano di valutare se sia necessario o meno delineare un capo di accusa.

In questa fase, l’indagato potrebbe non aver voce per mesi, meritando, dunque, quantomeno, di non essere considerato colpevole per la “semplice” iscrizione del suo nominativo nel registro degli indagati.

Proprio al fine di evitare semplificazioni improprie, la Riforma Cartabia ha provveduto a meglio precisare i presupposti oggettivi della notizia di reato – quale discrimine rispetto all’iscrizione a modello 45 (registro degli atti non costituenti notizia di reato) – e quelli soggettivi – capaci di differenziare i casi meritevoli di qualificazione come modello 21 (a carico di noti) da quelli a modello 44 (a carico di ignoti).

Con riferimento ai primi, il nuovo art. 335, comma 1, c.p.p. precisa che la notizia di reato deve «contene[re] la rappresentazione di un fatto, determinato e non inverosimile, riconducibile in ipotesi a una fattispecie incriminatrice. Nell’iscrizione sono indicate, ove risultino, le circostanze di tempo e di luogo del fatto».

Se i requisiti oggettivi della notizia di reato fanno presumere l’assenza di una pre-indagine a monte dell’iscrizione, il presupposto soggettivo, invece, sembra fare riferimento a uno “standard probatorio” al di sotto del quale il nome non può essere iscritto.

Il comma 2 del nuovo art. 335, infatti, precisa che «il pubblico ministero provvede all’iscrizione del nome della persona alla quale il reato è attribuito non appena risultino, contestualmente all’iscrizione della notizia di reato o successivamente, indizi[6] a suo carico».

Perché vi sia un obbligo di iscrizione occorrerebbe «[…] che gli indizi siano dotati dei caratteri di certezza storica, concordanza e precisione, ma non anche della “gravità” (necessaria a legittimare altro tipo di richieste e attività processuali)»[7].

L’approccio più cauto con riferimento all’iscrizione soggettiva non stupisce se si considera la gravità dei suoi effetti sull’individuo (e sull’eventuale impresa che rappresenta), ove eccessivamente precoce[8].

Ci si è chiesti, nondimeno, se la previsione di presupposti più stringenti per l’iscrizione soggettiva non possa sortire l’effetto indesiderato di creare un’ombra sulla presunzione di innocenza[9]: si è ritenuto, però, preferibile evitare ab origine iscrizioni precoci e indiscriminate, «anche perché palese sarebbe l’irragionevolezza della soluzione opposta, consistente […] nell’iscrivere sulla base di presupposti evanescenti in ragione di un’asserita tutela della presunzione di innocenza, che per contro risulterebbe compromessa».

Tale conclusione, tuttavia, potrebbe tradire il timore – probabilmente fondato, come si vedrà nel prosieguo – che non vi siano, ad oggi, sufficienti garanzie sull’effettivo rispetto del principio di non colpevolezza in campo extrapenale.

3. Il nuovo art. 335-bis c.p.p.

Il nuovo art. 335-bis c.p.p. prevede che «la mera iscrizione nel registro [degli indagati] di cui all’articolo 335 non [possa], da sola, determinare effetti pregiudizievoli di natura civile o amministrativa per la persona alla quale il reato è attribuito».

Ad essere precluso, dunque, deve essere l’utilizzo, in via esclusiva, del solo dato relativo all’iscrizione, che ex se non può essere posto a fondamento della motivazione di provvedimenti o, in ogni caso, di determinazioni pregiudizievoli per il cittadino.

Si tratta, senz’alcun dubbio, di uno dei profili più importanti e innovativi della riforma, che, infatti, vi ha dedicato un apposito articolo del codice di rito.

La disposizione, sotto la rubrica «Limiti all’efficacia dell’iscrizione ai fini civili e amministrativi», è stata introdotta dall’art. 15, comma 1, lett. b), della Riforma Cartabia, in attuazione di quanto statuito dalla delega legislativa di cui all’art. 1, comma 9, lett. s), l. n. 134/2021[10].

A tal proposito, la relazione illustrativa alla Riforma in commento riconosce che «il criterio di delega, che riprende testualmente quello indicato alla lettera l-quater) dell’articolato proposto dalla Commissione Lattanzi, risulta chiaramente finalizzato a circoscrivere all’ambito del procedimento penale la rilevanza della valutazione compiuta dal P.M. al momento dell’iscrizione della persona sottoposta a indagini nel registro di cui all’art. 335 del codice».

Occorre rilevare, tuttavia, un cambio di rotta rispetto a quanto si legge nella Relazione predisposta dalla citata Commissione Lattanzi[11]: il legislatore delegato, invero, avrebbe dovuto «rived[ere], rimuovendole, le ipotesi normative in cui dalla mera iscrizione nel registro delle notizie di reato discenda un effetto pregiudizievole per l’interessato».

In fase di attuazione del criterio di delega, invece, si è dovuto prendere atto di come, nonostante la dichiarata intenzione “soppressiva” della Commissione, la delega non si fosse spinta ad autorizzare interventi di tipo abrogativo. D’altronde, estremamente gravoso – se non difficilmente attuabile – sarebbe stato censire esaustivamente tutte le norme da abrogare; inoltre, l’intervento ablativo, relativo a norme che fanno riferimento alla sola posizione dell’«indagato» o della «persona sottoposta a procedimento penale»[12], avrebbe finito con impedire effetti pregiudizievoli in relazione a valutazioni ben più pregnanti (come l’applicazione di una misura cautelare personale), esorbitando lo stesso ambito di operatività delineato dalla delega.

Pertanto, accanto all’art. 335-bis c.p.p. è stato altresì introdotta una norma di interpretazione autentica, l’art. 110-quater disp. att. (rubricato «Riferimenti alla persona iscritta nel registro delle notizie di reato contenuti nelle disposizioni civili e amministrative»), secondo cui «le disposizioni da cui derivano effetti pregiudizievoli in sede civile o amministrativa per la persona sottoposta a indagini devono intendersi nel senso che esse si applicano comunque alla persona nei cui confronti è stata emessa una misura cautelare personale o è stata esercitata l’azione penale».

Sostanzialmente la norma opera una generale sostituzione del riferimento alla mera sottoposizione a indagini, con passaggi procedimentali che presuppongono un vaglio più approfondito da parte dell’autorità, come l’applicazione di una misura cautelare personale o l’avvenuto esercizio dell’azione penale (così conformandosi, come si vedrà nel prosieguo, anche alla giurisprudenza amministrativa e costituzionale formatasi sul punto).

Nel caso in cui le predette ipotesi non si verifichino, tuttavia, l’autorità amministrativa o civile avrà comunque la possibilità di valorizzare qualunque altro elemento, purché non basi il proprio convincimento sulla mera iscrizione formale del nome della persona nel registro degli indagati.

In assenza di una disciplina transitoria, la norma in esame sarebbe immediatamente applicabile e, salvo non voler rischiare di introdurre una irragionevole disparità di trattamento tra posizioni identiche, lo sarebbe anche nei confronti delle iscrizioni già effettuate al 31 dicembre 2022.

La novità sinora analizzate non sono accompagnate, tuttavia, dalla previsione di alcuna sanzione per l’autorità civile e/o amministrativa che ponga in essere violazioni, con tutto ciò che ne consegue in termini di effettività delle norme di nuova introduzione.

4. I riflessi sulle imprese: qualche esempio pratico

Le modifiche normative sinora descritte dispiegheranno inevitabilmente i loro effetti anche nella vita delle imprese.

Uno dei settori che vengono con più immediatezza alla mente è quello relativo agli appalti pubblici, che hanno visto l’entrata in vigore del nuovo codice il 1° aprile 2023[13].

Dalla lettura congiunta delle due disposizioni sopra citate, l’art. 335-bis c.p.p. e l’art. 110-quater disp. att. c.p.p., invero, si dovrebbe desumere il divieto di escludere dai concorsi o dalle gare di appalto determinati soggetti solo sulla base del loro coinvolgimento in un procedimento penale.

Fino alla vigenza del vecchio d.lgs. n. 50/2016, il relativo art. 80 aveva creato non pochi dibattiti sul punto.

In particolare, oltre ai casi di esclusione automatica di cui al comma 1[14], il comma 5, lettera c), prevedeva altresì l’esclusione dell’operatore che «si è reso colpevole di gravi illeciti professionali, tali da rendere dubbia la sua integrità o affidabilità», rimettendo alla discrezionalità della stazione appaltante la relativa valutazione.

A fronte di questo dato normativo così generico, non erano mancate decisioni come quella del Consiglio di Stato, sez. VI, n. 5377/2013, che avevano valorizzato il termine “procedimento penale” contenuto nel bando di gara, ritenendo sufficiente a fondare l’esclusione dell’offerente la mera pendenza della fase delle indagini preliminari (come noto, invero, a partire dal momento in cui viene formulata l’imputazione dalla Pubblica Accusa, si parla di “processo penale”).

Sul punto, le linee guida n. 6 di ANAC del 2016[15] avevano tentato – con un documento il più possibile organico – di offrire indicazioni operative nell’ottica di assicurare l’adozione di comportamenti omogenei da parte delle stazioni appaltanti e garantire certezza agli operatori economici[16].

La giurisprudenza amministrativa, però, ha assunto decisioni di ogni natura, in alcuni casi pur rilevando la non decisività delle linee guida ANAC[17].

Uno degli elementi di discrimine – ai fini della rilevanza del procedimento pendente – sembrava essere quanto meno l’esistenza di un vaglio giudiziario sull’accusa mossa dal Pubblico Ministero[18]: ad esempio, l’applicazione di misura cautelare da parte del GIP[19], l’applicazione di un sequestro da parte del giudice[20], l’accoglimento da parte del GIP della richiesta di giudizio immediato, che, ai sensi dell’art. 453 c.p.p., presuppone che le prove a carico della persona sottoposta alle indagini siano ritenute “evidenti”[21].

Un altro elemento valorizzato dagli approdi della giurisprudenza era quello temporale: richiamando il principio generale di proporzionalità di derivazione unionale di cui all’art. 57, par. 7, della direttiva 2014/24/UE, quindi, la causa di esclusione non poteva essere fatta valere decorsi tre anni dal fatto che ha originato la condanna non definitiva (e, dunque, a fortiori, non poteva esserlo in assenza di un provvedimento negativo emesso dall’autorità)[22].

Tale orientamento era stato criticato da chi riteneva che i tre anni avrebbero dovuto essere calcolati dal momento dell’emissione della sentenza di condanna non definitiva (e non dal giorno dell’asserita commissione del fatto di reato).

Il nuovo codice di procedura penale, unitamente al nuovo codice degli appalti[23], tuttavia, dovrebbero contribuire a porre fine a questa incertezza.

Il nuovo codice degli appalti, in vigore dal 1° luglio 2023 ed efficace dal 1° luglio 2023, prevede agli artt. 94 e 95 dei casi di esclusione automatica (ad esempio, la condanna con sentenza definitiva o decreto penale di condanna divenuto irrevocabile, per determinati reati individuati dalla norma; o la sanzione interdittiva del divieto di contrarre con la pubblica amministrazione di cui all’art. 9, comma 2, lett. c), d.lgs. n. 231/2001) e dei casi di esclusione non automatica (tra cui, quello in cui l’offerente abbia commesso «un illecito professionale grave, tale da rendere dubbia la sua integrità o affidabilità, dimostrato dalla stazione appaltante con mezzi adeguati», come definiti dal successivo art. 98).

L’articolo 98 del nuovo codice degli appalti – evoluzione dell’antenato art. 80, comma 5 – disciplina l’illecito professionale grave, prevedendo più nel dettaglio rispetto al passato le condizioni e i casi che possono integrare una causa di esclusione non automatica dalla procedura di appalto[24].

In nessun punto della nuova dettagliata disposizione normativa si fa riferimento alla mera pendenza del procedimento penale a carico dell’operatore economico (o dei soggetti di cui al comma 3 dell’art. 94)[25].

Il comma 2 prevede tre condizioni concorrenti affinché si possa configurare tale illecito: (i) «elementi sufficienti ad integrare il grave illecito professionale»; (ii) «l’idoneità del grave illecito professionale ad incidere sull’affidabilità e integrità dell’operatore»; (iii) «la presenza di adeguati mezzi di prova».

Tra i mezzi di prova adeguati, elencati al comma 6, compare l’esercizio dell’azione penale o eventuali provvedimenti cautelari reali o personali emessi dal giudice penale, ma non l’iscrizione di un nominativo nel registro degli indagati[26].

L’ordinamento extrapenale, sembra così conformarsi alla regola di trattamento propugnata dalla Commissione Lattanzi e trasposta nel nuovo art. 335-bis c.p.p.

Un altro esempio degli effetti della nuova impostazione è la recente dichiarazione di illegittimità costituzionale dell’allegato 2, punto C, n. 3), lett. a), d.lgs. n. 20/2018, recante «Disposizioni di armonizzazione e razionalizzazione della normativa sui controlli in materia di produzione agricola e agroalimentare biologica, predisposto ai sensi dell’articolo 5, comma 2, lett. g), della legge 28 luglio 2016, n. 154, e ai sensi dell’articolo 2 della legge 12 agosto 2016, n. 170», limitatamente alle parole «o essere interessati da procedimenti penali in corso»: la norma extrapenale dichiarata incostituzionale, infatti, prevedeva che il diritto di impiego negli Organismi di controllo in materia di produzione agricola e agroalimentare biologica, scattasse, «in correlazione con taluni delitti, sin dal momento in cui la persona è interessata dal (ossia sottoposta al) procedimento penale, e cioè sin dalla fase iniziale dell’accertamento penale, allorché il P.M., ricevuta la notizia di reato, proceda all’iscrizione, che non postula alcun riscontro della notizia medesima, ma, in quanto atto a tutela dell’indagato, costituisce essa stessa il presupposto per procedere alla verifica della sua fondatezza, viola l’art. 3 Cost.»[27].

In altre parole, le misure extrapenali limitative possono scattare quando l’accertamento penale ha raggiunto un certo stadio di certezza, o, quantomeno, di rilevante probabilità, che è di sicuro assente al momento dell’iscrizione della persona nel registro delle notizie di reato (ma anche in seguito con la notifica dell’avviso all’indagato della conclusione delle indagini preliminari ex art. 415-bis c.p.p., sovente il primo momento in cui l’indagato interloquisce con l’autorità).

Da due punti di vista differenti (l’esclusione da una gara pubblica e le politiche aziendali di impiego) gli esempi sinora citati consentono di apprezzare l’impatto che la nuova disciplina potrà avere sulle imprese.

5. Conclusioni

A partire dal momento dell’iscrizione del nominativo di un soggetto all’interno del registro delle notizie di reato custodito dalla Procura della Repubblica entrano in gioco le esigenze di tutela dell’individuo (e delle società che rappresenta) da presunzioni di colpevolezza che non trovano spazio nel nostro ordinamento.

Innanzitutto la Riforma Cartabia, nel tentativo di evitare iscrizioni frettolose e indiscriminate – così soddisfacendo le esigenze di garanzia, certezza e uniformità di cui alla delega ricevuta – ha delineato presupposti oggettivi e soggettivi più stringenti all’interno dell’art. 335 c.p.p.[28]

La sussistenza di indizi a carico della persona sottoposta a indagine, che ne giustifica la predetta iscrizione, però, non deve ritenersi sufficiente per determinare, da sola, effetti pregiudizievoli ulteriori.

Questo principio merita di essere esteso anche al di fuori del procedimento penale per un duplice ordine di ragioni.

È innanzitutto illogico considerare non colpevole un determinato soggetto nel corso del procedimento penale (sede dell’accertamento della sua eventuale responsabilità) e poi accettare che, però, lo stesso soggetto possa risultare parallelamente bersaglio di provvedimenti restrittivi o limitativi in altri contesti.

È poi necessario tutelare la coerenza e l’uniformità del nostro ordinamento giuridico, complessivamente inteso, al fine di evitare antinomie e contraddizioni, in un contesto di strette interconnessioni e continue sovrapposizioni tra le varie discipline.

La nuova disposizione di cui all’art. 335-bis c.p.p., pertanto, rappresenta un passo in avanti fondamentale in termini di civiltà e di modernità giuridica, contribuendo a rafforzare la coerenza e la ragionevolezza dell’intero sistema.

Le norme che si discostano dal sistema in commento potranno adesso venire interpretate alla luce del disposto dell’art. 110-quater disp. att. c.p.p., senza la necessità di nuovi interventi della Corte Costituzionale, come quello sopra esaminato.

Accanto alla codificazione di tali principi, non vi sono, però, sanzioni specifiche in caso di loro violazione da parte di autorità civili e amministrative: dovrà essere, quindi, verosimilmente ancora una volta l’autorità giudiziaria, di volta in volta interessata, a rimettere ordine.

[1] Sull’importanza della ragionevolezza delle disposizioni di legge e del bilanciamento di interessi, si veda C. Cost. n. 152/2022, di cui si dirà anche nel prosieguo, che richiama a sua volta Corte Cost. sentt. nn. 239 del 1996, 173 del 1997, 78 del 2005, 236 del 2015, 36 del 2019.

[2] P.P. Paulesu, La presunzione di non colpevolezza dell’imputato, 2009.

[3] Art. 335-bis– Limiti all’efficacia dell’iscrizione ai fini civili e amministrativi, in Codice Commentato, a cura di G. Spangher e A. Giarda, 2020, 1551.

[4] Come si desume dal tenore letterale dell’art. 109 disp. att. (rubricato «Ricezione della notizia di reato»), si tratta di un’attività valutativa che comporta l’esercizio di una discrezionalità tecnica da parte del Pubblico Ministero. Si veda, a tal proposito, la Circolare del Ministero della Giustizia del 11 novembre 2016, la Circolare della Procura di Roma del 2 ottobre 2017 (c.d. Circolare Pignatone) e gli Orientamenti della Procura Generale presso la Corte di Cassazione del 3 giugno 2019 in merito all’osservanza delle norme sulle iscrizioni. Inoltre, la Procura Generale presso la Corte di Cassazione il 19 gennaio 2023 ha emanato Primi orientamenti in tema di applicazione del d.lgs. n. 150 del 2022: iscrizione delle notizie di reato; conclusione delle indagini preliminari; avocazione e controlli da parte del giudice, che sostituiscono gli Orientamenti in tema di iscrizione delle notizie di reato del 3 giugno 2019 e quelli in tema di avocazione del 24 aprile 2018 integrati il 3 giugno 2019, reperibili al seguente url: https://www.procuracassazione.it/procuragenerale-resources/resources/cms/documents/Orientamenti_in_tema_di_applicazione_del_d.lgs_150_2022.pdf

[5] Cass. pen., sez. un., n. 40538/2009: «ricorrono, nella struttura e nella disciplina dell’atto di iscrizione, elementi di inevitabile fluidità, che rendono lo scrutinio dei suoi presupposti meno meccanico di quanto i predicati di doverosità presenti nella disposizione dell’art. 335 potrebbero, prima facie, suggerire».

[6] Cfr., ex multis, Cass. pen., sez. II, n. 14704/2020, secondo cui: «in tema di valutazione probatoria, la differenza tra prova e indizio è costituita dal fatto che mentre la prima, in quanto si ricollega direttamente al fatto storico oggetto di accertamento, è idonea ad attribuire carattere di certezza allo stesso, l’indizio, isolatamente considerato, fornisce solo una traccia indicativa di un percorso logico argomentativo, suscettibile di avere diversi possibili scenari, e, come tale, non può mai essere qualificato in termini di certezza con riferimento al fatto da provare».

[7] Cfr. Procura Generale presso la Corte di Cassazione, Primi orientamenti in tema di applicazione del d.lgs. n. 150 del 2022: iscrizione delle notizie di reato; conclusione delle indagini preliminari; avocazione e controlli da parte del giudice, 9,  i quali ricordano, altresì, che «sulla necessità di un grado determinato di consistenza indiziaria pare invece collocarsi il parere del CSM del 22 settembre 2022 sullo schema di decreto legislativo recante attuazione della Legge n. 134/2021, secondo cui l’iscrizione del nome della persona alla quale il reato è attribuito si impone quando gli elementi a carico della stessa abbiano un grado di consistenza tale da attingere la soglia della probabilità di fondatezza dell’accusa».

[8] Relazione illustrativa al Decreto legislativo in attuazione della legge 27 settembre 2021 n. 134 recante delega al Governo per l’efficienza del processo penale nonché in materia di giustizia riparativa e disposizioni per la celere definizione dei procedimenti giudiziari, 79: «viene altresì perseguito l’obiettivo di sottrarre il momento delicato di iscrizione della notizia di reato – intesa nella sua componente oggettiva e soggettiva – a un duplice rischio: da un lato, quello di considerare tale atto un mero adempimento formale, con conseguente possibile iscrizione di notizie di reato generiche (che dunque propriamente tali non sono) e di soggetti raggiunti da meri sospetti, con possibili effetti pregiudizievoli nei loro confronti; dall’altro, il rischio speculare di richiedere, ai fini dell’iscrizione, requisiti troppo stringenti, con la conseguenza di ritardare sia il termine di decorrenza delle indagini, sia l’attivazione delle garanzie riconosciute alla persona sottoposta alle indagini».

[9] C. Conti, L’iscrizione della notizia di reato nel prisma dell’azione: nuovi requisiti e finestre di giurisdizione, in Diritto Penale e Processo, n. 1, 1° gennaio 2023, n. 142.

[10] Art. 1, comma 9, lett. s) della legge delega: «prevedere che la mera iscrizione del nome della persona nel registro di cui all’articolo 335 di procedura penale non determini effetti pregiudizievoli sul piano civile e amministrativo».

La prima formulazione (identica) del limite all’efficacia dell’iscrizione nel registro degli indagati si rinviene nell’art. 3, comma 1, lett. l quater), D.d.l. A.C. 2435, così come modificato a seguito della proposta elaborata dalla Commissione Lattanzi: 2.6. Indagini preliminari e udienza preliminare (art. 3 D.d.l. A.C. 2435, riformulazione) – Art. 3, 16, «l-quater) prevedere che la mera iscrizione del nominativo della persona nel registro delle notizie di reato non determini effetti pregiudizievoli sul piano civile e amministrativo».

[11] Commissione di studio per elaborare proposte di riforma in materia di processo e sistema sanzionatorio penale, nonché in materia di prescrizione del reato, attraverso la formulazione di emendamenti al Disegno di legge A.C. 2435, recante Delega al Governo per l’efficienza del processo penale e disposizioni per la celere definizione dei procedimenti giudiziari pendenti presso le corti d’appello (D.M. 16 marzo 2021 – Pres. Dott. Giorgio Lattanzi, Vice Pres. Dott. Ernesto Lupo e Prof. Gian Luigi Gatta), Relazione finale e proposte di emendamenti al D.d.l. A.C. 2435, 24 maggio 2021, 19.

[12] Cfr., ad esempio, l’art. 463-bis c.c. in materia di successione.

[13] D.lgs. n. 36/2023, codice dei contratti pubblici in attuazione dell’articolo 1 della legge 21 giugno 2022, n. 78, recante delega al Governo in materia di contratti pubblici.

[14] L’art. 80, comma 1, prevedeva l’esclusione dell’operatore dalla procedura di gara in presenza di «condanna con sentenza definitiva o decreto penale di condanna divenuto irrevocabile o sentenza di applicazione della pena su richiesta ai sensi dell’art. 444 c.p.p.», in relazione ad un catalogo di reati determinati.

[15] Linee guida n° 6: Indicazione dei mezzi di prova adeguati e delle carenze nell’esecuzione di un precedente contratto di appalto che possano considerarsi significative per la dimostrazione delle circostanze di esclusione di cui all’articolo 80, comma 5, lettere c), c-bis), c-ter) e c-quater) del codice dei contratti pubblici reperibili al seguente url: https://www.anticorruzione.it/documents/91439/2743387/Documento+di+consultazione+-+Linee+Guida+n.+6.pdf/072b2072-944a-740e-d332-05ed19cef159?t=1642494926027

[16] Per esempio, ANAC estendeva l’operatività delle cause di esclusione dalla gara anche alle condanne non definitive per i reati di cui all’art. 80, comma 1, nonché per ulteriori reati espressamente menzionati dalle linee guida medesime (come, a titolo esemplificativo, i reati tributari o quelli fallimentari).

[17] Cfr. C.d.S., n. 1367/2019, in un caso in cui è stata attribuita rilevanza all’intervenuta applicazione di una misura cautelare in fase di indagini.

[18] Per tali motivi, conclude TAR Milano, n. 1120/2019: «ritiene il Collegio che il mero richiamo alla richiesta di rinvio a giudizio del pubblico ministero, posta a fondamento del provvedimento impugnato, in assenza di ulteriori ed autonome valutazioni da parte della stazione appaltante, non costituisca “mezzo adeguato” di prova della sussistenza di un grave illecito professionale di cui all’art. 80 comma 5 lett. c) d.lgs. n. 50/2016».

[19] Cfr. C.d.S., n. 1367/2019.

[20] Cfr. C.d.S., n. 7022/2018.

[21] Cfr. TAR Lazio, n. 1931/2019.

[22] TAR Napoli n. 964/2022, secondo cui: «la previsione di un onere dichiarativo esteso a fatti risalenti oltre un determinato limite temporale implic[hi] un evidente contrasto con tale principio, per la possibilità riconosciuta all’amministrazione appaltante di dare rilevanza a fatti che – per il tempo trascorso – non rappresentano più un indice su cui misurare l’affidabilità professionale dell’operatore economico».

C.d.S. n. 575/2022), evidenzia che un «generalizzato obbligo dichiarativo, senza l’individuazione di un preciso limite di operatività, infatti, potrebbe rilevarsi eccessivamente oneroso per gli operatori economici imponendo loro di ripercorrere a beneficio della stazione appaltante vicende professionali ampiamente datate o, comunque, del tutto insignificanti nel contesto della vita professionale di una impresa».

[23] D.lgs. n. 36/2023 – Codice dei contratti pubblici in attuazione dell’articolo 1 della legge 21 giugno 2022, n. 78, recante delega al Governo in materia di contratti pubblici (nuovo codice degli appalti).

[24] Anche nella nuova disciplina il dato temporale ha una sua rilevanza: il comma 5 dell’articolo 98, prevede, infatti, che «la valutazione di gravità tiene conto del bene giuridico e dell’entità della lesione inferta dalla condotta integrante uno degli elementi di cui al comma 4 e del tempo trascorso dalla violazione, anche in relazione a modifiche intervenute nel frattempo nell’organizzazione dell’impresa».

[25] È importante precisare , inoltre, come l’illecito assuma rilevanza solo se compiuto dall’operatore economico offerente, tranne che nei casi di cui al comma 3, lettere g) e h) (rispettivamente riferite alla contestata commissione di taluno dei reati consumati o tentati di cui al comma 1 dell’art. 94 e la contestata o accertata commissione di un’altra serie determinata di reati consumati) in relazione ai quali rilevano anche i fatti compiuti dai soggetti di cui al comma 3 dell’art. 94 (id est, ad esempio, il titolare o il direttore tecnico, se si tratta di impresa individuale; il socio amministratore o il direttore tecnico, se si tratta di società in nome collettivo; i soci accomandatari o il direttore tecnico, se si tratta di società in accomandita semplice; i membri del consiglio di amministrazione cui sia stata conferita la legale rappresentanza, ivi compresi gli institori e i procuratori generali; i componenti degli organi con poteri di direzione o di vigilanza o dei soggetti muniti di poteri di rappresentanza, di direzione o di controllo; il direttore tecnico o il socio unico; l’amministratore di fatto).

Al comma 5, lett. e) ed f) dell’art. 94 si prevede come causa di esclusione automatica, però, l’iscrizione nel casellario informativo tenuto dall’ANAC per aver presentato false dichiarazioni o falsa documentazione nelle procedure di gara e negli affidamenti di subappalti o ai fini del rilascio dell’attestazione di qualificazione.

[26] Art. 98, comma 6, d.lgs. n. 36/2023: «g) quanto alla lettera g), gli atti di cui all’articolo 407-bis, comma 1, del codice di procedura penale, il decreto che dispone il giudizio ai sensi dell’articolo 429 del codice di procedura penale, o eventuali provvedimenti cautelari reali o personali emessi dal giudice penale, la sentenza di condanna non definitiva, il decreto penale di condanna non irrevocabile, la sentenza non irrevocabile di applicazione della pena su richiesta ai sensi dell’articolo 444 del codice di procedura penale», dove la lettera g) del comma 3 dello stesso art. 98 è dedicata alla «contestata commissione da parte dell’operatore economico, ovvero dei soggetti di cui al comma 3 dell’articolo 94 di taluno dei reati consumati o tentati di cui al comma 1 del medesimo articolo 94».

[27] C. Cost. n. 152/2022.

[28] Citando le parole della Procura Generale presso la Corte di Cassazione «la nuova definizione dei presupposti della iscrizione delle notizie di reato nell’apposito registro [ex art. 335 c.p.p.] mira a garantire l’uniformità dell’agire degli uffici requirenti in un passaggio delicato del procedimento penale. Il Legislatore ha inteso offrire una più sicura base giuridica in relazione a quelle situazioni – si pensi alle denunce a carico di amministratori (pubblici e privati), imprenditori e liberi professionisti, in materia di inquinamento ambientale, di mancato rispetto delle norme di edilizia e urbanistica, di danni da medicinali, di responsabilità medica, di scarsa trasparenza nell’azione degli istituti di credito – nelle quali il precedente assetto sembrava legittimare tanto l’iscrizione anche nei confronti di soggetti la cui posizione era quasi certamente estranea a profili di responsabilità (con il rischio di produrre effetti irreversibili sul soggetto iscritto ricoprente cariche pubbliche o svolgente attività imprenditoriali o professionali di rilievo), quanto la scelta opposta di operare una sorta di “filtro preliminare” alla iscrizione, consistente nelle effettuazione di attività di verifica della consistenza indiziaria previa rubricazione del fascicolo a modello 44 o 45».

HuffPost – Il riconoscimento biometrico

Un’intervista di Nicolò Biligotti per HuffPost in materia di AI e identificazione biometrica.

“Quando si tratta di riconoscimento biometrico real-time, il bilanciamento non è solo tra sicurezza, riservatezza e protezione dei dati personali, ma anche tra sicurezza e libertà di movimento, tra sicurezza e libertà di riunione. Il rischio è quello di un sovvertimento del fisiologico rapporto tra individuo e Autorità pubblica, che culturalmente tendiamo (o dovremmo tendere) ad elidere”.  

Keiron – Corruzione Internazionale e applicazioni pratiche

Il prossimo 11 maggio avremo il piacere di ospitare di nuovo gli studenti di Keiron, associazione studentesca nata in Bocconi con lo scopo di approfondire e promuovere lo studio del diritto penale, con cui Fornari e Associati collabora da anni.

L’incontro, cui parteciperanno Giuseppe Fornari, Lorena Morrone e Francesca Procopio, avrà ad oggetto il tema della corruzione internazionale e delle sue applicazioni pratiche.

Il Modello Organizzativo Privacy, gli altri modelli organizzativi e le possibili connessioni.

Uno dei principali elementi di novità introdotti dal D. Lgs. n. 101/2018, che ha armonizzato il Codice della Privacy al GDPR, è rappresentato dal concetto di accountability, ossia di una sempre maggiore responsabilizzazione degli operatori nel processo di trattamento dei dati personali.

Tra le misure più significative in linea con il principio di accountability, si ritiene rientri l’adozione di un Modello Organizzativo Privacy (cd. MOP) da parte delle imprese.

Cosa è cambiato, dunque, con l’introduzione del GDPR? Quali sono i vantaggi per una realtà aziendale nell’adottare il MOP? E come si integra, quest’ultimo, con il Modello 231?

Con questo Focus, Giuseppe Fornari, Pasquale Grella e Caterina Peroni rispondono a questi e altri interrogativi.

I. Premessa

La protezione delle persone fisiche con riguardo al trattamento[1] dei dati di carattere personale è un diritto fondamentale sancito dall’art. 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione Europea e dall’art. 16, paragrafo 1, del Trattato sul Funzionamento dell’Unione Europea, che stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

Come previsto dal Regolamento (UE) n. 2016/679 (di seguito, il “GDPR” o il “Regolamento”) – in vigore dal 24 maggio 2016 – i principi e le norme a tutela delle persone fisiche con riferimento al trattamento dei dati personali[2] dovrebbero

rispettarne i diritti e le libertà fondamentali, a prescindere dalla loro nazionalità e residenza.

Attraverso il GPDR, divenuto pienamente applicabile a partire dal 25 maggio 2018, la Commissione Europea si propone come

obiettivo quello di assicurare un livello coerente ed elevato di protezione dei dati personali di tutte le persone fisiche presenti sul territorio dell’Unione Europea, attribuendo ai cittadini il controllo dei propri dati personali, semplificando il contesto normativo, unificando e rendendo omogeneo il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali in tutti gli Stati Membri.

Al fine di armonizzare le norme previste dal legislatore italiano all’interno del D. Lgs. n. 196/2003 (di seguito, “Codice Privacy”), il 4 settembre 2018 è stato pubblicato in Gazzetta Ufficiale il D. Lgs. n. 101/2018 recante l’adeguamento della normativa nazionale al GDPR.

Tra i principi generali applicabili al trattamento dei dati, all’art. 5, paragrafo 2, il GDPR pone l’accento sul cd. principio dell’accountability del Titolare del Trattamento[3] (di seguito anche il “Titolare”), vale a dire il principio di “responsabilizzazione” del Titolare, il quale non deve limitarsi ad osservare i criteri previsti dall’art. 5[4], ma deve essere in grado di adottare comportamenti proattivi, tali da dimostrare la concreta implementazione di misure finalizzate ad assicurare l’applicazione del predetto Regolamento (cfr. art. 24 GDPR).

A tal proposito, tra le misure ritenute più idonee ed efficaci in tema di accountability, si ritiene rientri l’adozione del Modello Organizzativo Privacy (di seguito, “MOP”). Trattasi del documento avente quale primaria finalità quella di dare evidenza delle azioni poste in atto da una organizzazione per far fronte agli adempimenti in materia di protezione dei dati.

II. Il MOP è una valida misura di accountability rispetto a quanto previsto dal GDPR?

Come già illustrato, nel percorso di adeguamento al GDPR è necessario individuare e adottare gli strumenti e le misure più adeguati ad assicurare che il trattamento dei dati personali avvenga conformemente alle condizioni prescritte dall’art. 5 del Regolamento.

Nel contempo, il GDPR impone al Titolare del Trattamento anche l’obbligo di dimostrare – su richiesta – che siano state adottate misure appropriate ed efficaci. Infatti, alla disposizione di cui all’art. 5 del GDPR fa da eco il considerando 74 che, coerentemente con il sopracitato art. 24 GDPR, prevede che “il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l’efficacia delle misure […]”, e che tale capacità di comprovare il rispetto dei requisiti stabiliti dal GDPR deve persistere in ogni fase del percorso di adeguamento.

Richiamando espressamente l’accountability, principio cardine del GDPR, il Legislatore europeo chiede al Titolare del Trattamento di prevedere, predisporre e adottare misure tecniche e organizzative ritenute adeguate a gestire le attività di trattamento in modo da tutelare i diritti e le libertà degli interessati, in conformità con la normativa e principi del GDPR e, soprattutto, di essere in grado di dimostrare concretamente in ogni momento l’efficacia di tali misure.

Ciò posto, pur non essendo espressamente richiesto dal GDPR, si ritiene che il MOP, avendo l’obiettivo di riunire in un unico documento tutte le attività poste in essere in adeguamento alla normativa privacy, le motivazioni alla base delle scelte relative al trattamento dei dati nonché lo scadenziario degli adempimenti, possa rappresentare un’efficace misura di accountability per le organizzazioni aziendali. Ovviamente, è di fondamentale importanza che tale documento sia costantemente aggiornato, in occasione di variazioni di contesto impattanti sulla materia.

III. In concreto, qual è la finalità di adottare un MOP?

Il MOP rappresenta uno specifico strumento pratico che consente al Titolare, a seconda della sua organizzazione, la scelta e la gestione responsabile e autonoma degli adempimenti in materia di protezione dei dati personali.

Nel contempo, tale atto consente di documentare e dimostrare in ogni momento:

-il rispetto dei principi fondamentali stabiliti dal GDPR;

-la conformità dei trattamenti effettuati al GDPR;

-l’efficacia delle migliori misure scelte e adottate nelle attività di trattamento;

-la continuità nel tempo del percorso di adeguamento intrapreso, anche a fronte di eventuali variazioni dell’assetto organizzativo aziendale;

-di aver intrapreso un percorso di compliance ben strutturato e definito, in grado di fornire anche alle autorità di controllo le necessarie coordinate nell’effettuazione dei controlli e delle verifiche.

Ovviamente, non esiste un modello unico ed esaustivo adatto ad ogni ente, bensì il documento dovrà essere calibrato in base alle peculiarità delle singole organizzazioni aziendali (sia al contesto interno, vedasi la tipologia di dati trattati, sia al contesto esterno, come le misure imposte dai soggetti esterni quali i Titolari del Trattamento), attraverso un metodo tailor made.

Per strutturare correttamente un MOP occorre fare riferimento al considerando 74 e all’art. 24 del GDPR, che forniscono delle linee guida per l’adozione di adeguate ed efficaci misure tecniche e organizzative.

In particolare, occorrerà tenere conto:

-della natura del trattamento;

-dell’ambito di applicazione;

-del contesto del trattamento;

-delle finalità del trattamento;

-dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche;

-dello stato dell’arte e dei costi di attuazione delle misure adeguate alla tutela dei dati personali, nonché della portata del trattamento (come indicato dall’art. 25 GDPR).

In particolare, l’art. 25 GDPR introduce dei principi essenziali sulla cui scorta delineare correttamente un MOP: si tratta dei principi di privacy by design e privacy by default, ovvero della “protezione dei dati fin dalla progettazione” e della “protezione dei dati per impostazione predefinita”.  

In funzione dell’approccio del GDPR, incentrato sulla valutazione del rischio, i predetti principi impongono al Titolare del Trattamento o al Responsabile del Trattamento[5] (di seguito anche il “Responsabile”) – sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso – di mettere in atto misure tecniche e organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del GDPR e di tutelare i diritti degli interessati.

In sostanza, la finalità primaria del MOP è quella di condensare in un unico testo, a beneficio di tutte le parti interessate, una serie di documenti che altrimenti potrebbe essere difficile inventariare e monitorare, soprattutto per realtà aziendali di medio-grandi dimensioni, nelle quali la documentazione afferente alla protezione dei dati tende a proliferare.

 IV. Com’è strutturato il MOP?

Si è detto che attraverso il MOP l’organizzazione interessata può ordinare sistematicamente tutte le procedure e le misure adottate e quelle da implementare nel percorso di adeguamento alla privacy, con la relativa documentazione.

Nella prassi, il MOP potrà essere strutturato al fine di dare conto e raccogliere in ordine sistematico:

-le disposizioni normative che regolano il settore di appartenenza dell’organizzazione in ambito privacy. Infatti, il MOP contiene o fa riferimento a procedure, istruzioni, modelli ed altri documenti che l’organizzazione potrebbe aver predisposto per dare evidenza dell’applicazione della normativa. Ciò in ossequio ad uno dei principi fondamentali della documentazione sui sistemi di gestione, il quale richiede che non si duplichino testi aventi i medesimi contenuti in documenti differenti. Le parti componenti il MOP, a loro volta, possono essere utilizzate quali criteri di audit;

-la definizione dei principi e dei termini fondamentali in ambito privacy in relazione alla natura dei trattamenti effettuati;

-la descrizione dell’organizzazione e la tipologia dei trattamenti di dati personali. Come anticipato, il MOP deve essere aggiornato in occasione di variazioni di contesto (interno o esterno all’organizzazione), di aggiornamenti normativi, in caso di introduzione di nuove misure oppure in seguito alla modifica o eliminazione di misure ritenute non più adeguate. È opportuno conservare lo storico delle diverse versioni del documento per comprenderne, nel tempo, l’evoluzione;

-la mappatura dei flussi informativi e la tipologia di dati trattati;

-l’organigramma del Titolare del Trattamento;

-le informative (ad esempio, informative privacy per clienti, personale, fornitori, utenti esterni o modelli di consenso al trattamento);

-i ruoli, le funzioni e le responsabilità del Titolare, nonché dei soggetti delegati al trattamento dei dati personali;

-i rapporti contrattuali tra Titolare, contitolari, Responsabili del Trattamento e, se nominato, del Responsabile della Protezione dati (di seguito “DPO”[6]) e le relative responsabilità;

-gli atti di nomina degli autorizzati interni al trattamento, con le relative competenze, doveri, ruoli e responsabilità (ex artt. 2-quaterdecies del Codice Privacy e 29 del GDPR);

-le attività di formazione del personale, predisponendo un sistema che documenti la formazione svolta per ciascun soggetto (art. 39 del GDPR);

-le procedure di comportamento del personale interno e le policy di utilizzo dei sistemi e dispositivi elettronici, e-mail, internet, e dei sistemi di archiviazione elettronica;

-le procedure di audit per verificare la compliance al GDPR;

-la valutazione delle misure tecniche e organizzative per garantire livelli di sicurezza adeguati al rischio (art. 32, par. 2, GDPR);

-la documentazione inerente al riesame, agli aggiornamenti e all’implementazione delle misure tecniche e organizzative adottate;

-la procedura di valutazione dei rischi (“Risk Assessment”) ex art. 32, paragrafo 2, GDPR, e la procedura di valutazione di impatto (cd. “DPIA”) dei trattamenti previsti sulla protezione dei dati in presenza di rischi elevati per i diritti e le libertà degli interessati;

-le prassi operative in caso di violazioni di dati (cd. “Data Breach”)[7] e di incidenti della sicurezza sia per la propria organizzazione che per gli eventuali responsabili del trattamento e/o contitolari;

-le procedure per l’esercizio dei diritti degli interessati;

-i modelli di notifica al Garante ex art. 33 in caso di Data Breach e di comunicazione agli interessati ex art. 34 GDPR, nonché il modello di richiesta di esercizio dei diritti degli interessati e di riscontro da parte dell’organizzazione;

-l’adozione di codici di condotta e/o modelli organizzativi ex D. Lgs. n.  231/2001;

-le certificazioni aziendali.

Nel caso di un gruppo di imprese, il MOP si occupa altresì di chiarire e definire (i) il ruolo e le responsabilità delle singole società all’interno del gruppo; (ii) i rapporti interni e con la holding; (iii) le modalità di trasferimento dei dati tra le singole entità; (iv) le finalità dei trattamenti effettuati da ciascuna entità.

V. Quali sono i destinatari del MOP?

I destinatari del MOP sono:

-il DPO (quando presente);

-il Titolare del Trattamento, nel caso in cui l’organizzazione – che ha predisposto il MOP – rivesta il ruolo di Responsabile (in tal caso, a quest’ultimo soggetto dovrebbe essere consentito solo un accesso parziale al MOP);

-gli incaricati dell’attività di audit/ispezione;

-gli autorizzati al trattamento (anche in questo caso è possibile sia consentito solo un accesso parziale al documento);

-altri eventuali soggetti in rappresentanza delle parti interessate.

L’accesso al documento deve, in ogni caso, essere autorizzato dalla direzione dell’organizzazione.

In merito ai soggetti coinvolti, il MOP viene di norma redatto dal Referente Privacy o dal Privacy Officer ed approvato dal Titolare del Trattamento. Quando è designato un DPO, quest’ultimo esprime una valutazione sul documento, richiedendo, ove ritenute necessarie, le opportune modifiche ed integrazioni.

VI. Sono previsti degli standard da rispettare ai fini della redazione del MOP?

Nella redazione del MOP è utile tenere in considerazione anche gli standard previsti dalle normative ISO, in particolare la ISO/IEC 27701, per la gestione delle informazioni personali e della privacy (che ha aggiornato le normative precedenti quali la ISO/ IEC 27001:2017 e la ISO/IEC 27002), volta a fornire uno strumento pratico alle organizzazioni per (i) implementare il sistema di gestione e sicurezza dei dati personali; (ii) documentare le scelte di natura tecnica e organizzativa adottate; (iii) migliorare i controlli e le verifiche interne e (iv) coordinarsi con le autorità di controllo per le verifiche del caso.

In alternativa alla poc’anzi citata norma, l’altra possibile (e valida) opzione è quella di guardare alle best practices indicate dalla ISO 29100, pubblicata nel 2011 e aggiornata nel 2015, finalizzata a definire un manuale operativo in ambito privacy.

In ogni caso, a prescindere dall’integrazione o meno degli standard sopra descritti, è fondamentale che il MOP racchiuda tutte le attività di adeguamento privacy poste in essere e da implementare, nonché che il documento sia aggiornato con frequenza.

VII. Quali sono i vantaggi nell’adottare il MOP?

Affinché il MOP possa rivelare la propria utilità anche sul piano organizzativo, lo stesso dovrà essere portato a conoscenza di tutti i soggetti – che operano all’interno dell’organizzazione – coinvolti nelle attività di trattamento dei dati personali, unitamente alla documentazione elaborata in ambito privacy.

In particolare, tali documenti devono essere fruibili e visionabili da tutti i dipendenti e collaboratori per migliorare il coordinamento e il dialogo tra le diverse funzioni aziendali, permettendo di mantenere un costante percorso di adeguamento anche nel caso di modifiche dell’organizzazione aziendale.

L’adozione di un MOP, come già accennato, permette inoltre all’organizzazione di rispettare il dovere di collaborazione con le autorità di controllo nelle ispezioni e nell’esecuzione dei loro compiti, come stabilito espressamente dagli artt. 30, paragrafo 4, e 31 del GDPR.

Il MOP rappresenta quindi per le organizzazioni che trattano dati personali, insieme al registro delle attività di trattamento[8] e al registro dei Data Breach, uno strumento fondamentale per l’attuazione del GDPR.

Infine, la maggiore utilità che può derivare ad una organizzazione discende dalla capacità di far dialogare tra loro tutti i modelli organizzativi adottati. In questo senso, il MOP può rappresentare il punto di riferimento e di raccordo per tutti i modelli organizzativi precedentemente adottati, rappresentando il trattamento dei dati personali un’attività trasversale ad ogni settore aziendale.

VIII. Quali sono i punti di contatto tra il MOP e il Modello 231?

Parlare di MOP richiama immediatamente alla mente il Modello di Organizzazione di cui al D. Lgs. n. 231/2001 (di seguito “Modello 231”).

Come noto, il D. Lgs. n. 231/2001 disciplina la responsabilità degli enti per gli illeciti amministrativi dipendenti da reato e consente di eliminare o attenuare il rischio e le conseguenze delle gravose sanzioni connesse alla commissione di particolari reati (cd. “Reati Presupposto”), similmente all’art. 30 del D. Lgs. n. 81/2008 (“Testo unico in materia di tutela della salute e della sicurezza nei luoghi di lavoro”). Infatti, anche il predetto Testo Unico prevede la possibilità di istituire un idoneo modello di organizzazione e di gestione con efficacia esimente della responsabilità amministrativa dell’ente nel caso di reati in materia di salute e sicurezza sul lavoro.

L’adozione del Modello 231 è dunque un elemento difensivo di grande importanza per la difesa delle organizzazioni aziendali nell’ambito di processi penali in cui l’ente risulti imputato, purché il Modello 231 in concreto adottato risulti idoneo “a prevenire reati della specie di quello verificatosi”[9].

Diversamente da quanto previsto dal D. Lgs. n. 231/2001, il GDPR non è costruito attorno a uno specifico modello organizzativo e non prevede, quindi, un contenuto minimo inderogabile.

Ciò nonostante, alcuni degli adempimenti previsti dal GDPR trovano una loro corrispondenza o similitudine con quelli che rappresentano il contenuto minimo del Modello 231 ex artt. 6 e 7 del D. Lgs. n. 231/2001:

In aggiunta, entrambi i modelli sono costruiti su un approccio fondato sulla valutazione del rischio, ponendo al centro il principio di responsabilizzazione dell’organizzazione, e prevedono la possibilità di riferirsi a codici di condotta per dimostrare la conformità alle normative di riferimento (art. 32 GDPR e art. 6 D. Lgs. n. 231/2001).

Non solo, naturalmente entrambi i documenti devono essere costruiti sulla base delle caratteristiche peculiari di ciascuna realtà aziendale, in un percorso di costante adeguamento che tenga conto anche dell’evoluzione dell’organizzazione.

Infine, entrambi i modelli – ancorché per finalità differenti – sono volti a prevenire il rischio di un trattamento illecito dei dati personali. Da una parte, il sistema di controllo previsto dal D. Lgs n. 231/2001 è finalizzato alla prevenzione dei reati nell’interesse o a vantaggio dell’organizzazione, includendo tra i Reati Presupposto anche i delitti informatici e l’illecito trattamento dei dati (art. 24-bis D. Lgs. n. 231/2001); dall’altra parte, il GDPR ha quale obiettivo la tutela dei diritti e delle libertà fondamentali degli interessati.

Tuttavia, i modelli differiscono principalmente per il fatto che con l’adozione preventiva di un efficace Modello 231, l’ente può, oltre che prevenire, escludere la propria responsabilità per reati commessi dai membri della propria organizzazione.

Viceversa, l’adozione di un MOP non consente di per sé di escludere la responsabilità dell’organizzazione in caso di Data Breach e/o di inadempimento dei principi e delle norme del GDPR.

IX. Ci sono connessioni tra il MOP e gli altri modelli e sistemi di gestione?

L’integrazione tra norme e sistemi è un tema di grande attualità, a cui sono dedicati standard specifici come la recente ISO 37301:2021 “Sistemi di gestione per la compliance – Requisiti con guida per l’utilizzo” che fornisce le “Linee guida per istituire, sviluppare, attuare, valutare, mantenere e migliorare un efficace sistema di gestione per la compliance all’interno di un’organizzazione”.

Il MOP per sua natura tende a favorire l’integrazione, a beneficio di tutte le parti interessate, per gestire nel modo più efficiente i dati personali, nel rispetto della normativa e delle procedure interne.

Infatti, il documento contiene o richiama procedure predisposte per documentare i processi aziendali, tenendo in considerazione anche le implicazioni in materia di privacy.

Di seguito si riportano alcuni esempi di integrazione di sistemi di gestione:

-la procedura sulla gestione dei rifiuti elettronici impatta sui temi dell’ambiente, della sicurezza delle informazioni e della protezione dei dati personali (in proposito, le norme di riferimento sono rappresentate dal D. Lgs. n. 49/2014, dalla UNI EN ISO 14001:2015; dalla ISO/IEC 27001:2022 e dal GDPR);

-la procedura sulla gestione degli infortuni concerne tematiche che riguardano la salute e sicurezza dei lavoratori e la protezione dei dati personali (in proposito, le norme di riferimento sono date dal D. Lgs. N. 81/2008, dalla UNI ISO 45001:2018 e dal GDPR);

-la procedura per la valutazione dei fornitori tiene in considerazione (i) la capacità di fornire un servizio/prodotto in linea con le esigenze aziendali; (ii) il monitoraggio delle prestazioni; (iii) le garanzie fornite nel ruolo di Responsabili del Trattamento (a tal proposito, le norme di riferimento sono la UNI EN ISO 9001:2015, la ISO/IEC 27001:2022, la ISO/IEC 27701:2019 e il GDPR).

 X. Quali sono i benefici di un sistema di gestione integrato?

L’obiettivo dell’integrazione consiste nel condensare in un numero limitato di documenti tutti gli aspetti afferenti ai processi aziendali per garantirne una gestione organica evitando la duplicazione di regole che potrebbero in parte sovrapporsi o rischiare di essere in contraddizione. In altre parole, dunque, il sistema di gestione integrato consente di evitare duplicazioni di procedure tra più sistemi e di prevenire o eliminare possibili conflitti tra normative.

In aggiunta all’unicità documentale, l’adozione di un sistema integrato consente di:

-creare sinergie tra processi aziendali che interessano trasversalmente l’organizzazione aziendale;

-unificare gli obiettivi aziendali;

-semplificare i rapporti tra le funzioni aziendali;

-valutare e quindi prevenire i rischi aziendali secondo un approccio unitario.

---

[1] Ai sensi dell’art. 4, comma 1, numero 2) del GDPR il trattamento è: “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione”.

[2] Ai sensi dell’art. 4, comma 1, numero 1) del GDPR il dato personale è: “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”.

[3] Ai sensi dell’art. 4, comma 1, numero 7) del GDPR il Titolare del Trattamento è: “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri”.

[4] Oltre al pilastro della “responsabilizzazione”, i principi applicabili ai sensi dell’art. 5 del GDPR sono (i) liceità, correttezza e trasparenza; (ii) limitazione della finalità; (iii) minimizzazione dei dati; (iv) esattezza; (v) limitazione della conservazione; (vi) integrità e riservatezza.

[5] Ai sensi dell’art. 4, comma 1, numero 8) del GDPR il Responsabile del Trattamento è: “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”.

[6] Ai sensi dell’art. 37, comma 1 del GDPR: “Il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati ogniqualvolta: a) il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali; b) le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure c) le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 o di dati relativi a condanne penali e a reati di cui all’articolo 10”.

[7] Ai sensi dell’art. 33, comma 1 del GDPR: “In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo”.

[8] Ai sensi dell’art. 30, comma 1 del GDPR: “Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità”.

[9] Art. 6 del D. Lgs. n. 231/2001.

“Avvocati & Popcorn” – The Skill

Il nostro Enrico Di Fiorino interviene nella serie “Avvocati & Popcorn” ideata da Gianfranco Valenti per The Skill, raccontando in un podcast del film A Few Good Men e della serie The People v. O. J. Simpson: American Crime Story.

Investigazioni Interne – Fondazione Stelline

Dopo l’evento organizzato presso la Camera dei Deputati a gennaio, un altro incontro dedicato alle investigazioni interne.

Il convegno si terrà presso la Fondazione Stelline a Milano, il prossimo Mercoledì 12 aprile, dalle ore 15:00 alle ore 19:00.
Insieme ad autorevoli professionisti ed esponenti del mondo della magistratura e delle imprese, parleremo dell’importanza e della delicatezza di questo strumento.

Introducono i lavori l’Avv. Enrico Giarda (Consigliere Ordine degli Avvocati di Milano – Coordinatore Commissione Giustizia Penale) e il Dott. Simone Crolla (Managing Director American Chamber of Commerce in Italy).

Moderati dall’Avv. Enrico Di Fiorino, intervengono il Dott. Eugenio Fusco (Procuratore aggiunto Procura di Milano), l’Avv. Giuseppe Catalano (Presidente AIGI – Responsabile Corporate Affairs Generali), l’Avv. Lucia Martinoli (Group General Counsel Banca Ifis), l’Avv. Mara Chilosi (Presidente AODV231) e l’Avv. Lorena Morrone (Partner di Fornari e Associati).

Moderati dall’Avv. Giuseppe Fornari, Intervengono il Prof. Enrico Maria Mancuso (Ordinario diritto processuale penale Università Cattolica di Milano), l’Avv. Antonio Di Pietro (Co-founder 36 Brains), il Prof. Andrea Camaiora (CEO The Skill Group), il Prof. Francesco Rotondi (Managing Partner LABLAW) e l’Avv. Emanuele Angiuli (Partner di Fornari e Associati).

Nel corso dell’evento sarà presentato il manuale “Investigazioni Interne”, edito da Pacini Editore, cui hanno preso parte molti professionisti dello Studio.

Per partecipare, è possibile scrivere a info@fornarieassociati.com
L’evento sarà anche in diretta sul canale YouTube di Fornari e Associati.

Registro dei titolari effettivi a fini antiriciclaggio: lo stato dell’arte e i primi problemi “applicativi”

Il 25 maggio 2022 è stato pubblicato in Gazzetta Ufficiale il Decreto n. 55/2022 del Ministero dell’Economia e delle Finanze, che istituisce il Registro dei Titolari Effettivi. 

Questo nuovo strumento nasce con l’obiettivo di raccogliere i dati relativi ai titolari delle imprese, al fine ultimo di contrastare l’uso del sistema economico e finanziario a scopo di riciclaggio e di finanziamento del terrorismo.

Chi sarà obbligato a comunicare il Titolare Effettivo? 

Quali dati dovranno essere comunicati? 

Chi potrà avere accesso al Registro? 

In attesa che il Registro dei Titolari Effettivi divenga operativo, con questo Focus Giuseppe Fornari, Pasquale Grella e Francesca Procopio rispondono a questi e ad altri quesiti sul tema. 

***

1.Premessa

Come disposto dal D.Lgs. n. 90 del 25 maggio 2017, emanato in attuazione della Direttiva UE 2015/849 (c.d. quarta Direttiva Antriciclaggio), recepita in Italia, per quanto di interesse, dall’art. 21, comma 5, del D.Lgs. n. 231/2007, il 25 maggio 2022 è stato pubblicato in Gazzetta Ufficiale il Decreto 11 marzo 2022, n. 55 del Ministero dell’Economia e delle Finanze (“MEF”) recante “Disposizioni in materia di comunicazione, accesso e consultazione dei dati e delle informazioni relativi alla titolarità effettiva di imprese dotate di personalità giuridica, di persone giuridiche private, di trust produttivi di effetti giuridici rilevanti ai fini fiscali e di istituti giuridici affini ai trust“.

Con l’obiettivo di contrastare l’uso del sistema economico e finanziario a scopo di riciclaggio e di finanziamento del terrorismo, il citato Decreto Ministeriale ha introdotto nuove misure che riguardano la raccolta dei dati relativi ai titolari di impresa, tramite il registro dei titolari effettivi (“Registro”).

In particolare, il D.M. n. 55/2022detta disposizioni da attuarsi con modalità esclusivamente telematiche in ordine ai seguenti aspetti:

• comunicazione all’Ufficio del Registro delle Imprese dei dati e delle informazioni relative alla titolarità effettiva di: (a) imprese dotate di personalità giuridica, (b) persone giuridiche private, (c) trust produttivi di effetti giuridici rilevanti ai fini fiscali e (d) istituti giuridici affini al trust, per la loro iscrizione e conservazione nella sezione autonoma e nella sezione speciale del Registro delle Imprese (sul punto, si tornerà infra);
• accesso ai dati e alle informazioni da parte delle Autorità e dei soggetti obbligati alla normativa antiriciclaggio ai sensi del D.Lgs. n. 231/2007;
• l’individuazione e la quantificazione dei diritti di segreteria rispetto ai soggetti diversi dalle Autorità;
• la sicurezza del trattamento dei dati e delle informazioni.

I dati e le informazioni relative alla titolarità effettiva sono iscritti in apposite sezioni del Registro delle Imprese:

• una sezione autonoma per le imprese dotate di personalità giuridica e le persone giuridiche private;
• una sezione speciale per i trust produttivi di effetti giuridici rilevanti ai fini fiscali e per gli “istituti giuridici affini”.

2. Chi è il Titolare Effettivo?

L’art. 1, comma 2, lett. pp) del D.Lgs. n. 231/2007 definisce quale Titolare Effettivo: “la persona fisica o le persone fisiche, diverse dal cliente, nell’interesse della quale o delle quali, in ultima istanza, il rapporto continuativo è istaurato, la prestazione professionale è resa o l’operazione è eseguita” (“Titolare Effettivo”).

• Ai fini della corretta individuazione del Titolare Effettivonel caso in cui il cliente sia una società di capitali, l’art. 20 del D.Lgs. n. 231/2007 fornisce tre criteri, ai sensi dei quali il Titolare Effettivo deve essere identificato: nella persona fisica che sia titolare, direttamente ovvero indirettamente, di una partecipazione superiore al 25 per cento del capitale dell’ente; ovvero
• nella persona fisica cui, in ultima istanza, sia attribuibile – direttamente ovvero indirettamente (i.e. posseduto per il tramite di società controllate, società fiduciarie o per interposta persona), singolarmente ovvero insieme ad altre persone fisiche a mezzo di accordi contrattuali – il controllo della maggioranza (o di un numero sufficiente ad esercitare un’influenza dominante) dei voti esercitabili in assemblea ordinaria; ovvero
• in via residuale rispetto ai criteri sopramenzionati, nel titolare dei più alti poteri di rappresentanza legale, amministrazione o direzione della società o del cliente comunque diverso dalla persona fisica. 

Infine, nell’ipotesi dei trust, secondo quanto disposto dall’art. 22, comma 5 del D.Lgs. n. 231/2007, il Titolare Effettivo coincide con: il/i costituente/i, il/i fiduciario/i, il/i guardiano/i, ovvero altra persona per conto del fiduciario, ove esistenti, i beneficiari o classe di beneficiari e le altre persone fisiche che esercitano il controllo sul trust o su altro istituto giuridico affine e qualunque altra persona fisica che esercita, in ultima istanza, il controllo sui beni conferiti nel trust o nell’istituto giuridico affine, attraverso la proprietà diretta o indiretta o attraverso altri mezzi.

3. Chi è obbligato a comunicare il Titolare Effettivo?

I soggetti che devono comunicare il Titolare Effettivo al Registro delle Imprese sono:

• le imprese dotate di personalità giuridica, quindi, ad esempio, tutte le SRL (ordinarie, semplificate, start-up innovative, etc.), le SPA e le altre società di capitali;
• le persone giuridiche private, ossia le fondazioni e le associazioni riconosciute;
• i trust e gli istituti giuridici affini ai trust.

Le informazioni andranno confermate ogni 12 mesi, e le eventuali variazioni intervenute andranno comunicate entro 30 giorni.

Gli incaricati ad effettuare la comunicazione specifica sono, rispettivamente, per le società di capitali, gli amministratori; per le persone giuridiche private, i fondatori, i rappresentanti o gli amministratori; per i trust, i fiduciari.

4. Quali dati dovranno essere comunicati?

Si tratta di diverse informazioni che riguardano gli aventi diritto alla titolarità dell’impresa o dell’ente specifico. Nello specifico, i dati che ciascun soggetto dovrà comunicare sono i seguenti:

• Imprese con personalità giuridica: entità della partecipazione al capitale, modalità di esercizio del controllo, poteri di rappresentanza legale, amministrazione e direzione;
• Persone giuridiche private: dati anagrafici, codice fiscale, denominazione dell’ente, sede legale o amministrativa, indirizzo PEC;
• Trust e istituti giuridici affini: codice fiscale, denominazione del trust o dell’istituto giuridico affine, data, luogo e dati sull’atto di costituzione del trust o altro istituto giuridico.

In questo modo, il Registro conterrà tutte le informazioni sulla titolarità effettiva delle imprese, con l’obiettivo di contrastare le attività illecite compiute intorno a fenomeni di riciclaggio nel circuito imprenditoriale.

La comunicazione da effettuarsi al Registro, inoltre, dovrà essere accompagnata da specifica dichiarazione di responsabilità e consapevolezza in ordine alle sanzioni previste dalla legislazione penale e dalle leggi speciali in materia di falsità degli atti e delle dichiarazioni rese, ai sensi dell’art.48 ex D.P.R. n. 445/2000.

Sul punto, si evidenzia, infatti, che eventuali false dichiarazioni inserite nella comunicazione del Titolare Effettivo potrebbero configurare la fattispecie di cui all’art. 483 c.p. (“Falsità ideologica commessa dal privato in atto pubblico“), stante la natura di ente pubblico riconosciuta alle Camere di Commercio e la qualifica di pubblici ufficiali a norma dell’art. 357 c.p. attribuita ai relativi funzionari.

Infine, si osserva che in caso di violazione dell’obbligo di comunicazione dei dati e delle informazioni sul Titolare Effettivo, la Camera di Commercio potrà irrogare una sanzione amministrativa ai sensi dell’art. 2630 codice civile (compresa tra euro 103 ed euro 1.032).

5. Chi avrà accesso al Registro?

Il diritto di accesso al Registro, secondo quanto previsto dagli artt. 5, 6 e 7 del D.M. 55/2022 sarà consentito alle Autorità, ai soggetti obbligati ex art. 3 del D.Lgs. n. 231/2007 e al pubblico, con diverse modalità.

• Autorità (art. 5)

Le Autorità che potranno avere accesso al registro sono:

1. Ministero dell’economia e delle finanze, Autorità di vigilanza di settore, Unità di informazione finanziaria per l’Italia, Direzione investigativa antimafia, Guardia di finanza che opera nei casi previsti dal Decreto attraverso il Nucleo Speciale Polizia Valutaria senza alcuna restrizione;
2. Direzione nazionale antimafia e antiterrorismo;
3. Autorità giudiziaria, conformemente alle proprie attribuzioni istituzionali;
4. Autorità preposte al contrasto dell’evasione fiscale.

• Soggetti obbligati ex art. 3 del D.Lgs. n. 231/2007 (art. 6)

I soggetti obbligati possono accedere, previo accreditamento, alla sezione autonoma e alla sezione speciale del Registro delle Imprese, per la consultazione dei dati e delle informazioni sulla Titolarità Effettiva a supporto degli adempimenti concernenti l’adeguata verifica della clientela.

La richiesta è presentata dal soggetto obbligato alla Camera di commercio territorialmente competente e contiene:

1. l’appartenenza del richiedente ad una o più delle categorie tra quelle previste dal D.Lgs. n. 231/2007;
2. i propri dati identificativi e quelli del rappresentante legale nel caso di persona giuridica;
3. l’indicazione dell’Autorità di vigilanza competente o dell’organismo di autoregolamentazione e, se del caso, delle amministrazioni e degli organismi interessati;
4. la finalità dell’utilizzo dei dati e delle informazioni.

L’accreditamento è comunicato al soggetto obbligato a mezzo posta elettronica certificata e consente l’accesso per due anni, decorrenti dalla data del primo accreditamento o da quella del rinnovo espresso dello stesso.

Le Autorità e i soggetti obbligati hanno accesso ai seguenti dati (consultazione completa):

1. Codice fiscale;
2. Nome e cognome;
3. Giorno, mese e anno di nascita;
4. Luogo di nascita, residenza e cittadinanza;
5. Condizione da cui deriva lo status di Titolare Effettivo (partecipazione diretta, indiretta, controllo maggioranza voti, influenza dominante, etc.).

• Pubblico (art. 7)

Con riferimento all’accesso da parte del pubblico, sono previste delle distinzioni per i dati e le informazioni sulla titolarità effettiva delle imprese dotate di personalità giuridica e persone giuridiche private da un lato, e dei trust e istituti giuridici affini ai trust dall’altro. Nel primo caso, il pubblico potrà fare accesso senza limitazioni; con riferimento ai trust e agli istituti giuridici affini, invece, dovrà essere presentata una richiesta motivata di accesso, su cui la Camera di Commercio si pronuncia entro il termine di venti giorni consentendo l’accesso o comunicando il diniego motivato. Nel caso in cui la Camera di Commercio non si pronunci entro il suindicato termine, l’accesso si intende respinto (art. 7).

Nel caso di consultazione della sezione autonoma, e solo se non sono presenti controinteressati, per ogni Titolare Effettivo (del soggetto richiesto) sono consultabili i dati ridotti (consultazione ridotta), quali:

1. nome e cognome;
2. mese e anno di nascita;
3. Paese di residenza e cittadinanza;
4. condizione da cui deriva lo status di Titolare Effettivo (partecipazione diretta, indiretta, controllo maggioranza voti, influenza dominante, etc.).

Proprio con riferimento all’accesso da parte del pubblico il 22 novembre 2022 nelle cause riunite C‑37/20 e C‑601/20, la Corte di Giustizia Europea (Grande Sezione) ha ritenuto che la previsione secondo la quale le informazioni relative ai Titolari Effettivi inserite nei Registri debbano essere accessibili al pubblico (art. 30, paragrafo 5, della V Direttiva Antiriciclaggio) violi i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali dei cittadini, sanciti dagli artt. 7 e 8 della Carta europea.

Con tale decisione la Corte, riunita in Grande Sezione, ha dichiarato l’invalidità, alla luce della Carta dei diritti fondamentali dell’Unione europea, della disposizione della direttiva antiriciclaggio ai sensi della quale gli Stati membri provvedono affinché le informazioni sulla titolarità effettiva delle società e delle altre entità giuridiche costituite nel loro territorio siano accessibili in ogni caso al pubblico. Infatti, nel ragionamento della Corte, le informazioni divulgate consentono a un numero potenzialmente illimitato di persone di informarsi sulla situazione materiale e finanziaria del titolare effettivo, così violando i diritti fondamentali summenzionati. Inoltre, le potenziali conseguenze per le persone interessate derivanti da un eventuale uso abusivo dei loro dati personali sono aggravate dalla circostanza che, una volta messi a disposizione del pubblico, tali dati possono essere non solo liberamente consultati, ma anche conservati e diffusi.

Pur riconoscendo che il legislatore dell’Unione mira a perseguire un obiettivo di interesse generale idoneo a giustificare ingerenze, anche gravi, nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta, e che l’accesso del pubblico alle informazioni sulla titolarità effettiva è atto a contribuire alla realizzazione di tale obiettivo, la Corte giudica che l’ingerenza risultante dalla misura in oggetto non è né limitata allo stretto necessario né proporzionata all’obiettivo perseguito.

Tale provvedimento ha causato la sospensione all’accesso pubblico al Registro in alcuni Paesi (e.g. Lussemburgo, Paesi Bassi. Malta).

6. Cosa succede per l’accesso al pubblico in presenza di controinteressati?

In presenza di controinteressati, la Camera di commercio trasmette la richiesta di accesso al controinteressato, mediante PEC.

Entro dieci giorni dalla ricezione, il controinteressato può trasmettere, sempre a mezzo PEC, una motivata opposizione.

La Camera di commercio valuta caso per caso le circostanze eccezionali (di cui al D.Lgs. n. 231/2007), rappresentate dal controinteressato, che giustificano in tutto o in parte il diniego dell’accesso, anche alla luce del principio di proporzionalità tra il rischio paventato e l’interesse all’accesso.

L’accesso ai dati può essere escluso in tutto o in parte all’esito della valutazione.

Il diniego motivato dell’accesso è comunicato al richiedente, a mezzo PEC, entro venti giorni dalla richiesta di accesso. In mancanza di comunicazione entro il predetto termine l’accesso si intende respinto.

7. Quando entrerà in vigore il Registro dei Titolari Effettivi?

Il D.M. n. 55/2022 è entrato in vigore il 9 giugno 2022, ma la effettiva operatività del Registro ed i conseguenti obblighi di comunicazione scatteranno solo entro sessanta giorni dalla pubblicazione in G.U. di ulteriore provvedimento del Ministero dello Sviluppo Economico (“MISE”) attestante l’operatività del Sistema di comunicazione, successivo, a sua volta, all’esecuzione di ulteriori attività da parte del gestore, del MISE e del MEF.

Nel frattempo, il Garante per la Protezione dei Dati Personali ha dato parere favorevole allo schema del disciplinare tecnico predisposto da Infocamere S.C.p.A., ai sensi dell’art. 11, comma 3, con provvedimento del 6 ottobre 2022.

8. Quali sono gli adempimenti da svolgere da parte dei soggetti che devo effettuare la comunicazione?

Considerando i profili di responsabilità (anche di natura personale) dei soggetti che devono comunicare il Titolare Effettivo al Registro delle Imprese, risulterebbe utile:

• individuare correttamente il proprio Titolare Effettivo con il supporto dei propri soci (ed eventualmente con l’ausilio di un professionista esterno);
• istituzionalizzare dei flussi informativi interni volti ad intercettare quegli eventi societari che possano modificare l’individuazione del Titolare Effettivo e che, quindi, determinano gli obblighi di comunicazione al Registro delle Imprese delle relative variazioni;
• laddove dovesse essere presente un controinteressato, predisporre una procedura per la gestione delle opposizioni alle richieste motivate di accesso da parte del pubblico.

9. Il Titolare Effettivo dev’essere indicato anche nella dichiarazione dei redditi?

Nel Modello Redditi 2023 delle società di capitali, e segnatamente nel quadro dedicato ai crediti d’imposta concessi alle imprese, l’Agenzia delle Entrate richiede anche l’indicazione dei dati del titolare effettivo persona fisica in relazione agli ultimi tre anni (i.e. periodi di imposta 2020, 2021, 2022).

Come si legge dalle istruzioni dei modelli dichiarativi, “nel rispetto delle disposizioni previste dall’articolo 22 del Regolamento (UE) 2021/241 (Dispositivo per la ripresa e la resilienza) a tutela degli interessi finanziari dell’Unione, nei righi RU150 e RU151 sono richieste informazioni volte ad accertare rispettivamente la titolarità effettiva dei destinatari dei fondi e il rispetto del principio di divieto di doppio finanziamento“.

Tale novità, che si colloca nel solco del previsto obbligo di comunicazione di tali informazioni al Registro delle Imprese, è contenuta nel prospetto di cui al rigo RU150 del quadro sopra citato.

Sul piano pratico, la richiesta del Fisco desta alcune perplessità.

In proposito, basti pensare che le società di capitali che abbiano beneficiato di crediti di imposta, qualora il loro titolare effettivo sia mutato nel triennio di riferimento, sarebbero chiamate a compilare più quadri RU e più righi RU150. Ciò costituisce evidentemente un elemento di complicazione per i professionisti deputati alla predisposizione della Dichiarazione dei Redditi, il quale potrebbero non avere a disposizione tutte le informazioni sugli avvicendamenti nella titolarità effettiva della società cliente.

Nello specifico, per ogni titolare effettivo persona fisica, devono essere indicati:

• se residente in Italia, il codice fiscale;
• se non residente in Italia (e quindi privo di codice fiscale), nome, cognome, data di nascita, codice dello Stato estero di nascita.

Inoltre, dovranno essere indicati:

• il domicilio anagrafico nel territorio dello Stato, se diverso dalla residenza anagrafica;
• i dati relativi all’eventuale residenza anagrafica all’estero e/o al domicilio anagrafico all’estero (quest’ultimo solo se diverso dalla residenza anagrafica all’estero).

Foriera di altrettante perplessità operative è la circostanza che tale richiesta dell’Agenzia delle Entrate, nel precedere l’effettiva operatività del Registro dei titolari effettivi e i relativi obblighi di comunicazione – non essendo stato ad oggi emanato il disciplinare tecnico a cura del MISE previsto dall’art. 3, comma 5 del D.M. 55/2022 – di fatto realizzerà, allorché il Registro dei Titolari Effettivi diverrà operativo, una duplicazione di informazioni a disposizione della Pubblica Amministrazione, atteso che i dati comunicati alle Camere di Commercio in forza dell’obbligo previsto dal D.M. n. 55/2022 saranno archiviati in apposite banche dati accessibili – anche – all’Autorità fiscale.

Occorre segnalare, tuttavia, che l’indicazione dei titolari effettivi nel rigo RU150 in Dichiarazione dei redditi ha un perimetro applicativo più ampio rispetto alla comunicazione prevista al Registro delle Imprese.

Segnatamente, l’Agenzia delle Entrate esige che tali informazioni vengano rese (i) anche rispetto alle società di persone, escluse dal Registro dei Titolari Effettivi, e (ii) in relazione all’intero triennio 2020-2022, laddove nel Registro non sembrerebbero essere richieste informazioni sul pregresso. 

Sportello Solidale Antimafia Davide Salluzzo

Sabato 25 marzo, presso la Biblioteca Comunale di Cesano Boscone, i nostri Emanuele Angiuli e Francesca Procopio hanno partecipato a un incontro di formazione nell’ambito del progetto “Sportello Solidale Antimafia Davide Salluzzo”.

Lo Sportello Solidale Antimafia verrà inaugurato il prossimo 15 aprile a Corsico.

L’iniziativa, dedicata alle vittime di racket, usura e altri c.d. reati sentinella, è promossa dai Comuni di Assago, Buccinasco, Cesano Boscone, Corsico, Cusago e Trezzano sul Naviglio nell’ambito del Piano di Zona.

I professionisti di Fornari e Associati supporteranno l’attività dello Sportello prestando assistenza legale agli utenti nel percorso che conduce alla denuncia.

Uno speciale ringraziamento all’Associazione Una Casa Anche Per TE ONLUS, che ha coinvolto il nostro Studio in questo ambizioso e ammirevole progetto.

GIR – Practitioner’s Guide to Global Investigations – Seventh edition

Anche quest’anno lo Studio Fornari e Associati ha contribuito alla Practitioner’s Guide to Global Investigations, pubblicata da Global Investigations Review.

La guida pratica, fondamentale per consulenti esterni e interni, addetti alla compliance ed esperti contabili, ha una sezione dedicata per ogni Paese del mondo.

I nostri partner Giuseppe, Enrico, Emanuele e Lorena, si sono occupati del capitolo relativo all’Italia.

***

Once again Studio Fornari e Associati has contributed to the Practitioner’s Guide to Global Investigations, published by Global Investigations Review.

The practical guide, essential for external and in-house counsel, compliance officers and accounting practitioners, has a dedicated section for each country in the world.

Our partners Giuseppe, Enrico, Emanuele and Lorena, took care of the chapter relating to Italy.

Pena negoziata post Riforma Cartabia: opportunità ed insidie

I. Premessa.

L’applicazione della pena su richiesta delle parti, nota anche come patteggiamento, è un rito alternativo al procedimento ordinario che consiste nel raggiungimento di un accordo tra l’imputato (ovvero l’indagato) e il Pubblico Ministero per l’applicazione, da parte del Giudice, di una pena concordata tra le parti.

L’istituto, disciplinato dagli artt. 444 e ss c.p.p., è definito procedimento speciale, in quanto omette la fase del dibattimento. Di conseguenza, ai fini della decisione il Giudice sarà autorizzato ad usare i verbali degli atti di indagine.

Dal momento cui il diritto al dibattimento è un aspetto centrale del diritto di difesa, il sacrificio patito dall’imputato è compensato dalla diminuzione fino a un terzo della pena che dovrebbe essere scontata in caso di condanna.

Inoltre, una volta pronunciata la sentenza, questa, di regola, non è appellabile e può essere sottoposta a ricorso per Cassazione per motivi estremamente limitati.

Infine, si sottolinea come il provvedimento emesso dal Giudice, seppur paragonato sotto alcuni aspetti ad una sentenza di condanna, in nessun modo corrisponde ad un’ammissione di colpevolezza.

II. Quali pene possono essere patteggiate?

Il nostro codice prevede due configurazioni di patteggiamento che hanno normative differenti quanto a requisiti e benefici: il patteggiamento “tradizionale” (così definito perché introdotto nell’ordinamento sin dal 1981) e il patteggiamento “allargato” introdotto dalla Legge n. 134/2003.

Il patteggiamento tradizionale permette all’imputato e al Pubblico Ministero di accordarsi su una pena detentiva o pecuniaria che, effettuata la riduzione fino a un terzo, non supera due anni, sola o congiunta a pena pecuniaria.

Il patteggiamento allargato, diversamente, consente alle parti di raggiungere un accordo su di una sanzione da due anni e un giorno fino a cinque anni di pena detentiva in concreto, sempre al netto della riduzione fino a un terzo.

In nessuno dei casi è prevista una soglia massima in caso di sola pena pecuniaria.

III. Esistono dei limiti di natura oggettiva e soggettiva al patteggiamento?

Per quanto concerne il patteggiamento tradizionale, il legislatore non prevede limiti oggettivi e soggettivi. L’unico vero requisito di questo rito è il tetto massimo di pena detentiva.

Questo comporta che, in linea teorica, il patteggiamento tradizionale si possa applicare sia a reati indubbiamente “gravi”, sia ai delinquenti abituali, professionali, per tendenza e recidivi reiterati.

Di contro, il patteggiamento allargato prevede delle cause di esclusione di natura oggettiva e soggettiva.

Sotto un profilo oggettivo, sono escluse alcune categorie di delitti:

-Associazione mafiosa e terrorismo (artt. 51, commi 3-bis e 3-quater c.p.);

-Delitti di prostituzione minorile, commercio e detenzione di materiale pedopornografico (artt. 600-bis e ss);

-Delitti di violenza sessuale (art. 609-bis c.p.), atti sessuali con minorenne (art. 609-quater c.p.), violenza sessuale di gruppo (art. 609-octies c.p.).

Sotto un profilo soggettivo, sono esclusi gli imputati dichiarati:

-Abituali (art. 102 c.p.);

-Professionali (art. 105 c.p.);

-Per tendenza (art. 108 c.p.);

-Recidivi reiterati (art. 99, comma 4, c.p.).

Nonostante i menzionati limiti, i reati che possono diventare oggetto di pena concordata sono numerosi; si tratta, infatti, di tutti quei reati per i quali la pena da concordare, prima della riduzione prevista dal rito, si colloca fino a sette anni e sei mesi.

IV. Come si calcola la riduzione della pena?

Per giungere alla corretta individuazione della pena su richiesta è necessario operare il seguente calcolo:

-Individuazione della c.d. “pena base”, ossia un valore compreso tra il massimo e il minimo edittale previsto per il reato ipotizzato;

-Aumento o diminuzione nella misura prevista da eventuali circostanze aggravanti o attenuanti applicabili;

-Aumento per l’eventuale recidiva;

-Aumento per l’eventuale continuazione;

-Diminuzione di un terzo in ragione del rito.

Indubbiamente il passaggio più delicato sotto il profilo della negoziazione con il Pubblico Ministero è il primo, ossia l’individuazione della “pena base”.

Mentre infatti gli altri snodi prevedono aumenti o diminuzioni per lo più strettamente vincolati dalla legge sia circa l’an che il quantum, la determinazione della “pena base” è non solo fondamentale ai fini del risultato finale del calcolo, ma anche fortemente discrezionale.

È infatti parametrata alla gravità del fatto di reato descritto al capo di incolpazione/imputazione, sulla base dei criteri previsti dall’art. 133 c.p. che, come noto, non offrono all’interprete un appiglio certo, essendo formulati in modo assai generico.

È dunque fondamentale valorizzare al meglio ogni elemento utile a “smorzare” la gravità del reato ipotizzato al fine di ridurre al massimo il punto di partenza del calcolo. 

V. Quali sono i benefici previsti dal patteggiamento?

In aggiunta alla già menzionata riduzione della pena detentiva fino a un terzo, questo rito alternativo riconosce all’imputato ulteriori benefici.

Anche in relazione a questo punto, è però necessario fare una distinzione tra patteggiamento tradizionale e allargato.

Tra i benefici che si applicano all’imputato che stipuli il patteggiamento tradizionale vi sono:

-La possibilità di subordinare l’efficacia dell’accordo alla concessione della sospensione condizionale della pena (si tenga però a mente quanto anticipato in premessa);

-La mancata condanna al pagamento delle spese del procedimento penale (salvo l’eventuale pagamento delle spese di mantenimento in custodia cautelare e al pagamento delle spese c.d. di giustizia, ad esempio di conservazione dei beni sequestrati);

-La mancata applicazione di misure di sicurezza, ad eccezione della confisca obbligatoria;

-L’estinzione del reato se l’imputato non commette un delitto o una contravvenzione della stessa indole entro il termine di cinque anni (se si tratta di delitto) ovvero di due anni (in caso di patteggiamento per contravvenzioni);

-La mancata indicazione nel certificato del casellario giudiziale del provvedimento ove richiesto dall’interessato;

-La mancata irrogazione, come regola generale, delle pene accessorie disciplinate dall’art. 19 c.p., salvo l’eccezione di cui si dirà a breve, introdotta dalla Legge n. 3/2019 (nota anche come Legge Spazzacorrotti), nei casi in cui si proceda per determinati reati contro la Pubblica Amministrazione.

Al contrario, il legislatore non ha previsto benefici ulteriori nell’ipotesi di patteggiamento allargato.

In questo caso, pertanto, si applicheranno di regola anche le pene accessorie.

VI. Quando si applicano le pene accessorie? Possono essere oggetto dell’accordo?

Come brevemente anticipato, di norma, ai reati oggetto di patteggiamento tradizionale non è possibile applicare le pene accessorie di cui all’art. 19 c.p., quali – a titolo non esaustivo – (i) l’interdizione legale (ii) l’interdizione da una professione (iii) l’interdizione dagli uffici direttivi delle persone giuridiche e delle imprese.

Tuttavia, il nuovo art. 445, comma 1-ter,c.p.p., introdotto con la Legge anticorruzione n. 3/2019 ha reso possibile applicare le pene accessorie di cui all’art. 317-bis c.p., e quindi (i) l’interdizione dai pubblici uffici e (ii) l’’incapacità di contrattare con la Pubblica Amministrazione sia nel caso di patteggiamento tradizionale, sia nell’ambito di quello allargato, quando l’addebito riguarda determinati gravi reati contro la Pubblica Amministrazione (artt. 314, primo comma, 317, 318, 319, 319-ter, 319-quater, primo comma, 320, 321, 322, 322-bis e 346-bis c.p.).

L’applicazione della sanzione de quo, però, non è automatica ed indefettibile, essendo rimessa alla valutazione del Giudice.

Il mancato automatismo vige anche nelle ipotesi di patteggiamento allargato, come da ultimo ricordato dalla Corte di Cassazione (cfr. Cass. Pen., Sez. VI, 22 aprile 2022, n. 18510).

In entrambi i casi, la Legge anticorruzione ha permesso all’imputato che formuli la richiesta di patteggiamento di subordinarla all’esenzione delle pene accessorie di cui sopra.

Secondo la disposizione normativa, allora, si riconosce all’imputato la possibilità di “patteggiare” queste specifiche pene accessorie, fermo restando il potere del Giudice di rigettare in blocco la richiesta di patteggiamento.

Al di fuori di questa unica ipotesi, quando la pena irrogata è inferiore ai due anni è preclusa l’applicazione di qualunque pena accessoria. Questo vale, ad esempio, anche in tema di bancarotta fraudolenta, non rientrando l’art. 216 Legge Fallimentare tra le deroghe previste dall’art. 445, comma 1-ter, c.p.p. (ex multis, Cass. Pen., Sez. V, 26 novembre 2021, n. 383; Cass. Pen., Sez. V, 28 novembre 2019, n. 10988).

VII. Quali sono i principali interventi posti in essere dalla Riforma Cartabia?

Premesso che la finalità dell’intervento normativo è prevalentemente deflattiva, il legislatore ha voluto incentivare il ricorso ai riti alternativi rispetto a quello ordinario.

Con particolare riguardo all’applicazione della pena su richiesta delle parti, l’intento legislativo è stato quello di rendere più attrattivo il ricorso a questo strumento, eliminando – ovvero attenuando –alcuni effetti negativi che non agevolano la scelta del rito.

Indubbiamente, la principale novità attiene all’ampliamento della materia negoziabile nei casi di patteggiamento allargato estesa – a partire dal 30 dicembre 2022 – alle pene accessorie e alla confisca facoltativa del prezzo o profitto del reato.

Ad esempio, in caso di contestazione del reato di bancarotta, l’imputato avrà la possibilità di “patteggiare”, oltre che la pena principale, anche la pena accessoria dell’interdizione, tutte le volte in cui la pena, al netto della riduzione fino a un terzo, superi i due anni.

Questa nuova negoziabilità, tuttavia, non è ammessa, per espressa previsione normativa, quando si procede per quei gravi reati contro la Pubblica Amministrazione, di cui al § VI.

Il D.lgs. n. 150/2022 non ha esteso la portata della negoziabilità alle sanzioni amministrative accessorie, le quali, pertanto, non possono essere oggetto dell’accordo tra le parti.

Invece, la novella legislativa ha previsto la possibilità di includere nell’oggetto dell’accordo tra l’imputato e il Pubblico Ministero sia la confisca facoltativa sia la determinazione del suo oggetto o ammontare (art. 444 c.p.p.).

Quest’ultima facoltà si estende anche alle forme di patteggiamento tradizionale, come chiarito nella Relazione di accompagnamento al D.lgs. 150/2022.

VIII. È previsto un termine perentorio entro cui l’imputato o il Pubblico Ministero deve essere presentata la richiesta?

Sì.

La richiesta può essere formulata fino alla presentazione delle conclusioni in udienza preliminare e fino alla dichiarazione di apertura del dibattimento in caso di rito direttissimo.

In caso di giudizio immediato, l’imputato può fare richiesta entro 15 giorni dalla notifica, depositando la richiesta alla cancelleria del Giudice per le Indagini Preliminari.

Nell’ipotesi, invece, di decreto penale di condanna, la richiesta deve essere effettuata entro 15 giorni dalla notifica del decreto, nell’atto di opposizione.

Una richiesta unilaterale, che provenga nel corso delle indagini preliminari, obbliga il Giudice a fissare un termine perché la controparte possa esprimere un eventuale consenso, ma prima della scadenza di tale termine la richiesta non è revocabile.

Infine, con riferimento ai casi di citazione diretta a giudizio, la sede tipica di richiesta del rito speciale de quo, con l’entrata in vigore della Riforma Cartabia è l’udienza predibattimentale.

IX. Anche il consenso dell’altra parte deve essere espresso entro lo stesso termine?

Sì.

Il consenso deve essere espresso entro lo stesso termine, perciò l’eventuale negazione del consenso, da chiunque provenga, non ha effetto preclusivo in relazione ad un futuro possibile ripensamento, purché l’accordo si formi entro i termini previsti.

X. L’imputato può presentare autonomamente l’istanza?

Il codice riconosce all’imputato due modi attraverso cui esprimere la propria volontà: personalmente o a mezzo di un procuratore speciale.

Come modificato dalla Riforma Cartabia, la sottoscrizione è autenticata da un notaio, da una persona autorizzata o dallo stesso difensore.

XI. Quali sono i poteri del Giudice?

Il Giudice al quale è presentata la proposta di patteggiamento può esclusivamente accogliere o rigettare – integralmente – la richiesta. È, invero, preclusa ogni possibilità di modifica o integrazione dell’accordo. A tal proposito, infatti, si segnala il terzo comma dell’art. 444 c.p.p. il quale prevede che quando il richiedente, nel formulare l’istanza ne subordini l’efficacia alla concessione della sospensione condizionale della pena, ma il Giudice non ritiene di concederla, questi sarà tenuto a rigettare l’intera richiesta.

Di conseguenza, il controllo del Giudice si limita esclusivamente alla valutazione circa la legittimità e fondatezza dell’accordo.

XII. Il provvedimento che accoglie l’istanza di patteggiamento ha valore probatorio nei procedimenti dinnanzi ad altre Autorità Giudiziarie?

No.

Sul tema è stata risolutiva la recente novella che ha posto fine ad un lungo contrasto, sia dottrinale che giurisprudenziale, sull’effettivo valore probatorio del provvedimento de quo. È stata sancita – a livello normativo – l’assoluta irrilevanza probatoria della sentenza di patteggiamento in ogni procedimento giurisdizionale diverso da quello penale. Si fa riferimento, quindi, ai procedimenti dinnanzi al giudice civile, amministrativo, tributario o disciplinare, in tutti i casi in cui il fatto storico oggetto del predetto provvedimento possa avere una qualche rilevanza in quelle sedi.

Viene in questo modo notevolmente ridotta l’incisività degli effetti extra-penali della sentenza di patteggiamento.

Oltre all’irrilevanza da un punto di vista probatorio, al provvedimento in questione continua a non essere riconosciuta l’efficacia di giudicato nel giudizio civile per le restituzioni e il risarcimento.

XIII. In caso di patteggiamento, la parte civile è tutelata?

No.

La parte civile è il soggetto maggiormente sacrificato dal patteggiamento.

Difatti, il Giudice quando accoglie la concorde richiesta dell’imputato e del Pubblico Ministero, non può decidere sulla richiesta di risarcimento del danno derivante da reato.

La parte civile, di conseguenza, sarà tenuta ad instaurare il processo civile per ottenere il proprio ristoro.

Ad ogni modo, come detto nel paragrafo che precede, la sentenza irrevocabile che applica la pena “patteggiata” non ha efficacia di giudicato nel giudizio civile.

Il legislatore ha comunque previsto una – limitata – tutela della parte civile, poiché il Giudice deve condannare l’imputato a risarcire le spese processuali sostenute dalla parte civile, salvo che ricorrano giusti motivi di compensazione totale o parziale.

XIV. È possibile subordinare il patteggiamento alla restituzione del profitto del reato?

Sì.

Difatti, in alcuni specifici casi il patteggiamento è ammesso soltanto quando l’imputato ha restituito il prezzo o profitto del reato.

Ciò accade, ad esempio, nei procedimenti per alcuni reati tributari concernenti la dichiarazione dei redditi (per un maggior approfondimento, si segnala il Focus giugno 2021) e nei procedimenti per i più gravi delitti contro la Pubblica Amministrazione, previsti, a titolo esemplificativo, dagli artt. 314, 317, 318, 319 c.p.

RGA Online – Qual è la qualifica giuridica dei materiali provenienti da demolizione?

La nostra Francesca Procopio interviene su Rivista Giuridica dell’Ambiente online con una nota a una recente sentenza in materia.

Qui il link all’articolo:

Sulla qualifica giuridica dei materiali provenienti da demolizione

Diritto Bancario – Giustizia riparativa nella Riforma Cartabia e Corporate Violence

La nostra Francesca Procopio interviene su Diritto Bancario con un articolo dal titolo “ Giustizia Riparativa nella Riforma Cartabia e Corporate Violence”.

Giustizia Riparativa e Corporate Violence

Con il precedente contributo sono state analizzate due tra le principali novità introdotte dal D.lgs. 10 ottobre 2022, n. 150 e ss.mm.ii., attuativo della c.d. Riforma Cartabia per il processo penale: la procedibilità per determinati reati e la giustizia riparativa, entrambe riguardanti il rapporto tra vittima e colpevole.

In particolare, dell’inedito istituto della giustizia riparativa sono stati tratteggiati i lineamenti essenziali, mediante una disamina della disciplina di nuova introduzione.

Già da un primo sguardo alle norme di riferimento, contenute nel Titolo IV (rubricato “Disciplina organica della giustizia riparativa”), emerge come si tratti di una vera e propria rivoluzione culturale, il cui impatto va ben oltre i confini del processo: andando a incidere sulla tradizionale concezione della giustizia penale, il nuovo paradigma risponde all’esigenza che i modelli sanzionatori – anche tenuto conto della ormai radicale crisi della pena carceraria – non si fondino più sulla ritorsione punitiva, bensì sulla potenzialità ricostruttiva dell’incontro tra vittima e colpevole.

Come evocato dalla copertina del presente contributo, la giustizia tradizionale – che con una mano brandisce la spada per punire, con l’altra regge la bilancia per pesare i comportamenti umani e dosare la pena, bendata a simboleggiare la sua imparzialità – assiste al sorgere di un nuovo modello di giustizia, incentrato sul dialogo tra la vittima e il colpevole e finalizzato a riparare la ferita cagionata dal reato alla vittima e alla comunità, riportando armonia nel tessuto relazionale e sociale.

L’implementazione della giustizia riparativa, già sperimentata con successo in altri ordinamenti (e in parte testata in alcuni micro-settori del nostro sistema penale) può, ad avviso di chi scrive, essere senz’altro accolta con favore.

Ma quali potranno essere le sue concrete declinazioni nell’ambito della criminalità d’impresa?

Vi è lo spazio per contemperare la tutela di interessi diversi e tra loro confliggenti, quali quelli delle persone offese, dell’impresa, del mercato e – non ultimo – del reo?

A questo e ad altri interrogativi si proverà a rispondere tramite le riflessioni che seguono, muovendo da una rassegna degli esperimenti di restorative justice che hanno fatto da preludio alla Riforma Cartabia, passando per una disamina del fenomeno della corporate violence e, infine, indagando i possibili orizzonti applicativi della nuova disciplina in rapporto al diritto penale dell’economia.

***

I. Premessa.

Dalla retribuzione alla riconciliazione: così potrebbe essere definita l’essenza della giustizia riparativa, che – nell’ottica di un pieno, efficace ed effettivo rispetto dell’imperativo costituzionale della rieducazione – mira alla ricucitura dei legami che il reato ha lacerato e al recupero sociale del reo.

Riconoscere nella sanzione penale un contributo riparativo significa infatti rispondere al male commesso con il bene proposto – in prima battuta alla vittima e poi anche alla collettività – dallo stesso autore del reato, così incentivando la sua responsabilizzazione e, quindi, la sua rieducazione.

Il riconoscimento, da parte del reo, della propria responsabilità, costituisce il primo fondamentale passo per intraprendere un cammino di giustizia riparativa: in questo senso, appaiono legittime alcune perplessità rispetto al concreto spazio che il nuovo paradigma di giustizia potrà avere nella criminalità economica, ambito nel quale il reo è solito manifestare una tendenza a negare, piuttosto che ad ammettere, la propria responsabilità.

Ciò nonostante, come si vedrà nel prosieguo, alcuni degli esperimenti di riparazione ante litteram hanno trovato terreno fertile – tra gli altri – proprio nella dimensione d’impresa, segnatamente con la disciplina della responsabilità da reato degli enti di cui al D.lgs. 8 giugno 2001, n. 231.

Ciò lascia presagire che, pur fronteggiando iniziali ostacoli, ci possano essere in futuro margini per una declinazione concreta di percorsi di giustizia riparativa strutturati per coinvolgere, accanto alle persone fisiche, anche le organizzazioni complesse.

II. Esperimenti di riparazione prima della Riforma Cartabia

Volgendo uno sguardo generale allo status quo ante, possono essere individuati nel nostro ordinamento alcuni sparsi e frammentati istituti ispirati a logiche di giustizia riparativa.

Tra i settori in cui si sono registrati interventi del legislatore in questa direzione vi sono:

1. il processo penale minorile;

2. il processo penale dinnanzi al Giudice di Pace;

3. il processo penale ordinario, rispetto al quale occorre distinguere istituti di carattere generale e settoriale;

4. il processo penale agli enti.

*

1. Il processo penale minorile, disciplinato dal D.P.R. 22 settembre 1988, n. 448, rappresenta uno dei micro-sistemi che ha dimostrato maggiore apertura verso la restorative justice. La ragione di questa vocazione trova fondamento nella natura stessa del processo al minore, che mira a soddisfare, in primo luogo, le esigenze di educare e riparare.

La tutela di personalità ancora in via di formazione, in uno alla necessità di trasmettere ai minori la percezione del senso della regola e il suo valore in un sistema che tende al recupero della convivenza sociale, ha indotto il legislatore a prevedere una serie di strumenti educativi e riparativi, cui è informato l’intero sistema processuale.

Tra gli istituti che sono espressione di una logica riparativa nel processo minorile, spiccano:

-l’irrilevanza del fatto ex art. 27 D.P.R. 448/1988, che può essere pronunciata allorché il fatto sia ritenuto tenue, il comportamento sia occasionale e il procedimento sia suscettibile di arrecare un pregiudizio alle esigenze educative del minore. Tale istituto può trovare applicazione anche all’esito di un percorso conciliativo tra le parti in fase pre-processuale: la riconciliazione tra il minore e la vittima del reato, infatti, consente di considerare il fatto reato “attenuato”, così legittimando il Giudice a dichiararne la (ir)rilevanza sociale. L’istituto contempla altresì un obbligatorio momento di confronto ai fini del decidere: è previsto infatti che il Giudice senta il minore, l’esercente la potestà genitoriale e la persona offesa;

–la sospensione del processo con messa alla prova ex art. 28 del decreto, che consente al Giudice, sentite le parti, di sospendere il processo con ordinanza “quando ritiene di valutare la personalità del minorenne” all’esito di una prova; nell’ordinanza, il Giudice può anche “impartire prescrizioni dirette a riparare le conseguenze pregiudizievoli del reato e a promuovere la conciliazione del minorenne con la persona offesa dal reato”. La minaccia della pena, dunque, rimane sullo sfondo, fungendo da incentivo alla riparazione degli effetti lesivi e alla risocializzazione del minore mediante la probation.

Le finalità rieducative e riparative che contrassegnano tali istituti, a ben vedere, non sono circoscritte alla responsabilizzazione del minore autore del reato rispetto alla vittima; esse sono piuttosto tese a stimolare un cambio di rotta nel comportamento del minore rispetto alla comunità nel suo complesso, nella direzione dell’osservanza delle regole della convivenza civile.

2. Un altro settore nel quale si rinvengono spazi normativi ispirati alla giustizia riparativa è quello del processo penale dinnanzi al Giudice di Pace, regolato dal D.lgs. 28 agosto 2000, n. 274. Nel novero delle disposizioni che in tale sede assolvono ad una funzione riparatoria, possono essere richiamati i seguenti istituti:

–ex art. 29 D.lgs. n. 274/2000, che il Giudice è tenuto a promuovere nei casi in cui il reato sia perseguibile a querela, rinviando, se occorre, l’udienza per consentire alle parti di trovare un punto di incontro, eventualmente servendosi della mediazione di centri specializzati;

–l’esclusione della procedibilità nei casi di particolare tenuità del fatto ex art. 34 del decreto, che può essere riconosciuta – sia dal Pubblico Ministero in fase di indagini che dal Giudice dopo l’esercizio dell’azione penale – allorché ci siano i presupposti per approntare una tutela risarcitoria e/o restitutoria in luogo dell’applicazione della pena;

–l’estinzione del reato conseguente a condotte riparatorie ex art. 35 del decreto, che consente al Giudice, sentite le parti e la persona offesa, di dichiarare l’estinzione del reato quando l’imputato dimostra di aver proceduto – prima dell’udienza di comparizione – alla riparazione del danno o alla eliminazione delle conseguenze dannose o pericolose. A tal fine, il Giudice non valuta la riparazione esclusivamente sotto il profilo oggettivo, ma accerta altresì che, dall’esperienza riparativa, l’imputato abbia tratto una forte motivazione a non reiterare la condotta illecita.

3.  Attingendo dallo strumentario già previsto nel processo penale minorile e nel processo penale dinnanzi al Giudice di Pace, sono stati introdotti anche nel processo penale ordinario alcuni istituti anticipatori dell’ideologia sottostante alla Riforma Cartabia

Tra le forme di sperimentazione ravvisabili nelle trame del codice penale si possono menzionare, a titolo esemplificativo:

–l’estinzione del reato per condotte riparatorie, regolata dall’art. 162 ter c.p., che stimola la riparazione integrale del danno da reato per le ipotesi procedibili a querela. Sebbene l’obiettivo del legislatore fosse più quello di ridurre il carico giudiziario per i reati privi di particolare allarme sociale che non di favorire logiche di riconciliazione tra la vittima e l’autore, è indubbio che tale istituto salvaguardi gli interessi delle persone offese e, nei fatti, realizzi una forma di ricomposizione del conflitto;

-la sospensione del procedimento con messa alla prova, disciplinata dall’art. 168 bis c.p. (e, quanto ai profili processuali, dagli artt. 464 bis ss. c.p.p.) che, analogamente all’omonimo istituto previsto per il processo minorile, consente all’imputato di evitare il processo svolgendo lavori di pubblica utilità e, se possibile, un’attività di mediazione con la vittima, oltre al risarcimento del danno e all’eliminazione delle conseguenze pregiudizievoli derivanti dal reato.

Iniziative legislative di carattere riparatorio trovano altresì conferma in talune discipline specifiche, quali la normativa in materia di salute e sicurezza sul lavoro e in materia ambientale.

Volgendo lo sguardo al diritto penale ambientale, senza pretese di esaustività, possono individuarsi alcune norme che riflettono un’apertura verso il nuovo paradigma di giustizia, discostandosi dal tradizionale modello sanzionatorio; apertura che si estrinseca nella valorizzazione delle condotte riparatorie poste in essere dall’autore del reato. Tra le disposizioni più rilevanti:

-il ravvedimento operoso di cui l’art. 452 decies c.p. consente, secondo un’ottica premiale, una riduzione di pena, qualora l’autore del reato adotti – prima dell’apertura della fase dibattimentale – determinati comportamenti, quali la bonifica, la messa in sicurezza, il ripristino dello stato dei luoghi, idonei a ridurre le conseguenze pregiudizievoli del reato;

-le norme incriminatrici della omessa bonifica, di cui all’art. 452 terdecies c.p. e art. 257 D.lgs. 3 aprile 2006, n. 152, che consentono entrambe di apprezzare, valorizzandola, la funzione marcatamente riparatoria e ripristinatoria cui è preposto il diritto penale dell’ambiente; il legislatore utilizza infatti la minaccia della sanzione penale non solo per prevenire l’offesa ma anche per incentivare il ripristino dello status quo ante delictum e, cioè, la rimozione del danno ambientale.

4.  In ultimo, alcuni istituti di matrice riparativa possono rinvenirsi nella disciplina della responsabilità da reato degli enti di cui al D.lgs. 8 giugno 2001, n. 231. Segnatamente:

-gli artt. 12 e 17 del decreto, nell’individuare i casi di riduzione della sanzione pecuniaria e di disapplicazione delle sanzioni interdittive, richiedono all’ente di risarcire integralmente il danno ed eliminare le conseguenze dannose o pericolose del reato ovvero di adoperarsi efficacemente in tal senso.

Da questa sintetica analisi si evince, dunque, come il legislatore italiano avesse già da tempo iniziato ad acquisire consapevolezza circa l’esigenza di aprirsi ad un modello sanzionatorio alternativo a quello retributivo. Al contempo, è evidente che, prima della Riforma Cartabia, nonostante le sperimentazioni sopra brevemente passate in rassegna, si fosse ancora lontani dall’accogliere pienamente il paradigma della restorative justice, che va ben oltre la riparazione oggettiva delle conseguenze del reato puntando anche – e soprattutto – a riparare i legami soggettivi che questo ha lacerato, mediante il ricorso a forme di mediazione tra reo e vittima, con il coinvolgimento della comunità interessata.

III. La vittima nel contesto dei reati d’impresa

Prima di sviluppare qualsivoglia considerazione in merito al possibile spazio applicativo della giustizia riparativa nel microcosmo del diritto penale d’impresa all’indomani della Riforma Cartabia, occorre delineare sinteticamente i tratti delle vittime di corporate violence.

Con tale locuzione si fa riferimento a quei reati commessi dalle società commerciali nell’ambito della loro – legittima – attività d’impresa, che comportano una lesione dei beni vita, integrità fisica o salute. La casistica in materia di violenza nelle corporations è estremamente ampia e variegata, spaziando dagli illeciti in materia della salute e sicurezza sul lavoro, a quelli in materia ambientale e, ancora, a quelli riguardanti la commercializzazione di farmaci difettosi.

Il concetto di corporate violence va inteso secondo una accezione più ampia rispetto a quella attribuita alla violenza c.d. convenzionale. Esso presenta infatti tratti peculiari, in quanto non richiede né profili di intenzionalità delle condotte lesive né tantomeno una interazione diretta tra la vittima e l’autore del reato al momento dell’offesa.

Al contrario, spesso la vittima di corporate violence si scontra con la difficoltà di individuare precisamente il responsabile della condotta illecita tenuta (anche) ai suoi danni, perché l’azienda viene percepita come un’entità complessa, quasi astratta.

Tutto ciò colloca le vittime di corporate crimes in una condizione di particolare vulnerabilità rispetto a quelle di altri reati che, nella coscienza collettiva, appaiono meritevoli di maggiore e più immediata tutela. 

Tale condizione di fragilità è ulteriormente acuita dall’asimmetria che le vittime dei reati di impresa avvertono rispetto all’impresa, in termini informativi, di potere economico e di ventaglio di strumenti di tutela di cui avvalersi.  

Ne derivano, dunque, particolari esigenze di assistenza e protezione, che non hanno quasi mai trovato adeguata soddisfazione nel processo penale.

Da questo punto di vista, un siffatto contesto potrebbe rivelarsi il terreno più adatto per il nuovo paradigma di giustizia che, nel tendere alla ricomposizione dei rapporti tra la vittima e l’autore del reato lacerati dalla condotta criminosa, mostrerebbe i propri benefici in termini di maggior e più efficace tutela della vittima rispetto al modello sanzionatorio tradizionale.

IV. Quale futuro per la giustizia riparativa nella criminalità d’impresa?

Pur dovendo rimandare a un secondo momento ogni valutazione sui concreti effetti della giustizia riparativa nella criminalità d’impresa, dovendosi necessariamente attendere la sua effettiva applicazione che – in assenza di rinvii – inizierà a far data dal 30 giugno 2023, possono essere svolte sin d’ora alcune riflessioni sulle potenzialità del nuovo istituto.

Il neo-introdotto modello di giustizia appare un efficace incentivo alla responsabilizzazione dei cd. colletti bianchi, generalmente restii a indossare le vesti dell’autore del reato e, piuttosto, propensi a trovare giustificazioni alle proprie condotte (a titolo esemplificativo, addossando la responsabilità dell’illecito a una impersonale necessità dettata da una congiuntura economica sfavorevole).

In questo senso, l’incontro con la vittima (rectius, le vittime) e con la comunità che ha subìto gli effetti pregiudizievoli dell’illecito potrebbe favorire una presa di consapevolezza da parte dei rappresentanti delle imprese, prodromica all’individuazione – in un contesto di volontario confronto e dialogo – delle misure riparatorie più adatte al caso concreto.

Come si è visto, l’ambito della criminalità d’impresa è già stato un banco di prova di logiche punitive alternative a quella tradizionale: il D.lgs. n. 231/2001 ha a suo tempo adottato un approccio non più soltanto retributivo, ma caratterizzato da tratti significativamente riparativi, con ciò anticipando parzialmente le logiche sottostanti alla Riforma Cartabia.

L’auspicio è che, in prospettiva, ciò apra la strada all’attivazione di programmi che vedano l’impesa, le vittime e gli altri soggetti o membri della comunità direttamente o indirettamente colpiti da un reato confrontarsi e partecipare insieme, attivamente, alla risoluzione del conflitto determinato dalla commissione dell’illecito.