conversione in legge del decreto cyber security
il decreto-legge 21 settembre 2019, n. 105 che ha introdotto misure urgenti in materia di perimetro di sicurezza nazionale cibernetica con l'obiettivo di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati è stato convertito in legge lo scorso 14 novembre.
si tratta di un provvedimento che attraverso l'istituzione di un perimetro di sicurezza nazionale cibernetica e la previsione di apposite misure intende garantire elevati standard di sicurezza necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità potrebbe derivare un pregiudizio per la sicurezza nazionale.
i soggetti destinatari degli obblighi: la legge di conversione prevede che entro quattro mesi dalla data di entrata in vigore del provvedimento - con decreto del presidente del consiglio dei ministri - vengano individuate le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati inclusi nel perimetro di sicurezza nazionale cibernetica e tenuti al rispetto delle misure e degli obblighi oggetto della riforma.
le procedure: la novella legislativa rinvia inoltre ad un decreto del presidente del consiglio dei ministri - da emettere su proposta del cisr (comitato interministeriale per la sicurezza della repubblica), previo parere delle competenti commissioni parlamentari - la determinazione delle procedure di notifica degli incidenti prodottisi su reti, sistemi informativi e sistemi informatici inclusi nel perimetro di sicurezza nazionale cibernetica e l’adozione di misure di sicurezza.
e’ inoltre richiesto che tutti i soggetti che rientrano nel perimento di sicurezza nazionale cibernetica predispongano e aggiornino con cadenza almeno annuale un elenco delle reti, dei sistemi informativi e dei servizi informatici di rispettiva pertinenza.
e’ invece rimessa ad un regolamento - da emanarsi con decreto del presidente del consiglio dei ministri - la definizione delle procedure, delle modalità e dei termini ai quali devono attenersi le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati, inclusi nel perimetro di sicurezza nazionale cibernetica, che intendano procedere all'affidamento di forniture di beni, sistemi e servizi ict, destinati ad essere impiegati sulle reti, sui sistemi informativi e per l'espletamento di specifici servizi informatici individuati.
le sanzioni: quanto alle sanzioni si rileva che all’art. 1 comma 9 sono individuate le sanzioni amministrative pecuniarie applicabili in caso di violazione delle disposizioni previste nel testo di legge mentre al comma 11 viene introdotta una nuova fattispecie di reato contestualmente inserita nel catalogo dei reati presupposto che danno luogo alla responsabilità amministrativa dell’ente dipendente da reato.
la fattispecie in esame sanziona “chiunque, allo scopo di ostacolare o condizionare l'espletamento dei procedimenti di cui al comma 2, lettera b), o al comma 6, lettera a), o delle attività ispettive  e  di  vigilanza previste dal comma 6, lettera c), fornisce informazioni, dati o elementi  di  fatto  non  rispondenti al vero, rilevanti per la predisposizione o l'aggiornamento degli elenchi di cui al comma  2, lettera b), o ai fini delle comunicazioni di cui al comma 6, lettera a), o per lo svolgimento delle attività ispettive e di vigilanza di cui al comma 6), lettera c) od omette di comunicare entro i termini prescritti i predetti dati, informazioni o elementi di fatto”.
la violazione è punita con la reclusione da uno a cinque anni mentre all'ente responsabile ai sensi del decreto legislativo 8 giugno 2001, n. 231, si applica la sanzione pecuniaria fino a 400 quote.
per valutare l'effettiva portata di questa nuova estensione della responsabilità 231 occorrerà attendere che siano individuati con precisione i soggetti - pubblici e privati - destinatari delle prescrizioni di cui alla novella legislativa.
come noto con il termine whistleblowing si fa riferimento alle segnalazioni di condotte illecite di cui un soggetto è venuto a conoscenza in ragione del proprio rapporto di lavoro.
negli ultimi anni il soggetto segnalante ha beneficiato in italia di una tutela crescente volta, da un lato, a garantire la riservatezza della segnalazione stessa attraverso appositi strumenti informatici e, dall’altro, a impedire che il whistleblower possa essere esposto a misure ritorsive o discriminatorie sul luogo di lavoro per motivi collegati direttamente o indirettamente alla segnalazione.
con specifico riferimento alle violazioni rilevanti in base al d.lgs. 231/2001 si segnala che con legge 30 novembre 2017 n. 179 è stato inserito all’art. 6 d.lgs. 231/2001 un nuovo comma 2 bis in base al quale “i modelli di cui alla lettera a) del comma 1 prevedono: 
1. a) uno o più canali che consentano ai soggetti indicati nell'articolo 5, comma 1, lettere a) e b), di presentare, a tutela dell'integrità dell'ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto e fondate su elementi di fatto precisi e concordanti, o di violazioni del modello di organizzazione e gestione dell'ente, di cui siano venuti a conoscenza in ragione delle funzioni svolte; tali canali garantiscono la riservatezza dell'identità del segnalante nelle attività di gestione della segnalazione;
2. b) almeno un canale alternativo di segnalazione idoneo a garantire, con modalità informatiche, la riservatezza dell'identità' del segnalante;
3. c) il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione;
4. d) nel sistema disciplinare adottato ai sensi del comma 2, lettera e), sanzioni nei confronti di chi viola le misure di tutela del segnalante, nonché di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate.
2-ter. l'adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni di cui al comma 2-bis può essere denunciata all'ispettorato nazionale del lavoro, per i provvedimenti di propria competenza, oltre che dal segnalante, anche dall'organizzazione sindacale indicata dal medesimo. 
2-quater. il licenziamento ritorsivo o discriminatorio del soggetto segnalante è nullo. sono altresì nulli il mutamento di mansioni ai sensi dell'articolo 2103 del codice civile, nonché qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante. e' onere del datore di lavoro, in caso di controversie legate all'irrogazione di sanzioni disciplinari, o a demansionamenti, licenziamenti, trasferimenti, o sottoposizione del segnalante ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro, successivi alla presentazione della segnalazione, dimostrare che tali misure sono fondate su ragioni estranee alla segnalazione stessa”.
la disciplina in esame presuppone quindi l'adozione da parte dell’ente di un modello organizzativo e la nomina dell'organismo di vigilanza, destinatario delle segnalazioni. deve inoltre essere individuato lo strumento tecnico idoneo a garantire la riservatezza del segnalante.
quanto alle recenti novità si segnala che in data 7 ottobre 2019 il parlamento europeo e il consiglio dell’unione europea hanno adottato una direttiva in materia di protezione degli individui che segnalano violazioni delle norme comunitarie al fine di ottenere l’armonizzazione della disciplina interna degli stati membri.
in particolare la direttiva si applica alle persone segnalanti che lavorano nel settore privato o pubblico e vengono individuate quelle che sono le norme minime in materia di procedura per la segnalazione degli illeciti. agli stati membri è richiesta la realizzazione di canali sicuri tali da garantire la riservatezza dell’identità della persona segnalante e impedire l’accesso a personale non autorizzato.
si richiede inoltre che entro un termine massimo di 7 giorni dalla segnalazione venga dato avviso alla persona che ha effettuato la stessa della ricezione da parte del destinatario. al contempo deve essere individuato dagli stati membri un termine per dare riscontro sul seguito della segnalazione al whistleblower.
con riferimento all’obbligo di riservatezza la direttiva prevede che “gli stati membri provvedono affinché l'identità della persona segnalante non sia divulgata, senza il suo consenso esplicito, a nessuno che non faccia parte del personale autorizzato competente a ricevere le segnalazioni e/o a darvi seguito. altrettanto vale per qualsiasi altra informazione da cui si possa dedurre direttamente o indirettamente l'identità della persona segnalante. 
in deroga al paragrafo 1, la divulgazione dell'identità della persona segnalante e di qualsiasi altra informazione di cui al paragrafo 1 è ammessa solo qualora ciò rappresenti un obbligo necessario e proporzionato imposto dal diritto dell'unione o nazionale nel contesto di indagini da parte delle autorità nazionali o di procedimenti giudiziari, anche al fine di salvaguardare i diritti della difesa della persona coinvolta.
tale divulgazione è oggetto di adeguate garanzie ai sensi delle norme applicabili. in particolare, la persona segnalante è informata prima della divulgazione della sua identità, a meno che ciò non pregiudichi indagini o procedimenti giudiziari. quando informa la persona segnalante, l'autorità competente invia a quest'ultima una motivazione scritta volta a spiegare le ragioni alla base della divulgazione dei dati riservati in questione”.
da ultimo si segnala che con delibera n. 782 del 4 settembre 2019 l’anac ha irrogato la prima sanzione pecuniaria in tema di whistleblowing di cui è stato destinatario il soggetto firmatario dei provvedimenti ritenuti ritorsivi posti in essere in danno di un pubblico dipendente che aveva effettuato una segnalazione ai sensi della normativa di settore.
il decreto-legge 21 settembre 2019, n. 105 che ha introdotto misure urgenti in materia di perimetro di sicurezza nazionale cibernetica con l'obiettivo di assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati è stato convertito in legge lo scorso 14 novembre.
si tratta di un provvedimento che attraverso l'istituzione di un perimetro di sicurezza nazionale cibernetica e la previsione di apposite misure intende garantire elevati standard di sicurezza necessari allo svolgimento di funzioni o alla prestazione di servizi, dalla cui discontinuità potrebbe derivare un pregiudizio per la sicurezza nazionale.
i soggetti destinatari degli obblighi: la legge di conversione prevede che entro quattro mesi dalla data di entrata in vigore del provvedimento - con decreto del presidente del consiglio dei ministri - vengano individuate le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati inclusi nel perimetro di sicurezza nazionale cibernetica e tenuti al rispetto delle misure e degli obblighi oggetto della riforma.
le procedure: la novella legislativa rinvia inoltre ad un decreto del presidente del consiglio dei ministri - da emettere su proposta del cisr (comitato interministeriale per la sicurezza della repubblica), previo parere delle competenti commissioni parlamentari - la determinazione delle procedure di notifica degli incidenti prodottisi su reti, sistemi informativi e sistemi informatici inclusi nel perimetro di sicurezza nazionale cibernetica e l’adozione di misure di sicurezza.
e’ inoltre richiesto che tutti i soggetti che rientrano nel perimento di sicurezza nazionale cibernetica predispongano e aggiornino con cadenza almeno annuale un elenco delle reti, dei sistemi informativi e dei servizi informatici di rispettiva pertinenza.
e’ invece rimessa ad un regolamento - da emanarsi con decreto del presidente del consiglio dei ministri - la definizione delle procedure, delle modalità e dei termini ai quali devono attenersi le amministrazioni pubbliche, gli enti e gli operatori nazionali, pubblici e privati, inclusi nel perimetro di sicurezza nazionale cibernetica, che intendano procedere all'affidamento di forniture di beni, sistemi e servizi ict, destinati ad essere impiegati sulle reti, sui sistemi informativi e per l'espletamento di specifici servizi informatici individuati.
le sanzioni: quanto alle sanzioni si rileva che all’art. 1 comma 9 sono individuate le sanzioni amministrative pecuniarie applicabili in caso di violazione delle disposizioni previste nel testo di legge mentre al comma 11 viene introdotta una nuova fattispecie di reato contestualmente inserita nel catalogo dei reati presupposto che danno luogo alla responsabilità amministrativa dell’ente dipendente da reato.
la fattispecie in esame sanziona “chiunque, allo scopo di ostacolare o condizionare l'espletamento dei procedimenti di cui al comma 2, lettera b), o al comma 6, lettera a), o delle attività ispettive  e  di  vigilanza previste dal comma 6, lettera c), fornisce informazioni, dati o elementi  di  fatto  non  rispondenti al vero, rilevanti per la predisposizione o l'aggiornamento degli elenchi di cui al comma  2, lettera b), o ai fini delle comunicazioni di cui al comma 6, lettera a), o per lo svolgimento delle attività ispettive e di vigilanza di cui al comma 6), lettera c) od omette di comunicare entro i termini prescritti i predetti dati, informazioni o elementi di fatto”.
la violazione è punita con la reclusione da uno a cinque anni mentre all'ente responsabile ai sensi del decreto legislativo 8 giugno 2001, n. 231, si applica la sanzione pecuniaria fino a 400 quote.
per valutare l'effettiva portata di questa nuova estensione della responsabilità 231 occorrerà attendere che siano individuati con precisione i soggetti - pubblici e privati - destinatari delle prescrizioni di cui alla novella legislativa. con sentenza n. 51654, del 13.10.2017 la corte di cassazione penale, seconda sezione, chiariva che il difensore dell'ente non può essere nominato dal legale rappresentate imputato del reato presupposto per cui l’ente viene chiamato in giudizio, dichiarando, conseguentemente, l’incompatibilità del difensore.
in particolare, i giudici di legittimità contestavano al legale della società di avere presentato “la richiesta di riesame del decreto di sequestro preventivo dell'attività della società (omissis) s.r.l. su nomina di (omissis), legale rappresentante della predetta società; società sottoposta alle indagini nel procedimento penale iscritto al n. 1324/2016 del r.g. della procura della repubblica presso il tribunale di barcellona pozzo di gotto. ma (omissis) è contestualmente indagato per il reato da cui dipende l'illecito amministrativo”.
si affermava, inoltre, che lo stesso ricorso per cassazione era stato presentato dal medesimo legale di fiducia concludendo che con riferimento “alla nomina del difensore dell'ente da parte dell'indagato (omissis), si deve rilevare che questa suprema corte ha affermato che è inammissibile, per difetto di legittimazione rilevabile di ufficio ai sensi dell'art. 591 c.p.p., comma 1, lett. a), la richiesta di riesame di decreto di sequestro preventivo presentata dal difensore dell'ente nominato dal rappresentante che sia imputato o indagato del reato da cui dipende l'illecito amministrativo”.
inoltre, si è precisato che “in tema di responsabilità da reato degli enti, il rappresentante legale indagato o imputato del reato presupposto non può provvedere, a causa di tale condizione di incompatibilità, alla nomina del difensore dell'ente, per il generale e assoluto divieto di rappresentanza posto dal d.lgs. 231/2001, art. 39”. concludendo, quindi, per l’inammissibilità del ricorso.
seguendo l’orientamento già delineato, la stessa sezione della corte di cassazione, con sentenza n. 52470, del 19.10.2018 dichiarava, inoltre, l’inefficacia di tutte le attività svolte dal difensore dell’ente nominato dal rappresentante legale incompatibile.
in particolare, nella menzionata pronuncia si legge che “il rappresentante legale indagato o imputato del reato presupposto non può provvedere, a causa di tale condizione di incompatibilità, alla nomina del difensore dell'ente, per il generale e assoluto divieto di rappresentanza posto dal su citato art. 39” e che “il divieto di rappresentanza stabilito dall'art. 39 è assoluto e non ammette deroghe in quanto funzionale ad assicurare la piena garanzia del diritto di difesa al soggetto collettivo, diritto che risulterebbe del tutto compromesso se l'ente partecipasse al procedimento attraverso la rappresentanza di un soggetto portatore di interessi confliggenti da un punto di vista sostanziale e processuale”.
nella pronuncia si chiarisce, inoltre, che “l'esistenza del "conflitto" è presunta iuris et de iure e la sua sussistenza non deve essere accertata in concreto, con l'ulteriore conseguenza che il divieto scatta in presenza della situazione contemplata dalla norma, cioè quando il rappresentante legale risulta essere imputato del reato da cui dipende l'illecito amministrativo, sicchè il giudice deve solo accertare che ricorra tale presupposto”.
conseguentemente "il giudice investito dell'atto propulsivo della difesa così officiata non potrebbe esimersi dal sindacare tale condizione sotto il profilo della ammissibilità dell'atto".
“l'inosservanza del divieto di cui all'art. 39 d.lgs. cit. produce necessariamente conseguenze sul piano processuale, in quanto tutte le attività svolte dal rappresentante "incompatibile" all'interno del procedimento penale che riguarda l'ente devono essere considerate inefficaci”.
per tali ragioni la corte annullava la sentenza impugnata, come quella di primo grado, pronunciata nei confronti dell'ente, trasmettendo nuovamente gli atti al giudice di prime cure.
da ultimo, la corte di cassazione penale, sez. iv, con la recente sentenza del 24.04.2019, n. 35934 in materia di infortuni sul lavoro depositata in data 9.09.2019 ha ribadito il principio secondo cui l'avvocato che assiste l'imputato del reato presupposto non può assistere anche la società chiamata a rispondere dell'illecito amministrativo conseguente. risultando evidente la sua incompatibilità. la corte di cassazione, sezione ii penale, con sentenza del 7 ottobre 2019, n. 41082 ha chiarito che l’estinzione non fraudolenta dell’ente impedisce la prosecuzione del processo penale nei confronti del soggetto giuridico.
i giudici di legittimità hanno, invero, precisato che: “nel caso in cui, come in quello di specie, si verifichi l'estinzione fisiologica e non fraudolenta dell'ente, correlata alla chiusura della procedura fallimentare, si verte in un caso assimilabile a quello della morte dell'imputato, dato che si è verificato un evento che inibisce la progressione del processo ad iniziativa pubblica previsto per l'accertamento della responsabilità da reato di un ente ormai estinto, ovvero di una persona giuridica non più esistente”.
tali conclusioni risultano confermate dal fatto “che il testo legislativo regolamenta sole le vicende inerenti la trasformazione dell'ente, ovvero la fusione o la scissione (d.lgs. n. 231 del 2001, art. 70), ma non la sua estinzione, che dunque non può che essere trattata applicando le regole del processo penale (d.lgs. n. 231 del 2001, art. 35)”.
la corte di cassazione ha inoltre specificato che “si ritiene non importabile nel processo a carico dell'ente per l'accertamento della responsabilità da reato il principio espresso dalla giurisprudenza civile secondo cui la cancellazione di una società di capitali dal registro delle imprese determina un fenomeno successorio in forza del quale i rapporti obbligatori facenti capo all'ente non si estinguono ma si trasferiscono ai soci che, a seconda del regime giuridico dei debiti sociali cui sono soggetti "pendente societate", ne rispondono nei limiti di quanto riscosso a seguito della liquidazione ovvero illimitatamente (cass. civ. sez. 5, ordinanza n. 13386 del 17/05/2019, rv. 653738; cass. civ. sez. 3, ordinanza n. 20840 del 21/08/2018, rv. 650423).
il trasferimento dei rapporti obbligatori in capo ai soci riconosciuto dalla giurisprudenza civile è infatti correlato alla necessità di tutelare l'interesse dei soggetti privati che vantano ancora pretese nei confronti dell'ente; la natura pubblica del processo a carico della società previsto dal d.lgs. n. 231 del 2001 è invece incompatibile con l'estinzione non fraudolenta dell'ente, ovvero con la cancellazione dal registro dalle imprese che consegue fisiologicamente alla chiusura della procedura fallimentare: tale evento produce infatti l'estinzione della persona giuridica "accusata" e, dunque, impedisce la prosecuzione del processo, salvo che tale cancellazione piuttosto che fisiologica sia invece fraudolenta, caso che imporrà la valutazione della eventuale responsabilità degli autori della cancellazione "patologica" (cassazione penale, sez. ii, 10.09.2019, n.41082)". con sentenza n. 1676 dell’11 dicembre 2019, depositata in data 16 gennaio 2020, la suprema corte di cassazione in tema di responsabilità amministrativa degli enti ha chiarito che:
“la confisca per equivalente del profitto di cui al d.lgs. n. 231 del 2001, art. 19, ha natura di sanzione principale e autonoma", senza che ricorra "rapporto di sussidiarietà o di concorso apparente tra la detta disposizione e le norme del codice penale che prevedono la stessa misura ablativa a carico delle persone fisiche responsabili del reato, fermo restando logicamente che l'espropriazione non potrà, in ogni caso, eccedere nel quantum l'entità complessiva del profitto";
- "la responsabilità della persona giuridica è aggiuntiva e non sostitutiva di quella delle persone fisiche, che resta regolata dal diritto penale comune";
- "il criterio d'imputazione del fatto all'ente è la commissione del reato "a vantaggio" o "nell'interesse" del medesimo ente da parte di determinate categorie di soggetti. v'è, quindi, una convergenza di responsabilità, nel senso che il fatto della persona fisica, cui è riconnessa la responsabilità anche della persona giuridica, deve essere considerato "fatto" di entrambe, per entrambe antigiuridico e colpevole, con l'effetto che l'assoggettamento a sanzione sia della persona fisica che di quella giuridica s'inquadra nel paradigma penalistico della responsabilità concorsuale";
- "di fronte ad un illecito plurisoggettivo deve applicarsi il principio solidaristico che informa la disciplina del concorso nel reato e che implica l'imputazione dell'intera azione delittuosa e dell'effetto conseguente in capo a ciascun concorrente. più in particolare, perduta l'individualità storica del profitto illecito, la confisca di valore può interessare indifferentemente ciascuno dei concorrenti anche per l'intera entità del profitto accertato (entro logicamente i limiti quantitativi dello stesso), non essendo esso ricollegato, per quello che emerge allo stato degli atti, all'arricchimento di uno piuttosto che di un altro soggetto coinvolto, bensì alla corresponsabilità di tutti nella commissione dell'illecito, senza che rilevi il riparto del relativo onere tra i concorrenti, che costituisce fatto interno a questi ultimi".
la corte di cassazione, partendo da tali premesse, giunge a ritenere che il sequestro preventivo finalizzato alla confisca per equivalente del profitto di uno dei reati di cui all'art. 322-ter c.p. può essere disposto, oltre che nei confronti dell'ente responsabile ex d.lgs. 231/2001, anche nei confronti delle persone fisiche, con l'unico limite di non eccedere il valore complessivo del suddetto profitto. si segnala che nella sezione giurisprudenza dell’osservatorio è stata inserita la più recente giurisprudenza in materia di interesse e vantaggio dell’ente.
in particolare:
- corte di cassazione, sez. iv penale, n. 3731 del 20.01.2020 in materia di lesioni colpose gravissime come conseguenza della violazione della disciplina antinfortunistica.
- corte di cassazione, sezione iv penale, n. 49775 del 27.11.2019 in cui la suprema corte di cassazione ha annullato il provvedimento emesso dai giudici di merito che avevano ritenuto sussistente la responsabilità amministrativa dell’ente ai sensi dell’art. 25-septies, comma 3, d.lgs. 231/2001 non ritenendo provato l’interesse e vantaggio dell’ente.
- corte di cassazione, sezione iv penale, n. 16598 del 24.01.2019, in tema di responsabilità degli enti derivante da reati colposi d’evento in violazione della normativa antinfortunistica dove il collegio ha posto in evidenza la distinzione esistente tra i concetti normativi di interesse e di vantaggio dell’ente. l’emergenza “coronavirus” impone alle società scelte nuove e una radicale riorganizzazione dell’attività di impresa per la tutela della salute e della sicurezza sui luoghi di lavoro.
tra queste vi rientra certamente il dovere di fornire ai lavoratori presidi di protezione individuale secondo le linee guida dell’organizzazione mondiale della sanità (prodotti igienizzanti per le mani e le superfici, guanti monouso, mascherine …) ove non sia possibile favorire lo svolgimento dell’attività lavorativa secondo la modalità “smart working”.
vi sono poi i doveri di formazione e informazione dei lavoratori che consistono nella diffusione in azienda delle comunicazioni ufficiali rese dagli organi competenti e nell’indicazione dei presidi di sicurezza adottati dalla società e a cui ciascuno ha il dovere di conformarsi.
al datore di lavoro è anche suggerito di predisporre, unitamente al medico competente, un aggiornamento del documento di valutazione dei rischi (“dvr”), effettuando una valutazione del rischio biologico correlato alla diffusione del virus sars-cov-2 e prevedendo specifiche misure di prevenzione e protezione.
l’aggiornamento di tale documento è, in particolare, suggerito - dato il diffondersi del virus e il profilarsi di una nuova situazione di rischio che potrebbe interessare tutti gli individui - in relazione ai rischi specifici connessi alle peculiarità dell’attività svolta in ciascun sito produttivo, ovvero laddove per le peculiarità dell’azienda, vi sia un pericolo di contagio da covid-19 aggiuntivo e differente rispetto a quello della popolazione in generale.
anche l’odv svolge, nell’ambito di questa emergenza, un ruolo tutt’altro che marginale essendo tenuto a verificare che il datore di lavoro e gli altri soggetti preposti alla sicurezza abbiano predisposto le misure igienico-sanitarie, di natura organizzativa e informativa, idonee a prevenire il rischio di contagio, nonché a valutare la concreta applicazione delle stesse all’interno della società.
tale responsabilità si declina in specifici compiti tra cui può rientrare il dovere di convocare una o più riunioni straordinarie che siano volte a valutare i presidi adottati dalla società per fare fronte alla situazione di emergenza, fornendo l’eventuale indicazione di ulteriori misure opportune o necessarie.
l’organismo di vigilanza può inoltre prendere contatti con il personale interno preposto (es. responsabile compliance) o con l’rspp per avere cognizione del contenuto di informative ed eventuali altre iniziative adottate in ambito salute e sicurezza sul lavoro.
tra le facoltà dell’odv vi può rientrare quella di predisporre un canale di comunicazione con tutto il personale aziendale affinché possano essere segnalate a tale organismo eventuali criticità legate alla mancata attuazione delle misure di prevenzione o all’esistenza di situazioni di pericolo.
per il proficuo svolgimento delle attività di controllo l’odv dovrà mantenersi in costante contatto con l’rspp e con il medico competente, nonché con le altre figure aziendali eventualmente coinvolte nella gestione della salute e sicurezza sul lavoro, anche al fine di essere aggiornato sulle misure che periodicamente vengono prese dall’impresa in conseguenza del susseguirsi delle indicazioni fornite dalle autorità sanitarie.
in particolare ai lavoratori deve essere garantita la sorveglianza sanitaria attraverso un coordinamento tra l’rspp e il medico competente, anche con la predisposizione di un piano che preveda misure di protezione emergenziali.
vi invitiamo a consultare il documento completo pubblicato dallo studio morri rossetti qui.
si tratta di un articolato vademecum che analizza le disposizioni emanate dal governo e fornisce indicazioni e risposte pragmatiche. dopo che il consiglio dei ministri, in data 23 gennaio 2020, ha approvato in esame preliminare il decreto legislativo di attuazione della direttiva pif come richiesto dalla legge di delegazione europea 2019, ora lo schema di tale provvedimento è passato al vaglio del senato.
in particolare lo schema di decreto legislativo è stato presentato al senato in data 30 gennaio e si trova attualmente all’esame delle commissioni giustizia e bilancio chiamate ad emettere il relativo parere.
tra le novità che dovrebbero essere introdotte si prevede di punire anche le ipotesi di delitto tentato per i reati fiscali che presentano l’elemento della transnazionalità, se l’imposta iva evasa non è inferiore a 10 milioni di euro (“gravi frodi iva”).
inoltre è previsto un ampliamento del catalogo dei reati presupposto che danno luogo alla responsabilità dell’ente ai sensi del decreto legislativo 8 giugno 2001, n. 231 in caso di commissione di gravi frodi iva includendovi ora i delitti di dichiarazione infedele (art. 4 d.lgs. 74/2000), omessa dichiarazione (art. 5 d.lgs. 74/2000) e indebita compensazione (art. 10 quater d.lgs. 74/2000).
si prevede un’estensione della responsabilità delle società anche per frode nelle pubbliche forniture, frode in agricoltura, contrabbando, peculato e abuso d’ufficio.
infine, per quanto riguarda gli altri settori del diritto penale, si intende interviene su alcune fattispecie di corruzione, includendovi anche i casi in cui siano sottratti denaro o utilità al bilancio dell’unione o ad altri suoi organismi, con danno superiore a 100.000 euro con la pena massima aumentata fino a 4 anni di reclusione e si estende la punibilità a titolo di corruzione dei pubblici ufficiali e degli incaricati di pubblico servizio di stati non appartenenti all’unione europea, quando i fatti ledono o pongono in pericolo gli interessi finanziari dell’unione. vista la responsabilità posta in capo al datore di lavoro ai sensi del d.lgs. 81/2008 e del d.lgs. 231/2001 in materia di tutela della salute e sicurezza dei lavoratori, l’organo amministrativo e l’organismo di vigilanza delle società dovrebbero adottare misure precauzionali volte a minimizzare, per quanto possibile, il rischio di contagio covid-19 del personale aziendale.
a tal riguardo, lo studio legale morri rossetti ha predisposto una informativa inerente alle disposizioni in materia di salute e sicurezza sul lavoro nell’ambito della gestione aziendale dell’emergenza covid-19.
vi invitiamo a consultare il documento qui. si segnala che le organizzazioni rappresentative dei datori di lavoro di concerto con i sindacati hanno predisposto il "”.
il documento, “tenuto conto di quanto emanato dal ministero della salute, contiene linee guida condivise tra le parti per agevolare le imprese nell’adozione di protocolli di sicurezza anti-contagio, ovverosia protocollo di regolamentazione per il contrasto e il contenimento della diffusione del virus covid 19 negli ambienti di lavoro”.
la prosecuzione delle attività produttive “può infatti avvenire solo in presenza di condizioni che assicurino alle persone che lavorano adeguati livelli di protezione”.
l’obiettivo prioritario di tale protocollo è quello di “coniugare la prosecuzione delle attività produttive con la garanzia di condizioni di salubrità e sicurezza degli ambienti di lavoro e delle modalità lavorative”. con sentenza n. 47822/2019, depositata in data 25.11.2019, la suprema corte di cassazione ha chiarito la differenza tra delega di funzioni e conferimento dell’incarico a terzi affrontando il caso di un datore di lavoro ritenuto responsabile del reato di cui al d.p.r. n. 445 del 2000, art. 76, comma 3 per avere falsamente attestato, in qualità di legale rappresentante di una società operante nel settore dell'imprenditoria edile, l’avvenuto corretto smaltimento del materiale prodotto dall’attività di scavo.
nel dettaglio, l’imputato indicava falsamente “nella dichiarazione sostitutiva di atto notorio indirizzata all'arpa ed ai comuni interessati, redatta ai sensi del d.l. n. 69 del 2003, art. 41 bis, 3 comma, che il materiale da scavo pari a 2000 mc era stato interamente utilizzato e trasportato presso i siti di destinazione per il loro smaltimento, essendo invece stato smaltito altrove” (capo 1 di imputazione).
al contempo il legale rappresentante veniva condannato anche per il reato di cui al d.lgs. n. 152 del 2006, art. 256, comma 1, lett. a) e comma 2 “per aver trasportato e smaltito in luogo non identificato materiale impropriamente qualificato come rocce da scavo, ma di fatto costituito da rifiuti in quanto non trattato secondo la normativa vigente” (capo 2 di imputazione).
per quanto di interesse nel caso di specie si rileva che con il secondo motivo di ricorso l’imputato assumeva di aver conferito a terzi l'attività di gestione e smaltimento dei rifiuti da cui scaturiscono i reati contestatigli (in particolare “ai soggetti incaricati della predisposizione delle dichiarazioni ex d.l. n. 69 del 2013, art. 41 bis (dott. l.) e dello smaltimento dei materiali (ditta a.)”) e di dover andare, pertanto, esente da responsabilità.
proprio con riferimento a tale motivo di ricorso la suprema corte di cassazione ha chiarito che la prospettazione difensiva sostenuta innanzi ai giudici del gravame, secondo la quale l'imputato sarebbe stato inconsapevole vittima dell'attività decettiva posta in essere dai titolari delle ditte incaricate della gestione dei rifiuti, non poteva essere accolta.
sul punto si è precisato che “l'eventuale conferimento delle mansioni afferenti all'attività di gestione e smaltimento dei rifiuti alle ditte indicate non determina il venir meno della posizione di garanzia istituzionalmente rivestita dall'imputato quale legale rappresentante della società che quei rifiuti produceva. il conferimento di specifici incarichi a soggetti terzi non determina in alcun modo la cessazione o l'esautoramento dei poteri demandati all'amministratore di una società che gli impongono, secondo quanto sancito dall'art. 2392 c.c., di conservare il patrimonio sociale, impedire che si verifichino danni per la persona giuridica ed assolvere con la necessaria diligenza i doveri loro imposti dalla legge e dallo statuto, i quali si traducono, ove ad altri venga demandata la gestione di determinate attività, nell'esercizio di un puntuale dovere di vigilanza volto ad impedire lo svolgimento di attività illecite o comunque di verificare il corretto adempimento delle incombenze assegnate agli eventuali incaricati o collaboratori”.
si è inoltre chiarito che “a differenza della delega che comporta il subentro del delegato nella posizione di garanzia che fa capo al delegante a condizione che il relativo atto di delega sia espresso, inequivoco e certo ed investa persona tecnicamente capace, dotata delle necessarie cognizioni tecniche e dei relativi poteri decisionali e di intervento fermo restando, comunque, l'obbligo di vigilanza sul corretto esercizio della delega (sez. 4, n. 39158 del 18/01/2013 - dep. 23/09/2013, zugno e altri, rv. 256878), il conferimento dell'incarico mantiene, invece, inalterati i poteri così come gli obblighi gravanti sul titolare della posizione di garanzia che risponde in prima persona dell'inosservanza degli obblighi connessi alla carica, comunque derivanti dal mancato esercizio dei relativi doveri di controllo delle attività demandate ai terzi”.
da ciò discende che “come già affermato da questa corte, l'amministratore di diritto di una società risponde, infatti, del reato di gestione non autorizzata di rifiuti anche nel caso in cui la gestione societaria sia, di fatto, svolta da terzi, gravando sul primo, quale legale rappresentante, i doveri positivi di vigilanza e di controllo sulla corretta gestione della medesima società in virtù della carica ricoperta”.
con il terzo motivo di ricorso il ricorrente deduceva inoltre “che lo smaltimento in contestazione, in quanto opera di terzi, non consentiva di desumere il ruolo centrale rivestito dall'imputato nella commissione del reato, avendo costui ricoperto una posizione del tutto marginale, tale da configurare la lieve offensività del fatto”.
anche tale motivo di gravame veniva rigettato dai giudici di legittimità che sul punto affermavano che la posizione marginale rivendicata dal ricorrente nel reato di smaltimento dei rifiuti non teneva conto delle argomentazioni spese dalla corte distrettuale che escludeva la particolare tenuità dell'offesa sul rilievo “dell'ingente quantità del materiale illecitamente smaltito e della conseguente potenziale dispersione nell'ambiente del medesimo”.
i giudici precisavano che la valutazione svolta dai giudici della corte d’appello, stante la linearità e l'intrinseca coerenza della motivazione che la sorreggeva, doveva essere ritenuta insindacabile in sede di legittimità, “dovendo essere considerato che il reato di attività di gestione di rifiuti non autorizzata è un reato di pericolo, sicchè la valutazione in ordine all'offesa al bene giuridico protetto va retrocessa al momento della condotta secondo un giudizio prognostico "ex ante", essendo irrilevante l'assenza in concreto, successivamente riscontrata, di qualsivoglia lesione”.
si chiariva inoltre che in materia di smaltimento dei rifiuti “il compito del giudice di merito si risolve in un accertamento diretto a verificare, specialmente nell'interpretazione dei reati formali e di pericolo presunto, che il fatto di reato abbia effettivamente leso o messo in pericolo il bene o l'interesse tutelato dalla disposizione incriminatrice, traducendosi l'offesa al bene giuridico protetto, costituito dal disvalore derivante dalla messa in pericolo dell'ambiente, in un nocumento potenziale dello stesso, che viene soltanto minacciato”.
il principio di diritto espresso dalla corte di cassazione nella recente pronuncia in esame è coerente con altra e più risalente sentenza che proprio in tema di gestione dei rifiuti ed affidamento dell’attività a soggetti terzi al fine del loro smaltimento aveva affermato che tale decisione “comporta per il soggetto che li conferisce precisi obblighi di accertamento (in particolare, la verifica sia dell'affidabilità' del terzo che dell'esistenza in capo al medesimo delle necessarie autorizzazioni e competenze per l'espletamento dell'incarico), la cui violazione giustifica l'affermazione della responsabilità penale per il mancato controllo a titolo di culpa in eligendo” (cass, pen., sez. iii, 19.12.2007, n. 6101). la corte d’appello di firenze, iii sezione penale, in data 16 dicembre 2019 ha reso note le motivazioni della sentenza n. 3733 reg. sent. relativa alla strage di viareggio che nel giugno 2009 costò la vita a 32 persone.
in particolare, la pronuncia in esame, ha ritenuto responsabili ai sensi dell’art. 25 septies d.lgs. 231/2001 “omicidio colposo o lesioni gravi o gravissime commesse con violazione delle norme sulla tutela della salute e sicurezza sul lavoro”, in relazione ai delitti di omicidio colposo e lesioni personali colpose, diverse società sia italiane sia straniere applicando alle stesse sanzioni pecuniarie e, in alcuni casi, interdittive.
nel dettaglio, i giudici di merito, respingendo le impugnazioni delle società appellanti, hanno chiarito che sono imputabili ai sensi del d.lgs. 231/2001 anche gli enti stranieri che non hanno in italia alcuna sede precisando che “l’operatività della norma, infatti, non è legata alla “territorialità” dell’ente, cioè alla sua presenza fisica, con una sede, entro il territorio dello stato, bensì alla sua attività in detto territorio che renda i suoi esponenti, i soggetti descritti dall’art. 5 della legge, capaci di commettere reati in italia“.
la corte ha inoltre ritenuto sussistente la “colpa in organizzazione” chiarendo che “non è stata fornita la prova (da parte delle società appellanti) che le tre società abbiano adottato modelli organizzativi idonei ad evitare la commissione, da parte dei loro amministratori e dipendenti, di reati quali quello qui contestato. in particolare non è stata dimostrata l’esistenza di strutture di controllo indipendenti dai vertici societari e quindi di “sistemi di compliance” realmente in grado di garantire il mantenimento degli standard di qualità e sicurezza richiesti anche dalle normative in vigore nei rispettivi stati di appartenenza”.
da un lato la corte d’appello ha chiarito che spetta alla società imputata fornire la prova circa l’esistenza e l’adeguatezza del sistema di controlli interni: “non risulta che i controlli interni fossero affidati a soggetti indipendenti e non ne sono neppure stati illustrati modalità e contenuti, rendendo così impossibile valutare la loro effettiva efficacia” mentre, dall’altro, ha dichiarato l’inadeguatezza di controlli “svolti da soggetti dipendenti dai vertici aziendali”.
i giudici di merito si sono soffermati sulla composizione e sull’individuazione dei poteri degli organismi di vigilanza rilevando che si deve ritenere non attuato efficacemente il modello organizzativo nel caso in cui vi sia un odv collegiale il cui presidente è anche responsabile della direzione internal audit.
si è inoltre chiarita, in relazione ad altra società, la necessità di nominare – quali membri dell’odv - soggetti estranei ad interferenze da parte dei vertici aziendali: “l’organo di vigilanza previsto da questo mog risultava composto dai responsabili delle direzioni audit, affari legali e societari, e organizzazione, sviluppo e risorse umane staff, tutti soggetti dipendenti dall’amministratore e per i quali non erano previsti meccanismi espliciti che impedissero le interferenze da parte dei vertici aziendali”.
a ciò si aggiunga che nel caso di specie la corte d'appello valutava che “i controlli svolti sulle attività sensibili interessate si risolvevano in "verifiche puramente cartolari circa il possesso” da parte delle aziende "delle autorizzazioni e della documentazione circa l’effettuazione delle attività richieste”.
da ultimo i giudici di merito si sono soffermati “sulla necessità di assicurare il rispetto degli obblighi giuridici riguardo alle attività di valutazione dei rischi e di predisposizione delle misure di prevenzione e protezione conseguenti” condannando le società per non aver effettuato “una valutazione complessiva dei rischi propri del trasposto di merci pericolose” e sottolineando che il modello organizzativo approvato alla data del fatto non conteneva alcuna previsione di controlli sull’emissione di un documento di valutazione dei rischi complessivo oltre al fatto che l’organizzazione aziendale “non prevedeva né consentiva l’emissione di un dvr complessivo” riguardante tutti i rischi conseguenti al trasporto di merci pericolose in zone abitate. attraverso tre recenti pronunce la corte di cassazione ha affrontato il delicato tema degli infortuni sul lavoro individuando i limiti entro cui la condotta colposa del lavoratore può essere rilevante ai fini dell’esclusione della responsabilità amministrativa dell’ente ex d.lgs. 231/2001 e della responsabilità penale del datore di lavoro.
il presente excursus giurisprudenziale pone in evidenza la severità dei controlli posti in essere dall’autorità giudiziaria dinnanzi al verificarsi di infortuni e consente di individuare gli specifici obblighi posti in capo al datore di lavoro dal nostro ordinamento. solo il rispetto delle prescrizioni in materia di attività di prevenzione (valutazione dei rischi e predisposizione di misure di sicurezza), formazione dei lavoratori, consegna di adeguati strumenti e attrezzature di lavoro, pone il soggetto apicale al riparo da contestazioni penali personali e tutela l’ente da sanzioni pecuniarie e/o interdittive.
in particolare, con la sentenza del 19.11.2019, n. 48779, la iv sez. penale della corte di cassazione è stata chiamata a pronunciarsi sul caso di infortunio sul lavoro avvenuto mentre il lavoratore era impiegato a svolgere le sue mansioni seguendo una prassi di lavorazione instauratasi in azienda da diverso tempo e nota a tutti.
i giudici di legittimità hanno potuto accertare come già nei gradi di merito era emersa l’inesistenza di istruzioni operative riguardanti tale prassi, la mancanza di una valutazione del rischio specifico nel documento di valutazione oltre all’omesso svolgimento di attività di formazione specifica relativamente alle fasi di lavorazione rilevanti ai fini dell’infortunio.
in particolare, i giudici di legittimità hanno ribadito che: “non è idoneo ad escludere il nesso di causalità tra la condotta omissiva del datore di lavoro e l'evento lesivo o mortale patito dal lavoratore il compimento da parte di quest'ultimo di un'operazione che, seppure inutile e imprudente, non risulta eccentrica rispetto alle mansioni a lui specificamente assegnate nell'ambito del ciclo produttivo (sez. 4, n. 7955 del 10.10.2013 - dep. 19.02.2014, rovaldi, rv. 259313).
e’ stato inoltre chiarito che “perché la condotta colposa del lavoratore possa ritenersi abnorme e idonea ad escludere il nesso di causalità tra la condotta del datore di lavoro e l'evento lesivo, è necessario non tanto che essa sia imprevedibile, quanto, piuttosto, che sia tale da attivare un rischio eccentrico o esorbitante dalla sfera di rischio governata dal soggetto titolare della posizione di garanzia (sez. 4, n. 15124 del 13.12.2016 - dep. 27.03.2017, gerosa e altri, rv. 269603).
richiamando tali pronunce i giudici hanno precisato che nel caso sottoposto all’esame del collegio “è fuor di dubbio che il sinistro si sia verificato mentre il lavoratore svolgeva i compiti che gli erano stati assegnati; l'imprudenza o la negligenza nella operazione effettuata di disincastro dell'ogiva, attraverso l'uso dell'aria compressa, rappresenta proprio la concretizzazione del rischio che le regole prevenzionistiche riferibili alla formazione all'informazione e alla precisa previsione nel d. dovevano evitare”.
la seconda pronuncia attiene invece ad un infortunio occorso a un lavoratore che si trovava a svolgere una lavorazione in quota nonostante la società non si occupasse di norma di effettuare simili attività.
in particolare, con la sentenza del 5.11.2019, n. 46218, i giudici di legittimità hanno chiarito che riveste grande importanza ai fini della valutazione della responsabilità penale del datore di lavoro e dell’eventuale concorso del lavoratore il rilievo secondo cui l’impresa non svolgeva di norma la specifica attività richiesta al lavoratore e che ha originato l’infortunio.
da ciò discende che il “legale rappresentante presente sul posto, avrebbe dovuto impedire che il lavoratore salisse sulla pedana, non avendo ricevuto adeguata formazione ed informazione sul punto e non essendo state predisposte le dovute cautele”.  pertanto lo stesso sarà chiamato a rispondere per non aver impedito lo svolgimento della pericolosa lavorazione in quota al lavoratore (non formato e non attrezzato) a prescindere da eventuali imprudenze dello stesso lavoratore.
da ultimo, la sentenza del 13.12.2019, n. 50440, emessa dalla iv sezione penale della corte di cassazione si è soffermata sul caso di condanna di un datore di lavoro per il reato di cui all’art. 590 c.p. per avere cagionato lesioni gravi al proprio dipendente. nel caso esaminato la colpa consisteva nella violazione delle norme in materia di prevenzione degli infortuni sul lavoro, più precisamente per avere omesso di definire le procedure di utilizzo delle macchine e delle attrezzature nelle operazioni di carico e scarico dei materiali.
veniva inoltre contestato al soggetto apicale di avere omesso ogni formazione sui rischi specifici connessi all'espletamento delle proprie mansioni e all'utilizzo delle macchine, sicchè il lavoratore, nell'esercizio della sua attività di autista addetto al trasporto di materiali ferrosi, iniziava le operazioni di scarico del materiale senza attendere l'arrivo della gru a torre, cadendo.
ai giudici di legittimità veniva domandato di pronunciarsi in merito all’intervenuta formazione del lavoratore individuando il soggetto gravato dell’onere di provare l’esistenza e l’adeguatezza della formazione stessa.
il collegio, nel chiarire che l’onere probatorio è posto in capo al soggetto apicale sottolinava che “la prova di una condotta omissiva risente della struttura ontologica di tale comportamento, che si traduce in una materiale assenza, sicchè solo colui su cui grava l'obbligo di porre in essere la condotta può e deve fornire indicazioni relativamente al corretto adempimento. difatti, nell'ordinamento processuale penale, pur non essendo previsto un onere probatorio a carico dell'imputato, modellato sui principi propri del processo civile, è, al contrario, prospettabile un onere di allegazione, in virtù del quale l'imputato è tenuto a fornire all'ufficio le indicazioni e gli elementi necessari all'accertamento di fatti e circostanze ignoti che siano idonei, ove riscontrati, a volgere il giudizio in suo favore”.
e ancora: “quando l'inosservanza di precise disposizioni antinfortunistiche nell'ambiente di lavoro è causa determinante dell'evento dannoso, per escludere la responsabilità dei datori di lavoro, dei preposti o degli addetti alla organizzazione o alla sorveglianza del lavoro, non è sufficiente che non risulti provato con certezza che essi non hanno impartito disposizioni, ma è necessario che tali persone provino, in maniera rigorosa e sicura, di avere compiuto atti precisi e specifici intesi ad impedire che le operazioni di lavoro si svolgessero in modo non conforme ai precetti antinfortunistici (sez. 4, n. 9615 del 19.04.1982 ud. - dep. 20.10.1982, rv. 155686 - 01). come noto con il termine whistleblowing si fa riferimento alle segnalazioni di condotte illecite di cui un soggetto è venuto a conoscenza in ragione del proprio rapporto di lavoro.
negli ultimi anni il soggetto segnalante ha beneficiato in italia di una tutela crescente volta, da un lato, a garantire la riservatezza della segnalazione stessa attraverso appositi strumenti informatici e, dall’altro, a impedire che il whistleblower possa essere esposto a misure ritorsive o discriminatorie sul luogo di lavoro per motivi collegati direttamente o indirettamente alla segnalazione.
con specifico riferimento alle violazioni rilevanti in base al d.lgs. 231/2001 si segnala che con legge 30 novembre 2017 n. 179 è stato inserito all’art. 6 d.lgs. 231/2001 un nuovo comma 2 bis in base al quale “i modelli di cui alla lettera a) del comma 1 prevedono: 
1. a) uno o più canali che consentano ai soggetti indicati nell'articolo 5, comma 1, lettere a) e b), di presentare, a tutela dell'integrità dell'ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto e fondate su elementi di fatto precisi e concordanti, o di violazioni del modello di organizzazione e gestione dell'ente, di cui siano venuti a conoscenza in ragione delle funzioni svolte; tali canali garantiscono la riservatezza dell'identità del segnalante nelle attività di gestione della segnalazione;
2. b) almeno un canale alternativo di segnalazione idoneo a garantire, con modalità informatiche, la riservatezza dell'identità' del segnalante;
3. c) il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione;
4. d) nel sistema disciplinare adottato ai sensi del comma 2, lettera e), sanzioni nei confronti di chi viola le misure di tutela del segnalante, nonché di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate.
2-ter. l'adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni di cui al comma 2-bis può essere denunciata all'ispettorato nazionale del lavoro, per i provvedimenti di propria competenza, oltre che dal segnalante, anche dall'organizzazione sindacale indicata dal medesimo. 
2-quater. il licenziamento ritorsivo o discriminatorio del soggetto segnalante è nullo. sono altresì nulli il mutamento di mansioni ai sensi dell'articolo 2103 del codice civile, nonché qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante. e' onere del datore di lavoro, in caso di controversie legate all'irrogazione di sanzioni disciplinari, o a demansionamenti, licenziamenti, trasferimenti, o sottoposizione del segnalante ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro, successivi alla presentazione della segnalazione, dimostrare che tali misure sono fondate su ragioni estranee alla segnalazione stessa”.
la disciplina in esame presuppone quindi l'adozione da parte dell’ente di un modello organizzativo e la nomina dell'organismo di vigilanza, destinatario delle segnalazioni. deve inoltre essere individuato lo strumento tecnico idoneo a garantire la riservatezza del segnalante.
quanto alle recenti novità si segnala che in data 7 ottobre 2019 il parlamento europeo e il consiglio dell’unione europea hanno adottato una direttiva in materia di protezione degli individui che segnalano violazioni delle norme comunitarie al fine di ottenere l’armonizzazione della disciplina interna degli stati membri.
in particolare la direttiva si applica alle persone segnalanti che lavorano nel settore privato o pubblico e vengono individuate quelle che sono le norme minime in materia di procedura per la segnalazione degli illeciti. agli stati membri è richiesta la realizzazione di canali sicuri tali da garantire la riservatezza dell’identità della persona segnalante e impedire l’accesso a personale non autorizzato.
si richiede inoltre che entro un termine massimo di 7 giorni dalla segnalazione venga dato avviso alla persona che ha effettuato la stessa della ricezione da parte del destinatario. al contempo deve essere individuato dagli stati membri un termine per dare riscontro sul seguito della segnalazione al whistleblower.
con riferimento all’obbligo di riservatezza la direttiva prevede che “gli stati membri provvedono affinché l'identità della persona segnalante non sia divulgata, senza il suo consenso esplicito, a nessuno che non faccia parte del personale autorizzato competente a ricevere le segnalazioni e/o a darvi seguito. altrettanto vale per qualsiasi altra informazione da cui si possa dedurre direttamente o indirettamente l'identità della persona segnalante. 
in deroga al paragrafo 1, la divulgazione dell'identità della persona segnalante e di qualsiasi altra informazione di cui al paragrafo 1 è ammessa solo qualora ciò rappresenti un obbligo necessario e proporzionato imposto dal diritto dell'unione o nazionale nel contesto di indagini da parte delle autorità nazionali o di procedimenti giudiziari, anche al fine di salvaguardare i diritti della difesa della persona coinvolta.
tale divulgazione è oggetto di adeguate garanzie ai sensi delle norme applicabili. in particolare, la persona segnalante è informata prima della divulgazione della sua identità, a meno che ciò non pregiudichi indagini o procedimenti giudiziari. quando informa la persona segnalante, l'autorità competente invia a quest'ultima una motivazione scritta volta a spiegare le ragioni alla base della divulgazione dei dati riservati in questione”.
da ultimo si segnala che con delibera n. 782 del 4 settembre 2019 l’anac ha irrogato la prima sanzione pecuniaria in tema di whistleblowing di cui è stato destinatario il soggetto firmatario dei provvedimenti ritenuti ritorsivi posti in essere in danno di un pubblico dipendente che aveva effettuato una segnalazione ai sensi della normativa di settore. già con legge 9.01.2019, n. 3 il legislatore ha esteso il catalogo dei reati presupposto che possono dar luogo alla responsabilità dell’ente introducendo il reato di traffico di influenze illecite previsto dall’art. 346 bis c.p.
oggi le ipotesi di responsabilità amministrativa dell’ente dipendente da reato si estendono ulteriormente attraverso due ultime riforme legislative:
il dl 105/2019 in materia di sicurezza nazionale cibernetica
il recepimento da parte dell’italia della direttiva n. 2017/1371 in materia di frode che lede gli interessi finanziari dell’unione.
in particolare il decreto-legge 21 settembre 2019 n. 105 recante disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica (c.d. decreto cyber security) entrato in vigore in data 22 settembre 2019 mira ad assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati, attraverso l’istituzione di un perimetro di sicurezza nazionale cibernetica e la previsione di misure idonee a garantire i necessari standard di sicurezza rivolti a minimizzare i rischi consentendo, al contempo, la più estesa fruizione dei più avanzati strumenti offerti dalle tecnologie dell’informazione e della comunicazione.
si tratta di un provvedimento applicabile alle amministrazioni pubbliche, agli enti e agli operatori nazionali pubblici e privati che esercitano una funzione essenziale dello stato, che assicurano un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello stato. tuttavia la più precisa identificazione dell’ambito soggettivo di applicazione della riforma è stata rimessa ad un successivo decreto del consiglio dei ministri.
la disciplina in esame prevede il rispetto di una pluralità di prescrizioni volte ad evitare che il malfunzionamento, l’utilizzo improprio o l’interruzione dei servizi o delle funzioni rechi un pregiudizio per la sicurezza nazionale.
viene poi introdotta una nuova fattispecie di reato volta a sanzionare chiunque allo scopo di ostacolare o condizionare l’espletamento dei procedimenti previsti nel decreto-legge o delle attività ispettive e di vigilanza fornisce informazioni, dati o elementi di fatto non rispondenti al vero, rilevanti per la predisposizione o l’aggiornamento degli elenchi di cui al comma 2, lett. b), o ai fini delle comunicazioni di cui al comma 6 lett. a) o per lo svolgimento delle attività ispettive e di vigilanza ovvero omette di comunicare entro i termini prescritti i predetti dati, informazioni o elementi di fatto, punendo tali violazioni con la reclusione da uno a cinque anni.
il legislatore ha inoltre inserito la nuova fattispecie nel catalogo dei reati presupposto prevedendo che all’ente responsabile ai sensi del decreto legislativo 8 giugno 2001 n. 231 si applica la sanzione pecuniaria fino a quattrocento quote.
l’inserimento di tale fattispecie all’interno del catalogo dei reati presupposto deve condurre ad un adeguamento dei modelli organizzativi oltre che all’adozione di presidi e livelli di controllo volti a evitare il coinvolgimento dell’ente in procedimenti penali. l’estensione del catalogo dei reati presupposto 231 alla fattispecie di dichiarazione fraudolenta ad opera del d.l. 124/2019 induce le società a confrontarsi con il sistema di gestione del rischio fiscale al fine di evitare sanzioni pecuniarie o perfino interdittive. a ciò si aggiunga che l’imminente attuazione della c.d. direttiva pif estenderà ulteriormente la responsabilità 231 circa la materia penal-tributaria.
tali direttrici normative suggeriscono l’adeguamento dei modelli attraverso l’introduzione o l’implementazione di un sistema di gestione del rischio fiscale che ponga al riparo l’azienda da condotte potenzialmente idonee ad integrare i delitti dichiarativi e il coinvolgimento della società, tra le altre, nelle c.d. frodi iva.
sempre di più ormai la giurisprudenza penale qualifica l’impresa non tanto come fatto interamente privato, bensì come primo presidio di legalità dell’attività sociale ed offre alcuni criteri attraverso cui poter orientare il giudizio circa la buona fede (o meno) del soggetto coinvolto nella frode.
in questo senso, costituiscono indici sintomatici (i) la struttura e una dotazione di personale che possano essere ritenuti adeguati alla prestazione effettuata (ii) l’esiguità del prezzo praticato rispetto a quello corrente e (iii) la mancata verifica del ruolo ricoperto dalla persona fisica con cui si tratta, (iv) adeguati poteri con l’interlocutore commerciale (v) la verifica della provenienza e corrispondenza del conto corrente con il fornitore/cliente.
l’adozione di un adeguato sistema di gestione del rischio fiscale appare necessario anche per il legale rappresentante. alla luce dell’inasprimento delle pene edittali, esso costituisce uno strumento rilevante per proteggere colui che sottoscrive “a sua insaputa” le dichiarazioni fiscali e, in caso di dichiarazione fraudolenta, poterne dimostrarne l’estraneità.