Rischi legali dei cookie banner nelle aziende: l'analisi della Cookie Banner Taskforce dell'UE

Rischi legali dei cookie banner nelle aziende: l'analisi della Cookie Banner Taskforce dell'UE


I Garanti Privacy dell'Unione Europea hanno creato la Cookie Banner Taskforce per verificare se i cookie banner presenti online siano conformi alla legge. E sembra che ci siano ancora troppe aziende che devono fare i conti con problemi legali.

 

La Cookie Banner Taskforce è stata avviata nel settembre 2021, prendendo in considerazione centinaia di reclami ricevuti dall'associazione Noyb di Max Schrems, noto per altre importanti battaglie nel campo della privacy. Ma perché analizzare tutti questi reclami? Semplice: i Garanti Privacy volevano individuare elementi legali comuni per garantire un utilizzo corretto e conforme dei cookie banner. Con così tanti strumenti e servizi sul mercato, è importante sapere cosa è lecito e cosa no.

 

Dopo un'attenta analisi, l'European Data Protection Board (EDPB) ha prodotto il Rapporto sui Cookie Banner, evidenziando ben 7 pratiche illecite comuni nei cookie banner. Se siete proprietari di siti web o aziende che utilizzano cookie banner, leggete attentamente queste informazioni per evitare spiacevoli conseguenze legali.

 

🚫 Pratica 1: Manca il pulsante di rifiuto
Siete mai stati su un sito dove il pulsante "rifiuta" sembra una caccia al tesoro? Un cookie banner corretto deve consentire un consenso libero, consapevole e inequivocabile. In altre parole, il consenso deve essere chiaro e facilmente raggiungibile, non nascosto in qualche angolo remoto della pagina.

 

🚫 Pratica 2: Caselle pre-selezionate
Caselle pre-selezionate? Un no categorico! Le caselle devono essere vuote, dando all'utente la possibilità di scegliere liberamente se acconsentire o meno ai cookies. È l'utente a dover decidere, senza influenze o inganni.

 

🚫 Pratica 3: Design ingannevole e dark patterns
Il design dell'interfaccia è fondamentale. Non si possono utilizzare trucchi visivi per spingere l'utente a prestare il consenso senza una reale comprensione delle sue azioni. È necessario fornire informazioni chiare e facilmente leggibili, evitando colori ingannevoli e contrasti confusi.

 

🚫 Pratica 4: Basarsi sul legittimo interesse
Usare il legittimo interesse come base per i cookie banner? Un'idea da scartare subito! I cookie non possono mai essere basati sul legittimo interesse, ma devono sempre richiedere il consenso dell'utente. Non c'è spazio per l'ambiguità: se Peppino non acconsente, niente cookie.

 

🚫 Pratica 5: Cookies non essenziali definiti come essenziali
Chiariamo una cosa: i cookie essenziali devono essere veramente essenziali e conformi alla legge. Creare un elenco esaustivo di cookie essenziali è difficile, quindi è meglio evitare di usarli. La chiave è mantenere la trasparenza e dimostrare che sono strettamente necessari, in caso di ispezione.

 

🚫 Pratica 6: Manca l'icona per la revoca del consenso
L'utente deve sempre poter revocare il consenso facilmente, altrimenti si rischia di violare la Cookie Law. Inserire un'icona ben visibile in ogni pagina del sito permette di rispettare il diritto dell'utente di revocare il consenso in qualsiasi momento.

 

Queste sono solo alcune delle pratiche illecite dei cookie banner individuate dai Garanti europei. Ricordate che il rapporto è una bozza e non vincolante, ma offre preziose indicazioni per garantire un consenso corretto e conforme alla normativa. Scegliere uno standard comune può aiutarvi a evitare spiacevoli conseguenze legali e a mantenere una reputazione intatta.

 

Studio Industria è impegnata a fornire supporto legale e consulenza in materia di privacy e nuove tecnologie. Se avete domande o necessitate di assistenza riguardo ai vostri cookie banner o altre questioni legali, non esitate a contattarci.

 

Insieme possiamo navigare in questo intricato mondo della privacy e mantenere la vostra azienda al sicuro.

 

#studioindustria #nextlevelbusiness #masteringthefuture


ChatGPT e altre intelligenze artificiali: quali rischi?

ChatGPT e altre intelligenze artificiali: quali rischi?


Oggi parleremo dei rischi associati all'utilizzo delle Intelligenze Artificiali (IA) come ChatGPT nelle aziende.

 

Le AI stanno diventando sempre più diffuse e offrono molteplici vantaggi, ma è fondamentale essere consapevoli delle implicazioni legali che comportano.

 

In questo articolo, esploreremo alcuni aspetti chiave da considerare per garantire la conformità alle leggi e minimizzare i rischi nell'implementazione di AI come ChatGPT nelle attività aziendali.

 

  1. Trasparenza e responsabilità: Quando si utilizzano AI come ChatGPT, è essenziale garantire la trasparenza nelle interazioni con gli utenti. Gli utenti devono essere consapevoli di interagire con un'intelligenza artificiale e comprendere le sue limitazioni. Inoltre, l'azienda deve assumersi la responsabilità per il comportamento delle AI e garantire che rispettino le normative vigenti.
  2. Protezione dei dati: Le AI come ChatGPT richiedono l'accesso e l'elaborazione di grandi quantità di dati per fornire risposte pertinenti e accurate. È fondamentale assicurarsi che l'azienda rispetti le normative sulla protezione dei dati, come il Regolamento Generale sulla Protezione dei Dati (GDPR) dell'Unione Europea. Ciò implica implementare adeguate misure di sicurezza per proteggere tali informazioni.
  3. Discriminazione e bias: Le AI possono essere soggette a discriminazione e bias, poiché imparano dai dati a loro disposizione. È importante adottare misure per evitare che le AI riflettano pregiudizi o discriminazioni presenti nei dati di addestramento. Monitorare costantemente l'output delle AI e apportare le modifiche necessarie per ridurre al minimo tali rischi è un compito cruciale.
  4. Proprietà intellettuale e diritti d'autore: Le AI come ChatGPT possono generare contenuti creativi, come testi o immagini. In questo contesto, è necessario valutare la protezione della proprietà intellettuale e i diritti d'autore associati ai risultati prodotti dalle AI. Chi possiede i diritti su tali contenuti? Come possono essere utilizzati o distribuiti in modo legale? Rispondere a queste domande è fondamentale per evitare controversie legali in futuro.
  5. Responsabilità civile e legale: L'utilizzo di AI come ChatGPT può comportare responsabilità civili e legali. Se l'AI fornisce consigli o informazioni errate che causano danni, l'azienda potrebbe essere ritenuta responsabile. Pertanto, è essenziale definire chiaramente le limitazioni dell'AI, fornire avvertimenti appropriati agli utenti e adottare misure per mitigare i rischi di responsabilità.

 

Conclusione: L'integrazione delle AI come ChatGPT nelle aziende offre vantaggi significativi, ma è fondamentale comprendere i rischi legali associati. La trasparenza, la protezione dei dati, la gestione dei bias, la valutazione della proprietà intellettuale e la definizione della responsabilità sono tutti aspetti cruciali da considerare.

Collaborare con professionisti legali specializzati in diritto delle nuove tecnologie può aiutare a navigare in modo sicuro in questo ambito complesso. Assicurarsi di adottare politiche e procedure appropriate può proteggere la vostra azienda da possibili conseguenze legali e preservare la fiducia dei vostri clienti.

 

#studioindustria #nextlevelbusiness #masteringthefuture


Parità salariale: i nuovi obblighi della Direttiva UE 2023

Parità salariale: i nuovi obblighi della Direttiva UE 2023


Una notizia importante nel panorama europeo: il 17 maggio 2023 è stata pubblicata la nuova EU Pay Transparency Directive 2023/970 (Direttiva sulla Trasparenza Salariale) sulla Gazzetta Ufficiale dell'Unione Europea.

Le nuove disposizioni diventeranno effettive dopo 20 giorni dalla pubblicazione, e gli stati membri avranno tempo fino al 7 giugno 2026 per adeguarsi.

 

Cerchiamo di comprendere meglio come si applicano e cosa comportano i nuovi obblighi della Direttiva Europea.

 

 

La Direttiva ha l'obiettivo di rafforzare il diritto alla parità salariale dei dipendenti attraverso l'uso efficace di obblighi di trasparenza e accessibilità delle informazioni salariali.

Nonostante la parità salariale sia già un principio presente nell'art. 157 del TFEU, la relazione tecnica che accompagna la proposta della Direttiva sottolinea che il divario retributivo di genere si attesta ancora intorno al 14% nell'Unione Europea, con differenze significative tra gli stati membri e conseguenze a lungo termine sulla qualità della vita delle donne, aumentando il rischio di povertà e contribuendo al divario pensionistico.

 

Nonostante alcuni stati membri abbiano già norme sulla trasparenza retributiva, la frammentazione e le differenze legislative aumentano il rischio che la concorrenza venga falsata da standard sociali diversi, rendendo necessario un intervento a livello dell'UE.

 

Gli obblighi di reportistica e la fine del segreto retributivo

 

Attualmente in Italia esiste già l'obbligo di reportistica sulla situazione di genere introdotto dalla legge n. 162 del 2021 per tutte le aziende con più di 50 dipendenti. L'obbligo, facoltativo per le aziende sotto la soglia dei 50 dipendenti, si verifica ogni due anni.

 

La Direttiva prevede che la reportistica sia annuale solo per le società con più di 250 dipendenti. Per le società al di sotto di questa soglia, l'obbligo sarà triennale, mentre per le società con meno di 100 dipendenti la reportistica sarà volontaria.

 

La nostra normativa attuale è quindi più rigorosa. Viene introdotto l'obbligo di revisione congiunta con le rappresentanze sindacali aziendali qualora il report evidenzi una differenza del livello retributivo medio tra lavoratori di sesso femminile e maschile di almeno il 5% in qualsiasi categoria e che non sia giustificabile da fattori oggettivi neutri.

 

Nel report, i datori di lavoro dovranno fornire informazioni dettagliate sui livelli retributivi medi di ciascun genere, analisi percentuali sull'occupazione maschile e femminile all'interno dell'azienda, individuazione di eventuali differenze.

 

#studioindustria #nextlevelbusiness #masteringthefuture


Cosa prevede la legge in caso di violazione di dati personali?

Cosa prevede la legge in caso di violazione di dati personali?


La protezione dei dati personali è diventata una priorità fondamentale nella nostra era digitale. Il Regolamento Generale sulla Protezione dei Dati (GDPR) è stato introdotto per garantire che i dati personali siano trattati in modo sicuro e responsabile.

 

Cosa accade in caso di violazione dei dati personali? Il GDPR stabilisce regole chiare su come gestire tali situazioni. In caso di violazione, è fondamentale agire prontamente per proteggere i dati e mitigare eventuali danni.

 

Ecco alcuni punti chiave del GDPR in caso di violazione dei dati personali:

  1. Notifica tempestiva: Se si verifica una violazione dei dati personali, è necessario notificarla all'autorità di controllo competente entro 72 ore dal momento in cui se ne viene a conoscenza, a meno che la violazione non sia improbabile che comporti un rischio per i diritti e le libertà delle persone interessate.
  2. Comunicazione ai soggetti interessati: Se la violazione dei dati rappresenta un rischio elevato per i diritti e le libertà delle persone interessate, è necessario informarle tempestivamente dell'incidente e delle misure che possono essere prese per proteggere i loro dati.
  3. Valutazione dell'impatto sulla protezione dei dati (DPIA): In determinate circostanze, potrebbe essere necessario condurre una DPIA per valutare l'impatto della violazione sulla protezione dei dati personali e identificare eventuali misure aggiuntive che devono essere adottate.
  4. Cooperazione con le autorità di controllo: È fondamentale collaborare pienamente con le autorità di controllo competenti durante le indagini e fornire tutte le informazioni richieste.
  5. Possibili sanzioni: In caso di violazione del GDPR, possono essere applicate sanzioni finanziarie significative, che dipendono dalla gravità e dalla natura della violazione stessa.

 

 

Presso il nostro studio legale, comprendiamo l'importanza di conformarsi al GDPR e di proteggere i dati personali dei nostri clienti. Siamo pronti ad offrire consulenza esperta e supporto legale in caso di violazioni dei dati personali, aiutandoti a navigare attraverso le complesse normative sulla protezione dei dati.

 

Per ulteriori informazioni sul GDPR e sulle misure di protezione dei dati, non esitare a contattarci.

 

 

#studioindustria #nextlevelbusiness #masteringthefuture


Oggi parliamo di legal design: convegno dei Professionisti Studio Industria

Oggi parliamo di legal design: convegno dei Professionisti Studio Industria


Studio Industria si mantiene attiva sui temi dell'innovazione.

 

Oggi due nostri Professionisti, l'Avv. Francesco Minazzi e l'Avv. Sandro Marcelli, terranno un convegno sulla novità più interessante degli ultimi anni nelle professioni legali: il Legal Design.

 

Il Legal Design è una recente scienza giuridica che si occupa delle metodologie per rendere più chiari e più semplici i contenuti giuridici, mediante la semplificazione del linguaggio e con l'aiuto dei contenuti visivi.

 

Terremo un convegno sul tema alle 15.00 presso la Sala dell'Ordine degli Avvocati dell'Aquila, che ci ha invitato a portare questa ventata di innovazione.

 

Comunicheremo la diretta streaming sulla nostra pagina LinkedIn.

 

Stay tuned!

 

Qui la locandina: Chiarezza e sinteticita' dopo la cartabia la soluzione del legal design rev 2

 

#studioindustria #nextlevelbusiness #masteringthefuture

 


In arrivo il Decreto Whistleblowing

In arrivo il Decreto Whistleblowing


Il Governo ha recentemente approvato lo schema di Decreto Legislativo che darà attuazione alla c.d. Direttiva Whistleblowing dell’Unione Europea, che porterà novità molto impattanti su Imprese e Pubbliche Amministrazioni. È utile spendere qualche parola su questo strumento.

 

In Italia, il whistleblowing è stato riconosciuto come diritto individuale, idoneo a offrire protezione ai dipendenti pubblici e privati che hanno esposto comportamenti illegali o inappropriati da parte di un’organizzazione (impresa, PA, etc). Già nel 2001 il Decreto 231 aveva previsto la segnalazione anonima per gli appartenenti a un soggetto che si fosse dotato del Modello 231, poi la legge sulla tutela dei segnalatori del 2016 ha stabilito ulteriori norme per proteggere nella PA i whistleblower da ritorsioni e discriminazioni sul posto di lavoro.

 

La promulgazione di questa legislazione ha creato incentivi a migliorare la trasparenza nel settore pubblico, promuovendo una cultura etica e responsabile nell'ambiente professionale italiano.

 

Il whistleblowing è uno strumento vitale in qualsiasi ambiente professionale per garantire che l'attività fraudolenta, non etica o criminale sia identificata e segnalata. Aiuta a proteggere la salute pubblica, la sicurezza e l'integrità del luogo di lavoro offrendo alle persone la possibilità di parlare in modo anonimo di potenziali violazioni etiche o cattiva condotta senza timore di ritorsioni. Inoltre, la denuncia di irregolarità può contribuire a migliorare il governo societario in quanto consente indagini efficaci su illeciti, promuovendo la responsabilità aziendale e l'applicazione della legge ove necessario.

 

Politiche efficaci per gli informatori forniscono ai dipendenti percorsi chiari per segnalare le loro preoccupazioni e possono aiutare a rafforzare la cultura organizzativa dimostrando un impegno senza compromessi per l'integrità e la condotta etica a tutti i livelli dell'organizzazione.

 

Questi sono gli obiettivi della Direttiva e del Decreto Whistleblowing, che si applicheranno (secondo lo schema pubblicato) a partire dal 2023-2024, con scadenze diverse a seconda dei casi; basti ricordare, comunque, per ora, che l’obbligo di adottare un sistema di segnalazione si applicherà alle società con più di 50 dipendenti, alle PA e a coloro che si dotano di un sistema 231.

 

Nei prossimi post approfondiremo questi aspetti: restate in attesa delle nostre “segnalazioni”!

 

#studioindustria #nextlevelbusiness #masteringthefuture


Avviato corso superbonus HD-Giovani Commercialisti

Avviato corso superbonus HD-Giovani Commercialisti


Il 2022 inzia con un ottimo avvio per Studio Industria.

 

Apriamo l'anno con due punti d'orgoglio:

- venerdì 28 inizierà ufficialmente il corso di formazione sui bonus edilizi, tenuto da Harley&Dikkinson e Studio Industria, in seguito alla partnership intrapresa l'anno passato;

- nuovi riconoscimenti professionali ci arricchiscono, con la nomina del senior partner Avv. Andrea Tatafiore come sindaco effettivo della Sivam spa.

 

Ad maiora!

 

#nextlevelbusiness #studioindustria #nextlevelbusiness #masteringthefuture

#imprese #industria40 #transizione40


I “controlli difensivi” dopo la modifica dell’art. 4 dello Statuto dei Lavoratori (Legge n. 300 del 1970) - Parte 1

I “controlli difensivi” dopo la modifica dell’art. 4 dello Statuto dei Lavoratori (Legge n. 300 del 1970) - Parte 1 


Il 22 settembre 2021 la Suprema Corte di Cassazione è intervenuta per pronunciarsi sul tema, molto interessante e oggetto di controversia, dei c.d. “controlli difensivi”.

 

Trattasi, in maniera molto sintetica, di modalita di controllo attuate dal datore di lavoro e dirette all’accertamento di “comportamenti illeciti e lesivi del patrimonio e dell’immagine aziendale [1].

Nello specifico, la questione che maggiormente ha interessato la Giurisprudenza di legittimità, oltre che moltissimi addetti ai lavori, è la compatibilità di tali controlli con la sopravvenuta modifica dell’art. 4 dello Statuto dei Lavoratori (antecedentemente alla modifica rubricato come “Impianti audiovisivi”, Legge n. 300 del 1970) in ottemperanza a quanto previsto dall’art. 23 del D. Lgs. n. 151/2015 (“Impianti audiovisivi e altri strumenti di controllo”).

 

L’art. 4, per come previsto anteriormente alla riforma di cui sopra, contemplava due livelli di protezione della sfera privata del lavoratore: il primo, tramite divieto assoluto di impiego di impianti audiovisivi e di altri strumenti ai fini del controllo a distanza dell’attività svolta dai lavoratori; il secondo, meno assoluto, nel caso in cui le ragioni del controllo fossero da ricondurre ad esigenze oggettive dell’impresa (sempre, ovviamente, nel rispetto di alcune procedure di garanzie necessarie ai fini dell’impiego di tali strumenti).

Volendo andare al cuore della scelta legislativa, si può affermare che la ragione che indusse l’introduzione di questo regime fu (ed è tutt’oggi) da ricondursi ad esigenze di “contenimento” del potere direttivo e organizzativo del datore di lavoro, e ciò per “riequilibrare” le posizioni delle parti nel contesto del rapporto di lavoro.

 

Tuttavia, seppur previsti questi limiti, ci si chiese se fosse possibile che ulteriori ragioni (ovvero la tutela del patrimonio aziendale) potessero esonerare il datore di lavoro dalla necessità di ottenere l’accordo sindacale o l’autorizzazione amministrativa.

Fu dunque in relazione a quest’ultima esigenza del datore di lavoro che la Corte di Legittimità elaborò lo strumento dei “controlli difensivi” in deroga a quanto previsto dall’art. 4 dello Statuto dei Lavoratori.

Tuttavia, non potendosi comunque ammettere forma di controllo a distanza che esorbitasse da qualsiasivoglia limite (onde evitare che in nome della tutela del patrimonio aziendale venisse consentito al datore di introdurre forme di controllo generalizzate e generiche), si procedette a esonerare i controlli difensivi al ricorrere di tre condizioni (due necessarie e una facoltativa).

 

La prima condizione riguardava l’esigenza che il controllo datoriale fosse finalizzato all’accertamento di determinati comportamenti illeciti del lavoratore.

La seconda condizione postulava invece la necessità che l’illecito commesso fosse in grado di causare un danno al patrimonio o all’immagine aziendale[2].

La terza, facoltativa, prevedeva che i controlli fossero disposti dopo l’attuazione del comportamento in addebito così da non essere riconducibili alla semplice sorveglianza dell’esecuzione della prestazione del lavoratore.

Inoltre, aspetto molto importante, quest’ultima condizione consentiva di attestare la genuinità dell’intento datoriale, e ciò in quanto avrebbe permesso di appurare la funzionalità del controllo all’accertamento di un fatto specifico consistente (potenzialmente) nell’illecito contestato al lavoratore.

 

[1] Cass., Sez Lav., 28.05.2018, n. 13266

 

[2] Cass., Sez Lav., 23.02.2012, n. 2722

 

Contributo a cura del dott. Sandro Marcelli.


Interesse e Vantaggio dell’impresa nella normativa 231

Interesse e Vantaggio dell’impresa nella normativa 231


In materia di responsabilità penale dell’impresa, è molto interessante la recente pronuncia della Corte di Cassazione (8 giugno 2021, n. 22256) in ambito di illecito amministrativo dipendente da reato per violazione della normativa antinfortunistica.

Nello specifico, la Suprema Corte si è espressa relativamente ai due elementi dell’interesse e del vantaggio[1], entrambi riferibili alla società alla quale appartiene il soggetto autore della violazione.

 

La Corte è intervenuta per delimitare l’ambito applicativo relativo a tali due elementi, a causa della necessità di individuare correttamente cosa si intende con i termini “interesse” e “vantaggio”.

Il rischio di indeterminatezza della norma, come conseguenza di un’interpretazione ondivaga e poco circostanziata, appare più che fondato.

Venendo brevemente al merito della controversia, l’impresa era stata chiamata a rispondere per responsabilità amministrativa da reato in riferimento all’art. 590[2] del Codice Penale, partendo dal presupposto per cui il datore di lavoro, implicato nello stesso procedimento penale, avrebbe presumibilmente agito nell’interesse dell’ente o a vantaggio di esso.

A ben vedere, gli elementi dell’interesse e del vantaggio (lo si ribadisce, entrambi riferibili all’Ente) risultano essere alternativi e concorrenti.

 

La differenza risiede in questo.

Mentre il primo fa riferimento alla finalità per cui è commesso il reato (e, quindi, si sostanzia in una valutazione di tipo soggettivo e apprezzabile in anticipo - ex ante), il secondo riguarda invece gli effetti concretamente derivati dalla commissione dell’illecito (ed è pertanto apprezzabile successivamente - ex post e con una valutazione di tipo oggettivo).[3]

Secondo la Suprema Corte, nel caso di specie, il Giudice del merito non avrebbe correttamente individuato i criteri idonei a fornire la prova, alternativamente, dell’interesse o vantaggio che sarebbe conseguito all’Ente per l’illecita condotta del soggetto agente, in quanto non si erano dimostrati l’apprezzabile risparmio di spesa o l’apprezzabile efficientamento del processo produttivo conseguenti alla violazione della normativa antinfortunistica.

Per questi motivi, la Cassazione crea la seguente distinzione che dovrà guidare il Giudice  nell’individuazione di interesse e vantaggio: il primo, cioè l’interesse, risulterà presente quando il soggetto agirà intenzionalmente ai fini del conseguimento di un’utilità per l’Ente (con la conseguenza, dunque, che dovrà trattarsi di una scelta consapevole in tal senso); questo, inoltre, è elemento soggettivo riconducibile e valutabile ex ante (ossia, nel momento in cui viene realizzata la condotta) e non riguardante necessariamente una violazione sistematica e generale della normativa antinfortunistica; può, quindi, consistere in un comportamento isolato e scisso da ulteriori condotte in violazione del presidio normativo.

Venendo, invece, alla definizione del vantaggio dell’Ente, esso risulterà presente in tutte quelle ipotesi in cui, ben al di là del caso isolato, la violazione della normativa antinfortunistica avverrà sistematicamente e in funzione di una politica d’impresa disattenta e negligente, finalizzata alla riduzione dei costi e/o alla massimizzazione del profitto; il vantaggio, tuttavia, è elemento oggettivo desumibile in termini di effettiva realizzazione del profitto e, soprattutto, prescindente dalla consapevolezza del soggetto agente rispetto alla violazione delle norme per finalità di risparmio.

Infine, sempre parlando del vantaggio, sarà il giudice a stabilire la sussistenza del medesimo in termini di consistenza o di non irrisorietà e, qualora debitamente motivata, tale valutazione risulterà insindacabile.

 

[1]https://archiviodpc.dirittopenaleuomo.org/d/1632-responsabilita-amministrativa-da-reato-interesse-e-vantaggio-dell-ente-in-caso-di-omicidio-colposo; d.lgs. n. 231 del 2001, art. 5

[2] Reato di Lesioni Colpose, art. 590 del Codice penale

[3] Cass. pen., Sez. IV, 23 maggio 2018, n. 38363

 

 

Contributo a cura del Dott. Sandro Marcelli.


Sentenza BMPS: poca attenzione allo statuto giuridico dell'Organismo di vigilanza

Sentenza BMPS: poca attenzione allo statuto giuridico dell'Organismo di vigilanza


Pubblichiamo volentieri su gentile concessione dell'Autore, Avv. Maurizio Arena, membro del nostro Comitato Scientifico.

Una recente sentenza del Tribunale di Milano (II penale, depositata il 7 aprile 2021) ha condannato la Banca Monte dei Paschi di Siena ad una sanzione pecuniaria di 800mila euro per i reati di false comunicazioni sociali e manipolazione del mercato (artt. 25-ter e 25-sexies d.lg. 231/2001).

La sentenza è molto ponderosa ma soltanto 9 pagine delle 359 complessive sono dedicate alla responsabilità dell’ente e, di queste, solo la metà esamina la compliance preventiva.

La sentenza opera una sorta di spartiacque temporale:

1 - prima dell’ottobre 2013: il modello organizzativo era stato adottato ma era inadeguato.

La vera e propria colpa organizzativa viene peraltro “motivata” in poche righe, anche con un accenno all'insufficienza del sistema di controllo interno comunque esistente.

Sembra che il Tribunale abbia sancito l’inidoneità del Modello sulla base della circostanza che esso sia stato successivamente aggiornato e migliorato.

E questo è, purtroppo, un approccio già emerso in altri processi.

A mio avviso una vicenda di aggiornamento di un Modello può costituire mero indizio nel senso dell'incompletezza della versione precedente ma tale presunta incompletezza deve essere autonomamente spiegata in sentenza.

Il Giudice deve prendere posizione frontale sul tema senza ricorrere a facili presunzioni del tipo: "se il Modello è stato ampiamente integrato vuole dire che il testo di partenza non era adeguato".

La motivazione avrebbe dovuto prendere posizione sui seguenti quesiti (peraltro con riferimento precipuo ai reati in contestazione): perchè difettava la mappatura delle aree a rischio? perchè non erano sufficienti i protocolli volti alla prevenzione dei reati? perchè erano insufficienti i flussi informativi in favore dell'OdV? perchè era insufficiente il sistema disciplinare?

Invece si affermano sic et simpliciter tali mancanze.

2 - dopo l’approvazione del Modello aggiornato ad ottobre 2013: OdV (adeguato nella composizione ma) insufficiente nell’attività di iniziativa e controllo.

Nulla si dice – per questa seconda fase temporale - su tutto il resto e, in particolare, sull’idoneità/attuazione del Modello, delle procedure sulle attività sensibili, dei flussi informativi ecc.: in definitiva viene sancita la responsabilità dell’ente esclusivamente in relazione all’insufficiente vigilanza dell’OdV (la sentenza parla a proposito di “aspetto dirimente”).

In effetti, il Tribunale esclude in due righe pure l'elusione fraudolenta del Modello "violato nella generalizzata e diffusa indifferenza": ma l'elusione fraudolenta dovrebbe essere considerata in relazione al contenuto precettivo del Modello e delle sue regole cautelari.

Nulla di tutto ciò nel caso di specie.

Si può certamente escludere l’esimente anche per la sussistenza di uno soltanto degli elementi richiesti dall’art 6: ad esempio, per omessa o insufficiente vigilanza dell’OdV.

Non mi pare però che, nella sostanza, si possa parlare di colpa organizzativa: la società ha adempiuto ai suoi doveri di compliance adottando e aggiornando il Modello ed istituendo un idoneo OdV: la sentenza nulla eccepisce su tale ultimo profilo, in termini di difetto di autonomia ed indipendenza, di continuità d’azione e di competenza professionale.

Tuttavia, il punto cruciale mi pare un altro.

La sentenza ritiene di ravvisare una serie di presunte mancanze dell’OdV che avrebbe dovuto andare più a fondo su temi in parte già rilevati in sede ispettiva dalla Banca d’Italia e oggetto, prima, di notizie di stampa e, poi, di contestazione giudiziaria.

Appartengono senza dubbio alla best practice in tema di svolgimento delle funzioni di OdV i seguenti adempimenti:

  • approfondimento di temi critici con l’ufficio legale;
  • approfondimento di tematiche amministrative-finanziarie con il CFO;
  • approfondimento di temi contabili di rilievo con i revisori e i sindaci (specie se tali controllori evidenziano l’esistenza di operazioni con alcune anomalie);
  • approfondimento con il Dirigente preposto alla redazione dei documenti contabili societari.

 

Vale a dire: approfondimento di profili specifici di compliance con i soggetti/organi/funzioni che hanno una primaria responsabilità gestionale o di controllo e monitoraggio di quei profili.

Si può aggiungere che, certamente, tali argomenti critici devono essere sempre presenti all’ordine del giorno delle riunioni dell’OdV, almeno da un certo momento in poi, quando esplode la “crisi 231”: opportuno, in questi casi il confronto con i difensori in sede penale.

Rilevano, infine, la tempestività delle iniziative e le sollecitazioni dei flussi informativi da parte dell’OdV, se necessario.

Tutto assolutamente condivisibile e ben noto agli addetti ai lavori (anche se repetita iuvant).

Tuttavia, la sentenza, dopo aver evidenziato il fatto che non vi sia stato un “confronto sostanziale sul tema contabile” ormai esploso, aggiunge che l’OdV ha assistito inerte agli accadimenti, limitandosi ad insignificanti prese d’atto nella vorticosa spirale degli eventi (dalle allarmanti notizie di stampa fino alla debacle giudiziaria) che un più accorto esercizio delle funzioni di controllo avrebbe certamente scongiurato.

In altri termini: l’OdV avrebbe potuto impedire le successive contestazioni di falso in bilancio e manipolazione del mercato.

Certamente qui si sta parlando di questo tema ai fini dell’esimente e non ai fini della responsabilità penale dell’OdV per omesso impedimento.

Però affermare che "un più accorto esercizio delle funzioni di controllo avrebbe certamente scongiurato" le successive contestazioni è un assioma: in quali termini l’OdV avrebbe potuto scongiurare i reati successivi? Con quali poteri e in virtù di quali iniziative? perchè si ritiene che l'impedimento sarebbe stato certo?

L'OdV, anche se si fosse convinto della potenziale illiceità delle modalità di registrazione in contabilità delle operazioni contestate, avrebbe soltanto potuto (e dovuto) comunicare al Consiglio di amministrazione, ai sindaci e ai revisori (e non certo all’esterno della società) che si stava correndo il rischio di ulteriori contestazioni in sede penale, anche ai sensi del d.lg. 231.

Dire che l’OdV avrebbe potuto scongiurare i reati successivi è affermazione che non mi sembra rispettosa dello statuto giuridico dell’OdV, avuto riguardo ai suoi poteri e ai suoi rapporti con altri soggetti dell'azienda; aggiungere che questo risultato si sarebbe prodotto “certamente” pare assolutamente immotivato.

Il passaggio motivazionale in esame è, infine, potenzialmente foriero di sviluppi (ugualmente non condivisibili) in tema di responsabilità omissiva dell’OdV.

Secondo alcune voci, costui, anche in mancanza di poteri impeditivi in senso stretto, potrebbe essere rimproverato per non aver impedito il reato insieme ad altri (il c.d. contesto collaborativo): una sorta di prevenzione indiretta che si fonda sul pernicioso "qualcosa poteva fare".

 

Contributo a cura del Dott. Piermarco Di Lallo.