L’Organismo di Vigilanza come supervisore del whistleblowing

La questione che si propone nell’articolo è se l’Organismo di Vigilanza possa essere la figura più adeguata a ricevere e gestire le segnalazioni relative a illeciti commessi dai soggetti di cui all’art. 5 co. 1 del Decreto 231, o a violazioni del Modello di organizzazione e gestione di una società (“whistleblowing”).

La questione è aperta e dibattuta, anche e soprattutto a causa della lunga vicenda relativa al recepimento nell’ordinamento italiano della Direttiva UE 2019/1937 (“Direttiva whistleblowing”), che impone agli Stati membri dell’Unione europea di conformarsi entro il 17 dicembre 2021 – termine che l’Italia non ha ancora rispettato, nonostante la prossima scadenza del 10 dicembre 2022 della legge di delegazione europea (Legge n. 127 del 4 agosto 2022).

L’assenza di poteri gestori dell’Organismo di Vigilanza

L’Organismo di Vigilanza, per il ruolo che svolge e le caratteristiche che gli sono attribuite dalla legge, è autonomo, indipendente e ha l’onere di vigilare sul funzionamento, sul rispetto e sull’aggiornamento del Modello di organizzazione e gestione della società.

Dal punto di vista della struttura della società, la dottrina ha nel tempo riportato che l’Organismo di Vigilanza non costituisce un organo della società, e non ha una funzione di garanzia degli interessi collettivi, o di terzi soggetti; esso è piuttosto un suo “ufficio”, la cui presenza costituisce una modalità organizzativa interna.

Il Decreto 231, inoltre, non attribuisce all’Organismo di Vigilanza poteri di intervento impeditivi nei confronti di comportamenti irregolari o illeciti, né poteri disciplinari e sanzionatori diretti, che richiederebbero un’autorità e una signoria sui comportamenti altrui all’interno e all’esterno della società.

La presenza in azienda di membri dell’Organismo di Vigilanza non risulta funzionale ad una gestione dell’ente e non consente ai componenti di intromettersi nelle scelte dell’imprenditore circa le modalità di conduzione dell’impresa.

Anche il Garante Privacy ha segnalato, nel suo parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall’art. 6, d.lgs. 8 giugno 2001, n. 231 del 12 maggio 2020, che l’Organismo di Vigilanza, pur avendo funzioni di controllo, non è dotato di alcun potere impeditivo nei confronti degli eventuali autori del reato, e non ha obbligo di denuncia all’autorità giudiziaria in relazione agli illeciti di cui viene a conoscenza a causa e nell’esercizio delle sue funzioni.

Per la giurisprudenza di legittimità (Cass. Pen. Sez. VI n. 23401 del 11/11/2021) l’Organismo di vigilanza non può avere connotazioni di tipo gestorio, che ne minerebbero l’autonomia, ma ad esso spettano compiti di controllo sistemico continuativo sulle regole cautelari predisposte e sul loro rispetto nell’ambito del modello organizzativo di cui la società si è dotata.

Il whistleblowing non deve essere gestito, ma controllato dall’Organismo di Vigilanza

Il comma 2-bis dell’art. 6 del Decreto 231 prevede che i Modelli di Organizzazione e Gestione devono prevedere uno o più canali che consentano ai soggetti in posizioni apicali e a coloro che sono sottoposti alla loro direzione e controllo di presentare, a tutela dell’integrità della società, segnalazioni circostanziate di condotte illecite o di violazioni del Modello di organizzazione e gestione.

Il Decreto 231 non reca alcuna indicazione circa i destinatari delle segnalazioni, né individua i gestori dei canali previsti dal Decreto stesso.

Non spetta quindi ex lege all’Organismo di Vigilanza la gestione delle segnalazioni in questione, ed è anche rimessa alla discrezionalità della Società la scelta di individuare in un soggetto diverso il destinatario di tali segnalazioni, che avrà il compito di istruirle e adottare ogni provvedimento conseguente.

Il fatto che l’Organismo di Vigilanza non debba necessariamente essere il gestore del whistleblowing, però, non significa che esso possa rimanere estraneo alle segnalazioni e al loro seguito: l’Organismo di Vigilanza deve comunque vigilare sulle segnalazioni, in quanto parte necessaria del Modello di organizzazione e gestione.

_______________________________________________

Immagine di copertina di John Peters grazie a Unsplash

L’effetto Bruxelles come chiave di lettura dei Regolamenti europei sui dati

Quando si parla di “effetto Bruxelles”, ci si riferisce alla capacità dell’Unione europea di influenzare e regolamentare i mercati globali in modo unilaterale.

In questo senso, si può parlare di “extraterritorialità” delle norme europee, che plasmano il contesto normativo internazionale senza la necessità di ricorrere a imposizioni o a strumenti di cooperazione ulteriori.

Questa dinamica consente all’Unione europea di esercitare indirettamente un’influenza profonda sul comportamento delle aziende, e di trasformare, in questo modo, i mercati globali.

Quali sono i modi e gli strumenti con cui l’Unione europea realizza l’effetto Bruxelles?

Capacità regolativa locale

La capacità dell’Unione europea di trasferire nel mondo le sue preferenze normative non dipende esclusivamente dalla dimensione del proprio mercato, che giustificherebbe, in astratto, la capacità dell’Unione europea di “calare dall’alto” normative dirette agli Stati membri.

La dimensione del mercato non dà conto, di per sé, della capacità dell’Unione europea di trasferire ad altri le sue preferenze normative, proprio come non tutti gli Stati con un mercato grande diventano fonti di standard univoci.

Invece, bisogna considerare che nuove normative vedono la luce raramente su impulso centrale dell’Unione europea, e in genere hanno origine in iniziative regolatorie intraprese dai singoli Stati membri.

Gli Stati europei sono importanti centri di sviluppo locale di norme che potrebbero dar forma a regolamenti Europei, e in seguito avere ricadute applicative in tutto il mondo attraverso l’effetto Bruxelles.

Si colloca, piuttosto, in una seconda fase, la capacità della giurisdizione europea di promulgare e far rispettare le regole, che contribuisce a garantire la loro extraterritorialità.

Poteri sanzionatori

La capacità regolativa dell’Unione europea è spesso connessa a un’altra condizione: la propensione a promulgare norme stringenti, alle quali siano associate sanzioni certe.

L’Unione europea, in questa ottica, ha delegato l’applicazione di molte normative europee, tra le quali il GDPR, agli Stati membri, mantenendo comunque in capo alla Commissione il potere di perseguire le violazioni dei singoli Stati che non implementano o non applicano integralmente le leggi dell’Unione europea.

In questo modo, anche la Commissione può garantire che gli Stati membri siano motivati ad adempiere al loro mandato, e quindi contribuire fattivamente alla capacità regolativa dell’Unione europea.

Adeguamento spontaneo delle aziende

Le aziende e, in particolare, le multinazionali, tendono a preferire l’uniformità normativa, e finiscono spesso per estendere volontariamente le regole europee a tutte le proprie attività nel mondo, evitando il costo di doversi adeguare a molteplici sistemi di regolazione diversi.

L’effetto Bruxelles ha influito su molte attività regolatorie, tra le quali quella del mercato digitale: le normative europee determinano, ad esempio in che modo le Big Tech raccolgono, gestiscono, conservano e monetizzano i dati personali.

Facebook, Google e Microsoft hanno scelto di adottare un’unica privacy policy globale – che rispecchia molto da vicino la normativa di matrice europea.

Allo stesso modo, il Codice di condotta europeo contro l’illecito incitamento all’odio online influenza il tipo di linguaggio che le aziende del web permettono sulle rispettive piattaforme: invece di far riferimento al Primo Emendamento statunitense in materia di libertà di espressione, aziende come Facebook, Twitter o YouTube si ispirano alla definizione europea di “linguaggio dell’odio” per decidere quale contenuto rimuovere dalle proprie piattaforme.

Una chiave di lettura per i nuovi regolamenti europei in materia di dati personali

Con la pubblicazione del Digital Services Act nella Gazzetta Ufficiale dell’Unione europea, insieme a quella del recente Digital Markets Act, viene arricchito ulteriormente il quadro normativo per creare uno spazio digitale in cui siano tutelati i diritti fondamentali di tutti gli utenti dei servizi, oltre ad essere garantite condizioni di parità per promuovere l’innovazione, la crescita e la competitività, nel mercato unico europeo e a livello mondiale.

Si vuole ambire, con lo spirito e il metodo descritto, sia a regolamentare soggetti extra europei sulla base del criterio dell’offerta di servizi a destinatari e utenti ubicati nel territorio dell’Unione, sia a innalzare uno standard per analoghe iniziative estere.

Si tratta di ambizioni elevate, che coinvolgono la costruzione di un regime composito, che andrà a intersecarsi con altrettanto complesse discipline e che terrà probabilmente molto impegnate le Corti, nazionali e non, per chiarire la sua applicazione.

________________________________________________

Immagine di copertina di Paolo Margari grazie a Unsplash

Il percorso USA verso una legge privacy federale

Lo scorso 3 giugno è stata presentata al Congresso degli Stati Uniti l’American Data Privacy & Protection Act (ADPPA), il più recente e – almeno al momento – efficace tentativo di costruire una legge federale in materia di trattamento e protezione di dati personali.

La prospettiva di una legge federale in USA è, oggi più che mai, estremamente importante: si pensi prima di tutto al tema dei “trasferimenti internazionali” di dati personali, che così tanto sta creando complessità e problemi soprattutto rispetto alle previsioni e tutele poste dalla legislazione dell’Unione Europea.

Il panorama legislativo statunitense in materia di protezione di dati personali è, infatti, attualmente assai disomogeneo: su cinquantuno Stati esistono solamente cinque legislazioni complete (California, Connecticut, Colorato, Utah e Virginia) tra loro, tuttavia, poco allineate.

ADPPA: luci e ombre

Sebbene l’approvazione dell’ADPPA porterebbe con sé dei risultati indubbiamente positivi – come, ad esempio, l’irrobustimento delle tutele dei cittadini soprattutto in quelle aree in cui di fatto, non esistendo una normativa dedicata non esistono diritti specifici in materia – dall’altro desta comunque delle perplessità.

Innanzitutto, poiché la bozza di legge contiene una prelazione del diritto federale (quindi centrale) su quello statale (quindi locale): una sua approvazione comporterebbe così inevitabilmente un abbassamento del livello di protezione in quegli stati in cui la normativa statale è particolarmente favorevole.

Le maggiori problematiche si registrerebbero allora in California dove, oltre a vedersi fortemente ridotti i diritti concessi dal CPRA (California Privacy Rights Act), si assisterebbe anche allo scioglimento della California Privacy Protection Agency (CPPA), l’equivalente dei Garanti nazionali europei.

L’ADPPA escluderebbe inoltre dall’ambito dei dati protetti, tra gli altri, i dati relativi ai dipendenti. In altre parole, risulterebbero sprovvisti di ogni tutela dati personali quali:

  • le informazioni identificative e di contatto del dipendente;
  • i contatti di emergenza resi dal dipendente al proprio datore di lavoro;
  • le informazioni relative al dipendente, al coniuge o ad altri familiari fornite ai fini dell’accesso a determinati benefici occupazionali.

Non un nuovo GDPR

Benché la bozza non si ispiri propriamente al GDPR, esistono dei punti di contatto tra le due normative.

Entrambe, infatti, sanciscono ad esempio il principio di Privacy by Design – per il quale la tutela dei dati personali debba attuarsi sin dalla fase della progettazione di prodotti/servizi – così come la necessità che i dati siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (cd. minimizzazione dei dati).

Valutazioni essenzialmente simili sono effettuate anche per quanto riguarda i dati sensibili (o particolari): anche l’ADPPA riconosce particolare tutela a tutte quelle informazioni in grado di rivelare lo stato di salute – passato, presente e futuro – di un individuo, arrivando poi ad annoverare in tale categoria di dati anche le comunicazioni private di un individuo, come ad esempio sms o e-mail.

Trasferimenti UE – USA

Dal punto di vista di noi “osservatori europei” la questione indubbiamente più importante è quella relativa alla possibilità che, in seguito all’approvazione della bozza, possa tornarsi a parlare di trasferimenti di dati tra Unione e Stati Uniti.

Nell’era post Schrems II la domanda da un milione di dollari è: l’American Data Privacy & Protection Act sarà in grado di garantire un livello di tutela dei dati (dei cittadini americani, ma anche e soprattutto di quelli europei) ritenuto accettabile dal GDPR?

La risposta è delicata ed estremamente complicata, data la vigenza del FISA (Foreign Intelligence Surveillance Act) 702 che, di fatto, attribuisce alle autorità ampissimi poteri di controllo e di accesso ai dati presenti nel territorio statunitense.

In proposito, giova ricordare che sono ormai trascorsi oltre sei mesi dall’annuncio di un nuovo EU-US Privacy Framework, senza che vi siano stati ulteriori sviluppi concreti che aiutino gli operatori del settore: in questo senso, novità legislative oltreoceano (che comunque entrerebbero in vigore non prima del 2023 inoltrato) darebbero un grande aiuto.

Per ora non ci resta che aspettare, continuando a tenere gli occhi fissi oltre oceano.

_______________________________________________

Si ringrazia Gage Nelson via Unsplash per la foto di copertina

Decreto “Trasparenza” / 2: gli aspetti di diritto del lavoro

Integriamo la scheda pubblicata in precedenza con quella, redatta in collaborazione con RG Avvocati, riguardante gli aspetti prettamente lavoristici – non pochi e per nulla banali – di novità del Decreto appena approvato, in vigore dal prossimo 13 agosto.

Buona lettura!

Decreto “Trasparenza”/ 1: implicazioni privacy delle novità

Il prossimo 13 agosto entrerà a tutti gli effetti in vigore, senza la previsione di alcun periodo di transizione, il nuovo D.Lgs. 104/2022 (cd. Decreto Trasparenza).

Il Decreto, emanato per recepire all’interno dell’ordinamento italiano la Direttiva Europea 2019/1152 (cd. Direttiva trasparenza) reca importanti novità in materia di obblighi – soprattutto infornativi ed integrativi – del datore di lavoro. Tali obblighi dovranno essere assolti, con riferimento ai nuovi assunti, al momento dell’instaurazione del rapporto di lavoro e comunque prima dell’inizio dell’attività lavorativa, mediante la consegna del contratto di lavoro redatto per iscritto o, in alternativa, della copia della comunicazione di instaurazione del rapporto di lavoro.

La finalità perseguita – prima a livello comunitario e poi interno – è quella di migrare verso forme di lavoro più trasparenti e prevedibili: in quest’ottica, la previsione di nuovi oneri in capo al datore di lavoro si configura come lo strumento operativo necessario al raggiungimento delle finalità sancite dalla normativa.

Le nuove disposizioni si applicano ad una vasta gamma di tipologie contrattuali (a titolo esemplificativo e non esaustivo, contratti di lavoro subordinato, somministrato, contratti di lavoro intermittente e co.co.co.) e, come già accennato, prevedono un aumento degli oneri posti in capo al soggetto qualificato, nell’ambito del rapporto, come datore di lavoro. Tali oneri possono sostanzialmente suddividersi in due categorie.

Da un lato vengono innanzitutto stabiliti obblighi di comunicazione inerenti al rapporto di lavoro, che impongo al datore di lavoro di comunicare – modo chiaro e trasparente e con modalità cartacea o digitale – informazioni quali, tra le altre, l’identità delle parti e il luogo di lavoro, la durata delle ferie e i modi per esercitare il diritto di recesso

Dall’altro lato, vengono introdotte novità anche in materia di tutela delle informazioni e dei dati personali relativi ai lavoratori.

 Da questo punto di vista, il datore di lavoro sarà tenuto a:

  • informare il lavoratore circa l’utilizzo di sistemi decisionali o di monitoraggio automatizzati in grado di incidere sul rapporto di lavoro;
  • integrare l’informativa, qualora già resa in precedenza, con tutte le istruzioni di sicurezza relative all’utilizzo di tali sistemi atomizzati.

Di notevole importanza anche la previsione di specifiche misure di tutela. In particolare:

  1. la possibilità di ricorrere a strumenti più agevoli e rapidi per la risoluzione di controversie insorte tra le parti;
  2. la previsione di una sanzione per comportamenti ritorsivi che il datore di lavoro ponga eventualmente in essere, come conseguenza dell’avvio di un procedimento, anche non giudiziario, da parte del lavoratore;
  3. la previsione di una tutela contro il licenziamento o altro comportamento ritorsivo posto eventualmente in essere dal datore di lavoro in conseguenza dell’esercizio, da parte del lavoratore, dei diritti stabiliti nel decreto trasparenza e nel D.Lgs. 152/1997.

Di seguito la nostra scheda riassuntiva dettagliata, relativa all’ambito privacy, a cui seguirà una ulteriore scheda in ambito lavoristico redatta in collaborazione con lo studio RG Avvocati.

___________________________________________

Immagine di copertina di Cytonn Photography grazie a Unsplash

Novità in materia Smart Working: il 31 agosto (al momento) è la data.

Il prossimo 31 agosto la versione “emergenziale” dello smart working cesserà.

Con la fine del periodo emergenziale tramonterà anche il periodo “di favore” concesso alle aziende private allo scopo di fornire un accesso allo smart working – o, abbandonando ogni inglesismo, al cd. “lavoro agile” – semplificato dal punto di vista procedurale.

Nel corso degli ultimi due anni, infatti, l’accesso a tale modalità di lavoro è avvenuta attraverso un iter estremamente celere e scorrevole, rivelandosi sufficiente l’invio al Ministero del Lavoro e delle Politiche Sociali di apposito modulo contenente l’elencazione di tutti i lavoratori dell’azienda coinvolti nel passaggio di modalità.

Quindi, dal 1° settembre 2022 toneranno in vigore le regole dettate dalla legge n. 81/2017, integrate da quanto in ultimo stabilito dal “Protocollo nazionale sul lavoro in lavoro agile” del 7 dicembre 2021.

Già lo scorso marzo eravamo intervenuti sul tema con l’approfondimento “Lo smart working: nuova normalità”.

Tuttavia, alla luce dell’imminente cambio di normativa, ci sembra opportuno rispolverarne i passaggi fondamentali.

Nell’ultimo paragrafo, invece, trovate le attività concrete e operative da effettuare prima del 31 agosto, al fine di continuare ad accedere al “lavoro agile” correttamente.

Legge 81/2017

La legge 22 maggio 2017, n. 81 reca – al capo II e con l’obiettivo di bilanciare le esigenze private e professionali del lavoratore – disposizioni in materia di lavoro agile, per tale intendendosi una modalità di lavoro flessibile, caratterizzata dall’assenza di particolari vincoli in termini di luogo e di orari di lavoro. 

Rispetto alla procedura semplificata di matrice emergenziale, la legge sul lavoro agile risulta sicuramente più rigida e vincolante: la comunicazione complessiva dei nominativi sarà soppiantata dalla sottoscrizione di un accordo individuale con ciascuno dei lavoratori coinvolti.

Vincoli vengono poi imposti al datore di lavoro anche per quanto riguarda il contenuto di tale accordo.

Dovrà infatti figurare nel testo:

  • la previsione di tempi di riposo del lavoratore e diritto alla sua disconnessione (art. 19);
  • la previsione del diritto recesso dall’accordo (art. 19, secondo comma);
  •  una garanzia di un trattamento economico e normativo non inferiore a quello applicato ai colleghi che eseguono le mansioni in modalità ordinaria (art. 20);
  • la disciplina poteri di controllo del datore di lavoro ex art.4 Statuto dei lavoratori (art.21).

Il datore di lavoro, inoltre, deve inoltre fornire al lavoratore agile una informativa scritta per la sicurezza, una tutela contro gli infortuni sul lavoro e le malattie professionali per rischi connessi alla prestazione lavorativa resa all’esterno dell’azienda, nonché una tutela contro gli infortuni sul lavoro occorsi durante il normale percorso di andata e ritorno dal luogo di abitazione a quello prescelto.

Protocollo Nazionale sul Lavoro Agile

Ad integrare la normativa è intervenuto, lo scorso 7 dicembre, il Protocollo nazionale sul lavoro agile, dettando regole e vincoli ulteriori.

Innanzitutto, vengono individuate informazioni aggiuntive da inserire nell’accordo di cui alla legge n.81/2017. Tra queste figurano, tra le altre, la durata dell’accordo e i luoghi eventualmente esclusi ai fini della prestazione lavorativa, l’alternanza con periodi di lavoro in sede e gli strumenti di lavoro, nonché i tempi di riposo e le forme di esercizio dei diritti sindacali.

Ribadisce inoltre gli elementi caratterizzanti il lavoro agile:

  • l’assenza di un preciso orario di lavoro (art.3);
  • il rispetto della normativa relativa alla protezione dei dati personali (art.12);
  • la libertà del lavoratore di scegliere il luogo in cui svolgere la prestazione lavorativa (art.4);
  • la fornitura, di regola, da parte del datore di lavoro di tutta la strumentazione tecnologica e informatica necessaria allo svolgimento della prestazione lavorativa (art.5);

Suggerimenti operativi

Per un passaggio lineare allo smart working – o per un suo mantenimento, laddove sia attualmente attivo –, un primo aspetto da tenere ben in conto attiene alla comunicazione: è difatti importantissimo avvisare i lavoratori di tale possibilità, preferibilmente attraverso l’organizzazione di incontri di approfondimento, finalizzati anche a comprendere, tra le altre cose, le preferenze e le disponibilità per quanto riguarda la il numero di giornate lavorative da destinarsi all’una o all’altra modalità di lavoro.

Allo stesso modo, particolare attenzione va riservata alla gestione della contrattazione individuale. Ogni lavoratore è difatti portatore di esigenze e desideri diversi, che diversamente impattano sulla buona riuscita del progetto.

Dovranno pertanto essere attentamente analizzati i bisogni di ciascun lavoratore, in modo tale da garantire che l’obiettivo fissato dal Legislatore – bilanciamento vita privata/lavoro, ma anche incremento della produttività – venga efficacemente raggiunto.

Alla luce di quanto detto, appare evidente che gli aspetti da tenere in conto sono numerosi e diversi, che non si limitano al solo ambito della normativa lavoristica ma ricomprendono anche aspetti privacy e sicurezza sul lavoro.

Al di là dei singoli accordi individuali, è consigliato – anzi, quasi necessario – stilare un regolamento interno che riporti le logiche aziendali poste alla base dell’organizzazione dello smart working nonché predisporre e/o revisionare il regolamento d’uso degli strumenti aziendali e il codice disciplinare.

Per questa ragione, il suggerimento è quello di coinvolgere, sempre e sin dall’inizio, tutti i consulenti e i referenti aziendali di volta in volta interessati dall’innovazione o cambiamento, in modo tale staccarsi sempre più dal concetto di “emergenza”, rendendo sempre più “normale” il ricorso a questa forma agile di lavoro.

_________________________________________

Immagine di copertina di Austin Distel grazie a Unsplash

Organismo di Vigilanza: compiti, requisiti e responsabilità

L’organismo di vigilanza è un organo introdotto nel nostro ordinamento dal D. Lgs. 231/ 2001– che lo scorso 8 giugno ha compiuto 21 anni, diventando così maggiorenne in tutti gli stati del mondo – istituito al fine di vigilare sulla corretta applicazione del modello di organizzazione, gestione e controllo (cd. MOGC) e dei protocolli in esso previsti, in tutti quei casi in cui gli operatori imprenditoriali decidano di dotarsene.

È importante ricordare, infatti, che l’adozione del modello di organizzazione e gestione e la correlata istituzione di un organismo di vigilanza (anche “OdV”) sono rimesse alla facoltà di ciascuna entità produttiva; il legislatore lascia dunque loro piena libertà di decidere se equipaggiarsi o meno di questi strumenti di compliance.

L’OdV riveste nel panorama aziendale un ruolo centrale ed insostituibile: soltanto laddove questo funzioni in maniera corretta – attraverso una scrupolosa attività di vigilanza sull’osservazione del modello e di aggiornamento dello stesso, ove necessario – la società che lo ha nominato sarà in grado di ottenere l’esimente prevista dall’art. 6 del Decreto 231 in relazione ai reati-presupposto commessi da soggetti operanti al suo interno.

Cosa ci dice l’articolo 6

L’art. 6 comma 1, lettere b) e d) del D. Lgs 231/2001 stabilisce che l’ente può essere esonerato dalla responsabilità conseguente alla commissione di illeciti da parte di un dipendente – apicale o sottoposto – se:

  • prova che “il compito di vigilare sul funzionamento e l’osservanza dei modelli e di curare il loro aggiornamento è stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo” e
  • non vi è stata omessa o insufficiente vigilanza da parte dell’organismo”.

Già dai primi articoli il Decreto esprime in maniera chiara ed evidente la necessità che il modello, una volta adottato, non rimanga relegato allo stato di mero adempimento formale.

La corretta attuazione del MOGC passa, come è evidente, inevitabilmente attraverso una costante attività di controllo e vigilanza dei protocolli e delle procedure in esso previste, nonché di adeguamento laddove le stesso dovessero risultare in corso d’opera inadeguate al perseguimento degli obiettivi di tutela fissati dalla normativa 231.

Affinché tali attività vengano svolte nel migliore dei modi dall’OdV, la legge richiede la sussistenza nei suoi (o nel suo, a seconda dei casi) membri di particolari requisiti.

Composizione: monocratica o collegiale?

La legge non fornisce precise indicazioni per quanto concerne la composizione dell’OdV; agli operatori del settore è dunque demandata la scelta di optare tra un organismo monocratico o collegiale.

Sebbene la scelta sia sostanzialmente libera, è prassi consolidata quella di optare per un organismo collegiale (formato da componenti interni o esterni all’ente), soprattutto nelle strutture aziendali di grandi dimensioni e maggiormente articolate.

In questi casi, se l’ente ha natura di società di capitali, l’art. 6 del Decreto 231 comma 4 bis, il ruolo di OdV può essere ricoperto dal collegio sindacale, dal consiglio di sorveglianza e dal comitato per il controllo della gestione.

La scelta deve, in altre parole, sempre rispecchiare la complessità delle attività che l’organismo è chiamato a gestire: se optare per un Organismo di Vigilanza monocratico risulterebbe delicato e foriero di problematiche per una multinazionale, potrebbe certamente essere la soluzione ottimale per una piccola impresa in cui l’organizzazione interna non è particolarmente strutturata.

Proprio per tali ragioni, l’art. 6 comma 4 prevede la possibilità che nelle piccole imprese sia addirittura lo stesso organo dirigente a ricoprire il ruolo di OdV.

Requisiti

In considerazione delle delicate funzioni che la legge demanda alla competenza dell’Organismo di Vigilanza, si richiedere che i suoi membri siano dotati di particolari requisiti, elaborati dalla giurisprudenza sulla base di quanto espresso nel decreto 231.

Autonomia e indipendenza: la posizione dell’organismo di vigilanza deve essere tale da garantire un’azione di controllo autonoma, ossia svincolata da ogni forma di condizionamento proveniente da componenti dell’ente, in particolare dall’organo dirigente (che, al contrario, è uno dei soggetti controllati).

L’organismo deve inoltre essere personalmente ed economicamente indipendente: non deve cioè versare in condizioni di conflitto di interesse, nemmeno potenziali.

È chiaro che, quanto più l’organismo sia composto da soggetti estranei all’organizzazione, tanto maggiore sarà il suo grado di autonomia ed indipendenza globale.

A livello giurisprudenziale si è poi consolidata una posizione per cui, perché possa parlarsi di autonomia ed indipendenza dell’organismo deputato alla vigilanza del modello 231, non debba sussistere alcun tipo di sovrapposizione tra soggetto controllato e organo controllante.

Tale principio è stato messo nero su bianco anche nelle sentenze che hanno definito il caso (tragicamente famoso) dell’incidente avvenuto nello stabilimento torinese delle acciaierie Thyssenkrupp.

Professionalità: tale requisito, (elaborato da Tribunale di Napoli con sentenza del 26 giugno 2007) richiede che l’OdV sia dotato di specifiche competenze e conoscenze tecniche idonee a garantire un controllo adeguato.

Visti gli evidenti punti di contatto della normativa 231 con elementi di diritto penale, uno dei componenti dell’OdV dovrebbe preferibilmente essere un esperto della materia.

• Continuità di azione: l’OdV deve essere strutturato in maniera tale da garantire una attività di controllo costante e continuata, tale da garantire modifiche puntuali al modello ogni qual volta ciò risulti necessario in relazione a quello che è lo sviluppo della realtà aziendale che il modello è chiamato a regolare.

Compiti e responsabilità

I poteri, i compiti e le responsabilità affidati dalla normativa vigente alle cure dell’OdV sono tutti indirizzati alla prevenzione della commissione di reatipresupposto da parte dell’organizzazione che lo ha nominato e si sostanziano essenzialmente in attività tipo consultivo, proposito e di impulso, tra cui (a titolo esemplificativo e non esaustivo):

  • vigilare sulla corretta applicazione del modello;
  • curare l’aggiornamento e l’implementazione dello stesso, ove necessario;
  • verificare la diffusione del modello in ambito aziendale;
  • analizzare i flussi informativi;
  • svolgere audit.

_________________

Immagine di Agence Olloweb ottenuta grazie a Unsplash

Il prossimo “Privacy Shield”: avvenimenti, criticità e possibilità aperte

Alla luce della novità di ieri, con il Garante italiano che ha – allineandosi ad altri “colleghi” europei – sanzionato l’uso di Google Analytics per il trasferimento di dati verso gli USA, ritenuto non conforme a GDPR, riteniamo molto interessante tornare sul tema degli accordi transatlantici USA-UE per (provare a) rendere lecita l’attività che coinvolge fornitori americani.

Gli avvenimenti principali: Max Schrems e la Corte di Giustizia UE

Il “Privacy Shield”, che permetteva il trasferimento di dati personali fra Unione europea e gli Stati Uniti, era un meccanismo approvato dall’Unione europea in seguito all’abolizione – sempre per mano della Corte di Giustizia UE – del suo predecessore, il “EU-USA Safe Harbour”.

Entrambi gli accordi definivano gli Stati Uniti come un Paese verso cui è possibile effettuare, secondo certe condizioni, un trasferimento dei dati di cittadini europei e/o persone comunque soggette alla normativa UE: ciò fino all’incontro-scontro con Max Schrems, giovane avvocato e attivista austriaco, che da anni sfida le politiche di trasferimento di dati verso gli USA attuate, in particolare, nell’ambito del social network “Facebook”.

Nel 2011, Max Schrems, dopo aver assistito a una lezione, in un’università della California, tenuta dal privacy lawyer di Facebook, si è reso conto che le politiche del social network non tutelavano la privacy degli utenti, e ha scaricato una copia da Facebook dei dati che lo riguardavano, in possesso della piattaforma. L’allora studente di legge ha trovato oltre 1.200 pagine di informazioni sul suo conto, contenenti anche tutti i messaggi scambiati sulla piattaforma, compresi quelli cancellati.

È iniziata così la battaglia legale, alla quale si sono aggiunte, in modo decisivo, nel 2013, le rilevazioni di Edward Snowden, ex tecnico della CIA, secondo cui anche il governo degli Stati Uniti poteva avere accesso ai dati di Facebook, e non solo i gestori del social.

La prima vittoria di Schrems è del 2015, quando la Commissione europea ha smantellato la struttura del Safe Harbour. Ma l’attivista ha proseguito ancora, e nel luglio 2020 la Corte di Giustizia dell’Unione europea ha emesso una nuova sentenza che ha abbattuto anche il Privacy Shield.

Max Schrems, nel frattempo, ha anche fondato una organizzazione no profit (“NOYB”, “None Of Your business”).

Cos’è rimasto in piedi dell’impianto legislativo per il trasferimento dei dati personali europei negli Stati Uniti?

La Corte di Giustizia, in relazione agli artt. 7 8 e 47 della carta di Nizza, in materia di protezione dei dati, su è espressa in merito alla normativa che imponeva a Facebook di mettere a disposizione delle agenzie di Intelligence americane i dati personali trasferiti, o quelli che Facebook raccoglieva dagli utenti.

In particolare, l’art 702 del FISA (“Foreign Intelligence Surveillance Act”) consente al Procuratore e al Direttore dell’Intelligence americana di autorizzare congiuntamente, previa approvazione della Corte ad hoc FISA, la sorveglianza di specifici utenti e dati mediante programmi di sorveglianza come PRISM e UPSTREAM. La Corte di Giustizia UE ha valutato anche la portata dell’Executive Order n. 12333, che consente alla NSA (“National Security Agency”) di accedere ai cavi sottomarini posti sotto l’atlantico (“dorsali di internet”) e di raggiungere i dati personali prima che essi arrivino negli Stati Uniti.

Il diritto degli Stati Uniti, secondo la sentenza della Corte di Giustizia, non prevede garanzie e limitazioni sui dati personali rispetto alle ingerenze autorizzate dalla sua normativa nazionale, e non assicura una tutela giurisdizionale effettiva degli interessati contro queste ingerenze. Restano tecnicamente validi, comunque, dopo la sentenza della Corte, tutti gli strumenti alternativi alla decisione della commissione europea, in particolare le Clausole Contrattuali Standard (in versione 2021) e le norme vincolanti di impresa (“Binding Corporate Rules”), seppure queste ultime siano utili solo a grandi (e poche) multinazionali.

Sono strumenti che non possono essere adottati solo formalmente: è necessario infatti che il Titolare del trattamento svolga sempre una valutazione caso per caso, in modo da assicurare mediante misure di sicurezza e misure supplementari che la normativa statunitense non interferisca con la protezione dei dati personali garantita dal GDPR. Se, alla fine di questa valutazione, il Titolare ritiene che non vi siano ancora adeguate garanzie, deve sospendere o porre fine al trattamento di dati personali verso gli USA.

È possibile allora ipotizzare un nuovo Privacy Shield?

Prendendo le mosse da ragionamenti di carattere storico, dato che già il primo Safe Harbour che esisteva fra Unione europea e Stati Uniti venne dichiarato invalido dalla CGUE e successivamente si arrivò a un altro compromesso, potenzialmente si potrebbe giungere a un altro accordo.

Il rischio concreto è che, per conflitto di normative interne, ora non si riescano mai a raggiungere gli standard di sicurezza previsti dall’unione europea: ciò seppure, rispetto al passato, si stanno comunque compiendo dei notevoli passi avanti, grazie ai meccanismi di cooperazione fra le Autorità Garanti europee e con l’interlocuzione tra Commissione UE e governo USA.

Ad esempio, è stato pubblicata una nuova versione delle Clausole Contrattuali Standard, che rivedono un meccanismo di trasferimento dei dati rimasto un po’ “abbandonato” negli anni, in quanto ancora riferito alla Direttiva del 1995 anche dopo l’avvento del GDPR; anche la pubblicazione da parte dell’EDPB delle Linee guida sul Trasferimento internazionale dei dati personali ha rappresentato, a parere degli esperti, una preziosa fonte di indicazioni e istruzioni, anche tecniche, per limitare i rischi e adeguare i trattamenti che comportano trasferimenti.

Rimane certa, per ora, la necessità di adottare un approccio concreto e non teorico nel trasferimento dei dati personali, valutando caso per caso con adempimenti come un attento data mapping e una valutazione relativa al trasferimento dei dati (c.d. “TIA”) quali potrebbero essere i rischi derivanti dal trasferimento di dati personali extra UE, valutando anche le misure alternative o le misure tecniche per rendere il trattamento il più possibile rispettoso dei diritti e delle libertà degli interessati.

_______________________________________________________

Immagine di copertina grazie a NASA on Unsplash

Le pratiche commerciali scorrette nei provvedimenti dell’AGCM

Una pratica commerciale “scorretta” viola i principi fondamentali previsti dal Codice del Consumo e quelli in materia di comunicazioni commerciali.

Ciò potrebbe avvenire (più o meno consapevolmente) per massimizzare i ricavi di un negozio online; o potrebbe accadere semplicemente per mancanza di chiarezza delle informazioni presentate su un sito; potrebbe infine essere idonea a fuorviare, condizionandolo, il comportamento del consumatore.

È una tematica posta spesso all’attenzione dell’Autorità Garante della Concorrenza e del Mercato (“AGCM”): è allora utile tenere sempre in particolare considerazione gli orientamenti e le posizioni prevalenti, mostrate dall’esperienza e dalle decisioni contenziose, non solo per evitare verifiche ed eventuali provvedimenti ma anche, e soprattutto, per offrire ai consumatori un acquisto trasparente e rispettoso dei loro diritti.

In generale, una pratica commerciale è scorretta quando, in contrasto con il principio della diligenza professionale, è falsa o è idonea a falsare in misura apprezzabile il comportamento economico del consumatore che raggiunge, o al quale è comunque rivolta (art. 20 D. Lgs. 206/2005).

La disciplina si applica alle pratiche commerciali scorrette poste in essere sia prima, che durante e dopo un’operazione commerciale relativa a un prodotto.

La legge suddivide le pratiche commerciali in due categorie: quelle ingannevoli e quelle aggressive.

Quali sono le pratiche commerciali “ingannevoli”? (art. 21 Codice del Consumo)

Alcune azioni considerate ingannevoli dall’AGCM sono, ad esempio:

  • quelle che assimilano gli effetti di un prodotto alimentare a quelli attribuibili alle funzioni di un farmaco, avvalendosi di etichette non autorizzate dalla Commissione europea;
  • la diffusione di informazioni non veritiere in merito alla capacità di memoria di prodotti software;
  • la creazione di indebita confusione tra cosmetici e trattamenti di medicina estetica mediante testi e immagini evocative.

Anche certe omissioni sono state sanzionate come “pratiche ingannevoli” dall’AGCM:

  • l’assenza di indicazioni puntuali sul tasso annuo effettivo globale (“TAEG”), in quanto non veniva consentito al consumatore di effettuare un’adeguata valutazione sulla convenienza effettiva di un’offerta finanziaria;
  • l’assenza, nei siti online che offrono servizi di comparazione dei prezzi e di prenotazione voli, di informazioni chiare, trasparenti e immediate sul reale costo del prodotto desiderato e su tutto ciò che è utile per orientare la scelta.

Esiste, poi, un elenco di pratiche elencate dall’art. 23 del Codice del Consumo, che sono considerate sempre ingannevoli, senza che si debba accertare la mancata diligenza e l’attitudine a falsare il comportamento economico del Consumatore, sulle quali si è pronunciato, oltre all’AGCM, anche il Consiglio di Stato (Cons. Stato 14 aprile 2020 n. 2414).

Quali sono le pratiche commerciali “aggressive”? (art. 24 Codice del Consumo)

Una pratica commerciale aggressiva è una condotta invasiva che comporta pressioni, coercizione, molestie o indebito condizionamento e influisce in concreto sulla libertà di scelta del consumatore.

Essa può avere luogo sia nel corso del rapporto contrattuale, sia nella fase di costituzione del vincolo negoziale.

Le pratiche commerciali aggressive non sono necessariamente connotate dal ricorso alla violenza fisica o verbale, ma sono accomunate dal fatto che il consumatore si trova in situazioni di stress che diventano determinanti per la sua decisione.

Ad esempio, il provvedimento dell’AGCM 20303/09 ha sanzionato

  • una procedura onerosa e farraginosa per il rimborso del credito residuo dell’utenza telefonica da parte di una società che agiva condizionando il comportamento del consumatore che intendeva cambiare gestore;
  • la prassi di un noleggio auto di bloccare temporaneamente una certa somma di denaro sulla carta di credito del cliente a garanzia dei danni che l’auto avrebbe potuto subire, inducendo il cliente, per sottrarsi al blocco di denaro sulla propria carta di credito, all’acquisto di prodotti assicurativi accessori.

Cosa può succedere in caso di violazione dei divieti?

Ai sensi dell’art. 27 comma 2 del Codice del Consumo, modificato dall’art. 37 comma 1 lett. a) n. 2 della legge n. 238/2021, in vigore dal 1 febbraio 2022, ogni soggetto od organizzazione che ne ha interesse può fare istanza all’AGCM in caso di pratiche commerciali scorrette affinché l’Autorità ne inibisca la continuazione e ne elimini gli effetti.

L’AGCM può agire anche d’ufficio in forza di poteri investigativi, esecutivi e di richiesta di informazioni, e può ottenere dal professionista responsabile l’assunzione di impegni, imporne l’applicazione e la pubblicazione.

In casi di urgenza l’AGCM può disporre, con provvedimento motivato, la sospensione provvisoria delle pratiche commerciali scorrette.

Il professionista che ha attuato una pratica commerciale scorretta può assumere l’impegno di porre fine all’infrazione utilizzando un apposito modello disposto dall’AGCM.

Quando l’AGCM ritiene la pratica commerciale contraria alle norme del Codice del Consumo, ne vieta la diffusione se l’attività non è ancora stata portata a conoscenza del pubblico, o ne proibisce la continuazione, se la pratica è già iniziata.

Per ogni inottemperanza è prevista l’applicazione di sanzioni amministrative pecuniarie, da pagare entro 30 giorni dalla notifica del provvedimento dell’AGCM.

Contro le decisioni dell’AGCM è possibile ricorrere presso il TAR del Lazio per ottenerne l’annullamento, mentre il ricorso in appello si propone davanti al Consiglio di Stato.

Checklist: l’informativa privacy secondo il GDPR

Tutte le volte che vedo una informativa privacy (di un sito, di una società, di chiunque) e trovo pochi paragrafi, zero titoletti, o qualcosa che a colpo d’occhio proprio manca, mi chiedo.

Ma non basterebbe farsi una checklist?

E allora: eccola, grazie al lavoro del team di Project:IN Avvocati!

Naturalmente ogni segnalazione di integrazione o miglioramento è ben accetta, tenendo presente che non abbiamo incluso le indicazioni provenienti dalla normativa italiana (D. Lgs. 196/2003) ma solo dal GDPR.

_________________________________

Photo by Glenn Carstens-Peters on Unsplash

***