Source: http://www.impresa-societa.com/novita-per-la-responsabilita-amministrativa-degli-enti-di-roberto-galdino/
Timestamp: 2018-04-22 12:37:41+00:00

Document:
NOVITÀ PER LA RESPONSABILITÀ AMMINISTRATIVA DEGLI ENTI (di Roberto Galdino) – IMPRESA E SOCIETA'
Il Decreto Legge 14 agosto 2013 n.93, pubblicato nella Gazzetta Ufficiale n.191 del 16 agosto 2013, che reca “Disposizioni urgenti in materia di sicurezza e per il contrasto della violenza in genere, nonché in tema di protezione civile e commissariamento delle province” ha introdotto nuove disposizioni in materia di reati contro il patrimonio, configurando nuove aggravanti dei reati di furto, rapina, ricettazione e frode informatica, introducendo anche novità in materia di responsabilità amministrativa degli enti ai sensi del D.lgs. 8 giugno 2001 n.231.
In particolare l’art. 9 comma II del D.l. n. 93/2013 riformula l’art. 24 bis del D.lgs. 8 giugno 2001 n. 231 nel modo seguente:
Art. 24-bis, D.lgs. 8 giugno 2001 n. 231
– Delitti informatici e trattamento illecito di dati –
1. In relazione alla commissione dei delitti di cui agli articoli 615-ter, 617-quater, 617-quinquies, 635-bis, 635-ter, 635-quater, 635-quinquies e 640-ter, terzo comma del codice penale nonché dei delitti di cui agli articoli 55, comma 9, del decreto legislativo 21 novembre 2007, n. 231, e di cui alla Parte III, Titolo III, Capo II del decreto legislativo 30 giugno 2003, n. 196, si applica all’ente la sanzione pecuniaria da cento a cinquecento quote.
4. Nei casi di condanna per uno dei delitti indicati nel comma 1 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere a), b) ed e). Nei casi di condanna per uno dei delitti indicati nel comma 2 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b) ed e). Nei casi di condanna per uno dei delitti indicati
nel comma 3 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere c), d) ed e).
Il D.l. n. 93/13 ha incluso tra le fattispecie presupposto dalle quali consegue la responsabilità degli enti dotati di personalità giuridica di cui al D.lgs. 8 giugno 2001 n. 231 anche quelle previste dai seguenti reati, che vanno ad aggiungersi ai cosiddetti reati sensibili.
● Art. 640-ter, terzo comma, Codice Penale (Frode informatica)
1. Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.
2. La pena è della reclusione da uno a cinque anni e della multa da euro 309 a euro 1.549 se ricorre una delle circostanze previste dal numero 1) del secondo comma dell’articolo 640, ovvero se il fatto è commesso con abuso della qualità di operatore del sistema.
3. La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con sostituzione dell’identità digitale in danno di uno o più soggetti.
4. Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o un’altra circostanza aggravante
● Art. 55, comma 9 (Sanzioni penali) D.Lgs. 21 novembre 2007, n. 231
● Art. 167 (Trattamento illecito di dati) D.Lgs. 30 giugno 2003, n. 196
● Art. 168 (Falsità nelle dichiarazioni e notificazioni al Garante) D.Lgs. 30 giugno 2003, n. 196
1. Chiunque, nelle comunicazioni di cui all’articolo 32-bis, commi 1 e 8, nella notificazione di cui all’articolo 37 o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni. (1)
● Art. 169 (Misure di sicurezza) D.Lgs. 30 giugno 2003, n. 196
● Art. 170 (Inosservanza di provvedimenti del Garante) D.Lgs. 30 giugno 2003, n. 196
● Art. 171 (Altre fattispecie) D.Lgs. 30 giugno 2003, n. 196
1. La violazione delle disposizioni di cui agli articoli 113, comma 1, e 114 è punita con le sanzioni di cui all’articolo 38 della legge 20 maggio 1970, n. 300.
L’intervento in materia di D.lgs. 8 giugno 2001 n. 231 aumenta il novero dei soggetti potenzialmente responsabili, coinvolgendo direttamente la persona giuridica nel caso di condotte e o comportamenti integranti i reati summenzionati ed imponendo una valutazione del rischio specifico ed in conseguenza di ciò l’implementazione del Modello di organizzazione, gestione e controllo di cui al D.lgs. 8 giugno 2001 n. 231.
Modifiche che risultano avere grande impatto, soprattutto per la configurazione della responsabilità da reato degli enti per l’illecito trattamento dei dati, violazione potenzialmente in grado di interessare l’intera platea delle società commerciali, industriali, produttive, di servizi e delle associazioni private soggette alle disposizioni del D.lgs. 8 giugno 2001 n.231.
Pertanto, occorrerà provvedere:
1. all’inserimento delle nuove ipotesi di reato tra quelle previgenti;
2. alla valutazione dei rischi specifici conseguenti alle nuove condotte presupposto di responsabilità;
3. all’individuazione delle relative aree di rischio;
4. all’introduzione di procedure di prevenzione e controllo idonee ad impedire la commissione delle fattispecie presupposto tipizzanti i nuovi reati introdotti;
5. alla pianificazione di specifica attività di formazione, comunicazione ed informazione.
Collocandosi le nuove fattispecie introdotte in ambito di criminalità informatica, in prima battuta si può ipotizzare che sia necessario rivedere l’implementazione:
A. delle procedure di gestione dei sistemi informatici;
B. delle procedure di gestione della tematica “privacy”.
Con specifico riferimento alla seconda esigenza sarà utile procedere a ripristinare, ove non più esistenti, gli strumenti gestionali di primo livello previsti per il corretto trattamento dei dati quale il DPS di cui al D.lgs. n.196/2003 la cui implementazione era non era più obbligatoria a seguito delle disposizioni del c.d. decreto semplificazioni.
Eventuali ulteriori attività e presidi di controllo preventivo fra i quali gli interventi formativi dovrebbero essere successivi all’analisi per la individuazione del relativo grado di rischio riconducibile alla specifica attività caratteristica della società interessata.
Intervento di Roberto Galdino, Amministratore di RG Consulting Sas. Pubblicista. Presidente e Membro di organismi di vigilanza (blog 231impresarobertogaldino@blogspot.it ).

References: Art. 24
 Art. 640
 Art. 55
 Art. 167
 Art. 168
 Art. 169
 Art. 170
 Art. 171