Source: https://studiomazzolari.wordpress.com/tag/responsabilita-amministrativa-impresa/
Timestamp: 2020-07-03 14:26:20+00:00

Document:
Responsabilità amministrativa impresa | SMBlog
Archivi tag: Responsabilità amministrativa impresa
Schiaffo a Facebook: la Corte Ue blocca l’accordo con gli Usa sullo scambio di dati.
Posted on 6 ottobre 2015 by SMBlog
I singoli Stati dell’Unione Europea potrebbero fermare il trasferimento dei dati degli iscritti europei a Facebook verso server situati negli Stati Uniti.
È quanto ha stabilito la Corte di giustizia europea accogliendo le conclusioni dell’avvocato generale della Corte. È stata quindi dichiarata invalida la decisione della Commissione Ue del 2000 secondo cui gli Stati Uniti garantiscono un adeguato livello di protezione dei dati personali.
La causa era stata presentata contro Facebook nel 2011 da Max Schrems, cittadino austriaco attivista per i diritti della privacy, dopo il Datagate, lo scandalo delle intercettazioni illegali da parte dei servizi segreti americani che aveva rivelato lo spionaggio di diversi leader europei.
Le conseguenze della sentenza sono importanti e coinvolgono giganti di Internet come Facebook e Google, che ora potrebbero essere costretti a sottoporsi allo scrutinio delle autorità di regolamentazione della privacy di ogni Stato membro della Ue e obbligati a immagazzinare i dati in Europa. Questo potrebbe tradursi in un vero e proprio labirinto burocratico perché le società americane dovranno seguire oltre 20 diverse regole nazionali di tutela della privacy.
La Corte ha fatto presente che negli Usa le esigenze della sicurezza nazionale prevalgono «sul regime dell’approdo sicuro» per i dati privati dei cittadini europei. Per questo i colossi del web sono obbligati a derogare «senza limiti, alle norme di tutela previste» con il rischio di «ingerenze da parte delle autorità pubbliche americane nei diritti fondamentali delle persone».
Per la Corte di Lussemburgo, «una normativa che consenta alle autorità pubbliche di accedere in maniera generalizzata al contenuto di comunicazioni elettroniche deve essere considerata lesiva del contenuto essenziale del diritto fondamentale al rispetto della vita privata».
Facebook raccoglie i dati dei suoi utenti europei in un server che ha base in Irlanda e poi li trasferisce negli Stati Uniti. Con questa sentenza, la Corte Ue ha rimesso alle autorità di controllo di Dublino di «esaminare la denuncia» del cittadino austriaco e di valutare se sia necessario «sospendere il trasferimento dei dati degli iscritti europei verso gli Stati Uniti, poiché gli Usa non offrono un livello di protezione adeguato dei dati personali».
«Questo è una cattiva notizia per il commercio tra Usa e Stati Uniti», ha dichiarato Richard Cumbley, Global Head di tecnologia, media e telecomunicazioni presso studio legale Linklaters. «Senza Safe Harbor, le imprese saranno chiamate a trovare accordi».
Questa decisione potrebbe segnare la fine del Safe Harbor, l’intesa sottoscritta nel 2000 dai due blocchi per regolamentare il trasferimento di dati sui due lati dell’Atlantico. E quindi per aiutare le aziende a condurre affari.
La causa muove dalla denuncia di uno studente di legge austriaco Max Schrems per cercare di fermare i trasferimenti di dati verso gli Stati Uniti. Secondo la denuncia di Schrems, alla luce delle rivelazioni di Snowden sullo spionaggio effettuato dall’Nsa, le leggi americane non offrirebbero alcuna reale protezione contro il controllo da parte del Governo Usa.
Inviato su Privacy	/ Tag Corte di Lussemburgo, Facebook, garante privacy, Max Schrems, Milano, Privacy, Responsabilità amministrativa impresa, Safe Harbor, Stati Uniti, Studio Mazzolari, Trasferimento dati personali, Unione europea	/ Lascia un commento
I nuovi delitti privacy dell’articolo 24-bis Decreto Legislativo 231/2001
Posted on 10 settembre 2013 by SMBlog
Paolo Mazzolari 10 settembre 2013
Come approfondito nel precedente Post Responsabilità degli enti in sede penale anche per i delitti in materia di privacy, il Decreto-Legge 14 agosto 2013, n. 93, recante “Disposizioni urgenti in materia di sicurezza e per il contrasto della violenza di genere, nonché in tema di protezione civile e di commissariamento delle province” (in G.U. n. 191 del 16 agosto 2013 e in vigore dal 17 agosto), dispone un’importante integrazione del Decreto Legislativo 231/2001 (responsabilità da reato degli enti collettivi).
Riportiamo di seguito il testo aggiornato dell’articolo 24-bis (Delitti informatici e trattamento illecito di dati), con evidenza in grassetto delle modifiche menzionate
In relazione alla commissione dei delitti di cui agli articoli 615-ter, 617-quater, 617-quinquies, 635-bis, 635-ter, 635-quater, 635-quinquies e 640-ter, terzo comma, del codice penale nonché dei delitti di cui agli articoli 55, comma 9, del decreto legislativo 21 novembre 2007, n. 231, e di cui alla Parte III, Titolo III, Capo II del decreto legislativo 30 giugno 2003, n. 196, si applica all’ente la sanzione pecuniaria da cento a cinquecento quote.
In relazione alla commissione dei delitti di cui agli articoli 615-quater e 615-quinquies del codice penale, si applica all’ente la sanzione pecuniaria sino a trecento quote.
In relazione alla commissione dei delitti di cui agli articoli 491-bis e 640-quinquies del codice penale, salvo quanto previsto dall’articolo 24 del presente decreto per i casi di frode informatica in danno dello Stato o di altro ente pubblico, si applica all’ente la sanzione pecuniaria sino a quattrocento quote.
Nei casi di condanna per uno dei delitti indicati nel comma 1 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere a), b) ed e). Nei casi di condanna per uno dei delitti indicati nel comma 2 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b) ed e). Nei casi di condanna per uno dei delitti indicati nel comma 3 si applicano le sanzioni interdittive previste dall’articolo 9, comma 2, lettere c), d) ed e).
Come segnalato dalla Corte di Cassazione, con la recente Relazione III/01/2013 del 22/8/2013, la previsione dei delitti in tema di privacy risulta di grande impatto, soprattutto per la configurazione della responsabilità da reato per l’illecito trattamento dei dati.
Si tratta di violazioni potenzialmente in grado di interessare l’intera platea delle società commerciali e delle associazioni private soggette alle disposizioni del DLgs 231/2001.
Di seguito nel dettaglio i nuovi delitti privacy che dal 17 agosto sono entrati nel DLgs 231 aggiungendosi così ai reati presupposto che fanno scattare la responsabilità dell’Ente.
I delitti privacy di cui dall’Art. 167 DLgs 196/2003 – Trattamento illecito di dati
1. Il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell’interessato, ove prescritti.
2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante in applicazione dei principi sanciti dal presente codice, nell’ambito di una verifica preliminare all’inizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, anche a seguito di un interpello del titolare.
2. Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso.
1. La comunicazione e la diffusione sono vietate, oltre che in caso di divieto disposto dal Garante o dall’autorità giudiziaria:
a) in riferimento a dati personali dei quali è stata ordinata la cancellazione, ovvero quando è decorso il periodo di tempo indicato nell’articolo 11, comma 1, lettera e);
2. È fatta salva la comunicazione o diffusione di dati richieste, in conformità alla legge, da forze di polizia, dall’autorità giudiziaria, da organismi di informazione e sicurezza o da altri soggetti pubblici ai sensi dell’articolo 58, comma 2, per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati.
1. I dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante, nell’osservanza dei presupposti e dei limiti stabiliti dal presente codice, nonché dalla legge e dai regolamenti.
2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro quarantacinque giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto ad adottare.
b­bis) dei dati contenuti nei curricula, nei casi di cui all’articolo 13, comma 5­bis.
c) quando il trattamento è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere in sede giudiziaria un diritto, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Se i dati sono idonei a rivelare lo stato di salute e la vita sessuale, il diritto deve essere di rango pari a quello dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile;
d) quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall’autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona condotta di cui all’articolo 111.
1. Il trattamento di dati giudiziari da parte di privati o di enti pubblici economici è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili. Si applica quanto previsto dall’articolo 21, comma 1 bis.
Art. 45. Trasferimenti vietati
1. Fuori dei casi di cui agli articoli 43 e 44, il trasferimento anche temporaneo fuori del territorio dello Stato, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, diretto verso un Paese non appartenente all’Unione europea, è vietato quando l’ordinamento del Paese di destinazione o di transito dei dati non assicura un livello di tutela delle persone adeguato. Sono valutate anche le modalità del trasferimento e dei trattamenti previsti, le relative finalità, la natura dei dati e le misure di sicurezza.
1. I dati relativi al traffico riguardanti contraenti ed utenti trattati dal fornitore di una rete pubblica di comunicazioni o di un servizio di comunicazione elettronica accessibile al pubblico sono cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione della comunicazione elettronica, fatte salve le disposizioni dei commi 2, 3 e 5.
2. Il trattamento dei dati relativi al traffico strettamente necessari a fini di fatturazione per il contraente, ovvero di pagamenti in caso di interconnessione, è consentito al fornitore, a fini di documentazione in caso di contestazione della fattura o per la pretesa del pagamento, per un periodo non superiore a sei mesi, salva l’ulteriore specifica conservazione necessaria per effetto di una contestazione anche in sede giudiziale.
3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico può trattare i dati di cui al comma 2 nella misura e per la durata necessarie a fini di commercializzazione di servizi di comunicazione elettronica o per la fornitura di servizi a valore aggiunto, solo se il contraente o l’utente cui i dati si riferiscono hanno manifestato preliminarmente il proprio consenso, che è revocabile in ogni momento.
4. Nel fornire l’informativa di cui all’articolo 13 il fornitore del servizio informa il contraente o l’utente sulla natura dei dati relativi al traffico che sono sottoposti a trattamento e sulla durata del medesimo trattamento ai fini di cui ai commi 2 e 3.
Art. 126. Dati relativi all’ubicazione
1. I dati relativi all’ubicazione diversi dai dati relativi al traffico, riferiti agli utenti o ai contraenti di reti pubbliche di comunicazione o di servizi di comunicazione elettronica accessibili al pubblico, possono essere trattati solo se anonimi o se l’utente o il contraente ha manifestato previamente il proprio consenso, revocabile in ogni momento, e nella misura e per la durata necessari per la fornitura del servizio a valore aggiunto richiesto.
2. Il fornitore del servizio, prima di richiedere il consenso, informa gli utenti e i contraenti sulla natura dei dati relativi all’ubicazione diversi dai dati relativi al traffico che saranno sottoposti al trattamento, sugli scopi e sulla durata di quest’ultimo, nonché sull’eventualità che i dati siano trasmessi ad un terzo per la prestazione del servizio a valore aggiunto.
3. L’utente e il contraente che manifestano il proprio consenso al trattamento dei dati relativi all’ubicazione, diversi dai dati relativi al traffico, conservano il diritto di richiedere, gratuitamente e mediante una funzione semplice, l’interruzione temporanea del trattamento di tali dati per ciascun collegamento alla rete o per ciascuna trasmissione di comunicazioni.
4. Il trattamento dei dati relativi all’ubicazione diversi dai dati relativi al traffico, ai sensi dei commi 1, 2 e 3, è consentito unicamente ad incaricati del trattamento che operano ai sensi dell’articolo 30, sono la diretta autorità del fornitore del servizio di comunicazione elettronica accessibile al pubblico o, a seconda dei casi, del fornitore della rete pubblica di comunicazioni o del terzo che fornisce il servizio a valore aggiunto. Il trattamento è limitato a quanto è strettamente necessario per la fornitura del servizio a valore aggiunto e deve assicurare l’identificazione dell’incaricato che accede ai dati anche mediante un’operazione di interrogazione automatizzata.
Art. 129. Elenchi di contraenti
1. Il Garante individua con proprio provvedimento, in cooperazione con l’Autorità per le garanzie nelle comunicazioni ai sensi dell’articolo 154, comma 3, e in conformità alla normativa comunitaria, le modalità di inserimento e di successivo utilizzo dei dati personali relativi ai contraenti negli elenchi cartacei o elettronici a disposizione del pubblico, anche in riferimento ai dati già raccolti prima della data di entrata in vigore del presente codice.
2. Il provvedimento di cui al comma 1 individua idonee modalità per la manifestazione del consenso all’inclusione negli elenchi e, rispettivamente, all’utilizzo dei dati per le finalità di cui all’articolo 7, comma 4, lettera b), in base al principio della massima semplificazione delle modalità di inclusione negli elenchi a fini di mera ricerca del contraente per comunicazioni interpersonali, e del consenso specifico ed espresso qualora il trattamento esuli da tali fini, nonché in tema di verifica, rettifica o cancellazione dei dati senza oneri.
1. Fermo restando quanto stabilito dagli articoli 8 e 21 del decreto legislativo 9 aprile 2003, n. 70, l’uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l’intervento di un operatore per l’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente
3. Fuori dei casi di cui ai commi 1 e 2, ulteriori comunicazioni per le finalità di cui ai medesimi commi effettuate con mezzi diversi da quelli ivi indicati, sono consentite ai sensi degli articoli 23 e 24 nonchè ai sensi di quanto previsto dal comma 3­bis del presente articolo.
3­bis. In deroga a quanto previsto dall’articolo 129, il trattamento dei dati di cui all’articolo 129, comma 1, mediante l’impiego del telefono e della posta cartacea per le finalità di cui all’articolo 7, comma 4, lettera b), è consentito nei confronti di chi non abbia esercitato il diritto di opposizione, con modalità semplificate e anche in via telematica, mediante l’iscrizione della numerazione della quale è intestatario e degli altri dati personali di cui all’articolo 129, comma 1, in un registro pubblico delle opposizioni.
3­ter. Il registro di cui al comma 3­bis è istituito con decreto del Presidente della Repubblica da adottare ai sensi dell’articolo 17, comma 2, della legge 23 agosto 1988, n. 400, previa deliberazione del Consiglio dei ministri, acquisito il parere del Consiglio di Stato e delle Commissioni parlamentari competenti in materia, che si pronunciano entro trenta giorni dalla richiesta, nonché, per i relativi profili di competenza, il parere dell’Autorità per le garanzie nelle comunicazioni, che si esprime entro il medesimo termine, secondo i seguenti criteri e princìpi generali:
c) previsione che le modalità tecniche di funzionamento del registro consentano ad ogni utente di chiedere che sia iscritta la numerazione della quale è intestatario secondo modalità semplificate ed anche in via telematica o telefonica; d) previsione di modalità tecniche di funzionamento e di accesso al registro mediante interrogazioni selettive che non consentano il trasferimento dei dati presenti nel registro stesso, prevedendo il tracciamento delle operazioni compiute e la conservazione dei dati relativi agli accessi;
f) obbligo per i soggetti che effettuano trattamenti di dati per le finalità di cui all’articolo 7, comma 4, lettera b), di garantire la presentazione dell’identificazione della linea chiamante e di fornire all’utente idonee informative, in particolare sulla possibilità e sulle modalità di iscrizione nel registro per opporsi a futuri contatti; g) previsione che l’iscrizione nel registro non precluda i trattamenti dei dati altrimenti acquisiti e trattati nel rispetto degli articoli 23 e 24.
3­quater. La vigilanza e il controllo sull’organizzazione e il funzionamento del registro di cui al comma 3­bis e sul trattamento dei dati sono attribuiti al Garante. (4)
5. É vietato in ogni caso l’invio di comunicazioni per le finalità di cui al comma 1 o, comunque, a scopo promozionale, effettuato camuffando o celando l’identità del mittente o in violazione dell’articolo 8 del decreto legislativo 9 aprile 2003, n. 70, o senza fornire un idoneo recapito presso il quale l’interessato possa esercitare i diritti di cui all’articolo 7, oppure esortando i destinatari a visitare siti web che violino il predetto articolo 8 del decreto legislativo n. 70 del 2003.
I delitti privacy di cui all’Art. 168 DLgs 196/2003 – Falsità nelle dichiarazioni e notificazioni al Garante
Art. 32­bis Adempimenti conseguenti ad una violazione di dati personali
1. In caso di violazione di dati personali, il fornitore di servizi di comunicazione elettronica accessibili al pubblico comunica senza indebiti ritardi detta violazione al Garante.
8. Nel caso in cui il fornitore di un servizio di comunicazione elettronica accessibile al pubblico affidi l’erogazione del predetto servizio ad altri soggetti, gli stessi sono tenuti a comunicare al fornitore senza indebito ritardo tutti gli eventi e le informazioni necessarie a consentire a quest’ultimo di effettuare gli adempimenti di cui al presente articolo.
1­bis. La notificazione relativa al trattamento dei dati di cui al comma 1 non è dovuta se relativa all’attività dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale
I delitti privacy di cui all’Art. 170 DLgs 196/2003 – Inosservanza di provvedimenti del Garante DLgs 196/2003
Art. 90. Trattamento dei dati genetici e donatori di midollo osseo
Il trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante sentito il Ministro della salute, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità.
L’autorizzazione di cui al comma 1 individua anche gli ulteriori elementi da includere nell’informativa ai sensi dell’articolo 13, con particolare riguardo alla specificazione delle finalità perseguite e dei risultati conseguibili anche in relazione alle notizie inattese che possono essere conosciute per effetto del trattamento dei dati e al diritto di opporsi al medesimo trattamento per motivi legittimi.
Il donatore di midollo osseo, ai sensi della legge 6 marzo 2001, n. 52, ha il diritto e il dovere di mantenere l’anonimato sia nei confronti del ricevente sia nei confronti di terzi.
Art. 143. Procedimento per i reclami
1 Esaurita l’istruttoria preliminare, se il reclamo non è manifestamente infondato e sussistono i presupposti per adottare un provvedimento, il Garante, anche prima della definizione del procedimento:
c) dispone il blocco o vieta, in tutto o in parte, il trattamento che risulta illecito o non corretto anche per effetto della mancata adozione delle misure necessarie di cui alla lettera b), oppure quando, in considerazione della natura dei dati o, comunque, delle modalità del trattamento o degli effetti che esso può determinare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati;
Art. 150. Provvedimenti a seguito del ricorso
1 Se la particolarità del caso lo richiede, il Garante può disporre in via provvisoria il blocco in tutto o in parte di taluno dei dati, ovvero l’immediata sospensione di una o più operazioni del trattamento. Il provvedimento può essere adottato anche prima della comunicazione del ricorso ai sensi dell’articolo 149, comma 1, e cessa di avere ogni effetto se non è adottata nei termini la decisione di cui al comma 2. Il medesimo provvedimento è impugnabile unitamente a tale decisione.
2 Assunte le necessarie informazioni il Garante, se ritiene fondato il ricorso, ordina al titolare, con decisione motivata, la cessazione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti dell’interessato e assegnando un termine per la loro adozione. La mancata pronuncia sul ricorso, decorsi sessanta giorni dalla data di presentazione, equivale a rigetto.
Inviato su Privacy, Servizio 231	/ Tag art. 24-bis del DLgs 231/2001, codice privacy, dati personali, Decreto Legge 93/2013, decreto legislativo 231, DLgs 231/2001, ente pubblico, garante privacy, ICT Law, nuovi delitti privacy, Paolo Mazzolari, Privacy, privacy law, Responsabilità amministrativa impresa, Studio Mazzolari, trattamento dati personali	/ 2 commenti
Responsabilità degli Enti in sede penale anche per delitti in materia di privacy
Matteo Moi 10 settembre 2013
Dal 17 agosto 2013 alcuni importanti delitti in materia di privacy si aggiungono ai reati presupposto che fanno scattare la responsabilità dell’ente, in sede penale, ai sensi del DLgs 231/2001.
Si tratta dei delitti di:
trattamento illecito dei dati (art. 167 del DLgs 196/2003)
falsità nelle dichiarazioni al Garante (art. 168 del DLgs 196/2003)
inosservanza di provvedimenti del Garante (art. 168 del DLgs 196/2003)
Lo prevede l’articolo 9 del Decreto Legge 93/2013 (il cosiddetto “decreto sul femminicidio”, che in realtà contiene anche altre norme rilevanti) che ha ampliato l’art. 24-bis del DLgs 231/2001 (Frode informatica e trattamento illecito dei dati).
231, responsabilità e sanzioni
Il DLgs 231/2001 estende agli enti collettivi (persone giuridiche, società e associazioni) la responsabilità per alcuni reati commessi nell’interesse o a vantaggio degli stessi, da persone fisiche in posizione apicale o subordinata. Tale responsabilità, accertata in tribunale da un giudice penale, prevede sanzioni formalmente amministrative (pecuniarie o interdittive) ma particolarmente afflittive e di natura sostanzialmente penale.
In aggiunta alla responsabilità della persona fisica che realizza l’eventuale fatto illecito in materia di privacy è ora prevista anche la responsabilità dell’Ente; alle sanzioni per le persone fisiche già previste dal DLgs 196/2003 (da 3 mesi a 3 anni di reclusione) si aggiungono quindi le sanzioni per l’Ente previste dal DLgs 231/2001 :
sanzioni pecuniarie da 100 a 500 quote, quindi da un minimo di 25.800,00 € ad un massimo di 774.500,00 (una quota singola può variare da un minimo di 258 fino a un massimo di 1.549 euro), quantificate in modo proporzionale alle capacità economiche e patrimoniali dell’azienda, tenendo conto della gravità del fatto, del grado di responsabilità e dell’eventuale ravvedimento posto in essere
l´interdizione dall’esercizio dell´attività
la sospensione o la revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell´illecito
il divieto di pubblicizzare beni o servizi
Inversione dell’onere della prova e principio dell’esimente
Se il reato privacy è stato commesso da persone in posizione apicale la responsabilità dell’ente è presunta (presunzione di colpevolezza), in tal caso l’onere della prova è a carico dell’ente che deve dimostrare la propria innocenza (“probatio diabolica”).
Il meccanismo adottato nella norma è quindi un’ «inversione dell’onere della prova» rispetto al nostro ordinamento che, normalmente, considera ciascuno innocente fin tanto che non sia provata la sua colpevolezza.
Nell’ottica del decreto 231, invece, per essere ritenuta incolpevole ed evitare la responsabilità amministrativa, l’azienda/ente titolare del trattamento di dati dovrà dimostrare al giudice di avere messo in campo tutte le misure di prevenzione idonee a evitare la commissione dei tre delitti privacy indicati nel DL 93.
Se il reato è stato invece commesso da persone in posizione subordinata rimane la presunzione di innocenza dell’ente, in tal caso l’onere della prova è a carico del pubblico ministero
In entrambi i casi l’Ente non è responsabile (principio dell’esimente) se
l’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi.
il compito di vigilare sul funzionamento e l’osservanza dei modelli di curare il loro aggiornamento e’ stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo (Organismo di Vigilanza, OdV)
le persone hanno commesso il reato eludendo fraudolentemente i modelli di organizzazione e di gestione;
non vi e’ stata omessa o insufficiente vigilanza da parte dell’OdV
Chi aveva già adottato un modello organizzativo, dovrà:
Riesaminare la mappatura delle attività sensibili. Identificare le attività nel cui ambito possono essere commessi i tre delitti privacy e le potenziali modalità di commissione dei reati, attraverso un’accurata analisi di processi e procedure;
Analizzare e valutare i rischi, in termini di impatto e probabilità, valutando anche l’idoneità delle procedure/protocolli già in essere per la compliance privacy.
Nel caso in cui i livelli di rischio siano sensibili, dovrà anche
Introdurre eventuali nuove misure idonee a prevenire i delitti privacy (modifiche al codice etico, nuove procedure, parti speciali del modello 231, organigramma della privacy, formazione, audit, etc)
Introdurre specifici obblighi informativi verso l’organismo di vigilanza
prevedere un sistema disciplinare sanzionatorio per chi non rispetta le regole privacy
introdurre per l’organismo di vigilanza (Odv) l’attività di vigilanza sul funzionamento e sull’osservanza anche delle parti speciali/procedure/protocolli relativi al trattamento dei dati
Obbligatorietà o facoltatività del Modello?
L’adozione di un modello organizzativo inclusivo dell’ambito privacy è tecnicamente facoltativo anche se, come detto, l’idoneità del modello esistente esime l’azienda da responsabilità 231.
Nella prassi, tale conformità spesso costituisce un presupposto per partecipare a gare pubbliche o selezioni private, vista la crescente sensibilità dei committenti al rispetto di atteggiamenti aziendali anticrimine, da parte dell’intera filiera di cui essi sono parte.
La dotazione di un sistema di buona organizzazione data protection assurge a requisito che il mondo industriale invoca oramai a livello internazionale, anche per il rispetto di un generale principio di sana concorrenza.
L’ente, infatti, attraverso la ricognizione delle attività a rischio e della individuazione delle responsabilità interne, è in grado di monitorare e meglio utilizzare le risorse umane e strategiche, apprezzandone le inevitabili economie di scala che ne incrementano la competitività.
Codice privacy e Garante
Come segnala la Corte di Cassazione, con la recente Relazione III/01/2013 del 22/8/2013, la previsione dei delitti in tema di privacy risulta di grande impatto, soprattutto per la configurazione della responsabilità da reato per l’illecito trattamento dei dati.
Nei prossimi Post approfondiremo nel dettaglio i nuovi delitti privacy che dal 17 agosto sono entrati nel DLgs 231 aggiungendosi così ai reati presupposto che fanno scattare la responsabilità dell’ente, ovvero:
Inviato su Privacy, Servizio 231	/ Tag art. 24-bis del DLgs 231/2001, codice privacy, dati personali, Decreto Legge 93/2013, diritto, DLgs 231/2001, ICT Law, Paolo Mazzolari, PMI, Privacy, privacy law, Responsabilità amministrativa impresa, Sanzioni, Studio Mazzolari, trattamento dati personali	/ 1 Commento
DLgs 231/01: La Responsabilità in Sede penale di Società e Persone Giuridiche
Posted on 24 ottobre 2011 by SMBlog
Cos’è il DLgs 231/01
Il DLgs 231:2001 ha rivoluzionato la normativa Italiana, estendendo la responsabilità amministrativa in sede penale anche alle Aziende, per alcuni reati commessi nell’ interesse o a vantaggio delle stesse, da persone in posizione apicale o subordinata. In caso di reato sarà quindi responsabile in sede penale sia la persona fisica sia la persona giuridica.
Il decreto prevede una sistema sanzionatorio molto pesante di carattere sia pecuniario sia interdittivo per le Imprese, con sanzioni:
oltre 1.000.000 di euro,
interdizione sino ad un anno dell’attività e/o
il divieto a lavorare con la Pubblica Amministrazione.
Le fattispecie di reato considerate sono oltre un centinaio e comprendono, oltre ai reati colposi in materia di Igiene e Sicurezza sul Lavoro, anche, fra gli altri:
reati informatici e trattamento illecito dei dati,
reati societari,
Reati contro l’industria ed il Commercio,
Reati Ambientali (da agosto 2011)
In caso il reato sia commesso da persona in posizione apicale, un eventuale processo parte dalla “presunzione di colpevolezza”, l’onere della prova di innocenza è a carico dell’Azienda!
L’Azienda non risponde penalmente se dimostra che
ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi;
il compito di vigilare sul funzionamento e l’osservanza dei modelli di curare il loro aggiornamento e’ stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo (Organismo di Vigilanza),
ha introdotto un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello
A chi è rivolto il DLgs 231/01
Chi sono i soggetti interessati? Il Dlgs 231/01 si applica a tutti gli Enti forniti di personalità giuridica, alle Società ed alle Associazioni anche prive di personalità giuridica. La normativa vale anche per sedi Italiane di Società Estere. Il bacino dei destinatari potenziali è quindi davvero molto ampio
Associazioni anche prive di personalità giuridica
ATI e ATS
Enti pubblici economici (enti a soggettività pubblica ma privi di poteri pubblici)
Agenzie pubbliche (ASL)
Aziende pubbliche per la gestione di servizi pubblici (aziende speciali)
Enti pubblici autarchici (INPS, INAIL, ISTAT, etc)
Scarica il Nostro Corso Introduttivo al DLgs 231/2001
Inviato su Servizio 231	/ Tag Codice Etico, Consulenza 231, DLgs 231/2001, EM2C, Matteo Moi, Modelli Organizzativi, Organismo di Vigilanza, Organo di vigilanza, Reati ambientali, Reati societari, Responsabilità amministrativa impresa, Servizio 231, Sicurezza Lavoro, Sistema disciplinare, Sistema sanzionatorio	/ Lascia un commento

References: sentenza 

Art. 45

Art. 126

Art. 129
 articolo 8

Art. 32

Art. 90

Art. 143

Art. 150
 art. 24
 art. 24