Source: https://marcellocolaianniblog.wordpress.com/category/impresa/
Timestamp: 2020-07-12 09:03:11+00:00
Document Index: 152746472

Matched Legal Cases: ['art. 3', 'art. 25', 'art. 39', 'art. 38', 'art. 8', 'art. 24', 'art. 491', 'art. 615', 'art. 615', 'art. 615', 'art. 617', 'art. 617']

IMPRESA – Marcello Colaianni Blog
Gli MTO fra vincoli ed opportunità
I Money Transfer Operator (MTO) rientrano nel novero dei soggetti obbligati all’osservanza della legislazione Antiriciclaggio al pari, fra gli altri, dei professionisti, delle società di revisione, delle imprese di assicurazione, degli istituti di moneta elettronica, dei prestatori di servizi relativi all’utilizzo di moneta virtuale o ancora di servizi di portafoglio digitali.
La particolarità del loro core business, l’effettuazione di operazioni di trasferimento verso paesi esteri di flussi finanziari, impone frequenti controlli da parte dell’Autorità di vigilanza.
La presenza dei molteplici paletti che li riguardano suggeriscono l’adozione di una serie di presidi organizzativi che, insieme all’adeguata applicazione della normativa cogente, sia primaria che secondaria, esaltino l’assunzione di comportamenti virtuosi e lungimiranti attraverso il conseguimento di certificazioni o attestazioni di idonei modelli di organizzazione e gestione (MOG).
È proprio su questi temi che le opportunità si sprecano potendo orientarsi verso l’implementazione di:
Sistemi di gestione per l’Antiriciclaggio (SGAR),
Sistemi di gestione per l’Anticorruzione (SGAC),
Sistemi di gestione per la Responsabilità amministrativa degli Enti (SGRA),
Sistemi di gestione della sicurezza delle informazioni (SGSI),
Meccanismi di certificazione dei trattamenti dei dati personali (ISDP).
Del tutto coerenti alle norme di legge, sono fra loro interoperabili attraverso il sistema High Level Structure e costituiscono, tutte, evidenza oggettiva per un Rating di legalità a tre stelle.
Le relazioni sono evidenti.
Innanzitutto ognuna delle norme tecniche prevede il soddisfacimento dei requisiti di legge. Inoltre, per le organizzazioni di piccole dimensioni in cui è assente, per esempio, un’articolazione interna fondata su una pluralità di centri decisionali, sia la normativa secondaria sia quella di sistema contemplano la possibilità di esternalizzare la funzione antiriciclaggio così come quella per la prevenzione della corruzione con la possibilità, per il compliance officer, di avvalersi di consulenti per l’adozione di un efficace MOG 231.
Le organizzazioni in parola, in aggiunta, devono soddisfare i vari requisiti mettendo in sapiente relazione le suddette normative ed evitando che la singola ottemperanza produca una non conformità con riferimento alle altre disposizioni.
Per esempio, all’art. 3/231/2007, comma 2, si legge: “I sistemi e le procedure adottati ai sensi del comma 1 rispettano le prescrizioni e garanzie stabilite dal presente decreto e dalla normativa in materia di protezione dei dati personali” il che pone i soggetti destinatari a circoscrivere la raccolta di informazioni e dati, per il principio di minimizzazione, a quanto è necessario per rispettare le prescrizioni della normativa di contrasto al riciclaggio e finanziamento del terrorismo, senza alcuna autorizzazione ad altri usi. Ciò vale, indifferentemente, per il destinatario così come per la rete distributiva e i mediatori.
L’Antiriciclaggio rientra fra i reati 231 essendo contemplato all’art. 25-octies. L’osservanza del D. Lgs. 231/01, oltre che del D. Lgs. 231/2007, si rende quindi assolutamente necessario. Qui, è prevista l’istituzione dell’Organismo di Vigilanza (OdV) che può rappresentare l’organo con funzioni di controllo richiamato dal Provvedimento della Banca d’Italia.
E a proposito di 231/01 basti l’elenco dei reati per rendersi conto di quanto sia utile, ed opportuno, estendere il proprio campo di azione in termini di compliance a cominciare da un’adeguata struttura organizzativa dove il dialogo fra funzioni di line e quelle di staff consente il raggiungimento del vantaggio competitivo aziendale coniugando sviluppo del business e osservanza delle norme.
per una consulenza specifica in materia di D. Lgs. 231/01, D. Lgs. 231/2007, D. Lgs. 38/2017, Reg. 679/2016 e novellato D. Lgs. 196/03, ISDP 10003, ISO 19600, ISO 27001, ISO 37001 e Rating di legalità;
per un’assistenza personalizzata nell’applicazione della normativa cogente e di sistema;
per un approccio puntuale nel raggiungimento dei tuoi obiettivi
Certified DPO e ISDP 10003 Auditor
Categorie 231, 27001, anti-money laundering, anticorruzione, AntiMoneyLaundering, ANTIRICICLAGGIO, Auditor, BANCA D'ITALIA, CFT, Colaianni, colaianni consulting, Collegio sindacale, combating the financing of terrorism, comitato di controllo di gestione, comitato di sorveglianza, Comitato per il Controlllo Interno, consiglio di sorveglianza, CONSOB, D. Lgs. 125/2019, D. Lgs. 196/03 e smi, D. Lgs. 231/2001, D. Lgs. 231/2007, D. Lgs. 38/2017, DP Auditor, DPO, GDPR, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, imprese di assicurazione, ISDP 10003, ISO 27001, IVASS, l. 190/2012, L. 21 dicembre 2018 n. 171, Lotta al finanziamento del terrorismo, Marcello, Marcello Colaianni, MOG, MOG 231, normativa cogente, normativa volontaria, OdV, Organigramma aziendale, Organigramma per l'antiriciclaggio, Organigramma per la data protection, Organismo di Vigilanza, Privacy, professionisti, reati 231, società di revisione
Il DPO è un AUDITOR!
Pubblicato 13 dicembre 2018 12 giugno 2019 da marcellocolaianni62
L’art. 39 ci ricorda quali sono i compiti primari del DPO.
Fra questi, quello dell’Auditor, ovvero il compito di sorvegliare l’osservanza del regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo è sicuramente l’attività che in maggior misura impegna il DPO.
Egli esamina il trattamento di dati personali, valutando il rispetto di leggi e regolamenti applicabili e approva le misure necessarie a eliminare eventuali non-conformità rilevate, mantenendo una posizione indipendente da chi svolge attività manageriali e operative.
Per quanto sopra si evince che la conoscenza della normativa e la capacità di darle la più appropriata interpretazione nella sua applicazione in seno a ciascun Titolare/Responsabile è una prerogativa … che da sola, però, si rivela incompleta.
Essere un auditor significa avere, prima di tutto, specifiche competenze circa le modalità di conduzione degli audit.
Considerato il riferimento ai meccanismi di certificazione ex articoli 42 e 43 del GDPR, il ricorso a norme ISO internazionalmente validate, come la UNI EN ISO 19011 o la UNI EN ISO 17021-1 o la UNI ISO 31000, è logico, conseguenziale ed oltremodo coerente alla citata norma EN-ISO/IEC 17065/2012 a cui devono fare obbligatoriamente riferimento gli organismi di certificazione.
Nella fattispecie lo schema ISDP10003:2018, accreditato ACCREDIA e nominativamente richiamato in alcuni bandi di gara, fornisce chiare indicazioni proprio in merito a politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo …
… Attività di controllo per le quali l’Auditor può avvalersi di specialisti, ovvero dei cosiddetti esperti tecnici in ambito informatico, tecnologico, giuridico o organizzativo nella conduzione degli audit.
Il ricorso alle ulteriori professionalità cui può accedere il DPO, come previsto all’art. 38, va tuttavia circoscritto.
È poco professionale che il DPO si avvali di terzi soggetti quando interloquisce direttamente con il Titolare nell’esplicitazione dei punti della norma; è utile che ne sia adeguatamente e personalmente edotto.
Parimenti dicasi in ipotesi di delega delle attività di formazione e consulenza.
E ancora, laddove venga consultato nella Valutazione dei rischi o d’impatto, ricorrere ad altri ne sminuisce sia la figura sia il ruolo.
Ne consegue che il DPO debba essere personalmente autosufficiente almeno con riferimento alla normativa relativa alla protezione dei dati e agli aspetti di risk management su cui si basa la Valutazione dei rischi così come quella d’Impatto.
Attendersi questo quale requisito implicito dal Titolare del trattamento è assolutamente ragionevole.
È vero, il DPO non è un tuttologo né può esserlo ed allora trova giustificazione, per esempio, il ricorso agli esperti di cyber security.
Quello che è certo, dato anche il suo posizionamento in organigramma, sono le relazioni che pone quotidianamente in essere con le altre funzioni aziendali, oltre che con gli interessati e l’autorità di controllo.
Il suo contributo, fra l’altro, nell’assegnazione o verifica delle responsabilità e competenze al personale gli attribuiscono capacità di osservazione, sensibilità e discernimento.
Si comprende allora l’importanza di quelle abilità volte ad esaltarne gli effetti.
Abilità come la capacità di lavorare in gruppo, di analisi e di sintesi nonché l’assunzione di comportamenti idonei come l’essere di mentalità aperta e flessibile, diplomatici ed insieme tenaci e perseveranti, collaborativi ed in grado di agire con fermezza, sicuri di sé e aperti al miglioramento.
Certified DP Auditor ISDP10003:2018 scheme
Categorie 22301, 231, 27001, 27018, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate privacy, Culpa in eligendo, culpa in vigilando, D. Lgs. 196/03 e smi, Data Protection Officer, DP Auditor, DPO, Formazione, GDPR, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, Inclusione, Manager privacy, Marcello, Marcello Colaianni, Mentore, Mentoring, MOG, normativa cogente, normativa volontaria, onere della prova, Organizzazione, Privacy, reati 231, Reg. UE 679/2016, Regolamento UE, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, sicurezza delle informazioni, sistemi di controllo interno, Specialista privacy, UNI ISO 31000, Valutatore Privacy
DATA PROTECTION e INFORMATION SECURITY: binomio indissolubile per il payroll management
Pubblicato 29 ottobre 2018 31 ottobre 2018 da marcellocolaianni62
La relazione fra i due contesti, e le norme che li disciplinano, assume connotazioni differenti a seconda dell’oggetto sociale dell’organizzazione.
Sicuramente, i settori merceologici più coinvolti nella gestione combinata di sicurezza delle informazioni e protezione dei dati sono quelli propri delle aziende ICT (società di HW, SW, Telecommunications, Hosting, Web provider, ecc.), del settore sanitario e della salute e quello finanziario.
Ciò premesso, tuttavia, un ambiente estremamente critico e significativo è quello relativo ai processi di gestione delle paghe. Dal punto di vista della protezione dei dati, fra l’altro, per il trattamento di dati particolari e, all’occorrenza, di quelli penali. Per quanto alla sicurezza delle informazioni anche per l’evidente ed imponente utilizzo dei sistemi informativi.
In questo contesto, non deve ingannare il fatto che la data protection sia disciplinata da norme di legge mentre la information security da norme di sistema. Entrambi, infatti, mantengono estremamente elevato il loro valore strategico e sostanziale specialmente in siffatti settori merceologici.
È fondamentale che le organizzazioni che affidano in outsourcing i suddetti servizi prestino la dovuta attenzione affinché non si verifichino violazioni di sorta anche per un incauto trattamento da parte delle società appaltatrici.
Cosa fare, allora, in sede di qualificazione/riqualificazione dei propri fornitori?
Le azioni utili da intraprendere si sviluppano secondo due direttrici.
La prima consiste nell’acquisire evidenze oggettive volte a dimostrare l’adeguamento alla normativa di riferimento:
Relativamente agli aspetti della Data Protection si ricorda l’esistenza di due schemi pro GDPR riconducibili al DPMS 44001 ed all’ISDP 10003;
Per quanto alla sicurezza delle informazioni suggerisco, nel caso di specie, la certificazione secondo la norma UNI CEI EN ISO/IEC 27001 e, eventualmente, alla UNI EN ISO 22301:2014: “Sicurezza della società – Sistemi di gestione della continuità operativa – Requisiti”, con evidenza dell’adeguamento, anche attraverso richiesta dello statement of applicability, ad una o più delle seguenti norme:
ISO/IEC 20000-1 riguardante i requisiti per un sistema di gestione del servizio;
ISO/IEC 27010 per la gestione della sicurezza delle informazioni per le comunicazioni intersettoriali e interorganizzative
ISO/IEC 27018 per la protezione delle informazioni di identificazione personale (PII) in cloud pubblici che agiscono come processori PII;
La seconda direttrice contempla, in aggiunta, la pianificazione di audit di 2a parte; ovvero ispezioni presso il fornitore per verificare, in loco, l’adeguatezza dei processi aziendali attraverso auditor propri o esterni.
A dimostrare le interrelazioni che si pongono fra sicurezza delle informazioni e protezione dei dati e la particolare attenzione richiesta per tali processi è, inoltre, il requisito che la norma UNI CEI EN ISO/IEC 27001 prevede all’obiettivo A.18.1.4, dell’allegato A, che dispone: <<Si devono assicurare la privacy e la protezione dei dati personali, come richiesto dalla legislazione e dai regolamenti pertinenti, per quanto applicabile>>.
Il requisito in discorso è inserito in una norma di sistema ma fa riferimento ad una norma di legge, in particolare al combinato disposto di cui al Regolamento UE 679/2016 ed al novellato D. Lgs. 196/03. Il rispetto della normativa sulla data protection è, quindi, un aspetto che va puntualmente controllato e sottoposto al processo di valutazione dei rischi ex ISO 27001. Il livello di rischio determinatosi, suggerirà l’opportunità di:
integrare il sistema per le parti mancanti ed applicabili all’organizzazione;
continuare o interrompere la conduzione dell’audit di 3a parte. Ciò a discrezione del gruppo di audit, ovvero dell’Organismo di certificazione;
qualificare, riqualificare o revocare la qualificazione, in ipotesi di audit di 2a parte, a cura del cliente.
Le suddette considerazioni, infine, lasciano ben immaginare quanto un’appropriata strutturazione di competenze, ruoli e responsabilità sia essenziale, anzi, determinante.
Il DPO, in questa sede, è la figura ideale anche per coniugare e monitorare sull’applicazione delle due normative, e quanto ad esse correlate, all’insegna di un organizzato ed integrato modello di riferimento nonché dei comuni principi di:
Riservatezza, Integrità, Disponibilità;
Esattezza e Responsabilizzazione.
Privacy Consultant, DP Auditor e DPO UNI11697 Certified
UNI CEI EN ISO/IEC 27001 Qualified Auditor
Categorie 20000-1, 22301, 27001, 27018, Consulente, Consulenza, D. Lgs. 196/03 e smi, Data Protection Officer, DP Auditor, DPO, GDPR, Gestione del rischio, gruppo di imprese, IMPRESA, Marcello, Marcello Colaianni, normativa cogente, normativa volontaria, Organizzazione, outsourcing, Privacy, Reg. UE 679/2016, Regolamento UE, Risk manager, Risk Mgmt, RPD, RTDP, sicurezza delle informazioni, sistemi di controllo interno, UNI ISO 31000, Valutatore Privacy
Pubblicato 11 luglio 2018 11 luglio 2018 da marcellocolaianni62
Il Whistleblowing, ovvero la disciplina della segnalazione da parte del dipendente, trova il suo definitivo riconoscimento con l’entrata in vigore della L. 30 novembre 2017, n. 179 Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato.
In ambito pubblico, il suddetto istituto era già noto grazie al D.P.R. 16 aprile 2013, n. 62 Regolamento recante codice di comportamento dei dipendenti pubblici, a norma dell’articolo 54 del decreto legislativo 30 marzo 2001, n. 165 dove l’art. 8 recita: “Il dipendente (…) fermo restando l’obbligo di denuncia all’autorità giudiziaria, segnala al proprio superiore gerarchico eventuali situazioni di illecito nell’amministrazione di cui sia venuto a conoscenza”.
In ambito privato la sua applicazione viene specificatamente circoscritta al D. Lgs. 231/01 con l’inserimento degli articoli 2-bis, 2-ter e 2-quater. La determinazione del perimetro del whistleblowing in seno alla Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica lascia ben intendere, in realtà, il notevole livello di estensione della validità di questo istituto.
Ai nostri fini, l’argomento coinvolge sicuramente la materia della “Privacy” giacché l’art. 24-bis del D. Lgs. 231/01 contempla i Delitti informatici e trattamento illecito di dati e più precisamente i reati di:
Falsità in un documento informatico pubblico o avente valore probatorio (art. 491-bis c.p.);
Accesso abusivo ad un sistema informatico e telematico (art. 615-ter c.p.);
Detenzione e diffusione abusiva di codici di accesso a sistemi informatici e telematici (art. 615-quater);
Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico (art. 615-quinquies c.p.);
Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche (art. 617-quater c.p.);
Installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche (art. 617-quinquies c.p.);
a cui si aggiungono quelli di cui alla Parte III^ Tutela dell’interessato e sanzioni, Titolo III Sanzioni, Capo II Illeciti penali che, alla luce dello Schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679, sono:
Falsità nelle dichiarazioni al Garante;
Altre fattispecie e
Per quanto sopra, si può quindi affermare che il D. Lgs. 231/01 si pone come elemento di congiunzione fra la Privacy, nei termini considerati, ed il whistleblowing. E questo vale per tutti coloro che, a vario titolo, vi si adeguano.
A questo punto la domanda sorge spontanea: I soggetti estranei all’obbligo di osservanza del D. Lgs. 231/01 sono comunque tenuti, ai fini della normativa vigente in materia di Data Protection, a prendere in debita considerazione tale istituto e, quindi, anche la predisposizione di idonee procedure di segnalazione?
Evidentemente no! Manca infatti la base giuridica che imponga un siffatto comportamento.
In termini volontaristici, naturalmente, è tutta un’altra cosa!
Sebbene, in questo caso, l’obiettivo sia quello di tutelare direttamente l’Interessato nel trattamento dei suoi dati personali gli effetti che ne derivano sono comunque utili al Titolare, ovvero al Responsabile del trattamento.
L’adozione volontaria di procedure di segnalazione contro il rischio di commissione di reati o irregolarità in materia di Privacy sono del tutto coerenti con il dettato di cui al Reg. UE 679/2016 nonché di quello che rimane del D. Lgs. 196 e di quello che verrà:
perché il trattamento illecito dei dati è contrario al primo dei principi del GDPR;
perché l’adozione di procedure di whistleblowing rientra sicuramente fra le misure tecniche e organizzative che il titolare deve adottare;
perché tali comportamenti precauzionali possono concorrere a calmierare l’importo della sanzione pecuniaria;
perché evita l’incorrere del rischio reclusione;
perché estremamente pertinente nell’ipotesi di implementazione di un sistema di gestione della protezione dei dati personali;
perché valido strumento contro il rischio reputazionale.
Non solo. Laddove il Titolare lungimirante intenda tener conto del whistleblowing un utile e valido riferimento su come comportarsi è adeguarsi alle indicazioni del decreto 231 ovvero degli articoli:
<<2-bis che prevede:
uno o piu’ canali che consentano ai soggetti indicati nell’articolo 5, comma 1, lettere a) e b), di presentare, a tutela dell’integrità dell’ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto (231) e fondate su elementi di fatto precisi e concordanti, o di violazioni del modello di organizzazione e gestione dell’ente, di cui siano venuti a conoscenza in ragione delle funzioni svolte; tali canali garantiscono la riservatezza dell’identità del segnalante nelle attivita’ di gestione della segnalazione;
il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione
nel sistema disciplinare adottato ai sensi del comma 2, lettera e), sanzioni nei confronti di chi viola le misure di tutela del segnalante, nonché di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate.
2-ter che dispone:
L’adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni di cui al comma 2-bis puo’ essere denunciata all’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza, oltre che dal segnalante, anche dall’organizzazione sindacale indicata dal medesimo.
2-quater per cui è stabilito che:
Il licenziamento ritorsivo o discriminatorio del soggetto segnalante è nullo. Sono altresì nulli il mutamento di mansioni ai sensi dell’articolo 2103 del codice civile, nonché qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante. È onere del datore di lavoro, in caso di controversie legate all’irrogazione di sanzioni disciplinari, o a demansionamenti, licenziamenti, trasferimenti, o sottoposizione del segnalante ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro, successivi alla presentazione della segnalazione, dimostrare che tali misure sono fondate su ragioni estranee alla segnalazione stessa>>.
Ad assicurarsi circa il rispetto delle regole, se in ambito 231 spetta all’OdV, in questa sede spetta sicuramente al DPO nell’alveo dei suoi compiti istituzionali. In mancanza, è oltremodo opportuno il ricorso a un DP Auditor.
Categorie 231, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate, corporate privacy, Corruzione, Data Privacy Officer, Data Protection Officer, DP Auditor, DPO, DPR 62/2013, Formatore, Formazione, GDPR, Gestione, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, L. 179/2017, l. 190/2012, Marcello, Marcello Colaianni, Mentore, Mentoring, MOG, normativa cogente, normativa volontaria, OdV, Organizzazione, Privacy, reati 231, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, sistemi di controllo interno
Pubblicato 20 febbraio 2018 23 febbraio 2018 da marcellocolaianni62
Categorie 20000-1, 22301, 231, 27001, 27018, attività pericolosa, Auditor, Colaianni, colaianni consulting, Consulente, Consulenza, corporate, corporate privacy, Data Protection Officer, DP Auditor, DPO, Formatore, Formazione, GDPR, Gestione, Gestione del rischio, gruppo di imprese, Holding, IMPRESA, Inclusione, Marcello, Marcello Colaianni, Mentoring, MOG, normativa cogente, normativa volontaria, OdV, onere della prova, Organizzazione, persone, priorità, Privacy, Rappresentante, Rappresentanti, reati 231, Regolamento UE, Resilienza, Responsabile della Protezione dei Dati, Risk manager, Risk Mgmt, RPD, RTDP, sistemi di controllo interno, Trainer, UNI ISO 31000