Leggi e Sentenze15

Privacy e rischi correlati: buone pratiche aziendali per il trattamento dei dati personali

By Leggi e Sentenze

La protezione dei dati personali è sempre stato un ambito particolarmente delicato e allo stesso tempo attenzionato dalla normativa, prima con il codice privacy ed in seguito con il Regolamento Europeo.

Il Regolamento (UE) 2016/679 ha però generato un’attenzione massima nei confronti di tale questione, imponendo fra l’altro principi fondamentali come la minimizzazione dei dati, la limitazione della loro conservazione, la riservatezza e la trasparenza.

Nel contesto in discorso, il titolare dei dati personali ha avuto un evidente risalto, poiché oggi incarna una figura atta a porre in essere misure tecnico-organizzative idonee rispetto ai diritti degli individui interessati dalla gestione dati.

In più, il medesimo titolare dei dati, insieme al responsabile del trattamento, ha il compito di applicare misure che garantiscano una sicurezza adeguata al rischio, giacché i rischi sono connotati da indici di gravità e probabilità diversi, pertanto diventa chiara la necessità di prevedere a monte la relativa analisi e gestione.

Il Regolamento Europeo sul trattamento dei dati personali impone altresì al titolare di condurre una valutazione d’impatto del trattamento sulla protezione allorché presentasse un rischio evidente per diritti e libertà delle persone.

In quest’ottica, il trattamento va descritto e valutato nell’impiego anche in termini di proporzionalità assieme ai rischi, per poi determinare le giuste misure volte ad affrontarli e scongiurarli.

Sul punto, giova precisare che il Regolamento Europeo prevede specificamente casi in cui risulta obbligatorio adottare la valutazione d’impatto, fermo restando la possibilità di stilare un elenco ad hoc da parte delle Autorità di controllo degli Stati membri dell’Unione Europa.

Viceversa, il Regolamento Europeo non impone misure organizzative standard che il titolare del trattamento debba adoperare, perché l’esigenza primaria sta nel fatto che le predette misure siano costantemente aggiornate e documentate.

Quando il rischio privacy diviene concreto, la sopravvivenza dell’impresa è posta in serio pericolo.

Da qui, la realtà aziendale è costretta a fare i conti con importanti effetti pregiudizievoli che non sono soltanto circoscritti a livello finanziario ma inglobano sia quello operativo che quello strategico.

Premesso che l’importo del risarcimento del danno eventualmente cagionato varierebbe in base a molteplici fattori – come la natura, la gravità e la durata della violazione – le ripercussioni più importanti, appunto, restano quelle legate alla compromissione dei rapporti commerciali, all’interruzione del servizio, alla reputazione ed alla permanenza sul mercato della Società.

È buona prassi, allora, conservare prove specifiche che offrano all’Azienda una maniera per escludere la propria responsabilità: basti pensare ai registri del trattamento dati e dei sistemi informatici, al registro degli incidenti, ai test di backup e ripristino, alle DPIA e privacy by design, alla formazione del personale ed alle revisioni di tutta la documentazione inerente alla privacy policy aziendale, a partire dal regolamento informatico e dalle informative privacy.

Dunque, appare opportuno includere il rischio privacy nel sistema generale del rischio aziendale, in modo da renderlo un tutt’uno con la gestione.

La realizzazione, tuttavia, non può prescindere dall’analisi di contesto, dalla valutazione intrinseca del rischio e dal trattamento di quest’ultimo.

Allo scopo di non incappare in letali pericoli per la vita delle Aziende, a queste deve essere in sostanza ben chiaro che una semplice informativa non basta.

Le Imprese dovrebbero proteggere il dato personale prima della raccolta, durante l’utilizzo e fino alla sua cancellazione. Inoltre, dovrebbero servirsi di un modello organizzativo e di un sistema di gestione per la privacy, ove il primo riguarderebbe la normativa applicabile mentre il secondo risulterebbe un connubio di strumenti per tenere sotto controllo e proteggere i dati personali.

Talune Società, poi, ricorrono all’esternalizzazione dei dati.

Esternalizzare, però, non consente di trasferire la responsabilità della privacy. Questa, in effetti, può permanere in capo all’Azienda per un accesso non autorizzato, per una finalità indebitamente comunicata, piuttosto che per una conservazione indefinita del dato.

È utile sempre e comunque verificare il luogo in cui i dati vengono ospitati, i soggetti che possono accedervi, i subfornitori che eventualmente intervengono, i tempi di conservazione, ecc.

In definitiva, il rischio privacy per le Imprese è un vero e proprio rischio di governo ed il Regolamento Europeo non pretende che venga eliminato ma auspica di ridurlo attraverso misure adeguate, e la privacy non è soltanto un vincolo né si erige a semplice concetto astratto e statico, bensì concerne dati reali di un pluralismo di soggetti da salvaguardare attraverso continue valutazioni e decisioni da mettere in pratica, anche alla luce della volontà degli interessati dal trattamento.

Inquadrare, analizzare, studiare ed aggiornare il trattamento sono step necessari e indispensabili per proteggere i dati e garantire un futuro alla Società.

Modello 231 e self-cleaning negli appalti pubblici: la valorizzazione della compliance organizzativa ad opera di una recente sentenza del Consiglio di Stato

By Leggi e Sentenze

La sentenza del Consiglio di Stato, Sez. V, 16 luglio 2026, n. 5818, offre un significativo spunto sul ruolo che il Modello di organizzazione, gestione e controllo ex d.lgs. n. 231/2001 può assumere nell’ambito delle misure di self-cleaning previste dal Codice dei contratti pubblici.

La vicenda trae origine dall’esclusione – contestata in giudizio – di un operatore economico a fronte di una vicenda penale riguardante un proprio ex amministratore, nonché dalla mancata indicazione della relativa misura cautelare nel DGUE.

La società, una volta venuta a conoscenza della vicenda, aveva tuttavia adottato una serie di misure correttive, tra cui l’immediata cessazione del rapporto con il soggetto coinvolto, l’adozione di un Modello 231 corredato di un codice etico e la revisione delle procedure interne interessate dalle contestazioni.

Il Consiglio di Stato, in breve, ha pertanto confermato la legittimità della positiva valutazione compiuta dalla Stazione appaltante, ribadendo che il grave illecito professionale non costituisce causa di esclusione automatica dal procedimento e che l’affidabilità dell’operatore deve essere sempre oggetto di una valutazione complessiva nel perimetro tracciato dall’art. 98 del d.lgs. n. 36/2023.

Particolarmente rilevante è il riconoscimento del valore delle misure di self-cleaning: tra gli elementi positivamente considerati dalla stazione appaltante figura proprio l’adozione del Modello organizzativo ex d.lgs. 231/2001, quale strumento volto a prevenire la reiterazione di condotte della medesima natura di quelle oggetto di contestazione.

La pronuncia conferma, dunque, una prospettiva ormai sempre più significativa: il Modello 231 non rileva esclusivamente quale presidio interno di prevenzione della responsabilità dell’ente, ma può assumere una funzione esterna di qualificazione dell’affidabilità e della reputazione dell’impresa, anche nei rapporti con le stazioni appaltanti.

In quest’ottica, una compliance 231 effettiva, aggiornata e coerente con le tipologie di rischio concretamente insistenti nell’organizzazione può rappresentare un asset strategico importante ai fini della partecipazione alle gare pubbliche, contribuendo, tra l’altro, a dimostrare l’avvenuta adozione di misure idonee a ristabilire l’affidabilità dell’operatore.

La decisione rafforza, pertanto, il valore della compliance quale componente non meramente difensiva, ma altresì strategica per la continuità e la competitività dell’impresa nel mercato dei contratti pubblici.

I due schemi di decreto attuativo della Legge n. 132/2025 sull’intelligenza artificiale: il nuovo assetto della governance nazionale e le ricadute operative per imprese, privati e pubbliche amministrazioni

By Leggi e Sentenze

In data 10 giugno 2026, Il Consiglio dei ministri ha approvato, in esame preliminare, i due schemi di decreto legislativo attuativi della Legge n. 132 del 23 settembre 2025, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale». I provvedimenti, che dovranno essere sottoposti al parere delle Commissioni Parlamentari, della Conferenza delle Regioni e delle autorità competenti ai fini dell’entrata in vigore definitiva, si inseriscono nell’ambito del processo di adeguamento dell’ordinamento italiano al Regolamento (UE) 2024/1689 (AI Act), definendo il modello nazionale di governance dell’intelligenza artificiale e introducendo disposizioni di particolare rilievo, tra l’altro, in materia di responsabilità civile, responsabilità penale, pubblica amministrazione, professioni e attività economiche.

Mentre il primo decreto si occupa precipuamente dell’attribuzione di competenze e poteri alle autorità di vigilanza nazionali nel contesto della suddetta governance nonché di regolare l’impiego dell’intelligenza artificiale nella formazione dei professionisti e delle pubbliche amministrazioni, il secondo schema di decreto attuativo si incentra sulla introduzione di nuove fattispecie penali, sulla introduzione di specifiche norme volte a regolare l’utilizzo dell’IA nelle indagini preliminari e, in particolare, nelle attività di polizia, nonché sulla regolazione della responsabilità civile per danni cagionati dall’utilizzo o produzione di sistemi di IA.

  1. La governance nazionale dell’intelligenza artificiale.

Uno dei principali profili affrontati dai decreti, come anticipato, riguarda l’organizzazione del sistema di vigilanza nazionale.

Il legislatore conferma il modello delineato dalla Legge n. 132/2025, attribuendo all’Agenzia per l’Italia Digitale (AgID) il ruolo di autorità di notifica degli organismi di valutazione della conformità e all’Agenzia per la Cybersicurezza Nazionale (ACN) quello di autorità di vigilanza del mercato. A tali soggetti si affiancano il Garante per la protezione dei dati personali e le autorità di settore, chiamati a esercitare le rispettive competenze nei casi in cui l’impiego dei sistemi di IA coinvolga ambiti già assoggettati a specifiche discipline regolatorie.

Il sistema appare coerente con l’impianto europeo, ma presenta degli evidenti problemi di coordinamento, nella misura in cui potrebbero profilarsi ipotesi in cui i sistemi di intelligenza artificiale incidano contemporaneamente sulla protezione dei dati personali, sulla sicurezza informatica e sulla regolazione dei singoli mercati.

  1. Responsabilità civile: rafforzata la tutela del danneggiato.

Sul versante della responsabilità civile, i decreti introducono un sistema volto a riequilibrare l’asimmetria informativa che caratterizza il contenzioso relativo ai sistemi di intelligenza artificiale.

Tra le principali novità, assumono rilievo, da una parte, la possibilità per il giudice di ordinare l’esibizione della documentazione tecnica relativa al funzionamento del sistema e, dall’altra, la presunzione relativa in ordine alla sussistenza del nesso causale in caso di violazione degli obblighi previsti dall’AI Act, con l’introduzione di strumenti processuali destinati ad agevolare la posizione del soggetto danneggiato.

La scelta del legislatore conferma l’abbandono di modelli di responsabilità oggettiva generalizzata, privilegiando invece un rafforzamento degli strumenti probatori e processuali. Resta tuttavia aperto il tema del coordinamento con l’art. 2050 c.c., soprattutto nei casi in cui l’impiego di sistemi di IA ad alto rischio possa essere qualificato quale esercizio di attività pericolosa.

  1. La responsabilità penale e da reato degli enti.

Di particolare interesse risultano anche le previsioni riguardanti il settore penalistico.

Lo schema di decreto prevede, anzitutto, l’introduzione all’interno del codice penale di un nuovo articolo 437-bis, ossia del reato di “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”, volto a punire le violazioni concernenti le misure di sicurezza previste in materia di produzione, messa in circolazione ed utilizzo professionale dei sistemi di AI, quando da tali inosservanze derivi un pericolo concreto per la vita o l’incolumità pubblica o individuale, oppure per la sicurezza dello Stato.

Parallelamente, assume crescente rilevanza il sistema della responsabilità amministrativa degli enti di cui al d.lgs. n. 231/2001, prevedendosi l’introduzione del nuovo art. 25-vicies, “Reati commessi con l’uso di sistemi di intelligenza artificiale”, che estende la responsabilità da reato degli enti sia al nuovo art. 437-bis, sia al reato di illecita diffusione di contenuti generati o manipolati artificialmente di cui all’art. 612-quater, già introdotto dalla L. 132/2025.

L’utilizzo di sistemi di IA ad alto rischio rende dunque quantomai opportuno un aggiornamento dei modelli di organizzazione e gestione, con la previsione di specifici protocolli dedicati alla gestione del rischio algoritmico che garantiscano, tra l’altro, la supervisione umana e la tracciabilità delle decisioni automatizzate.

  1. Le ricadute per imprese e professionisti.

L’approvazione dei decreti conferma che la conformità all’AI Act non potrà essere valutata esclusivamente sotto il profilo tecnologico.

L’impiego di sistemi di intelligenza artificiale richiederà un’attenta verifica degli assetti organizzativi, dei processi decisionali e della documentazione interna, con particolare riguardo ai sistemi classificati come ad alto rischio. Accanto agli obblighi di natura tecnica, assumono crescente rilievo le procedure di governance, la formazione del personale, la gestione del rischio e la predisposizione di adeguati presidi di controllo.

L’adeguamento alla disciplina europea e nazionale, peraltro, rappresenta non solo un adempimento normativo, ma anche un elemento strategico di affidabilità nei confronti di clienti, partner commerciali e autorità di vigilanza.

In attesa dell’approvazione definitiva dei due schemi di decreto attuativo, le imprese sono chiamate a valutare tempestivamente l’impatto delle nuove disposizioni sui propri processi organizzativi. Un’attività di compliance – per così dire – preventiva consente, infatti, di ridurre il rischio di contenzioso, facilitare l’adeguamento all’AI Act e predisporre modelli di governance conformi al nuovo quadro normativo nazionale ed europeo, garantendo una maggiore affidabilità.

Cessazione dell’attività d’impresa ed estinzione dell’illecito 231: la recente pronuncia della Cassazione n. 16218 del 5 maggio 2026

By Leggi e Sentenze

Segnaliamo la recente pronuncia della Suprema Corte di Cassazione, n. 16218 del 5 maggio 2026, con la quale i Giudici di legittimità sono nuovamente intervenuti sul tema degli effetti della cancellazione della società dal registro delle imprese sulla responsabilità da reato degli enti ex d.lgs. 231/2001. Con la sentenza citata, la Corte ha affermato il principio secondo cui, in tema di responsabilità da reato degli enti, la cancellazione della società dal registro delle imprese determina l’estinzione dell’illecito contestato ai sensi del decreto 231, ricorrendo in tal caso una ipotesi analoga alla morte dell’imputato nel procedimento incardinato nei confronti della persona fisica.

La Corte, chiamata nuovamente a pronunciarsi sulla questione, ha dunque aderito all’orientamento più recente (e prevalente), secondo cui la cancellazione della Società dal suddetto registro determina l’estinzione dell’illecito amministrativo da reato dell’ente, evidenziando, in particolare, come la questione debba essere risolta sulla scorta di quanto previsto dall’art. 2495 del Codice civile.

La Corte osserva che, lato civilistico, la cancellazione dell’impresa dal registro, quantomeno in seguito alle recenti riforme, ha una efficacia costitutiva, determinando l’estinzione irreversibile dell’ente anche quando vi siano debiti rimasti insoddisfatti o, più in generale, rapporti non definiti (così come già affermato dalle Sezioni Unite Civili).

Per la Cassazione sarebbe infatti un paradosso logico e giuridico considerare ancora in vita una società ai soli fini sanzionatori, mentre quel soggetto dovrebbe considerarsi definitivamente estinto sotto ogni altro piano o aspetto del mondo giuridico.

L’effetto estintivo operante in via generale sul piano civile, dunque, si riflette sul piano della responsabilità da reato dell’ente, rendendo inapplicabili le sanzioni previste dalla normativa 231.

Queste ultime risulterebbero peraltro prive di scopo. Da un lato, le sanzioni interdittive previste dall’art. 9, d.lgs. 231/2001, mirando ad inibire l’attività dell’ente, presuppongono logicamente che questo sia prima ancora operativo e pertanto non avrebbero alcuna funzione rispetto ad un soggetto giuridico non più esistente. Dall’altro, pure le sanzioni pecuniarie, essendo volte a punire l’ente sotto il profilo più strettamente patrimoniale, perderebbero la loro ragion d’essere, non potendo essere eseguite nei confronti di un soggetto estinto.

La Corte ha altresì evidenziato come la responsabilità penale, ai sensi del principio di personalità di cui all’art. 27 Cost., non possa trasmettersi a soggetti terzi, quali soci o liquidatori. Si avrebbe dunque una violazione di tale principio se ci si ostinasse a perseguire l’ente pur dopo la sua estinzione, giacché le sanzioni non potrebbero che essere eseguite nei confronti di questi ultimi soggetti.

Si tratterebbe, peraltro, di principio confermato dall’art. 27, comma 1, dello stesso d.lgs. 231/2001, il quale prevede espressamente che “dell’obbligazione per il pagamento della sanzione pecuniaria risponde soltanto l’ente con il suo patrimonio o con il fondo comune”.

Si tratta, in definitiva, di una Sentenza di notevole rilevanza pratica, anche sol considerando che nell’intero impianto descritto la Corte giunge addirittura a ritenere del tutto irrilevanti le motivazioni dietro la cancellazione del registro. Detto in altri termini, non importa se la cancellazione sia “fisiologica” (ossia derivante dal naturale termine dell’attività d’impresa) o “fraudolenta” (cioè volta esclusivamente ad eludere le sanzioni 231): l’effetto estintivo, infatti, ha una portata generale e oggettiva che non ammette differenziazioni.

Tutela del patrimonio agroalimentare: nuovi delitti e aggravanti ed estensione della responsabilità 231

By Leggi e Sentenze

Il 15 aprile 2026 è stato approvato in via definitiva alla Camera il disegno di legge in materia di reati agroalimentari, recante “Disposizioni sanzionatorie a tutela dei prodotti alimentari italiani”, di cui ora si attende la pubblicazione in Gazzetta Ufficiale.

Il legislatore interviene così con una riforma attesa da anni, destinata ad incidere in maniera significativa sull’attività d’impresa e, in particolare, sulla filiera agroalimentare.

Non si tratta di un mero inasprimento sanzionatorio, ma di un vero e proprio intervento sistematico ed integrato. Si innesta un nuovo impianto punitivo all’interno del più generale sistema penale di impresa, introducendo nuovi delitti e circostanze aggravanti, nell’ottica complessiva di superare la frammentazione che era venuta a registrarsi in materia nel corso degli anni.

L’intervento, si inserisce peraltro in un contesto caratterizzato da una crescente sofisticazione delle condotte illecite perpetrate ai danni del patrimonio agroalimentare nazionale. Si è dunque avvertita la necessità di una tutela più vasta, che andasse a colpire con più efficacia le nuove manifestazioni illecite.

Il cuore della riforma è rappresentato dall’introduzione, nel codice penale, di un autonomo capo dedicato ai delitti contro il patrimonio agroalimentare (il Capo II-bis).

Tra le principali fattispecie di reato si segnalano:

  1. la frode alimentare (art. 517-sexies), che va a sostituire la vendita di sostanze alimentari non genuine introducendo una tutela anticipata rispetto al momento della vendita o messa in commercio dei prodotti. La nuova fattispecie punisce con la reclusione da due mesi a un anno e la multa da euro 1.000 a euro 4.000 “chiunque, al fine di indurre in errore il compratore e di trarne profitto, nell’esercizio di un’attività agricola, commerciale, industriale o di intermediazione, importa, esporta, spedisce in transito, introduce in custodia temporanea o in deposito doganale, trasporta, pone in vendita, distribuisce o mette altrimenti in circolazione, anche con tecniche di comunicazione a distanza o con strumenti digitali nelle reti telematiche, alimenti, acque e bevande che sa essere non genuini o, per origine, provenienza, qualità o quantità, sostanzialmente difformi da quelli indicati, dichiarati o pattuiti è punito, se il fatto non è previsto come più grave reato”;
  2. il commercio di alimenti con segni mendaci (art. 517-septies), la cui norma recita: “chiunque, al fine di trarne profitto, nell’esercizio di un’attività agricola, industriale, commerciale, di importazione, di esportazione, di introduzione in custodia temporanea o in deposito doganale ovvero di intermediazione di alimenti, acque e bevande, utilizza segni distintivi o indicazioni, ancorché figurative, che sa essere falsi o ingannevoli al fine di indurre in errore il compratore, anche con tecniche di comunicazione a distanza o con strumenti digitali nelle reti telematiche, sull’origine, sulla provenienza, sulla qualità o sulla quantità degli alimenti o degli ingredienti è punito con la reclusione da tre a diciotto mesi e con la multa fino a euro 20.000”.

Vengono inoltre previste una serie di circostanze aggravanti e pene accessorie, tra cui, in particolare, spiccano l’aggravante c.d. di agropirateria (che prima costituiva reato autonomo), ovvero un aumento di pena da un terzo alla metà per coloro che commettono i delitti sopra indicati, al di fuori dei casi disciplinati agli artt. 416 e 416-bis, con più operazioni e attraverso l’allestimento di mezzi e attività continuative organizzate, nonché la pena accessoria del divieto di accedere a contributi, finanziamenti, mutui agevolati o altre erogazioni concessi o erogati dallo Stato, da altri enti pubblici o dall’Unione europea per lo svolgimento di attività imprenditoriali.

Il sistema sanzionatorio viene poi ulteriormente rafforzato mediante la previsione della chiusura temporanea o definitiva dello stabilimento per le ipotesi criminose più gravi e con la confisca obbligatoria, anche per equivalente, del profitto e dei beni utilizzati nella commissione dei reati.

L’intervento si caratterizza anche per l’intento di rafforzare il sistema di controllo e tracciabilità lungo l’intera filiera agroalimentare. In tale prospettiva, assume particolare rilievo l’introduzione di specifici strumenti volti a garantire un corretto flusso informativo verso il consumatore e la previsione di uno speciale contrassegno, avente natura e funzioni di carta valori, per i prodotti agroalimentari a denominazione di origine protetta (DOP) e a indicazione geografica protetta (IGP).

Da ultimo, si segnala l’estensione dei reati presupposto di cui al d.lgs. 231/2001 alle nuove fattispecie di reato, ma soltanto per le forme aggravate. Ne consegue la necessità per le imprese di procedere quanto prima ad un adeguamento dei propri modelli di organizzazione e gestione, onde valutare e gestire il rischio di commissione anche di tali illeciti.

Il nuovo Regolamento attuativo del rating di legalità

By Leggi e Sentenze

La Delibera AGCM n. 31812/2026 ha approvato il nuovo Regolamento attuativo in materia di rating di legalità, entrato in vigore dal 16/03/2026.

Di seguito, si riassumono i principali elementi di novità introdotti.

1. Nuovi motivi ostativi di carattere penale, prefettizio o giudiziario.
È ostativo al rilascio/mantenimento del rating l’esercizio dell’azione penale ai sensi dell’art. 407-bis c.p.p. nell’ambito di procedimenti nei confronti dei soggetti rilevanti della società richiedente, anche per i reati di cui agli artt. 603-bis, 629 e 644 c.p., nonché per i reati di cui agli artt. 24, 25 e 25-octies, D. L.vo n. 231/2001.

Nei confronti dell’impresa richiedente sono altresì ostativi:

  • l’esercizio dell’azione penale ai sensi dell’art. 407-bis c.p.p. per gli illeciti amministrativi dipendenti dai reati di cui agli artt. 24, 25 e 25-octies, D. L.vo n. 231/2001;
  • le misure previste dall’art. 32, D.L. n. 90/2014 convertito, con modificazioni, dalla L. n. 114/2014 in corso d’efficacia;
  • il controllo giudiziario ex art. 3, L. n. 199/2016 in corso di efficacia;
  • l’amministrazione giudiziaria ex art. 34, D. L.vo n. 159/2011 in corso di efficacia;
  • il controllo giudiziario ex art. 34-bis, D. L.vo n. 159/2011 in corso di efficacia;
  • la prevenzione collaborativa ex art. 94-bis, D. L.vo n. 159/2011 in corso di efficacia.

Il rating non può essere rilasciato in presenza di misure di prevenzione personali e/o patrimoniali previste dal D. L.vo n. 159/2011 che riguardino l’impresa o i soggetti di cui all’art. 4 del Regolamento in discorso e siano in corso di efficacia.

2. Durata dell’ostatività dei provvedimenti giudiziari definitivi.
La durata dell’efficacia ostativa dei provvedimenti giudiziari definitivi è stata rimodulata come segue:

  • nel caso di sentenza di condanna, il rating potrà essere rilasciato decorsi 5 anni dal passaggio in giudicato;
  • nel caso di sentenza di applicazione della pena su richiesta delle parti, il rating potrà essere rilasciato decorsi 3 anni dal passaggio in giudicato;
  • nel caso di decreto penale di condanna, il rating potrà essere rilasciato decorsi 2 anni dall’irrevocabilità.

3. Motivi ostativi di natura concorrenziale e consumeristica.
L’impresa non può ottenere o mantenere il rating se risulta destinataria di provvedimenti dell’Autorità per abuso di dipendenza economica e provvedimenti dell’Autorità per pratiche commerciali scorrette, con applicazione di sanzione pecuniaria, divenuti inoppugnabili o confermati in appello nel biennio precedente la domanda di rating.

4. Violazione di obblighi informativi relativi ai requisiti.
L’impresa è tenuta a comunicare gli eventi che incidano sul possesso dei requisiti obbligatori entro 30 giorni dal loro verificarsi. La violazione comporta, a seconda dei casi, il diniego al rilascio del rating o l’annullamento o la revoca del rating già attribuito ed in corso di validità, con decorrenza dal momento in cui il requisito è venuto meno, nonché il divieto di presentazione di una nuova domanda prima di 18 mesi dalla cessazione della rilevanza del motivo ostativo.

Durante la validità del rating, l’impresa titolare di rating è tenuta a comunicare la perdita di uno o più requisiti premiali o l’iscrizione nel Casellario informatico delle imprese di annotazioni rilevanti ai fini del punteggio entro 30 giorni dal verificarsi degli eventi. In questi casi, l’Autorità dispone la riduzione del punteggio. La violazione degli obblighi informativi relativi ai requisiti premiali comporta la riduzione al punteggio base (espresso con il segno ★), con decorrenza dal momento in cui il requisito è venuto meno e per tutta la durata residua del rating.

In questo sintetico quadro riassuntivo, bisogna aggiungere che l’impresa non può ottenere o mantenere il rating quando è destinataria di provvedimenti interdittivi dell’ANAC in materia di prevenzione della corruzione, trasparenza e contratti pubblici che implichino preclusioni alla stipula di contratti con la P.A. o alla partecipazione a procedure di gara o di affidamento di contratti pubblici di lavori, servizi o forniture, divenuti inoppugnabili o confermati dal Consiglio di Stato nel biennio precedente la domanda di rating.

In aggiunta, il punteggio base è ad oggi incrementabile di un segno +, oltre che nei casi previsti dall’art. 10 della Delibera in esame, quando l’impresa, alla presentazione della domanda di rinnovo, abbia conseguito in via continuativa il rinnovo del rating per almeno 3 volte.

Inoltre, il nuovo Regolamento allunga la durata del rating a 3 anni dal rilascio (e non più solo 2 anni).

Le imprese già titolari di rating di legalità alla data di entrata in vigore del nuovo Regolamento sono tenute a comunicare all’Autorità, entro 60 giorni dalla predetta data, gli eventi ostativi anteriori all’entrata in vigore del medesimo Regolamento e non comunicati poiché non rilevanti ai sensi della previgente disciplina.

ADR firm, attraverso l’outsourcing, supporta la tua attività d’impresa nel comprendere se ed in quale misura questa possa ottenere il rating di legalità.

Qualora il rating di legalità fosse già stato ottenuto sulla base della previgente disciplina, invece, ADR firm assiste la tua azienda nel comprendere se ed in quale misura la nuova disciplina possa avere un impatto.

Il D.lgs. n. 211 del 2025 e la nuova frontiera della responsabilità 231: sanzioni UE e compliance d’impresa

By Leggi e Sentenze
  1. Premessa: il contesto europeo e la ratio dell’intervento.

Con il D.lgs. 30 dicembre 2025 n. 211, il legislatore italiano ha dato attuazione alla Direttiva (UE) n. 2024/1226, introducendo una disciplina organica in materia di sanzioni per la violazione delle misure restrittive dell’Unione Europea.

L’intervento si inserisce nel più ampio processo di armonizzazione del diritto penale economico europeo, volto a garantire una risposta sanzionatoria effettiva, proporzionata e dissuasiva rispetto a condotte che incidano sulla politica estera e di sicurezza comune.

La novità, peraltro, oltre ad incidere sul piano più strettamente penalistico individuale, assume rilevanza anche sul piano del perimetro applicativo del D.lgs. 231/2001, al contempo ridefinendo i contenuti dei modelli di gestione del rischio-reato ivi previsti.

  1. Le nuove fattispecie incriminatrici: il rafforzamento del presidio penale.

Il Decreto, come anticipato, interviene anzitutto sul piano del diritto penale c.d. individuale, introducendo nel codice un nuovo capo dedicato ai “Delitti contro la politica estera e la sicurezza comune dell’Unione Europea”, collocato nel Titolo I del Libro II.

In tale ambito, assumono particolare rilievo, tra l’altro, le nuove fattispecie di “Violazione delle misure restrittive UE”(art. 275-bis c.p.), “Violazione degli obblighi informativi” (art. 275-ter c.p.), “Violazioni delle condizioni autorizzative”(art. 275-quaterc.p.) e “Violazione colposa delle misure restrittive” (art. 275-quinquies c.p.).

Si tratta di fattispecie che intendono colpire non soltanto la violazione diretta dei divieti (es. il congelamento dei fondi, l’embargo, le restrizioni commerciali), ma altresì le condotte elusive, con un ampliamento significativo – dunque – dell’area del penalmente rilevante.

  1. L’estensione della responsabilità degli enti exlgs. 231/2001 alle nuove fattispecie penali.

Uno degli aspetti più rilevanti del decreto è rappresentato dall’estensione del novero dei reati-presupposto della c.d. responsabilità amministrativa da reato degli enti alle nuove fattispecie penali introdotte, mediante la previsione, all’interno del “Decreto 231”, del nuovo art. 25-octies.2.

Ne consegue, da un punto di vista operativo, che le imprese sono tenute ad adeguare il proprio modello organizzativo ed i sistemi di controllo interno prevedendo specifiche misure di prevenzione anche per tali condotte di reato.

Il rischio 231 viene così ad ampliarsi sensibilmente per tutte le imprese operanti sui mercati esteri, posto che la relativa responsabilità, ora, attecchisce con maggiore pregnanza sulle operazioni commerciali internazionali: il MOG 231 dovrà ora prevedere misure adeguate in punto di processi import/export, vendite estere ed operazioni transfrontaliere.

  1. Osservazioni sul piano del sistema sanzionatorio: il ruolo del fatturato sulle sanzioni.

Il D.lgs. 211/2025 interviene anche sul piano del sistema sanzionatorio, introducendo un vero e proprio cambio di paradigma.

Difatti, la riforma prevede, accanto al tradizionale paradigma per quote, un criterio di calcolo basato sul fatturato, in linea con la tendenza già invalsa nel campo del diritto antitrust e della Privacy.

Di conseguenza, nell’intento di esplicare un sempre maggiore effetto deterrente, le sanzioni per gli enti che si rendano responsabili delle suddette violazioni saranno parametrate in base al fatturato globale dell’impresa, con “pene” che potrebbero giungere sino al 5% del fatturato globale.

Come di consueto, alle sanzioni pecuniarie si affiancano le misure interdittive (interdizione dell’attività, sospensione o revoca delle autorizzazioni e divieto di contrarre con la PA), con effetti potenzialmente paralizzanti, dunque, sull’operatività aziendale.

  1. Conclusione.

L’entrata in vigore del decreto impone alle imprese un profondo ripensamento dei Modelli di organizzazione, gestione e controllo, rendendo necessari risk assessment mirati e l’implementazione di specifiche procedure che mirino a presidiare i nuovi rischi-reato.

Decreto Sicurezza 2026: le principali novità dello schema di decreto legge approvato in Cdm

By Leggi e Sentenze

Il 5 febbraio scorso, il Consiglio dei Ministri ha approvato l’ennesimo Decreto Sicurezza, con l’intento di intervenire su armi bianche, violenza giovanile, strumenti di tutela per le forze dell’ordine e soprattutto manifestazioni pubbliche. Il Decreto si inserisce nel solco delle recenti politiche di rafforzamento degli strumenti di prevenzione e contrasto ai fenomeni di microcriminalità diffusa e di ordine pubblico. Il testo, destinato ad incidere in modo significativo sia sul diritto penale sostanziale sia su quello processuale, introduce misure che implicano necessariamente un delicato, non sempre ottimale, bilanciamento tra le esigenze di sicurezza e quelle di tutela dei diritti e delle libertà dei cittadini.

Tra le principali novità spiccano, tra l’altro, una nuova tipologia di fermo preventivo e l’annotazione preliminare in modello separato per i fatti di reato commessi nella evidente sussistenza di una causa di giustificazione.

  1. Manifestazioni pubbliche: fermo preventivo ed ampliamento dei poteri dell’autorità di pubblica sicurezza.

Tra le novità più rilevanti, come detto, figura l’introduzione di un nuovo istituto di fermo preventivo, fino a 12 ore, per soggetti ritenuti potenzialmente pericolosi nel corso di manifestazioni o cortei. Il Pubblico Ministero, cui il fermo deve essere immediatamente comunicato, ha un obbligo di verifica sulla sussistenza dei presupposti e può disporre l’immediato rilascio per il caso in cui questi manchino.

Nella pratica, si risolve nella possibilità per gli ufficiali e gli agenti di polizia, nel corso di specifici servizi disposti in occasione di manifestazioni in luogo pubblico o comunque aperte al pubblico, di accompagnare nei propri uffici e di trattenere per non oltre 12 ore persone per le quali, in base a specifiche circostanze di tempo e di luogo e sulla base di specifici elementi di fatto (quali, ad esempio, il possesso di armi o strumenti atti ad offendere, uso di petardi, caschi o strumenti che rendono difficoltoso il riconoscimento della persona, oltre che eventuali procedimenti penali o segnalazioni di polizia per reati commessi con violenza sulle persone o sulle cose in occasione di pubbliche manifestazioni negli ultimi 5 anni) vi sia fondato motivo di ritenere il compimento di condotte di pericolo concreto per il pacifico svolgimento della manifestazione e per la sicurezza ed incolumità pubbliche.

Questa tipologia di fermo preventivo risulta in parte svincolata dai presupposti tradizionali alla base di istituti analoghi e ha finalità dichiaratamente anticipatorie rispetto alla commissione di determinati reati ritenuti di elevato allarme sociale.

L’ampliamento dei poteri cautelari in fase pre-procedimentale pone interrogativi significativi in relazione, tra l’altro, all’art. 13 Cost. (inviolabilità della libertà personale), in specie in punto di legalità e tassatività delle misure limitative della libertà personale, oltre che all’art. 5 CEDU (diritto fondamentale alla libertà e sicurezza personale). Il rischio, già oggetto di dibattito in dottrina, è quello di una progressiva “preventivizzazione” del diritto penale, con anticipazione della soglia di intervento punitivo in assenza di un fatto di reato compiutamente delineato.

  1. Istituzione di un nuovo registro per i fatti di reato commessi in presenza di cause di giustificazione.

Lo schema di decreto approvato in Cdm prevede, inoltre, l’istituzione di un registro delle notizie di reato dedicato specificamente ai fatti commessi in presenza di cause di giustificazione, il cui ovvio e dichiarato riferimento è da rinvenirsi, ancora una volta, nelle forze dell’ordine.

Si tratta di una “annotazione preliminare in separato modello”, la cui ratio (dichiarata) è quella di incrementare il livello di tutele per i cittadini e le forze di polizia. Il Pubblico Ministero, quando appare evidente che il fatto è stato compiuto in presenza di una causa di giustificazione (legittima difesa, adempimento di un dovere, uso legittimo di armi, stato di necessità), procede con una annotazione preliminare in un modello separato del nome della persona cui è attribuito il fatto. Vengono poi disciplinate le conseguenti indagini. Il Registro in questione dovrà essere introdotto con apposito decreto del Ministro della Giustizia.

I rischi intercettati dai primi commentatori, spaziano dal pericolo che tale annotazione possa costituire una “corsia procedimentale preferenziale” per alcuni specifici soggetti, con violazione del principio di uguaglianza ai sensi dell’art. 3 Cost., nonché la tensione con l’obbligo di garantire indagini effettive, indipendenti e imparziali di cui agli artt. 2 e 3 CEDU.

  1. Ulteriori novità.

Tra le ulteriori previsioni, si segnalano anche misure contro lo spaccio, norme sulla sicurezza stradale nonché norme volte a maggiormente tutelare i docenti vittime di lesioni.

Sempre in tema di manifestazioni pubbliche, si introducono rafforzamenti ai divieti di accesso alle aree urbane definite “sensibili” e, in particolare, è previsto il divieto di partecipare a manifestazioni pubbliche per i condannati per specifici delitti legati alla c.d. “violenza di piazza”.

Da ultimo, il capo quarto contiene ulteriori misure, oltre a quelle già introdotte negli ultimi anni, in materia di immigrazione e protezione internazionale, tra cui, in particolare, l’obbligo di cooperazione degli stranieri detenuti per l’accertamento dell’identità.

Nel complesso, anche quest’ultimo Decreto Sicurezza sembra rafforzare l’asse della prevenzione e dell’anticipazione della tutela penale, con un significativo spostamento del baricentro verso esigenze securitarie. È comunque ragionevole attendersi che l’intervento venga ad essere oggetto di questioni di legittimità costituzionale, oltre che di doglianze indirizzate alla Corte Europea dei Diritti dell’Uomo.

Ad ogni modo, stante l’approvazione del testo, in seguito alla firma del Presidente della Repubblica il Decreto entrerà in Gazzetta Ufficiale.

Decreto-legge n. 159 del 2025: le ultime innovazioni normative in materia di sicurezza sul lavoro

By Leggi e Sentenze

Lo scorso 31 ottobre è entrato in vigore il Decreto-legge n. 159 del 2025, recante “Misure urgenti per la tutela della salute e della sicurezza sui luoghi di lavoro e in materia di protezione civile”, il quale ha introdotto una serie di interventi finalizzati, in particolare, al rafforzamento del sistema prevenzionistico in materia di lavoro e nell’ambito delle filiere (appalti e subappalti).

In un contesto marcato da gravi e persistenti criticità in punto di infortuni, è stata avvertita l’esigenza, da parte del legislatore, di innalzare gli standard di tutela, promuovendo un approccio integrato tra prevenzione, formazione, vigilanza e l’ormai immancabile digitalizzazione.

In quest’ottica, si è dunque inteso rafforzare la tracciabilità dei lavoratori nei cantieri e nei settori più a rischio, anche rafforzando il sistema sanzionatorio e stimolando il focus sulla formazione.

Tra le novità più importanti si segnala, in primo luogo, l’introduzione di un badge elettronico e digitale obbligatorio per i lavoratori impiegati nei cantieri edili in regime di appalto o subappalto, pubblico e privato. Questo strumento, necessariamente corredato da un codice univoco anticontraffazione, nell’ottica del legislatore è finalizzato a garantire la tracciabilità delle presenze e l’emersione di lavoro irregolare. Dovrebbe inoltre facilitare l’attività di vigilanza da parte degli organi ispettivi.

Il suddetto badge dovrà essere rilasciato a ciascun lavoratore, anche in formato digitale, e dovrà essere agganciato al Sistema Informativo per l’Inclusione Sociale e Lavorativa (SIISL), con riflessi operativi importanti per la gestione dei fascicoli formativi e delle attestazioni.

In sede di attuazione, un decreto ministeriale dovrà provvedere alla definizione delle specifiche tecniche e operative (tra cui tempi, modalità di rilascio e dati trattati), con scadenze mirate a rendere il sistema pienamente operativo per i primi mesi del 2026.

Il Decreto, inoltre, modifica l’assetto legislativo della c.d. “patente a crediti” nei cantieri, un sistema di qualificazione delle imprese e dei lavoratori basato sull’andamento degli infortuni venuti a verificazione e sul generale rispetto degli obblighi di sicurezza.

In particolare, vengono ampliate le ipotesi di perdita di crediti per gravi violazioni della disciplina in materia di sicurezza sul lavoro e viene inasprito il sistema sanzionatorio, con un aumento pari al doppio per la sanzione amministrativa pecuniaria massima prevista, che passa da euro 6.000 ad euro 12.000 per le violazioni più gravi.

Si segnala come tali modifiche assumano particolare rilievo non solo sotto il profilo della deterrenza, in stretta connessione alle sanzioni pecuniarie previste, ma anche ai fini della reputazione aziendale, con possibile impatto su bandi di gara e sui criteri di aggiudicazione.

Infine, sempre tra le novità più rilevanti, il decreto interviene in materia di formazione e prevede, in particolare, che la formazione relativa a ciascun lavoratore sia registrata nei relativi fascicoli elettronici personali, integrati con il SIISL.

Questo passaggio costituisce un ulteriore elemento di digitalizzazione della compliance in materia di salute e sicurezza nei luoghi di lavoro, con evidenti implicazioni operative per gli enti formatori e per i datori di lavoro nella gestione dei percorsi formativi obbligatori.

La digitalizzazione, anche in tale settore, dovrebbe massimizzare l’efficacia dei controlli e consentire il superamento, almeno in parte, delle problematiche relative alla tracciabilità (manifestatesi con riguardo ai registri cartacei), favorendo – tra l’altro – l’omogeneità dei dati trattati a livello nazionale.

Ora, se dal punto di vista tecnico-operativo il decreto si presenta come l’ennesimo intervento estensivo rispetto agli obblighi di tracciamento e compliance, con evidenti ricadute in termini di conformità per le imprese destinatarie; sotto altro profilo, come spesso accade, l’adeguamento tempestivo alle nuove regole potrà rappresentare anche un vantaggio competitivo, dimostrando agli stakeholder (clienti, partner commerciali, committenti pubblici e privati) un livello avanzato di gestione della sicurezza sul lavoro, oltre che una maggiore affidabilità operativa.

ADR firm e la competenza specialistica dei suoi collaboratori sono come sempre a disposizione delle aziende clienti per il pronto adeguamento alla normativa, per la valutazione del rischio sanzionatorio e per l’implementazione di unacomplianceaggiornata.

Il reato di femminicidio è legge: un primo sguardo al provvedimento

By Leggi e Sentenze

Segnaliamo che il 25 novembre scorso, in occasione della “Giornata internazionale per l’eliminazione della violenza contro le donne”, istituita dall’Assemblea generale delle Nazioni Unite proprio per il giorno 25 novembre, è stata definitivamente approvata dalla Camera dei deputati, con voto unanime, la proposta di legge avente ad oggetto, tra l’altro, l’introduzione del reato di “femminicidio” (A.C. 2528, già approvata dal Senato nel luglio di quest’anno).

La nuova fattispecie, inserita all’art. 577-bis del Codice penale, alla voce “Femminicidio”, è dunque divenuta legge. Di seguito il testo della norma:

“Chiunque cagiona la morte di una donna quando il fatto è commesso come atto di odio o di discriminazione o di prevaricazione o come atto di controllo o possesso o dominio in quanto donna, o in relazione al rifiuto della donna di instaurare o mantenere un rapporto affettivo o come atto di limitazione delle sue libertà individuali è punito con la pena dell’ergastolo. Fuori dei casi di cui al primo periodo si applica l’art. 575.

Si applicano le circostanze aggravanti di cui agli articoli 576 e 577.

Quando ricorre una sola circostanza attenuante ovvero quanto una circostanza attenuante concorre con taluna delle circostanze aggravanti di cui al secondo comma, e la prima è ritenuta prevalente, la pena non può essere inferiore ad anni ventiquattro.

Quando ricorrono più circostanze attenuanti, ovvero quando più circostanze attenuanti concorrono con taluna delle circostanze aggravanti di cui al secondo comma, e le prime sono ritenute prevalenti, la pena non può essere inferiore ad anni quindici”.

Il testo legislativo, pur avendo in più punti diviso i giuristi ed alimentato un ampio dibattito dottrinale, è stato presentato (e di fatto è intervenuto) come una parentesi di “coesione politica” tra le varie fazioni parlamentari, unite nell’intento di dare un segnale forte contro la violenza sulle donne, aggiungendo un ulteriore strumento nel rafforzamento, tra l’altro, delle norme che ruotano intorno al c.d. Codice Rosso.

Peraltro, il provvedimento costituisce un intervento di più ampio spettro, intervenendo anche su una serie di altre disposizioni e, in particolare:

  • in materia di maltrattamenti in famiglia, ove, all’art. 572 c.p., si estende il novero dei soggetti passivi del reato (coloro che ne possono risultare offesi), introducendo una ipotesi di confisca obbligatoria relativamente ai beni utilizzati per la commissione ed introducendo una nuova circostanza aggravante per il caso in cui la condotta sia perpetrata con le modalità descritte nel nuovo art. 577-bis (il riferimento dovrebbe dunque essere a quando il fatto è commesso come atto di odio, discriminazione o prevaricazione; come atto di controllo, possesso o dominio in quanto donna; in risposta al rifiuto della donna di instaurare o mantenere un rapporto affettivo; quale atto limitativo delle sue libertà individuali);
  • in materia di circostanze aggravanti, introducendo, analogamente a quanto avvenuto per l’art. 572 c.p., nuovi aggravamenti di pena per alcune fattispecie di reato (tra cui le lesioni personali, interruzione non consensuale di gravidanza, violenza sessuale e stalking) per i casi in cui le stesse siano perpetrate con le modalità descritte all’art. 577-bis p. (v. sopra);
  • sul piano procedurale, inserendo una serie di modifiche al codice di procedura penale, incidenti, tra l’altro, sulle informazioni da fornire obbligatoriamente alla persona offesa, sulla durata delle intercettazioni, sul patteggiamento, sulle misure cautelari e sulle facoltà processuali degli enti e delle associazioni rappresentativi degli interessi lesi dal reato. Si introducono, inoltre, nuove regole per l’esame testimoniale volte ad impedire la c.d. vittimizzazione secondaria.

Si segnalano, da ultimo, collegati interventi sulla disciplina di ordinamento penitenziario nonché in ordine alla tutela dei soggetti permasti orfani a seguito di femminicidio e al monitoraggio periodico sullo stato di applicazione delle norme in materia di femminicidio e sul contrasto alla violenza sulle donne. È prevista, nello specifico, la presentazione alle Camere, da parte del Ministro della giustizia, di una relazione annuale sul punto.