La Corte di Cassazione, IV sezione penale, con la sentenza n. 22256 del 3 marzo 2021 (depositata lo scorso 8 giugno), si è pronunciata sulla sussistenza dei requisiti di interesse e vantaggio dell’ente, nell’ipotesi di reati colposi per violazione della normativa antinfortunistica così come previsto dal D.Lgs. 231/01 in materia di responsabilità amministrativa degli enti.
La vicenda riguardava un infortunio sul lavoro subito da un dipendente avente mansioni di autista in un impianto di selezione di rifiuti, il quale sceso dal proprio mezzo – mentre era impegnato e rimuovere il telo di un cassone al fine di consentire lo scarico del materiale proveniente dalla raccolta differenziata – veniva urtato dal muletto di un altro lavoratore, riportando gravi lesioni.
Il Tribunale di primo grado e la Corte d’Appello dichiaravano il datore di lavoro, imputato nel processo, colpevole del reato di lesioni colpose aggravate dalla violazione delle norme per la prevenzione degli infortuni. Ciò in quanto le stesse erano state ritenute conseguenti alla violazione del combinato disposto degli artt. 63 e 64, comma 1, D.Lgs. 81/2008 (rubricati rispettivamente “Requisiti di salute e sicurezza” e “Obblighi del datore di lavoro”) per non aver il datore di lavoro organizzato una viabilità sicura regolamentando, con cartellonistica e segnaletica orizzontale, la circolazione nel piazzale esterno dell’impianto di selezione rifiuti, separando le corsie di marcia, indicando i luoghi di stoccaggio e le corsie destinate ai carrelli elevatori e ai pedoni, nonché le aree di manovra dei mezzi.
Inoltre, i giudici di merito dichiaravano sussistente in capo alla società la responsabilità da illecito amministrativo (ex artt. 5, comma 1, lett. a) e 25-septies, comma 3, D.lgs. 231/2001), seppur con riconoscimento di una circostanza attenuante, condannandola al pagamento di una sanzione amministrativa (di euro 12.900,00).
Secondo i giudici di merito, la società era colpevole della mancata valutazione del rischio di infortunio derivante dalle possibili interferenze tra i conducenti dei carrelli elevatori e gli addetti allo scarico del materiale. Responsabilità questa che scaturiva dalla riduzione dei costi per l’attività del consulente per la revisione del DUVRI e dall’aumento della velocità della produzione come conseguenza della mancata adozione delle necessarie misure.
Nei confronti della sentenza d’Appello, viene proposto ricorso per cassazione.
La Corte di Cassazione ha chiarito che (i) i concetti di interesse e vantaggio devono essere riferiti necessariamente alla condotta e non all’evento e, (ii) gli stessi, sono alternativi e concorrenti tra loro. Il requisito dell’interesse deve essere valutato al momento della commissione del fatto mentre quello del vantaggio in un momento successivo, sulla base degli effetti concretamente derivati dalla realizzazione dell’illecito.
La Corte di Cassazione ha specificato, inoltre, che:
Alla luce di tali chiarimenti, secondo la Corte di Cassazione, la sentenza impugnata non ha chiarito le prove da cui abbia desunto il vantaggio conseguito dall’ente, in termini di risparmio di spesa e di accelerazione del processo produttivo. In particolare, a suo parere, il risparmio dei costi risulterebbe esiguo e la società avrebbe assunto un comportamento di generale osservanza delle norme antinfortunistiche.
Per questi motivi, la Corte di Cassazione ha confermato la sentenza d’Appello nella parte in cui aveva riconosciuto la responsabilità del datore di lavoro persona fisica mentre ha annullato la sentenza nella parte in cui aveva individuato la responsabilità amministrativa dell’ente rinviando alla Corte d’Appello competente in diversa composizione.
Altri insights correlati:
È stato pubblicato sulla Gazzetta Ufficiale dello scorso 14 giugno il Decreto-Legge n. 82/2021 (il “Decreto”) recante “disposizioni urgenti in materia di cyber-sicurezza, definizione dell’architettura nazionale di cyber-sicurezza e istituzione dell’Agenzia per la cyber-sicurezza nazionale”.
Con il termine “Cyber-sicurezza” si intende “l’insieme delle attività necessarie per proteggere dalle minacce informatiche reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, assicurandone la disponibilità, la confidenzialità e l’integrità e garantendone altresì la resilienza” (art. 1, comma 1, lett. a).
Il Decreto, che si compone di 19 articoli, istituzionalizza, tra le altre, il “Comitato interministeriale per la cyber-sicurezza” (il “CIC”). Il CICsvolge funzioni di consulenza, proposta e vigilanza in materia di politiche di cyber-sicurezza, anche ai fini della tutela della sicurezza nazionale nello spazio cibernetico. Inoltre, il CIC ha i seguenti compiti:
Tra le novità principali del Decreto vi è, altresì, l’istituzione dell’”Agenzia per la cyber-sicurezza nazionale” (l’”ANC” o l’”Agenzia”). Il Decreto specifica le sue funzioni chiarendone la composizione e l’organizzazione. Con apposito regolamento, da approvarsi entro 120 giorni dall’entrata in vigore del Decreto, infatti, dovrà essere definito il funzionamento dell’Agenzia composta da otto uffici di livello dirigenziale generale e da trenta articolazioni di livello dirigenziale non generale nell’ambito delle risorse disponibili (art. 12, comma 1).
L’Agenzia rappresenta il principale Ente in materia di cyber-sicurezza che esercita funzioni di autorità nazionale in materia e accentra le numerose competenze sin d’ora attribuite ad altri organi tra cui quelle del Ministero dello Sviluppo Economico. Tra i suoi compiti vi rientrano:
L’Agenzia è affiancata dal “Nucleo per la cyber-sicurezza” che ha il compito di supportare il Presidente del Consiglio dei Ministri, per gli aspetti relativi alla prevenzione e alla preparazione ad eventuali situazioni di crisi e per l’attivazione delle procedure di allertamento. Tra i principali compiti affidati a tale organo rientrano:
◊◊◊◊
Entro il 30 aprile di ogni anno, il Presidente del Consiglio dei Ministri ha il compito di trasmettere al Parlamento una relazione sull’attività svolta dall’Agenzia nell’anno precedente e la stessa, in qualità di Centro nazionale di coordinamento italiano, nello svolgimento delle proprie attività si interfaccerà con il “Centro europeo di competenza per la cyber-sicurezza nell’ambito industriale, tecnologico e della ricerca“, concorrendo ad aumentare l’autonomia strategica europea nel settore.
Altri insights correlati:
La Corte di Cassazione, con l’ordinanza n. 18292 emessa il 3 settembre 2020, ha osservato che l’omessa predisposizione di misure tecniche ed organizzative a tutela della protezione dei dati personali dell’interessato è equiparabile alla colpa organizzativa legata alla mancata adozione di un modello organizzativo ai sensi del D.Lgs. 231/2001.
Nel caso di specie, un ente locale ha presentato ricorso in Cassazione avverso un’ordinanza di ingiunzione dell’Autorità Garante per la protezione dei dati personali (il “Garante”) con la quale gli era stata comminata una sanzione per aver pubblicato sull’albo pretorio on line i dati personali di una dipendente comunale oltre il termine di 15 giorni previsto dall’articolo 124 del TUEL (“Testo Unico degli Enti Locali”).
Era stato, infatti, accertato che il Comune aveva mantenuto visibili per oltre un anno le determinazioni da cui risultavano evidenti (i) il nome e il cognome dell’interessata, (ii) l’esistenza di un contenzioso tra la stessa e l’Amministrazione comunale, (iii) lo stato di famiglia e (iv) le circostanze che la medesima vivesse da sola, avesse avanzato una domanda di rateizzazione del dovuto e che tale domanda non fosse stata accolta.
Il Comune, a sostegno della propria posizione, ha eccepito che la colpa della mancata cancellazione dei dati dell’interessata dall’albo pretorio on line dovesse essere imputata all’opera di un consulente esterno a cui era stato dato l’incarico di configurare il sito internet dell’Amministrazione in conformità alla normativa vigente.
La Corte di Cassazione, nel respingere il ricorso, ha chiarito che i dati della dipendente non riguardavano alcun “aspetto dell’organizzazione”, non costituivano “indicatori relativi agli andamenti gestionali e all’utilizzo delle risorse”, né tantomeno rappresentavano “risultati dell’attività di misurazione e valutazione svolta dagli organi competenti”. Pertanto, la loro pubblicazione oltre il termine fissato dalla legge non poteva considerarsi legittima.
In merito poi alla responsabilità del consulente esterno, la Corte di Cassazione ha precisato che il titolare del trattamento, ai sensi dell’art. 4 del Regolamento (UE) 2016/679 in materia di protezione dei dati personali (il “GDPR”), è la persona giuridica e non il legale rappresentante o l’amministratore, configurandosi così una autonoma responsabilità proprio in capo alla persona giuridica. Questa responsabilità, proseguono i giudici, deve essere configurata come “colpa di organizzazione”, ossia come “rimprovero derivante dall’inottemperanza da parte dell’ente dell’obbligo di adottare le cautele, organizzative e gestionali, necessarie a prevenire la commissione degli illeciti”, “analogamente a quanto previsto dal D.lgs. 231/2001 in tema di responsabilità da reato degli enti”.
Alla luce di quanto sin qui espresso, la Corte di Cassazione è giunta alla conclusione che il ritardo nella rimozione dall’albo pretorio on line dei dati pubblicati è “pienamente riconducibile alla sfera di signoria dell’Ente e del suo apparato”.
Con l’ordinanza in esame, la Corte di Cassazione rileva un’importante analogia tra la disciplina in materia di protezione dei dati personali e quella in tema di responsabilità da reato degli enti, comparando e parificando appunto la mancata adozione di adeguate misure tecniche ed organizzative (ex art. 32, GDPR) alla c.d. “colpa di organizzazione” prevista dal D.lgs. 231/2001.
Altri Insights correlati:
Le notizie sulla diffusione del Coronavirus (nCoV) impongono alle aziende di adottare misure atte a prevenire per quanto possibile il rischio di contagio, in quanto, come è noto, il datore di lavoro:
Sul punto occorre preliminarmente osservare che, nel nostro continente, allo stato, non vi è alcun segnale di diffusione dell’epidemia, in quanto i casi di Coronavirus sono sporadici e non preoccupanti. Per quanto riguarda l’Italia, il Ministero della Salute ha dichiarato che “la circolazione del virus è inesistente”.
Il rischio di contagio, pertanto, è da considerarsi remoto, salvo per coloro che abbiano contatti ravvicinati e protratti con gli ammalati.
Le cautele devono essere adottate in particolare nei confronti del personale dipendente (sia esso di sede o viaggiante) che, in relazione alle proprie funzioni, ha rapporti con i Paesi Orientali e, soprattutto, con la Cina, in alcune zone della quale, l’epidemia è in corso.
In relazione a quanto sopra, in conformità con le indicazioni dettate dal Ministero della Salute il 3 febbraio 2020, i datori di lavoro devono fornire ai dipendenti che lavorano a contatto con il pubblico delle linee guida per evitare la diffusione del virus, ricorrendo alle comuni misure preventive della diffusione delle malattie trasmesse per via respiratoria, ovvero:
Secondo il Ministero, se nel corso dell’attività lavorativa si viene a contatto con un soggetto che risponde alla definizione di caso sospetto ai sensi della precedente circolare del 27 gennaio, occorrerà contattare immediatamente i servizi sanitari segnalando che si tratta di un caso sospetto per nCoV. Nell’attesa dell’arrivo dei sanitari:
I problemi che il rischio di contagio comportano richiedono che il datore di lavoro adotti procedure e fornisca istruzioni al personale dipendente per poter prevenire i rischi di contagio.
Il dipartimento Compliance di De Luca & Partners è a Vostra completa disposizione per fornire il supporto necessario.
Per informazioni e approfondimenti, potete rivolgervi ai Vostri referenti abituali o ad Elena Cannone, coordinatrice del Focus Team Compliance al seguente indirizzo email elena.cannone@delucapartners.it.
