DOMANDE FREQUENTI

Menu

FAQ GDPR

Il GDPR (Reg. UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016) è l’acronimo di General data protection regulation, ossia di regolamento generale per la protezione dei dati personali.

Sono tenuti a rispettare il Regolamento UE tutte le persone, fisiche e giuridiche, che trattano dati personali riferiti a persone fisiche come, ad esempio, le pubbliche amministrazioni, le imprese anche individuali, i professionisti che sono, secondo il Regolamento europeo, titolari del trattamento. Il GDPR riguarda, inoltre, anche i responsabili del trattamento da individuarsi nei soggetti che trattano dati personali per conto dei titolari.

Il Regolamento è un atto normativo dell’Unione Europea avente pieno valore di Legge europea, come tale idoneo a  prevalere sulla legge nazionale incompatibile che va, conseguentemente, disapplicata.

E’ bene mettere in evidenza come il GDPR non tuteli, in senso stretto la privacy, ma tuteli il diritto a ricevere protezione dei dati personali ed è importante rilevare come concetto di protezione dei dati personali non sia perfettamente coincidente con quello di privacy.

Si intende per privacy il diritto alla riservatezza alla vita personale, privata, dell’individuo o della famiglia, mentre il diritto alla protezione dei dati personali comporta che, chi tratta dati personali, deve adottare misure di protezione e sicurezza adeguate, realizzare gli adempimenti previsti dalla legge e garantire all’interessato certi diritti che la Legge gli accorda.

Anche il diritto alla protezione dei dati personali, al pari di quello alla protezione della sfera personale e privato, è un diritto fondamentale dell’individuo riconosciuto come taledalla Carta di Nizza sulla base della quale ogni persona fisica ha il diritto a che i propri dati personali siano trattati nel rispetto della Legge e delle regole generali che disciplinano le attività di trattamento.

In quest’ottica, il GDPR introduce, a titolo esemplificativo, alcune novità come il diritto all’oblio che permette agli interessati di chiedere la rimozione di informazioni che li riguardano al ricorrere di alcune condizioni (anche se il diritto all’oblio era già stato elaborato precedentemente dalla Giurisprudenza della Corte di Giustizia Europea), il diritto alla portabilità dei dati personali (che consente di scaricare e trasferire dati da una piattaforma all’altra, senza vincolarsi a un certo account) e  l’obbligo di notifica in caso di data breach (che deve essere operato al ricorrere di certe condizioni).

Inutile dire come queste siano solamente alcune delle novità introdotte dal GDPR e come il quadro di protezione dei dati personali sia stato grandemente mutato e profondamente innovato.

Se, da un lato, il GDPR riguarda tutti i titolari ed i responsabili che trattano dati personali; dall’altro, non tutti i destinatari del Regolamento europeo sono tenuti a realizzare gli stessi adempimenti o a realizzare lo stesso adempimento in uguale maniera.

L’Autorità Garante ha, al riguardo, precisato come: “Il Regolamento già di per sé modula gli adempimenti previsti in capo al titolare in ragione, tra l’altro, della dimensione dell’impresa e, quindi, dell’ambito di incidenza del trattamento, come abbiamo chiarito anche in diversi incontri con esponenti del mondo imprenditoriale e, in particolare, associazioni di categoria. La disciplina europea, che mira a rafforzare “il clima di fiducia che consentirà lo sviluppo dell’economia digitale” nel mercato interno, coniuga la protezione dati con istanze di semplificazione, che il decreto di adeguamento peraltro valorizza, prevedendo che rispetto alle micro, piccole e medie imprese il Garante possa promuovere modalità semplificate di adempimento agli obblighi del titolare. (Cfr. https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9099445)”

Il singolo adempimento deve, pertanto, essere graduato in ragione del principio di adeguatezza ed assumerà forme e contenuti diversi in ragione del titolare che lo realizza e del rischio che pone l’attività di trattamento.

Ne consegue che una P.M.I. manifatturiera che tratta, al più, dati identificativi e di contatto di fornitori e clienti per vendere i propri prodotti a persone fisiche e per esigenze di fatturazione non sarà tenuta a realizzare gli stessi adempimenti di un ospedale o di un’agenzia di investigazione privata o di una pubblica amministrazione.

Allo stesso modo, diversa è la situazione di un imprenditore che, implementando servizi di e-commerce effettua politiche di comunicazioni commerciali dirette, soft spam e profilazione dei propri Clienti per aumentare i propri profitti studiando le abitudini e le scelte di consumo dei propri clienti.

Ugualmente, uno Studio Associato di Avvocati che tratta dati relativi a reati o condanne penali su larga scala (si pensi se i dati riguardano procedimenti in materia di delitti contro la persona relativi a violenze ed abusi) o specializzato nel diritto di famiglia (dove saranno frequenti pratiche in materia di divorzi e separazione con addebiti per motivi che possono rivelare aspetti molto delicati della vita di una persona) o anche in diritto del lavoro (dove si impugneranno verosimilmente sanzioni disciplinari e si tratteranno dati particolari idonei a rivelare lo stato di salute dei propri clienti), non avrà gli stessi adempimenti di uno studio legale specializzato in diritto industriale, nella contrattualistica o nella consulenza ad imprese che ha a che fare, in genere, con imprese e persone giuridiche.

In genere, tutti i titolari dovranno predisporre informative aggiornate ed adeguate (acquisendo il consenso degli interessati ove questo sia necessario) e contrattualizzare – previa mappatura dei flussi di dati personali – i rapporti con Contitolari e Responsabili di trattamento al fine di garantire il rispetto del principio di trasparenza delle attività di trattamento.

In ogni caso, l’elaborazione di un’informativa adeguata è, tuttavia, solo uno degli adempimenti che i titolari devono eseguire e, verosimilmente dovrà essere elaborato dopo aver compiuto un processo di adeguata mappatura dei dati personali e successivamente alla compilazione del registro delle attività di trattamento (art. 30 GDPR).

Buona parte degli adempimenti che il GDPR richiede in genere a tutti titolari e responsabili di trattamento hanno natura organizzativa. Si pensi al dovere di valutare il rischio delle attività di trattamento realizzate, di mappare i flussi interni ed esterni all’organizzazione aziendale, di autorizzare ed istruire i soggetti trattano dati personali sotto l’autorità del titolare (collaboratori e dipendenti), di adottare misure di organizzazione e di sicurezza adeguate al rischio e di impostare una procedura per gestire eventuali violazioni dei dati personali trattati/data breach.

Peraltro, nel caso di realizzazione di attività a rischio particolarmente elevato, si pensi a titolo esemplificativo al trattamento di dati attraverso il dossier sanitario, alla profilazione e geolocalizzazione degli interessati, il quadro degli adempimenti può ulteriormente articolarsi e potrebbe essere richiesta l’adozione di ulteriori misure tecniche ed organizzative.

Altri obblighi generali, come l’effettuazione di una valutazione di impatto (DPIA) e a nomina del DPO, devono essere operati invece solamente laddove il trattamento presenti un rischio elevato per gli interessati e al ricorrere di altri presupposti.

Seppure non tutti gli adempimenti siano obbligatori per tutti i titolari, la realizzazione di questi potrebbe rappresentare una scelta strategica finalizzata ad impostare prassi virtuose ed a migliorare le politiche di trattamento di dati personali in azienda.

Non da ultimo, nell’ottica di implementare procedure aziendali che garantiscano un adeguato livello organizzativo, il novellato Codice nazionale suggerisce di individuare, all’interno dell’organizzazione aziendale, soggetti designati dotati di particolari responsabilità ed incaricati di specifici compiti nel quadro della protezione dei dati personali aziendali.

Nel quadro della realizzazione degli adempimenti va ricordato il principio di documentazione/accountability, altro pilastro del GDPR, che  impone a titolari e responsabili di essere in grado di documentare non solo di avere effettuato gli adempimenti imposti dalla legge, ma di averli anche effettuati in ossequio al principio di adeguatezza.

Secondo l’art. 30 GDPR non dovrebbero essere obbligate a tenere il registro delle attività di trattamento le imprese o le organizzazioni con meno di 250 dipendenti.

A prescindere dal numero di dipendenti in azienda, tuttavia, sono comunque obbligate a tenere il registro i titolari ed i responsabili che effettuano trattamenti che possano presentare un rischio per i diritti e le libertà dell’interessato se il trattamento non sia occasionale o prevede il trattamento di categorie particolari di dati (o sensibili per usare la vecchia terminologia) ai sensi degli artt. 9 e 10 GDPR.

A dispetto del dato letterale della lettera della norma, sia l’Autorità Garante Nazionale che il Comitato europeo per la protezione dei dati personali (l’ex gruppo di lavoro 29) consiglia a tutti i titolari ed i responsabili di munirsi di un registro delle attività di trattamento la cui adozione rappresenta un importante scelta strategica.

In particolare, il Garante ha stabilito che, in ambito privato, i soggetti obbligati a tenere il registro sono:
• imprese o organizzazioni con almeno 250 dipendenti;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’articolo 9, paragrafo 1 RGPD, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10 RGPD.

Rientrano, inoltre, nella categoria delle “organizzazioni” di cui all’art. 30, par. 5 anche le associazioni, fondazioni e i comitati.

Sono, quindi, tenuti all’obbligo di redazione del registro, ad esempio:
– esercizi commerciali, esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione, ecc.) e/o che trattino dati sanitari dei clienti (es. parrucchieri, estetisti, ottici, odontotecnici, tatuatori ecc.
– liberi professionisti con almeno un dipendente e/o che trattino dati sanitari e/o dati relativi a condanne penali o reati (es. commercialisti, notai, avvocati, osteopati, fisioterapisti, farmacisti, medici in generale);
– associazioni, fondazioni e comitati ove trattino “categorie particolari di dati” e/o dati relativi a condanne penali o reati (i.e. organizzazioni di tendenza; associazioni a tutela di soggetti c.d. “vulnerabili” quali ad esempio malati, persone con disabilità, ex detenuti ecc.; associazioni che perseguono finalità di prevenzione e contrasto delle discriminazioni di genere, razziali, basate sull’orientamento sessuale, politico o religioso ecc.; associazioni sportive con riferimento ai dati sanitari trattati; partiti e movimenti politici; sindacati; associazioni e movimenti a carattere religioso);
– il condominio ove tratti “categorie particolari di dati” (es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche ai sensi della L. n. 13/1989; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali).

Ad esempio, è probabile che una PMI tratti regolarmente i dati relativi ai propri dipendenti in maniera che non può essere considerata come non occasionale e, di conseguenza, anche titolari di questo tipo dovrebbero munirsi di registro ai sensi dell’art. 30 GDPR ed includere suddetta attività di trattamento all’interno del proprio registro.

Il registro delle attività, infatti, è un importante strumento di consapevolezza sulla base del quale titolari e responsabili possono strutturare tutti gli altri adempimenti richiesti dal GDPR; un pilastro sulla base del quale strutturare ogni adempimento richiesto dal Regolamento europeo.

In quest’ottica, un registro ben tenuto e ben integrato, può essere cruciale per tenere sotto controllo i flussi interni ed esterni all’azienda (mappatura), per valutare il rischio realizzato dalle attività di trattamento e dare atto della documentazione utile per dimostrare di aver adempiuto agli obblighi normativi (informative, acquisizione consensi, DPIA, etc..).

Pertanto, è opportuno strutturare ed integrare il registro delle attività di trattamento sulla base delle esigenze aziendali sviluppando un documento ad hoc sulla base dei trattamenti operati dal titolare o dal responsabile che va costantemente aggiornato, integrato ed implementato. Dovrebbe, quindi, essere riportata nel registro qualsiasi altra informazione che il titolare o il responsabile ritengano utile indicare (ad es. le modalità di raccolta del consenso, le eventuali valutazioni di impatto effettuate, l’indicazione di eventuali “referenti interni” individuati dal titolare in merito ad alcune tipologie di trattamento ecc.).

Per dimostrare l’adempimento degli altri obblighi imposti dalla Legge è, inoltre, opportuno adottare ulteriori modelli di registri, come quello relativo alle violazioni/data breach e quello per la formazione di dipendenti e collaboratori e degli strumenti ICT.

Si invita, per maggiori approfondimenti, a consultare il documento interpretativo del 19 aprile 2018 dell’ex Gruppo di Lavoro 29 (Ora Comitato europeo per la protezione dei dati) reperibile al seguente link: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045

Il GDPR definisce come violazione dei dati personali una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Nelle Linee Guida di riferimento la violazione di dati personali viene, pertanto, descritta come un tipo di incidente di sicurezza.

La gestione delle violazioni di dati personali rappresenta uno degli aspetti più delicati e complessi da gestire nell’ambito di ogni modello organizzativo per la protezione dei dati personali in quanto una violazione, se non affrontata in modo adeguato e tempestivo, può provocare danni fisici, materiali o immateriali alle persone fisiche che ne sono state coinvolte le quali possono, ad esempio, subire la perdita del controllo dei dati personali che li riguardano o una limitazione dei loro diritti o altri pregiudizi di tipo patrimoniale e non patrimoniale.

Tuttavia, non tutte le violazioni di dati personali o incidenti di sicurezza devono essere notificati all’autorità di controllo, ma l’organizzazione deve conservare la documentazione di tutte le violazioni, come spiegato all’articolo 33, paragrafo 5 GDPR.

L’esempio classico di violazione da non notificare è quella che riguarda dati personali già disponibili pubblicamente la cui divulgazione non costituirebbe un rischio probabile per la persona fisica.

Dopo avere documentato la violazione deve essere qualificata, come violazione della riservatezza” “violazione dell’integrità” “violazione della disponibilità” o come violazione mista quando i dati sono stati incisi su almeno due dei precedenti parametri. Successivamente, vanno individuati e valutati i rischi che possono discendere dalla violazione e valutato se è necessario procedere alla notifica al Garante e alla comunicazione agli interessati, oppure se la stessa può essere archiviata.

Anche in questo caso, il Regolamento obbliga l’organizzazione ad adottare un approccio basato sul rischio. Secondo l’art. 33 comma 2 GDPR, il titolare del trattamento notifica la violazione all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo. Quando, invece, la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo secondo quanto prevede l’art. 34 GDPR.

La DPIA è una particolare valutazione che deve essere effettuata quando i trattamenti realizzati da titolari e responsabili presentano un elevato rischio per i diritti e le libertà degli interessati e rappresenta, pertanto, un elemento essenziale ai fini del rispetto del GDPR qualora si preveda di svolgere o si svolga un trattamento a rischio elevato.

La DPIA è quindi una procedura che permette di realizzare e dimostrare la conformità con le norme sul rispetto della protezione dei dati personali; in altri termini, un imprescindibile strumento di accountability.

Indicativamente, se le attività di trattamento prevedono in particolare l’uso di nuove tecnologie e considerati la natura, l’oggetto, il contesto e le finalità del trattamento è probabile che il rischio per gli interessati sia elevato e dovrebbe essere condotta prima di procedere al trattamento.

Il GDPR fissa le caratteristiche basilari di una DPIA stabilendo che questa deve contenere una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, una valutazione della necessità e proporzionalità dei trattamenti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per o affrontare i rischi o dimostrare la conformità con il presente regolamento. Tuttavia, questo adempimento dovrebbe essere integrato con ogni altro elemento utile da parte del titolare e del responsabile che la effettuano.

Talvolta, è difficile stabilire se il trattamento presenta o meno un alto grado di rischio e, pertanto, questo aspetto dovrebbe essere valutato in sede di assessment tenendo conto anche di quanto stabilito dal Garante e dal Gruppo di Garanti Europei (European data protection board). Allo scopo, titolari e responsabili hanno il dovere di valutare se il trattamento presenta, in concreto, almeno due (ma talvolta anche solo uno) degli indici sintomatici di rischio elevato indicati dall’EDPB.

L’esecuzione della DPIA può essere un adempimento gravoso e complesso che può essere difficile realizzare senza l’aiuto di un consulente esperto o senza il parere di un DPO. Tuttavia, per aiutare titolari e responsabili nello svolgere questo adempimento il CNIL (l’Autorità Garante Francese) ha creato un software specifico messo a disposizione gratuitamente e reperibile al presente link: https://www.cnil.fr/en/open-source-pia-software-helps-carry-out-data-protection-impact-assesment del quale è presente anche una versione in italiano.

Da ultimo, è indispensabile osservare come lo svolgimento della DPIA sia un processo continuativo da aggiornare ed integrare periodicamente e non un’attività cartolare da effettuarsi una tantum.

Qualora il titolare non sia in grado di individuare misure sufficienti a ridurre il rischio a livelli accettabili ossia, qualora il rischio residuale continui a permanere elevato, si rende, infine, necessario consultare l’Autorità di controllo in sede di consultazione preventiva.

Il data protection officer (o responsabile per la protezione dei dati personali) è una figura cardine nel GDPR che svolge la funzione di garante ed alto consulente in materia di protezione di dati personali all’interno all’organizzazione aziendale del titolare o del responsabile del trattamento,

Ai sensi dell’art. 37 GDPR sono tenuti alla nomina del DPO titolari che siano un’autorità pubblica o un organismo pubblico, eccettuate le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Inoltre, sono obbligati a nominare il DPO titolari o il responsabili del trattamento con personalità giuridica di diritto privato laddove le attività principali di questi consistano in trattamenti che, per loro natura, ambito di applicazione piuttosto che per finalità, richiedano il monitoraggio regolare e sistematico degli interessati su larga scala o, ancora, se le loro attività principali consistano nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 GDPR oppure di dati relativi a condanne penali e a reati di cui all’articolo 10 GDPR.

In certe ipotesi, pur se non obbligatoria, la nomina del DPO può essere una scelta strategia fondamentale per dimostrare la compliance al Regolamento europeo e per instaurare prassi aziendali virtuose in materia di protezione e tutela dei dati personali.

Il DPO può essere dotato di diverse funzioni, fra cui quella di informare e fornire consulenza al titolare o al responsabile del trattamento nonché ai dipendenti di questi, sorvegliare sull’osservanza del GDPR, fornire consulenza in materia di protezione dei dati nonché sulle politiche del titolare o del responsabile del trattamento, sensibilizzare e formare il personale che partecipa ai trattamenti e alle connesse attività di controllo, fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento, cooperare con l’autorità di controllo e fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento.

Titolari o responsabili possono decidere se individuare il DPO all’interno della propria organizzazione aziendale oppure se nominare il DPO sulla base di un contratto di servizi.

In un caso e nell’altro il DPO non deve mai operare in conflitto di interessi con il soggetto che lo ha nominato il quale deve, al contempo garantire risorse a livello tempo, risorse ed energie, per assicurare l’effettività delle funzioni del data protection officer.

Il concetto di “accountability”, che può essere tradotto in italiano con quello di “responsabilizzazione” di titolari e di responsabili del trattamento, è un principio cardine che governa la protezione dei dati personali delle persone fisiche.

A livello pratico, il principio di responsabilizzazione comporta che il titolare o il responsabile del trattamento, oltre a realizzare gli adempimenti richiesti dal GDPR, siano anche in grado di dimostrare di avere adottato un processo complessivo di misure giuridiche, organizzative, tecniche, idonee a garantire adeguati livelli di protezione dei dati personali che trattano sotto la loro responsabilità.

In quest’ottica, è opportuno adottare specifici modelli organizzativi per essere nelle condizioni di provare, in modo positivo e proattivo, che i trattamenti di dati effettuati da titolari e responsabili siano sempre rispettosi del GDPR e dei suoi principi oltre che, della Legislazione nazionale, degli atti di soft law e delle migliori prassi di settore.

Ne consegue che titolari e responsabili, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, non solo hanno il dovere di mettere in atto misure tecniche e organizzative adeguate per garantire che il trattamento è effettuato conformemente al GDPR, ma devono essere altresì in grado di dimostrarlo.

Se il GDPR, da un lato lascia ampia autonomia organizzativa a titolari e responsabili in merito alla determinazione di misure tecniche ed organizzative per garantire adeguati livelli di protezione dei dati personali trattati; dall’altro, impone a questi un significativo obbligo di autovalutazione circa il rischio delle attività di trattamento operate nonché di documentazione delle scelte in materia di protezione di dati personali effettuate.

Il concetto di “accountability”, che può essere tradotto in italiano con quello di “responsabilizzazione” di titolari e di responsabili del trattamento, è un principio cardine che governa la protezione dei dati personali delle persone fisiche.

A livello pratico, il principio di responsabilizzazione comporta che il titolare o il responsabile del trattamento, oltre a realizzare gli adempimenti richiesti dal GDPR, siano anche in grado di dimostrare di avere adottato un processo complessivo di misure giuridiche, organizzative, tecniche, idonee a garantire adeguati livelli di protezione dei dati personali che trattano sotto la loro responsabilità.

In quest’ottica, è opportuno adottare specifici modelli organizzativi per essere nelle condizioni di provare, in modo positivo e proattivo, che i trattamenti di dati effettuati da titolari e responsabili siano sempre rispettosi del GDPR e dei suoi principi oltre che, della Legislazione nazionale, degli atti di soft law e delle migliori prassi di settore.

Ne consegue che titolari e responsabili, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, non solo hanno il dovere di mettere in atto misure tecniche e organizzative adeguate per garantire che il trattamento è effettuato conformemente al GDPR, ma devono essere altresì in grado di dimostrarlo.

Se il GDPR, da un lato lascia ampia autonomia organizzativa a titolari e responsabili in merito alla determinazione di misure tecniche ed organizzative per garantire adeguati livelli di protezione dei dati personali trattati; dall’altro, impone a questi un significativo obbligo di autovalutazione circa il rischio delle attività di trattamento operate nonché di documentazione delle scelte in materia di protezione di dati personali effettuate.

  1. Che rilevanza ha la sicurezza informatica all’interno del GDPR?

La compliance (o conformità di titolari e responsabili di trattamento) al GDPR si articola su tre pilastri fondamentali

  1. l’aspetto legale (riguardante prevalentemente le informative, l’acquisizione e la documentazione del consenso degli interessati ove questo fondi una base di legittimazione del trattamento nonché i contatti con responsabili del trattamento/processor e contitolari/joint controller)
  2. il profilo organizzativo (che riguarda buona parte degli adempimenti che gravano su titolari e responsabili del trattamento a partire dall’obbligo di valutare il rischio ai sensi dell’art. 24 GDPR fino alla nomina del DPO ai sensi dell’art. 37 GDPR)
  3. la sicurezza informatica che rappresenta l’altro pilastro fondamentale della protezione dei dati personali e che interessa tutti i titolari e responsabili che effettuano trattamenti di dati personali attraverso strumenti informatici (ICT).

Le misure di protezione del dato personale si possono, infatti distinguere in misure di organizzazione (quali l’individuazione di responsabilità aziendali, l’impostazione di una procedura per documentare e valutare le violazioni subite) ed in misure di sicurezza e tutte hanno uguale importanza nell’ottica di garantire adeguati livelli di protezione ai dati personali trattati.

Le misure di sicurezza, a loro volta, si possono suddividere in fisiche (come l’adozione di inferriate alle finestre, porte blindate, armadi chiusi a chiave) ed informatiche (come la presenza di dispositivi per il backup dei dati personali, un piano di disaster recovery in caso di incidente tecnico, la presenza di un firewall aziendale e di un sistema antivirus).

Se, da un lato, l’adozione di misure di sicurezza informatiche adeguate se non assicura il rispetto totale del GDPR; dall’altro, è imprescindibile operare per prevenire e gestire il rischio informatico al fine di garantire un completo e totale rispetto del Regolamento europeo.

In altri termini: l’adozione di misure di sicurezza informatica adeguate, per quanto imprescindibile, non è bastevole a rendere il titolare od il responsabile di trattamento compliant con il Regolamento europeo.

Sotto il profilo dell’adeguatezza delle misure di sicurezza da adottare occorre precisare come non sia più sufficiente fare il minimo imposto dalla Legge, in quanto queste devono essere adeguate e parametrate al rischio del trattamento al fine di evitare di incorrere nelle pesanti sanzioni previste dal Regolamento Europeo.

I minori sono considerati soggetti vulnerabili e, pertanto, devono formare oggetto di adeguata protezione in quanto essi possono essere meno consapevoli dei rischi e delle conseguenze che corrono in ragione del trattamento nonché dei loro diritti in relazione al trattamento dei dati personali.

L’interessato minorenne è infatti, almeno in teoria, meno in grado di autodeterminarsi rispetto ad un soggetto che ha raggiunto la maggiore età in relazione ai rischi che pone il trattamento realizzato dal titolare ed alle finalità da questi perseguite.

In quest’ottica, particolare attenzione deve essere prestata laddove i dati personali dei minori siano utilizzati a fini di marketing o per la creazione di profili di personalità o di utente piuttosto che per l’utilizzo di servizi forniti direttamente a un minore.

Se il trattamento si basa sul consenso dell’interessato dovrebbe essere il titolare della responsabilità genitoriale a prestarlo in vece del minore, ma il consenso del genitore non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore (offerta di servizi diretti al minore).

Ancora diverso è il profilo dei trattamenti dei dati dei minorenni nell’ambito dell’offerta di servizi della società dell’informazione per i quali la soglia non è di diciotto anni, ma inferiore.

Sul punto, il GDPR stabilisce che il consenso può essere prestato dal soggetto minorenne purché abbia un’età non inferiore ad anni 16 (sedici). Questa soglia è stata ulteriormente abbassata ad anni 14 (quattordici) dal novellato codice privacy a seguito del decreto di adeguamento della Legislazione nazionale al Regolamento Europeo nell’ottica favorire lo sviluppo dell’offerta di servizi della società dell’informazione.

Il GDPR impatta non solo il profilo relativo all’organizzazione aziendale, ma influisce significativamente anche sul trattamento dei dati personali operato in rete e sul web, dove segue certe declinazioni e particolari logiche di tutela e protezione del dato personale.

Con riferimento al trattamento dei dati personali sul web, l’Autorità Garante italiana si era già espressa, ma con l’entrata in vigore del Regolamento UE quanto precedentemente stabilito (per maggiori informazioni vedi: https://www.garanteprivacy.it/cookie) dovrebbe essere integralmente rivisitato alla luce dei nuovi principi stabiliti dal GDPR.

In primo luogo, si deve precisare come un sito web non solo tratti dati personali, ma è facile che raccolga numerose informazioni sugli utenti le quali possono essere trattate in forma anonima (si pensi ai dati di navigazione o statistici) oppure come dati personali laddove consentano di identificare l’utente. Possono essere dati personali, ad esempio l’indirizzo IP dell’utente od altri protocolli di comunicazione implementati dall’editore del sito.

Inoltre, è frequente che un sito tratti dati personali forniti volontariamente dall’Utente quali raccolti, ad esempio, nell’ambito di un contact form o di un blog od una sezione commenti.

In secondo luogo, nell’ambito della gestione della data protection di un sito web una particolare attenzione deve essere riservata al profilo relativo alla gestione dei cookie. Allo scopo è, quindi, indispensabile realizzare un’informativa sui cookie completa e dettagliata anche in forma breve che può essere fornita attraverso un banner nella landing page del sito.

Peraltro, è bene precisare come i cookie abbiano tutti natura diversa ed un diverso impatto sulla sfera personale dell’utente.

Un sito web può limitarsi ad utilizzare cookie tecnici o di sessione oppure installare cookie traccianti per specifiche finalità di profilazione e marketing dell’utente.

Oltre ai doveri di trasparenza ed informativi sarà, quindi, necessario garantire il diritto all’utente di selezionare liberamente quali cookie accettare e quali rifiutare liberamente senza vincolare e condizionare la sua scelta e di metterlo nelle condizioni di revocare liberamente il suo consenso.

Ne consegue come le caselle di selezione delle preferenze non dovrebbero mai essere prespuntate e l’utente dovrebbe essere nelle condizioni di revocare liberamente il proprio consenso ai cookie con la stessa facilità con la quale lo stesso è stato accordato.

FAQ ECOMMERCE

Il concetto di e-commerce, acronimo di electronic commerce, si può tradurre in italiano con l’espressione commercio elettronico e riguarda la vendita di beni, di servizi e anche di prestazioni di diversa natura.

Lungi dall’essere recente, il fenomeno pur essendo esploso negli ultimi anni, è piuttosto risalente nel tempo: già nella Comunicazione della Commissione Europea COM (97) 157 del 15 aprile 1997 si definisce, infatti, come commercio elettronico come lo svolgimento di attività commerciali per via elettronica.

Il concetto di e-commerce ricomprende, pertanto, attività disparate quali la commercializzazione di merci e servizi per via elettronica, la distribuzione online di contenuti digitali, l’effettuazione per via elettronica di operazioni quali trasferimenti di fondi, la compravendita di azioni, l’emissione di polizze di carico, le vendite all’asta, la progettazione e ingegneria in cooperazione, l’on line sourcing, la stipula di appalti pubblici per via elettronica e la vendita diretta al consumatore e servizi post-vendita (V. https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:1997:0157:FIN:IT:PDF).

Non si può parlare, pertanto, di e-commerce unitariamente ma bisogna sempre differenziare il fenomeno a seconda del contesto e dei destinatari dei beni e servizi offerti.

In primo luogo, si deve distinguere l’e-commerce fra diretto e indiretto.

Si intende per commercio elettronico diretto lo scambio di beni o servizi che avviene interamente online e che riguarda beni immateriali, digitali o digitalizzabili come, ad esempio, e-book, software o musica.

Il commercio elettronico indiretto, invece, si articola in uno scambio di beni o servizi attraverso uno scambio di volontà telematica che è seguita da atti di esecuzione (ossia lo scambio di beni e servizi) nel mondo analogico. L’esempio classico è quello della spedizione del bene all’indirizzo indicato dall’acquirente.

In secondo luogo, il commercio elettronico si differenzia anche a seconda dei destinatari a cui si rivolge. Ad esempio, se l’e-commerce si rivolge a imprenditori o professionisti si parlerà di e-commerce B2B (Business to Business), mentre se si rivolge a consumatori si tratterà di e-commerce B2C (Business to Consumer). Esiste, inoltre, anche una terza categoria di e-commerce C2C (Consumer 2 Consumer) dove privati si scambiano direttamente online beni e servizi, ad esempio, nell’ambito di compravendita di beni usati.

Sempre più imprenditori, anche PMI, scelgono di offrire i propri beni e servizi online secondo il modello dell’e-commerce.

Questo modello di business offre grandissime potenzialità di crescita economica e significative opportunità di abbattere molti costi che sono tipici delle modalità di distribuzione tradizionali, come quelli di magazzino ma non solo.

Inoltre, sempre più consumatori stanno vincendo la diffidenza verso questo modello di vendita e si fidano sempre di più degli acquisti effettuati online che offrono, molte volte, significativi vantaggi rispetto alle modalità di acquisto tradizionali in termini di risparmio di costi e di comodità in quanto il bene viene recapitato con comodità al domicilio del consumatore.

Il fenomeno del commercio elettronico è regolato da numerose norme di Legge. Pertanto, realizzare un e-commerce a norma di Legge richiede l’intervento specifico di un Professionista specializzato.

La fonte principale che regola l’e-commerce è individuata nel Decreto Legislativo 9 aprile 2003, n. 70 “Attuazione della direttiva 2000/31/CE relativa a taluni aspetti giuridici dei servizi della società dell’informazione nel mercato interno, con particolare riferimento al commercio elettronico”, ma questa è solo una fra le diverse fonti normative che bisogna rispettare.

In secondo luogo, se i beni o servizi sono rivolti a consumatori e persone fisiche è necessario anche garantire il rispetto del Codice del Consumo (D.Lgs. n. 206/2005) tenendo conto del fatto che, in questo caso, i contratti di e-commerce conclusi con il consumatore rientrano nei cosiddetti “contratti a distanza”.

Inoltre, se l’e-commerce si rivolge a persone fisiche, è necessario garantire il rispetto del GDPR (Reg. UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016): il Regolamento generale per la protezione dei dati personali. Garantire una protezione adeguata dei dati personali dei consumatori è particolarmente importante se l’e-commerce implementa sistemi di profilazione della clientela per aumentare le vendite.

Da ultimo, è necessario garantire il rispetto del Regolamento europeo sulle Online Dispute Resolution (ODR) – Regolamento (UE) N. 524/2013 del parlamento europeo del 21 maggio 2013 e la direttiva europea sulle Alternative Dispute Resolution (ADR) che disciplinano le procedure destinate a risolvere al di fuori delle autle di Tribunale le controversie tra imprese e consumatori originate dai contratti di beni e servizi stipulati online.

Il commerciante che vuole aprire il proprio e-commerce deve garantire il rispetto di numerosi diritti del consumatore che possono essere di natura informativa o formale oppure sostanziale.

Gli obblighi di fornire le informazioni generali obbligatorie, le informazioni dirette alla conclusione del contratto e ogni altro elemento relativa al bene o al servizio offerto hanno natura formale.

Hanno natura sostanziale, invece, il diritto di recesso, il diritto di consegna del bene acquistato, il diritto ad ottenere in caso di recesso o in cui si faccia valere una garanzia la sostituzione o il rimborso del bene e il diritto a proporre reclamo.

Inoltre, il commerciante deve assicurare al consumatore la possibilità di accedere a sistemi di ODR (Online Dispute Resolution) e di potere fare causa al Professionista nel luogo di residenza o di domicilio del consumatore.

Per garantire il rispetto di questi diritti, specialmente di quelli aventi natura sostanziale, è bene sviluppare periodici audit di valutazione dell’efficienza delle procedure adottate nell’ottica di monitorare e dimostrare la conformità di queste alle disposizioni di Legge.

Assicurare il rispetto di questi diritti consente non solo di rispettare la Legge ed evitare sanzioni e class action, ma anche di aumentare il margine competitivo verso i propri concorrenti.

Nessun e-commerce dovrebbe, quindi, essere aperto senza una conoscenza, almeno basilare del codice del consumo e delle altre fonti normative rilevanti.

Non è possibile, in genere, limitare a piacimento i diritti dei consumatori senza conseguenze, soprattutto nell’ottica di conseguire un maggiore profitto sacrificando il rispetto della legalità. Tuttavia, la Legge permette al ricorrere di certe ipotesi di escludere o limitare alcuni diritti.

Ad esempio, il commerciante può rifiutare il reso nel caso di fornitura di beni confezionati su misura o chiaramente personalizzati, di beni che rischiano di deteriorarsi o scadere rapidamente, di beni sigillati che non si prestano ad essere restituiti per motivi igienici o connessi alla protezione della salute e sono stati aperti dopo la consegna oppure di beni che, dopo la consegna, risultano, per loro natura, inscindibilmente mescolati con altri beni.

Non si può, per contro, limitare il diritto del consumatore a fare causa nel luogo dove ha residenza o domicilio o ad essere adeguatamente informato sul bene o servizio acquistato online.

Ogni volta in cui il commerciante decide di limitare i diritti dei consumatori è, pertanto, necessario che valuti attentamente le scelte per evitare di incorrere in una violazione di Legge.

Premesso che è sempre meglio tentare di evitare ogni contenzioso giudiziale in genere e col consumatore in particolare; per Legge, ogni controversia con il consumatore deve essere decisa nel Tribunale dove il consumatore ha la residenza o il domicilio.

Ogni patto in deroga a questa disposizione di Legge è, in genere, considerato nullo a meno che il consumatore non decida di indicare un Foro diverso. In quest’ultimo caso, tuttavia, il professionista ha l’onere di provare la diversa pattuizione.

Una controversia giudiziale è, tuttavia, spesso sconveniente anche per il Professionista in quanto lo espone a costi significativi e a probabili pregiudizi reputazionali  e possibile perdita di clienti.

La Legge, per favorire sistemi di composizione stragiudiziale della lite, impone al Professionista di pubblicare sui propri siti web un link elettronico ad una piattaforma ODR (Online Dispute Resolution), che è uno strumento concepito per agevolare la comunicazione fra il commerciante e il cliente e anche l’utente commerciale.

Un organismo di risoluzione delle controversie è, infatti, un’organizzazione o una persona imparziale che aiuta i consumatori e i commercianti a risolvere le controversie senza dover andare in Tribunale.

L’implementazione di questi sistemi avviene risponde, pertanto, anche ad uno specifico interesse del professionista che ha tutto l’interesse ad evitare contenziosi giudiziali e a evitare pregiudizi reputazionali.

Un e-commerce che opera in ambito B2B, dove i beni o servizi sono rivolti esclusivamente ad altri imprenditori o professionisti, non richiede di rispettare le norme del Codice del Consumo e nemmeno il GDPR.

Ugualmente, il commerciante potrà profilare con una certa libertà i propri clienti senza doversi preoccupare di garantire il rispetto della normativa nazionale ed europea sulla protezione dei dati personali che riguarda solamente le persone fisiche.

Si applicheranno, pertanto, solo le norme generali del codice civile, seppure con qualche particolarità. Ad esempio, non si avrà l’obbligo di assicurare alla controparte il recesso libero nel termine di 14 (quattordici) giorni, ma la disciplina di riferimento sarà comunque quella generale in materia di recesso, annullamento, nullità ed inefficacia del contratto.

In particolare, troveranno applicazione gli articoli 1341 e 1342 del Codice Civile relativi ai contratti per adesione. Quindi, le condizioni generali di contratto predisposte da uno dei contraenti sono efficaci nei confronti della controparte se al momento della conclusione del contratto questi le ha conosciute o avrebbe dovuto conoscerle. Ugualmente, se non sono specificamente approvate per iscritto, non hanno effetto le cosiddette clausole vessatorie.

Sono vessatorie, ad esempio, le condizioni che stabiliscono, a favore di colui che le ha predisposte, limitazioni di responsabilità, facoltà di recedere dal contratto o di sospenderne l’esecuzione, ovvero impongono a carico dell’altro contraente decadenze, limitazioni alla facoltà di opporre eccezioni, restrizioni alla libertà contrattuale nei rapporti coi terzi, tacita proroga o rinnovazione del contratto, clausole compromissorie o deroghe alla competenza dell’autorità giudiziaria.

Particolari problematiche pone, da ultimo, l’approvazione e la documentazione del consenso in ambito online, specie se nel contratto inserisco clausole vessatorie che necessitano, per essere efficaci, della doppia sottoscrizione della controparte.

Nel caso in cui l’e-commerce abbia natura mista e venda beni o servizi anche ai consumatori è necessario, tuttavia, applicare la disciplina protezionistica a tutela del consumatore che dovrebbe affiancarsi a quella B2B più favorevole al commerciante.

Sono ricompresi nell’ambito delle pratiche commerciali scorrette, tutti quei comportamenti che danneggiano il consumatore e sono  contrari alla diligenza professionale.

In particolare, questi comportamenti sono idoeni a falsare in misura apprezzabile il comportamento economico del consumatore medio inducendolo ad operare scelte di acquisto che il consumatore, se debitamente informato, non avrebbe operato.

Le pratiche commerciali scorrette possono concretizzarsi in codotte attive od omissive e possono essere realizzate in qualsiasi momento: antecedente, contestuale o posteriore alla produzione, vendita o fornitura di un prodotto ai consumatori.

Esempi concreti di pratiche commerciali scorrette consistono nel fornire al consumatore informazioni inesatte, imprecise o incomplete non solo riguardo al prodotto ma anche in relazione a prestazioni accessorie come, ad esempio, i tempi e i costi della consegna del bene.

È scorretta, altresì, la pratica consistente nel fornire al consumatore un numero a pagamento, quale unica modalità di contatto nella fase post vendita in quanto limitativa dei diritti del consumatore.

Per evitare di commettere pratiche necessarie scorrette è consigliabile operare un’analisi dei processi aziendali nell’ottica di individuare le criticità nei contratti e nelle prassi aziendali per evitare di incorrere in violazioni della legge e possibili class action e sanzioni.

L’Autorità Garante della Concorrenza e del Mercato è competente a comminare le sanzioni per la violazione delle norme a tutela dei consumatori.

In genere, il mancato rispetto delle normative in tema di e-commerce espone il titolare a sanzioni amministrative che possono ammontare fino a 10.000,00 Euro.

Nei casi più gravi, ad esempio qualora le informazioni o la documentazione fornite non siano veritiere, l’Autorità può applicare sanzioni amministrative più significative che variano da un minimo di 4.000 Euro fino anche a 40.000 Euro.

Nei casi più gravi, dove il contratto preveda clausole vessatorie in danno al consumatore, l’Autorità può imporre la pubblicazione del provvedimento che accerta la vessatorietà della clausola mediante pubblicazione su apposita sezione del sito internet istituzionale dell’Autorità, sul sito dell’operatore e mediante ogni altro mezzo ritenuto opportuno in relazione all’esigenza di informare compiutamente i consumatori a cura e spese dell’operatore.  In caso di inottemperanza alle disposizioni di cui al presente comma, l’Autorità applica una sanzione amministrativa pecuniaria da 5.000 euro a 50.000 euro.

Oltre ai profili amministrativi, il mancato rispetto delle norme a tutela del consumatore mi espone anche a class action che possono essere attivate da un singolo consumatore oppure da associazioni di categoria e che hanno ad oggetto l’accertamento della responsabilità e la condanna al risarcimento del danno e alle restituzioni in favore degli utenti consumatori e ogni consumatore è libero di aderire alle class action contro il Professionista.

Non rispettare le norme di legge espone il mio business, pertanto, a perdite economiche e di clienti, pregiudizi reputazionali nonché cause e contenziosi contro consumatori e Associazioni di categoria.

Un e-commerce che rispetta la Legge e assicura i diritti dei consumatori non dovrebbe essere sanzionato dall’Autorità Garante e dovrebbe essere al riparo da eventuali class action.

Nel caso di sanzione ingiusta, tuttavia, ci sono numerosi strumenti di tutela a favore del commerciante.

In primo luogo, i provvedimenti e le sanzioni dell’Autorità Garante si possono impugnare avanti il Tribunale Amministrativo Regionale secondo quanto stabilisce il Codice del Processo Amministrativo.

Il TAR può, nel caso in cui accolga la domanda proposta, escludere interamente l’applicazione della sanzione annullando il provvedimento oppure ridurne, in ogni caso, l’importo se questa risulta essere eccessiva.

Formulando apposita istanza cautelare è possibile, inoltre, ottenere la sospensione degli effetti della sanzione fino al provvedimento definitivo del Giudice.

Se, in genere, è difficile che un consumatore faccia causa ad un commerciante, c’è da prendere in considerazione seriamente il rischio che una violazione dei diritti dei consumatori possa dare origine ad una class action che può essere attivata da Associazioni di categoria oppure da uno o più consumatori.

Nel caso in cui il Professionista sia convenuto in una class action è opportuno costituirsi in giudizio per evitare di perdere la causa e scongiurare eventuali pregiudizi reputazionali. In questa sede è, infatti, possibile richiedere al Giudice l’ordinanza di inammissibilità dell’azione di classe se questa è manifestamente infondata.

Molti commercianti vendono i propri prodotti od offrono i propri servizi nei marketplace di spazi terzi, come ad esempio Amazon o Zalando, e molto spesso sono costretti ad accettare condizioni vessatorie ed inique.

Il nuovo Regolamento UE 1150/2019 accorda, tuttavia, una specifica protezione ai cosiddetti utenti commerciali, ossia il business che offre beni o servizi ai consumatori tramite servizi di intermediazione online.

Ad esempio, gli utenti commerciali hanno diritto ad avere termini e condizioni contrattuali redatti in un linguaggio semplice e facilmente reperibili che specifichino e declinino le condizioni vessatorie, compresa la facoltà per il cybermediary di limitare, sospendere o cessare la fornitura del servizio. La cessazione del servizio, in particolare, deve essere motivata e comunicata all’utente commerciale con un preavviso di almeno 30 giorni. Ugualmente, deve essere garantita la trasparenza in merito ai criteri di posizionamento indicandone con precisione i parametri.

Sotto il profilo sostanziale, inoltre, i fornitori di servizi di intermediazione online non possono imporre modifiche retroattive dei termini e delle condizioni, a meno che queste non siano imposte da un obbligo normativo o regolamentare o siano vantaggiose per gli utenti commerciali. I fornitori, inoltre, sono tenuti a garantire che i loro termini e le loro condizioni includano informazioni sulle condizioni alle quali gli utenti commerciali possono risolvere la relazione contrattuale con il fornitore di servizi di intermediazione online e devono inserire nei loro termini e nelle loro condizioni una descrizione relativa all’accesso tecnico e contrattuale.

Da ultimo, i marketplace sono tenuti ad integrare un sistema interno per la gestione dei reclami accessibile e gratuito per gli utenti commerciali oltre che a garantire agli utenti commerciali un accesso ai dati di natura sia personale che non personale.

FAQ DIRITTO AMMINISTRATIVO ED URBANISTICA ED EDILIZIA

La regolarità urbanistica non è mai scontata, specialmente nei contesti storici milanesi o nelle aree soggette a rigenerazione urbana. Firmare un preliminare di vendita senza una verifica preventiva significa esporsi a rischi patrimoniali gravissimi: la scoperta di abusi o difformità post-firma può impedire la stipula del definitivo, causare la perdita della caparra confirmatoria o esporre a future ordinanze di demolizione e responsabilità penali per la proprietà. Una Due Diligence legale e tecnica basata sul Testo Unico Edilizia è l’unico strumento per cristallizzare lo “stato legittimo” dell’immobile, garantendo che l’investimento sia solido e inattaccabile sin dal primo impegno contrattuale.

È un errore comune, e spesso fatale, ritenere che la conformità catastale coincida con quella urbanistica. In Italia, il Catasto ha una funzione prettamente fiscale e non è probatorio: una planimetria depositata non sana mai un abuso edilizio. Per avere la certezza della regolarità, è necessario verificare la Corrispondenza Urbanistica, ovvero il confronto tra lo stato di fatto dell’immobile e i titoli abilitativi depositati presso il Comune (Licenze, Permessi di Costruire, SCIA, varianti). Solo l’analisi del fascicolo dei progetti edilizi (l’ultimo titolo abilitativo e i precedenti storici) certifica la legittimità della proprietà. Come studio, operiamo per intercettare queste discrepanze tra “catastale” e “urbanistico” prima che diventino un ostacolo insormontabile alla compravendita o alla successiva rivendita.

L’art. 10-bis della Legge 241/90 rappresenta uno strumento difensivo estremamente potente. Ricevuto il preavviso di diniego, abbiamo 10 giorni di tempo per presentare memorie e osservazioni scritte volte a confutare i motivi ostativi sollevati dall’Amministrazione. Intervenire tempestivamente in questa fase procedimentale permette spesso di evitare il ricorso al TAR, risolvendo la controversia sul nascere attraverso una dialettica legale di alto profilo. Inoltre, l’Amministrazione ha l’obbligo di motivare analiticamente le ragioni per cui decide di non accogliere le nostre osservazioni: questo passaggio è fondamentale poiché, qualora si dovesse comunque giungere in tribunale, la posizione processuale del cliente risulterebbe enormemente rafforzata dalla prova di un’attività istruttoria carente o di una motivazione illogica da parte della PA.

ebbene l’ordine di demolizione sia configurato come un “atto dovuto” a fronte di un’accertata difformità, non sempre esso risulta legittimo o l’unica strada percorribile. La Pubblica amministrazione potrebbe, infatti, travisare i fatti o applicare malamente le disposizioni di Legge rilevanti.

La difesa del patrimonio immobiliare impone un’analisi tecnica e giuridica rigorosa basata su tre pilastri.

  • Le Tolleranze Costruttive (Art. 34-bis): È fondamentale verificare se lo scostamento rientri nei parametri di legge (entro il 2% delle misure progettuali). In questo caso, non siamo in presenza di un abuso, ma di una legittima tolleranza che non pregiudica lo stato legittimo dell’immobile.

  • La “Fiscalizzazione” dell’Abuso (Art. 34): Qualora la demolizione della parte difforme non possa avvenire senza pregiudicare la stabilità o l’integrità della porzione conforme dell’edificio, la legge permette di sostituire la demolizione con una sanzione pecuniaria. Questo trasforma un ordine distruttivo in un adempimento amministrativo, salvaguardando il valore dell’asset.

  • Accertamento di Conformità (Art. 36): Valutiamo sempre la percorribilità della cosiddetta “sanatoria giurisprudenziale” o della doppia conformità, per regolarizzare l’opera sotto il profilo urbanistico e annullare gli effetti del provvedimento sanzionatorio.

In sintesi, l’ordine di demolizione non è il punto di arrivo, ma il momento in cui la strategia legale e tecnica deve intervenire per proteggere la proprietà da interventi sproporzionati o illegittimi.

Nel quadro del nuovo Codice dei Contratti Pubblici (D. Lgs. 36/2023), vige il rito speciale abbreviato che impone una reattività immediata. È però fondamentale identificare con precisione il dies a quo per non agire tardivamente o incorrere in errori che possono provocare dei danni per centinaia di migliaia o anche milioni di Euro.

  • La decorrenza dei 30 giorni: Il termine per l’impugnazione decorre dal momento della comunicazione del provvedimento o, nel caso in cui sia necessario esaminare i documenti di gara per riscontrare il vizio, dall’ostensione degli atti. Grazie alle nuove piattaforme di approvvigionamento digitale (e-procurement), l’accesso agli atti dovrebbe essere immediato; tuttavia, la strategia legale deve essere pronta a scattare nel momento esatto in cui i documenti diventano ostensibili, poiché è in quel secondo che il termine di 30 giorni, rispetto ai 60 previsti per l’azione di annullamento ordinaria prevista dal Codice del Processo Amministrativo, inizia a correre inesorabilmente.

  • L’illusione dell’Autotutela: Un punto tecnico cruciale, che spesso induce in errore le imprese, è che l’istanza di autotutela non sospende né interrompe i termini per il ricorso al TAR. La Stazione Appaltante non è nemmeno tenuta a riscontrare l’eventuale istanza di autotutela. Pertanto, attendere un riscontro dalla PA mentre il termine decade significa rinunciare alla tutela giudiziale. La strategia corretta prevede l’invio dell’istanza di autotutela come leva di pressione, procedendo però parallelamente alla notifica del ricorso.

  • Tutela Cautelare e Risultato: Solo l’azione tempestiva entro i 30 giorni dall’ostensione degli atti permette di richiedere la sospensione dell’aggiudicazione. In ossequio al “Principio del Risultato” introdotto dalla riforma, la PA è oggi più propensa a correggere i propri errori in via amministrativa, ma solo se posta di fronte alla pendenza di un ricorso giudiziale solido e tempestivo.

Il soccorso istruttorio è il potere-dovere della Stazione Appaltante di consentire al concorrente di sanare carenze, omissioni o irregolarità della documentazione amministrativa presentata per la gara. Non è una semplice “cortesia” della PA, ma un obbligo volto a garantire la massima partecipazione, evitando che vizi puramente formali espellano offerte potenzialmente vantaggiose.

Cosa è sanabile: È possibile integrare o regolarizzare la documentazione necessaria alla partecipazione (es. certificazioni, dichiarazioni sui requisiti di ordine generale, cauzioni provvisorie o pagamenti del contributo ANAC). Si può intervenire anche per chiarire contenuti dell’offerta tecnica o economica, ma solo per chiarire quanto già espresso, mai per integrare o modificare l’offerta stessa.

Il limite invalicabile: Il soccorso istruttorio non può mai essere utilizzato per sanare carenze dell’offerta tecnica o economica. Non è ammesso alcun intervento che comporti una modifica sostanziale dell’offerta o che violi la par condicio tra i concorrenti. L’integrazione di un elemento essenziale dell’offerta presentato dopo la scadenza dei termini comporterebbe un’inammissibile “offerta postuma”.

L’importanza strategica: Sapere come e quando invocare il soccorso istruttorio — o, al contrario, sapere quando contestarne l’illegittima concessione a un concorrente — è determinante. Una gestione proattiva della fase di soccorso permette di neutralizzare esclusioni formali dolorose, proteggendo il lavoro svolto dall’impresa nella preparazione della gara.

L’inerzia della Pubblica Amministrazione non deve mai essere interpretata in modo univoco; essa assume significati legali opposti a seconda del procedimento, e gestirla correttamente è fondamentale per non trovarsi con un titolo edilizio “fantasma” un investimento bloccato o vedere pregiudicati i propri interessi legittimi da un’inerzia della pubblica amministrazione.

 Quando la PA ha l’obbligo di provvedere con un atto espresso e non lo fa (si pensi a un Permesso di Costruire in aree vincolate o a un’istanza di accesso agli atti), si configura un’inerzia illegittima conosciuta in gergo tecnico come Silenzio-Inadempimento. In questo caso, è possibile ricorrere al TAR per ottenere la condanna dell’Amministrazione a provvedere entro un termine perentorio, con l’eventuale nomina di un Commissario ad acta che si sostituisca al dirigente inadempiente.

Sì, la discrezionalità della Pubblica Amministrazione nella fissazione dei criteri di valutazione non è assoluta. Un criterio può essere censurato davanti al Giudice Amministrativo qualora risulti manifestamente illogico, irragionevole, sproporzionato o qualora violi il principio fondamentale della par condicio tra i partecipanti.

La strategia di impugnazione si articola su due binari distinti a seconda del momento in cui si manifesta la lesione. La clausola può, infatti, essere immediatamente escludente oppure il pregiudizio può derivare dalla graduatoria finale.

Nel caso di Clausole immediatamente escludenti), quando il bando contiene criteri che impediscono la partecipazione (ad esempio requisiti di ammissione troppo stringenti o irragionevoli), la lesione al diritto di partecipazione si è già verificata. Pertanto, è imperativo agire tempestivamente con un ricorso al TAR contro il bando stesso per evitare decadenze fatali, in quanto attendere la fine del concorso comporterebbe l’inammissibilità dell’impugnazione per acquiescenza.

Qualora il vizio non risieda nel bando ma nel modo in cui la Commissione ha applicato i criteri o valutato le prove, il ricorso va proposto contro la graduatoria finale. Una difesa legale deve evidenziare il difetto di motivazione o l’eccesso di potere emerso durante l’istruttoria selettiva e valutare anche eventuali difformità fra quanto deciso e il bando di gara (la cosiddetta lex specialis).