Autore: admpad

Quando nel 2020 l’art. 106 del Decreto Cura Italia ha consentito lo svolgimento delle assemblee a distanza delle società quotate mediante mezzi di telecomunicazione, anche in deroga alle previsioni statutarie, la misura aveva una giustificazione evidente: garantire continuità decisionale in un contesto emergenziale di impossibilità materiale di riunione.

Pochi, allora, avrebbero immaginato che quella disciplina avrebbe inciso in modo così profondo sulla cultura della governance delle società quotate.

Il voto elettronico, la partecipazione esclusivamente da remoto, l’utilizzo generalizzato del rappresentante designato non sono stati soltanto strumenti di gestione della crisi. Hanno rappresentato un esperimento su larga scala di digitalizzazione del momento assembleare — e, in fondo, del rapporto tra organo amministrativo e azionisti.

Le proroghe successive hanno trasformato l’eccezione in prassi. Oggi alcune di quelle disposizioni restano applicabili fino al 30 settembre 2026. Ma la vera questione non è la durata della proroga. È comprendere se il sistema intenda considerare l’assemblea digitale come un fenomeno contingente o come una componente strutturale dell’ordinamento societario.

Il ritorno alla disciplina ordinaria non è un ritorno al passato

L’intervento interpretativo della Massima n. 216/2025 del Consiglio Notarile di Milano si inserisce proprio in questo passaggio delicato.

Il messaggio che emerge non è di chiusura verso la tecnologia, ma di ricondizionamento della stessa entro l’alveo delle regole ordinarie. Nelle S.p.A. — e quindi nelle società quotate — la partecipazione mediante mezzi di telecomunicazione e, a maggior ragione, l’assemblea esclusivamente virtuale sono pienamente compatibili con l’ordinamento, purché trovino fondamento nello statuto.

Durante l’emergenza, la tecnologia ha potuto sostituire il luogo fisico per effetto di una deroga legislativa. Nel regime ordinario, invece, la scelta di eliminare la fisicità dell’assemblea delle società quotate diventa una scelta organizzativa consapevole, che incide sull’equilibrio tra efficienza e dialettica assembleare.

In altre parole: la digitalizzazione non è più un automatismo normativo, ma una decisione di governance.

Assemblea fisica, assemblea ibrida, assemblea virtuale: questione tecnica o scelta strategica?

Ridurre il tema a una questione operativa sarebbe un errore, considerato che le assemblee telematiche hanno inciso in maniera preponderante su:

• qualità del confronto assembleare

• attivismo degli investitori

• engagement dei soci

• gestione delle proxy 

• percezione di trasparenza da parte del mercato

con ciò diventando la modalità di svolgimento dell’assemblea parte integrante della corporate identity della società.

Spesso il dibattito si concentra sugli aspetti tecnici — identificazione dei partecipanti, sicurezza informatica, tracciabilità del voto. Tutti elementi essenziali, ma non centrali, quando il punto più profondo è un altro.

L’assemblea esclusivamente virtuale tende a razionalizzare il procedimento, a comprimere l’imprevedibilità del dibattito, a rendere più lineare la gestione degli interventi. È un modello efficiente, talvolta più inclusivo sotto il profilo geografico, certamente meno oneroso sul piano organizzativo.

Ma è anche un modello che modifica la percezione del momento assembleare, trasformandolo da evento fisico collettivo a processo digitale mediato da piattaforme.

Per alcune società quotate, questo ha significato un ampliamento della partecipazione, soprattutto da parte di investitori internazionali. Per altre, ha comportato una riduzione del confronto diretto e un aumento della proceduralizzazione.

Alla luce di quanto sopra, si potrebbe affermare che la tecnologia ha ridisegnato gli spazi del potere societario.

Il 2026 come momento di responsabilità

La scadenza delle proroghe non rappresenta soltanto un termine normativo, bensì un momento di responsabilità per le società.

Affidarsi alla disciplina transitoria significa rinviare una decisione. Intervenire sullo statuto, invece, significa assumere una posizione chiara sul modello assembleare che si intende adottare nel medio-lungo periodo.

La differenza è sostanziale.

Una clausola statutaria che consenta assemblee integralmente virtuali o modelli ibridi non è una previsione tecnica. È una dichiarazione di politica societaria: indica come la società concepisce il rapporto con i propri azionisti e quale equilibrio intende perseguire tra efficienza organizzativa e partecipazione effettiva.

Governance digitale come fattore competitivo

Nel mercato dei capitali contemporaneo, la qualità della governance è un elemento reputazionale.

In questo contesto, l’assemblea digitale può diventare uno strumento di engagement evoluto, capace di facilitare la partecipazione transnazionale e di rafforzare l’immagine di modernità della società.

Ma può anche essere percepita come una barriera, se non adeguatamente strutturata.

La differenza non risiede nella tecnologia in sé, bensì nella coerenza tra assetto statutario, infrastruttura tecnica e cultura di governance.

Una scelta che non può più essere rinviata

L’esperienza emergenziale ha dimostrato che l’assemblea a distanza è giuridicamente praticabile e operativamente efficiente.

Le società quotate che si limiteranno ad attendere la prossima proroga resteranno in una dimensione reattiva. Quelle che utilizzeranno questo periodo per ridefinire consapevolmente il proprio assetto assembleare trasformeranno una misura straordinaria in un elemento stabile della propria architettura di governance.

La domanda, dunque, non è più se sia possibile svolgere assemblee a distanza, ma quale idea di assemblea — e, in ultima analisi, quale idea di rapporto tra società e azionisti — si intenda adottare nei prossimi anni.

Per le imprese il momento per intervenire è ora: una governance digitale efficace richiede pianificazione giuridica preventiva. Ed è una decisione che, più che tecnica, è profondamente strategica.

I professionisti dello studio Princivalle Apruzzi Danielli sono a disposizione per assistere le società quotate in questo delicato momento transizionale, offrendo la propria assistenza e consulenza legale per valutare se e quando una modifica statutaria sia o meno necessaria.

La verifica dell’età online è diventata una priorità per le istituzioni europee che puntano a rafforzare la tutela dei minori nell’ecosistema digitale e l’Italia sarà in prima fila.

Questo delicato tema era già stato affrontato dallo studio Princivalle Apruzzi Danielli con focus sulla tutela della privacy dei minori rispetto all’avvento dell’intelligenza generativa, anche alla luce del D.L. Caivano n. 123 del 15.09.2023 per il contrasto al disagio giovanile, alla povertà educativa e alla criminalità minorile, nonché per la sicurezza dei minori in ambito digitale.

Si passa quindi da un contesto nazionale con il D.L. Caivano ad un contesto europeo, con la recentissima pubblicazione (14.07.2025) da parte della Commissione Europea delle nuove linee guida dedicate ai sistemi di age verification e al contestuale lancio di un’app sperimentale conforme ai principi dell’identità digitale europea.

Come si legge sul sito della Commissione Europea “il rilascio di questo piano avvia una fase pilota durante la quale una soluzione software per la verifica dell’età sarà testata e ulteriormente personalizzata in collaborazione con gli Stati membri, le piattaforme online e gli utenti finali.“

I primi Stati Membri che sperimenteranno la soluzione tecnica saranno Danimarca, Francia, Grecia, Italia e Spagna.

Perché la verifica dell’età digitale è necessaria

Le iniziative promosse di recente dalla Commissione Europea si collocano  in un quadro normativo più ampio, quello del Digital Services Act (DSA) (regolamento europeo finalizzato a promuovere un ambiente online più sicuro e responsabile) e del regolamento eIDAS 2.0, portando con sé importanti implicazioni per aziende, piattaforme digitali e professionisti.

Garantire che i minori non accedano a contenuti inappropriati è riconosciuto come aspetto critico ed è diventato infatti cruciale. I metodi attuali, come l’autodichiarazione o il caricamento di documenti, si sono rivelati inefficaci o troppo invasivi.

Secondo il Digital Services Act, le piattaforme online sono obbligate a implementare misure proporzionate per evitare che i minori accedano a determinati servizi digitali, tutelando nel contempo la loro privacy.

Le nuove linee guida della Commissione Europea

Le linee guida pubblicate dalla Commissione Europea definiscono standard minimi per i sistemi di verifica dell’età online, con un focus particolare su:

• privacy e protezione dei dati mediante  la raccolta dei dati nel rispetto del principio di data minimization e con l’obbiettivo di evitare profilazioni non necessarie;
• interoperabilità e standard comuni attraverso sistemi compatibili in tutta l’UE, anche grazie ad un’integrazione con il wallet di identità digitale europea (EUDI Wallet)
• inclusività e accessibilità grazie a metodi semplici e utilizzabili anche da soggetti fragili e ad un’esperienza utente semplificata

Queste linee guida, seppur non siano ancora vincolanti,  costituiscono un valido punto di riferimento per le imprese digitali in vista di future regolamentazioni.

L’app sperimentale dell’Unione Europea

La Commissione UE ha lanciato inoltre un progetto pilota con un’app per la verifica dell’età, sviluppata secondo i principi dell’eIDAS 2.0. che verrà inizialmente sperimentata in cinque Paesi Membri (tra cui l’Italia), per poi essere integrata nei portafogli digitali nazionali.

Ma come funziona l’app?

Vediamo insieme alcune delle sue caratteristiche principali:

• permette agli utenti di dimostrare l’età (es. “18+”) senza dover fornire altri dati;

• utilizza attestazioni crittografiche e standard EUDI;

• può essere integrata in siti web, piattaforme e servizi online.

Questo approccio, a detta della Commissione, consentirebbe senza dubbio un controllo dell’età sicuro e rispettoso della privacy, senza tuttavia che si proceda ad un’archiviazione dei dati da parte dei fornitori di servizi.

Nuove opportunità o ulteriori criticità?

Dal punto di vista legale, le nuove linee guida e l’app sperimentale rappresentano un passo avanti verso una regolazione più bilanciata dell’identità digitale e una soluzione tecnica ricercata da tempo.

Tra gli aspetti più innovativi, vi rientrano indubbiamente un allineamento con i principi del GDPR, una valorizzazione della privacy by design ed una centralità della responsabilità del fornitore di servizi in caso di mancato adeguamento.

Tuttavia, non si possono non evidenziare le criticità che queste linee guida portano con sé: trattandosi di “orientamenti” della Commissione Europea, non rappresentano un obbligo immediato per gli operatori del web poiché la loro adozione è su base volontaria né possono essere imposti a fornitori extra-Ue.  Inoltre, l’interoperabilità tecnica è ancora in una fase iniziale, tanto da rappresentare un possibile rischio di esclusione digitale qualora non venga progettata adeguatamente la sua usabilità da parte degli operatori del web.

È quindi consigliabile che le imprese adottino un approccio proattivo, analizzando le linee guida, rivedendo le procedure interne e coinvolgendo, ove necessario il proprio DPO nella valutazione delle soluzioni più adatte alla realtà aziendale.

Considerazioni finali

La verifica dell’età online è destinata a diventare un elemento centrale della compliance digitale in Europa.

Le aziende digitali, i professionisti del settore e i fornitori di contenuti online devono prepararsi a integrare strumenti conformi, rispettosi della privacy e capaci di garantire la protezione dei minori.

Con il recepimento della nuova Direttiva (UE) 2025/25  si assisterà ad una trasformazione digitale societaria all’interno dell’Unione Europea, il tutto entro il 31 luglio 2027.

Fino ad oggi, molte procedure sono eccessivamente burocratizzate e le differenze normative nazionali rendono difficile per le aziende operare liberamente nel mercato unico. Con l’entrata in vigore della Direttiva, i processi verranno semplificati, garantendo al pari sicurezza giuridica.

La situazione attuale: burocrazia, lungaggini e procedure differenti da Stato a Stato

Oggi se un imprenditore volesse aprire una società in uno Stato membro dell’UE, dovrebbe affrontare una serie di ostacoli burocratici che variano da Paese a Paese.

La costituzione di una società, ad esempio, richiede spesso la presenza fisica dei fondatori presso enti amministrativi, studi notarili o camere di commercio. Anche solo la registrazione di una succursale in un altro Stato membro può trasformarsi in un processo lungo e costoso, con l’obbligo di fornire documenti autenticati, tradotti e talvolta apostillati.

Le informazioni sulle società, inoltre, non sono facilmente accessibili a livello transfrontaliero. Sebbene esista un sistema di interconnessione dei registri delle imprese (BRIS), molte informazioni restano frammentate e non sempre affidabili. Questo crea problemi non solo per gli imprenditori che vogliono espandere la propria attività, ma anche per investitori e autorità che necessitano di dati aggiornati e affidabili.

Un altro grande ostacolo riguarda le operazioni tra Stati membri.

Le imprese sono costrette a presentare ripetutamente gli stessi documenti a diverse amministrazioni, aumentando costi e tempi. Inoltre, per chi desidera operare oltre i confini nazionali, le procedure di legalizzazione, traduzione certificata e ottenimento dell’apostille, rappresentano un onere e una lungaggine significativa.

Infine, la mancanza di regole armonizzate sui controlli delle informazioni societarie crea disparità e potenziali rischi di frodi. Attualmente, infatti, ogni Stato membro decide autonomamente come verificare l’identità dei fondatori e degli amministratori di una società, con il rischio che alcune giurisdizioni risultino più vulnerabili ad abusi e reati economici.

Cosa cambia con la nuova Direttiva?

Con la nuova normativa, il diritto societario europeo si allinea finalmente agli obiettivi della digitalizzazione e della semplificazione amministrativa: i costi per le imprese si riducono, aumenta la trasparenza e i controlli diventano più efficaci.

Costituzione e registrazione delle società: tutto online

👉 Ora: in molti Stati è richiesta la presenza fisica dei fondatori, con tempi di registrazione lunghi e differenziati.

✅ Dopo: le società potranno essere costituite, registrate e gestite interamente online in tutti gli Stati membri (considerando 2).

Grazie alla digitalizzazione, la registrazione sarà più veloce e potrà avvenire senza necessità di recarsi da un notaio o presso uffici pubblici, salvo nei casi in cui la legge nazionale richieda specifici controlli. Tutti i documenti potranno essere inviati e verificati digitalmente, riducendo drasticamente tempi e costi.

Certificato delle Società UE: un documento unico per operare in tutta l’Unione

👉 Ora: per provare l’esistenza di una società in un altro Stato membro sono necessarie visure camerali, traduzioni autenticate e apostillate.

✅ Dopo: con il Certificato delle Società UE, le imprese potranno dimostrare la loro esistenza legale con un unico documento elettronico valido in tutta l’Unione (considerando 24).

Questo certificato, disponibile in tutte le lingue ufficiali dell’UE, eliminerà la necessità di legalizzazione e traduzione dei documenti societari, rendendo più semplice l’apertura di filiali e la partecipazione a operazioni transfrontaliere.

Fine delle formalità onerose tra Stati membri

👉 Ora: ogni volta che un’impresa opera in un altro Stato membro, deve ripresentare gli stessi documenti, con procedure di autenticazione costose.

✅ Dopo: grazie al principio “una tantum”, le informazioni già disponibili in un registro delle imprese potranno essere riutilizzate senza necessità di nuova presentazione (considerando 12).

Inoltre, la procura digitale dell’UE, introdotta dalla Direttiva, permetterà alle aziende di delegare rappresentanti legali per operare in diversi Stati membri senza necessità di autenticazioni notarili o apostille (considerando 27).

Maggiore trasparenza e controlli più stringenti

👉 Ora: ogni Stato membro ha regole diverse sui controlli delle informazioni societarie, con rischi di frodi e registrazioni fittizie.

✅ Dopo: verranno introdotti controlli armonizzati e obbligatori per garantire l’affidabilità dei dati contenuti nei registri delle imprese (considerando 6).

La cooperazione rafforzata tra il registro delle imprese (BRIS), il registro dei titolari effettivi (BORIS) e il registro delle insolvenze (IRI) consentirà quindi controlli incrociati più efficaci nella lotta contro il riciclaggio e l’evasione fiscale (considerando 10).

Novità per le società di persone

Un aspetto innovativo della Direttiva riguarda le società di persone che finora sono state soggette a regole di trasparenza meno stringenti rispetto alle società di capitali.

Con la nuova Direttiva:

• tutti gli Stati membri dovranno pubblicare le stesse informazioni di base sulle società di persone, inclusi i nomi dei soci responsabili (considerando 15).
• Le informazioni sulle società di persone saranno accessibili attraverso il sistema BRIS, così come già avviene per le società di capitali.
• Le società di persone riceveranno un identificativo unico europeo (EUID) che permetterà di rintracciarle facilmente nei registri pubblici.

Protezione dei dati personali

La raccolta e la pubblicazione di un numero maggiore di informazioni societarie fanno sì che anche la protezione dei dati personali assuma un ruolo centrale nel processo di digitalizzazione.

Gli Stati membri e la Commissione dovranno garantire che il trattamento dei dati personali avvenga nel rispetto del Regolamento UE in materia di privacy, limitandone l’accesso e l’utilizzo alle finalità strettamente necessarie (considerando 38).

Considerazioni finali

La Direttiva (UE) 2025/25 rappresenta un passo decisivo verso un mercato unico più moderno e accessibile. Grazie alla digitalizzazione, alle nuove misure di trasparenza e ai controlli rafforzati, le imprese potranno operare con maggiore facilità, senza ulteriori ostacoli burocratici.

Allo stesso tempo, l’attenzione alla sicurezza dei dati e alla protezione della privacy garantirà che il nuovo sistema sia non solo più efficiente, ma anche più sicuro per tutti gli attori del mercato.

I professionisti del nostro Studio legale sono pronti ad assistere le società passo per passo nel processo di digitalizzazione ed innovazione che l’entrata in vigore della Direttiva (UE) 2025/25 comporterà.

Il 17 dicembre è il termine ultimo per adeguarsi alla normativa, e dato che qualche mese fa avevamo introdotto il tema whistleblowing focalizzando l’attenzione sui necessari adempimenti in materia di protezione dei dati, ripercorriamo brevemente insieme i punti salienti del D.lgs. n. 24/2023 (“Decreto“),  anche alla luce dei recenti contributi di ANAC  e Confindustria in tale ambito.

Ambito di applicazione soggettivo

I soggetti destinatari della normativa whistleblowing sono quelli elencati agli artt. 2 e 3 del Decreto. Per il settore pubblico si annoverano le amministrazioni pubbliche, le autorità amministrative indipendenti, gli enti pubblici economici, i concessionari di pubblico servizio, le imprese a controllo pubblico e le imprese in house, anche se quotate. Per il settore privato invece, come già accennato nel precedente articolo, rientrano le aziende che:

• hanno impiegato in media nell’ultimo anno, almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• si occupano di specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• le imprese che adottano il modello di organizzazione e gestione previsto al D.lgs.231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato.

In merito al computo della media annua dei lavoratori impiegati nel settore privato, le linee guida ANAC (“LG ANAC“) hanno precisato che bisognerà fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si farà riferimento all’anno 2023. Confindustria, tuttavia, ha ribadito in più occasioni (da ultimo anche nel manuale operativo) che la norma di riferimento per il computo dei lavoratori è l’art. 27 D.lgs. 81/2015 secondo il quale “ è necessario tenere conto del numero medio mensile di lavoratori a tempo determinato, compresi i dirigenti, impiegati negli ultimi due anni, sulla base dell’effettiva durata dei loro rapporti di lavoro“, adeguando in questo caso la durata da due anni, come prevede la norma citata, a un anno come invece prescritto dall’art. 2 comma 1, lett. q) n.1) del Decreto.

Ambito di applicazione oggettivo

Ai sensi dell’art. 1 del Decreto, oggetto di segnalazione sono tutte le violazioni di disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i soggetti segnalanti siano venuti a conoscenza in un contesto lavorativo pubblico o privato. Per maggiori dettagli sulle diverse tipologie di violazione si rimanda all’elencazione presente nelle LG ANAC.

Sono escluse dall’ambito di applicazione della normativa le segnalazioni:

• aventi ad oggetto le contestazioni a carattere personale del segnalante (quali ad esempio conflitti inerenti il rapporto di lavoro individuale, possibili discriminazioni, conflitti interpersonali tra colleghi o superiori ecc.);
• in materia di sicurezza e difesa nazionale;
• aventi ad oggetto violazioni già regolamentate  in via obbligatoria in alcuni settori speciali (servizi finanziari, prevenzione, riciclaggio, terrorismo, sicurezza nei trasporti, tutela dell’ambiente. Si rimanda alle LG ANAC sul punto.

Resta ferma la normativa in materia di informazioni classificate,  segreto medico e forense, segretezza delle deliberazioni degli organi giurisdizionali (art. 1, comma 3 del Decreto) e quella relativa alle norme di procedura penale sull’obbligo di segretezza delle indagini, disposizioni sull’autonomia e indipendenza della magistratura, difesa della nazione e di ordine e sicurezza pubblica, nonché di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati (art. 1, comma 4 del Decreto).

La segnalazione

Oggetto di segnalazione sono tutte quelle informazioni inerenti a fatti, atti o omissioni commessi o ancora da commettere cui il soggetto segnalante (whistleblower) viene a conoscenza nel contesto di lavoro, sia esso pubblico o privato. L’accezione “contesto di lavoro”  non deve essere però interpretata in senso restrittivo. La stessa normativa estende la tutela dei soggetti segnalanti anche ai seguenti soggetti:

• collaboratori, liberi professionisti, consulenti, tirocinanti
• azionisti (sul punto le LG ANAC chiariscono che rientrano in questa categoria “coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella impresa”)
• persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Il rapporto di lavoro può essere già terminato al momento della segnalazione, non essere ancora iniziato (come ad esempio nella fase preselettiva di nuovo personale) oppure trovarsi nel cosiddetto “periodo di prova”.

Circa il suo contenuto, il manuale operativo di Confindustria precisa che le informazioni contenute nella segnalazione devono essere il più possibile dettagliate. Dovranno quindi contenere le generalità del segnalante, le circostanze di tempo e luogo in cui si è verificato il fatto e ogni altra informazione utile ad individuare il soggetto che ha commesso l’illecito. Più circostanziate sono le informazioni, più è alta la probabilità di superare il vaglio di ammissibilità per la presa in carico e successiva lavorazione della segnalazione da parte del gestore.

Tipologie di segnalazioni

La normativa whistleblowing disciplina tre diversi canali di segnalazione:

• un canale di segnalazione intern0 all’ente pubblico o privato;
• un canale di segnalazione esterno alla struttura pubblica o privata e gestito dall’ANAC nei casi soli casi previsti dalla normativa;
• la divulgazione pubblica.

Resta ferma la competenza dell’autorità giudiziaria in tutte le ipotesi in cui è richiesto o è possibile adire al suo intervento.

Il Decreto non prevede espressamente una priorità di utilizzo “tassativa” dei diversi canali di segnalazione. Tuttavia, le LG ANAC precisano che il canale di segnalazione interna deve essere quello da prediligere, ove presente. Infine, le LG specificano quali siano i presupposti per l’attivazione del canale di segnalazione esterna (residuale) e le condizioni necessarie per l’utilizzo della divulgazione pubblica.

Le sanzioni

Il regime sanzionatorio contemplato dal Decreto, già affrontato nel precedente scritto in materia di whistleblowing, prevede sanzioni da 10.000 a 50.000 euro, al verificarsi delle seguenti ipotesi:

• mancata istituzione dei canali di segnalazione;
• mancata adozione delle procedure per effettuare e gestire le segnalazioni;
• adozione di procedure non conformi a quelle fissate dal Decreto;
• mancato svolgimento dell’attività di verifica e dell’analisi delle segnalazioni ricevute;
• comportamenti ritorsivi;
• ostacoli alla segnalazione o tentativi di ostacolarla;
• violazione dell’obbligo di riservatezza circa l’identità del segnalante (si veda nostro articolo “GDPR e la nuova normativa Whistleblowing“).

Brevi cenni conclusivi

Con questo breve scritto, lo Studio Legale Princivalle Apruzzi Danielli ha voluto solo anticipare a grandi linee la normativa whistleblowing, con l’obbiettivo di approfondire ulteriori tematiche inerenti o anche solo connesse con tale materia, grazie alla pubblicazione di periodici contributi sul tema.

Stay tuned!

Oramai non si fa altro che parlare di intelligenza artificiale e di come un utilizzo consapevole di tale strumento possa migliorare e far progredire la nostra società, completamente proiettata verso un futuro sempre più digitalizzato.

Di recente gli esperti del settore hanno iniziato ad interrogarsi su come l’intelligenza artificiale debba essere disciplinata rispetto alla normativa privacy e alla tutela dei dati personali che inevitabilmente vengono trattati durante il suo utilizzo, soprattutto quando l’uso delle applicazioni ad essa connessa venga sfruttata da soggetti minori che non avrebbero la capacità giuridica (o limitata capacità) di farne uso in base alla legge nazionale e a quella europea.

Vediamo il perché.

Il contesto normativo

Quando si parla di minori è necessario partire dalla definizione contenuta nell’art. 2 del codice civile relativa alla cosiddetta capacità di agire, ovvero l’idoneità di un soggetto di porre in essere atti negoziali che producono effetti nella propria sfera giuridica e che si acquista con la maggiore età; il minore con età compresa tra 14 e 18 anni ha una capacità giuridica attenuata, mentre il minore di 14 anni non ha alcuna capacità giuridica.

In materia di data protection, la prima parte del Considerando (38) del Regolamento europeo 2016/679 (GDPR) precisa che “i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali.”

L’art. 8 GDPR contiene, infatti, specifici requisiti relativi al consenso dei minori rispetto al trattamento dei loro dati personali. Senza parlare di vera e propria capacità di agire, il Regolamento ha previsto che, nel caso in cui vi sia un’offerta diretta di servizi della società dell’informazione a soggetti minori, il trattamento dei dati è lecito, previo loro consenso, se questi hanno almeno 16 anni. In caso contrario sarà necessario che il consenso venga prestato o autorizzato dal titolare la responsabilità genitoriale (comma 1).

Allo stato attuale, come è facilmente intuibile, non è previsto un metodo univoco per verificare il consenso del minore, senza rischiare, da un lato, di introdurre sistemi di verifica eccessivamente burocratici, dall’altro, viceversa, aumentando il rischio di falsificazioni da parte dei minori stessi.

L’intervento dell’autorità di controllo italiana

Ed è proprio in un contesto come questo, di continua ascesa dell’era digitale, che il Garante della privacy ha concentrato maggiormente i suoi interventi. Nel 2022 l’Autorità di controllo italiana ha infatti emesso più di 400 provvedimenti collegiali, anche in considerazione del fatto che il  sistema socio-economico italiano è sempre più fondato sul trattamento dei dati personali e come tale necessita di essere adeguatamente guidato, istruito e alle volte addirittura sanzionato.

Da ciò deriva una maggiore attenzione da parte del Garante, anche e soprattutto, per la tutela dei minori che entrano a contatto con le grandi piattaforme, con le applicazioni che utilizzano l’intelligenza artificiale generativa, come ad esempio ChatGPT  (la famosa chatbot creata dalla società statunitense OpenAI), con il metaverso e le relative problematiche connesse allo sviluppo degli algoritmi.

Intelligenza artificiale e tutela dei minori: parla il Garante

Particolarmente significativi sono stati gli interventi del Garante sugli applicativi che utilizzano l’intelligenza artificiale: il più noto (provvedimento n. 112 del 30.03.2023) che ha portato alla sospensione provvisoria di ChatGPT di proprietà della software house americana Open AI, ha però permesso di indirizzarne lo sviluppo in una direzione più compatibile con la tutela dei diritti fondamentali delle persone, specialmente se minori.

Con il provvedimento cautelare d’urgenza, il Garante privacy ha evidenziato, per quanto qui di interesse, che:

• il servizio di ChatGPT (secondo quanto indicato dagli stessi termini di servizio pubblicati sul sito della società sviluppatrice) è riservato esclusivamente alle persone che abbiano compiuto almeno 13 anni, ma manca qualunque sistema che permetta al titolare del trattamento di verificare l’effettiva età degli utenti;
• l’assenza di tali strumenti di verifica dell’età effettiva degli utenti espone i soggetti minori di anni 13 al rischio di ricevere risposte dall’intelligenza artificiale dell’applicazione che siano del tutto inidonee rispetto al grado di sviluppo e alla autoconsapevolezza di detti soggetti.

Di risposta, OpenAI si è dimostrata da subito sensibile al rispetto della normativa in materia di data protection, anche rispetto a quella garantita ai soggetti minori. Nei mesi a seguire ha infatti implementato il sistema di verifica dell’età dell’utente al momento di accesso alla piattaforma online di ChatGPT sino ad introdurre un vero e proprio sistema di age verification.

All’atto della registrazione dell’utente, la piattaforma ha quindi inserito la richiesta della data di nascita prevedendo un blocco alla registrazione per gli utenti minori di 13 anni e prevedendo, in caso di utenti maggiori di tredici anni, ma sempre minorenni, che debbano confermare di avere il consenso dei genitori all’uso del servizio.

Considerazioni finali

Recentemente, il Governo ha emanato il D.L. Caivano n. 123 del 15.09.2023 recante “Misure urgenti di contrasto al disagio giovanile, alla povertà educativa e alla criminalità minorile, nonché per la sicurezza dei minori in ambito digitale”, introducendo una serie di norme in materia di parental control (artt. da 13 a 15 del decreto legge).

In particolare, il controllo parentale prevede la possibilità di limitare e controllare, da parte dei genitori o di coloro che esercitano la responsabilità genitoriale, l’accesso ai contenuti e/o alla rete da parte dei minori, mediante la scelta degli spazi digitali e dei tempi di utilizzo.

L’intento del legislatore, di pari passo con l’autorità garante della privacy, sembrerebbe proprio quello di costruire un articolato sistema di protezione che tenga in seria considerazione anche  le categorie deboli di soggetti, come i minori, che potrebbero essere più facilmente colpite dal mondo digitale se non adeguatamente tutelate.