Autore: Andrea Marton

In breve: quando l’amministratore di S.r.l. risponde davvero

L’amministratore di una S.r.l. risponde dei danni quando viola i doveri imposti dalla legge o dall’atto costitutivo e da questa violazione deriva un pregiudizio. La norma chiave è l’art. 2476 del codice civile, che disciplina quattro diversi tipi di responsabilità: verso la società, verso i creditori sociali, verso il singolo socio o il terzo direttamente danneggiati, e infine la responsabilità solidale dei soci che hanno deciso o autorizzato atti dannosi.

I punti pratici da ricordare subito sono questi:

• Verso la società: l’azione di responsabilità può essere promossa da ciascun socio, anche da chi possiede una quota minima, e nel caso più grave si può chiedere la revoca cautelare dell’amministratore per gravi irregolarità.
• Verso i creditori: dal 2019 i creditori sociali possono agire quando il patrimonio risulta insufficiente a soddisfarli (art. 2476, comma 6).
• Non protegge dalla responsabilità il semplice fatto di essere un amministratore senza deleghe, ma neppure la responsabilità è automatica: vale la cosiddetta business judgment rule, cioè l’insindacabilità nel merito delle scelte gestionali ragionevoli.
• La prescrizione è tendenzialmente di cinque anni (art. 2949 c.c.).

Di seguito analizziamo ogni profilo in modo operativo, con i riferimenti normativi aggiornati e alcuni casi pratici a nomi di fantasia.

I doveri dell’amministratore: diligenza, gestione e assetti adeguati

Prima di parlare di responsabilità bisogna capire quali doveri gravano sull’amministratore, perchè la responsabilità nasce sempre dalla loro violazione.

Il dovere di diligenza e di corretta amministrazione

L’amministratore deve gestire la società con la diligenza richiesta dalla natura dell’incarico e dalle sue competenze specifiche. Non basta la diligenza del buon padre di famiglia: chi accetta la carica assume un obbligo professionale, e risponde se agisce con superficialità, se omette i controlli dovuti o se compie operazioni manifestamente imprudenti.

Il dovere di istituire assetti organizzativi adeguati (art. 2475 e 2086 c.c.)

Con la riforma introdotta dal codice della crisi d’impresa e dell’insolvenza (d.lgs. 14/2019), l’art. 2475 c.c. è stato modificato per stabilire che l’istituzione degli assetti previsti dall’art. 2086, secondo comma, c.c. spetta esclusivamente agli amministratori. In concreto, l’amministratore deve dotare l’impresa di assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’attività, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale.

Questo dovere è diventato un terreno fertile per le azioni di responsabilità: se l’amministratore non si è dotato di strumenti minimi per accorgersi in tempo della crisi (per esempio un controllo di gestione e un monitoraggio della liquidità), il ritardo nelle decisioni può generare un danno risarcibile.

La business judgment rule: le scelte gestionali non si giudicano col senno di poi

Un principio fondamentale, di matrice giurisprudenziale, è la business judgment rule: il giudice non può sindacare il merito delle scelte imprenditoriali, ossia se una decisione gestionale sia stata conveniente o vantaggiosa. L’amministratore non risponde perchè un investimento è andato male, ma risponde se la decisione è stata assunta senza le cautele, le verifiche e le informazioni che la diligenza imponeva. In altre parole, il sindacato del giudice si sposta dal cosa (il merito della scelta) al come (il procedimento decisionale e la sua ragionevolezza).

Responsabilità verso la società (art. 2476, commi 1-3 c.c.)

E’ il nucleo storico della norma. Gli amministratori sono solidalmente responsabili verso la società dei danni derivanti dall’inosservanza dei doveri imposti dalla legge e dall’atto costitutivo (art. 2476, comma 1, c.c.).

Chi può agire: anche il singolo socio

A differenza della S.p.A., nella S.r.l. l’azione sociale di responsabilità può essere promossa da ciascun socio, indipendentemente dalla percentuale di capitale posseduta (art. 2476, comma 3, c.c.). E’ una tutela molto forte per le minoranze: anche il titolare dell’1% può citare in giudizio l’amministratore per i danni causati alla società. Va precisato che l’azione è esercitata nell’interesse della società: il risarcimento, se ottenuto, entra nel patrimonio sociale, non in quello del socio che ha agito.

La revoca cautelare per gravi irregolarità

Nel medesimo giudizio il socio può chiedere, in via cautelare, la revoca dell’amministratore in caso di gravi irregolarità nella gestione (art. 2476, comma 3, c.c.). E’ uno strumento d’urgenza: consente di rimuovere immediatamente l’amministratore che sta arrecando danno, senza attendere l’esito del giudizio di merito. In caso di accoglimento, la società rimborsa agli attori le spese di giudizio.

L’esonero da responsabilità

La responsabilità non si estende all’amministratore che dimostri di essere esente da colpa e, essendo a conoscenza dell’atto dannoso in fase di compimento, abbia fatto constare il proprio dissenso. E’ la ragione per cui, nei consigli di amministrazione, mettere a verbale il dissenso è una cautela essenziale per chi non condivide una decisione.

Responsabilità verso i creditori sociali (art. 2476, comma 6 c.c.)

Questa è una delle novità più rilevanti degli ultimi anni. Il comma 6 dell’art. 2476 c.c., introdotto dal codice della crisi (d.lgs. 14/2019), stabilisce che gli amministratori rispondono verso i creditori sociali per l’inosservanza degli obblighi inerenti alla conservazione dell’integrità del patrimonio sociale.

Prima della riforma, nella S.r.l. mancava una norma espressa equivalente a quella prevista per le S.p.A. (art. 2394 c.c.) e si discuteva se i creditori potessero agire direttamente; oggi la base normativa è esplicita.

Quando i creditori possono agire

L’azione può essere proposta dai creditori quando il patrimonio sociale risulta insufficiente al soddisfacimento dei loro crediti. Il presupposto, quindi, non è la semplice cattiva gestione, ma il fatto che le condotte degli amministratori abbiano eroso il patrimonio al punto da pregiudicare la garanzia generica dei creditori (l’art. 2740 c.c. prevede che il debitore risponde con tutti i suoi beni).

Tipicamente vengono in rilievo: la prosecuzione dell’attività nonostante la perdita del capitale, distrazioni di risorse, pagamenti preferenziali a danno della massa, mancata adozione di misure conservative.

Responsabilità verso il singolo socio o il terzo (art. 2476, comma 7 c.c.)

Il comma 7 tutela chi subisce un danno diretto. Le disposizioni precedenti, dice la norma, non pregiudicano il diritto al risarcimento spettante al singolo socio o al terzo che siano stati direttamente danneggiati da atti dolosi o colposi degli amministratori.

La parola chiave è direttamente. Non rientra in questa ipotesi il danno che il socio subisce di riflesso per effetto del depauperamento della società (per quello c’è l’azione sociale del comma 3); qui si parla di un pregiudizio che colpisce in modo immediato e autonomo il patrimonio del socio o del terzo. Esempi classici: il terzo indotto a contrarre con la società sulla base di un bilancio falso, oppure il socio danneggiato da una comunicazione mendace dell’amministratore. La natura di questa responsabilità è di tipo extracontrattuale.

Amministratore di fatto e soci che decidono atti dannosi (art. 2476, comma 8 c.c.)

Il comma 8 estende la responsabilità oltre l’amministratore formalmente nominato. Sono solidalmente responsabili con gli amministratori i soci che hanno intenzionalmente deciso o autorizzato il compimento di atti dannosi per la società, i soci o i terzi.

E’ una previsione tipica della S.r.l., dove è frequente che i soci esercitino un’influenza diretta sulla gestione. Chi, pur non essendo amministratore, dirige di fatto le scelte gestionali o autorizza operazioni dannose non può nascondersi dietro la mancanza di una carica formale.

L’amministratore di fatto

A questo si collega la figura dell’amministratore di fatto: chi gestisce concretamente la società, in modo continuativo e significativo, pur senza una nomina valida, risponde come un amministratore di diritto. Ciò vale, per esempio, per il socio dominante che prende tutte le decisioni rilevanti tramite un prestanome. La giurisprudenza richiede che l’ingerenza sia sistematica e non occasionale; trattandosi di un orientamento consolidato di matrice giurisprudenziale, lo riportiamo in termini qualitativi.

La gestione della crisi e la quantificazione del danno (art. 2486 c.c.)

Un capitolo decisivo riguarda ciò che accade dopo il verificarsi di una causa di scioglimento (per esempio la riduzione del capitale al di sotto del minimo legale per perdite).

La gestione conservativa

L’art. 2486 c.c. impone agli amministratori, al verificarsi di una causa di scioglimento, di gestire la società ai soli fini della conservazione dell’integrità e del valore del patrimonio sociale. In pratica, scatta il divieto di assumere nuovo rischio d’impresa: l’amministratore che prosegue l’attività come se nulla fosse, aggravando il dissesto, risponde dei danni.

Il criterio di quantificazione del danno

Sempre il codice della crisi (d.lgs. 14/2019) ha aggiunto all’art. 2486 c.c. un comma 3 che codifica i criteri presuntivi per quantificare il danno, risolvendo un annoso contenzioso. In sintesi:

• Criterio dei netti patrimoniali: quando è accertata la responsabilità degli amministratori, il danno si presume pari alla differenza tra il patrimonio netto alla data del verificarsi della causa di scioglimento (o della cessazione dalla carica) e il patrimonio netto alla data in cui è stata aperta la procedura, detratti i costi sostenuti e da sostenere nel rispetto della gestione conservativa.
• Criterio del deficit fallimentare: se è stata aperta una procedura concorsuale e mancano le scritture contabili o queste sono così irregolari da non consentire la ricostruzione, il danno è liquidato in misura pari alla differenza tra attivo e passivo accertati nella procedura.

Si tratta di presunzioni relative: l’amministratore può fornire la prova che il danno effettivo è stato diverso (minore) rispetto a quello presunto.

L’azione del curatore nella liquidazione giudiziale

Quando la società è sottoposta a liquidazione giudiziale (la procedura che ha sostituito il fallimento con il codice della crisi), le azioni di responsabilità verso gli amministratori sono esercitate dal curatore. Il curatore può cumulare i diversi titoli (azione sociale e azione dei creditori) per recuperare risorse a beneficio della massa. E’ una delle vie attraverso cui, nella pratica, l’amministratore di una S.r.l. fallita viene chiamato a rispondere col proprio patrimonio personale.

Prescrizione, assicurazione D&O e manleva

Prescrizione: cinque anni

L’azione di responsabilità verso gli amministratori è soggetta alla prescrizione quinquennale prevista dall’art. 2949 c.c. per i diritti derivanti dai rapporti sociali. Il momento da cui decorre il termine varia a seconda del tipo di azione e dell’individuazione del danno; per l’azione dei creditori, in particolare, il dies a quo si collega di norma al momento in cui l’insufficienza patrimoniale diventa oggettivamente conoscibile. Trattandosi di profili che la giurisprudenza ha modulato caso per caso, li indichiamo in termini qualitativi.

Assicurazione D&O

Le polizze D&O (Directors and Officers) coprono il rischio patrimoniale dell’amministratore per gli atti compiuti nell’esercizio della carica. Sono uno strumento sempre più diffuso anche nelle S.r.l. di medie dimensioni. Attenzione però alle esclusioni tipiche: i comportamenti dolosi e gli illeciti penali in genere non sono coperti, ed è fondamentale verificare la clausola sul periodo di copertura (regime claims made, cioè a richiesta avanzata durante la vigenza della polizza).

Manleva e rinuncia all’azione

La società può rinunciare o transigere l’azione di responsabilità, ma con le cautele previste dalla legge. Va inoltre ricordato che una manleva concessa dalla società all’amministratore non è opponibile ai creditori nè ai terzi: questi conservano le proprie azioni autonome (commi 6 e 7) a prescindere dagli accordi interni.

Casi pratici (nomi di fantasia)

Caso 1 – Il socio di minoranza che agisce

Nella “Lambda S.r.l.”, l’amministratore unico Bianchi vende un immobile sociale a una società a lui riconducibile per un prezzo nettamente inferiore al valore di mercato. Il socio Rossi, titolare del 5%, promuove l’azione sociale di responsabilità e chiede in via cautelare la revoca per gravi irregolarità. Il giudice può revocare Bianchi prima ancora della decisione di merito; il risarcimento eventualmente ottenuto entra nel patrimonio della Lambda S.r.l., non in quello di Rossi.

Caso 2 – La prosecuzione dell’attività in perdita

La “Omega S.r.l.” perde l’intero capitale, ma l’amministratrice Verdi continua a fare nuovi ordini e ad accumulare debiti per altri due anni, senza convocare l’assemblea nè attivare strumenti di gestione della crisi. Quando la società entra in liquidazione giudiziale, il curatore agisce ex art. 2486 c.c.: il danno viene quantificato secondo il criterio dei netti patrimoniali, confrontando il patrimonio al momento dello scioglimento con quello al momento di apertura della procedura.

Caso 3 – Il socio “regista” senza carica

Nella “Sigma S.r.l.” l’amministratore formale è un prestanome, ma tutte le decisioni dannose sono assunte dal socio di maggioranza Neri, che impartisce direttive scritte. In sede di liquidazione giudiziale, Neri può essere chiamato a rispondere in solido ai sensi dell’art. 2476, comma 8, c.c. come socio che ha deciso o autorizzato gli atti dannosi, e in quanto amministratore di fatto.

Dubbi specifici frequenti

L’amministratore senza deleghe risponde comunque?

Sì, ma nei limiti dei suoi doveri. L’amministratore privo di deleghe non risponde in modo oggettivo per ciò che fanno gli altri, ma resta titolare di doveri di vigilanza e di reazione: se viene a conoscenza di atti pregiudizievoli e non fa constare il proprio dissenso, perde la protezione prevista dal comma 1. Mettere a verbale il dissenso non è una formalità: è la prova che consente di andare esenti da colpa.

Se mi dimetto, sono al sicuro?

No. Le dimissioni non cancellano la responsabilità per gli atti compiuti durante la carica, nè fanno decorrere automaticamente la prescrizione per tutti i profili. Le dimissioni possono però rilevare per delimitare il periodo entro cui si è contribuito al danno, soprattutto nel criterio dei netti patrimoniali.

La quietanza dell’assemblea (approvazione del bilancio) mi libera?

No, di per sè l’approvazione del bilancio non implica liberazione dalla responsabilità. La rinuncia o la transazione richiedono una manifestazione di volontà specifica e, in ogni caso, non sono opponibili ai creditori e ai terzi che agiscono in proprio.

Chi paga le spese se vinco da socio?

In caso di accoglimento dell’azione sociale e della revoca, la società rimborsa le spese di giudizio agli attori, perchè l’azione è stata svolta nell’interesse comune.

Conclusioni operative

La responsabilità dell’amministratore di S.r.l. è oggi più articolata e più incisiva rispetto al passato: il codice della crisi ha codificato la responsabilità verso i creditori (art. 2476, comma 6), i criteri di quantificazione del danno nella crisi (art. 2486, comma 3) e il dovere di assetti adeguati (art. 2475, che richiama l’art. 2086). Per l’amministratore prudente, le tre regole d’oro sono: dotarsi di assetti che facciano emergere la crisi in tempo, documentare il procedimento decisionale (per beneficiare della business judgment rule) e, in caso di dissenso, metterlo a verbale. Trattandosi di profili tecnici, è opportuno valutare ogni situazione concreta con l’assistenza di un professionista.

Questa guida ha finalità informative e non sostituisce una consulenza legale personalizzata.

In sintesi. Il contratto di agenzia (art. 1742-1753 c.c.) è quello con cui un soggetto (l’agente) assume stabilmente l’incarico di promuovere la conclusione di contratti per conto di un altro (il preponente), in una zona determinata, dietro provvigione. L’agente è un lavoratore autonomo: non vende lui, promuove; gestisce in autonomia tempi e organizzazione. I tre nodi che fanno litigare le parti sono sempre gli stessi: quando matura la provvigione (art. 1748), quanto preavviso serve per recedere (art. 1750) e soprattutto l’indennità di fine rapporto (art. 1751), dove convivono due regimi diversi – codice civile e Accordi Economici Collettivi – e vince quello più favorevole all’agente.

Che cos’è il contratto di agenzia (art. 1742 c.c.)

L’art. 1742 c.c. definisce l’agenzia come il contratto con cui una parte assume stabilmente l’incarico di promuovere, per conto dell’altra e verso retribuzione, la conclusione di contratti in una zona determinata. Due parole sono decisive: stabilità (l’incarico è continuativo, non un singolo affare) e promozione (l’agente procura clienti e ordini; salvo procura specifica, non conclude lui il contratto in nome del preponente).

La forma scritta è richiesta ad probationem: ciascuna parte ha diritto di ottenere dall’altra un documento sottoscritto che riproduca il contenuto del contratto e delle clausole aggiuntive. Il contratto è valido anche se concluso verbalmente, ma senza un testo scritto provare zona, esclusiva, provvigioni e patti particolari diventa una battaglia di testimoni.

Zona ed esclusiva

Il contratto individua di norma una zona (territorio, categoria di clienti o gruppo di clienti). Salvo patto contrario, all’agente è riservata l’esclusiva nella zona: il preponente non può servirsi di più agenti nella stessa zona per lo stesso ramo, e l’agente non può assumere incarichi da imprese concorrenti nella stessa zona e ramo. L’esclusiva è derogabile dalle parti, ma va scritta nero su bianco.

Agente, procacciatore, rappresentante, lavoratore subordinato: come distinguerli

Sono figure che si confondono in pratica ma hanno regimi giuridici molto diversi.

• Agente: incarico stabile e continuativo di promuovere affari in una zona. Soggetto a Enasarco, AEC, indennità di fine rapporto. È la figura più tutelata.
• Procacciatore d’affari: collabora in modo occasionale e non stabile, segnala singoli affari senza vincolo di continuità né zona. Non rientra negli art. 1742 e seguenti, non ha diritto all’indennità di fine rapporto né (di regola) all’iscrizione Enasarco. È la differenza più contestata: se di fatto il rapporto è continuativo e organizzato, il giudice può riqualificarlo in agenzia, con tutte le tutele connesse.
• Rappresentante (con rappresentanza): l’agente con rappresentanza ha anche il potere di concludere i contratti in nome del preponente (art. 1752 c.c.), non solo di promuoverli. Resta agente a tutti gli effetti.
• Lavoratore subordinato: chi vende sotto direzione, orario e gerarchia del datore, senza rischio d’impresa, è un dipendente, non un agente. La presenza di etero-direzione, postazione fissa, obbligo di orario sono indici di subordinazione: la riqualificazione comporta contributi INPS, TFR e tutele del lavoro dipendente.

La provvigione (art. 1748 c.c.)

L’art. 1748 c.c. regola il diritto dell’agente alla provvigione distinguendo, dopo la riforma di adeguamento alla direttiva 86/653/CEE (d.lgs. 65/1999), due momenti: la maturazione (acquisizione del diritto) e l’esigibilità (riscossione).

• La provvigione è dovuta per tutti gli affari conclusi durante il contratto quando l’operazione è stata conclusa per effetto dell’intervento dell’agente.
• È dovuta anche per affari conclusi con clienti già acquisiti in precedenza dall’agente per affari dello stesso tipo, e per affari nella zona/clientela riservata in esclusiva, anche senza intervento diretto dell’agente.
• Spetta la provvigione anche su affari conclusi dopo la cessazione del contratto, se la proposta è pervenuta prima oppure l’affare è concluso entro un termine ragionevole grazie soprattutto all’attività svolta dall’agente.
• La provvigione è esigibile dal momento e nella misura in cui il preponente ha eseguito (o avrebbe dovuto eseguire) la prestazione, e comunque al più tardi quando il terzo ha eseguito la propria.
• Affari non andati a buon fine: l’agente deve restituire le provvigioni già riscosse solo se e nella misura in cui è certo che il contratto tra preponente e terzo non avrà esecuzione per cause non imputabili al preponente. Se la mancata esecuzione dipende dal preponente, la provvigione resta dovuta. È un patto inderogabile a danno dell’agente.

Lo “star del credere”: abrogato come clausola generale

Il patto di star del credere (l’agente garantisce al preponente il buon fine dell’affare, cioè il pagamento del cliente) non è più ammesso come clausola generale. La riforma dell’art. 1746 c.c. (d.lgs. 65/1999 e legge 526/1999) ha vietato di porre a carico dell’agente una garanzia generalizzata sull’adempimento dei clienti. È consentita solo un’eccezione molto limitata: una garanzia caso per caso, su un singolo affare determinato, di importo non superiore alla provvigione che l’agente avrebbe percepito per quell’affare. Oltre questo limite il patto è nullo.

Gli Accordi Economici Collettivi (AEC)

Gli AEC sono contratti collettivi di settore (i principali: AEC Commercio e AEC Industria) stipulati tra le associazioni dei preponenti e quelle degli agenti. Integrano e specificano la disciplina del codice civile su materie come provvigioni minime, indennità di fine rapporto, preavviso, scioglimento. Si applicano quando le parti vi aderiscono (per iscrizione alle associazioni o per richiamo nel contratto). Il loro ruolo è centrale soprattutto per il calcolo dell’indennità di cessazione, dove disegnano un sistema alternativo a quello legale.

Enasarco: contributi previdenziali e FIRR

L’Enasarco è la fondazione di previdenza obbligatoria degli agenti e rappresentanti di commercio. Eroga la pensione integrativa rispetto all’INPS e gestisce due flussi distinti: il contributo previdenziale e il FIRR.

Il contributo previdenziale

Per il 2026 l’aliquota contributiva è del 17% sulle provvigioni, ripartita a metà: 8,50% a carico del preponente e 8,50% a carico dell’agente (per le società di capitali l’aliquota è ridotta, ripartita diversamente). Il preponente trattiene la quota dell’agente e versa il tutto. Il contributo è dovuto entro un massimale provvigionale annuo e con un minimale per rapporto: per il 2026 il massimale è indicato in circa 45.717 euro per i monomandatari e 30.478 euro per i plurimandatari, con minimali contributivi annui rispettivamente intorno a 1.026 euro e 515 euro. Gli importi sono rivalutati ogni anno in base all’indice ISTAT: verificare sempre la circolare Enasarco dell’anno in corso prima di fare i conti.

Il FIRR (Fondo Indennità Risoluzione Rapporto)

Il FIRR è un accantonamento che il preponente versa annualmente all’Enasarco (di norma entro il 31 marzo per le provvigioni dell’anno precedente) ed è interamente a carico del preponente. Alla cessazione del rapporto l’Enasarco liquida all’agente quanto accantonato. Il FIRR si calcola applicando alle provvigioni aliquote a scaglioni previste dagli AEC. Le aliquote storicamente applicate dall’AEC Commercio sono, per gli agenti monomandatari, 4% sulle provvigioni fino a una prima soglia, 2% sullo scaglione intermedio e 1% sulla parte eccedente; per i plurimandatari la struttura è analoga con scaglioni di importo diverso. L’AEC Commercio del 2025 ha rivisto al rialzo gli scaglioni provvigionali, con effetto dal 2026: gli importi-soglia esatti del nuovo AEC vanno verificati sul testo dell’accordo e sulle istruzioni Enasarco, perché modificati rispetto al passato.

Cessazione del rapporto: recesso e preavviso (art. 1750 c.c.)

Il contratto a tempo determinato cessa alla scadenza; se le parti continuano a darvi esecuzione, si trasforma in contratto a tempo indeterminato.

Il contratto a tempo indeterminato si scioglie con recesso e preavviso. L’art. 1750 c.c. fissa termini minimi crescenti con l’anzianità: un mese per il primo anno, due mesi per il secondo, tre per il terzo, quattro per il quarto, cinque per il quinto, sei mesi dal sesto anno in poi. Le parti possono pattuire termini più lunghi, ma il preponente non può osservare un termine più breve di quello imposto all’agente. Salvo patto diverso, la scadenza del preavviso coincide con l’ultimo giorno del mese di calendario. Chi recede senza preavviso deve l’indennità sostitutiva. Questi termini sono inderogabili a tutela dell’agente.

Recesso per giusta causa

In presenza di una giusta causa – un inadempimento talmente grave da non consentire la prosecuzione neppure provvisoria del rapporto – ciascuna parte può recedere senza preavviso. Se la giusta causa è imputabile all’agente, viene meno anche il suo diritto all’indennità di fine rapporto (vedi sotto). La gravità va valutata in concreto: un singolo ritardo non basta, serve una violazione che distrugge il vincolo fiduciario.

L’indennità di fine rapporto (art. 1751 c.c.)

È il punto più delicato. Alla cessazione, il preponente deve all’agente un’indennità di cessazione al ricorrere di tutte queste condizioni:

1. l’agente ha procurato nuovi clienti al preponente o ha sensibilmente sviluppato gli affari con i clienti esistenti;
2. il preponente riceve ancora sostanziali vantaggi derivanti dagli affari con tali clienti dopo la fine del rapporto;
3. il pagamento dell’indennità è equo, considerate tutte le circostanze, in particolare le provvigioni che l’agente perde.

Il tetto massimo

L’indennità non può superare una cifra pari a un’annualità, calcolata sulla media annuale delle retribuzioni (provvigioni) degli ultimi cinque anni (o sulla media dell’intera durata, se il rapporto è durato meno di cinque anni). È un tetto, non un automatismo: dentro quel limite l’importo va determinato in modo equo.

Quando NON spetta

• il preponente recede per un inadempimento dell’agente di gravità tale da non consentire la prosecuzione neppure provvisoria del rapporto (giusta causa);
• l’agente recede, salvo che il recesso sia giustificato da fatti imputabili al preponente o da circostanze dell’agente (età, infermità, malattia) che non ne consentano la prosecuzione;
• l’agente cede a un terzo, per accordo col preponente, i diritti e gli obblighi del contratto.

Attenzione al termine di decadenza: l’agente perde il diritto se, entro un anno dalla cessazione, non comunica al preponente l’intenzione di far valere i propri diritti. L’indennità spetta anche in caso di morte dell’agente (a favore degli eredi). La disciplina è inderogabile a svantaggio dell’agente.

Il “doppio binario”: codice civile vs AEC

Qui sta la complicazione pratica. L’indennità può essere calcolata in due modi:

• secondo l’art. 1751 c.c., con il sistema “meritocratico” basato su clienti procurati, vantaggi residui ed equità, fino al tetto dell’annualità media;
• secondo gli AEC, che prevedono importi predeterminati (somma di FIRR, indennità suppletiva di clientela ed eventuale indennità meritocratica), spesso più facili da calcolare ma talora di importo inferiore a quello legale.

La Corte di Giustizia UE, con la sentenza Honyvem (causa C-465/04, 23 marzo 2006), ha chiarito che l’art. 19 della direttiva 86/653/CEE vieta deroghe sfavorevoli all’agente: il sistema dell’accordo collettivo può sostituire quello legale solo se garantisce un risultato pari o superiore. La Cassazione ha recepito questo principio. In pratica: si calcolano entrambi gli importi e all’agente spetta il più favorevole dei due. Il FIRR già accantonato presso l’Enasarco non si “aggiunge” liberamente: nel sistema AEC concorre a comporre l’indennità complessiva, e va comunque verificato che il totale non sia inferiore a quanto spetterebbe ex art. 1751 c.c.

Il patto di non concorrenza post-contrattuale (art. 1751-bis c.c.)

Il preponente può volere che l’agente, finito il rapporto, non lavori per i concorrenti. L’art. 1751-bis c.c. lo consente con limiti stringenti:

• forma scritta;
• deve riguardare la stessa zona, clientela e tipo di beni o servizi oggetto del contratto di agenzia;
• durata massima due anni dopo la cessazione;
• l’accettazione del patto comporta a favore dell’agente la corresponsione di un’indennità di natura non provvigionale, da pagare alla cessazione. L’indennità va commisurata alla durata (non oltre i due anni), alla natura del contratto e all’indennità di fine rapporto, ed è rimessa alla contrattazione tra le parti tenuto conto degli AEC.

Un patto di non concorrenza senza indennità o oltre i due anni è invalido per la parte eccedente.

Casi pratici

Caso 1 – Procacciatore o agente? La “Vesta Forniture S.r.l.” affida a Marco la segnalazione di clienti “a chiamata”, senza zona né esclusiva, pagandolo a percentuale sui singoli affari. Dopo tre anni di rapporti settimanali, con un’area di fatto presidiata e report periodici, Marco chiede l’indennità di fine rapporto. Il rischio per Vesta è la riqualificazione in agenzia: la stabilità e la continuità contano più del nome dato al contratto. Se il giudice riqualifica, scattano Enasarco, preavviso e indennità ex art. 1751.

Caso 2 – Indennità: quale binario? Laura, agente monomandataria per otto anni della “Aurora Tessile S.p.A.”, cessa per recesso del preponente senza giusta causa. Il calcolo AEC (FIRR + suppletiva + meritocratica) dà 22.000 euro; il calcolo ex art. 1751, dato il forte sviluppo della clientela, arriverebbe a 31.000 euro (sotto il tetto dell’annualità media). Per il principio del trattamento più favorevole, a Laura spetta l’importo maggiore. Va ricordato il termine di decadenza di un anno per la richiesta.

Caso 3 – Preavviso troppo corto. Il contratto pattuisce 30 giorni di preavviso a carico di entrambe le parti dopo sette anni di rapporto. La clausola è nulla nella parte in cui riduce il minimo legale: dal sesto anno il preavviso minimo è sei mesi e il preponente non può osservarne uno più breve di quello dell’agente. In caso di recesso senza il preavviso corretto è dovuta l’indennità sostitutiva.

Dubbi specifici

Il contratto verbale è valido? Sì, ma la forma scritta è richiesta ad probationem: senza un testo firmato è difficile provare zona, esclusiva, misura delle provvigioni e patti aggiuntivi.

L’agente può vendere anche per altri? Solo se non è plurimandatario vincolato all’esclusiva. L’agente non può assumere incarichi da imprese concorrenti nella stessa zona e ramo, salvo patto contrario.

Il FIRR sostituisce l’indennità di fine rapporto? No. Il FIRR è un accantonamento gestito dall’Enasarco a carico del preponente; nel sistema AEC concorre a formare l’indennità complessiva, ma il totale deve comunque garantire all’agente almeno quanto gli spetterebbe ex art. 1751 c.c.

Chi paga l’Enasarco? Il contributo previdenziale è per metà del preponente e per metà dell’agente (trattenuto e versato dal preponente); il FIRR è interamente del preponente.

Se l’agente si dimette perde l’indennità? Di regola sì, salvo che le dimissioni siano dovute a fatti imputabili al preponente o a circostanze personali dell’agente (età, infermità, malattia) che impediscono la prosecuzione.

Lo star del credere si può ancora pattuire? Solo caso per caso, su un singolo affare, entro il limite della provvigione relativa. La clausola generale a carico dell’agente è vietata e nulla.

Questa guida ha finalità informative e non sostituisce la consulenza di un professionista abilitato. Importi Enasarco, FIRR e soglie degli AEC sono rivalutati periodicamente: verificare sempre la circolare Enasarco e il testo dell’AEC dell’anno in corso.

In sintesi: il D.Lgs. 231/2001 ha introdotto in Italia la responsabilità amministrativa (di fatto para-penale) delle società e degli enti per una serie di reati commessi nel loro interesse o vantaggio da soggetti apicali o sottoposti. L’ente può andare esente da responsabilità solo se dimostra di aver adottato ed efficacemente attuato, prima della commissione del reato, un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati di quella specie, vigilato da un Organismo di Vigilanza (OdV) autonomo. Le sanzioni vanno da quelle pecuniarie “per quote” (da 100 a 1.000 quote, con valore della singola quota da circa 258 a 1.549 euro) fino alle sanzioni interdittive, alla confisca e alla pubblicazione della sentenza. Il Modello 231 non è formalmente obbligatorio per legge generale, ma è diventato un obbligo di fatto per chi partecipa ad appalti pubblici, punta al rating di legalità o deve gestire il whistleblowing.

Cos’è la responsabilità amministrativa degli enti

Il Decreto Legislativo 8 giugno 2001, n. 231 ha rotto con un principio storico del diritto penale italiano, riassunto nel brocardo societas delinquere non potest (la società non può commettere reati). Prima del 2001 rispondeva penalmente solo la persona fisica autrice materiale del fatto; l’ente, al massimo, subiva conseguenze civili o sanzioni amministrative minori. Con il D.Lgs. 231/2001 lo Stato ha creato un sistema in cui anche la società risponde in proprio quando il reato è stato commesso nel suo interesse o a suo vantaggio.

La natura di questa responsabilità è discussa: il legislatore l’ha chiamata “amministrativa”, ma l’accertamento avviene davanti al giudice penale, nello stesso procedimento in cui si giudica la persona fisica, con le garanzie del processo penale. Per questo la dottrina la definisce comunemente para-penale o “tertium genus”: formalmente amministrativa, sostanzialmente penale. La conseguenza pratica per l’imprenditore è pesante: l’azienda diventa essa stessa imputata.

A chi si applica

Il decreto si applica agli enti forniti di personalità giuridica e alle società e associazioni anche prive di personalità giuridica. Rientrano quindi le S.p.A., le S.r.l. (comprese le S.r.l.s. e le PMI), le società di persone, le cooperative, i consorzi, le fondazioni e le associazioni. Sono espressamente esclusi lo Stato, gli enti pubblici territoriali, gli altri enti pubblici non economici e gli enti che svolgono funzioni di rilievo costituzionale.

Un equivoco diffuso è che la 231 riguardi solo le grandi imprese: non è così. La responsabilità sorge a prescindere dalle dimensioni. Una piccola S.r.l. risponde esattamente come una multinazionale; cambia solo la complessità del Modello, che va calibrato sulla realtà concreta dell’azienda.

I reati presupposto: quali reati “attivano” la 231

L’ente non risponde per qualsiasi reato, ma solo per quelli espressamente elencati nel decreto, i cosiddetti reati presupposto. Il catalogo nasce ristretto nel 2001 (reati contro la Pubblica Amministrazione e frodi ai danni dello Stato) e si è progressivamente ampliato con decine di interventi, diventando un elenco molto esteso. Le famiglie principali oggi sono:

• Reati contro la Pubblica Amministrazione (artt. 24 e 25): corruzione, concussione, indebita percezione di erogazioni, peculato, traffico di influenze, turbata libertà degli incanti. Sono il nucleo storico del decreto.
• Reati societari (art. 25-ter): false comunicazioni sociali (falso in bilancio), illecite operazioni sul capitale, corruzione tra privati, ostacolo alle funzioni di vigilanza.
• Sicurezza sul lavoro (art. 25-septies): omicidio colposo e lesioni gravi o gravissime commessi con violazione delle norme antinfortunistiche e di tutela della salute. È una delle aree più rilevanti per l’impresa manifatturiera ed edile.
• Reati ambientali (art. 25-undecies): inquinamento e disastro ambientale, gestione illecita di rifiuti, scarichi non autorizzati.
• Reati tributari (art. 25-quinquiesdecies): introdotti dalla L. 157/2019 (di conversione del D.L. 124/2019) e poi ampliati. Comprendono ad esempio la dichiarazione fraudolenta mediante fatture per operazioni inesistenti e l’emissione di tali fatture.
• Ricettazione, riciclaggio e autoriciclaggio (art. 25-octies).
• Delitti informatici e trattamento illecito di dati (art. 24-bis): accesso abusivo a sistemi, frode informatica, danneggiamento di dati — l’area “cyber” sempre più centrale.
• Altre famiglie: delitti di criminalità organizzata, falsità in monete e strumenti di pagamento, reati con finalità di terrorismo, market abuse, ricettazione di prodotti con segni falsi, delitti contro la personalità individuale, impiego di cittadini di Paesi terzi irregolari.

Focus: i reati tributari (verificato)

L’ingresso dei reati tributari nel catalogo è una delle novità più importanti degli ultimi anni e va conosciuta con precisione. L’art. 25-quinquiesdecies è stato inserito nel D.Lgs. 231/2001 dal D.L. 26 ottobre 2019 n. 124, convertito con la Legge 19 dicembre 2019 n. 157. La versione originaria copriva alcuni reati del D.Lgs. 74/2000 (in particolare dichiarazione fraudolenta mediante fatture per operazioni inesistenti, dichiarazione fraudolenta mediante altri artifici, emissione di fatture per operazioni inesistenti, occultamento o distruzione di scritture contabili, sottrazione fraudolenta al pagamento di imposte).

La disciplina è stata poi ritoccata due volte: il D.Lgs. 75/2020 (attuazione della direttiva PIF) ne ha esteso e inasprito la portata; un successivo intervento del 2022 ha aggiunto ulteriori fattispecie, ampliando ancora il perimetro fino a coprire quasi tutte le previsioni del D.Lgs. 74/2000, con poche eccezioni (tipicamente l’omesso versamento di ritenute e di IVA). La lezione operativa: un Modello 231 redatto prima del 2020 che non contempli la parte speciale “reati tributari” è oggi obsoleto e va aggiornato.

Il Modello di Organizzazione, Gestione e Controllo (MOG)

Il MOG è il cuore del sistema 231: è l’insieme di regole, procedure e controlli che l’ente adotta per prevenire i reati presupposto. Non è un documento standard scaricabile e firmato: un Modello “copia-incolla”, non calato sulla realtà aziendale, è sistematicamente bocciato dai giudici come inidoneo. L’art. 6 del decreto indica i requisiti che il Modello deve possedere:

• Risk assessment (mappatura dei rischi): individuare le attività aziendali nel cui ambito possono essere commessi i reati. È il passo preliminare e più delicato: senza una mappatura seria dei processi a rischio, il Modello è cieco.
• Protocolli decisionali: definire procedure specifiche per la formazione e l’attuazione delle decisioni dell’ente nelle aree a rischio (chi autorizza, chi controlla, con quali soglie).
• Gestione delle risorse finanziarie: individuare modalità di gestione dei flussi idonee a impedire la commissione dei reati (separazione dei poteri, tracciabilità).
• Codice etico: il documento che enuncia i valori e i principi di comportamento dell’ente, base “costituzionale” del Modello.
• Sistema disciplinare: sanzioni interne idonee a punire il mancato rispetto delle misure del Modello. È un requisito esplicito: senza sistema disciplinare il Modello non è “attuato”.
• Obblighi informativi verso l’OdV e formazione del personale.

La differenza decisiva, ribadita dalla giurisprudenza, è tra Modello adottato (esiste sulla carta) e Modello efficacemente attuato (vive nell’azienda, con formazione, controlli reali, aggiornamenti). Solo il secondo ha valore esimente.

L’Organismo di Vigilanza (OdV)

Il Modello, da solo, non basta: l’art. 6 richiede che la vigilanza sul suo funzionamento e l’aggiornamento sia affidata a un Organismo di Vigilanza dotato di autonomi poteri di iniziativa e controllo.

Composizione e requisiti

L’OdV può essere monocratico o collegiale. I requisiti irrinunciabili, elaborati dalla prassi e dalle linee guida di categoria, sono tre:

• Autonomia e indipendenza: l’OdV non deve essere in posizione subordinata rispetto al management che deve controllare; va collocato in posizione di staff ai vertici, senza compiti operativi.
• Professionalità: deve possedere competenze tecniche (giuridiche, contabili, di organizzazione aziendale, di sicurezza) adeguate ai rischi dell’ente.
• Continuità di azione: deve vigilare in modo costante, non episodico.

Nelle società di piccole dimensioni l’art. 6 consente che i compiti dell’OdV siano svolti direttamente dall’organo dirigente; nelle società di capitali il collegio sindacale, il consiglio di sorveglianza o il comitato per il controllo della gestione possono svolgere le funzioni dell’OdV.

Poteri e flussi informativi

L’OdV verifica l’adeguatezza e l’effettiva attuazione del Modello, ne propone l’aggiornamento, svolge audit e riceve i flussi informativi: comunicazioni periodiche dalle funzioni aziendali e segnalazioni su anomalie o violazioni. Con la riforma del whistleblowing, l’OdV è spesso individuato come destinatario o gestore del canale di segnalazione interna.

L’efficacia esimente: quando il Modello salva l’ente

Qui sta il senso economico dell’intera 231: il Modello idoneo ed efficacemente attuato può esonerare l’ente dalla responsabilità. Il decreto distingue però due regimi in base a chi commette il reato, e la differenza sull’onere della prova è cruciale.

Reati commessi da soggetti apicali (art. 6)

Quando il reato è commesso da chi riveste posizioni di vertice (amministratori, direttori, chi esercita di fatto gestione e controllo), scatta una sostanziale inversione dell’onere della prova a carico dell’ente. Per andare esente, è la società a dover provare che:

1. l’organo dirigente aveva adottato ed efficacemente attuato, prima del fatto, un Modello idoneo a prevenire reati della specie verificatasi;
2. la vigilanza era affidata a un OdV con autonomi poteri di iniziativa e controllo;
3. le persone hanno commesso il reato eludendo fraudolentemente il Modello;
4. non vi è stata omessa o insufficiente vigilanza da parte dell’OdV.

Tutti e quattro i requisiti devono ricorrere: è una prova difficile, perché l’ente deve dimostrare che il vertice ha “aggirato con frode” un presidio per il resto funzionante.

Reati commessi da sottoposti (art. 7)

Quando il reato è commesso da soggetti sottoposti all’altrui direzione, il regime è più favorevole all’ente: la responsabilità sorge solo se la commissione del reato è stata resa possibile dall’inosservanza degli obblighi di direzione o vigilanza. E tale inosservanza è esclusa se l’ente, prima del fatto, ha adottato ed efficacemente attuato un Modello idoneo. Qui, in sostanza, l’onere di provare il deficit organizzativo grava sull’accusa.

La colpa di organizzazione

Il concetto che tiene insieme il sistema è la colpa di organizzazione: l’ente non è punito per il fatto altrui in sé, ma per non essersi dato un’organizzazione idonea a prevenirlo. Il Modello è lo strumento con cui l’ente dimostra di non essere in colpa organizzativa.

Le sanzioni (dati verificati)

Il sistema sanzionatorio della 231 è articolato su quattro tipi di misure.

Sanzioni pecuniarie “per quote” (art. 10)

Si applicano sempre, in caso di condanna. Il meccanismo è a due fattori: il giudice fissa prima il numero di quote (da un minimo di 100 a un massimo di 1.000), in base alla gravità del fatto e al grado di responsabilità dell’ente; poi fissa il valore della singola quota (da un minimo di circa 258 euro a un massimo di circa 1.549 euro), in base alle condizioni economiche e patrimoniali dell’ente. La sanzione è il prodotto dei due. Ne deriva, in linea teorica, un range che parte da circa 25.800 euro e può superare 1,5 milioni di euro. Per i casi di riduzione previsti dall’art. 12 il valore della quota è ridotto. Il doppio binario consente al giudice di calibrare la sanzione sia sulla gravità del reato sia sulla capacità economica della società.

Sanzioni interdittive (art. 9)

Sono le più temute perché colpiscono l’operatività. Comprendono: l’interdizione dall’esercizio dell’attività; la sospensione o revoca di autorizzazioni, licenze o concessioni; il divieto di contrattare con la Pubblica Amministrazione; l’esclusione da agevolazioni, finanziamenti e contributi e l’eventuale revoca di quelli già concessi; il divieto di pubblicizzare beni o servizi. Si applicano solo per i reati per cui sono espressamente previste e al ricorrere di presupposti specifici. A titolo di esempio verificato, per l’omicidio colposo aggravato di cui all’art. 25-septies, in caso di condanna le interdittive dell’art. 9 comma 2 si applicano per una durata non inferiore a tre mesi e non superiore a un anno.

Confisca (art. 19) e pubblicazione della sentenza (art. 18)

La confisca del prezzo o del profitto del reato è sempre disposta con la sentenza di condanna ed è particolarmente insidiosa: secondo la ricostruzione consolidata consegue alla condanna anche quando l’ente avesse evitato la sanzione pecuniaria, ed è ammessa per equivalente. La pubblicazione della sentenza di condanna può essere disposta quando è applicata una sanzione interdittiva, con un evidente danno reputazionale.

Quando conviene (o “serve”) adottare il Modello

Non esiste un obbligo generale di legge di dotarsi del Modello 231: chi non lo adotta non commette di per sé un illecito. Esiste però un fortissimo obbligo di fatto, perché in moltissime situazioni il Modello è il presupposto per operare o per evitare conseguenze gravi:

• Appalti e contratti con la PA: i committenti pubblici (e molti privati nei capitolati) richiedono o premiano l’adozione del Modello 231; la sua assenza può precludere la partecipazione o penalizzare il punteggio.
• Rating di legalità: l’adozione del Modello e dell’OdV concorre all’attribuzione del rating gestito dall’Autorità Garante della Concorrenza e del Mercato, che dà vantaggi su accesso al credito e contributi pubblici.
• Whistleblowing (verificato): il D.Lgs. 24/2023, attuativo della direttiva UE 2019/1937, collega strettamente i canali di segnalazione al Modello 231. I MOG di cui all’art. 6, comma 1, lett. a) del D.Lgs. 231/2001 devono prevedere i canali di segnalazione interna, il divieto di ritorsione e un sistema disciplinare. Avere già un Modello 231 facilita enormemente l’adempimento.
• Difesa dell’azienda: è l’unico strumento che può esonerare l’ente dalla responsabilità e che, anche quando non esonera, mitiga le sanzioni e dimostra la diligenza dell’organo amministrativo (riducendo i profili di responsabilità degli amministratori verso la società).

Casi pratici

Caso 1 — corruzione del responsabile commerciale. Tizio, direttore commerciale di Alfa S.r.l., per aggiudicarsi una commessa pubblica corrompe un funzionario. Alfa aveva adottato un Modello 231 idoneo, con procedure stringenti sui rapporti con la PA, un OdV attivo e un sistema disciplinare reale. In dibattimento Alfa dimostra che Tizio ha aggirato con frode i protocolli (ad esempio falsificando i flussi autorizzativi) e che l’OdV aveva vigilato. Ricorrendo tutti i requisiti dell’art. 6, l’ente può andare esente, mentre Tizio risponde personalmente.

Caso 2 — Modello solo sulla carta. Beta S.p.A. ha un Modello scaricato da un fac-simile, mai aggiornato dopo l’ingresso dei reati tributari del 2019-2020, con un OdV che non si è mai riunito. Caio, dipendente amministrativo, registra fatture per operazioni inesistenti. Qui il Modello non è “efficacemente attuato”: manca la parte speciale tributaria, l’OdV è inerte. Beta non beneficia dell’esimente e rischia sanzione pecuniaria per quote, eventuali interdittive e confisca del profitto.

Dubbi specifici e ricorrenti

Se il reato non porta vantaggio all’azienda, l’ente risponde lo stesso?

Il presupposto è che il reato sia commesso nell’interesse o a vantaggio dell’ente. Se l’autore ha agito nell’interesse esclusivo proprio o di terzi, la responsabilità dell’ente è esclusa. Attenzione però: nei reati colposi (es. sicurezza sul lavoro) l’interesse/vantaggio si individua tipicamente nel risparmio di costi o di tempo ottenuto violando le norme, non nell’evento dannoso in sé.

L’OdV può coincidere con il collegio sindacale?

Sì: l’art. 6 prevede espressamente che nelle società di capitali le funzioni dell’OdV possano essere svolte dal collegio sindacale, dal consiglio di sorveglianza o dal comitato per il controllo della gestione. Resta il nodo pratico dell’indipendenza e della disponibilità di tempo e competenze specifiche 231.

Adottare il Modello dopo che il reato è già stato commesso serve a qualcosa?

Ai fini dell’esimente conta il Modello adottato prima del fatto. Tuttavia il decreto valorizza le condotte riparatorie post-fatto: l’adozione e attuazione di un Modello idoneo prima dell’apertura del dibattimento, unita al risarcimento del danno e all’eliminazione delle conseguenze, può evitare l’applicazione delle sanzioni interdittive e ridurre quelle pecuniarie.

Una holding risponde per il reato commesso nella controllata?

La responsabilità è dell’ente nel cui interesse/vantaggio il reato è commesso. La capogruppo può rispondere quando il reato sia stato commesso anche nel suo interesse concreto e vi sia un coinvolgimento qualificato di soggetti della holding; non basta il mero rapporto di controllo societario. È una delle aree più delicate e va valutata caso per caso.

In conclusione

La responsabilità 231 ha trasformato la compliance da costo “facoltativo” a presidio strategico: il Modello idoneo ed efficacemente attuato è insieme scudo difensivo, requisito di mercato (appalti, rating, whistleblowing) e strumento di tutela degli amministratori. La sua efficacia dipende dalla qualità della mappatura dei rischi, dalla vitalità dell’OdV e dall’aggiornamento costante del catalogo dei reati presupposto, che continua a crescere. Per ogni decisione concreta — soprattutto in presenza di un procedimento in corso — resta indispensabile il supporto di un professionista specializzato.

Risposta rapida. Dal momento in cui un’impresa ha anche un solo lavoratore, il datore di lavoro deve adempiere agli obblighi del D.Lgs 9 aprile 2008 n. 81 (Testo Unico Sicurezza). I due obblighi che la legge gli vieta espressamente di delegare sono la valutazione di tutti i rischi con redazione del DVR e la nomina del responsabile del servizio di prevenzione e protezione (RSPP) (art. 17). In concreto, appena assume deve: 1) valutare i rischi e redigere il DVR con data certa; 2) nominare l’RSPP (o autonominarsi, nei limiti di legge e con corso dedicato); 3) nominare il medico competente dove la sorveglianza sanitaria sia obbligatoria; 4) designare gli addetti alle emergenze (primo soccorso e antincendio); 5) garantire la formazione di tutti i lavoratori; 6) consentire l’elezione/designazione del RLS. L’omissione della valutazione dei rischi o della formazione è reato e comporta arresto o ammenda a carico del datore.

Chi è il “datore di lavoro” ai fini della sicurezza

Per il Testo Unico il datore di lavoro non è necessariamente il titolare dell’impresa, ma il soggetto che ha la responsabilità dell’organizzazione o dell’unita’ produttiva e esercita i poteri decisionali e di spesa. E’ questa la persona su cui gravano gli obblighi di sicurezza. Nelle micro e piccole imprese coincide quasi sempre con l’imprenditore o l’amministratore.

Il punto chiave da capire è che la sicurezza non è un adempimento “da grande azienda”: scatta dal primo lavoratore, compresi soci che prestano attività, collaboratori e, in molti casi, i lavoratori equiparati. Aprire una partita IVA senza dipendenti è diverso dall’assumere: è l’assunzione del primo lavoratore (o l’impiego del primo soggetto equiparato) a far scattare l’intero pacchetto di obblighi.

I due obblighi che NON puoi delegare (art. 17)

L’articolo 17 del D.Lgs 81/2008 è la norma cardine: stabilisce che il datore di lavoro non può delegare due attività.

• La valutazione di tutti i rischi con la conseguente elaborazione del documento previsto dall’art. 28 (il DVR).
• La designazione del responsabile del servizio di prevenzione e protezione dai rischi (RSPP).

Tutto il resto (singole misure, gestione operativa, acquisti) può essere oggetto di delega di funzioni a soggetti idonei, con i requisiti di forma e sostanza previsti dall’art. 16. Ma queste due decisioni restano in capo al datore: anche se si fa assistere da un consulente tecnico, è il datore che, alla fine, firma il DVR e nomina l’RSPP, assumendosene la responsabilità.

Il DVR: il documento da cui parte tutto (art. 28-29)

Il Documento di Valutazione dei Rischi (DVR) è la fotografia ragionata di tutti i pericoli presenti in azienda e delle misure adottate per ridurli. E’ obbligatorio per tutte le imprese con almeno un lavoratore, senza soglie minime di dimensione.

L’autocertificazione non basta più

Fino a qualche anno fa le imprese fino a 10 lavoratori potevano “autocertificare” di aver effettuato la valutazione dei rischi, senza redigere un documento vero e proprio. Questa possibilità è definitivamente venuta meno: dal 1° giugno 2013 anche le micro imprese devono redigere il DVR in forma documentale. In pratica, oggi non esiste impresa con dipendenti che possa fare a meno del DVR: le aziende più piccole e a rischio non elevato possono utilizzare le procedure standardizzate (un modello semplificato approvato a livello ministeriale), ma il documento va comunque prodotto.

Cosa deve contenere il DVR (art. 28, comma 2)

Il DVR deve avere data certa (o attestata dalla sottoscrizione congiunta di datore di lavoro, RSPP, RLS e medico competente ove nominato) e contenere almeno:

• una relazione sulla valutazione di tutti i rischi per la sicurezza e la salute, con i criteri adottati;
• l’indicazione delle misure di prevenzione e protezione attuate e dei dispositivi di protezione individuale (DPI);
• il programma delle misure di miglioramento nel tempo;
• l’individuazione delle procedure per attuare le misure e dei ruoli aziendali che devono provvedere (a cui assegnare solo persone con adeguate competenze e poteri);
• il nominativo di RSPP, RLS e medico competente che hanno partecipato alla valutazione;
• l’individuazione delle mansioni che espongono i lavoratori a rischi specifici che richiedono capacita’ professionali, esperienza, formazione e addestramento.

La valutazione deve riguardare tutti i rischi, compresi quelli particolari (stress lavoro-correlato, lavoratrici in gravidanza, differenze di genere, eta’, provenienza da altri Paesi). Il DVR va rielaborato in occasione di modifiche significative del processo produttivo, dopo infortuni significativi o quando la sorveglianza sanitaria ne evidenzi la necessità.

Le figure della sicurezza da mettere in piedi

RSPP – Responsabile del Servizio di Prevenzione e Protezione

E’ il tecnico che coordina la prevenzione in azienda. Deve possedere requisiti di formazione specifici (moduli A, B e C, con aggiornamento periodico) e può essere interno o esterno. La nomina è un atto del datore, non delegabile.

Datore di lavoro che si autonomina RSPP (art. 34). Nelle aziende che rientrano nei casi dell’Allegato II, il datore di lavoro può svolgere direttamente i compiti di RSPP (oltre a quelli di addetto al primo soccorso e antincendio), previa informazione all’RLS. L’Allegato II individua, ad esempio, soglie dimensionali per tipologia di attività (tra cui aziende artigiane e industriali entro un certo numero di addetti e, in generale, aziende che occupano fino a 200 lavoratori): verifica caso per caso se la tua attività e la tua dimensione rientrano, perché i limiti variano per settore. Se rientra, il datore-RSPP deve frequentare uno specifico corso di formazione (con durata articolata in base alla classe di rischio dell’attività) e i relativi aggiornamenti periodici.

RLS – Rappresentante dei Lavoratori per la Sicurezza

E’ la figura che rappresenta i lavoratori sui temi di salute e sicurezza. Nelle aziende fino a 15 lavoratori è di norma eletto direttamente dai lavoratori al loro interno; nelle aziende più grandi è individuato nell’ambito delle rappresentanze sindacali. Se in azienda non viene eletto un RLS, subentra il RLS territoriale (RLST). Il datore deve consentirne l’elezione/designazione e garantirgli formazione e informazione.

Medico competente e sorveglianza sanitaria (art. 41)

Il medico competente non è sempre obbligatorio: va nominato quando la valutazione dei rischi fa emergere l’obbligo di sorveglianza sanitaria, cioè quando i lavoratori sono esposti a rischi specifici per i quali la normativa la prevede (ad esempio movimentazione manuale dei carichi, videoterminali oltre soglia, agenti chimici, biologici o fisici, rumore, vibrazioni, lavoro notturno). E’ proprio il DVR a dire se in azienda serve o meno.

La sorveglianza sanitaria comprende, tra l’altro, la visita medica preventiva (anche pre-assuntiva) per accertare l’idoneita’ alla mansione e le visite periodiche. Al termine il medico esprime per iscritto un giudizio di idoneita’ alla mansione specifica, che può essere: idoneita’, idoneita’ parziale (con prescrizioni o limitazioni), inidoneita’ temporanea o inidoneita’ permanente. Copia del giudizio va consegnata sia al lavoratore sia al datore.

Addetti alle emergenze: primo soccorso e antincendio

In ogni azienda il datore deve designare uno o più lavoratori incaricati della gestione delle emergenze: primo soccorso e prevenzione incendi/evacuazione. Questi addetti devono ricevere una formazione specifica. Nelle aziende che rientrano nei casi dell’Allegato II, anche questi compiti può assolverli direttamente il datore di lavoro.

La formazione obbligatoria

La formazione di tutti i lavoratori non è un optional: è un obbligo del datore (art. 37) e la sua omissione è sanzionata penalmente. I contenuti e le durate sono fissati dall’Accordo Stato-Regioni.

Per i lavoratori la formazione si articola in una parte generale e una parte specifica calibrata sul livello di rischio del settore (basso, medio, alto), con un monte ore crescente: i percorsi sono storicamente fissati in circa 8 ore complessive per il rischio basso, 12 per il medio e 16 per l’alto. E’ previsto inoltre un aggiornamento periodico a cadenza quinquennale. Poiché’ il quadro è stato oggetto di un nuovo Accordo Stato-Regioni di recente adozione, verifica le durate e le modalita’ aggiornate prima di pianificare i corsi, soprattutto per dirigenti, preposti e per il datore-RSPP.

Oltre alla formazione di base, vanno previsti: la formazione specifica delle figure (RSPP/datore-RSPP, RLS, addetti emergenze), l’addestramento all’uso di attrezzature e DPI quando richiesto, e le abilitazioni per attrezzature particolari (carrelli elevatori, gru, piattaforme, ecc.).

Le sanzioni a carico del datore di lavoro

La sicurezza è presidiata da sanzioni penali, non solo amministrative: in caso di violazioni gravi il datore rischia l’arresto in alternativa all’ammenda. Le più rilevanti per gli adempimenti base sono raccolte nell’art. 55 del D.Lgs 81/2008.

• Omessa valutazione dei rischi e mancata adozione del DVR (e, allo stesso modo, mancata nomina dell’RSPP): è la violazione più grave, punita con l’arresto in alternativa a un’ammenda. La pena è aumentata nelle attività a rischio elevato (agenti cancerogeni, biologici, atmosfere esplosive, amianto, cantieri).
• DVR redatto senza i contenuti minimi previsti dall’art. 28: punito con ammenda, di importo diverso a seconda di quali elementi mancano.
• Omessa o carente formazione/informazione dei lavoratori (art. 37): punita con arresto in alternativa a ammenda, con importi che aumentano in funzione del numero di lavoratori coinvolti.

Attenzione agli importi. Gli importi delle ammende del D.Lgs 81/2008 sono periodicamente rivalutati per legge sulla base dell’indice ISTAT. L’ultima rivalutazione nota è del +15,9%, applicabile alle violazioni commesse a partire dal 6 ottobre 2023. Per questo, prima di citare cifre esatte, fai sempre riferimento alle tabelle ufficiali aggiornate dell’Ispettorato Nazionale del Lavoro (INL): gli importi “base” indicati nell’articolo 55 non sono quelli effettivamente applicati oggi.

Novità’: la patente a crediti nei cantieri

Se l’attività opera in cantieri temporanei o mobili (edilizia), dal 1° ottobre 2024 è in vigore l’obbligo della patente a crediti introdotta dal D.L. 19/2024 (inserito nell’art. 27 del D.Lgs 81/2008). Imprese e lavoratori autonomi che operano in cantiere devono dotarsi della patente, rilasciata in formato digitale dall’INL con un punteggio iniziale di 30 crediti; per poter operare occorre mantenere una dotazione pari o superiore a 15 crediti. I crediti possono essere decurtati a seguito di violazioni e infortuni. La patente non riguarda chi non lavora in cantiere: se la tua attività è, ad esempio, un negozio o un ufficio, l’obbligo non ti tocca. Per chi opera in edilizia, invece, è un requisito di accesso al cantiere da verificare con attenzione, anche perché la sua assenza comporta sanzioni significative.

Caso pratico: la piccola impresa con 3 dipendenti

La “Officina Verdi S.r.l.” (nome di fantasia) è una piccola carrozzeria che assume tre dipendenti. Cosa deve fare il titolare, appena parte l’attività con i lavoratori?

1. Valutare i rischi e redigere il DVR con data certa: trattandosi di lavorazioni con agenti chimici, rumore e movimentazione carichi, il rischio non è “basso” e va valutato con attenzione (no autocertificazione).
2. Nominare l’RSPP: il titolare può valutare di autonominarsi (verificando di rientrare nei casi dell’Allegato II e frequentando il corso da datore-RSPP) oppure incaricare un RSPP esterno.
3. Nominare il medico competente: vista l’esposizione ad agenti chimici e rumore, la sorveglianza sanitaria è verosimilmente obbligatoria, con visite di idoneita’ per i tre addetti.
4. Designare gli addetti a primo soccorso e antincendio e formarli; in una realta’ così piccola questi ruoli possono ricadere anche sul titolare.
5. Formare i tre lavoratori (parte generale + specifica per il livello di rischio) e prevedere l’aggiornamento; addestrarli all’uso di attrezzature e DPI.
6. Consentire l’individuazione dell’RLS: in mancanza di elezione interna, subentra l’RLS territoriale.

Se la stessa officina iniziasse a fare anche lavori in cantiere presso terzi, scatterebbe in aggiunta l’obbligo della patente a crediti.

In sintesi

Appena un’impresa ha un lavoratore, il datore deve: valutare i rischi e redigere il DVR (non delegabile), nominare l’RSPP (non delegabile, salvo autonomina nei limiti dell’Allegato II), attivare la sorveglianza sanitaria dove necessaria, designare gli addetti alle emergenze, garantire la formazione di tutti e consentire l’individuazione dell’RLS. Le omissioni più gravi (valutazione/DVR e formazione) sono reati con arresto o ammenda. Per le cifre delle sanzioni fai sempre riferimento alle tabelle aggiornate INL; per i cantieri verifica l’obbligo della patente a crediti.

In sintesi: una piccola impresa che gestisce dati di clienti, dipendenti e fornitori è quasi sempre titolare del trattamento e deve, come minimo, (1) consegnare informative chiare (art. 13-14 GDPR), (2) avere una base giuridica per ogni trattamento (art. 6), (3) tenere il registro dei trattamenti se ricade nelle eccezioni dell’art. 30.5 (praticamente sempre, perché tratta dati dei dipendenti in modo non occasionale), (4) nominare per iscritto i responsabili esterni come gestionali, cloud e consulenti (art. 28), (5) adottare misure di sicurezza adeguate (art. 32), (6) notificare al Garante eventuali violazioni dei dati entro 72 ore (art. 33). Il DPO e la valutazione d’impatto (DPIA) NON sono obbligatori per la PMI tipica. Le sanzioni arrivano a 10 milioni o 2% del fatturato per le violazioni “minori” e a 20 milioni o 4% per quelle gravi, ma per le PMI il Garante applica criteri di proporzionalità.

Chi è il titolare del trattamento (e perché quasi sempre sei tu)

Il GDPR (Regolamento UE 2016/679) distingue due ruoli che la PMI confonde spesso. Il titolare del trattamento è chi decide “perché” e “come” trattare i dati: è la persona fisica o giuridica che determina finalità e mezzi (art. 4, n. 7). Il responsabile del trattamento è invece il soggetto esterno che tratta i dati per conto del titolare seguendo le sue istruzioni (art. 4, n. 8).

Tradotto in pratica: la tua impresa è titolare dei dati dei suoi clienti, dipendenti, fornitori e contatti commerciali. Sono invece responsabili i fornitori a cui affidi il trattamento: il consulente del lavoro che elabora le buste paga, la software house del gestionale, il provider del cloud o dell’email, l’agenzia che gestisce la newsletter, il commercialista per la parte contabile.

La distinzione conta perché gli obblighi sono diversi. L’art. 24 grava sul titolare l’onere di mettere in atto misure adeguate e di dimostrare la conformità (principio di accountability, cioè responsabilizzazione): non basta essere a norma, devi poterlo provare con documenti. L’art. 28 impone che il rapporto con ogni responsabile sia regolato da un contratto scritto con contenuti minimi obbligatori.

In Italia il GDPR si applica insieme al Codice Privacy (d.lgs. 196/2003), profondamente riscritto dal d.lgs. 101/2018 per allinearlo al Regolamento europeo. Il Codice integra il GDPR su alcuni punti nazionali (poteri del Garante, sanzioni penali, trattamenti specifici), ma il riferimento principale per gli obblighi sostanziali resta il Regolamento.

Gli adempimenti minimi reali di una PMI

Non esiste una “certificazione GDPR” obbligatoria né un bollino da appendere in negozio. Esistono però adempimenti concreti che, per una piccola impresa standard, sono questi.

1. Le informative (art. 13-14)

Devi informare chi ti dà i dati su cosa fai con quei dati. L’art. 13 riguarda i dati raccolti direttamente dall’interessato (il modulo di contatto sul sito, il contratto col cliente, l’assunzione di un dipendente); l’art. 14 i dati raccolti da terzi (ad esempio liste fornite da un partner). L’informativa deve indicare chi è il titolare, le finalità, le basi giuridiche, i destinatari, i tempi di conservazione e i diritti dell’interessato. Una PMI ha tipicamente bisogno di almeno tre informative: clienti, dipendenti/collaboratori e sito web (modulo contatti più cookie).

2. Le basi giuridiche (art. 6)

Ogni trattamento deve poggiare su una delle sei basi dell’art. 6. L’errore più comune è chiedere il consenso per tutto: spesso il consenso non serve. Per gestire un ordine o un contratto la base è l’esecuzione del contratto (art. 6.1.b). Per la fatturazione e gli obblighi fiscali è l’obbligo legale (art. 6.1.c). Il consenso (art. 6.1.a) serve davvero solo per attività non necessarie all’esecuzione del contratto, come la newsletter promozionale verso chi non è già cliente. Il legittimo interesse (art. 6.1.f) può coprire ad esempio la videosorveglianza o alcune comunicazioni a clienti esistenti, ma richiede una valutazione di bilanciamento documentata.

3. Il registro dei trattamenti (art. 30): l’esenzione che quasi non esiste

Molti consulenti dicono alle micro-imprese “sotto i 250 dipendenti non serve il registro”. È una semplificazione pericolosa. L’art. 30, paragrafo 5, esenta dall’obbligo le organizzazioni con meno di 250 dipendenti, MA l’esenzione cade se ricorre anche una sola di queste condizioni:

• il trattamento può presentare un rischio per i diritti e le libertà dell’interessato;
• il trattamento non è occasionale;
• il trattamento include categorie particolari di dati (art. 9: salute, dati biometrici, ecc.) o dati relativi a condanne penali e reati (art. 10).

Qui sta il punto che quasi tutte le PMI ignorano: gestire la busta paga dei propri dipendenti è un trattamento non occasionale e include dati relativi alla salute (malattie, infortuni) e all’appartenenza sindacale. Già solo questo fa scattare l’eccezione. In pratica, qualsiasi impresa con anche un solo dipendente o con un gestionale clienti usato di continuo rientra nelle eccezioni e deve tenere il registro. La buona notizia è che il Garante ammette per le PMI versioni semplificate, limitate alle specifiche attività di trattamento effettivamente svolte.

4. Le nomine dei responsabili esterni (art. 28)

Ogni fornitore che tratta dati per tuo conto deve essere nominato responsabile con un atto scritto (un “DPA”, data processing agreement) che fissi oggetto, durata, finalità, tipo di dati, obblighi di sicurezza e gestione del fine-rapporto. Riguarda consulente del lavoro, commercialista (per la parte in cui agisce su tue istruzioni), software house, provider cloud, piattaforma di email marketing, eventuale agenzia di recupero crediti. La maggior parte dei fornitori SaaS mette a disposizione un DPA standard da accettare: vanno raccolti e conservati.

5. Le misure di sicurezza (art. 32)

L’art. 32 non impone misure standard valide per tutti: chiede misure adeguate al rischio. Per una PMI il livello atteso è concreto e ragionevole: password robuste e diverse per ogni servizio, autenticazione a due fattori dove disponibile, backup periodici e testati, antivirus e aggiornamenti, cifratura dei dispositivi portatili, gestione di chi può accedere a cosa, formazione minima del personale, e un armadio chiuso a chiave per i fascicoli cartacei. Non serve un reparto IT: serve dimostrare di aver ragionato sui rischi e adottato contromisure proporzionate.

Quando serve il DPO (e quando NO per una PMI)

Il DPO o RPD (responsabile della protezione dei dati) è obbligatorio solo in tre casi (art. 37): (a) se sei un’autorità o un organismo pubblico; (b) se la tua attività principale consiste nel monitoraggio regolare e sistematico su larga scala degli interessati; (c) se la tua attività principale consiste nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati giudiziari (art. 10).

Per la PMI tipica – un negozio, uno studio professionale piccolo, un’impresa artigiana, un e-commerce di prodotti generici – il DPO non è obbligatorio, perché il trattamento di dati non è né l’attività “principale” né avviene “su larga scala”. Le espressioni “larga scala” e “monitoraggio sistematico” non sono definite dal Regolamento e sono state precisate dalle linee guida dell’EDPB (il Comitato europeo per la protezione dei dati): contano il numero di interessati, il volume di dati, la durata e l’estensione geografica. Una clinica, una società che fa profilazione pubblicitaria massiva o una piattaforma che traccia il comportamento di molti utenti rientrano nell’obbligo; il panificio sotto casa no. Attenzione: anche quando non è obbligatorio, nominare un DPO è possibile su base volontaria – ma se lo nomini ufficialmente ne assumi tutti gli obblighi formali, quindi non va fatto per “sicurezza” senza valutazione.

Quando serve la DPIA (valutazione d’impatto)

La valutazione d’impatto sulla protezione dei dati (DPIA, art. 35) è richiesta quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone – tipicamente per profilazione su larga scala, sorveglianza sistematica di aree pubbliche o trattamento su larga scala di categorie particolari. Il Garante italiano ha pubblicato un elenco di trattamenti che richiedono la DPIA. Per la PMI ordinaria la DPIA non è dovuta. Un caso che però capita anche alle piccole imprese è la videosorveglianza estesa o combinata con altri sistemi di controllo: in queste situazioni va verificato se scatta l’obbligo. Nel dubbio, la valutazione preliminare del rischio è essa stessa un atto di accountability utile.

Data breach: cosa fare nelle prime 72 ore

Per violazione dei dati personali si intende qualsiasi evento che comporti distruzione, perdita, modifica, divulgazione o accesso non autorizzato ai dati: un ransomware, un laptop rubato, un’email inviata per errore a destinatari sbagliati, un database esposto.

Gli obblighi sono due e distinti. Il primo (art. 33): il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione comporti un rischio per i diritti delle persone. Se non rispetti le 72 ore, devi motivare il ritardo. Il secondo (art. 34): se la violazione comporta un rischio elevato, devi anche comunicarla agli interessati (i soggetti i cui dati sono stati coinvolti) con linguaggio chiaro.

Anche quando una violazione non va notificata, va comunque documentata internamente in un registro delle violazioni: serve a dimostrare di aver valutato il rischio. Avere una procedura scritta da attivare in caso di incidente – chi fa cosa, chi decide, dove si trova il modulo di notifica del Garante – è uno degli adempimenti a più alto valore pratico per una PMI.

Le sanzioni: i due massimali e la proporzionalità per le PMI

L’art. 83 prevede due fasce di sanzioni amministrative pecuniarie. La prima, per violazioni “meno gravi” (tra cui obblighi del titolare e del responsabile, mancata o errata notifica di un data breach), arriva fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. La seconda, per violazioni gravi (violazione dei principi base, delle basi giuridiche, dei diritti degli interessati, delle regole sui trasferimenti, o l’inosservanza di un ordine del Garante), arriva fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore.

Queste cifre spaventano, ma vanno lette per quello che sono: massimali, non importi automatici. L’art. 83 impone di graduare la sanzione in modo “effettivo, proporzionato e dissuasivo”, tenendo conto della gravità, della durata, del carattere doloso o colposo, delle misure adottate per attenuare il danno e del grado di cooperazione. In concreto, le sanzioni a carico di piccole imprese sono normalmente di ordini di grandezza inferiori ai massimali e tengono conto della capacità economica reale. La Corte di Giustizia UE ha inoltre chiarito che la sanzione richiede di norma una condotta colpevole (dolo o colpa) e che il fatturato rileva nel calcolo. Il messaggio operativo è chiaro: dimostrare buona fede e accountability (registro, informative, procedura data breach) è la migliore difesa.

Trasferimenti extra-UE, cookie e marketing (cenni)

Tre temi che la PMI tocca quasi sempre, qui in sintesi. Trasferimenti extra-UE (capo V GDPR): se usi servizi i cui server o le cui aziende stanno fuori dall’Area economica europea (molti strumenti cloud e di marketing USA), il trasferimento è lecito solo con garanzie adeguate, tipicamente una decisione di adeguatezza o le clausole contrattuali tipo (SCC). In pratica si verifica nel DPA del fornitore. Cookie e tracciamenti: regolati dalle linee guida cookie del Garante (2021) oltre che dal GDPR; richiedono un banner conforme con consenso preventivo per i cookie non tecnici. Marketing: l’invio di comunicazioni promozionali via email richiede di norma il consenso, con l’eccezione del soft spam verso clienti su prodotti analoghi a quelli già acquistati. Ciascuno di questi temi merita una guida dedicata.

Gli errori tipici delle PMI

• Credere che “sotto i 250 dipendenti” esoneri dal registro. Falso: appena hai dipendenti o un gestionale usato di continuo scattano le eccezioni dell’art. 30.5.
• Chiedere il consenso per tutto. Per contratti, fatture e adempimenti fiscali la base giuridica è un’altra; chiedere consenso dove non serve è un errore e può anche essere controproducente.
• Non avere contratti art. 28 con i fornitori. Commercialista, consulente del lavoro, cloud e gestionale trattano dati per tuo conto e vanno nominati per iscritto.
• Confondere privacy policy del sito e adempimenti interni. L’informativa sul sito è solo una piccola parte: il grosso (registro, sicurezza, nomine) è documentazione interna.
• Non avere una procedura per il data breach. Le 72 ore passano in fretta: senza un piano si arriva tardi e si rischia la sanzione per mancata notifica.
• Nominare un DPO “per sicurezza” senza valutazione. Se lo nomini ufficialmente ne assumi tutti gli obblighi formali; va fatto solo se serve o con piena consapevolezza.

Casi pratici

Caso 1 – La “Bottega Verdi”, negozio con 3 dipendenti. Tratta dati di clienti (vendite, eventuale carta fedeltà) e dipendenti (buste paga). Deve: informative clienti e dipendenti; basi giuridiche corrette (contratto e obbligo legale per le vendite, consenso solo per la carta fedeltà se profila gli acquisti); registro dei trattamenti, perché la gestione dei dipendenti è non occasionale e include dati sulla salute; nomine art. 28 per consulente del lavoro e gestionale; misure di sicurezza di base. DPO e DPIA: non obbligatori.

Caso 2 – “TecnoStudio”, piccola software house, 8 persone. Oltre ai propri trattamenti come titolare (dipendenti, clienti), agisce come responsabile per i clienti di cui ospita i dati nel proprio software. Deve quindi firmare DPA come responsabile, tenere il proprio registro nella sezione “responsabile”, e curare con attenzione la sicurezza (art. 32). Se i suoi server sono presso un cloud extra-UE, verifica le garanzie sui trasferimenti.

Caso 3 – “DolceCasa”, e-commerce di articoli per la casa. Tratta ordini, pagamenti e, se fa newsletter, anche marketing. Basi giuridiche: contratto per l’ordine, obbligo legale per la fatturazione, consenso per la newsletter (o soft spam verso clienti esistenti su prodotti analoghi). Banner cookie conforme. Usa strumenti di marketing USA: verifica le clausole sui trasferimenti nei rispettivi DPA. DPO non obbligatorio salvo profilazione su larga scala.

In conclusione

Per la stragrande maggioranza delle piccole imprese italiane essere a norma GDPR non significa spendere cifre enormi né nominare un DPO, ma fare con ordine sei cose: informative chiare, basi giuridiche corrette, registro dei trattamenti (sì, anche sotto i 250 dipendenti), nomine scritte dei fornitori, misure di sicurezza ragionevoli e una procedura pronta per i data breach. È un lavoro di documentazione e organizzazione più che di tecnologia, ed è la stessa documentazione che, in caso di controllo, dimostra la buona fede e riduce drasticamente il rischio sanzionatorio.

In sintesi: il marchio collettivo (art. 11 CPI) appartiene a un’associazione di categoria o a un ente pubblico che lo concede in uso ai propri membri per garantire origine, natura o qualità dei prodotti; il marchio di certificazione (art. 11-bis CPI, introdotto dal d.lgs. 15/2019) appartiene a un soggetto terzo e indipendente che certifica caratteristiche dei prodotti altrui senza poter svolgere attività su quei prodotti. Entrambi richiedono obbligatoriamente un regolamento d’uso allegato alla domanda, durano 10 anni rinnovabili e in Italia hanno una tassa di deposito unica di 337,00 euro, diversa dai 101,00 euro del marchio individuale. Il marchio storico di interesse nazionale (art. 11-ter) e invece un istituto separato, riservato ai marchi registrati o usati da almeno 50 anni.

Marchio collettivo (art. 11 CPI): il marchio dell’associazione

Il marchio collettivo non identifica i prodotti di una singola impresa, ma garantisce che chi lo usa appartiene a un gruppo e rispetta uno standard comune. La sua funzione tipica e quella di certificare l’origine geografica, la natura o la qualità dei prodotti o servizi dei diversi soggetti autorizzati a impiegarlo.

Chi può registrarlo

L’art. 11 CPI riserva la registrazione a due categorie di soggetti:

• le persone giuridiche di diritto pubblico (per esempio enti pubblici territoriali o camere di commercio);
• le associazioni di categoria di fabbricanti, produttori, prestatori di servizi o commercianti (consorzi, associazioni di settore).

Il titolare non usa direttamente il marchio sui propri prodotti: lo concede in uso ai produttori o commercianti che soddisfano le condizioni del regolamento. Chiunque rispetti tali requisiti ha diritto sia di usare il marchio sia di aderire all’associazione titolare.

Il regolamento d’uso e la deroga geografica

Alla domanda va allegato un regolamento d’uso che disciplina chi può usare il marchio, i controlli e le sanzioni. Ogni modifica successiva deve essere comunicata all’UIBM. Una caratteristica peculiare del marchio collettivo e che può designare la provenienza geografica dei prodotti o servizi, in deroga al divieto generale di registrare segni descrittivi: e il caso, tipicamente, dei consorzi territoriali. Il titolare, tuttavia, non può vietare a un terzo l’uso del nome geografico in funzione descrittiva conforme alla correttezza professionale.

Marchio di certificazione (art. 11-bis CPI): il marchio del controllore terzo

Il marchio di certificazione e stato introdotto nel CPI dal d.lgs. 20 febbraio 2019, n. 15 (in vigore dal 23 marzo 2019), che ha recepito la direttiva UE 2015/2436 e riordinato la materia separando nettamente le due figure. La sua funzione e certificare e garantire determinate caratteristiche dei prodotti o servizi – origine, natura, qualità, materiali, modalita di fabbricazione – di soggetti diversi dal titolare.

Il requisito di indipendenza

La differenza chiave rispetto al collettivo e il vincolo di terzieta. Possono registrare un marchio di certificazione le persone fisiche o giuridiche, comprese istituzioni, autorità e organismi accreditati ai sensi della normativa sulla certificazione, a condizione che non svolgano un’attività che comporti la fornitura di prodotti o servizi del tipo certificato. In altre parole, chi certifica non può essere anche produttore o venditore di cio che certifica: deve essere un controllore neutrale.

Il regolamento d’uso del marchio di certificazione

Anche qui il regolamento d’uso e obbligatorio e deve essere allegato alla domanda. Deve contenere in particolare:

• la dichiarazione del richiedente di non svolgere attività che comportino la fornitura di prodotti o servizi del tipo certificato;
• le caratteristiche dei prodotti o servizi che il marchio intende certificare;
• le condizioni d’uso del marchio e le modalita di controllo e di sanzione.

Le modifiche al regolamento vanno comunicate tempestivamente all’UIBM, a pena di decadenza del marchio.

Collettivo, certificazione e individuale: le differenze pratiche

Le tre figure rispondono a logiche diverse. Capire quale scegliere dipende da chi e il titolare e da cosa il segno deve comunicare al mercato.

• Marchio individuale: identifica i prodotti di una specifica impresa e la distingue dai concorrenti. Il titolare lo usa per i propri prodotti.
• Marchio collettivo: appartiene a un’associazione o ente pubblico che lo concede ai propri membri. Il titolare può essere esso stesso parte della filiera; il segno comunica appartenenza a un gruppo e rispetto di uno standard condiviso. Può indicare la provenienza geografica.
• Marchio di certificazione: appartiene a un ente terzo e indipendente che non opera sul mercato dei prodotti certificati. Il segno comunica una garanzia oggettiva data da un controllore esterno, aperta a chiunque rispetti il disciplinare.

In pratica: se un gruppo di produttori vuole un segno comune e fa parte della filiera, la strada e il collettivo; se un ente vuole certificare prodotti altrui restando estraneo alla loro produzione e vendita, serve il certificazione.

Procedura di registrazione e costi

La procedura ricalca quella del marchio ordinario – deposito della domanda, esame, eventuale opposizione, registrazione – con due specificità: l’allegazione obbligatoria del regolamento d’uso e, per il certificazione, la dichiarazione di non svolgere attività sui prodotti certificati. La domanda nazionale si presenta all’UIBM (telematicamente o tramite Camera di Commercio); per la protezione a livello europeo si deposita all’EUIPO il marchio collettivo UE o il marchio di certificazione UE.

Durata

La registrazione dura 10 anni dalla data di deposito ed e rinnovabile indefinitamente per periodi decennali, come il marchio ordinario.

Costi (tariffe UIBM)

Qui c’e una differenza concreta rispetto al marchio individuale. Secondo le tariffe UIBM:

• Marchio individuale nazionale: 101,00 euro di tassa di registrazione (comprensiva di 1 classe), più 34,00 euro per ogni classe aggiuntiva.
• Marchio collettivo e marchio di certificazione: 337,00 euro per il deposito (per una o più classi).
• Tassa di concessione governativa: 34,00 euro per la lettera d’incarico, dovuta quando si nomina un rappresentante (consulente in proprietà industriale o avvocato).

A questi importi pubblici vanno aggiunti gli eventuali onorari del professionista che cura il deposito e la redazione del regolamento d’uso.

Marchio storico di interesse nazionale (art. 11-ter CPI)

Da non confondere con i precedenti: il marchio storico di interesse nazionale e un istituto introdotto dal d.l. 34/2019 (decreto Crescita) a tutela del Made in Italy, e non e ne collettivo ne di certificazione. Riguarda l’iscrizione in un registro speciale di marchi di lunga tradizione legati a imprese produttive nazionali di eccellenza connesse al territorio.

Requisito dei 50 anni

Possono ottenere l’iscrizione i titolari o licenziatari esclusivi di marchi registrati da almeno 50 anni oppure di marchi per i quali sia possibile dimostrare un uso continuativo da almeno 50 anni, impiegati per la commercializzazione di prodotti o servizi realizzati da un’impresa produttiva nazionale di eccellenza storicamente collegata al territorio. Si distinguono quindi tre situazioni: marchio storico registrato (registrato da almeno 50 anni), marchio storico di fatto (non registrato ma in uso effettivo e continuativo da almeno 50 anni) e marchio storico ibrido (registrato da meno di 50 anni ma usato da almeno 50).

Registro speciale e tutela

Il Registro speciale dei marchi storici di interesse nazionale e istituito presso l’UIBM. L’iscrizione ha durata illimitata e non e soggetta a rinnovo, e attribuisce il diritto di usare a fini commerciali e promozionali il logo “Marchio storico di interesse nazionale”, da affiancare al marchio. La tutela non e solo simbolica: l’impresa titolare di un marchio storico che intenda chiudere il sito produttivo o delocalizzare, con conseguente licenziamento collettivo, deve notificarlo al Ministero, attivando misure a salvaguardia dei livelli occupazionali e della continuita produttiva sul territorio nazionale.

Casi pratici

Caso 1 – il consorzio (collettivo). Il “Consorzio Olio Colline del Sole” riunisce venti frantoi di una stessa zona. Vuole un marchio comune che attesti che l’olio proviene da quel territorio e rispetta un metodo di lavorazione condiviso. La figura corretta e il marchio collettivo: il consorzio lo registra, redige il regolamento d’uso con i requisiti di provenienza e qualità, e lo concede agli associati che li rispettano. Il consorzio può essere esso stesso espressione dei produttori.

Caso 2 – l’ente certificatore (certificazione). L’”Istituto Qualità Tessile” e un organismo accreditato che verifica l’assenza di sostanze nocive nei tessuti. Non produce ne vende tessuti. Vuole un marchio che le aziende conformi possano apporre sui propri capi. La figura corretta e il marchio di certificazione: l’Istituto, essendo terzo e non operante nel mercato tessile, lo registra dichiarando di non svolgere attività su quei prodotti e definisce nel regolamento le caratteristiche certificate e i controlli.

Caso 3 – lo storico (interesse nazionale). La “Manifattura Bianchi”, azienda dolciaria che usa lo stesso marchio dal 1955, può chiedere l’iscrizione nel registro dei marchi storici dimostrando l’uso ultracinquantennale, ottenendo il logo dedicato e la protezione prevista in caso di chiusura o delocalizzazione.

In sintesi: il codice ATECO 2025 e la nuova classificazione ISTAT delle attività economiche, derivata dalla classificazione europea NACE Rev. 2.1. E entrata in vigore il 1 gennaio 2025 ed e adottata operativamente dalle amministrazioni dal 1 aprile 2025, in sostituzione di ATECO 2007 (aggiornamento 2022). Per le imprese già iscritte e attive nel Registro Imprese l’aggiornamento e automatico e d’ufficio, senza adempimenti ne costi: le Camere di Commercio riclassificano progressivamente i vecchi codici. La nuova codifica va comunque utilizzata in tutti gli atti e le dichiarazioni presentate all’Agenzia delle Entrate dal 1 aprile 2025. Per il regime forfettario, in via transitoria, restano applicabili i coefficienti di redditivita collegati ai vecchi codici fino alla pubblicazione delle nuove tabelle.

Che cos’e il codice ATECO e a cosa serve

Il codice ATECO (ACronimo di Attività ECOnomiche) e la classificazione adottata dall’ISTAT per identificare in modo standard l’attività economica svolta da un’impresa o da un professionista. Non e una semplice etichetta statistica: e il codice attorno a cui ruota gran parte degli adempimenti di chi fa impresa.

Lo stesso codice viene riutilizzato, in modo coordinato, da più enti:

• Agenzia delle Entrate: viene attribuito all’apertura della partita IVA e indicato negli atti e nelle dichiarazioni fiscali; determina, tra l’altro, il coefficiente di redditivita nel regime forfettario e l’Indice Sintetico di Affidabilita (ISA) applicabile.
• Camera di Commercio / Registro Imprese: identifica l’attività prevalente e le eventuali attività secondarie dell’impresa nella visura camerale.
• INPS: concorre a definire l’inquadramento previdenziale e la gestione di iscrizione.
• INAIL: e collegato al codice tariffa e quindi al tasso del premio assicurativo contro gli infortuni, perché il rischio dipende dal tipo di attività.

In pratica, il codice ATECO incide su quanto si paga, su quali agevolazioni si possono richiedere e su quali obblighi gravano sull’attività. Per questo e importante che descriva correttamente cio che si fa davvero.

La riforma ATECO 2025: che cosa e e quando entra in vigore

ATECO 2025 e la nuova versione della classificazione delle attività economiche, derivata direttamente dalla classificazione europea NACE Rev. 2.1 (istituita con il Regolamento delegato UE 2023/137 e relativa rettifica del 2024). L’aggiornamento allinea l’Italia agli standard statistici europei e tiene conto dell’evoluzione dell’economia, in particolare dei settori digitali e dei nuovi servizi.

Le date da ricordare sono due:

• 1 gennaio 2025: data di entrata in vigore della nuova classificazione.
• 1 aprile 2025: data di adozione operativa da parte delle amministrazioni, per consentirne l’implementazione nei sistemi che producono dati amministrativi e statistici. Da questa data la nuova codifica deve essere utilizzata per gli adempimenti, sia statistici sia amministrativi.

ATECO 2025 sostituisce la versione precedente, ossia ATECO 2007 nella sua formulazione aggiornata al 2022.

Cosa cambia rispetto ad ATECO 2007

La struttura resta gerarchica e a sei livelli, dal generale al particolare, con un codice alfanumerico che al massimo dettaglio arriva a sei cifre:

• Sezioni (lettera maiuscola)
• Divisioni (2 cifre)
• Gruppi (3 cifre)
• Classi (4 cifre)
• Categorie (5 cifre)
• Sottocategorie (6 cifre)

Nel complesso la nuova classificazione conta 3.257 codici e circa 10.000 note esplicative. Il dettaglio e leggermente aumentato rispetto al passato. Confrontando ATECO 2025 con ATECO 2007 aggiornamento 2022:

• le sezioni passano da 21 a 22;
• le classi passano da 615 a 651;
• le sottocategorie passano da 1.241 a 1.290;
• le divisioni diminuiscono da 88 a 87;
• le categorie restano stabili a 920.

Cambiano dunque alcune denominazioni, vengono introdotte nuove voci e alcune attività sono riclassificate o suddivise in modo più fine. Per gestire il passaggio, l’ISTAT ha pubblicato apposite tabelle di corrispondenza bidirezionali tra ATECO 2025 e ATECO 2022.

L’aggiornamento e automatico o richiede un adempimento?

Per le imprese già iscritte e attive nel Registro Imprese prima del 1 aprile 2025, l’aggiornamento e automatico e d’ufficio, senza oneri. Le Camere di Commercio riclassificano progressivamente i codici ATECO 2007/2022 nei corrispondenti codici ATECO 2025, seguendo le linee guida nazionali concordate tra ISTAT, Unioncamere e Agenzia delle Entrate.

Il meccanismo segue le tabelle di corrispondenza:

• nei casi di corrispondenza univoca (1:1), il vecchio codice viene tradotto automaticamente nel nuovo, senza alcun intervento;
• nei casi di corrispondenza multipla (1:N), in cui un vecchio codice può corrispondere a più codici ATECO 2025, la riclassificazione d’ufficio applica una tabella operativa che riconduce computazionalmente la scelta a un unico codice.

Le imprese interessate vengono informate tramite gli strumenti digitali messi a disposizione dalla Camera di Commercio. La visura aggiornata e disponibile gratuitamente tramite l’app Impresa Italia o dal sito impresa.italia.it (accesso con SPID o CNS).

Attenzione pero a una sfumatura importante: l’aggiornamento d’ufficio vale per il Registro Imprese. Ai fini fiscali (Anagrafe tributaria), la nuova codifica va utilizzata negli atti e nelle dichiarazioni presentate all’Agenzia delle Entrate dal 1 aprile 2025, e una eventuale rettifica volontaria del codice ai fini fiscali segue le procedure ordinarie.

Impatti pratici: forfettario, coefficienti, ISA e agevolazioni

Il codice ATECO non e neutro: tocca diversi aspetti economici dell’attività.

Regime forfettario e coefficienti di redditivita

Nel forfettario il reddito imponibile si calcola applicando ai ricavi un coefficiente di redditivita che dipende dal codice ATECO. Con il passaggio alla nuova classificazione si e posto il problema dell’allineamento delle tabelle. Per gestire la transizione e stato previsto un periodo transitorio: i coefficienti di redditivita restano quelli collegati ai vecchi codici ATECO finché non saranno pubblicate tabelle aggiornate alla nuova classificazione. In concreto, la riclassificazione automatica del codice non comporta, di per se, una modifica immediata della tassazione forfettaria.

ISA (Indici Sintetici di Affidabilita)

La nuova classificazione e stata recepita nella modulistica per l’applicazione degli ISA: il codice attribuito determina il modello ISA applicabile, per cui il corretto allineamento e rilevante per la compilazione delle dichiarazioni.

Requisiti, autorizzazioni e agevolazioni

Numerosi requisiti, autorizzazioni, bandi e agevolazioni (regionali, nazionali, europei) selezionano i beneficiari proprio per codice ATECO. Un codice non aggiornato o non corretto può, in concreto, escludere dall’accesso a una misura o complicare un controllo. Conviene quindi verificare periodicamente che il codice descriva fedelmente l’attività.

Come verificare e come variare il proprio codice ATECO

Verificare il codice aggiornato

Per controllare quale codice ATECO 2025 e stato attribuito d’ufficio basta consultare la visura aggiornata, disponibile gratuitamente:

• tramite l’app Impresa Italia, scaricabile dai principali store;
• dal portale impresa.italia.it, con accesso tramite SPID o CNS.

Rettificare un codice a corrispondenza multipla

Quando il vecchio codice corrispondeva a più codici ATECO 2025, e quello attribuito d’ufficio non e quello che meglio descrive l’attività, e stato attivato un servizio dedicato e gratuito di rettifica online sul Registro Imprese, che consente di scegliere, tra i codici ammissibili secondo la tabella di conversione ISTAT, quello più appropriato. La rettifica effettuata su questo canale non produce automaticamente effetti per l’Anagrafe tributaria, dove la variazione va comunicata con le modalita ordinarie.

Variare effettivamente l’attività

Se invece cambia la sostanza dell’attività svolta, non si tratta di un semplice allineamento: occorre una vera e propria comunicazione di variazione.

• Per i soggetti iscritti al Registro Imprese si utilizza la Comunicazione Unica (ComUnica) tramite Unioncamere, che raccorda Registro Imprese, Agenzia delle Entrate, INPS e INAIL.
• I soggetti non iscritti al Registro Imprese utilizzano i modelli dell’Agenzia delle Entrate della famiglia AA (ad esempio AA7 per i soggetti diversi dalle persone fisiche e AA9 per imprese individuali e lavoratori autonomi).

In generale, l’adozione dei nuovi codici ATECO 2025 negli atti fiscali e richiesta in occasione della prima variazione utile o quando una norma specifica lo imponga.

Errori comuni e codice prevalente vs secondario

Alcuni errori ricorrenti meritano attenzione:

• Confondere allineamento e variazione: la riclassificazione d’ufficio cambia solo il codice, non l’attività. Se cambia cio che si fa, serve comunque la comunicazione di variazione.
• Dare per scontato che il fisco sia già allineato: l’aggiornamento d’ufficio riguarda il Registro Imprese; per l’Agenzia delle Entrate i nuovi codici si adottano negli atti e dichiarazioni dal 1 aprile 2025 e, dove serve, vanno comunicati.
• Scegliere un codice troppo generico o impreciso: incide su INAIL, agevolazioni e controlli.

Vale poi la distinzione tra codice prevalente e codici secondari: il codice prevalente identifica l’attività principale, da cui deriva la maggior parte dei ricavi e attorno alla quale ruotano molti adempimenti; i codici secondari descrivono le altre attività effettivamente esercitate. Tenere allineata questa gerarchia con la realta dell’attività evita disallineamenti tra fatturato dichiarato e attività registrata.

Casi pratici

Caso 1 – Riclassificazione automatica senza nulla da fare. Marta gestisce un piccolo negozio al dettaglio. Il suo vecchio codice ha una corrispondenza univoca (1:1) con un codice ATECO 2025. La Camera di Commercio aggiorna d’ufficio la visura: Marta non deve fare nulla, scarica la visura aggiornata dall’app Impresa Italia e verifica che il nuovo codice descriva correttamente l’attività.

Caso 2 – Corrispondenza multipla da rettificare. Lo studio di Davide, libero professionista nei servizi digitali, aveva un vecchio codice che ora corrisponde a più codici ATECO 2025. Quello attribuito d’ufficio non e il più calzante: Davide usa il servizio di rettifica online del Registro Imprese per scegliere il codice più appropriato e, separatamente, verifica con il proprio consulente l’allineamento ai fini fiscali.

Caso 3 – Vera variazione di attività. La ditta individuale di Sofia, nata come e-commerce, avvia anche un’attività di consulenza. Qui non basta la riclassificazione: Sofia presenta, tramite ComUnica, una comunicazione di variazione per aggiungere il nuovo codice secondario, con effetto coordinato verso Registro Imprese, Agenzia delle Entrate, INPS e INAIL.

I nomi sono di fantasia e gli esempi hanno finalita illustrativa; per la propria posizione e sempre opportuno verificare con un professionista.

Il DURC (Documento Unico di Regolarità Contributiva) è il documento che attesta, in un unico atto, che un’impresa o un lavoratore autonomo è in regola con i versamenti dovuti a INPS, INAIL e, per il settore edile, alle Casse Edili. Dal 1° luglio 2015 la verifica è esclusivamente telematica e in tempo reale: si chiama DURC online, ha una validità di 120 giorni dalla data della richiesta e, se l’esito è positivo, può essere utilizzato da chiunque ne abbia interesse durante quel periodo. Senza un DURC regolare non si incassa un appalto pubblico, si perdono gli sgravi contributivi e, in edilizia, non si certifica la corretta chiusura del cantiere. Questa guida spiega in modo concreto cosa serve davvero sapere, con le soglie verificate alle fonti e i dubbi che ricorrono nella pratica.

Cos’è il DURC e chi lo rilascia

Il DURC è una certificazione di regolarità contributiva: dichiara che il soggetto verificato ha effettuato regolarmente i versamenti e gli adempimenti previdenziali e assicurativi. Non è un documento "dell’impresa", ma il risultato di una verifica incrociata svolta in automatico dagli enti.

La verifica riguarda contemporaneamente tre fronti:

• INPS, per i contributi previdenziali (lavoratori dipendenti e, dove dovuto, gestioni autonome);
• INAIL, per il premio assicurativo contro infortuni e malattie professionali;
• Casse Edili / Edilcasse, per le imprese che applicano il contratto del settore edile.

Il DURC online si richiede gratuitamente dal portale INPS o dal portale INAIL: i due sistemi dialogano e producono lo stesso documento. L’accesso ai servizi avviene con SPID, CNS o CIE. Possono richiederlo l’impresa, un suo delegato (es. il consulente del lavoro) e anche i soggetti terzi interessati alla verifica, come una stazione appaltante o un committente.

Un punto pratico spesso trascurato: se esiste già un DURC in corso di validità, il sistema lo restituisce invece di generarne uno nuovo. Per questo lo stesso documento può "servire" a più rapporti contemporaneamente entro i suoi 120 giorni.

Quando serve il DURC

Il DURC non è un adempimento periodico fine a sé stesso: scatta come presupposto di altre operazioni. I casi tipici sono i seguenti.

Appalti pubblici

È richiesto in tutte le fasi del rapporto con la Pubblica Amministrazione: in gara, alla stipula, a ogni SAL (stato avanzamento lavori) e a ogni pagamento, fino al collaudo. L’irregolarità contributiva può determinare l’esclusione dalla gara e blocca i pagamenti.

Appalti e lavori privati

Anche al di fuori del settore pubblico il DURC è frequentemente richiesto dal committente come condizione per i pagamenti, e dalle banche o dai professionisti che asseverano lavori edilizi agevolati.

Agevolazioni e benefici contributivi e normativi

La regolarità del DURC è condizione per fruire e conservare sgravi, decontribuzioni, incentivi all’assunzione e benefici normativi. Se l’impresa diventa irregolare, perde il diritto al beneficio per il periodo di irregolarità.

DURC di congruità in edilizia

È un documento distinto dal DURC online, introdotto dal decreto-legge 76/2020 e attuato dal decreto MLPS n. 143 del 25 giugno 2021 (in vigore dal 1° novembre 2021). Non verifica i versamenti, ma se la manodopera dichiarata in un cantiere è coerente con il valore dei lavori, per contrastare il lavoro irregolare. Lo approfondiamo più avanti.

Cosa significa essere "regolari"

La regolarità non richiede necessariamente il versamento al centesimo. Il decreto ministeriale 30 gennaio 2015 (la norma di riferimento del DURC online) prevede alcune valvole di sfogo che evitano l’irregolarità per inadempienze minime o sanabili.

Lo scostamento non grave

Non si considera grave, e quindi non impedisce il rilascio del DURC regolare, lo scostamento tra somme dovute e somme versate, riferito a ciascuna gestione in cui l’omissione si è prodotta, che risulti pari o inferiore a 150,00 euro comprensivi degli eventuali accessori di legge (sanzioni e interessi). Attenzione: la soglia si valuta gestione per gestione, non come totale complessivo.

L’invito a regolarizzare

Se la procedura non restituisce in tempo reale un esito di regolarità, l’ente competente non chiude subito con esito negativo: invia tramite PEC all’interessato (o al suo delegato) un invito a regolarizzare, con l’indicazione analitica delle irregolarità. Il soggetto ha allora un termine non superiore a 15 giorni dalla notifica per mettersi in regola. Se regolarizza nei termini, il DURC viene rilasciato come regolare.

Un avvertimento operativo importante: la soglia di non gravità dei 150 euro non "salva" chi ignora l’invito formale. Una volta avviata la procedura di invito, le regole su tempi e modalità diventano rigide e il mancato riscontro porta all’esito negativo.

Effetti dell’irregolarità

Un DURC negativo non è un semplice avviso: produce conseguenze immediate e concrete.

• Perdita dei benefici contributivi e normativi per il periodo di irregolarità.
• Esclusione dalle gare pubbliche e impossibilità di stipulare o proseguire l’appalto.
• Blocco dei pagamenti da parte della stazione appaltante o del committente.
• Intervento sostitutivo: la stazione appaltante trattiene dall’importo dovuto all’impresa la somma corrispondente all’inadempienza e la versa direttamente agli enti previdenziali e assicurativi (e alla Cassa Edile per i lavori edili), sostituendosi al debitore principale.

L’intervento sostitutivo è disciplinato, per gli appalti pubblici, dall’art. 30, comma 5, del precedente Codice (d.lgs. 50/2016), il cui meccanismo è confermato nell’attuale Codice dei contratti pubblici (d.lgs. 36/2023). Opera sia quando il credito dell’impresa copre per intero il debito verso gli enti, sia quando lo copre solo in parte.

DURC, rateazioni e definizioni agevolate

Avere un debito contributivo non significa automaticamente avere un DURC negativo. Conta come quel debito è gestito.

• Rateazione concessa e in regola: chi ha ottenuto una dilazione dei versamenti e paga regolarmente le rate è considerato regolare ai fini del DURC, perché il debito non è "scaduto e non pagato" ma sotto un piano accettato dall’ente. Il decadere dal piano (mancato pagamento delle rate) fa tornare l’irregolarità.
• Definizioni agevolate (rottamazioni): l’adesione a una definizione agevolata e il pagamento regolare delle relative rate incidono sulla valutazione di regolarità. Le condizioni precise dipendono dalla singola legge che istituisce la rottamazione e dalle istruzioni operative degli enti, quindi vanno verificate caso per caso prima di darle per acquisite.

La logica di fondo è una sola: regolare non vuol dire "senza debiti", ma "senza inadempienze non gestite".

Verifica autonoma e responsabilità del committente

Chi affida un lavoro non può limitarsi a fidarsi: in molti casi ha l’onere di verificare il DURC del proprio appaltatore (e degli eventuali subappaltatori). Negli appalti pubblici la verifica è strutturale e ricorrente; nei rapporti privati è prassi prudente e spesso contrattualmente richiesta, soprattutto per la responsabilità solidale che può gravare sul committente per i debiti retributivi e contributivi dell’appaltatore.

Il committente che acquisisce un DURC regolare, in corso di validità, e che attiva l’intervento sostitutivo in caso di irregolarità si pone al riparo dalle principali conseguenze. Trascurare la verifica, invece, espone al rischio di pagare due volte: una all’appaltatore e una agli enti in via solidale.

Il DURC di congruità in edilizia

È il fronte con più novità degli ultimi anni e con più dubbi pratici. Il DURC di congruità verifica che il costo della manodopera dichiarato in cantiere raggiunga una percentuale minima rispetto al valore complessivo dei lavori edili. Se la manodopera è troppo "leggera" rispetto all’opera, è segnale di possibile lavoro nero o sottodichiarato.

Quando si applica

• Lavori pubblici edili: la verifica è obbligatoria senza limiti di importo.
• Lavori privati edili: si applica alle opere di valore complessivo pari o superiore a 70.000 euro. Il valore va inteso come quello indicato nella notifica preliminare, comprensivo degli aggiornamenti e anche dei lavori non edili eseguiti nello stesso cantiere (per esempio impianto fotovoltaico, termoidraulico o infissi).

Come funziona la verifica

I dati del cantiere vanno inseriti nel portale CNCE EdilConnect (collegato a www.congruitanazionale.it), gestito dal Sistema nazionale edile. L’onere di inserire i dati resta in capo all’impresa affidataria. L’attestazione di congruità è rilasciata dalla Cassa Edile/Edilcassa territorialmente competente entro 10 giorni dalla richiesta.

Le percentuali di incidenza della manodopera

Ogni categoria di lavoro ha la propria percentuale minima, fissata dalla tabella allegata all’Accordo collettivo del 10 settembre 2020. A titolo di esempio verificato, per la categoria OG1 – Nuova edilizia civile l’incidenza minima della manodopera è del 14,28% del valore dell’opera. Le altre categorie (generali OG e specialistiche OS) hanno percentuali proprie: vanno lette direttamente sulla tabella ufficiale aggiornata, perché variano per tipologia di lavoro.

Cosa accade se non si è congrui

• Scostamento pari o inferiore al 5% rispetto alla percentuale di incidenza: la Cassa Edile rilascia comunque l’attestazione, previa idonea dichiarazione del direttore dei lavori che giustifichi lo scostamento.
• Scostamento superiore al 5%: l’impresa ha 15 giorni per regolarizzare, versando il costo della manodopera mancante. In difetto, la mancata attestazione di congruità incide sul rilascio del DURC online e segue l’impresa nei rapporti successivi.

Casi pratici

Caso 1 – Lo scostamento minimo che spaventa

La ditta di Tizio scopre, controllando la posizione INPS, di avere un debito di 120 euro di contributi su una singola gestione, accessori inclusi. Tizio teme di non poter incassare il SAL di un appalto. In realtà, trattandosi di uno scostamento pari o inferiore a 150 euro su quella gestione, è considerato non grave e il DURC viene rilasciato regolare. Resta comunque opportuno sanare l’importo per non accumularlo con altre poste.

Caso 2 – L’invito ignorato

La società di Caio riceve via PEC un invito a regolarizzare un debito INAIL di 900 euro, con 15 giorni di tempo. Caio, convinto erroneamente di rientrare nella "soglia di tolleranza", non risponde e non versa. Alla scadenza il DURC viene emesso negativo: la soglia dei 150 euro non si applica a chi ignora l’invito formale, e l’importo era comunque ben oltre. Caio perde temporaneamente i benefici contributivi e rischia il blocco di un pagamento in corso.

Caso 3 – La ristrutturazione privata sopra soglia

Tizio commissiona la ristrutturazione della propria abitazione per 85.000 euro complessivi, inclusi infissi e impianto fotovoltaico. Poiché si supera la soglia dei 70.000 euro, l’impresa affidataria deve inserire i dati in EdilConnect e ottenere il DURC di congruità a fine cantiere. Senza attestazione di congruità, l’asseverazione dei lavori e la fruizione di eventuali agevolazioni possono essere compromesse.

Novità e attenzioni 2025-2026

Il quadro normativo di base (DM 30 gennaio 2015 per il DURC online; DM 143/2021 per la congruità) è stabile, ma l’operatività si è affinata. In particolare:

• le FAQ ufficiali CNCE/EdilConnect sono state aggiornate nel 2025 per chiarire il perimetro della congruità (calcolo della soglia, cantieri con più imprese, lavori non edili nel computo);
• è proseguita l’attenzione sul rapporto tra definizioni agevolate (rottamazioni) e regolarità del DURC, tema su cui le condizioni dipendono dalla specifica legge e dalle istruzioni degli enti: vanno verificate prima di darle per acquisite;
• l’ANAC ha fornito indicazioni sul trattamento della congruità della manodopera negli appalti pubblici, segno che il controllo su questo profilo è sempre più centrale nelle gare.

La regola pratica che non cambia: verificare il DURC prima di ogni pagamento rilevante, non darlo per scontato anche se "era a posto" pochi mesi fa, e gestire qualsiasi debito (rateazione o sanatoria) in modo formale e tracciabile.

In sintesi

• Il DURC online attesta la regolarità verso INPS, INAIL e Casse Edili; vale 120 giorni ed è gratuito.
• Si è regolari anche con uno scostamento fino a 150 euro per gestione, o regolarizzando entro 15 giorni dall’invito via PEC.
• L’irregolarità costa benefici, gare e pagamenti, e attiva l’intervento sostitutivo della stazione appaltante.
• In edilizia, sopra 70.000 euro (lavori privati) o per qualsiasi appalto pubblico, serve anche il DURC di congruità, con percentuali minime di manodopera per categoria (es. OG1 al 14,28%).
• Rateazioni in regola e definizioni agevolate possono preservare la regolarità, ma vanno gestite e documentate.

Questa guida ha finalità informative e non sostituisce la consulenza professionale del consulente del lavoro o del commercialista, da consultare per il caso concreto.

In sintesi: cos’è il contratto di rete e a chi conviene

Il contratto di rete d’impresa è un accordo con cui due o più imprenditori si obbligano a collaborare in forme e ambiti predeterminati attinenti alle proprie attività, oppure a scambiarsi informazioni o prestazioni, oppure a esercitare in comune una o più attività, allo scopo di accrescere la propria capacità innovativa e la propria competitività sul mercato. La fonte normativa è l’art. 3, commi 4-ter e seguenti, del D.L. 10 febbraio 2009, n. 5, convertito con modificazioni dalla L. 9 aprile 2009, n. 33.

La risposta operativa che la maggior parte degli imprenditori cerca è questa: la rete non è una nuova società e, nella sua forma base (la cosiddetta «rete-contratto»), non crea un soggetto distinto dalle imprese partecipanti. Ciascuna impresa conserva la propria autonomia giuridica, la propria partita IVA e la propria contabilità. La rete diventa un soggetto autonomo solo se le imprese lo decidono espressamente, costituiscono un fondo comune e iscrivono la rete come tale nella sezione ordinaria del Registro delle Imprese (la «rete-soggetto»).

Conviene a chi vuole collaborare in modo strutturato senza fondersi: aggregarsi per partecipare ad appalti pubblici, condividere personale e know-how, fare innovazione o internazionalizzazione, accedere ad agevolazioni dedicate, mantenendo però ognuno la propria identità e il proprio bilancio.

Le due anime della rete: rete-contratto e rete-soggetto

La distinzione tra rete-contratto e rete-soggetto è il bivio centrale di tutta la materia, perché determina chi è il titolare dei diritti e degli obblighi verso i terzi, chi emette fattura, chi paga le imposte e come risponde dei debiti. È stata chiarita in modo organico dall’Agenzia delle Entrate con la circolare n. 20/E del 18 giugno 2013.

Rete-contratto (senza soggettività giuridica)

È la forma «leggera» e di default. L’adesione al contratto non comporta l’estinzione né la modifica della soggettività tributaria delle imprese che vi partecipano. Non nasce un nuovo soggetto: gli atti posti in essere «in esecuzione del programma di rete» producono effetti direttamente in capo alle singole imprese partecipanti.

Conseguenze pratiche secondo la circolare 20/E/2013:

• gli atti compiuti dall’organo comune producono effetti direttamente nelle sfere giuridiche dei singoli partecipanti (l’organo comune agisce in rappresentanza degli imprenditori);
• sul piano della fatturazione, per le operazioni eseguite tramite la rete ciascuna impresa partecipante emette o riceve fattura per la quota di propria competenza, ovvero l’eventuale impresa «capofila» ribalta pro-quota agli altri retisti;
• non c’è un patrimonio della rete autonomo dal patrimonio dei partecipanti.

Rete-soggetto (con soggettività giuridica)

Se il contratto prevede un fondo patrimoniale comune e un organo comune, la rete può (facoltativamente) iscriversi nella sezione ordinaria del Registro delle Imprese nella cui circoscrizione ha sede; con tale iscrizione la rete acquista soggettività giuridica. Diventa così un centro autonomo di imputazione di diritti e obblighi.

Conseguenze:

• la rete-soggetto è un autonomo soggetto passivo d’imposta, sia ai fini delle imposte dirette sia ai fini IVA, distinto dalle imprese partecipanti;
• ottiene una propria partita IVA e, ai fini dell’attribuzione, nel modello AA7/10 indica il codice natura giuridica «59 – Rete di imprese»;
• i conferimenti al fondo comune assumono rilievo come «partecipazioni» rilevanti contabilmente e fiscalmente, in modo analogo ai conferimenti societari;
• tiene una propria contabilità e, entro due mesi dalla chiusura dell’esercizio, l’organo comune redige una situazione patrimoniale (con le regole previste per il bilancio d’esercizio della s.p.a., in quanto compatibili) e la deposita presso il Registro delle Imprese.

Dubbio frequente: la sola previsione del fondo e dell’organo comune non trasforma automaticamente la rete in soggetto. La soggettività è un effetto che dipende dalla scelta volontaria di iscriversi nella sezione ordinaria. Una rete può avere fondo e organo comune e restare comunque rete-contratto se i partecipanti non procedono a quella specifica iscrizione.

Gli elementi obbligatori del contratto

L’art. 3, comma 4-ter, D.L. 5/2009 indica il contenuto che il contratto di rete deve avere. Gli elementi essenziali sono:

1. Identificazione degli imprenditori (nome, ditta, ragione o denominazione sociale di ogni partecipante);
2. indicazione degli obiettivi strategici di innovazione e di innalzamento della capacità competitiva e delle modalità per misurare l’avanzamento verso tali obiettivi;
3. il programma di rete, con l’enunciazione dei diritti e degli obblighi assunti da ciascun partecipante e le modalità di realizzazione dello scopo comune;
4. la durata del contratto;
5. le modalità di adesione di altri imprenditori e, se previste, le cause di recesso;
6. le regole per l’assunzione delle decisioni dei partecipanti su ogni materia o aspetto di interesse comune, e il relativo metodo decisionale (compresa la modifica del programma);
7. se previsto, l’organo comune incaricato di gestire l’esecuzione del contratto o di sue parti o fasi, con i poteri di gestione e di rappresentanza;
8. se previsto, il fondo patrimoniale comune, con la misura e i criteri di valutazione dei conferimenti iniziali e degli eventuali contributi successivi.

Organo comune e fondo patrimoniale comune sono elementi eventuali nella rete-contratto, ma diventano il presupposto per la trasformazione in rete-soggetto.

Il programma di rete

Il programma è il cuore operativo: descrive cosa la rete fa concretamente. Deve essere abbastanza specifico da consentire di misurare gli obiettivi, ma abbastanza flessibile da non dover essere modificato a ogni iniziativa. In pratica si descrivono le attività comuni (es. una linea di prodotto condivisa, una piattaforma logistica, una partecipazione a gare), gli investimenti previsti e i criteri di ripartizione di costi e ricavi.

Il fondo patrimoniale comune

Quando istituito, al fondo patrimoniale comune si applicano, in quanto compatibili, gli artt. 2614 e 2615 del Codice civile dettati in tema di consorzi con attività esterna. Questo è il dato cruciale sulla responsabilità: per le obbligazioni contratte dall’organo comune in relazione al programma di rete, i terzi possono far valere i loro diritti esclusivamente sul fondo comune. Il fondo gode quindi di una forma di autonomia patrimoniale e, come nei consorzi, durante la vita della rete i singoli partecipanti non possono chiederne la divisione e i creditori particolari del singolo retista non possono aggredire la sua quota del fondo.

Forma e pubblicità: come si stipula la rete

Il contratto di rete deve essere redatto in una delle seguenti forme:

• per atto pubblico (davanti a notaio);
• per scrittura privata autenticata (firme autenticate da notaio);
• per atto firmato digitalmente a norma degli artt. 24 e 25 del CAD (D.Lgs. 7 marzo 2005, n. 82) da ciascun imprenditore o legale rappresentante, trasmesso ai competenti uffici del Registro delle Imprese tramite il modello standard tipizzato con decreto del Ministero competente.

La firma digitale è la via che ha reso la rete uno strumento agile: consente di costituire e modificare la rete senza l’intervento notarile, usando il modello standard. Resta inteso che, se la rete-soggetto deve ricevere conferimenti che richiedono atti formali (ad esempio immobili), per quegli atti si applicano le forme proprie.

L’iscrizione nel Registro delle Imprese

Il contratto è soggetto a iscrizione nel Registro delle Imprese. Per la rete-contratto l’iscrizione avviene nella posizione di ciascuna impresa partecipante: l’efficacia del contratto inizia a decorrere da quando è stata eseguita l’ultima delle iscrizioni prescritte a carico di tutti coloro che ne sono stati sottoscrittori originari. Per la rete-soggetto l’iscrizione avviene nella sezione ordinaria del Registro delle Imprese nella cui circoscrizione è stabilita la sede, ed è proprio quella iscrizione a far acquisire la soggettività giuridica.

Aspetti fiscali essenziali nel 2026

Attenzione: questo è il punto in cui circolano più informazioni superate. Il regime fiscale di favore storico (sospensione d’imposta sugli utili accantonati al fondo, introdotto dall’art. 42, comma 2-quater, D.L. 78/2010) aveva esaurito la sua applicazione da anni. Nel 2026, tuttavia, l’agevolazione è stata reintrodotta.

La nuova sospensione d’imposta 2026-2028 (Legge annuale PMI)

La Legge annuale per le micro, piccole e medie imprese, L. 11 marzo 2026, n. 34, ha reintrodotto, per il triennio 2026-2028, un regime di sospensione d’imposta sugli utili destinati al fondo patrimoniale comune del contratto di rete. I tratti principali, in base al testo approvato:

• una quota di utili dell’esercizio non concorre alla formazione del reddito d’impresa, entro il limite di 1 milione di euro annui per ciascuna impresa;
• il beneficio si applica ai periodi d’imposta in corso al 31 dicembre 2026, 2027 e 2028;
• la quota agevolata deve essere accantonata in un’apposita riserva e destinata agli investimenti previsti dal programma comune di rete;
• è una sospensione condizionata, non un’esenzione definitiva: l’agevolazione decade (e l’importo torna a tassazione) se la riserva viene utilizzata per scopi diversi dalla copertura delle perdite d’esercizio o se viene meno l’adesione al contratto di rete;
• l’agevolazione opera nel limite complessivo di spesa di 15 milioni di euro per ciascuno dei periodi interessati;
• i criteri attuativi sono demandati a un decreto del Ministero competente, da adottare entro il termine fissato dalla legge.

In sintesi operativa: chi vuole sfruttare l’agevolazione già sul 2026 dovrebbe formalizzare il contratto di rete e impostare l’accantonamento entro la chiusura dell’esercizio 2026, tenendo conto che le modalità di dettaglio vanno verificate sul decreto attuativo una volta pubblicato.

Fiscalità ordinaria delle due forme

Al di là dell’agevolazione, valgono i principi della circolare 20/E/2013: nella rete-contratto non c’è tassazione «della rete» perché non esiste un soggetto distinto: i ricavi e i costi delle operazioni di rete confluiscono pro-quota nei redditi delle singole imprese. Nella rete-soggetto, invece, la rete è soggetto passivo autonomo IRES/IRAP e IVA e dichiara un proprio reddito.

Reti e appalti pubblici: l’uso più diffuso

Uno dei vantaggi pratici più rilevanti è la partecipazione congiunta agli appalti pubblici. Le reti di imprese sono espressamente ammesse tra gli operatori economici aggregati. Nel vigente Codice dei contratti pubblici (D.Lgs. 31 marzo 2023, n. 36), la rete rientra tra le forme di aggregazione ammesse, alla quale si applicano, in quanto compatibili, le regole previste per i raggruppamenti temporanei di imprese (RTI) e i consorzi ordinari.

Punti operativi:

• il programma di rete deve manifestare la volontà delle imprese di partecipare congiuntamente alle gare, e la durata della rete deve essere commisurata alla realizzazione dei contratti cui si intende partecipare;
• tutte le imprese della rete (sia le esecutrici sia l’eventuale mandataria/organo comune) devono possedere e attestare i requisiti generali e speciali richiesti dalla gara;
• il funzionamento concreto (chi firma l’offerta, chi è mandataria, qualificazione) varia a seconda che la rete abbia o meno organo comune con potere di rappresentanza e soggettività giuridica.

La L. 34/2026 è intervenuta anche sulla disciplina dei consorzi e delle aggregazioni nel quadro degli appalti, proseguendo il percorso già tracciato dal D.Lgs. 36/2023 e dal correttivo (D.Lgs. 209/2024). Per le gare in corso conviene quindi verificare la versione aggiornata delle norme di partecipazione.

Lavoro: distacco e codatorialità nella rete

La rete offre due strumenti specifici sulla gestione del personale, previsti dall’art. 30, comma 4-ter, del D.Lgs. 276/2003:

• Distacco semplificato: quando il distacco di un lavoratore avviene tra imprese che hanno sottoscritto un contratto di rete, l’interesse del distaccante sorge automaticamente in forza dell’operare della rete (non occorre dimostrarlo caso per caso);
• Codatorialità: i partecipanti possono assumere lavoratori in regime di codatorialità, ingaggiati con regole stabilite dal contratto di rete stesso; il potere direttivo può essere esercitato da ciascun imprenditore retista secondo le regole pattuite.

Sul piano operativo, l’Ispettorato Nazionale del Lavoro ha fornito indicazioni con la circolare INL n. 7 del 29 marzo 2018; gli adempimenti comunicativi sui lavoratori in codatorialità si effettuano con l’apposito modello («Unirete») e presuppongono la previa iscrizione del contratto di rete nel Registro delle Imprese.

Responsabilità verso i terzi: chi paga i debiti della rete

Questo è il dubbio più delicato e quello su cui si sbaglia più spesso.

Nella rete-contratto con fondo comune: per le obbligazioni assunte dall’organo comune in relazione al programma di rete, in virtù del rinvio agli artt. 2614-2615 c.c., i terzi possono soddisfarsi esclusivamente sul fondo patrimoniale comune. Il fondo funziona quindi da «cuscinetto» che limita l’esposizione dei singoli, in modo analogo al consorzio con attività esterna.

Nella rete-soggetto: essendoci un soggetto autonomo, la rete risponde con il proprio patrimonio (il fondo) delle obbligazioni assunte in nome proprio, con la stessa logica di autonomia patrimoniale.

Quando invece un’impresa retista contrae un’obbligazione in nome proprio (e non tramite l’organo comune nell’ambito del programma), risponde con tutto il proprio patrimonio: la rete non offre alcuno scudo per quegli atti. La distinzione tra «atto del programma compiuto dall’organo comune» e «atto della singola impresa» è quindi decisiva per individuare il patrimonio aggredibile.

Casi pratici

Caso 1 – Rete-contratto per una gara d’appalto (Tizio, Caio e Sempronio)

Tizio (impresa edile), Caio (impianti) e Sempronio (serramenti) vogliono partecipare a un appalto pubblico di ristrutturazione che, da soli, non riuscirebbero a coprire per requisiti. Stipulano un contratto di rete firmato digitalmente, con un programma che dichiara espressamente l’intento di partecipare congiuntamente a gare. Indicano Tizio come organo comune/mandataria con potere di rappresentanza. Restano tre imprese distinte: ciascuna conserva partita IVA e contabilità, fattura la propria quota di lavori, e tutte attestano i requisiti richiesti dalla gara. Non costituiscono soggettività giuridica: è una rete-contratto. Vantaggio: aggregazione dei requisiti senza dover creare una nuova società.

Caso 2 – Rete-soggetto con marchio comune (Tizio e Caio)

Tizio e Caio, due cantine vinicole, vogliono creare un marchio comune e una struttura commerciale unica per l’export, che stipuli contratti in nome proprio, assuma un export manager e fatturi direttamente i clienti esteri. Optano per la rete-soggetto: costituiscono un fondo comune, prevedono l’organo comune e iscrivono la rete nella sezione ordinaria del Registro delle Imprese. La rete ottiene partita IVA (natura giuridica codice 59), tiene contabilità propria, deposita la situazione patrimoniale annuale ed è soggetto passivo d’imposta autonomo. È la scelta giusta quando serve un «contenitore» che operi visibilmente verso i terzi.

Caso 3 – Sospensione d’imposta e investimento condiviso (Tizio, Caio, Sempronio)

Tre imprese manifatturiere mettono a programma l’acquisto di un macchinario condiviso. Nel 2026 ciascuna accantona una quota di utili (entro il limite di 1 milione di euro annui per impresa) in una riserva dedicata al fondo comune, beneficiando della sospensione d’imposta L. 34/2026. Se negli esercizi successivi una di esse usasse la riserva per distribuire dividendi invece che per l’investimento, o uscisse dalla rete, per quella impresa l’agevolazione decadrebbe e la quota tornerebbe a tassazione. La regola d’oro: la riserva va «congelata» e impiegata solo per gli investimenti del programma (salvo copertura perdite).

Dubbi specifici e risposte

La rete può avere dipendenti? Solo la rete-soggetto può essere datore di lavoro autonomo. Nella rete-contratto i lavoratori restano in capo alle singole imprese, ma è possibile la codatorialità e il distacco semplificato tra retisti.

Posso aggiungere imprese dopo? Sì, se il contratto disciplina le modalità di adesione di nuovi imprenditori (elemento da prevedere espressamente). Le adesioni successive vanno iscritte nel Registro delle Imprese.

La rete-contratto può diventare rete-soggetto in un secondo momento? Sì: se ha già (o aggiunge) fondo e organo comune, può procedere all’iscrizione nella sezione ordinaria, acquisendo così soggettività. È una scelta che ha però conseguenze fiscali (nascita di un nuovo soggetto passivo) da valutare con il consulente.

Il fondo comune è obbligatorio? No nella rete-contratto. Sì come presupposto, insieme all’organo comune, per la rete-soggetto.

Serve il notaio? Non necessariamente: la firma digitale ex artt. 24-25 CAD con modello standard consente di costituire la rete senza atto notarile. Il notaio resta necessario per l’atto pubblico o l’autentica delle firme, e per atti su beni che richiedono forme particolari.

Conclusioni operative

Il contratto di rete è uno strumento flessibile a «geometria variabile»: dalla semplice collaborazione contrattuale fino alla creazione di un vero soggetto giuridico. La scelta tra rete-contratto e rete-soggetto va fatta a monte, in funzione dell’obiettivo (gara, marchio comune, internazionalizzazione, gestione del personale, agevolazioni). Con la reintroduzione della sospensione d’imposta per il 2026-2028, oggi c’è anche una ragione fiscale concreta per strutturare bene il fondo e il programma. Trattandosi di scelte con effetti civilistici, fiscali e giuslavoristici intrecciati, è opportuno definire programma, organo e fondo con il supporto di un professionista, verificando il decreto attuativo dell’agevolazione una volta pubblicato.

In sintesi: il contratto di affiliazione commerciale (franchising) in Italia è disciplinato dalla Legge 6 maggio 2004, n. 129. Deve essere stipulato per iscritto a pena di nullità; se è a tempo determinato deve avere una durata minima sufficiente ad ammortizzare l’investimento e comunque non inferiore a tre anni; deve indicare in modo espresso investimenti, spese di ingresso, royalties, eventuale incasso minimo, esclusiva territoriale, know-how e condizioni di rinnovo, cessione e risoluzione. Prima della firma l’affiliante deve consegnare all’aspirante affiliato copia completa del contratto almeno 30 giorni prima, con una serie di allegati informativi. Capire questi obblighi, e far verificare il testo prima di firmare, è la differenza tra un investimento tutelato e un impegno pluriennale dai contorni incerti.

Che cos’è l’affiliazione commerciale (franchising)

L’affiliazione commerciale è il contratto, comunque denominato, tra due soggetti giuridicamente ed economicamente indipendenti, con cui una parte (l’affiliante, in inglese franchisor) concede all’altra (l’affiliato, franchisee), dietro corrispettivo, la disponibilità di un insieme di diritti su marchi, insegne, denominazioni commerciali, know-how, brevetti, oltre ad assistenza e consulenza tecnica e commerciale, inserendo l’affiliato in un sistema costituito da una pluralità di affiliati distribuiti sul territorio, allo scopo di commercializzare determinati beni o servizi.

In termini pratici: chi apre in franchising non costruisce un marchio da zero, ma “prende in licenza” una formula commerciale già esistente. Riceve l’insegna, il modello operativo, l’assistenza dell’affiliante e, in cambio, paga un corrispettivo (tipicamente una fee di ingresso e canoni periodici, le royalties) e si impegna a gestire il punto vendita secondo gli standard della rete. Restano però due imprese distinte: l’affiliato è imprenditore in proprio, con la propria partita IVA, i propri dipendenti e il proprio rischio d’impresa.

Questo è il punto da cui partire: il franchising non è lavoro dipendente né una garanzia di reddito. È un contratto commerciale in cui buona parte del rischio resta sull’affiliato. Per questo la legge ha introdotto una serie di tutele a favore della parte tipicamente più debole sul piano informativo.

La forma scritta a pena di nullità

Il primo requisito è formale ma decisivo: il contratto di affiliazione commerciale deve essere redatto per iscritto a pena di nullità (art. 3, comma 1, L. 129/2004). Non si tratta di una formalità burocratica. La nullità significa che il contratto, se non è scritto, è come se non fosse mai esistito: non produce effetti tra le parti.

La conseguenza pratica è importante. Promesse verbali, accordi presi “a voce” in fase di trattativa, impegni dell’affiliante non trasfusi nel testo scritto non vincolano nessuno. Se un elemento è rilevante per la decisione di aprire – un’esclusiva sul territorio, un certo livello di assistenza, un determinato calcolo delle royalties – deve comparire nero su bianco nel contratto firmato. Tutto ciò che resta fuori dal documento, nella sostanza, non esiste sul piano giuridico.

La durata minima di tre anni

La legge tutela l’affiliato anche sul piano temporale. Quando il contratto è a tempo determinato, l’affiliante deve garantire all’affiliato una durata minima sufficiente all’ammortamento dell’investimento e comunque non inferiore a tre anni (art. 3, comma 3).

La logica è chiara: chi apre un punto vendita in franchising sostiene spese iniziali spesso consistenti (allestimento, scorte, fee di ingresso). Se il rapporto potesse essere chiuso dopo pochi mesi, l’affiliato rischierebbe di non recuperare nemmeno l’investimento. Il legislatore ha quindi fissato un “pavimento”: tre anni come soglia minima, salvo il caso in cui per ammortizzare l’investimento ne servano di più.

Attenzione però a non leggere questa norma come una garanzia assoluta di stabilità. Resta possibile la risoluzione anticipata in caso di inadempimento di una delle parti, e il contratto può prevedere clausole risolutive specifiche. La durata minima protegge da una cessazione arbitraria, non dalle conseguenze di una violazione contrattuale. È uno dei punti su cui conviene leggere con la massima attenzione le clausole di risoluzione prima di firmare.

Il contenuto obbligatorio del contratto (art. 3)

L’articolo 3 elenca gli elementi che il contratto deve indicare espressamente. È la “carta d’identità” economica dell’operazione, e ogni voce mancante o ambigua è un campanello d’allarme.

• Ammontare degli investimenti e delle eventuali spese di ingresso che l’affiliato deve sostenere prima dell’avvio dell’attività. Qui si misura quanto capitale serve davvero per partire.
• Modalità di calcolo e di pagamento delle royalties, ed eventuale indicazione di un incasso minimo da realizzare. È fondamentale capire se le royalties sono fisse o a percentuale sul fatturato, e se è previsto un fatturato minimo che, se non raggiunto, può avere conseguenze contrattuali.
• Ambito dell’eventuale esclusiva territoriale, sia rispetto ad altri affiliati sia rispetto a canali e unità di vendita gestiti direttamente dall’affiliante. Serve a sapere se altri punti vendita della rete (o vendite online dirette dell’affiliante) potranno operare sullo stesso territorio.
• Specifica del know-how fornito dall’affiliante all’affiliato, ed eventuali modalità di riconoscimento dell’apporto di know-how da parte dell’affiliato stesso.
• Caratteristiche dei servizi offerti dall’affiliante in termini di assistenza tecnica e commerciale, progettazione, allestimento e formazione.
• Condizioni di rinnovo, risoluzione ed eventuale cessione del contratto.

Queste voci non sono semplici formule di stile. Sono i parametri con cui si valuta se l’investimento ha senso: un contratto che lascia vaghe le royalties, omette l’esclusiva territoriale o non descrive il know-how trasferito espone l’affiliato a interpretazioni unilaterali in corso di rapporto.

Gli obblighi precontrattuali: la consegna 30 giorni prima (art. 4)

È forse la tutela più importante, perché agisce prima della firma, quando l’affiliato può ancora decidere di non procedere. L’affiliante deve consegnare all’aspirante affiliato copia completa del contratto da sottoscrivere almeno trenta giorni prima della firma, corredato di una serie di allegati informativi.

L’obiettivo dichiarato della norma è riequilibrare l’asimmetria informativa tipica del franchising: l’affiliante conosce alla perfezione la propria rete, l’aspirante affiliato no. I trenta giorni servono a dare tempo per leggere, valutare e, idealmente, far esaminare il testo da un professionista.

Tra gli allegati che la legge richiede di mettere a disposizione rientrano in particolare:

• i dati principali relativi all’affiliante (denominazione, capitale sociale e, su richiesta, i bilanci degli ultimi tre anni);
• l’indicazione dei marchi utilizzati nel sistema, con gli estremi della registrazione o del deposito;
• una illustrazione degli elementi caratterizzanti l’attività oggetto dell’affiliazione;
• l’elenco degli affiliati operanti nel sistema e la loro dislocazione, con la variazione del loro numero negli ultimi tre anni;
• l’indicazione degli eventuali procedimenti giudiziari o arbitrali conclusi negli ultimi tre anni relativi al sistema di affiliazione, promossi da affiliati, privati o autorità pubbliche.

Quest’ultimo punto è prezioso: il numero di affiliati che entrano ed escono dalla rete e l’esistenza di contenziosi dicono molto sulla salute reale del network. Una rete che perde affiliati anno dopo anno, o costellata di cause con i propri franchisee, è un segnale che nessuna brochure promozionale rivelerebbe.

L’obbligo di aver sperimentato la formula sul mercato

La legge prevede un requisito a monte, spesso trascurato: per costituire una rete di affiliazione commerciale, l’affiliante deve aver previamente sperimentato sul mercato la propria formula commerciale.

In altre parole, non si può vendere un “modello di business” mai testato. La formula deve essersi dimostrata funzionante in concreto, di norma attraverso punti vendita pilota gestiti direttamente, prima di essere replicata e ceduta agli affiliati. Per chi valuta un’offerta di franchising è una verifica essenziale: da quanto esiste la rete, quanti punti vendita ha, da quanto tempo la formula è operativa. Un’insegna giovanissima, senza una storia di sperimentazione diretta, espone l’affiliato al rischio di fare da cavia su un modello ancora da validare.

Buona fede, conciliazione e annullamento per false informazioni

La legge impone a entrambe le parti un comportamento improntato a buona fede, lealtà e correttezza. In particolare, l’affiliante deve fornire all’aspirante affiliato ogni dato e informazione necessari e ritenuti utili, salvo le esigenze di riservatezza; l’affiliato, a sua volta, deve fornire informazioni esatte sulla propria situazione.

Il presidio più forte è l’annullamento del contratto per false informazioni (art. 8): se una parte ha fornito false informazioni, l’altra può chiedere l’annullamento del contratto ai sensi dell’art. 1439 del codice civile (dolo), oltre al risarcimento del danno, se dovuto. È lo strumento che colpisce l’affiliante che abbia “gonfiato” i numeri della rete, i risultati attesi o i dati di redditività per convincere l’aspirante affiliato a firmare.

Sul fronte delle controversie, la legge prevede inoltre la conciliazione (art. 7): le parti possono concordare che, prima di rivolgersi all’autorità giudiziaria o all’arbitrato, sia esperito un tentativo di conciliazione presso la Camera di commercio, industria, artigianato e agricoltura nel cui territorio ha sede l’affiliato. È una via che può ridurre tempi e costi del contenzioso, ma le sue conseguenze pratiche dipendono da come la clausola è scritta nel contratto.

I rischi tipici per l’affiliato e cosa controllare prima di firmare

Conoscere le norme serve a tradurle in domande concrete da porsi prima di impegnarsi per anni. I punti più delicati nella pratica sono questi:

• Promesse fuori dal contratto. Tutto ciò che conta deve essere scritto: l’esclusiva, i servizi di assistenza, gli obblighi di formazione, i tempi di consegna. Le rassicurazioni verbali non vincolano.
• Royalties e incasso minimo. Verificare come sono calcolate le royalties e se è previsto un fatturato minimo: una clausola di incasso minimo mal compresa può trasformarsi in un onere pesante negli anni difficili.
• Esclusiva territoriale reale. Controllare se l’affiliante può aprire altri punti vendita, anche diretti, o vendere online sullo stesso territorio. Un’esclusiva “sulla carta” ma con eccezioni ampie vale poco.
• Clausole di risoluzione e recesso. Capire in quali casi l’affiliante può risolvere il contratto e con quali conseguenze (penali, restituzione di materiali, divieti di concorrenza post-contrattuali).
• Investimento totale effettivo. Sommare fee di ingresso, allestimento, scorte minime e costi ricorrenti, e confrontarli con un piano economico realistico, non con le proiezioni ottimistiche dell’affiliante.
• Salute della rete. Leggere con attenzione l’elenco degli affiliati, l’andamento del loro numero negli ultimi tre anni e l’eventuale presenza di contenziosi. Sono indicatori che la documentazione precontrattuale deve rendere disponibili.
• Rispetto dei 30 giorni. Se la copia completa del contratto e gli allegati non vengono consegnati con il dovuto anticipo, è già un segnale di un affiliante che non rispetta le regole.

Il franchising può essere una formula efficace per avviare un’attività riducendo l’incertezza del “partire da zero”. Ma la tutela offerta dalla L. 129/2004 funziona solo se l’affiliato la conosce e la fa valere: forma scritta, durata, contenuto obbligatorio e informativa precontrattuale sono diritti, non gentilezze concesse dall’affiliante.

Conclusione

Firmare un contratto di affiliazione significa assumere un impegno economico e operativo che si proietta su anni. Gli aspetti in gioco – calcolo delle royalties, perimetro dell’esclusiva, condizioni di risoluzione, completezza dell’informativa precontrattuale, veridicità dei dati sulla rete – sono tecnici e si valutano caso per caso, sul testo concreto. Una lettura superficiale, o l’affidamento alle sole rassicurazioni commerciali dell’affiliante, è il primo passo verso un contenzioso. Prima di sottoscrivere un contratto di franchising, e idealmente già durante i trenta giorni di valutazione previsti dalla legge, è prudente far esaminare il contratto e gli allegati da un professionista esperto in materia, che possa verificare la conformità alla L. 129/2004, individuare le clausole critiche e assistere nella trattativa. È l’investimento più piccolo, e quello che protegge tutti gli altri.

La risposta breve: nel settore privato sei obbligato a istituire un canale di segnalazione interno se nell’ultimo anno hai impiegato una media di almeno 50 lavoratori subordinati (a tempo determinato o indeterminato). Ma l’obbligo scatta anche sotto i 50 dipendenti se la tua azienda ha adottato un modello organizzativo ex d.lgs 231/2001, oppure se opera in determinati settori regolati (servizi e prodotti finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell’ambiente). La mancata istituzione del canale, le ritorsioni o la cattiva gestione delle segnalazioni espongono a sanzioni ANAC fino a 50.000 euro. Vediamo nel dettaglio chi rientra, come si fa e cosa si rischia.

Cos’è il whistleblowing e da dove nasce l’obbligo

Il termine whistleblowing indica la segnalazione, da parte di chi lavora in un’organizzazione, di violazioni di disposizioni normative di cui sia venuto a conoscenza nel proprio contesto lavorativo e che ledano l’interesse pubblico o l’integrità dell’ente. Non si tratta di un esposto generico o di una lamentela: la legge protegge chi denuncia illeciti, garantendogli la riservatezza dell’identità e la tutela contro ogni forma di ritorsione.

La fonte è il decreto legislativo 10 marzo 2023, n. 24, che ha recepito in Italia la direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione. Il decreto ha unificato e riscritto una disciplina che prima era frammentata, estendendo per la prima volta in modo organico gli obblighi anche al settore privato.

Le date sono importanti per capire da quando si è “in ritardo”: gli obblighi sono entrati in vigore il 15 luglio 2023 per i soggetti privati con più di 249 lavoratori e per quelli del settore pubblico; per i soggetti privati con una media tra 50 e 249 lavoratori l’obbligo è scattato il 17 dicembre 2023. Per chi non si è ancora adeguato, quindi, il tema non è una scadenza futura ma un adempimento già dovuto.

Chi è obbligato nel settore privato: attenzione alla doppia soglia

Questo è il punto su cui molti imprenditori si sbagliano, perché esistono due porte d’ingresso distinte all’obbligo. Basta rientrare in una sola delle due per dover istituire il canale.

Prima soglia: la media di almeno 50 lavoratori subordinati

Sono obbligati i soggetti del settore privato che nell’ultimo anno hanno impiegato una media di almeno 50 lavoratori subordinati, con contratto di lavoro a tempo indeterminato o determinato. Due chiarimenti pratici fondamentali:

• Si ragiona sulla media dell’anno, non sul numero presente in un singolo giorno: un’azienda stagionale che oscilla sopra e sotto la soglia deve calcolare il valore medio dei lavoratori subordinati nell’arco dell’anno.
• Il computo riguarda i lavoratori subordinati. Vanno valutati con attenzione, alla luce delle indicazioni applicative, i rapporti diversi dalla subordinazione tipica; in caso di organici borderline il calcolo va documentato per iscritto.

Seconda soglia: l’obbligo anche sotto i 50 dipendenti

Anche un’azienda con meno di 50 dipendenti può essere pienamente obbligata. Accade in due ipotesi:

• Adozione di un modello organizzativo ex d.lgs 231/2001. Se l’ente ha adottato il modello di organizzazione, gestione e controllo per la responsabilità amministrativa degli enti, deve dotarsi del canale di segnalazione interno a prescindere dal numero di dipendenti. In questo caso, però, l’oggetto delle segnalazioni è di norma circoscritto alle violazioni rilevanti ai fini del modello 231.
• Operatività in settori regolati. Rientrano nell’obbligo, anche sotto la soglia dei 50, i soggetti che operano in ambiti per cui la normativa europea richiede tutele specifiche: in particolare servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente.

In sintesi: prima di concludere “ho pochi dipendenti, non mi riguarda”, occorre verificare se si ha un modello 231 o se si rientra in uno dei settori regolati. La doppia soglia rende l’obbligo molto più esteso di quanto sembri a prima vista.

Il canale di segnalazione interno: requisiti, gestione e tempi

Chi rientra nell’obbligo deve attivare un canale di segnalazione interno rispettando precisi requisiti.

Riservatezza

Il canale deve garantire la riservatezza dell’identità del segnalante, della persona coinvolta e di quella comunque menzionata nella segnalazione, nonché del contenuto e della relativa documentazione. La gestione tecnica deve assicurare questa protezione anche tramite strumenti informatici adeguati: un indirizzo e-mail ordinario condiviso non è idoneo, perché non garantisce la separazione e la sicurezza richieste.

A chi si affida la gestione

La gestione del canale può essere affidata a:

• una persona o un ufficio interno appositamente individuato e formato, con personale dedicato;
• un soggetto esterno, anch’esso autonomo e con personale dedicato.

In entrambi i casi serve un atto formale di nomina del gestore, che individui il responsabile e ne definisca compiti e garanzie di autonomia.

Modalità: scritto e orale

Il canale deve consentire segnalazioni sia in forma scritta (in modalità analogica o, preferibilmente, informatica) sia in forma orale (ad esempio tramite linee telefoniche o sistemi di messaggistica vocale e, su richiesta del segnalante, mediante un incontro diretto fissato entro un termine ragionevole).

I tempi da rispettare

Il gestore deve seguire una tempistica precisa:

• Avviso di ricevimento della segnalazione al segnalante entro 7 giorni dalla data di ricezione.
• Dialogo con il segnalante e, se necessario, richiesta di integrazioni.
• Riscontro alla segnalazione entro 3 mesi dalla data dell’avviso di ricevimento (o, in mancanza di avviso, dalla scadenza dei 7 giorni dalla ricezione).

Il rispetto di questi termini non è una formalità: la loro violazione rientra tra le condotte che possono essere sanzionate dall’ANAC.

Il canale esterno presso ANAC e la divulgazione pubblica

Oltre al canale interno aziendale, la legge prevede un canale esterno gestito dall’ANAC. Il segnalante può rivolgersi direttamente all’ANAC, anziché all’azienda, solo in presenza di determinate condizioni, ad esempio quando:

• nel suo contesto lavorativo non è attivo il canale interno obbligatorio, oppure questo non è conforme alla legge;
• ha già effettuato una segnalazione interna che non ha avuto seguito;
• ha fondato motivo di ritenere che la segnalazione interna non avrebbe efficace seguito o che esporrebbe a rischio di ritorsione;
• ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

La divulgazione pubblica (ad esempio tramite la stampa o i social) è ammessa, con conservazione delle tutele, solo in ipotesi residuali e più stringenti: tra le altre, quando il segnalante ha già attivato i canali interno ed esterno senza riscontro, o quando ha fondato motivo di ritenere che vi sia un pericolo imminente per il pubblico interesse o un rischio concreto di ritorsione o di occultamento delle prove. La logica del sistema è “a cascata”: il canale interno è la via privilegiata, l’ANAC e la divulgazione sono percorsi successivi e condizionati.

Le tutele del segnalante

Il cuore della disciplina è la protezione di chi segnala. Le tutele principali sono:

• Divieto di ritorsioni. Sono vietati comportamenti, atti od omissioni, anche solo tentati o minacciati, posti in essere a causa della segnalazione e che provochino un danno al segnalante: licenziamento, demansionamento, mancata promozione, mutamenti di mansioni, sanzioni disciplinari, discriminazioni e simili. Gli atti ritorsivi sono nulli.
• Riservatezza dell’identità. L’identità del segnalante non può essere rivelata senza il suo consenso espresso a soggetti diversi da quelli competenti a ricevere o gestire le segnalazioni.
• Ambito delle violazioni segnalabili. La tutela copre la segnalazione di illeciti rilevanti ai sensi del decreto: tra questi le violazioni del diritto dell’Unione europea nei settori indicati dalla direttiva, condotte rilevanti ai fini della responsabilità amministrativa degli enti, e altre violazioni che ledono l’interesse pubblico o l’integrità dell’ente. Restano escluse, ad esempio, le contestazioni o le rivendicazioni di carattere strettamente personale del rapporto di lavoro.

Le tutele si estendono, a determinate condizioni, anche ai facilitatori e alle persone vicine al segnalante (colleghi, familiari).

Le sanzioni ANAC: gli importi vigenti

La vigilanza e il potere sanzionatorio sono affidati all’ANAC. Gli importi previsti dall’articolo 21 del decreto sono i seguenti:

• Sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando l’ANAC accerta che sono state commesse ritorsioni, oppure che la segnalazione è stata ostacolata o si è tentato di ostacolarla, oppure che è stato violato l’obbligo di riservatezza.
• Sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando l’ANAC accerta che non sono stati istituiti i canali di segnalazione, che non sono state adottate le procedure per la gestione delle segnalazioni o che queste non sono conformi alla legge, oppure che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.
• Sanzione amministrativa pecuniaria da 500 a 2.500 euro a carico del segnalante nel caso, accertato anche con sentenza di primo grado, di sua responsabilità penale per diffamazione o calunnia (salvo che sia già stato condannato per tali reati con riferimento alla denuncia all’autorità).

Va sottolineato che la sanzione per ritorsioni e per mancata istituzione del canale colpisce il soggetto responsabile e che, per gli enti dotati di modello 231, le violazioni devono essere richiamate nel sistema disciplinare interno. Trattandosi di importi e fattispecie che possono essere aggiornati, è buona norma verificare l’entità esatta della sanzione applicabile al caso concreto e l’eventuale graduazione operata dall’ANAC nelle proprie delibere.

Come mettersi in regola: gli adempimenti pratici

Una volta accertato di essere obbligati, l’adeguamento si articola in alcuni passaggi concreti:

1. Verifica dell’obbligo e della soglia. Calcolare e documentare la media dei lavoratori subordinati dell’ultimo anno e controllare la presenza di un modello 231 o l’operatività in settori regolati.
2. Scelta e attivazione della piattaforma. Dotarsi di uno strumento, tipicamente informatico, che garantisca riservatezza, tracciabilità e sicurezza, con possibilità di segnalazione scritta e orale.
3. Atto di nomina del gestore. Individuare formalmente la persona, l’ufficio interno o il soggetto esterno cui affidare la gestione, garantendone autonomia e formazione.
4. Procedura interna. Adottare e formalizzare la procedura di gestione delle segnalazioni, con i tempi di legge (avviso entro 7 giorni, riscontro entro 3 mesi) e le regole di trattamento dei dati personali.
5. Informativa e comunicazione. Informare in modo chiaro e accessibile i lavoratori e gli altri soggetti legittimati sull’esistenza del canale, sulle modalità di utilizzo e sulle tutele previste, anche attraverso una sezione dedicata.
6. Coordinamento privacy e, se presente, modello 231. Integrare il sistema con gli adempimenti in materia di protezione dei dati personali e, per gli enti che ne sono dotati, con il modello organizzativo e il relativo sistema disciplinare.

Si tratta di un adempimento che incrocia diritto del lavoro, responsabilità degli enti e protezione dei dati personali, con sanzioni significative in caso di errore o inerzia. Per questo, prima di scegliere la piattaforma e redigere atto di nomina, procedura e informativa, è opportuno farsi affiancare da un professionista di fiducia, che valuti la posizione concreta dell’azienda rispetto alla doppia soglia e imposti correttamente il sistema. Un confronto preventivo evita di scoprire una non conformità solo nel momento, sempre delicato, in cui arriva la prima segnalazione o un controllo dell’autorità.

In sintesi: per aprire un e-commerce in regola in Italia servono cinque blocchi di adempimenti. Primo, l’apertura della partita IVA (modello AA9/12 per le ditte individuali) con il codice ATECO 47.91.10 e l’iscrizione al Registro delle Imprese tramite ComUnica. Secondo, la SCIA (Segnalazione Certificata di Inizio Attività) trasmessa al SUAP del Comune. Terzo, gli obblighi verso il consumatore previsti dal Codice del Consumo (d.lgs. 206/2005): informazioni precontrattuali, diritto di recesso di 14 giorni e garanzia legale di conformità di 24 mesi. Quarto, la privacy (GDPR, regolamento UE 2016/679) con informativa, basi giuridiche e gestione dei cookie. Quinto, la disciplina IVA delle vendite a distanza, con la soglia unica di 10.000 euro e il regime OSS. La materia incrocia diritto tributario, commerciale, dei consumatori e protezione dei dati: per evitare sanzioni conviene farsi assistere da un professionista.

Partita IVA, codice ATECO e Registro delle Imprese

La vendita online di beni è a tutti gli effetti un’attività d’impresa commerciale: non esiste una vendita online “occasionale” stabile e ripetuta senza partita IVA. Il primo passo è quindi l’apertura della partita IVA. Per la ditta individuale si utilizza il modello AA9/12, da presentare entro 30 giorni dall’effettivo inizio dell’attività; per le società si usa il modello AA7/10.

Il codice ATECO di riferimento per il commercio al dettaglio online è il 47.91.10 (“Commercio al dettaglio di prodotti via internet”). La scelta del codice non è un dettaglio formale: incide sull’inquadramento previdenziale, sui coefficienti di redditività (rilevanti per chi opta per il regime forfettario) e sull’eventuale obbligo di requisiti professionali, ad esempio per la vendita di prodotti alimentari.

Contestualmente all’apertura della partita IVA, l’impresa commerciale deve iscriversi al Registro delle Imprese presso la Camera di Commercio (CCIAA) competente. L’adempimento avviene tramite la Comunicazione Unica (ComUnica), lo strumento telematico che, con un’unica trasmissione, assolve gli obblighi verso Agenzia delle Entrate, Registro delle Imprese, INPS e INAIL.

È inoltre necessario il possesso dei requisiti morali previsti dall’art. 71, comma 1, del d.lgs. 59/2010; per la vendita di prodotti del settore alimentare occorrono anche i requisiti professionali di cui allo stesso art. 71, comma 6.

La SCIA al SUAP del Comune

Per esercitare il commercio elettronico al dettaglio occorre presentare una SCIA (Segnalazione Certificata di Inizio Attività) al SUAP (Sportello Unico per le Attività Produttive) del Comune in cui ha sede l’attività. Il commercio elettronico rientra infatti tra le forme speciali di vendita al dettaglio disciplinate dal d.lgs. 114/1998.

La SCIA si trasmette esclusivamente in via telematica, di norma inserendola nella Comunicazione Unica indirizzata al Registro delle Imprese, che la inoltra al SUAP competente. La segnalazione ha effetto immediato: l’attività può iniziare dal giorno della presentazione, ma l’amministrazione comunale dispone di 60 giorni per verificare le dichiarazioni e i documenti e, in caso di carenze, avviare il procedimento.

Va chiarito un punto pratico: anche chi vende senza magazzino proprio, opera in dropshipping o utilizza la logistica di un marketplace deve presentare la SCIA, perché ciò che rileva è l’esercizio dell’attività di vendita, non la disponibilità fisica della merce.

Gli obblighi verso il consumatore (Codice del Consumo)

La vendita a un consumatore tramite sito web è un contratto a distanza e ricade nella disciplina del Codice del Consumo (d.lgs. 206/2005). Da qui discendono gli obblighi più delicati per un e-commerce.

Informazioni precontrattuali (art. 49)

Prima che il consumatore sia vincolato dal contratto, il professionista deve fornire in modo chiaro e comprensibile, tra le altre, le seguenti informazioni richieste dall’art. 49 del Codice del Consumo:

• le caratteristiche principali dei beni o servizi;
• l’identità del professionista, l’indirizzo geografico dove è stabilito, il numero di telefono e l’indirizzo di posta elettronica;
• il prezzo totale comprensivo di imposte e di tutte le spese (spedizione, consegna, eventuali costi aggiuntivi);
• le modalità di pagamento, di consegna e di esecuzione, e i tempi entro cui il professionista si impegna a consegnare;
• le condizioni, i termini e le procedure per esercitare il diritto di recesso;
• il promemoria dell’esistenza della garanzia legale di conformità;
• le condizioni dell’assistenza post-vendita e delle eventuali garanzie commerciali.

L’onere di provare di aver fornito queste informazioni grava sul professionista. Per le vendite concluse tramite mercati online si aggiungono gli obblighi informativi supplementari dell’art. 49-bis.

Diritto di recesso: 14 giorni

L’art. 52 del Codice del Consumo attribuisce al consumatore il diritto di recedere dal contratto a distanza, senza fornire alcuna motivazione e senza penalità, entro 14 giorni. Per i beni il termine decorre, in genere, dal giorno della consegna; se il professionista non ha informato il consumatore del diritto di recesso, il termine si prolunga.

Esistono eccezioni tassative al recesso, elencate dall’art. 59: tra le più frequenti per un e-commerce, i beni confezionati su misura o personalizzati, i beni sigillati che non si prestano alla restituzione per motivi igienici una volta aperti, i beni deperibili e i contenuti digitali forniti su supporto non materiale dopo l’avvio dell’esecuzione con il consenso del consumatore.

Una novità da non trascurare: il d.lgs. 209/2025 (in vigore dal 23 gennaio 2026, in attuazione della direttiva UE 2023/2673) ha introdotto l’art. 54-bis, che impone, per i contratti conclusi online, la messa a disposizione di una funzione digitale di recesso che consenta al consumatore di esercitare il diritto direttamente dal sito. Chi apre oggi un negozio online deve quindi progettare anche questo strumento.

Garanzia legale di conformità: 24 mesi

Il venditore risponde verso il consumatore di qualsiasi difetto di conformità esistente al momento della consegna che si manifesti entro due anni (24 mesi) dalla consegna del bene. Sul piano dell’onere della prova, l’art. 135 del Codice del Consumo presume che i difetti che emergono entro un anno dalla consegna esistessero già a quella data: in questo arco di tempo è il venditore a dover provare la conformità. È nullo ogni patto, anteriore alla denuncia del difetto, che escluda o limiti i diritti del consumatore.

Tempi di consegna e di rimborso

Salvo diverso accordo, il professionista consegna i beni senza ritardo e comunque entro 30 giorni dalla conclusione del contratto. In caso di recesso, il rimborso al consumatore – comprensivo delle spese di consegna standard – deve avvenire entro 14 giorni dalla comunicazione di recesso, con lo stesso mezzo di pagamento usato dal consumatore.

Privacy, GDPR, cookie e condizioni di vendita

Ogni e-commerce tratta dati personali dei clienti (anagrafica, indirizzi, dati di pagamento, cronologia ordini) ed è quindi titolare del trattamento ai sensi del GDPR (regolamento UE 2016/679) e del Codice Privacy (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018). Gli adempimenti minimi sono:

• una informativa privacy chiara e accessibile, che indichi finalità, basi giuridiche, periodi di conservazione e diritti dell’interessato;
• l’individuazione delle basi giuridiche: l’esecuzione del contratto per la gestione dell’ordine, l’obbligo di legge per gli adempimenti fiscali, il consenso per finalità ulteriori come marketing e profilazione;
• la corretta gestione di cookie e tecnologie di tracciamento, con un banner conforme che raccolga un consenso libero, specifico e revocabile per i cookie non tecnici, in linea con le Linee guida del Garante;
• la nomina dei responsabili del trattamento (ad esempio l’hosting provider, la piattaforma e i corrieri) e la tenuta del registro dei trattamenti dove richiesto.

Separato ma collegato è il piano contrattuale: il sito deve pubblicare le condizioni generali di vendita, che il cliente accetta prima dell’ordine. Esse recepiscono gli obblighi informativi dell’art. 49 e disciplinano in modo trasparente prezzi, spedizioni, recesso, garanzia e gestione dei reclami. Condizioni copiate da altri siti o non aderenti al modello di business sono una fonte frequente di contestazioni.

IVA, vendite a distanza, soglia 10.000 euro e regime OSS

La gestione dell’IVA è il capitolo più tecnico, soprattutto quando si vende a consumatori di altri Paesi UE. Si parla in questo caso di vendite a distanza intracomunitarie.

La regola cardine è la soglia unica di 10.000 euro annui. Finché il totale delle vendite a distanza intracomunitarie verso consumatori UE (sommato ad altre operazioni rilevanti) non supera 10.000 euro nell’anno solare, l’operazione sconta l’IVA italiana. Una volta superata la soglia, l’IVA è dovuta nello Stato di destinazione, con l’aliquota di quel Paese.

Per non doversi identificare ai fini IVA in ciascuno Stato di consumo, il venditore può aderire al regime OSS (One Stop Shop). Con l’OSS l’impresa:

• applica l’IVA dei Paesi di destinazione, ma la versa attraverso un’unica registrazione in Italia;
• presenta una dichiarazione trimestrale all’Agenzia delle Entrate, anche in assenza di operazioni, entro il giorno 20 del mese successivo al trimestre;
• evita la pluralità di posizioni IVA estere.

Alcuni casi particolari richiedono attenzione aggiuntiva:

• Dropshipping: la merce non transita dal magazzino del venditore, ma gli obblighi IVA e l’inquadramento delle operazioni vanno comunque ricostruiti caso per caso, anche in funzione del Paese del fornitore;
• Marketplace: le piattaforme che facilitano le vendite possono diventare, in determinate ipotesi, debitori d’imposta al posto del venditore, secondo le regole sulla “presunzione di acquisto e rivendita”;
• VIES: chi effettua acquisti intracomunitari di beni o servizi (ad esempio merce o servizi da fornitori UE) deve essere iscritto all’archivio VIES per essere riconosciuto come soggetto passivo IVA negli scambi intra-UE.

Identificazione sul sito e sicurezza dei prodotti

Il sito deve rendere immediatamente identificabile il professionista: denominazione o ragione sociale, indirizzo geografico, numero di partita IVA, recapiti (telefono ed e-mail) e, per le imprese, l’indirizzo PEC e i dati di iscrizione al Registro delle Imprese. Sono informazioni richieste sia dal Codice del Consumo sia dalla disciplina del commercio elettronico (d.lgs. 70/2003), la cui assenza espone a contestazioni e sanzioni.

Infine, chi vende prodotti deve garantirne la sicurezza e la conformità alle norme di settore: marcatura CE dove prevista, etichettature obbligatorie, regole specifiche per categorie come cosmetici, giocattoli, dispositivi elettrici o prodotti alimentari. La responsabilità per prodotto difettoso può ricadere anche sul venditore online.

Conclusione: una compliance da non improvvisare

Aprire un e-commerce significa muoversi contemporaneamente su quattro piani normativi – fiscale, commerciale, dei consumatori e della protezione dei dati – ciascuno con scadenze, soglie e adempimenti precisi. Un errore nell’inquadramento IVA, una clausola di recesso non conforme o un banner cookie inadeguato possono tradursi in sanzioni e contenziosi che vanificano l’investimento iniziale. Per questo, prima di avviare le vendite, è consigliabile rivolgersi a un professionista qualificato che valuti il caso concreto, imposti correttamente la posizione fiscale e verifichi la conformità del sito: un controllo preventivo costa molto meno di una rettifica successiva.