Due sono infatti i rapporti giuridici individuabili quando questo tipo di servizio viene reso con i buoni-pasto:
• il primo tra il datore di lavoro e la società che emette il buono;
• il secondo tra società ed esercizi convenzionati (presso i quali è possibile utilizzare il buono).

La società emittente non si pone come semplice intermediario nei confronti del lavoratore (possessore del buono) ma fornisce un vero e proprio servizio al datore di lavoro, come tale assoggettato ad Iva al 4%, in quanto si tratta di somministrazione resa in dipendenza di un contratto di appalto. Quando il buono viene utilizzato presso la mensa o un esercente, il corrispettivo pagato a titolo di rimborso dalla società emittente sarà con Iva al 10 per cento.

Fuori dal nuovo trattamento Iva dei voucher anche titoli di trasporto, biglietti per cinema e musei, francobolli e simili. Tutti questi strumenti sono espressamente esclusi dall’ambito di applicazione del decreto e continuano a seguire lo speciale regime monofase, che concentra il versamento dell’imposta e i relativi adempimenti solo sul soggetto a monte della catena produttiva/distributiva.

Discorso analogo per i servizi di telecomunicazione. In base all’articolo 74, comma 1, lettera d) del Dpr 633/1972, l’Iva è assolta dal titolare della concessione al servizio in base al corrispettivo dovuto dall’utente o, se non ancora determinato, al prezzo medio praticato per la vendita. Diverso è anche il trattamento degli strumenti di pagamento (ad esempio carta prepagata). Direttiva Ue 2016/1065 e decreto li escludono espressamente dall’ambito di applicazione delle nuove disposizioni, per la diversa natura di tali strumenti rispetto ai voucher (che non rientrano tra i mezzi di pagamento). Unici legittimati ad emettere strumenti di pagamento restano quindi gli intermediari autorizzati da Bankitalia e rimane in vigore la disciplina di settore (Dlgs 11/2010).

“Il Sistri è stato uno dei più grandi sprechi nella gestione dei rifiuti speciali– ha affermato Costa – un sistema mai entrato effettivamente in funzione, che però ha comportato costi sostenuti dalle imprese coinvolte e dallo Stato che hanno superato i 141 milioni di euro dal 2010 ad oggi”.

Dal 2010 al 2014 sono infatti stati fatturati 290 milioni, di cui quasi 90 pagati effettivamente. Dal 2015 al 2018: fatturati 66 milioni, pagati 51. Attualmente era in corso un affidamento da 260 milioni in 5 anni, che viene quindi sospeso cancellando il Sistri.

“Il Sistri aveva lo scopo, assolutamente condivisibile e anzi necessario, di tracciare l’intero sistema di rifiuti speciali del Paese,  ma non è mai stato operativo – ha spiegato Costa – Nel frattempo le imprese aderenti, quelle con più di 10 addetti, hanno dovuto pagare iscrizioni, adeguamenti tecnologici, aggiornamenti per i mezzi e per il personale e infilarsi in un ginepraio di norme, sanzioni, poi sospese, poi riattivate, quindi nuovamente sospese, esenzioni, eccezioni, nuovi obblighi: insomma un inferno normativo durato otto anni”.

Il sistema, introdotto nel 2010 con un contratto secretato e affidato alla società Selex di Finmeccanica, fino ad oggi non è mai entrato in funzione ma ha nel frattempo comportato costi enormi per le aziende che vi avevano aderito e per lo Stato, subentrante in caso di mancato versamento da parte delle imprese, di conseguenza per tutti i cittadini.

Nel dl Semplificazioni questo sistema viene definitivamente cancellato a partire dal primo gennaio 2019: il nuovo sistema di tracciabilità dei rifiuti sarà invece gestito in maniera diretta dal Ministero dell’Ambiente e, fino alla sua piena operatività, i titolari soggetti alla tracciabilità dovranno continuare a usare il medesimo sistema utilizzato ora, quello cartaceo.

“Abbiamo calcolato che attualmente è assicurata la tracciabilità del 65% dei rifiuti speciali – ha dichiarato Costa – L’obiettivo è arrivare almeno al 90% risparmiando soldi e tempo per le aziende”.

Il nuovo Sistri, gestito direttamente dal Ministero dell’Ambiente, costerà infatti circa 3 milioni di euro l’anno.
“Si deve entrare in una sorta di Sistri 2.0 – ha concluso Costa – che digitalizzi l’intera tracciabilità dei rifiuti e i documenti fiscali, superando in tal modo il doppio binario cartaceo/digitale e il registro di carico e scarico”.

Vi sono alcuni periodi dell’anno nei quali gli attacchi informatici che mirano a ingannare gli utenti più inesperti – soprattutto i cosiddetti “attacchi di phishing” – aumentano sensibilmente. Si pensi a giorni (o settimane) di offerte speciali, a scadenze fiscali in arrivo, a festività durante le quali si moltiplicano, ovviamente, le transazioni online e gli acquisti.

In tutti questi casi, sale la tensione nell’utente e nelle sue azioni. Tensione per i pagamenti da effettuare, per gli acquisti da completare o, ad esempio, preoccupazione per lo stato del proprio conto corrente bancario, per la “capienza” delle carte prepagate. O, si aggiunga, poca confidenza con alcuni sistemi di pagamento telematici.

Diventa, allora, indispensabile elaborare una strategia. Ecco i Dieci Comandamenti contro il phishing, tutti egualmente importanti, e tutti da tenere sempre presente ed adottare.

1. Alzare il livello della propria cultura informatica –  Il phishing è, come tanti altri attacchi nel mondo informatico, un’azione che punta molto su un fattore culturale: l’ignoranza della vittima su determinati aspetti. La conseguenza logica è che più si aumenta la conoscenza informatica, più ci si può proteggere.

Che cosa significa, tutto ciò, nella pratica? Significa informarsi, anche sulle nuove tecniche criminali, o ascoltare suggerimenti da persone più esperte, o acquistare riviste in edicola, leggere le informazioni su siti web specifici, consultare regolarmente i siti web della propria banca, delle grandi società informatiche e dei produttori di antivirus.

Le e-mail di phishing sono inviate a una moltitudine di persone, spesso decine di migliaia, per colpirne però solo una piccola parte: quella che ha un livello culturale basso, o che ha un’attenzione, in quel momento, distratta da altro.

Il mittente del messaggio dovrebbe essere il primo elemento a costringerci a una analisi “culturale”: si possono recuperare, in tal caso, le basi della corrispondenza tra individui, le regole del dialogo tra esseri umani e, semplicemente, riflettere sul fatto che le e-mail e la società digitale non devono cambiare le nostre regole di sicurezza.

Se il mittente è un soggetto che conosciamo, ad esempio, già il rischio si abbassa (ma, vedremo, non è escluso completamente).

Ma se il mittente è un soggetto per noi nuovo, che in tutti questi anni non ci ha mai scritto, ecco, per quale motivo proprio ora ci dovrebbe scrivere? Uno sconosciuto per strada, nel “mondo fisico”, si fermerebbe per domandarci simili informazioni? E quale sarebbe la nostra reazione in tal caso? Gliele forniremmo?

Se il mittente, ad esempio, è istituzionale (ossia una banca, una Procura, una società emittente di carte di credito), è normale che si rivolga a noi in quel modo, con quel lessico e su quel canale?

Si pensi che, nella maggior parte dei casi, la vittima di phishing “cade” sulla prima e-mail ricevuta da QUEL mittente, senza fermarsi a riflettere che proprio quel mittente non è un nostro corrispondente abituale, non ci ha mai scritto ed è, in sostanza, un perfetto sconosciuto.

Cultura vuole dire, allora, anche cautela e non mutamento delle proprie abitudini in un contesto nel quale siamo normalmente meno a nostro agio e che ci può portare ad abbassare naturalmente le difese. Ed è proprio questo il fattore su cui confida l’attaccante.

2. Operare un’analisi preliminare del testo (semantica) – Semplicemente leggendo con attenzione, anche ad alta voce, il testo del messaggio, si possono percepire dei segnali di allarme.

Il comprendere cosa non va nel testo deve essere il primo elemento di allerta per l’utente. Il testo diventa, così, non solo inatteso (come abbiamo detto nel Primo Comandamento) ma anche strano, sospetto, pieno d’errori. Sembra, a volte, una cattiva traduzione, oppure è estremamente generico, che va bene per tutti e che, quindi, chiaramente non è pensato per noi.

Al contempo, si potrebbe fare una verifica veloce – oggi si può effettuare via WhatsApp, o sui social network – se lo stesso identico testo sia stato ricevuto da alcuni nostri amici.

Un testo su cui sempre diffidare è quello proveniente da grandi interlocutori, da mittenti istituzionali. Siamo onesti: più il mittente è “clamoroso”, più è difficile che quel messaggio sia realmente indirizzato a noi.

Potrei fare decine di esempi: un ex Presidente africano fuggito dal suo Paese di origine che ha, guarda caso, bisogno proprio di noi per recuperare la sua fortuna e ce ne promette una parte. Una banca, un politico, le poste, una società di carta di credito, Google, PayPal. Se il testo proviene da simili mittenti, la paranoia deve essere ancora più elevata.

Simile diffidenza deve sempre esserci nei confronti di un testo proveniente da un’autorità in senso lato: si pensi a una Procura, o la Polizia Postale, o la Guardia di Finanza, o Equitalia: e-mail che annunciano una sanzione, una multa che abbiamo preso per aver scaricato illegalmente un film, o per aver consultato siti pornografici e magari ci informano che ci hanno spiato dalla webcam del nostro computer.

Una buona idea potrebbe anche essere il guardare se il testo è firmato, se c’è indicato un referente specifico da poter chiamare. Si noterà che gran parte di questi messaggi sono, invece, “troncati” alla fine. Mancano frasi di chiusura, e anche questo è un buon indizio.

Il testo del messaggio, poi, cerca di inculcare ansia nel lettore per spingerlo ad agire senza ragionare, o con un processo di valutazione molto superficiale. Come è noto, abbiamo sempre meno tempo per riflettere, ma l’arma migliore contro il phishing, oltre alla paranoia, è proprio la riflessione.

Infine, il testo dei messaggi può mirare a entusiasmare: promette premi, rimborsi, detrazioni fiscali, bonus, e vi è sempre un termine di scadenza imminente, occorre decidersi in fretta, per non perdere l’occasione della vita. Anche il termine imminente è pensato, ovviamente, per far prendere una decisione poco ponderata.

3. Prestare attenzione al phishing mirato alla nostra persona – Possono capitare dei casi, molto delicati, nei quali il messaggio ingannevole è stato appositamente forgiato e ritagliato per la nostra persona. Al momento della lettura sembra proprio che riguardi noi direttamente: le nostre abitudini, i nostri luoghi, le tecnologie che utilizziamo. Il motivo è che l’attaccante può aver raccolto, prima dell’invio e della costruzione del messaggio, informazioni su di noi o sulla nostra azienda, inserendo riferimenti correlati alla nostra persona o alla nostra professione per rendere il messaggio meno asettico e formale e più credibile.

In questo caso, le modalità di attacco possono essere molteplici: il criminale ha osservato, ad esempio, alcuni documenti che siamo soliti redigere (ad esempio: fatture), o i corrieri/spedizionieri che usiamo, o i nostri tipici fornitori (che ci mandano documenti reali). Anche una e-mail proveniente dal “servizio sicurezza” o da un “dipartimento informatico” è facile che sia percepita come reale, perché tali servizi e strutture esistono nella maggior parte delle realtà produttive. Simile può essere l’analisi dei servizi di cloud che usiamo.

Come è possibile che terzi siano a conoscenza di queste informazioni? In molti casi siamo noi stessi a fornirle. Spesso, anche senza accorgersene, regaliamo sui social network (anche professionali) informazioni al pubblico sui servizi che usiamo. È sufficiente uno screenshot su Instagram che ritrae il desktop del nostro sistema operativo per rivelare informazioni utili in tal senso.

Ciò deve comportare, ça va sans dire, molta attenzione nel diffondere informazioni tecniche precise circa le nostre scelte informatiche.

4. Diffidare delle richieste di credenziali – Un’azione tipica delle campagne di phishing è quella di cercare di convincere il soggetto preso di mira a rivelare le sue credenziali. Per “credenziali” intendiamo, in questo caso, qualsiasi codice di accesso che permetta di entrare in un servizio o account: nome utente, password, PIN, codice di sicurezza, etc.

La domanda di credenziali di qualsiasi tipo dovrebbe immediatamente bloccare qualsiasi azione di un utente saggio. Mi domandi le credenziali? Cancello la e-mail con la richiesta. Questo perché, nella società informatica odierna, è rarissimo che un soggetto domandi una verifica o una comunicazione delle credenziali per e-mail.

Le tecniche per convincere l’utente non esperto a fornirle sono ormai consolidate. Un annuncio di problemi alle credenziali di accesso a un servizio, e si noti che questi annunci non si accompagnano, poi, a un problema reale. In altre parole, se l’utente si prendesse la briga di controllare realmente il problema, si accorgerebbe che non è vero che l’account è stato disattivato o che vi sono problemi.

La regola è che le credenziali non vanno mai comunicate, non vanno inserite in moduli o form, neanche se viene detto che la connessione è sicura.

Piuttosto, se rimane un dubbio, contattare il servizio di assistenza con le modalità solite, e non quelle indicate nella e-mail di phishing!

5. Diffidare della richiesta di dati bancari o di codici di carta di credito – Molto richiesti sono anche dati bancari, di home banking o codici di carta di credito. Anche in questo caso si annuncia un malfunzionamento del sistema, o un problema, e si cercano di carpire informazioni da usare o da rivendere.

La tecnica, in questo caso, è quella di annunciare un problema del servizio o una interruzione dovuta a un abbonamento scaduto, a una multa, a un blocco dell’utenza per un nostro comportamento sbagliato.

PayPal è molto usato per cercare di ingannare, così come Visa, PostePay, Mastercard e altre società emittenti di carta di credito.

Non bisogna farsi ingannare, in questi casi, dall’eleganza della e-mail o dalla bellezza e professionalità del sito web cui rimandano eventuali link. I criminali sono in grado di ricreare esattamente la grafica di un sito, anche con URL simili, usando gli stessi colori e la stessa architettura, sempre contando su un controllo superficiale dell’utente.

6. Diffidare dei link – I link sono usati anch’essi per ingannare, cercando di convincere l’utente a cliccare su un collegamento che porta a un sito che può essere ingannevole o, addirittura, contenere del malware.

Anche in questo caso, la regola è di evitare di cliccare dei link a meno che il collegamento non sia conosciuto, non sia atteso o vi sia un motivo per cui è stato inviato.

7. Diffidare degli allegati – Particolare attenzione va anche prestata agli allegati, che possono contenere software nocivo, script per sfruttare delle vulnerabilità e malware di vario genere.

Niente di nuovo: anche per gli allegati vanno previste le stesse tutele (e cautele) dei link.

“Perché il messaggio ha un allegato?”, ci si dovrebbe sempre domandare? Alzare il livello di paranoia, quindi, e pensare: lo stavamo attendendo?

Al contempo, dovremmo riflettere sul fatto che se non apriamo un allegato, non muore nessuno. Calma: niente frenesia o urgenza, anche se il testo del messaggio ci spinge ad agire in fretta. Nel caso la nostra valutazione fosse sbagliata, il mittente dell’allegato ci solleciterà una risposta. Tutto qui.

8. Diffidare di conoscenti e istituzioni – Purtroppo, occorre fare attenzione anche nella nostra comfort zone, ossia nell’ambito del messaggi provenienti da persone conosciute e in “luoghi”, quali la PEC (Posta Elettronica Certificata), considerati di default sicuri ma che, in realtà, non lo sono.

Il mittente, innanzitutto, può essere travisato, quindi una e-mail proveniente da un nostro amico può non essere reale e contenere allegati truffaldini. È facile impersonare un’altra persona. Inoltre, i nostri amici e contatti ci potrebbero inoltrare e-mail di phishing (per scherzo, o perché indecisi e ci domandano un parere) e, in quel caso, le difese tendono ad abbassarsi.

Poi, anche la Posta Elettronica Certificata può essere destinataria di phishing, quindi il fatto che sia, sulla carta, più protetta (sia in partenza, sia in arrivo) ai nostri fini di protezione non ha importanza.

9. Ci si può proteggere con antivirus e sistemi anti-phishing – Esistono strumenti informatici che, accanto all’attenzione per i comportamenti, possono dare una grandissima mano. Sono pensati per tutti i sistemi operativi e i browser: un antivirus aggiornato, e sistemi di filtro anti phishing, che possono essere o integrati nei browser per proteggere dai siti, o come software a sé, sono in molti casi una manna dal cielo.

Non bisogna, però, abbassare la guardia: il fatto di avere un software che ci protegge aiuta, ma non fornisce sicurezza in automatico. La sicurezza è data dall’uomo e dai suoi comportamenti.

Usare, quindi, filtri anche gratuiti, sistemi incorporati nel sistema operativo o nei client e-mail, e fidarsi di loro. Se il sistema ci avverte e ci chiede cosa fare (ad esempio: “l’allegato lo apriamo lo stesso?”) essere sempre cauti e seguire le indicazioni più sicure.

10. Non vergognarsi e non tenere il segreto – Vi hanno truffato? Bene. Ormai è successo. Ma non vergognatevi. Comunicatelo subito. Un attacco di phishing può generare un vero e proprio data breach, una fuoriuscita di credenziali e di dati importanti o, al contrario, può aprire porte di accesso ai sistemi.

Si deve, allora, comunicare subito l’incidente, soprattutto se è avvenuto in un contesto aziendale o in un’amministrazione pubblica, parlando con il DPO o con l’amministratore di sistema.

La fuoriuscita di credenziali è critica, e non basta cambiarle (azione che serve a proteggere l’utente) ma occorre comunicare ciò che è avvenuto. Ciò è essenziale per pensare a un piano serio di sicurezza.

Sono i concetti evidenziati dalla circolare 17/2018 del ministero del Lavoro, che ha fornito le prime istruzioni sull’applicazione del decreto estivo.

Secondo la riforma, la durata massima del contratto a termine – sia quello ordinario, sia quello stipulato per somministrazione di personale – non può superare 12 mesi, che possono diventare 24 se il datore di lavoro (e anche l’utilizzatore, in caso di somministrazione) è in grado di indicare un valido motivo di prosecuzione del rapporto (la cosiddetta causale).

Il computo della durata massima
Non tutti i periodi di lavoro concorrono a determinare il raggiungimento della durata massima: secondo l’articolo 19, comma 2, del Dlgs 81/2015 (non modificato) devono essere computati solo i rapporti conclusi per lo svolgimento di mansioni di pari livello e categoria legale, indipendentemente dai periodi di interruzione.

Per il computo è invece irrilevante l’uso del contratto a termine diretto o di quello a scopo di somministrazione: la circolare del ministero ricorda, infatti, che (in base alla norma prima ricordata) i periodi di lavoro intercorsi direttamente tra un datore di lavoro e un lavoratore si sommano con i periodi di missione in somministrazione a tempo determinato svolti tra le stesse parti. La circolare 17 precisa che, in attuazione di questa regola, una volta raggiunto il limite massimo di durata, il datore di lavoro non potrà più ricorrere alla somministrazione di lavoro a termine, pena la conversione a tempo indeterminato del rapporto.

È superata in questo modo un’interpretazione fornita in precedenza dal ministero (con risposta a interpello 32 del 2012), che – tra tanti dubbi – aveva sostenuto la possibilità di continuare a usare la somministrazione di lavoro, dopo il raggiungimento del limite di durata massima.

La circolare ha chiarito inoltre che il computo dei 24 mesi di lavoro deve tenere conto di tutti i rapporti di lavoro a termine a scopo di somministrazione intercorsi tra le parti, compresi quelli antecedenti alla data di entrata in vigore della riforma. Non viene accolta dal ministero la lettura, molto più estensiva, secondo la quale nel computo non andrebbero inclusi i periodi antecedenti alla data di entrata in vigore del dl 87/2018.

La lettura più estensiva è animata dall’intento di limitare gli effetti dannosi delle nuove regole (che rischiano di far uscire dal mercato del lavoro i lavoratori con una anzianità lavorativa rilevante) ma è incoerente con l’impianto della riforma, che è intervenuta per ridurre con effetto immediato (con decreto legge) la durata massima dei rapporti flessibili.

Il superamento dei 24 mesi
La soglia di durata massima del lavoro a termine può essere modificata dai contratti collettivi, di primo o secondo livello, stipulati da soggetti muniti di rappresentatività. Una volta raggiunto il tetto di durata (che sia quello legale o contrattuale) le stesse parti possono stipulare un ulteriore contratto della durata massima di 12 mesi presso le sedi territorialmente competenti dell’Ispettorato nazionale del lavoro. La facoltà di stipulare questo contratto aggiuntivo è prevista dall’articolo 19, comma 3, del Dlgs 81/2015, norma che non è stata modificata dal Dl 87/2018. Come ricorda la circolare 17, questo nuovo contratto dovrà riportare la causale, trattandosi di un rinnovo tra le parti.

In merito agli obblighi di primo soccorso, si segnala che nelle aziende o unità produttive di gruppo A e di gruppo B previsti nel Decreto del Ministro della salute 15 luglio 2003, n. 388 si ricorda che il datore di lavoro deve garantire le seguenti attrezzature:

• cassetta di primo soccorso, tenuta presso ciascun luogo di lavoro, adeguatamente custodita in un luogo facilmente accessibile ed individuabile con segnaletica appropriata, contenente la dotazione minima indicata nell’Allegato 1 del decreto;
• un mezzo di comunicazione idoneo ad attivare rapidamente il sistema d’emergenza del Servizio sanitario nazionale.

Riprendiamo dall’allegato 1 del DM 388/2003 il contenuto minimo della cassetta di pronto soccorso:

• Guanti sterili monouso (5 paia);
• Visiera paraschizzi;
• Flacone di soluzione cutanea di iodopovidone al 10% di iodio da 1 litro (1);
• Flaconi di soluzione fisiologica (sodio cloruro – 0,9%) da 500 ml (3);
• Compresse di garza sterile 10 x 10 in buste singole (10);
• Compresse di garza sterile 18 x 40 in buste singole (2);
• Teli sterili monouso (2);
• Pinzette da medicazione sterili monouso (2);
• Confezione di rete elastica di misura media (1);
• Confezione di cotone idrofilo (1);
• Confezioni di cerotti di varie misure pronti all’uso (2);
• Rotoli di cerotto alto cm. 2,5 (2);
• Un paio di forbici;
• Lacci emostatici (3);
• Ghiaccio pronto uso (due confezioni);
• Sacchetti monouso per la raccolta di rifiuti sanitari (2);
• Termometro;
• Apparecchio per la misurazione della pressione arteriosa”.

Il contenuto del pacchetto di medicazione

Invece nelle aziende o unità produttive di gruppo C, il datore di lavoro deve garantire le seguenti attrezzature:

• pacchetto di medicazione, tenuto presso ciascun luogo di lavoro, adeguatamente custodito e facilmente individuabile, contenente la dotazione minima indicata nell’Allegato 2 del decreto;
• un mezzo di comunicazione idoneo ad attivare rapidamente il sistema di emergenza del SSN.

Questo il contenuto minimo del pacchetto di medicazione con riferimento all’Allegato 2 del DM 388/2003:

• Guanti sterili monouso (2 paia);
• Flacone di soluzione cutanea di iodopovidone al 10% di iodio da 125 ml (1);
• Flacone di soluzione fisiologica (sodio cloruro 0,9%) da 250 ml (1);
• Compresse di garza sterile 18 x 40 in buste singole (1);
• Compresse di garza sterile 10 x 10 in buste singole (3);
• Pinzette da medicazione sterili monouso (1);
• Confezione di cotone idrofilo (1);
• Confezione di cerotti di varie misure pronti all’uso (1);
• Rotolo di cerotto alto cm 2,5 (1);
• Rotolo di benda orlata alta cm 10 (1);
• Un paio di forbici (1);
• Un laccio emostatico (1);
• Confezione di ghiaccio pronto uso (1);
• Sacchetti monouso per la raccolta di rifiuti sanitari (1);
• Istruzioni sul modo di usare i presidi suddetti e di prestare i primi soccorsi in attesa del servizio di emergenza”.

Nello specifico fare riferimento a quanto previsto per la classificazione aziendale dal DM 388/2003.

Si ricorda poi che il contenuto minimo della cassetta di primo soccorso e del pacchetto di medicazione viene “aggiornato con decreto dei Ministri della salute e del lavoro e delle politiche sociali, tenendo conto dell’evoluzione tecnico-scientifica”.

Inoltre la cassetta di primo soccorso e il pacchetto di medicazione “devono essere:

• mantenuti in condizione di efficienza e di pronto impiego e custoditi in luogo idoneo e facilmente accessibile;
• integrati sulla base dei rischi presenti nei luoghi di lavoro e su indicazione del medico competente e del sistema di emergenza sanitaria del Servizio sanitario nazionale”.

Non bisogna poi dimenticare che nelle aziende o unità produttive di gruppo A, anche consorziate, “il datore di lavoro, sentito il medico competente, quando previsto, oltre alla cassetta di primo soccorso, è tenuto a garantire il raccordo tra il sistema di primo soccorso interno ed il sistema di emergenza sanitaria di cui al d.p.r. del 27 marzo 1992 e successive modifiche”.

E nelle aziende o unità produttive che hanno “lavoratori che prestano la propria attività in luoghi isolati, diversi dalla sede aziendale o unità produttiva, il datore di lavoro è tenuto a fornire loro il pacchetto di medicazione ed un mezzo di comunicazione idoneo per raccordarsi con l’azienda al fine di attivare rapidamente il sistema di emergenza del Servizio sanitario nazionale”.

Manutenzione dei presidi e delle attrezzature

Concludiamo fornendo alcune indicazioni sulla manutenzione e integrazione dei presidi e delle attrezzature.

Inoltre, deve essere predisposto un piano “affinché il personale addetto effettui periodicamente un controllo del contenuto e della validità dei presidi medico-chirurgici, del pacchetto di medicazione e della cassetta di primo soccorso”.

E se ritenuto necessario, a seconda dei rischi presenti in azienda, “si consiglia di provvedere ad una personalizzazione dei presidi, aggiungendo eventualmente attrezzature per l’immobilizzazione dell’infortunato e presidi per la mobilizzazione atraumatica” (la messa in opera di una serie di manovre atte a garantire il trasferimento del traumatizzato dal luogo in cui giace in seguito all’evento traumatico, ad un piano rigido mantenendo l’allineamento e l’immobilizzazione del rachide, ndr). In tal caso “è necessario addestrare gli addetti al primo soccorso al corretto utilizzo di tali presidi con una specifica formazione”.

Il responsabile, un ex dipendente, è stato denunciato nei giorni scorsi per il reato di “accesso abusivo a un sistema informatico” con l’aggravante di “abuso di qualità di operatore di sistema”. Adesso dovrà rispondere in tribunale per i gravi danni economici e di immagine provocati all’azienda.“

Il motivo oggettivo alla base del licenziamento, in quanto inerente all’attività produttiva e all’organizzazione del lavoro, è infatti rimesso alla libera valutazione del datore di lavoro e come tale non sindacabile dal giudice, che deve limitarsi a verificarne la reale sussistenza. Tale principio, peraltro, è valido anche nel caso in cui il riassetto organizzativo non sia determinato da una crisi aziendale, ma abbia come scopo una migliore efficienza gestionale o un incremento di produttività.

Questo, in estrema sintesi, quanto recentemente statuito dalla Corte di cassazione (sentenza 30259/2018), la quale ha peraltro rilevato come non sia necessaria, ai fini della configurabilità del giustificato motivo oggettivo, l’integrale soppressione delle mansioni in precedenza affidate al lavoratore licenziato, ben potendo le stesse essere solo diversamente ripartite e distribuite tra il personale già in forza presso l’azienda.

Nel caso preso in esame dalla Suprema corte, le ragioni del licenziamento erano rinvenibili nella perdurante situazione di crisi aziendale, la quale era stata accertata dalle Corti di merito sia in via documentale – stante la significativa perdita di fatturato evincibile dai bilanci sociali prodotti dalla società – che da altre circostanze di fatto, quali la drastica riduzione dei siti produttivi dell’azienda (molti dei quali ceduti a terzi) e la collocazione in cassa integrazione di gran parte del personale.

Pertanto la Cassazione ha confermato la legittimità della decisione aziendale di chiudere l’impianto produttivo a cui era addetto il ricorrente, con conseguente soppressione della sua posizione lavorativa e redistribuzione delle mansioni tra il personale già esistente. A tal riguardo, i giudici di legittimità hanno infatti chiarito che, una volta che venga «accertata, come nella specie, la effettiva e non pretestuosa soppressione del posto di lavoro, anche attraverso la redistribuzione delle mansioni tra gli altri dipendenti, ciò è sufficiente, nel rispetto del principio di cui all’articolo 41 della Costituzione (che garantisce la libertà dell’iniziativa economica, n.d.r.), a giustificare il licenziamento».

La Suprema corte ha peraltro confermato la legittimità del licenziamento anche sotto il profilo dell’obbligo di repêchage, non avendo trovato riscontro quanto asserito dal dipendente licenziato, ovvero di essere stato sostituito con personale neoassunto. I giudici di merito hanno infatti evidenziato, da un lato, come tali nuove assunzioni avessero riguardato mansioni differenti rispetto a quelle del ricorrente, dall’altro, che all’epoca del licenziamento non vi erano in azienda posizioni lavorative vacanti presso le quali ricollocarlo.
Su quest’ultimo punto i giudici di legittimità hanno rilevato che «pur non essendo il lavoratore licenziato per giustificato motivo oggettivo tenuto ad indicare le altre posizioni lavorative esistenti in azienda al momento del recesso… ove questi non di meno indichi le posizioni lavorative a suo avviso disponibili e queste risultino insussistenti, tale verifica ben può essere utilizzata…dal giudice al fine di escludere la possibilità di repêchage».

Di fatto, pur mostrando di voler dar seguito all’orientamento, affermatosi di recente, che pone interamente a carico del datore di lavoro l’onere della prova in materia di repêchage, la Suprema corte sembra richiedere a chi difende i lavoratori una precisa scelta processuale: infatti, qualora il dipendente, pur non essendovi tenuto, decida di indicare le posizioni nelle quali avrebbe potuto essere ricollocato al fine di evitare il licenziamento, la verifica giudiziale circa il corretto assolvimento dell’obbligo di repêchage potrà limitarsi a queste ultime, con conseguente sostanziale ribaltamento dell’onere della prova.

Si segnala che destinatario della procedura “è tutto il personale PSAL di vigilanza e ispezione adeguatamente informato, formato, addestrato ed in possesso di idoneità specifica alla mansione con particolare riferimento al possibile ingresso in ambienti confinati”. Tuttavia queste attività Ispettive “riguardano anche altre Amministrazioni quali l’Inail”.

La procedura di ispezione e verifica

Lo scopo dell’elaborato è la definizione della procedura di intervento negli spazi confinati da parte di operatori del servizio di vigilanza, e nello specifico:

1. “definisce le modalità operative per effettuare le ispezioni e le verifiche di impianti ed attrezzature;
2. si propone di prevenire cause di incidenti e/o infortuni derivanti dall’accesso imprudente, migliorare la qualità dell’intervento e rendere il più possibile omogeneo il comportamento degli operatori dell’U.O.C PSAL definendo anche standard metodologici e qualitativi di riferimento”.

Nel documento sono riportate alcuni stralci della procedura con riferimento specifico a:

• Pianificazione e programmazione delle attività di ispezioni in ambiente sospetto di inquinamento o confinato
• Pianificazione e programmazione delle attività di verifica in ambiente sospetto di inquinamento o confinato
• Azioni preliminari all’intervento di verifica di impianti ed attrezzature identificabili come ambienti sospetti di inquinamento o confinati
• Azioni preliminari all’intervento di ispezione in ambiente sospetto di inquinamento o confinato
• Accesso in ambiente sospetto di inquinamento o confinato
• Strumentazione in dotazione agli operatori PSAL.

L’accesso in ambiente sospetto di inquinamento o confinato

Ci soffermiamo sulle indicazioni per l’accesso in ambiente sospetto di inquinamento o confinato.

Prima di effettuare l’accesso ad un ambiente confinato o sospetto di inquinamento “l’operatore deve:

1. in caso di verifica di impianti e attrezzature acquisire il permesso di lavoro (o modulo autorizzativo) e compilare la Check list, controfirmata dal datore di lavoro o da un suo delegato;
2. attivare l’apparecchio portatile di misurazione in continuo della concentrazione di ossigeno e dell’esplosività (in dotazione all’operatore ATS) e verificare che il valore del contenuto di ossigeno risulti all’incirca pari al 21% vol e che il livello di esplosività LEL (limite inferiore di esplosività) sia pari a 0% vol; verificare inoltre la validità della taratura degli strumenti;
3. attivare l’apparecchio portatile di misurazione in continuo della concentrazione di gas tossici, nocivi e/o pericolosi (forniti dall’azienda) e verificare che il livello dei contaminanti sia inferiore ai valori minimi di esposizione professionale (VLEP);
4. accertarsi dell’esistenza di una progettazione dell’emergenza per il salvataggio di operatori non collaboranti all’interno di ambienti confinati o sospetti di inquinamento;
5. verificare che sia stata attivata la ventilazione prevista da mantenere per tutto il tempo di permanenza all’interno dell’ambiente confinato; comunque, prima di rientrare, si dovrà compiere nuovamente un controllo dell’atmosfera ambientale;
6. utilizzare DPI (dispositivi di protezione individuale) ed attrezzature di lavoro adeguati ed idonei secondo la tipologia dell’ambiente oggetto dell’ispezione/verifica, in modo appropriato secondo l’addestramento ricevuto; in particolare indossare una semimaschera quando è accertata, o non può essere esclusa, la presenza di gas, vapori tossici/nocivi o polveri/aerosol e quando non è possibile assicurare un’efficiente areazione ed una completa bonifica dell’ambiente confinato, oppure, in caso di presenza di gas irritanti, una maschera a pieno facciale che consenta la protezione anche degli occhi al fine di garantire una specifica protezione delle vie respiratorie per gli inquinanti presenti. Tali maschere devono avere dispositivi filtranti adeguati e idonei, con filtri antigas/vapori/particolati. Il filtro deve essere appropriato (tipo e classe) per i contaminanti e le concentrazioni presenti. Le normali maschere con filtri antigas, pur dotate di filtri specifici per le sostanze tossiche, non sono adeguate alle operazioni in luoghi confinati, laddove oltre alla presenza di sostanze irritanti, tossiche o nocive, vi possa essere carenza di ossigeno; in tal caso è necessario adottare un Dispositivo di Protezione delle vie respiratorie di tipo isolante. Valutare l’ipotesi del fit-test;
7. verificare che, l’eventuale sorgente autonoma di energia (gruppo elettrogeno) sia collocata in posizione idonea, tenendo conto dell’emissione di fumi che possono entrare nell’ambiente confinato e della gestione dei luoghi conduttori ristretti in conformità alle norme tecniche di riferimento;
8. dotarsi di segnalatore acustico tipo “cicala o tromba” (in dotazione all’operatore ATS), e similmente l’operatore esterno di segnalatore acustico (tromba, cicala, suoneria), al fine di garantire e mantenere attivo un adeguato sistema di comunicazione, sonoro, vocale o visivo in modo da permettere all’operatore impegnato all’interno dell’ambiente confinato di tenersi in contatto con quelli all’esterno, e di lanciare l’allarme in caso di emergenza;
9. verificare l’attuazione delle misure di emergenza, la disponibilità del personale e dei mezzi di soccorso ed, in particolare, la presenza sul posto della persona addetta al primo soccorso”.

I risultati dell’applicazione della procedura

Si indica, in definitiva, che la procedura, presentata a suo tempo ai componenti del comitato ex art. 7 del d.lgs. 81/08, ha di fatto obbligato le aziende ad una maggior presa di coscienza della problematica che ha di fatto portato a due grossi risultati:

1. una sensibile riduzione delle ispezioni interne rispetto al passato grazie alla ricerca e all’utilizzo di mezzi alternativi per l’effettuazione, in particolare delle verifiche periodiche (telecamere, macchine fotografiche, endoscopi, specchi, ecc.), messi a disposizione dalle aziende;
2. efficace attività di prevenzione in quanto, applicando la procedura, con l’invio alle aziende della check list N.1 (tabella 1), queste si sono viste costrette a rivedere, non solo gli aspetti legati agli obblighi normativi, ma soprattutto gli aspetti sostanziali di applicazione, in particolare del d.p.r. 177/2011 (presenza in tutti i casi di personale aziendale formato e presente durante tutte le operazioni, messa in opera di tutte le procedure per gestire le eventuali emergenze, invio puntuale di tutta la documentazione richiesta dal servizio PSAL)”.

Nel corso dell’evento ha destato particolare interesse il tema del processo decisionale automatizzato, basato sulla profilazione dei dati personali. Il regolamento, all’articolo 4, punto 4, la individua in qualsiasi forma di trattamento automatizzato di dati personali consistente nel loro utilizzo per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica.

Dunque, la profilazione deve prevedere una forma di trattamento automatizzato, anche se non unicamente automatizzato, deve essere effettuata su dati personali e deve avere la finalità di valutare determinati aspetti personali relativi a una persona fisica. Il tutto avviene mediante una raccolta di dati personali che, successivamente, vengono poi analizzati in modo automatizzato affinché si individuino delle correlazioni da applicare a una persona fisica per individuare caratteristiche di comportamento presenti o future. Praticamente, partendo dai dati raccolti e forniti più o meno direttamente dagli interessati, vengono creati dei dati nuovi.

Chiaramente, vista l’invasività di tale procedura, è fondamentale che vi sia trasparenza del trattamento, così come disciplinato anche dall’articolo 12, paragrafo 1 del Gdpr, il quale prevede che il titolare del trattamento debba fornire agli interessati informazioni concise, trasparenti, intelligibili e facilmente accessibili sul trattamento dei dati. Il titolare del trattamento, quindi, deve spiegare in maniera chiara e semplice alle persone interessate che il trattamento avviene per finalità di profilazione e di conseguente adozione di decisioni basate sul profilo generato e, soprattutto, deve spiegare come funzionano la profilazione e il processo automatizzato.

Per arginare l’acquisizione indiscriminata di dati, inoltre, il regolamento prevede che il titolare del trattamento debba assicurarsi di rispettare il principio di minimizzazione dei dati e le prescrizioni dei principi di limitazione della finalità e limitazione della conservazione. Particolare attenzione va data al fenomeno del dynamic pricing, ovvero l’individuazione del prezzo massimo che i consumatori sono disposti a pagare attraverso la profilazione degli utenti. Ovviamente, si tratta di un campo minato, ma con una precisa regolamentazione potranno avvantaggiarsene sia l’impresa che il consumatore.

Da gennaio, occorrerà fare attenzione alle caratteristiche di quest’ultimo per capire in quale momento è dovuta l’Iva. Quando sono già noti il luogo in cui l’operazione è svolta e la disciplina Iva applicabile, l’imposta scatta con l’emissione del voucher (« monouso»). Affinché si verifichi questo presupposto il buono dovrà contenere tutti gli elementi richiesti ai fini della fatturazione (natura, qualità, quantità dei beni e dei servizi oggetto dell’operazione). È il caso, ad esempio, di un buono per l’acquisto di un bene/servizio determinato (mobili, elettrodomestici, abbonamento in palestra eccetera), per un valore prestabilito e da utilizzare presso uno specifico esercente. Proprio perché sono noti tutti gli elementi da cui origina l’imposta, l’emissione del buono è equiparabile alla cessione del bene/prestazione del servizio sottostante con conseguente prelievo Iva. Quando non è possibile conoscere a monte il tipo di prestazione e il trattamento Iva siamo nella categoria residuale dei voucher multiuso. In questo caso, il regime Iva non subirà modifiche e la tassazione continuerà ad essere legata al momento dell’utilizzo e ogni precedente trasferimento, compresa l’emissione, sarà irrilevante ai fini Iva.

Si pensi ad esempio ai buoni da spendere in negozi di abbigliamento o su piattaforme e-commerce, in cui sono indicati solo il valore nominale e l’esercente presso cui utilizzarli, o ancora a buoni per soggiorni in strutture e località diverse, a scelta del possessore. In tutti questi casi, l’acquisto del buono non sconta alcuna imposizione, in quanto l’Iva verrà addebitata al momento dell’utilizzo (materialmente, quando il possessore paga i suoi acquisti tramite il buono).

Le nuove regole dovrebbero trovare applicazione anche nel welfare. La relazione al decreto sul punto non è esplicita ma a questa conclusione si può giungere tenendo conto che i voucher vengono tecnicamente definiti come “titoli di legittimazione”, utilizzando la medesima terminologia adottata all’articolo 51, comma 3-bis del Tuir in tema di welfare aziendale. Anche in questo caso, dunque, occorrerà distinguere tra buoni multiuso e monouso facendo, tuttavia, attenzione alle differenze presenti nelle definizioni introdotte ai fini Irpef e Iva. Ai fini delle imposte dirette, è monouso unicamente il voucher che contiene un solo benefit all’articolo 51, comma 2 del Tuir ( iscrizione all’asilo nido o check-up medico), mentre ai fini Iva, è tale anche il buono contenente più prestazioni, tutte certe nel luogo e nel valore (ad esempio voucher per un corso di inglese a Milano e uno di lettura a Roma).