L’immunità penale del Ministero della Difesa britannico lascia il contraente privato come unico imputato
Il 14 giugno 2017, durante un’esercitazione a fuoco al Castlemartin Range, nel Pembrokeshire, un carro armato Challenger 2 dell’esercito britannico viene scosso da un’esplosione interna. Il cannone L30 cede in modo catastrofico. A bordo muoiono il caporale Darren Neilson, 31 anni, e il caporale Matthew Hatfield, 27 anni; un terzo soldato sopravvive con ferite che gli cambieranno la vita. Il Safety Case del mezzo — il documento che doveva dimostrare la gestione dei rischi del sistema d’arma — era stato redatto da Rheinmetall BAE Systems Land Ltd. Il Ministero della Difesa lo aveva esaminato e accettato. A quasi dieci anni di distanza, il 1° luglio 2026, l’Health and Safety Executive ha formalizzato la propria decisione dell’HSE: una censura della Corona per il Ministero, un rinvio a giudizio penale per il contraente privato. Due soldati morti, un doppio binario sanzionatorio. Il caso merita di essere sezionato con il bisturi del tecnico e del giurista, perché contiene tre lezioni operative che nessun costruttore di macchine pericolose e nessun datore di lavoro che le mette in servizio possono permettersi di ignorare.
L’immunità della Corona e la doppia via legale
Quella responsabilità, sette anni dopo, si è tradotta in un doppio binario che solleva più di un interrogativo. Il Ministero della Difesa britannico, in quanto dipendente della Corona, gode di un’immunità processuale penale sancita dalla Section 48 dell’Health and Safety at Work etc. Act 1974: non può essere perseguito per violazioni in materia di salute e sicurezza sul lavoro, neppure quando il suo operato è direttamente connesso a un evento letale. Lo strumento più incisivo che l’HSE ha a disposizione è la censura della Corona, una dichiarazione formale di inadempienza che, pur non comportando sanzioni pecuniarie, costituisce la massima sanzione disponibile verso i datori di lavoro pubblici che operano sotto l’ombrello dell’immunità statale.
Qui sta il paradosso. Lo stesso incidente, la stessa dinamica, lo stesso Safety Case. Da un lato il Ministero della Difesa — che deteneva la responsabilità ultima per la salute, la sicurezza e il benessere dei propri soldati, nonché per l’adeguatezza e la completezza del Safety Case — riceve una censura che non ha effetti penali né economici diretti. Dall’altro lato, il contraente privato che quel Safety Case aveva materialmente prodotto, Rheinmetall BAE Systems Land Ltd, viene rinviato a giudizio ai sensi della Section 3 dell’Health and Safety at Work etc. Act, con esposizione a conseguenze penali piene. Non è un dettaglio tecnico: è un’asimmetria strutturale che il legislatore britannico ha scelto di mantenere, e che ogni volta riemerge con brutale chiarezza quando un sistema d’arma causa vittime tra i suoi utilizzatori.
Il precedente è recente e istruttivo. Nell’ottobre del 2024, il Ministero della Difesa aveva già ricevuto una censura della Corona per un incidente mortale che il 29 gennaio 2019 aveva coinvolto un veicolo Jackal al poligono di Catterick, nello Yorkshire. Quel giorno, il sergente maggiore John McKelvie perse la vita e il sergente Dunleavy rimase gravemente ferito durante un’esercitazione di guida fuoristrada: il mezzo, nel tentativo di superare una salita ripida, arretrò e si ribaltò più volte. L’indagine aveva accertato che il datore di lavoro — ancora il MoD — non aveva adottato tutte le misure ragionevolmente praticabili per eliminare o controllare il rischio. Due incidenti, due censure, un unico messaggio: il sistema della sicurezza, per i mezzi militari, ha un punto cieco proprio nel soggetto che dovrebbe presidiarlo con la massima diligenza.
Tre lezioni da due esplosioni
Per rispondere, dobbiamo guardare a entrambi i lati della barricata e ai precedenti. La prima lezione è per i costruttori, e in particolare per gli uffici tecnici che redigono i Safety Case di macchine e sistemi complessi. Rheinmetall BAE Systems Land Ltd era responsabile del documento che doveva identificare i pericoli, quantificare i rischi e dimostrare l’adozione di misure di controllo adeguate per il carro e il suo cannone. Il fatto che l’HSE abbia ritenuto sussistenti elementi sufficienti per il rinvio a giudizio penale suggerisce — con il caveat della presunzione d’innocenza che resta piena fino a sentenza — che il processo di costruzione del Safety Case presenti criticità che meritano attenzione. Chi produce un Safety Case per un prodotto destinato a un datore di lavoro immune da azione penale deve sapere che il proprio lavoro sarà scrutinato senza lo schermo protettivo di cui gode il cliente. L’estensore del fascicolo tecnico, il redattore della valutazione dei rischi, il firmatario della dichiarazione di conformità: tutti costoro possono trovarsi sul banco degli imputati mentre il committente pubblico riceve una lettera di censura. È un’inversione del rapporto di responsabilità che nei settori regolati dal diritto comune non si verifica con questa intensità, e che impone ai costruttori uno standard di diligenza ancora più elevato — e documentato — quando il cliente finale è un ente governativo.
La seconda lezione è per il datore di lavoro che mette in servizio macchine pericolose, anche quando gode di immunità dalla persecuzione penale. La censura della Corona non è una sanzione simbolica: è un atto formale che attesta pubblicamente l’inadempienza, con potenziali ricadute reputazionali, assicurative, contrattuali e — nei casi più gravi — politiche. Il Ministero della Difesa aveva la responsabilità ultima di verificare l’adeguatezza del Safety Case prima di accettarlo e di autorizzare l’impiego operativo del mezzo. Accettare un documento senza aver esercitato un controllo sostanziale equivale a trasferire di fatto la funzione di garanzia, ma senza poterne trasferire la titolarità giuridica: un errore che nei settori industriali ad alta pericolosità ha prodotto condanne penali pesanti per i datori di lavoro privati, e che nel settore pubblico si traduce in censure che nessun dirigente vorrebbe vedere associate al proprio reparto o comando. L’incidente del Jackal a Catterick — pendenza in forte salita, sottovalutazione del rischio di ribaltamento, assenza di controlli adeguati — aveva già mostrato cosa significa non adottare “tutte le misure ragionevolmente praticabili”. Castlemartin lo conferma su un sistema d’arma ancora più complesso.
La terza lezione è per chi presidia la funzione di vigilanza e accettazione dei Safety Case all’interno di organizzazioni grandi e frammentate, pubbliche o private. In entrambi i casi — Challenger 2 e Jackal — il nodo non era la mancanza di un documento, ma la sua sufficienza e adeguatezza rispetto ai rischi reali dell’attività. Un Safety Case non può essere un esercizio documentale autoreferenziale: deve essere stressato, verificato sul campo, messo alla prova contro scenari di utilizzo realistici — incluse le condizioni di esercitazione che, come a Castlemartin e a Catterick, sono parte integrante dell’impiego operativo. Chi accetta un Safety Case senza averne verificato le ipotesi fondanti assume su di sé la responsabilità del suo fallimento, anche quando il sistema legale offre scudi procedurali. L’ultima lezione è la più urgente: non aspettare la censura o il processo. Verificare oggi i Safety Case già in vigore, i processi di accettazione utilizzati, la tracciabilità delle revisioni. Un documento non aggiornato, un’ipotesi non verificata, un controllo di accettazione puramente formale possono restare silenti per anni — fino al giorno in cui non lo sono più.
