Sulla G.U. n. 304 del 31/12/2008 è stato pubblicato il DL 30/12/2008 n.207 c.d. decreto milleproroghe che tra i diversi differimenti conferma lo slittamento al 16 maggio 2009 dell'obbligo di comunicare gli infortuni sul lavoro di durata superiore a un giorno.
Alla medesima data viene differita anche l'entrata in vigore del divieto di effettuare le visite mediche preassuntive.
Entra invece in vigore al 1° gennaio 2009 l'obbligo per le aziende di integrare il documento sulla valutazione dei rischi aziendali in base alle disposizioni contenute nel nuovo Testo Unico sulla sicurezza, anche se i datori di lavoro avranno tempo fino al 16 maggio 2009 per valutare lo stress lavoro-correlato e per assicurare una data certa al documento di valutazione dei rischi.
Il decreto stabilisce inoltre che la comunicazione mensile all'Agenzia delle Entrate dei dati retributivi e delle informazioni necessarie per il calcolo delle ritenute fiscali e dei relativi conguagli (c.d. EMENS fiscale o 770 mensile) dovranno essere rese a decorrere dalle retribuzioni del mese di gennaio 2010. Il legislatore ha previsto anche che la dichiarazione mensile dovrà contenere le misure delle retribuzioni e dei versamenti eseguiti.
In merito all'IRAP regionale il provvedimento proroga al 1° gennaio 2010 la disposizione contenuta nella finanziaria 2008 che affidava alle singole regioni la regolamentazione diretta dell'IRAP.
Sono numerose invece le modifiche al regime sanzionatorio applicabile alle violazioni delle disposizioni sulla Privacy. In particolare:
- omessa o inidonea informativa all'interessato: la sanzione amministrativa raddoppia e si fissa quindi da Euro 6.000 a Euro 36.000;
- cessione di dati a un altro titolare, non destinati a un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti: la sanzione amministrativa raddoppia e si fissa da Euro 10.000 a Euro 60.000;
- dati personali che rilevano lo stato di salute resi noti da medici non incaricati: la sanzione amministrativa raddoppia e si fissa da Euro 1.000 a Euro 6.000;
- violazioni alle misure minime di sicurezza nel trattamento dei dati personali: si aggiunge una sanzione amministrativa da Euro 20.000 a Euro 120.000 (è escluso il pagamento in misura ridotta);
- violazioni alle prescrizioni del Garante (art. 154, c. 1, lettera c) e d), DLgs. 196/2003) si aggiunge una sanzione amministrativa da Euro 30.000 a Euro 180.000;
- omessa o incompleta notificazione al Garante del trattamento dei dati personali (ove previsto, artt. 37 e 38 DLgs. 196/2003): la sanzione amministrativa raddoppia e si fissa da Euro 20.000 a Euro 120.000;
- omessa fornitura di informazioni o omessa esibizione di documenti richiesti dal Garante: la sanzione amministrativa viene fissata da Euro 10.000 a Euro 60.000;
- casi di minore gravità di cui alle violazioni sopra citate: i limiti minimi e massimi delle relative sanzioni possono essere applicati in misura pari a 2/5;
- più violazioni di un'unica o più disposizioni (ad eccezione delle disposizioni previste dagli artt. 162, c. 2 - 162-bis e 164 del DLgs. 196/2003): si applica una sanzione amministrativa da Euro 50.000 a Euro 300.000 (non è ammesso il pagamento in misura ridotta);
- casi di maggiore gravità: le sanzioni amministrative possono ulteriormente raddoppiare ovvero possono quadruplicare quando le sanzioni risultino inefficaci in ragione delle condizioni economiche del contravventore;
- omessa informativa, cessione di dati illeciti e omesse informazioni al Garante: la sanzione accessoria di pubblicazione su uno o più giornali sarà a spese del contravventore.