Lo scorso 9 dicembre il Governo ha trasmesso alle competenti commissioni parlamentari lo schema di decreto legislativo che recepisce la Direttiva 2019/1937 sul Whistleblowing con cui l’Unione Europea ha richiesto agli Stati membri di introdurre maggiori garanzie a sostegno dei whistleblower.
In attesa, dunque, di poter analizzare il testo definitivo del Decreto, è utile analizzarne i profili di data protection e le regole pratiche per ottenere la compliance in azienda.
Armonizzare le regole UE per una cibersicurezza fondata sulla privacy
Indice degli argomenti
Whistleblowing: il contesto normativo
Il Whistleblowing, lo ricordiamo, è stato disciplinato per la prima volta dal Legislatore italiano nel settore pubblico mediante la L. 190/2012. Tale normativa contemplava una particolare tutela nei confronti del lavoratore pubblico che segnalasse illeciti di cui fosse venuto a conoscenza nell’ambito dell’attività lavorativa (cd. “whistleblower”).
Con la successiva L. 179/2017 è stata introdotta una disciplina organica dell’istituto, prevedendo specifiche tutele per gli autori delle segnalazioni, sia in ambito pubblico che privato.
Con specifico riferimento al settore privato, la L. 179/2017 ha apportato una modifica all’art. 6 del D. Lgs. 231/2001 (da ora definito “Decreto 231”) disponendo che il Modello di organizzazione, gestione e controllo, affinché possa considerarsi idoneo a prevenire la commissione di reati presupposto, debba prevedere:
- uno o più canali che consentano ai soggetti apicali e subordinati di presentare segnalazioni circostanziate di condotte illecite rilevanti ai sensi del Decreto 231 e fondate su elementi di fatto precisi e concordanti o di violazioni del Modello stesso, di cui siano venuti a conoscenza in ragione delle funzioni svolte;
- almeno un canale di segnalazione alternativo idoneo a garantire la riservatezza dell’identità del whistleblower;
- il divieto di atti di ritorsione o discriminatori per motivi collegati (direttamente o indirettamente) alla segnalazione;
- sanzioni disciplinari nei confronti di chi violi le misure di tutela del whistleblower, nonché di chi effettui con dolo o colpa grave segnalazioni che si rivelino infondate.
L’ambito di applicazione della disciplina, pertanto, è stato sinora circoscritto all’adozione, da parte della società, del Modello Organizzativo e alla segnalazione di violazioni rilevanti ai sensi del Decreto 231.
Con la Direttiva 2019/1937, è stato richiesto agli Stati membri di introdurre maggiori garanzie a sostegno delle persone che segnalano violazioni delle disposizioni normative nazionali o europee.
Le novità in Italia: lo schema di decreto legislativo
La Direttiva 2019/1937 è stata recepita in Italia mediante lo schema di decreto legislativo che è stato trasmesso il 9 dicembre scorso dal Governo alle competenti commissioni parlamentari (da ora definito “Decreto”), le quali dovranno esprimere il proprio parere entro il 19 gennaio 2023.
Tra le principali novità del Decreto (in attesa di vedere la versione definitiva) si segnalano le seguenti:
- l’ampliamento delle violazioni oggetto di segnalazione (che non sono solo più circoscritte a quelle previste dal Decreto 231) così come dei soggetti destinatari della tutela (estesa, tra altri, a lavoratori autonomi, collaboratori esterni, volontari, tirocinanti anche non retribuiti, facilitatori, colleghi e parenti ecc.);
- la previsione di ulteriori strumenti di comunicazione mediante segnalazioni esterne tramite apposito canale istituito dall’ANAC e divulgazione pubblica;
- il rafforzamento delle tutele nei confronti del segnalante o del soggetto che abbia sporto denuncia all’autorità giudiziaria o contabile in caso di atti ritorsivi;
- la previsione di una tempistica specifica entro la quale fornire riscontro alla segnalazione;
- l’introduzione di misure di sostegno in favore del segnalante (informazioni, assistenza e consulenze a titolo gratuito);
- la previsione di sanzioni fino a 50.000 euro nei confronti del responsabile delle violazioni delle disposizioni ivi contenute.
L’ANAC, che in tale contesto ha acquisito un ruolo centrale quale organo di tutela e controllo, entro tre mesi dall’entrata in vigore del Decreto, dovrà adottare linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne, dopo aver sentito il Garante Privacy.
La tutela della riservatezza
Il Decreto prevede che l’identità della persona segnalante (e qualsiasi altra informazione da cui possa evincersi, direttamente o indirettamente, tale identità) non possano essere rivelate, senza il consenso espresso del whistleblower, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati.
Tale autorizzazione al trattamento dei dati deve essere predisposta alla luce delle norme a tale proposito applicabili, sia a livello europeo (gli articoli 29 e 32 del General Data Protection Regulation, GDPR) che a livello italiano (l’articolo 2 quaterdecies del Codice Privacy). Tale documento dovrà essere molto chiaro in merito agli obblighi da osservare e ai limiti da rispettare nella gestione dei dati, vista la delicatezza degli stessi in questo ambito.
Le istruzioni fornite dal titolare devono quindi riguardare anche i profili collegati alla riservatezza e, di conseguenza, i limiti da rispettare nella circolazione delle informazioni.
È disciplinata dal Decreto la riservatezza anche nel contesto, particolarmente sensibile, di un eventuale procedimento disciplinare a carico di un soggetto segnalato: in tale caso, l’identità del segnalante non può essere rivelata, se la contestazione dell’addebito disciplinare è fondata su accertamenti distinti e ulteriori rispetto alla segnalazione.
Se la contestazione è fondata, in tutto o in parte, sulla segnalazione che è stata fatta e la conoscenza dell’identità del segnalante è indispensabile per la difesa dell’incolpato, allora in tal caso la segnalazione è utilizzabile, ai fini del procedimento disciplinare, solo in presenza del consenso espresso del segnalante alla rivelazione della propria identità.
Adempimenti per garantire la protezione dei dati personali
Il Decreto ha chiarito alcuni aspetti che risultano centrali con riferimento alle misure che occorre porre in essere per proteggere i dati personali degli interessati. Inoltre, il Garante Privacy ha emesso recentemente alcuni provvedimenti sanzionatori e da questi è possibile ricavare indicazioni importanti in merito alle attività da svolgere.
Di seguito vengono sintetizzati i principali adempimenti che occorre rispettare in ottica data protection alla luce del framework di riferimento, incluso anche il Decreto.
Data protection impact assessment (DPIA)
Considerata la particolare delicatezza delle informazioni trattate, della vulnerabilità degli interessati nonché degli elevati rischi – in termini di possibili effetti ritorsivi e discriminatori, anche indiretti, per il segnalante – il trattamento svolto nell’ambito del whistleblowing deve considerarsi ad alto rischio ed è quindi obbligatorio lo svolgimento di una valutazione d’impatto, preventiva al trattamento.
Principi privacy
Il titolare dovrà mettere in atto tutte le misure affinché nel trattamento dei dati vengano rispettati i principi previsti dalla legge, tra cui quelli di liceità, correttezza, trasparenza, limitazione della finalità, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione.
Dovranno, inoltre, essere messe in atto misure adeguate di privacy by design e by default.
Minimizzazione
I dati personali che non sono utili al trattamento di una specifica segnalazione non devono essere raccolti. Se vengono raccolti accidentalmente, devono essere cancellati.
Trasparenza rafforzata
In materia di whistleblowing occorre porre particolare attenzione alla completezza delle informazioni in relazione a ciascun trattamento, fornendo informative chiare e complete agli interessati.
Le informative standard messe talvolta a disposizione dai fornitori delle piattaforme non possono considerarsi adeguate.
Il fornitore è peraltro un responsabile del trattamento mentre gli obblighi informativi devono essere assolti dalla società che si avvale del sistema di whistleblowing, che tratta i dati in qualità di titolare del trattamento.
Per i gruppi multinazionali un punto di attenzione ulteriore è quello della lingua delle informative, che devono essere comprensibili a tutti; devono quindi essere previste anche traduzioni nelle lingue locali.
Autorizzazioni al trattamento
Come sopra ricordato, è necessario che i soggetti preposti alla gestione delle segnalazioni abbiano ricevuto adeguate nomine, includendo fra gli obblighi cui è tenuto l’autorizzato al trattamento anche la riservatezza.
Registro dei trattamenti
Occorre indicare nel registro dei trattamenti la finalità di acquisizione e gestione di segnalazioni di condotte illecite e tutte le ulteriori informazioni richieste dalla legge.
Procedure
L’adozione di procedure o policy inerenti alla gestione delle segnalazioni e la protezione dei dati personali nei trattamenti è fondamentale per la legittimità dei trattamenti in questione, nel rispetto del principio di accountability, anche ai sensi degli articoli 5 e 24 del GDPR.
Misure di sicurezza
È necessario adottare tutte quelle adeguate per assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.
In particolare, occorre prevedere l’utilizzo di misure di sicurezza avanzate, tra cui anche le seguenti:
- il protocollo https;
- strumenti di crittografia (specie per il trasporto e la conservazione dei dati del segnalante) per garantire la riservatezza dell’identità del segnalante e per il contenuto delle segnalazioni e della relativa documentazione;
- tecniche di pseudonimizzazione e anonimizzazione, ove possibile;
- accessi individuali e nominali;
- procedure d’autenticazione forti e meccanismi di blocco automatico dell’utenza, in caso di ripetuti tentativi di autenticazione falliti;
- limitazione dei soggetti aventi accesso alle informazioni, anche mediante una corretta configurazione dei sistemi di protocollo informatico.
Gestione dei diritti degli interessati
Il titolare del trattamento deve adottare le necessarie misure (tra cui, ad esempio, la predisposizione di una procedura ad hoc o la formazione del personale a ciò preposto) affinché, in caso di esercizio dei diritti privacy, venga dato tempestivamente l’adeguato riscontro.
In caso di ritardata o omessa risposta, il rischio è che l’interessato presenti un reclamo al Garante Privacy.
Le procedure adottate dovranno tenere conto anche dei limiti previsti dalla legge (in particolare dall’articolo 2 undecies del Codice Privacy): i diritti previsti dal GDPR non possono infatti essere esercitati qualora possa derivarne un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante.
Responsabile del trattamento
Dai recenti provvedimenti del Garante Privacy in materia risulta una particolare attenzione per la figura del responsabile, come il fornitore della piattaforma whistleblowing, al quale non possono essere delegate importanti attività di trattamento in assenza dei necessari presupposti. In concreto, il titolare dovrà valutare previamente l’idoneità del responsabile – anche con riferimento alle misure di sicurezza che offre, agli eventuali subresponsabili che coinvolge e alla possibile conservazione dei dati fuori dall’UE – e poi formalizzare un contratto ai sensi dell’articolo 28 del GDPR sufficientemente tutelante.
Inoltre, risultano senz’altro opportuni audit per verificare che gli obblighi assunti contrattualmente dal fornitore risultino applicati.
Conservazione
Il periodo di conservazione deve essere limitato a quanto necessario per il trattamento della segnalazione e comunque, in base a quanto previsto dal Decreto, non può protrarsi oltre 5 anni dalla data della comunicazione dell’esito finale della procedura di segnalazione.
Formazione
Come in ogni contesto di trattamento di dati personali, ma a maggior ragione in un ambito delicato come quello del whistleblowing, è necessario che il titolare si occupi della formazione delle persone che agiscono sotto la propria autorità.
Spunti operativi
Alla luce delle novità legislative introdotte, le società prive di un sistema gestione delle segnalazioni dovranno procedere, tra l’altro:
- all’attivazione di un canale di segnalazione in grado di garantire la riservatezza dell’identità del segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del suo contenuto e della relativa documentazione;
- allo svolgimento delle attività necessarie per la protezione dei dati personali degli interessati, in base al framework normativo applicabile;
- all’individuazione di un soggetto o di un ufficio interno autonomo dedicato, dotato di personale specificatamente formato per la gestione delle segnalazioni, ovvero di un soggetto esterno in possesso degli stessi requisiti;
- alla predisposizione di un’apposita procedura aziendale che regoli le modalità di segnalazione e gestione delle attività di indagine e definisca l’oggetto e i destinatari delle segnalazioni.
Le società che abbiano già adottato un Modello organizzativo ai sensi del Decreto 231, invece, dovranno provvedere a coordinare adeguatamente gli strumenti di tutela del segnalante ivi previsti con gli eventuali ulteriori obblighi derivanti dal recepimento della Direttiva.
In ogni caso, il rispetto degli adempimenti privacy che sono stati qui ripercorsi, che si rendono necessari alla luce dell’insieme delle norme applicabili in materia, è rilevante non solo sotto il profilo formale – posto che la mancata adozione della documentazione e la presenza di eventuali gap nell’implementazione delle misure costituiscono violazioni sanzionabili con multe fino a 20 milioni di euro o fino al 4% del fatturato annuo – ma anche da un punto di vista sostanziale.
Infatti, compiere tutti gli step perché la riservatezza e la protezione dei dati degli interessati siano garantiti anche nel contesto del whistleblowing rappresenta un punto di forza per la società, che potrà svolgere le operazioni di trattamento in sicurezza e in modo efficiente, evitando le conseguenze negative di una gestione poco accurata del dato, tra cui anche possibili data breach (potenzialmente molto dannosi per la reputazione dell’azienda), reclami degli interessati davanti alle Autorità Privacy e azioni giudiziali.
