Il D.lgs. 24/2023, nell’attuare la Direttiva (UE) 2019/1937, ha introdotto nel nostro Ordinamento un corpus normativo, strutturato e organico, che è volto a garantire la protezione dei cc.dd. whistleblower, i.e. le persone fisiche che segnalano violazioni di particolari determinate disposizioni normative, unionali e nazionali, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato.
La disciplina disegnata dal D.lgs. 24/2023 impone a soggetti pubblici e privati di attivare e organizzare la gestione di un canale di segnalazione interna che va “messo in sistema” con un canale di segnalazione esterna (gestito dall’ANAC) nonché con l’ulteriore possibilità di divulgare pubblicamente la violazione, al fine di creare le condizioni effettive per dare diligente seguito alle segnalazioni ricevute.
Le violazioni, possibili oggetto di segnalazione, sono i comportamenti, gli atti o le omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in illeciti che rientrano nell’ambito di applicazione di norme unionali e nazionali.
Segnalazioni e piattaforme whistleblowing dei gruppi di imprese: identificazione dei ruoli privacy
Indice degli argomenti
La segnalazione delle violazioni privacy
In particolare, secondo quanto stabilito dall’art. 2, comma 1, lettera a), punto 3) del D.lgs. 24/2023, il whistleblower può segnalare anche violazioni del GDPR e del Codice Privacy.
Questa circostanza postula la necessità di comprendere l’effettiva natura giuridica della segnalazione, da parte del whistleblower, di una violazione privacy, soprattutto in ragione dei diversi conseguenti effetti.
Reclamo ai sensi del GDPR o segnalazione ai sensi del Codice Privacy?
In concreto, ci si chiede se la comunicazione della violazione privacy inoltrata dal whistleblower che deve pervenire al Garante della Privacy, attraverso la mediazione del gestore del canale di segnalazione interna o tramite ANAC, costituisca un “reclamo” ai sensi dell’art. 77 del GDPR o una “segnalazione” ai sensi dell’art. 144 del Codice Privacy.
La questione non è di poco conto, se si considerano i diversi effetti derivanti dalla configurabilità dell’uno o dell’altra.
Infatti, se la “comunicazione” inoltrata dal whistleblower fosse riconosciuta come un “reclamo”, l’Autorità Garante, dopo averla ricevuta dal gestore della segnalazione interna o dall’ANAC, dovrebbe emettere una decisione entro nove mesi dalla data di presentazione e, in ogni caso, entro tre mesi dalla predetta data, dovrebbe informare l’interessato sullo stato del procedimento. Solo in presenza di motivate esigenze istruttorie, il reclamo viene deciso entro dodici mesi.
Se invece si riconoscesse che la “non conformità” al GDPR o al Codice Privacy inoltrata dal whistleblower, ha la natura giuridica di una “segnalazione ai sensi dell’art. 144 del Codice Privacy”, l’Autorità Garante non avrebbe alcun onere, essendo solo “stimolata” ad esercitare i poteri stabiliti dall’art. 58 del GDPR che può, comunque, esercitare d’ufficio, a prescindere dalla segnalazione.
Configurabilità della segnalazione ai sensi del Codice Privacy
Invero, la specifica comunicazione del whistleblower in esame sembrerebbe costituire una “segnalazione ai sensi dell’art. 144 del Codice Privacy”, poiché l’art. 77 del GDPR stabilisce che un interessato abbia il diritto di proporre un reclamo a un’autorità di controllo se ritiene che il trattamento “che lo riguarda” violi lo stesso GDPR.
Per contro, le disposizioni del D.lgs. 24/2023 non si applicano alle contestazioni, rivendicazioni o richieste legate “ad un interesse di carattere personale della persona segnalante” che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate.
Pertanto, il “diritto al reclamo” appare evidentemente inconciliabile con le tutele del whistleblower che sono escluse nel caso di segnalazioni che riguardano “vertenze interpersonali”.
La funzione di “filtro” del gestore del canale di segnalazione
Sulla base della precedente considerazione, è agevole indurre che il gestore del canale di segnalazione, qualora riceva dal whistleblower la segnalazione di una violazione privacy “che lo riguarda” – i.e. in sostanza, “un reclamo ai sensi dell’art. 77 del GDPR” – in applicazione della prescrizione posta dall’art. 13, comma 2 del D.lgs. 24/2023, dovrebbe:
- immediatamente cancellare tutta la documentazione contenente dati personali manifestamente non utili ad un trattamento. Infatti, in tal caso, dare seguito alla segnalazione della violazione privacy riguardante lo stesso whistleblower, potrebbe determinare l’avvio di un trattamento illecito, stante l’insussistenza di una finalità e di una adeguata base giuridica;
- dare, contestualmente, comunicazione al whistleblower, dell’avvenuta cancellazione, invitandolo a presentare rituale reclamo all’Autorità Garante.
Resta ovviamente impregiudicato l’obbligo per lo stesso gestore del canale di segnalazione di inoltrare al Garante della Privacy le segnalazioni di violazioni privacy che “non riguardano il whistleblower”.
Possibili disfunzioni e impatti sull’operatività di imprese e PA
In tale quadro, un whistleblower che inoltri su canale di segnalazione interna o esterna la “comunicazione” di una violazione privacy, in teoria, potrebbe beneficiare delle misure di protezione garantite dal D.lgs. 24/2023 per un tempo indeterminato, poiché il Garante della Privacy, non avendo alcun obbligo/onere procedurale, potrebbe anche non porre in essere alcun adempimento, lasciando la situazione in uno stato di sospensione indefinita.
Lo scenario potrebbe anche assumerebbe il carattere di gravità, andando ad impattare sull’operatività dell’organizzazione pubblica o privata coinvolta, qualora la violazione privacy segnalata dal whistleblower sia oggettivamente insussistente e lo stesso whistleblower agisca in modo pretestuoso, solo per ottenere vantaggi dal sistema di protezione fissato dal D.lgs. 24/2023.
Sarebbe quindi auspicabile che, in questi casi particolari, l’Autorità Garante, pur non avendo alcun obbligo, tratti e definisca, nel più breve tempo possibile, le segnalazioni di violazioni privacy che vengono inoltrate dal whistleblower.
