Normativa in materia di whistleblowing: novità, obblighi, adempimenti e sanzioni

Nella Gazzetta Ufficiale del 15 marzo 2023 è stato pubblicato il D.lgs. 10 marzo 2023 n. 24 che recepisce la Direttiva 2019/1937 sul whistleblowing e pone una disciplina normativa volta a garantire un elevato livello di protezione di coloro che segnalano minacce o pregiudizi al pubblico interesse di cui sono venuti a sapere nell’ambito delle loro attività professionali. Sono persone che esercitano il diritto alla libertà di espressione e d’informazione, sancito dall’articolo 11 della Carta di Nizza e dall’articolo 10 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU).

Ecco un’analisi sintetica delle novità, degli obblighi, degli adempimenti e delle sanzioni introdotte da questa nuova normativa.

Whistleblowing, è obbligatoria la DPIA: quali impatti per le aziende

Cos’è il whistleblowing

Chi lavora per un’organizzazione pubblica o privata o è in contatto con essa nello svolgimento della propria attività professionale è spesso la prima persona che viene a conoscenza di minacce o pregiudizi al pubblico interesse sorti in tale ambito.

Nel segnalare violazioni del diritto unionale o nazionale che ledono il pubblico interesse, tali persone (i cc.dd. «informatori/segnalanti o whistleblowers») svolgono un ruolo decisivo nella denuncia e nella prevenzione di tali violazioni e nella salvaguardia del benessere della società.

Tuttavia, i potenziali informatori, benchè esercitino il diritto fondamentale alla libertà di espressione e d’informazione, sono spesso poco inclini a segnalare inquietudini e sospetti nel timore di ritorsioni^[1].

In tale contesto, l’importanza di garantire una protezione equilibrata ed efficace degli informatori è sempre più riconosciuta a livello sia unionale che internazionale.

Il perimetro entro il quale va applicata la nuova normativa

Il D.lgs. 24/2023, nel recepire la Direttiva UE 2019/1937, introduce una disciplina strutturata per garantire la protezione degli «informatori/segnalanti o whistleblowers» i.e. delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato.

Chi beneficia della protezione

Entro l’ambito di operatività così delineato, la nuova normativa prevede una tutela per il whistleblower senza alcuna distinzione tra settore pubblico e settore privato.

Sono da intendere come “whistleblowers”, meritevoli di protezione, tutti i soggetti, collegati in senso ampio all’organizzazione pubblica o privata nella quale si è verificata la violazione, che potrebbero temere ritorsioni in considerazione della situazione di vulnerabilità economica.

Le misure di protezione si estendono poi anche ai c.d. facilitatori (ossia coloro che prestano assistenza al lavoratore nel processo di segnalazione), ai colleghi e persino ai parenti dei whistleblowers.

Tipologie di segnalazioni

Il D.lgs. 24/2023 prevede che le segnalazioni possano essere effettuate attraverso tre diversi canali di segnalazione:

1. interna,
2. esterna,
3. tramite divulgazione pubblica.

Le 3 tipologie di segnalazione devono necessariamente essere utilizzate in modo progressivo e sussidiario, nel senso che il segnalante può effettuare:

1. una segnalazione esterna solo se non ha potuto effettuare una segnalazione interna o se questa non ha avuto esito;
2. una divulgazione pubblica solo dopo aver effettuato una segnalazione interna e/o esterna senza esito.

Organizzazioni pubbliche e private che devono applicare la normativa

Devono obbligatoriamente dotarsi di un sistema di segnalazione interna:

• I seguenti «soggetti del settore pubblico»:

1. le Amministrazioni pubbliche di cui all’art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165,
2. le Autorità amministrative indipendenti di garanzia, vigilanza o regolazione, gli enti pubblici economici,
3. gli organismi di diritto pubblico di cui all’articolo 3, lettera d), del decreto legislativo 18 aprile 2016, n. 50,
4. i concessionari di pubblico servizio, le società a controllo pubblico e le società in house.

Attenzione: I comuni diversi dai capoluoghi di provincia possono condividere il canale di segnalazione interna e la relativa gestione.

I soggetti del settore pubblico cui sia fatto obbligo di prevedere la figura del responsabile della prevenzione della corruzione e della trasparenza (RPCT), affidano a quest’ultimo la gestione del canale di segnalazione interna, anche nelle ipotesi di condivisione.

• I «soggetti del settore privato» diversi da quelli rientranti nella definizione di soggetti del settore pubblico i quali:

1. hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2. rientrano nell’ambito di applicazione degli atti dell’Unione di cui all’allegato, parti I.B e parte II, del D.Lgs.24/2023 anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati;
3. rientrano nell’ambito di applicazione del D.lgs. 231/2001 e adottano modelli di organizzazione e gestione, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati.

Questi ultimi soggetti saranno tenuti ad istituire i canali di segnalazione interni, anche se impiegano meno di 50 dipendenti, solo se adottano i modelli di organizzazione e gestione già previsti dall’articolo 6 del decreto legislativo n. 231/2001.

Attenzione: I soggetti del settore privato che hanno impiegato nell’ultimo anno una media di non più di 249 dipendenti a tempo indeterminato o a termine – come i Comuni diversi dai capoluoghi di provincia – possono condividere le risorse per il ricevimento delle segnalazioni interne e per l’eventuale istruttoria da svolgere.

L’ANAC è autorità competente per le segnalazioni esterne, anche per il settore privato e deve necessariamente istituire canali idonei a garantire la riservatezza e prevedere le modalità di presentazione delle stesse segnalazioni esterne.

La procedura di gestione del canale di segnalazione interna

I citati soggetti del settore pubblico e del settore privato devono attivare propri canali di segnalazione interna, che garantiscano, anche tramite il ricorso a strumenti di crittografia:

1. la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione,
2. nonché del contenuto della segnalazione e della relativa documentazione.

La gestione del canale di segnalazione può essere affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, oppure ad un soggetto esterno, anch’esso autonomo e con personale specificamente formato.

Le segnalazioni possono essere effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale.

Le segnalazioni interne in forma orale sono effettuate attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.

La segnalazione in forma orale, previo consenso della persona segnalante, è documentata a cura del personale addetto, mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante trascrizione integrale. In caso di trascrizione, la persona segnalante può verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione.

La persona o l’ufficio interno ovvero il soggetto esterno, a cui è affidata la gestione del canale di segnalazione interna devono necessariamente svolgere almeno le seguenti attività:

1. rilasciare alla persona segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;
2. mantenere le interlocuzioni con la persona segnalante richiedendo a quest’ultima, se necessario, integrazioni;
3. dare diligente seguito alle segnalazioni ricevute;
4. fornire riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione;
5. mettere a disposizione, sui siti web e nei luoghi di lavoro, informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni esterne.

Trattamento dei dati personali

Ogni trattamento dei dati personali connesso alla gestione dei canali di segnalazione deve essere eseguito a norma del GDPR o del D.lgs. 51/2018.

I soggetti pubblici e privati che gestiscono i canali di segnalazione sono qualificati dalla normativa “titolari del trattamento” e devono pertanto:

1. allineare, fin dalla progettazione, ogni operazione ai principi di protezione dei dati personali fissati dall’art. 5 del GDPR e dall’art. 3 del D.lgs.51/2018;
2. eseguire una Valutazione di Impatto sulla Protezione dei Dati Personali (c.d. DPIA);
3. istruire ed autorizzare al trattamento i dipendenti chiamati a gestire il canale di segnalazione;
4. designare come “responsabili del trattamento” eventuali fornitori esterni che trattano dati personali per loro conto;

I soggetti del settore pubblico e del settore privato (i Comuni diversi dai capoluoghi di provincia ed Enti privati che hanno impiegato nell’ultimo anno una media di non più di 249 dipendenti) che decidono di condividere risorse per il ricevimento e la gestione delle segnalazioni, sono invece qualificati “contitolari del trattamento” e devono determinare, in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi in materia di protezione dei dati personali, ai sensi dell’articolo 26 del GDPR.

I diritti privacy possono essere esercitati con la mediazione dell’Autorità Garante nei limiti di quanto previsto dall’articolo 2 undecies del Codice della Privacy.

La segnalazione del whistleblower è sempre sottratta all’accesso documentale ed all’accesso civico.

Le misure di protezione

La nuova normativa prevede una gamma di misure di protezione che comprendono:

1. l’obbligo di riservatezza in ordine all’identità del segnalante, salvaguardando però anche i diritti di difesa della persona coinvolta/segnalata, viene così ribadita la presunzione di innocenza e il diritto di adeguata difesa;
2. un generale divieto di ritorsione, riportando una casistica (esemplificativa e non esaustiva né tassativa) delle stesse fattispecie ritorsive comprensive anche dei danni reputazionali prevedendo contestualmente l’inversione dell’onere probatorio in ordine alla natura ritorsiva della condotta e al danno subito;
3. misure di sostegno in favore del whistleblower, assicurate dagli enti del Terzo settore, che sono inseriti in elenchi tenuti dall’ANAC e che forniscono dette misure di sostegno, sulla base di convenzioni stipulate con la stessa autorità.

Violazioni per le quali sono previste sanzioni pecuniarie

L’ANAC, Autorità competente a ricevere e gestire le segnalazioni esterne sia per il settore pubblico che per quello privato, può anche applicare sanzioni amministrative pecuniarie nei casi in cui:

1. non sono stati istituiti canali di segnalazione;
2. non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni;
3. l’adozione di tali procedure non è conforme a quelle fissate dal D.lgs. 24/2023;
4. non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute;
5. sono state commesse ritorsioni;
6. oppure che la segnalazione è stata ostacolata o che si è tentato di ostacolarla;
7. o, ancora, che è stato violato l’obbligo di riservatezza circa l’identità del segnalante.

NOTE

1. Così il Considerando 1 della Direttiva UE 2019/1937. ↑