All’interno delle aziende, lo sviluppo di un procedimento disciplinare e l’adozione del conseguente provvedimento costituiscono un trattamento di dati personali che è sottoposto all’attività di sorveglianza del DPO.
Quando, però, un procedimento disciplinare viene avviato con una contestazione dell’addebito disciplinare che è fondata su una segnalazione di un whistleblower cosa avviene?
Questo caso particolare, stante gli obblighi di riservatezza a tutela del whistleblower, rientra comunque nell’attività di oversight del DPO?
E comunque, quali misure potrebbe richiedere un DPO per tutelare ulteriormente i vari soggetti coinvolti nella segnalazione?
Questo articolo cercherà di dare una risposta a questo interrogativi.
Indice degli argomenti
Obblighi di riservatezza dell’identità del whistleblower
Secondo quanto stabilito dall’art. 13 del D.lgs. 24/2023, il soggetto pubblico o privato che ha l’obbligo di applicare la normativa sul Whistleblowing deve disegnare ed eseguire ogni trattamento di dati personali, relativo al ricevimento e alla gestione delle segnalazioni, applicando il GDPR o il D.lgs.51/2018 in qualità di “titolare del trattamento”.
In modo complementare, l’art. 12 dello stesso decreto impone a tali titolari del trattamento specifici obblighi volti a garantire la riservatezza dell’identità del segnalante (il cosiddetto whistleblower).
Questi obblighi in particolare comprendono il divieto di:
- utilizzare le segnalazioni del whistleblower oltre quanto è necessario per dare adeguato seguito alle stesse;
- rivelare l’identità del whistleblower e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente tale identità, senza il consenso espresso dello stesso whistleblower, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati.
Obbligo di riservatezza dell’identità del whistleblower nel procedimento disciplinare
Oltre agli obblighi descritti, a carico degli Enti pubblici e privati chiamati ad applicare la particolare normativa, è posto anche l’ulteriore divieto di rivelare l’identità del whistleblower, nell’ambito del procedimento disciplinare, quando la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa.
Qualora, invece, la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del whistleblower sia indispensabile per la difesa dell’incolpato, la segnalazione può essere utilizzata ai fini del procedimento disciplinare solo in presenza del consenso espresso dello stesso whistleblower alla rivelazione della propria identità.
In tale quadro ci si chiede se questi obblighi siano talmente “stringenti” da escludere l’accesso da parte del DPO alle informazioni che potrebbero rivelare l’identità del segnalante.
Come si combina il Decreto sul whistleblowing con il GDPR
La domanda che ci si è posta non è peregrina, se si pensa che il Considerando 84 della Direttiva UE 2019/1937 chiarisce che la protezione efficace della riservatezza dell’identità delle persone segnalanti si configura – ai sensi dell’articolo 23, paragrafo 1, lettera i) del GDPR – come una limitazione, mediante misura legislativa:
- alla portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34 GDPR;
- all’articolo 5 dello stesso GDPR.
Però a ben vedere, le limitazioni non riguardano l’art. 39 del GDPR che stabilisce i compiti attribuiti al DPO. Per cui nessun limite sembrerebbe potersi porre all’attività di oversight del DPO sullo sviluppo dei procedimenti disciplinari innescati dalla segnalazione di un whistleblower.
Questa considerazione trova conferma nel comma 3 dell’art. 13 del D.lgs. 24/2023 che dispone che i diritti privacy di cui agli articoli da 15 a 22 del GDPR possono essere esercitati nei limiti di quanto previsto dall’articolo 2 undecies del codice privacy cioè solo per il tempo e nei limiti in cui l’esercizio del diritto costituisca una misura necessaria e proporzionata e solo tramite il Garante.
Nulla invece dice il Decreto sul Whistleblowing circa l’esercizio dei compiti del DPO.
In tale quadro, noi riteniamo che, qualora fosse necessario, il DPO – stante anche la funzione di garanzia che assume il suo ruolo – potrebbe accedere alla documentazione e successivamente, se del caso richiedere di adottare ulteriori misure.
Un esempio concreto
Il seguente esempio può contribuire a rendere più chiaro quanto espresso.
Il DPO della società BETA Srl riceve un’e-mail da un account aziendale, inviata da un dipendente, in cui quest’ultimo riferisce di aver subito ritorsioni sotto forma di un provvedimento disciplinare, irrogato nei suoi confronti pochi giorni dopo aver effettuato una segnalazione tramite il canale del whistleblowing. La segnalazione, per quanto a conoscenza del dipendente, è ancora in fase di valutazione, poiché non sono ancora trascorsi i tre mesi previsti dalla normativa per la sua gestione.
La comunicazione del dipendente è dettagliata e precisa ed evidenzia, con riscontri oggettivi, una violazione della normativa sul whistleblowing.
Nonostante la gravità della situazione, il dipendente specifica di non voler utilizzare il canale ANAC per segnalare situazioni analoghe, poiché teme ulteriori ritorsioni.
In questo caso il DPO prima di suggerire al dipendente di rivolgersi al canale ANAC che è deputato a trattare tali casi, potrebbe:
- indagare in merito alla gestione delle segnalazioni, astenendosi dal segnalare l’origine della richiesta;
- richiedere un audit sul processo di gestione dei provvedimenti disciplinari indagando gli stessi e campionando, tra gli altri, anche quelli afferenti al dipendente, consapevole che in tale circostanza non può indagare su temi estranei al suo perimetro (per esempio, le motivazioni alla base di una sanzione).
Tali misure non devono essere adottate necessariamente. Elementi ulteriori, per il caso in esame, potrebbero indurre il DPO a:
- non approfondire il caso, ovviamente comunicando tale scelta e le relative motivazioni all’interessato,
- ovvero procedere sulla base di altre misure che reputa più efficaci.
In ogni caso deve segnalare all’interessato di non usare sistemi di posta elettronica su dominio aziendale per evitare una tracciatura delle comunicazioni. Allo stesso modo, anche lo stesso DPO, in situazioni simili, dovrebbe astenersi dall’utilizzare l’e-mail aziendale, garantendo così la riservatezza delle comunicazioni.
L’importanza delle politiche aziendali
Le aziende dovrebbero comunque dotarsi di politiche che riflettano un impegno profondo alla legalità, alla trasparenza e alla giustizia, riconoscendo nel contempo il valore delle segnalazioni di condotte illecite da parte dei whistleblowers.
Il caso precedentemente descritto, dove un collaboratore usa la posta aziendale, è emblematico della mancanza di istruzioni.
In ultima analisi, una risposta concreta all’interrogativo posto potrebbe venire da una collaborazione stretta tra DPO, dirigenti aziendali, reparti legali e HR, per creare un ambiente in cui la protezione dei dati personali e la sicurezza dei whistleblower siano considerate non come ostacoli, ma come pilastri fondamentali della cultura aziendale.
A tal proposito, il DPO può richiedere specifiche misure per garantire la tutela di tutte le parti coinvolte (segnalante, segnalati, testimoni, persone citate, facilitatore), qualora tali misure non siano già state adottate. In particolare, le istruzioni fornite al segnalante per l’inoltro della segnalazione dovrebbero includere i seguenti elementi:
- illustrazione chiara della procedura: una spiegazione dettagliata della procedura adottata dall’organizzazione dopo aver ricevuto la segnalazione, al fine di garantire trasparenza e chiarezza su come sarà gestita la segnalazione;
- casi di rivelazione dell’identità: la specificazione delle circostanze in cui l’identità del segnalante può essere rivelata, per evitare fraintendimenti e preparare il segnalante a eventuali situazioni eccezionali;
- indicazioni per la tutela della riservatezza: suggerimenti per azioni che il segnalante può intraprendere per proteggere la propria riservatezza, tra cui:
- fornire esclusivamente informazioni attinenti alla segnalazione;
- effettuare l’accesso da un collegamento non aziendale (ad esempio, dalla propria abitazione);
- utilizzare un browser in modalità di navigazione anonima e, successivamente, eliminare la cronologia di navigazione. Questo aiuta a ridurre il rischio di accessi non autorizzati o di osservazioni indesiderate.
- contenuto della segnalazione: una guida chiara su cosa dovrebbe contenere la segnalazione, indicando che:
- la segnalazione deve includere informazioni riguardanti il/i nominativo/i del/i soggetto/i o riferimenti della/e struttura/e presumibilmente responsabili della violazione. Deve fornire una breve descrizione della presunta violazione, specificando le circostanze di tempo e luogo in cui si sono verificati i fatti, e segnalare eventuali soggetti terzi coinvolti, a conoscenza dei fatti, o potenzialmente danneggiati. Per facilitare la gestione, è consigliabile allegare tutta la documentazione di supporto disponibile;
- il segnalante che risulta coinvolto, deve specificarlo, in quanto potrebbe ricevere un trattamento diverso rispetto agli altri soggetti, in conformità con la normativa applicabile;
- nella segnalazione non devono essere inseriti dati personali ulteriori a quelli strettamente necessari e/o non pertinenti per procedere con le indagini.
Queste misure sono fondamentali per assicurare un equilibrio tra la necessità di indagare efficacemente sulle segnalazioni e la tutela dei diritti e della riservatezza di tutte le parti coinvolte.
Conclusioni
In sostanza, il problema si condensa nel trovare un equilibrio tra due necessità legali e etiche apparentemente contrapposte: da un lato, assicurare che il DPO possa esercitare il proprio mandato di sorveglianza sulla corretta applicazione della normativa privacy nel contesto dei procedimenti disciplinari, dall’altro, garantire che tale sorveglianza non comprometta la tutela della riservatezza del whistleblower, considerata essenziale per incoraggiare la segnalazione di comportamenti illeciti all’interno delle organizzazioni.
Siamo convinti che per raggiungere questo equilibrio, è fondamentale che le organizzazioni adottino procedure chiare e misure di sicurezza efficaci, volte a proteggere l’identità del whistleblower senza ostacolare il ruolo di supervisione del DPO.
La chiave risiede in una gestione trasparente e responsabile dei dati, che consenta al DPO di svolgere le proprie funzioni senza esporre indebitamente i segnalanti.
Solo attraverso un approccio ponderato e rigoroso si può garantire un ambiente in cui la segnalazione di illeciti sia incoraggiata e tutelata, contribuendo così a una cultura aziendale etica e rispettosa delle normative.
