Il D.lgs. 10 marzo 2023, n. 24, di “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali (di seguito il “D.lgs. 24/23” o “Decreto”), ha in parte normato la tematica del whistleblowing anche per quanto riguarda la corretta individuazione dei ruoli privacy nell’uso di piattaforme whistleblowing nei gruppi di imprese.
Già in un precedente articolo abbiamo cercato di fare chiarezza su questo tema: si diceva che i dati relativi alle segnalazioni dovessero essere tutelati e, quindi, devono essere definiti i flussi e i canali informativi rispondendo in primis a domande quali:
- A chi il whistleblower deve inviare le informazioni che ritiene rilevanti?
- Chi stabilisce chi deve ricevere le segnalazioni e come?
In sostanza, ante 2023, era necessario valutare la conformità dell’intero processo alla luce della normativa privacy.
Vediamo ora come procedere a una corretta identificazione dei ruoli privacy alla luce del nuovo D.lgs. 24/23.
Indice degli argomenti
Gli scenari privacy ante D.lgs. 24/23
Ci concentriamo in particolare sulle segnalazioni da effettuarsi tramite tool informatici perché è la situazione che più spesso si realizza nelle realtà aziendali complesse; accade infatti che la capogruppo adotti una piattaforma whistleblowing per tutte le società, ideata e gestita internamente oppure messa a disposizione da un terzo fornitore.
Sulla qualificazione del ruoli privacy, prima del Decreto, non vi erano indicazioni cogenti nella normativa di settore e molto poco era stato indicato nei provvedimenti emessi dal Garante Privacy; era quindi necessario applicare i principi generali dettati dal Regolamento 679/16 (“GDPR”) e dalle linee guida emesse dall’European Data Protection Board (“EDPB”) procedendo, con un analisi fattuale, ad individuare il titolare del trattamento ed i relativi adempimenti valutando sempre che vi è assegnazione di “titolarità” laddove intervenga un’influenza decisoria ed effettiva sui dati personali.
Se tale individuazione è semplice quando è una singola azienda o ente che decide di dotarsi di tale sistema, l’analisi diventa complessa ove si ricada nel caso di un gruppo.
Nelle realtà da noi analizzate, l’attività di coordinamento della capogruppo – svolta mediante atti formali a carattere negoziale quali deliberazioni o accordi contrattuali tra le società interessate – ha in passato portato a diverse soluzioni organizzative, quanto alla tematica privacy de qua, come di seguito illustrate.
Una prima ipotesi è quella per cui casa madre adotta una piattaforma per tutte le società del gruppo, ideata e gestita internamente oppure messa a disposizione da un terzo fornitore, nella quale vengono previste una serie di sezioni specifiche e segregate per ogni ente. In tale caso la controllante si limita a predisporre o acquistare l’applicativo dal fornitore, ma ogni società gestisce il processo e quindi riceve e vede la segnalazione autonomamente.
Ogni ente veniva quindi correttamente identificato come titolare del trattamento. Nella migliore delle ipotesi, lato rapporti interni al gruppo, l’utilizzo dell’applicativo veniva regolato da apposito contratto con annessa designazione a responsabile del trattamento della capogruppo o del fornitore esterno anche per conto delle controllate (o al limite come sub-responsabile a seconda delle fattispecie).
Una seconda ipotesi verificata nelle realtà aziendali è quella per cui la piattaforma è realmente condivisa da tutte le società. In tal caso la controllante e la/le controllata/controllate decidono di implementare insieme un sistema di segnalazione, di approvare una procedura congiuntamente e di poter vedere i dati all’unisono quando atterranno sull’applicativo stesso; l’inquadramento giuridico di tale fattispecie doveva quindi rinvenirsi nell’istituto della contitolarità, ex art. 26 del GDPR.
Terza e ulteriore ipotesi riscontrabile nella prassi è quella per cui la capogruppo gestisce, oltre alla piattaforma, l’intero flusso di segnalazioni convogliandolo verso una propria funzione accentrata (in genere il responsabile della direzione Audit come “gestore unico delle segnalazioni”).
Quest’ultima era la fattispecie più critica lato privacy, ma molto diffusa e radicata nella prassi; all’epoca avevamo ipotizzato di ricondurre i rapporti sotto lo schema titolare /responsabile (in capo alla capogruppo) ex art 28 GDPR.
Ebbene gli ultimi due scenari, con il D.lgs 24/23, oggi non potrebbero più essere risolti sic et simplicter così e vediamo perché.
Scenari privacy del D.lgs. 24/23: qualificazione dei soggetti coinvolti
Il Decreto si spinge a trattare del tema data protection (in particolare all’art. 13 rubricato “Trattamento dei dati personali”) e qualifica come titolari del trattamento i soggetti destinatari della Decreto stesso, prevedendo, esplicitamente, al comma 5 dell’art. 13 un regime di contitolarità, ex art. 26 GDPR, qualora si attivi un canale di segnalazione condiviso ex art. 4, comma 4 (per i piccoli comuni ed i soggetti che abbiano impiegato nell’ultimo anno una media di lavoratori non superiore a 249).
Ancora, è specificamente previsto (art. 13, comma 5) che il modello di ricevimento delle segnalazioni interne debba essere:
- adeguato in punto misure di sicurezza tecniche e organizzative;
- predisposto previo svolgimento di una DPIA.
Inoltre, i titolari che individuano fornitori esterni per trattare dati personali per loro conto, dovranno procedere alla nomina di responsabili del trattamento ex art. 28 GDPR.
Come si può notare il primo e il secondo scenario descritto nel precedente paragrafo sono ora esplicitamente normati, andando anche oltre quanto previsto dalla Direttiva (UE) 2019/1937 (di seguito la “Direttiva”) cui il Decreto dà attuazione.
La contitolarità non è una scelta “libera”, ma può essere attuata solo dagli enti di minori dimensioni seguendo il dettato normativo. Non è più, sembra, percorribile per le aziende complesse con un numero di dipendenti elevato.
Nulla però sul terzo scenario, quello con l’ufficio centralizzato destinatario/gestore di tutte le segnalazioni. A proposito, anticipando la nostra conclusione sul tema, riteniamo che – per ora, e salvo l’intervento di nuove fonti normative, primarie o secondarie, o di circolari interpretative, nazionali o europee, più favorevoli – tale scelta non sia più attuabile, almeno con l’opzione per l’“ufficio interno“ (alternativamente) previsto dall’art. 4 comma 2, (per cui “la gestione del canale di segnalazione [“interna”] è affidata ad una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, ovvero è affidata a un soggetto esterno, anch’esso autonomo e con personale specificamente formato”).
In effetti l’art. 4, comma 4, del Decreto prevede testualmente che “I soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a duecentoquarantanove, possono condividere il canale di segnalazione interna e la relativa gestione”. Tale disposizione ricalca pressoché pedissequamente l’art. 8, par. 6, della Direttiva (che peraltro aggiunge che “ciò non pregiudica l’obbligo imposto a tali soggetti … di mantenere la riservatezza, di fornire un riscontro e di affrontare la violazione segnalata.”).
Entrambe le disposizioni hanno destato, rispettivamente in Italia e in Europa, dubbi e perplessità derivanti dal fatto che esse “contemplano espressamente la facoltà di condividere le risorse solo per le PMI, senza nulla aggiungere per le altre realtà d’impresa” (come rilevato da Confindustria) sollevando “La questione se canali condivisi possano essere attivati all’interno dei gruppi di impresa che presentino maggiori dimensioni, al fine di gestire le segnalazioni in modo uniforme” (così come sintetizzato da Assonime nella Circolare n. 12 del 18 aprile 2023, La nuova disciplina del whistleblowing, p. 22. s.).
La Direttiva whistleblowing nello scenario italiano
Sul fronte italiano merita ricordare i Position Paper di Confindustria di “Ottobre 2021” e “Gennaio 2023”, rispettivamente dedicati ai due “Schemi di decreto legislativo” succedutisi nella lunga e tormentata gestazione del recepimento nell’ordinamento italiano della Direttiva: “Da una lettura sistematica della Direttiva, considerando le finalità dalla stessa perseguite, la ratio della disposizione sembrerebbe unicamente quella di agevolare le imprese di minori dimensioni nel processo di adeguamento ai nuovi oneri imposti dalla disciplina europea … [così da far ritenere che] il silenzio della norma non sia volto ad escludere la facoltà per i gruppi di condividere le piattaforme tecniche …. Infatti, come noto, nella realtà di gruppo la condivisione delle piattaforme per il ricevimento delle segnalazioni è una derivata naturale dell’organizzazione stessa, che facilita ed efficienta le procedure, fermo restando il rispetto di tutti gli obblighi di riservatezza connessi alla disciplina. Il rischio, altrimenti, è di esporre gli operatori a possibili interpretazioni restrittive, con conseguente moltiplicazione di procedure e strumenti, in contrasto con i criteri di razionalizzazione che governano queste realtà societarie.” Per scongiurare tale rischio Confindustria aveva “evidenziato l’opportunità di una previsione che espressamente… consent[isse]” la centralizzazione a livello di gruppo della gestione delle segnalazioni di whistleblowing.
Tuttavia, questa “osservazione” di Confindustria non è stata accolta e il tenore dell’art. 4, comma 4, del Decreto è rimasto (sintomaticamente) identico a quello dei citati Schemi.
Le risposte della Commissione Europea
Sul fronte comunitario merita ricordare – e considerare conseguenzialmente – le autorevoli risposte, del 2 e del 29 giugno 2021, con le quali la Commissione Europea, “in its role as Guardian of the Treaties … [and] oversee[r of] the correct implementation of Union law” ha riscontrato due “Lettere” di osservazioni analoghe a quelle di Confindustria inviatele, rispettivamente, da varie confederazioni industriali europee e da alcune multinazionali danesi (cfr. qui e qui). In entrambe queste “Lettere” si chiedeva “to reconsider any interpretation of the Directive that would run counter to a centralised whistleblowing solution … only at group level”, in considerazione del fatto“that it is common practice for European groups to centralise whistleblowing systems” e che ciò consentirebbe economie di scala e contribuirebbe a rafforzare la tutela del segnalante, dato che questi potrebbe essere più facilmente identificato livello locale piuttosto che a livello centrale di gruppo.
Le risposte della Commissione Europea sono state nettamente negative, partendo dalla premessa che la Direttiva era già in vigore dal 26 novembre 2019 e che prima della sua adozione la stessa aveva ponderato tutte le argomentazioni citate nelle “Lettere”, avendo preventivamente commissionato un apposito studio sulle cause del “whistleblower underreporting” e indetto una “open public consultation”.
In effetti, la Commissione afferma perentoriamente che la formulazione dell’art. 8, par. 3, della Direttiva è inequivocabile ed ogni interpretazione diversa da quella letterale sarebbe senz’altro “contra legem”: “the provision in Article 8(3) leaves no room for interpretation: each legal entity with 50 or more workers is required to set up channels and procedures for internal reporting, even where such legal entities belong to a group of companies”; “This entails that reporting channels cannot be established in a centralised manner only at group level; all medium- sized and large companies belonging to a group remain obliged to have each their own channels”.
Peraltro – dopo aver sancito il principio generale contrario a sistemi di gestione centralizzata del whistleblowing – l’istituzione europea attenua l’apparente rigore assoluto del suo dictum, enucleando i margini di flessibilità più o meno esplicitamente consentiti dalla Direttiva, a suo dire tali da ridimensionare parte delle preoccupazioni confindustriali.
In primo luogo, “the Directive does not prohibit maintaining also centralised whistleblowing functions within a group”; ovvero, per converso, consente di abbinare sistemi di whistleblowing propri di ciascuna società del gruppo (con tutte i requisiti della Direttiva) a sistemi centralizzati (anche preesistenti), ferma peraltro la facoltà del whistleblower di scegliere discrezionalmente a quale livello segnalare. Secondo Assonime, “alla luce dell’interpretazione data dalla Commissione …, i gruppi di imprese dovrebbero dunque valutare con attenzione se rinunciare alla procedura centralizzata o prevedere un doppio canale interno: uno a livello di controllata e una di capogruppo lasciando al whistleblower la scelta su quale procedere. Il vantaggio di questa opzione potrebbe essere quello di mantenere quanto meno i poteri investigativi a livello accentrato, distinguendo, almeno in parte, il profilo della segnalazione da quello della gestione dell’informazione. Va però anche considerato che escludere dalle procedure centralizzate le società del gruppo potrebbe rivelarsi utile sia perché più in linea con l’interpretazione della Direttiva operata dalla Commissione, sia in ragione dei rischi di risalita della responsabilità in capo alla controllante quando la segnalazione riguarda un illecito commesso all’interno della controllata …” (Circolare n. 12/2023 cit., p. 23).
In secondo luogo, l’art. 8(6) concede alle società che occupano fino a 249 lavoratori la possibilità di condividere le risorse per il ricevimento delle segnalazioni e lo svolgimento delle indagini, e ciò vale a prescindere dalla loro appartenenza ad un gruppo. Sicché anche piccole e medie società prive di qualsiasi collegamento di controllo o collegamento reciproco possono, per così dire, «mettersi in rete» per la gestione del whistleblowing, dando vita ad un fenomeno giuridico per certi aspetti analogo a quello delle “reti di imprese” introdotte nel nostro ordinamento dal D.L. 10/2/2009, n. 5, convertito, con modificazioni, dalla L. 9/4/2009, n. 33 (cfr. anche art. 30, commi 4-bis e 4-ter, del d.lgs. 10/9/2003, n. 276). Comunque, anche in nel caso in esame, la responsabilità di mantenere la riservatezza, di dare un riscontro al segnalante e di gestire la segnalazione rimane in capo alla PMI interessata (cfr. Assonime, Circolare n. 12/2023 cit., p. 23).
In terzo luogo, “where in a … corporate group compliance programs are organised at headquarters level”, è compatibile con l’art. 8(6) della Direttiva, come interpretato dall’istituzione europea, che una società controllata si avvalga delle capacità investigative della società capogruppo, ma ad una serie di condizioni (invero alquanto limitative): 1) che la controllata sia una PMI; 2) che essa disponga dei propri canali di segnalazione; 3) che il whistleblower possa decidere discrezionalmente a quale a quale livello, centralizzato o locale, siano svolte le investigazioni e di tale facoltà sia chiaramente informato; e 4) che tutte le altre attività di “seguito” della segnalazione avvengano a livello locale.
In quarto luogo, – quando la segnalazione attiene a problemi che coinvolgono più di una società del gruppo e che possono essere adeguatamente affrontati soltanto con un “cross border approach” – è compatibile con l’art. 8 della Direttiva, come interpretato dalla Commissione Europea, che si faccia presente al segnalante tale carattere intercompany della vicenda e che gli si chieda perciò il consenso alla trattazione centralizzata della segnalazione, ferma la sua facoltà di opporsi fin dall’inizio, o di revocare nel prosieguo l’eventuale suo consenso iniziale, per ricorrere invece alla segnalazione esterna alle autorità pubbliche competenti (in Italia l’ANAC).
In quinto luogo, – quando l’addetto ad una società controllata preferisce segnalare alla capogruppo, per varie ragioni di diffidenza nella gestione della sua segnalazione a livello locale – non soltanto è compatibile con, ma è addirittura imposto dalla Direttiva che la controllante accetti tale opzione del whistleblower, ricevendo e dando seguito alla sua segnalazione. Così, secondo la Commissione Europea, deve essere interpretato il Considerando 55 della Direttiva, nella parte in cui prevede (invero ad altri fini) – che “Le procedure di segnalazione interna dovrebbero consentire ai soggetti giuridici del settore privato di ricevere ed esaminare nella massima riservatezza le segnalazioni dei loro lavoratori e di quelli delle consociate o affiliate («il gruppo»), …..”. In ogni caso, “this additional possibility given to the workers in subsidiary cannot be turned into an obligation for them to report to the parent company.”
Al netto di queste eccezionali “flexibilities”, invero alquanto limitate, l’avversione di principio dell’istituzione europea giustifica la conclusione anticipata circa l’interpretazione del primo e del quarto comma dell’art. 4 del Decreto, e quindi circa la tendenziale impossibilità di considerare ancora compatibile con il nuovo ordinamento italiano (e non solo) il cd. terzo scenario, quello cioè dell’ufficio interno centralizzato a livello di capogruppo, per il ricevimento e la gestione unitaria (ed indiscriminata) di tutte le segnalazioni del gruppo.
Conclusioni
A diverse conclusioni si può giungere alla stregua di altri ordinamenti europei che – a differenza del nostro e di tutti gli altri della UE (oltre che in apparente difformità dalle previsioni dell’art. 8 della Direttiva come interpretate dalla Commissione Europea) – consentono espressamente varie forme di gestione più o meno centralizzata del whistleblowing. Così, in particolare:
- la Francia, ex art. 3 della l. n. 2022 del 21 marzo 2022: “C – La procedura per la raccolta e l’elaborazione delle segnalazioni può essere comune a più o a tutte le società del gruppo, secondo le modalità previste dal decreto. Tale decreto stabilisce anche le condizioni alle quali le informazioni relative a una segnalazione effettuata all’interno di una delle società di un gruppo possono essere trasmesse ad un’altra delle sue società, al fine di garantirne o integrarne il trattamento”;
- l’Austria, ex par. 10(2) LGBl. Nr. 35/2022: “Le persone giuridiche di cui al comma 1, numeri da 2 a 5, possono trasferire i compiti dell’ufficio interno a un ufficio comune”;
- la Danimarca, ai sensi del Danish Whistleblower Protection Law (Lov om beskyttelse af whistleblowere) del 24 giugno 2022, per cui è possibile la condivisione dei sistemi di whistleblowing nell’ambito dei gruppi a prescindere dalle dimensioni occupazionali delle società del gruppo;
- la Spagna, ai sensi dell’art. 11 della l. 2/2023: “1. Nel caso di un gruppo di società ai sensi dell’articolo 42 del codice di commercio, la società controllante approva una politica generale relativa al sistema informativo interno di cui all’articolo 5 e alla difesa dell’informatore e assicura l’applicazione dei propri principi in tutte le entità che la compongono, ferma restando l’autonomia e l’indipendenza di ciascuna società, sottogruppo o insieme di società aderenti che, ove opportuno, potranno istituire il rispettivo sistema di governo societario o di governo di gruppo, e delle modifiche o adeguamenti che sono necessari per conformarsi alle normative applicabili in ciascun caso. 2. Il Responsabile del Sistema può essere uno per l’intero gruppo, ovvero uno per ciascuna società che ne fa parte, sottogruppo o gruppo di società, nei termini stabiliti dalla suddetta policy. Da parte sua, il sistema informativo interno può essere unico per l’intero gruppo”.
Perciò occorre prestare particolare attenzione nel caso di gruppi multinazionali con società controllate o controllanti in diversi Stati europei.
