Whistleblowing, è obbligatoria la DPIA: quali impatti per le aziende

Il 18 gennaio scorso il Senato ha dato il proprio parere favorevole (pur con osservazioni) allo schema di decreto legislativo teso a dare attuazione in Italia alla Direttiva (UE) 2019/1937, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione, i c.d. “whistleblower”.

Il testo dello schema di decreto legislativo riprende in maniera abbastanza fedele il testo della direttiva, dettagliandone i contenuti e l’ambito di applicazione; è però nel dettagliare le disposizioni in tema di tutela dei dati personali che il nostro legislatore introduce una norma del tutto inedita rispetto alla Direttiva e prescrive, per tutti i soggetti che devono predisporre canali di segnalazioni interni a disposizione dei whistleblower, l’obbligo di dar corso ad una valutazione d’impatto ai sensi del Regolamento 2016/679 (GDPR).

Ricordiamo che da tempo si attendeva l’emanazione della normativa di recepimento della Direttiva comunitaria in tema di whistleblowing, che aveva come termine per la trasposizione nel diritto nazionale il 17 dicembre 2021 (con termine però esteso al 17 dicembre 2023 per l’introduzione obbligatoria di canali di segnalazione interna dedicati ai soggetti privati con un numero di dipendenti compreso fra 50 e 250).

Armonizzare le regole UE per una cibersicurezza fondata sulla privacy

Whistleblowing e valutazione d’impatto privacy

L’obbligo della valutazione di impatto privacy è un adempimento che di fatto allarga le maglie di cui all’art. 35 del GDPR, che prescrive di dar corso ad una valutazione d’impatto unicamente nei casi in cui “un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche” e quindi avrebbe potuto portare gli operatori a dubitare della necessità di una simile valutazione specie laddove le modalità per la gestione delle segnalazioni avessero trovato (come auspicabile) prassi applicative condivise.

Né l’ulteriore elencazione esemplificativa di cui all’art. 35 GDPR riguarda “casi” assimilabili a quello della tutela dei whistleblower (si tratta di introdurre un canale di comunicazione sicuro -anche dal punto di vista tecnologico- fra segnalanti e soggetti che saranno destinatari delle segnalazioni), ovvero:

1. valutazioni sistematiche, automatizzate e globali di dati personali;
2. il trattamento, su larga scala, di categorie particolari di dati;
3. sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

La disciplina ha quindi colto di sorpresa perché impone un’attività notevole specie per le pubbliche amministrazioni di dimensione più modesta (specie se si considera che l’Italia non ha esercitato l’opzione, prevista dalla Direttiva, di esentare i Comuni sotto i 10.000 abitanti e/o le amministrazioni con meno di 50 dipendenti dall’obbligo di predisporre canali interni per gestire le segnalazioni).

Proprio per questo il Senato, tra le osservazioni allo schema di decreto legislativo sottoposto al suo esame, evidenzia, con riguardo a questo articolo, che andrebbe “richiesta conferma in merito alla possibilità che le Amministrazioni possano provvedervi potendo a tal fine avvalersi delle sole risorse umane e strumentali già previste dalla legislazione vigente.”

Lo schema di decreto legislativo

Per il resto, il decreto riprende, come anticipato, abbastanza pedissequamente il contenuto della direttiva, fin dall’ambito di applicazione.

Il decreto infatti si applica:

1. alla segnalazione di violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o di un ente privato;
2. alla necessità di impostare canali di segnalazione interni da parte di enti pubblici e aziende con più di 50 dipendenti tra lavoratori a tempo determinato e indeterminato impiegati nell’ultimo anno (ma anche qui l’applicazione alle aziende private con più di 50 ma meno di 250 dipendenti slitta al 17.12.2023, mentre è previsto che la disciplina, per il resto, entrerà in vigore quattro mesi dopo la pubblicazione in Gazzetta del Decreto Legislativo), salvo casi particolari in cui la direttiva si applica a prescindere dalle soglie dimensionali dell’azienda (aziende che adottano modelli 231 e aziende a cui si applicano specifici atti di diritto UE in tema di servizi finanziari, di antiriciclaggio, di tutela dell’ambiente e dei trasporti);
3. alle segnalazioni che provengono da “lavoratori”, categoria di cui la direttiva (e di conseguenza lo schema di decreto legislativo) offrono una definizione estremamente estesa. Infatti, i “whistleblower” tutelati e che potranno accedere ai canali di segnalazione (da rendere disponibili anche in apposita sezione del sito web dell’azienda o dell’ente, ove questo sia presente) non sono solo i dipendenti in senso stretto, ma anche collaboratori autonomi, liberi professionisti, volontari, azionisti, amministratori eccetera.

La Direttiva prevede tre “canali” di segnalazione a disposizione dei whistleblower:

1. interno all’impresa o ente pubblico;
2. esterno ed è attivato dallo Stato (nel caso italiano sarà gestito da ANAC) ed è accessibile (secondo lo schema di decreto, mentre la direttiva è più generica sul punto) solo in via residuale, ovvero se non è possibile utilizzare i canali di segnalazione esterna (perché non previsti o implementati presso l’impresa o ente, perché inerti rispetto alla segnalazione o perché il segnalante ha fondato timore che la segnalazione verrebbe ignorata, darebbe corso a ritorsioni o comunque nel caso di pericolo imminente o palese per il pubblico interesse);
3. accessibile in via ulteriormente residuale (ovvero accessibile dopo aver esperito una legittima segnalazione attraverso il canale esterno, senza aver ingiustificatamente ignorato il canale interno eventualmente presente e senza che il canale esterno abbia dato riscontro) è quella della divulgazione pubblica (es. attraverso la stampa o via web).

Chiaramente la divulgazione pubblica effettuata seguendo questi step ha come effetto di sommare alla tutela riservata alle fonti giornalistiche anche la tutela per la riservatezza del segnalante (e di protezione da eventuali ritorsioni ove questa riservatezza venga meno).

La disciplina in tema di tutela dei dati personali

Oltre a quanto già visto in tema di valutazione d’impatto, lo schema di decreto legislativo scende nel dettaglio, rispetto a quanto fa la Direttiva, anche nel disciplinare ulteriori aspetti legali alla tutela dei dati personali.

La Direttiva, infatti, dedica il solo breve articolo 17 alla tutela dei dati personali, dove si limita ad imporre il rispetto del Regolamento 2016/679 (GDPR) nel trattare i dati personali di cui alle segnalazioni, offrendo poi una (peraltro abbastanza superflua) precisazione del principio di minimizzazione del trattamento nell’imporre di non raccogliere o comunque di cancellare “senza indugio” i “dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione”.

Al contrario l’articolo 13 dello schema di decreto legislativo scende nei dettagli (rischiando qualche -pur minima- sovrapposizione con il Regolamento GDPR) e prescrive anche:

1. l’obbligo di informativa in capo ai soggetti che attivano i canali di segnalazione interni (e che il decreto si preoccupa di qualificare come titolari del trattamento);
2. la necessità di un “accordo interno” per i soggetti che “condividono risorse per il ricevimento e la gestione delle segnalazioni”, accordo da siglare ai sensi dell’art. 26 GDPR (il legislatore dà mostra, in questo modo, di voler qualificare tali soggetti come contitolari del trattamento, circostanza peraltro connaturale alla tipologia di condivisioni consentite);
3. la necessità di una nomina a responsabile esterno di eventuali fornitori che trattano dati personali per loro conto.

Oltre a questo il successivo articolo 18 (dedicato alla conservazione dei dati) originariamente prescriveva una durata decennale per la conservazione delle segnalazioni anonime (a decorrere dalla data di comunicazione dell’esito della procedura), disciplina che è però stata espunta nell’ultima versione dello schema (del resto è complesso individuare cosa sia “anonimo” specie in un orizzonte temporale di oltre dieci anni, con il segnalante, originariamente anonimo, che potrebbe condividere nel tempo dati che consentono di identificarlo con sempre maggior certezza).

La valutazione d’impatto: scenari e prospettive

Il punto più innovativo della disciplina italiana è però senz’altro la riferita introduzione di un obbligo di procedere (da parte di tutti i titolari del trattamento coinvolti) ad una valutazione d’impatto ai sensi del GDPR, ovvero ad un documento redatto da un esperto che contenga almeno:

1. una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
2. una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
3. una valutazione dei rischi per i diritti e le libertà degli interessati;
4. le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

Come è ben evidente dagli “adempimenti” richiesti dalla normativa si tratta di uno strumento che nasce con l’intento di disciplinare tipologie di trattamento in certa misura innovative (comportando valutazioni ex novo in tema di necessità e proporzionalità del trattamento), è verosimile invece che nel caso del whistleblowing la valutazione, pur senz’altro opportuna con riguardo al punto (D), con cui si chiamano i titolari a documentare le misure (anche tecnologiche) adottate a tutela dei dati personali, si risolva in un testo standard per quanto riguarda i punti (A), (B) e (C), che di fatto subiranno poche variazioni sul tema in un regime come quello del whistleblowing, dove le tipologie di trattamenti, la necessità o meno del trattamento ed il bilanciamento fra rischi e tutele è già normativamente incasellato con precisione.

Se il percorso dello schema di decreto legislativo è ancora in corso e potrebbero esserci ancora sorprese, la vicinanza della scadenza della delega (insieme al termine per il recepimento della direttiva ormai spirato) potrebbero finire per farci confrontare con questa disciplina ed allora sarà importante che gli operatori, specie nell’affrontare l’adeguamento delle realtà pubbliche di dimensioni minori, facciano rete ed assicurino una implementazione efficace, effettiva e sicura della normativa, insieme ad una valutazione d’impatto seria e, al contempo, il più possibile standardizzata in esito a prassi virtuose.