Whistleblowing: significato, normativa e nuovi obblighi per le aziende

Con il termine whistleblowing, ovvero “denuncia”, si intende nel linguaggio giuridico quel complesso di norme che sono volte a proteggere in ambito lavorativo chi abbia denunciato reati, violazioni di disposizioni di legge o, con accezione più ampia, condotte irregolari da possibili, quanto probabili, ritorsioni.

Lo scopo del whistlebolowing è quello di portare a galla le condotte illecite da sempre ampiamente diffuse, specie in ambito pubblico.

Si parla soprattutto di condotte illecite corruttive.

Il decreto legislativo n. 24 del 10 marzo 2023 individua all’interno dell’articolo 1 l’ambito di applicazione oggettivo nella protezione della persona che abbia segnalato, denunciato o divulgato violazioni di disposizioni normative nazionali o dell’Unione europea tali da ledere il bene interesse pubblico ovvero l’integrità dell’amministrazione pubblica o dell’ente privato, di cui sia venuta a conoscenza in un contesto lavorativo pubblico o privato.

La guida sul Whistleblowing 2023 per comprendere il suo ambito di applicazione, le principali violazioni, il processo di segnalazione e i soggetti tutelati.

Whistleblowing 2023: normativa e origini

Il whistleblowing 2023 prende voce dal decreto legislativo n. 24 del 10 marzo 2023, recante: “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.”.

La Direttiva (UE) 2019/1937, recepita nel decreto, riguarda la protezione delle persone che segnalano violazioni.

Facendo una panoramica sul whistleblowing e ripercorrendo le origini, è possibile risalire alla seconda metà dell’800, negli Stati Uniti d’America, quando con il False Claims Act (c.d. Lincoln Law) hanno introdotto similari strumenti di protezione, culminati nell’adozione del Whistleblower Protection Act nel 1989.

Facendo un passo avanti, nel 1998 il Regno Unito ha adottato il Public Interest Disclosure Act (c.d. P.I.D.A.).

L’ordinamento nazionale ha sancito la L. n. 116/2009 e la L. n. 190/2012, relative alla lotta alla corruzione nel settore Pubblico e all’art. 6 comma 2 bis e ss. del D. Lgs. n. 231/2001 nel settore privato.

Arrivando ad oggi, il decreto n. 24 è entrato in vigore dal 15 luglio 2023, con una deroga parziale di efficacia limitatamente ai soli soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a 249, per i quali l’obbligo di istituzione del canale di segnalazione interna decorrere dal 17 dicembre 2023 e, fino ad allora, continua ad applicarsi l’articolo 6, comma 2-bis, lettere a) e b), del decreto legislativo n. 231 del 2001, nella formulazione previgente.

Whistlebowing 2023: le principali violazioni

Innanzitutto, la normativa interviene quando:

• è stata segnalata, denunciata, oppure divulgata una violazione, intesa quale condotta commissiva e/o omissiva, di una norma del diritto interno o comunitario come chiarita all’art. 2 del D.Lgs;
• la violazione comunicata è tale da ledere, anche solo potenzialmente, l’interesse pubblico ovvero l’integrità dell’amministrazione pubblica o dell’ente privato;
• la conoscenza della violazione deve essere stata acquisita in un contesto lavorativo pubblico o privato.

Le informazioni sulle violazioni devono essere dei sospetti fondati riguardanti violazioni già commesse o che, sulla base di elementi concreti, potrebbero essere commesse. Sono inclusi anche gli elementi riguardanti condotte volte ad occultare le violazioni.

Secondo l’articolo 2, le principali violazioni sono:

• illeciti amministrativi, contabili, civili o penali anche se non espressamente individuati dalla normativa (criterio residuale);
• commissione di reati presupposto del D. Lgs 231/2001, violazione dei modelli di organizzazione e gestione previsti dal D. Lgs 231/200;
• illeciti che rientrano nell’ambito di applicazione degli atti dell’UE o nazionali indicati nell’allegato al decreto ovvero degli atti nazionali che costituiscono attuazione degli atti dell’UE indicati nell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nell’allegato al decreto, relativamente settori sensibili (es appalti pubblici); atti od omissioni lesivi di interessi finanziari dell’Unione, del mercato interno o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori indicati.

I mezzi di esternalizzazione dell’informazione della violazione tutelabile sono:

• la segnalazione;
• la denuncia;
• la divulgazione.

Whistlebowing 2023: le esclusioni dal perimetro operativo della normativa

Il contesto lavorativo è qualsiasi attività lavorativa o professionale, in corso o anche cessata, svolta nell’ambito dei rapporti (descritti dal Decreto) che, indipendentemente dalla sua natura, ha costituito lo strumento tramite cui la persona ha acquisito le informazioni in ordine alle violazioni.

In questo ambito sussiste anche il rischio di ritorsioni in ipotesi di segnalazione o di divulgazione pubblica o di denuncia all’autorità giudiziaria o contabile.

Sono però escluse dal perimetro operativo della normativa:

• contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona che ha effettuato l’informazione attinente esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;
• segnalazioni di violazioni che trovano la loro disciplina obbligatoria in atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al decreto;
• segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea. Resta ferma l’applicazione delle disposizioni nazionali o dell’UE in materia di cd informazioni classificate, segreto professionale forense e medico, segretezza delle deliberazioni degli organi giurisdizionali.

Whistlebowing 2023: i soggetti tutelati a seguito delle segnalazioni

L’articolo 3 del decreto descrive qual è l’ambito di applicazione soggettivo della norma.

Le disposizioni della normativa si applicano, per quanto riguarda il settore pubblico, agli enti pubblici. Per quanto riguarda il settore privato, si applica ai soggetti che:

• hanno impiegato almeno 50 lavoratori subordinati con contratti di lavoro a tempo determinato e indeterminato;
• rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle Parti I.2 e II dell’Allegato al D. Lgs 24/2023;
• rientrano nell’ambito di applicazione del D. Lgs 231/2001 e adottano modelli di organizzazione e gestione.

In particolare, i soggetti tutelati, a seguito delle segnalazioni sono:

• lavoratori dipendenti, autonomi, tirocinanti (anche non retribuiti), soci, azionisti, amministratori, addetti agli organi di vigilanza, subappaltatori e fornitori, liberi professionisti e consulenti (ritorsioni dirette);
• facilitatori, vale a dire la persona fisica che assiste una persona segnalante nel processo di segnalazione operante all’interno del medesimo contesto lavorativo la cui esistenza deve essere mantenuta riservata (ritorsioni indirette);
• persone operanti nel medesimo contesto lavorativo con stabile legame affettivo o di parentela entro il quarto grado alla persona segnalante, denunciante o divulgante (ritorsioni indirette);
• colleghi di lavoro che hanno con la persona segnalante un rapporto abituale e corrente con la persona segnalante, denunciante o divulgante (ritorsioni indirette);
• enti di proprietà della persona segnalante, denunciante o divulgante o per i quali le dette persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone (ritorsioni indirette).

La tutela trova applicazione non solo durante il rapporto di lavoro, ma anche:

• prima dell’inizio del rapporto di lavoro (ad esempio, durante un colloquio di lavoro oppure durante il periodo di prova);
• dopo la cessazione del rapporto di lavoro.

Whistleblowing 2023: canale di segnalazione interna

Ci sono degli obblighi da rispettare: l’adeguamento dei Modelli 231 alla nuova disciplina (solo per le società che li abbiano adottati) e l’informazione aperta a tutti in merito al sistema adottato per le segnalazioni.

Enti pubblici e privati sono tenuti ad istituire canali interni per ricevere le segnalazioni.

Questi canali sono progettati, realizzati e gestiti in modo tale da garantire la riservatezza dell’identità del segnalante e la protezione degli eventuali terzi citati nella segnalazione.

La gestione del canale interno deve essere affidata a una persona o ad ufficio interno autonomo dedicato, che abbia una formazione specifica del personale e un’autonomia operativa e decisionale.

Nel processo di whistleblowing è importante:

• informare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni;
• consentire di effettuare segnalazioni scritte o orali;
• confermare la ricezione della segnalazione entro 7 giorni;
• prendere in carico le segnalazioni e offrire riscontro alle segnalazioni entro 3 mesi dall’avviso di ricevimento;
• conservare traccia e archiviare le segnalazioni e i relativi follow up (per il tempo occorrente e non oltre i 5 anni).

Nel caso di utilizzo del mezzo telefonico per la ricezione della segnalazione la stessa può essere registrata. In altri casi, la segnalazione deve essere documentata per iscritto.

Deve essere consentita alla persona segnalante di poter verificare, rettificare e confermare il contenuto della trascrizione mediante la propria sottoscrizione.

I documenti relativi alla segnalazione devono essere conservati, nel rispetto degli obblighi di riservatezza, per una durata massima di 5 anni dal momento in cui sia stato comunicato l’esito della procedura di segnalazione e, comunque, non oltre il tempo necessario al trattamento della segnalazione.

L’art. 12 del decreto (obbligo di riservatezza) stabilisce espressamente che debba essere tutelata l’identità del segnalante, delle persone coinvolte e delle persone menzionate nella segnalazione fino alla conclusione dei procedimenti avviati.

La tutela della riservatezza (anonimato) è perseguita:

• con la previsione di una deroga, in materia di accesso agli atti pubblici, della segnalazione e dei relativi atti;
• con il divieto di utilizzo delle segnalazioni oltre quanto necessario per dare adeguato seguito alle stesse;
• con il divieto di divulgazione, senza il consenso espresso dell’interessato, dell’identità dello stesso o di ulteriori elementi o documenti da cui possa ricavarsi anche indirettamente la detta identità ad eccezione delle persone competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati;
• nei procedimenti penali, con la secretazione dell’identità della persona segnalante;
• nei procedimenti innanzi alla Corte dei Conti con la secretazione dell’identità della persona segnalante fino alla chiusura della fase istruttoria;
• nei procedimenti disciplinari con la secretazione dell’identità della persona segnalante ove la contestazione dell’addebito disciplinare sia fondata su accertamenti diversi alla segnalazione, anche se conseguenti alla stessa fatta salva l’ipotesi in cui la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato: in tale ipotesi la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso del segnalante.

Secondo l’articolo 13, inerente al trattamento dei dati personali, il Responsabile del canale di segnalazione interna è obbligato al rispetto del Regolamento UE 2016/679 (GDPR), del D.LGS. 30 giugno 2003, n. 196 e del D.LGS. 18 maggio 2018, n. 51 e alla cancellazione immediata di dati personali manifestatamente inutili e/o raccolti accidentalmente.

Tra gli obblighi del Responsabile c’è la definizione di un modello di ricevimento e gestione delle segnalazioni interne, che individui misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati, sulla base di una valutazione d’impatto sulla protezione dei dati, e disciplinando il rapporto con eventuali fornitori esterni.

Ad esempio nell’ipotesi in cui il titolare del trattamento affidi ad altri il ruolo di Responsabile sarà necessario un contratto che disciplini il trattamento dei dati.

Nell’ipotesi di un canale di segnalazione “condiviso”, i soggetti pubblici o privati sono tenuti ad adottare un documento (protocollo) comune sulle modalità di gestione che stabilisca le rispettive responsabilità in relazione all’osservanza degli obblighi in materia di protezione dei dati personali.

Oltre al canale di segnalazione interna, è possibile rivolgersi a canali esterni, ovvero a un soggetto esterno autonomo, sempre dotato di specifica formazione.

Whistleblowing 2023: canale di segnalazione esterna

Oltre al canale di segnalazione interna è previsto anche un canale di segnalazione esterna.

Si tratta dello strumento previsto dal legislatore a chiusura del sistema di tutela delle segnalazioni.

È deliberato che l’Autorità nazionale anticorruzione (ANAC) debba attivare e gestire tale canale, anche in questo caso garantendo la riservatezza dell’identità del segnalante, del contenuto della segnalazione e della relativa documentazione da conseguire.

La stessa riservatezza deve essere garantita anche quando la segnalazione viene effettuata all’ANAC attraverso canali diversi da quello appositamente attivato, al quale la stessa dovrà essere trasmessa senza ritardo.

Le modalità di presentazione della segnalazione sono le stesse previste per i canali di segnalazione interna.

Whistleblowing 2023: il divieto delle ritorsioni e i compiti dell’ANAC

Il principio che vige nel Whistleblowing è: chi segnala non può subire ritorsioni.

C’è, quindi, il divieto delle ritorsioni verso il segnalante. Cosa non dovrebbe mai succedere:

• il licenziamento, la sospensione o misure equivalenti;
• la retrocessione di grado o la mancata promozione;
• il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro;
• la sospensione della formazione o qualsiasi restrizione dell’accesso alla stessa;
• le note di merito negative o le referenze negative;
• L’adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
• la coercizione, l’intimidazione, le molestie o l’ostracismo;
• la discriminazione o comunque il trattamento sfavorevole;
• mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
• il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
• danni, anche alla reputazione della persona o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
• l’inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro;
• la conclusione anticipata o l’annullamento del contratto di fornitura di beni o servizi;
• l’annullamento di una licenza o di un permesso;
• la richiesta di sottoposizione ad accertamenti psichiatrici o medici.

A seguito delle segnalazioni e denunce su condotte illecite, i soggetti che si sono esposti hanno bisogno di protezione.

L’ANAC ha il compito di vigilanza e gestione delle ritorsioni.

In caso di ritorsioni nel settore pubblico, l’ANAC informerà immediatamente il Dipartimento della funzione pubblica presso la Presidenza del Consiglio dei ministri e gli eventuali organismi di garanzia o di disciplina, per i provvedimenti di loro competenza.

In caso di ritorsioni commesse nel contesto lavorativo di un soggetto del settore privato, l’ANAC informerà l’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza.

Inoltre, l’ANAC applica una sanzione da 10.000 euro a 50.000 euro, laddove accerta che:

• sono state commesse ritorsioni;
• la segnalazione è stata ostacolata o che si è tentato di ostacolarla o è stato violato l’obbligo di riservatezza;
• non sono stati istituiti canali di segnalazione o non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero l’adozione o la loro implementazione non è conforme alla normativa;
• non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.

Schemi e schede di sintesi - Whistleblowing

Slides dell’Avvocato Marco Giordano e del direttore di Informazione Fiscale Francesco Oliva predisposte nell’ambito dell’evento formativo dello scorso 30 ottobre