Centrale nel recente “decreto whistleblowing” (D. Lgs. 24/2023) è l’obbligo di attivazione di un canale interno per la ricezione e gestione delle segnalazioni inerenti alla violazione di norme nazionali o comunitarie pregiudizievoli per l’azienda.
La normativa non fissa specifiche modalità e, salvo alcuni limiti, rimette all’autonomia organizzativa aziendale la scelta della tipologia del canale, che può essere individuato in modalità cartacee o informatiche, scritte od orali.
Canali di segnalazione interni, cosa dicono le regole
Lo scorso 10 marzo 2023, con il decreto legislativo n. 24, ha visto la luce nel nostro ordinamento la rinnovata disciplina in materia di whistleblowing, con cui è stata recepita la direttiva (UE) 2019/1937 al fine di proteggere i soggetti che segnalano violazioni del diritto dell’Unione europea o nazionale che ledono l’interesse pubblico o l’integrità dell’ente pubblico o privato di cui siano venuti a conoscenza nell’ambito del contesto lavorativo.
La tutela offerta dal provvedimento è volta sia a preservare la riservatezza dell’identità del segnalante e delle informazioni da lui comunicate, sia a proteggere dalle eventuali ritorsioni che tale soggetto potrebbe subire alla luce della segnalazione da lui trasmessa.
Riferendoci in questa sede al solo ambito privato, la nuova normativa non si applica a qualsiasi contesto, bensì a quelli individuati all’art. 2, comma 1, lett. q) del provvedimento, al quale si rinvia per ragioni di sintesi.
La principale via percorribile dal soggetto che volesse segnalare una violazione è rappresentata dal cosiddetto canale interno, la cui attivazione – per le realtà assoggettate agli obblighi di cui alla disciplina de quo – è richiesta all’azienda dall’articolo 4 del provvedimento. In particolare viene previsto, previa comunicazione alle rappresentanze od organizzazioni sindacali, l’istituzione di un apposito canale interno al fine di consentire la ricezione delle segnalazioni trasmesse dai soggetti segnalanti.
Tipologie di canali di segnalazione interni per il whistleblowing
Il canale interno di segnalazione, alla luce del disposto normativo, può essere attivato sia secondo modalità tradizionali che più moderne e può accogliere segnalazioni tanto in forma scritta, quanto orale.
Raccomandata e altri modi tradizionali
Tra le modalità tradizionali, come ad esempio la ricezione mediante posta raccomandata, al fine di garantire il rispetto della riservatezza, le linee guida ANAC1 suggeriscono di prevedere nell’apposito regolamento interno sul whistleblowing un sistema di protocollazione riservata che presupponga l’invio della segnalazione mediante inserimento in due buste chiuse: “la prima con i dati identificativi del segnalante unitamente alla fotocopia del documento di riconoscimento; la seconda con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” al gestore della segnalazione”.
Modalità informatiche
Nella seconda categoria troviamo invece le modalità informatiche, basate su piattaforme software proprietarie o sviluppate da terze parti. Centrale, in questa prospettiva, è il ruolo giocato dalle misure di sicurezza e da strumenti di crittografia, espressamente richiesti anche all’interno dello stesso art. 4 del decreto, oltre che dalle linee guida dell’ANAC (cfr. par. 3.1, parte prima). Proprio quest’ultima Autorità ha evidenziato come posta ordinaria e PEC siano da non considerare quali strumenti idonei a garantire la riservatezza delle informazioni contenute nella segnalazione. Tali strumenti, pertanto, non potranno essere utilizzati.
Canale a voce
Per quanto attiene, infine, alla modalità orale, oltre a garantire al segnalante la possibilità di un incontro diretto con il gestore del canale interno, sono altresì opzionabili l’attivazione di una linea telefonica o di un sistema di messaggistica vocale dedicati.
In tutte queste ipotesi, al fine di consentire la documentazione della segnalazione, quest’ultima può essere registrata previo consenso della persona segnalante su un dispositivo idoneo alla conservazione e all’ascolto, oppure mediante trascrizione integrale. In questo secondo caso (così come nel caso di redazione di un verbale in occasione dell’incontro diretto) il segnalante può verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione (cfr. art. 14 D. Lgs. 24/2023).
Aspetti normativi e requisiti legali dei canali interni
Oltre ai requisiti per le diverse tipologie di canali sopra esaminati, stabiliti dal decreto whistleblowing 24/2023 e dalle relative Linee guida ANAC, altri aspetti normativi da considerare sono quelli in materia di protezione dei dati personali dettati dal Regolamento (UE) 2016/679 (anche noto come GDPR).
Occorre, infatti, considerare come il gestore del canale interno e, di riflesso, delle segnalazioni trasmesse attraverso di esso, possa trovarsi a esaminare svariati dati personali (così come definiti ex art. 4, punto 1, GDPR): il nominativo della persona segnalata o di altri soggetti coinvolti nella violazione, così come l’identità del segnalante stesso, ad esempio.
L’attivazione del canale, pertanto, dovrà tenere in debita considerazione anche il rispetto della normativa europea sulla privacy e, in particolar modo, dei principi di cui all’art. 5, nonché di privacy by design e by default4 ex art. 25 ivi stabiliti.
Misure di sicurezza per i canali di segnalazione whistleblowing
Similmente, anche il tema delle misure di sicurezza – oltre a quanto già visto, soprattutto in merito alla necessità di prevedere strumenti di crittografia nel caso di utilizzo di una piattaforma software – deve fare i conti, per le ragioni dette, con la normativa in materia di protezione dei dati personali e, in particolare, con l’art. 32 GDPR.
In questa prospettiva, è necessario che il trattamento dei dati avvenga in un contesto dove siano state implementate misure di sicurezza adeguate sotto il profilo tecnico e organizzativo, tali da garantire la tutela della riservatezza e un accesso selettivo alle segnalazioni – a prescindere dalla modalità adottata, tra quelle più sopra richiamate – solo da parte del personale autorizzato, mediante formale atto di nomina.
Modalità di gestione delle segnalazioni
Con riferimento alle modalità di gestione delle segnalazioni è lo stesso decreto legislativo 24/2023, al suo articolo 5, primo comma, a redigere l’elenco di attività che il gestore del canale interno deve compiere alla ricezione delle segnalazioni, ovvero:
- Rilasciare alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;
- Mantenere le interlocuzioni con la persona segnalante, potendo richiedere a quest’ultima, se necessario, integrazioni;
- Dare diligente seguito alle segnalazioni ricevute;
- Fornire riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.
Criteri di scelta del canale di segnalazione interno
Per quanto al fine di agevolare il segnalante a quest’ultimo vada garantita la scelta fra diverse modalità di segnalazione (scritta od orale), l’individuazione della modalità con cui prevedere il canale di segnalazione interno è rimessa all’autonomia organizzativa di ciascuna azienda.
Il criterio di selezione non potrà che essere individuato nell’accessibilità e nell’efficacia in base al singolo contesto, in funzione delle diverse caratteristiche di quest’ultimo, quale ad esempio la dimensione aziendale, le risorse da destinarvi, la funzionalità rispetto alle figure – interne o esterne – coinvolte nella gestione del canale medesimo, e così via.
Implementazione dei canali di segnalazione in azienda
Una corretta implementazione del canale in azienda, inoltre, presuppone anche una fase di continuo monitoraggio al fine di constatare eventuali malfunzionamenti tecnici (nel caso del software, ad esempio) o carenze sotto il profilo organizzativo (falle nel sistema di accesso esclusivo alle segnalazioni da parte del gestore del canale), al fine di risolverli celermente.
Occorre ricordare, infatti, come la mancata conformità a quanto previsto dall’art. 4 del decreto, compresa la garanzia di riservatezza quale caratteristica fondamentale del canale, oltre a esporre l’azienda a rischi di carattere sanzionatorio, costituisce uno dei presupposti per l’accesso da parte del segnalante al canale esterno dell’ANAC (cfr. art. 6 del decreto).
