Whistleblowing, c’è la legge: tutto ciò che aziende e PA devono fare per adeguarsi

È stato approvato nei termini previsti il decreto legislativo 10 marzo 2023 n. 24 che recepisce la direttiva whistleblowing, pubblicato in Gazzetta Ufficiale il 15 marzo. Come previsto, il testo definitivo non si discosta dalla bozza sottoposta a parere parlamentare. La nuova disciplina entrerà in vigore a partire dal 30 marzo 2023 per tutti gli enti pubblici e per le società pubbliche o private con un modello organizzativo 231. Entro il 30 giugno 2023 ANAC emetterà le nuove linee guida di gestione del whistleblowing. Per le società di diritto privato senza modello organizzativo con minimo 250 dipendenti gli obblighi scattano dal 15 luglio, per quelle con minimo 50 dipendenti dal 17 dicembre.

La nuova disciplina impone un ripensamento totale della compliance whistleblowing che gli enti pubblici e privati hanno fino adesso messa a terra. È necessario un piano di azione che tenga insieme aspetti diversi, dalla predisposizione di canali di segnalazione adeguati e tecnologicamente affidabili alla formazione interna dei dipendenti ed esterna degli altri stakeholder sull’utilizzo dello strumento, ma anche la formazione specifica di chi riceve le segnalazioni e l’approvazione di procedure efficaci.

Quali violazioni si possono segnalare

(artt. 1-3) La disciplina si applica a tutti gli enti pubblici e le società con almeno 50 dipendenti. La protezione dei whistleblowers consiste nella nullità degli atti ritorsivi e discriminatori che essi potrebbero subire a causa della segnalazione, anche quelli indiretti (all’art. 17 vengono elencate in modo non esaustivo le fattispecie discriminatorie). Come noto, la normativa mira a potenziare il whistleblowing quale strumento di prevenzione di comportamenti scorretti e violazioni di leggi e regolamenti. A tal fine gli obblighi imposti agli enti hanno l’obiettivo di favorire e facilitare l’utilizzo di questo strumento. O forse è meglio dire avrebbero, perché l’art. 3 sull’ambito di applicazione continua ad avere una formulazione macchinosa che complica la compliance anziché facilitarla.

In particolare: negli enti pubblici si possono segnalare potenziali violazioni che integrerebbero illeciti amministrativi, violazioni del diritto interno, violazioni di norme europee; nelle aziende private con almeno 50 dipendenti e senza modello 231 si possono segnalare potenziali violazioni che integrerebbero violazioni di norme europee, nelle aziende private con modello 231 ma con un numero di dipendenti inferiore a 50 si possono solo segnalare internamente potenziali violazioni che integrerebbero violazioni del modello e del d.lgs. 231; nelle aziende private con modello 231 e almeno 50 dipendenti si possono segnalare solo internamente potenziali violazioni che integrerebbero violazioni del modello e del d.lgs. 231 ed anche esternamente/pubblicamente violazioni di norme di derivazione europea. Vale la pena ricordare che le condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231, o le violazioni dei modelli di organizzazione e gestione ivi previsti possono essere segnalate solo internamente.

Chi può segnalare

Non solo i dipendenti possono segnalare e godere delle tutele, bensì tutti quei soggetti che sono a vario titolo coinvolti con l’attività dell’ente: collaboratori autonomi, liberi professionisti che prestano consulenza o lavorano per l’ente, volontari e tirocinanti anche non retribuiti, azionisti, amministratori, ex dipendenti, candidati ad una posizione lavorativa. Il decreto legislativo estende inoltre la protezione ai facilitatori (es associazioni, famiglia del segnalante), ai colleghi che operano all’interno del medesimo contesto lavorativo del segnalante, agli enti di proprietà del segnalante o in cui il segnalante lavora.

Whistleblowing, come funziona il processo di segnalazione

(artt. 4-5) Gli enti hanno l’obbligo di implementare un processo di ricezione e gestione delle segnalazioni, e cioè:

• darsi una procedura conforme alla normativa (incluse tempistiche di 7 giorni per presa in carico e 90 giorni per chiusura indagine, designazione di personale formato e garanzie di riservatezza + se più enti condividono le risorse per il canale attenzione alla privacy! è necessario stipulare un accordo di gestione),
• adottare un canale, possibilmente informatico, idoneo a garantire la riservatezza sull’identità del segnalante e sul contenuto della segnalazione;
• fare un privacy impact assessment e darsi una privacy policy sul WB.

Il ruolo di ANAC

(art. 6-11) Le competenze affidate ad ANAC si sono estese enormemente perché l’Autorità sarà ora competente anche a ricevere le segnalazioni whistleblowing sia dal pubblico sia dal privato, e non solo le segnalazioni di discirminazione da whistleblowing. E’ infatti previsto un aumento di organico in ANAC. È la persona segnalante che deve operare un giudizio discrezionale per valutare se fare una segnalazione esterna. Infatti esse sono possibili in queste condizioni fra loro alternative:

• non vi è possibilità di fare una segnalazione interna;
• la segnalazione interna non ha avuto riscontro;
• la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

ANAC è competente a ricevere le segnalazioni anche dal settore privato (predispone canali apposta); se la segnalazione esterna è ricevuta da un soggetto diverso questi la trasmette ad ANAC dandone avviso al segnalante; se ANAC riceve una segnalazione che è di competenza di altra autorità (giudiziaria o amministrativa, anche europea) la trasmette a quest’ultima dandone avviso al segnalante. ANAC ha gli stessi obblighi di gestione applicabili alle segnalazioni interne (es. tempi di riscontro, comunicazione pubblica dell’esistenza del canale) e deve inviare un report quantitativo annuale alla Commissione europea.

Privacy e riservatezza

(artt. 12.14) Con riferimento alle questioni di privacy e riservatezza, la disciplina non è cambiata rispetto all’impianto normativo della 179/2017. Dunque:

• l’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati;
• la documentazione inerente ciascuna segnalazione deve essere conservata per il tempo necessario e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione (si segnala anche il parere del Garante Privacy sulla nuova normativa);
• di ogni segnalazione resa oralmente (in colloqui oppure mediante linee telefoniche registrata o meno) va fatta trascrizione con il consenso della persona segnalante; questa deve anche poter leggere e approvare quanto trascritto.

Quali condizioni permettono la divulgazione pubblica

(art. 15) Un’importante novità consiste nella possibilità di divulgazioni pubbliche. Godono delle stesse misure di tutela antidiscriminatoria le persone che effettuano segnalazioni pubbliche solo se ricorrono queste condizioni:

• la persona ha precedentemente effettuato segnalazione interna o esterna o entrambe rimasta priva di riscontro;
• la persona segnalante ha fondato motivo di ritenere che la violazione che sta per segnalare possa costituire un pericolo imminente o palese per il pubblico interesse;
• la persona segnalante ha fondato motivo di ritenere che una segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, (es. rischio di insabbiamento).

Quindi anche qui come nel caso delle segnalazioni esterne è la persona segnalante che deve operare un giudizio discrezionale per valutare se può effettuare una divulgazione pubblica continuando a godere delle tutele antidiscriminazione previste dalla normativa.

Cosa si rischia

(art. 16 – 22) Il decreto legislativo prevede tutele e sanzioni. Le tutele antidiscriminatorie si applicano se al momento della segnalazione la persona segnalante credeva in buona fede che i fatti segnalati erano veri. I motivi personali che inducono una persona a segnalare sono irrilevanti. È inoltre prevista, come anche nella disciplina precedente, l’inversione dell’onere della prova: la ritorsione si presume ed è onere di chi ha compiuto l’atto o il comportamento dimostrare che era dovuto a ragioni estranee alla segnalazione.

Whistleblowing, le sanzioni

ANAC è competente anche a ricevere le segnalazioni di ritorsione (questa competenza risale, limitatamente al settore pubblico, alla l.179) ed irrogare sanzioni. Se del caso, le smista al Dipartimento per la Funziona Pubblica nel caso di lavoratori del settore pubblico e all’Ispettorato Nazionale del Lavoro nel caso di lavoratori del settore privato. ANAC può irrogare le seguenti sanzioni da 10.000 euro a 50.000 euro nei seguenti casi:

• quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l’obbligo di riservatezza;
• quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure o la loro implementazione non è conforme alla normativa.

Se al momento della segnalazione ricorrono le condizioni di legge per la tutela in favore della persona segnalante, detta tutela prevale su quella del segreto, della protezione del diritto di autore, della protezione dei dati personali e della diffamazione.

È infine istituito presso l’ANAC l’elenco degli enti del Terzo settore che forniscono alle persone segnalanti misure di sostegno a titolo gratuito sulle modalità di segnalazione, sulle misure di tutela, sui diritti della persona coinvolta, nonché sulle modalità e condizioni di accesso al patrocinio a spese dello Stato.