Con il Decreto Legislativo n. 24 del10 marzo 2023, chiamato anche “Decreto Whistleblowing”, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali, l’Italia ha dato finalmente attuazione alla Direttiva (UE) 1937 del 2019, dopo ben quattro anni dalla sua pubblicazione, con un impianto normativo che ha effetto sia nel settore pubblico sia in quello privato.
La nuova normativa whistleblowing
Al fine di stabilire norme minime comuni per garantire un elevato livello di protezione delle persone che segnalano violazioni del diritto dell’Unione, attraverso la creazione di canali di comunicazione sicuri, sia all’interno di un’organizzazione, sia all’esterno e, in casi specifici, per mezzo dello strumento della c.d. divulgazione pubblica attraverso i media, con il D.Lgs. 24/2023 si prevede che “la nuova disciplina si applichi, in via generale, a decorrere dallo scorso 15 luglio 2023. Invece, per i soggetti del settore privato che, nell’ultimo anno, hanno impiegato una media di lavoratori subordinati fino a 249 unità, l’obbligo di istituire un canale interno di segnalazione ha effetto a decorrere dal 17 dicembre 2023; fino a quel giorno, continua ad applicarsi la disciplina previgente (art. 6, co. 2-bis del Decreto legislativo 8 giugno 2001, n. 231).”
Ed ecco che i Whistleblowers, sia nel settore pubblico sia in quello privato, saranno finalmente tutelati in modo concreto da un impianto normativo unico e completo che supera e sostituisce il previgente sforzo normativo del legislatore italiano, frammentato tra la Legge 190 del 2012 e la Legge 179 del 2017. Infatti, con il nuovo impianto normativo, che prevede l’applicazione di regole comuni che impongano l’adozione di canali di segnalazione che consentano di garantire effettivamente quella protezione efficace tanto agognata per i segnalanti da qualunque tipo di ritorsione, è stato attribuito all’ANAC – Autorità Nazionale Anticorruzione il potere sanzionatorio e di difesa dei diritti riconosciuti ai segnalanti.
Gli atti ritorsivi vietati
Tra gli atti ritorsivi, intesi come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, che si verifichi nel contesto lavorativo e che determini – in via diretta o indiretta – un danno ingiusto ai soggetti tutelati”, che sono esplicitamente vietati e considerati nulli dalla nuova disciplina normativa, rientrano a titolo esemplificativo e non esaustivo:
- il licenziamento, la sospensione o misure equivalenti;
- la retrocessione di grado o la mancata promozione;
- il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro;
- la sospensione della formazione o qualsiasi restrizione dell’accesso alla stessa;
- le note di merito negative o le referenze negative;
- l’adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
- la coercizione, l’intimidazione, le molestie o l’ostracismo;
- la discriminazione o comunque il trattamento sfavorevole;
- la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
- il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
- i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
- l’inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro;
- la conclusione anticipata o l’annullamento del contratto di fornitura di beni o servizi;
- l’annullamento di una licenza o di un permesso;
- la richiesta di sottoposizione ad accertamenti psichiatrici o medici.
“Rimane invece di competenza dell’autorità giudiziaria disporre le misure necessarie ad assicurare la tutela del segnalante (reintegrazione nel posto di lavoro, risarcimento del danno, l’ordine di cessazione della condotta, nonché la dichiarazione di nullità degli atti adottati)”.
Il nuovo Modello 231
Il Modello 231 si veste di nuovo grazie all’impatto innovatore del D.Lgs. 24/2023. È chiaro che, alla luce di qualsiasi modificazione significativa, tutti i Modelli 231 dovranno essere aggiornati, in particolar modo in presenza di aggiornamenti e modifiche normative. Infatti, soprattutto per le PMI, la nuova disciplina Whistleblowing richiede adempimenti operativi di non poco conto per “tutte le imprese con almeno 50 lavoratori, indipendentemente dalla natura delle loro attività, e/o che abbiano adottato un modello organizzativo ai sensi del d.lgs. 231/2001 anche se con un numero di dipendenti inferiore a 50, nonché a tutti i soggetti giuridici del settore pubblico, compresi quelli di proprietà o sotto il controllo degli stessi”, tra cui: l’aggiornamento o l’implementazione ex novo del canale di segnalazione interno, che deve rispettare i criteri di adeguatezza previsti e consentire segnalazioni scritte (via posta o mediante apposita cassetta per i reclami) e orali (attivando linee telefoniche gratuite o sistemi di messaggistica vocale e, altresì, dando la possibilità di prenotare appuntamenti in presenza con i soggetti incaricati), nonché l’aggiornamento o l’implementazione ex novo del regolamento interno e delle relative procedure Whistleblowing, arricchiti dalla presenza di piattaforme online che superino i classici canali PEO e PEC e da nuovi flussi di accoglimento delle segnalazioni a tutela della riservatezza dell’identità del Whistleblower, e l’introduzione di un nuovo apparato sanzionatorio disciplinare per il perseguimento delle violazioni.
I nuovi adeguamenti per il settore pubblico e privato
La disciplina normativa portata dal D.Lgs. 24/2023 riguarda, chiaramente, sia il settore pubblico sia quello privato e introduce obblighi di implementazione di canali di segnalazione interni ed esterni, istituiti nel pieno rispetto dei principi sanciti nel Regolamento (UE) 679/2016 e sentite le rappresentanze o le organizzazioni sindacali, attraverso i quali è possibile ‘denunciare’ le violazioni disposizioni normative nazionali (i.e., illeciti penali, civili, amministrativi o contabili, nonché reati presupposto per l’applicazione del Decreto 231 e le violazioni dei Modelli di organizzazione e gestione 231) e del diritto dell’Unione (i.e., illeciti relativi ai seguenti settori: contratti pubblici, servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza e conformità dei prodotti, sicurezza dei trasporti, reati ambientali, radioprotezione e sicurezza nucleare, sicurezza degli alimenti e dei mangimi e salute e benessere degli animali, salute pubblica, protezione dei consumatori, tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi) nonché un impianto di tutela della riservatezza dei Whistleblowers.
La figura del Whistleblower
In merito a quest’ultima figura, cogliamo l’occasione per chiarire che per ‘Whistleblower’ la nuova disciplina intende “la persona fisica che segnala o divulga informazioni sulle violazioni acquisite nell’ambito delle sue attività professionali, a prescindere dalla natura di tali attività o del fatto che il rapporto di lavoro sia nel frattempo terminato o non ancora iniziato. Nello specifico, rientrano tra i segnalanti tutelati dalla direttiva le persone aventi la qualifica di “lavoratori” ai sensi dell’art. 45 TFUE, ossia le persone che nel settore privato, come in quello pubblico forniscono, per un certo periodo di tempo, a favore di terzi e sotto la direzione di questi, determinate prestazioni verso il corrispettivo di una retribuzione. La protezione deve, quindi, essere concessa anche ai lavoratori con contratti atipici, quali quello a tempo parziale e a tempo determinato, nonché a chi ha un contratto o un rapporto di lavoro con un’agenzia interinale, ai tirocinanti e ai volontari. Le medesime tutele devono, altresì, essere applicate a lavoratori autonomi, consulenti, subappaltatori e fornitori. Sono, infine, tutelati gli azionisti e le persone negli organi direttivi. Inoltre, innovando, la Direttiva impegna gli Stati ad estendere le misure di protezione non soltanto ai segnalanti che lavorano nel settore privato o pubblico, bensì anche ai c.d. ‘facilitatori’, ossia coloro che assistono ‘una persona segnalante nel processo di segnalazione in un contesto lavorativo e la cui assistenza deve essere riservata’ ai terzi connessi con le persone segnalanti, quali ad esempio colleghi o familiari, e ai soggetti giuridici collegati al segnalante.”
Seppur, come sopra accennato, risultano escluse dal perimetro di osservanza della nuova disciplina le microimprese con una popolazione aziendale inferiore a 50 dipendenti, i nuovi adeguamenti Whistleblowing restano comunque ex lege obbligatori per tutte quelle che operano nel settore dei servizi, prodotti e mercati finanziari obbligati a rispettare la disciplina normativa in materia di prevenzione del riciclaggio, del finanziamento del terrorismo, della tutela dell’ambiente e della sicurezza dei trasporti.
Le linee guida ANAC per gli enti pubblici
Con il Regolamento per la gestione delle segnalazioni esterne e per l’esercizio del potere sanzionatorio si completa il quadro grazie al quale l’ANAC – Autorità Nazionale Anticorruzione potrà gestire tutte quelle situazioni in cui, a seguito di una segnalazione interna, non sia stata intrapresa un’azione appropriata entro il termine previsto dalla Direttiva o, comunque, vi sia fondato motivo di ritenere che possa esservi un pericolo imminente o palese per il pubblico interesse. A tale impianto integrativo si aggiunge, come extrema ratio, lo strumento della divulgazione pubblica.
Con la Delibera n. 311 del 12 luglio 2023 recante le Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali ANAC – Autorità Nazionale Anticorruzione ha dettato, pertanto, le procedure per la presentazione e gestione, dopo aver recepito il parere positivo dell’Autorità Garante per la protezione dei dati personali.
“Secondo l’ANAC i canali interni devono fondarsi su strumenti informatici adeguati e debbono garantire la riservatezza – anche tramite il ricorso a strumenti di crittografia – dei soggetti coinvolti.
La distinzione tra soggetti del settore pubblico e privato rileva anche con riferimento alla individuazione del soggetto cui affidare la gestione delle segnalazioni. Mentre per gli enti del settore
pubblico, tenuti a nominare un Responsabile della prevenzione della corruzione e della trasparenza
(RPCT), l’art. 4 co. 5 del D.Lgs. 24/2023 individua in tale figura il soggetto cui affidare la gestione del
canale interno, per gli altri destinatari l’ANAC indica alternativamente le seguenti possibilità: una persona interna all’amministrazione/ente, un ufficio dell’amministrazione/ente con personale appositamente dedicato e un soggetto esterno. L’Autorità, ferma restando la discrezionalità di ogni ente, suggerisce per il settore privato alcuni possibili soggetti, tra i quali: organi di internal audit, Organismo di Vigilanza ex art. 6 d.lgs. 231/2001 e Comitati etici.”
La Guida Operativa di Confindustria per gli enti privati
Lo scorso 23 ottobre 2023, con il supporto dei propri Gruppi di lavoro, Confindustria ha pubblicato la Guida operativa Whistleblowing a supporto di imprese e associazioni rientranti nell’alveo di applicazione del D.Lgs. 24/2023, il quale “mira a orientare le imprese nell’applicazione della nuova disciplina e, in particolare, nell’istituzione e gestione del canale interno di segnalazione, ferma restando la libertà degli enti di adottare, nel rispetto del quadro regolatorio di riferimento, le soluzioni organizzative più adeguate in base alla propria struttura e governance.”
Il documento prende in considerazione le indicazioni fornite dall’ANAC – Autorità Nazionale Anticorruzione e “offre suggerimenti pratici sulle soluzioni più adeguate per definire le procedure interne, da declinare in funzione delle specificità di ciascuna struttura aziendale, quali ad esempio: la scelta e l’istituzione del canale di segnalazione interno; l’individuazione del soggetto chiamato a gestire la segnalazione e le attività che deve svolgere per darvi seguito.”
I nuovi orizzonti di tutela
Alla luce dell’analisi condotta, il nuovo impianto normativo certamente apre nuovi orizzonti di tutela sia per l’interesse pubblico sia per i Whistleblowers.
Inoltre, il grande impegno profuso nella creazione delle linee guida dell’ANAC e nella Guida Operativa di Confindustria offre il supporto necessario per realizzare gli aggiornamenti dei già presenti Modelli 231, nonché per mettere a terra i nuovi adeguamenti Whistleblowing.
Restano, tuttavia, alcune oscurità interpretative che comportano importanti conseguenze operative problematiche al rispetto dell’obbligo di riservatezza della identità del segnalante, delle persone coinvolte o anche solamente menzionate nella segnalazione, nonché ai facilitatori e di ogni altra informazione, inclusa l’eventuale documentazione allegata, dalla quale possa direttamente o indirettamente risalire all’identità del Whistleblower, in considerazione del rischio di ritorsioni.
Tali problematiche sono portate, da un lato, dalla sovrapposizione della nuova disciplina ah hoc dettata dal D.Lgs. 24/2023 con quella del Modello 231, soprattutto in merito al nuovo ruolo di gestore delle segnalazioni riconosciuto agli Organismi di vigilanza – OdV per le realtà del settore privato, e, dall’altro, dalla contraddizione in termini derivante dall’applicazione della deroga all’esercizio dei diritti previsti agli articoli 15-22 del Regolamento (UE) 679/2016 – GDPR sia per il soggetto segnalante sia per il segnalato.
Ciò in quanto, come chiarito dalle linee guida ANAC, “la persona coinvolta o la persona menzionata nella segnalazione, con riferimento ai propri dati personali trattati nell’ambito della segnalazione, divulgazione pubblica o denuncia, non può esercitare – per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata – i diritti che normalmente il Regolamento (UE) 2016/679 riconosce agli interessati (il diritto di accesso ai dati personali, il diritto a rettificarli, il diritto di ottenerne la cancellazione o cosiddetto diritto all’oblio, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati personali e quello di opposizione al trattamento).
Conclusioni
Dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante. In tali casi, dunque, al soggetto segnalato o alla persona menzionata nella segnalazione è preclusa anche la possibilità, laddove ritengano che il trattamento che li riguarda violi suddetti diritti, di rivolgersi al titolare del trattamento e, in assenza di risposta da parte di quest’ultimo, di proporre reclamo al Garante della protezione dei dati personali”.
