Il decreto legislativo 10 marzo 2023 n. 24 stabilisce nuove regole sul cosiddetto “whistleblowing”, ovvero la segnalazione di illeciti di cui un dipendente, collaboratore o professionista sia venuto a conoscenza in ragione del rapporto di lavoro. Il decreto prevede l’implementazione delle pratiche già esistenti, l’introduzione di nuove discipline e tutele più blindate per i whistleblower.

La nuova disciplina è orientata a contrastare e prevenire la corruzione, la cattiva amministrazione e la violazione di norme nel settore pubblico e privato.

Chi segnala fornisce informazioni che possono portare all’indagine, all’accertamento e al perseguimento dei casi di violazione delle norme, rafforzando in tal modo i principi di trasparenza e legalità.

Garantire la protezione – sia in termini di tutela della riservatezza ma anche in caso di ritorsioni – dei soggetti che si espongono con segnalazioni o denunce, contribuisce all’emersione e alla prevenzione di rischi e situazioni pregiudizievoli per la stessa amministrazione o ente di appartenenza e, di riflesso, per l’interesse pubblico collettivo.

Tale protezione, oltre ad essere, ora, ulteriormente rafforzata, è anche estesa a soggetti diversi da chi segnala, come il facilitatore o le persone menzionate nella segnalazione, a conferma dell’intenzione del legislatore europeo e italiano di creare condizioni per rendere l’istituto in questione un importante presidio per la legalità e per la concorrenza.

Ambito di applicazione oggettivo

Oggetto di segnalazione, denuncia e divulgazione pubblica sono le informazioni sulle violazioni di specifiche normative nazionali e dell’Unione Europea.

Possono essere oggetto di segnalazione, divulgazione pubblica o denuncia le informazioni sulle violazioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato.

Le informazioni possono riguardare sia le violazioni commesse, sia quelle non ancora commesse che il whistleblower, ragionevolmente, ritiene potrebbero esserlo sulla base di elementi concreti.

Possono essere oggetto di segnalazione, divulgazione pubblica o denuncia anche quegli elementi che riguardano condotte volte ad occultare le violazioni (ad esempio, l’occultamento o la distruzione di prove circa la commissione della violazione).

Non sono ricomprese tra le informazioni sulle violazioni segnalabili o denunciabili le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sola base di indiscrezioni o vociferazioni scarsamente attendibili (cosiddette voci di corridoio).

Tenendo conto dell’ampiezza delle fattispecie che possono essere oggetto di segnalazione, divulgazione pubblica o denuncia, il legislatore ha tipizzato gli illeciti, gli atti, i comportamenti o le omissioni che possono essere segnalati, divulgati o denunciati, indicando in modo dettagliato, anche se con una tecnica di rinvio piuttosto complessa, che cosa è qualificabile come violazione.

Tra le violazioni delle disposizioni normative nazionali vi rientrano gli illeciti penali, civili, amministrativi o contabili, diversi rispetto a quelli specificamente individuati come violazioni del diritto UE, tra cui:

– i reati presupposto per l’applicazione del decreto legislativo n. 231 del 2001;

– le violazioni dei modelli di organizzazione e gestione previsti nel decreto legislativo n. 231 del 2001.

Tra le violazioni della normativa europea rientrano gli illeciti commessi in violazione delle norme indicate nell’Allegato al decreto e di tutte le disposizioni nazionali che ne danno attuazione (anche se queste ultime non sono espressamente elencate nel citato allegato). In particolare, si tratta di illeciti relativi ai seguenti settori: contratti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi.

Rientrano inoltre tra le violazioni delle norme dell’Unione europea gli atti od omissioni riguardanti il mercato interno in materia di concorrenza e di aiuti di Stato, nonché le violazioni riguardanti le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società.

Sono esclusi dall’ambito di applicazione della nuova disciplina, in particolare, le contestazioni o rivendicazioni di carattere personale nei rapporti individuali di lavoro.

È necessario che la segnalazione sia il più possibile circostanziata al fine di consentire la delibazione dei fatti da parte dei soggetti competenti a riceverla e gestirla. In particolare, è necessario risultino chiare:

– le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione;

– la descrizione del fatto;

– le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.

Ambito di applicazione soggettivo

La persona segnalante è considerata la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo.

L’articolo 3 del decreto individua quali soggetti interessati dalla tutela per la segnalazione degli illeciti (in quanto suscettibili di eventuali atti ritorsivi) tutti coloro che, nel settore privato come in quello pubblico, forniscono prestazioni a favore di terzi a qualsiasi titolo, a prescindere dalla natura di tali attività, anche in assenza di corrispettivo.

Sono quindi tutelati tutti i lavoratori subordinati, i lavoratori autonomi e collaboratori che svolgono la propria attività presso soggetti privati oppure forniscono beni o servizi; liberi professionisti e consulenti, ma anche volontari e tirocinanti anche non retribuiti. Infine, la tutela si estende agli azionisti e alle persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche laddove tali ruoli siano esercitati in via di mero fatto.

La tutela nei confronti di tali soggetti, nella triplice forma di tutela della riservatezza, tutela contro le ritorsioni e previsioni di cause di esclusione della responsabilità, deve essere assicurata anche quando il rapporto di lavoro non sia ancora iniziato, durante il periodo di prova o successivamente allo scioglimento del rapporto purché le informazioni siano state acquisite nel corso del rapporto stesso o durante il processo di selezione.

La protezione ricomprende anche i “facilitatori”, cioè coloro che assistono il segnalante nel processo di segnalazione, le persone legate ad essi da uno stabile legame affettivo o di parentela, i colleghi di lavoro che operano all’interno del medesimo contesto lavorativo del segnalante ma anche gli enti di proprietà del segnalante o in cui il segnalante lavora.

Canali di presentazione delle segnalazioni e modalità di presentazione

La nuova disciplina prevede tre diversi canali di segnalazione (interno, esterno e tramite divulgazione pubblica) che potranno essere utilizzati, al verificarsi di determinate condizioni, in via progressiva e sussidiaria.

Il legislatore ha disposto che debbano essere approntati all’interno dei soggetti cui si applica la normativa appositi “canali interni” per ricevere e trattare le segnalazioni. Questi canali sono senza dubbio privilegiati, in quanto più prossimi all’origine delle questioni oggetto della segnalazione.

La preferenza accordata ai canali interni si evince anche dal fatto che, solo ove si verifichino particolari condizioni specificamente previste dal legislatore, i segnalanti possono fare ricorso al “canale esterno” attivato presso ANAC.

Allo stesso tempo il legislatore, nell’ottica di consentire di scegliere il canale di segnalazione più adeguato in funzione delle circostanze specifiche del caso, e quindi di garantire una più ampia protezione, ha previsto anche la possibilità di effettuare una divulgazione pubblica. Anche in tal caso è necessario ricorrano particolati condizioni.

Canali di segnalazione interna

Gli enti del settore pubblico e alcuni soggetti privati sono tenuti ad attivare un canale interno per la trasmissione e la gestione delle segnalazioni.

L’intento del legislatore è quello di incoraggiare le persone segnalanti a rivolgersi, innanzitutto, all’ente a cui sono “collegati”. Ciò in quanto una più efficace prevenzione e accertamento delle violazioni passa attraverso l’acquisizione di informazioni pertinenti da parte dei soggetti più vicini all’origine delle violazioni stesse.

L’articolo 4 prevede l’obbligo di attivare propri canali di segnalazione per i seguenti soggetti del settore privato:

– coloro che hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;

– coloro che adottano modelli di organizzazione e gestione di cui al decreto legislativo 8 giugno 2001 n. 231, anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui sopra.

Tali soggetti, sentite le rappresentanze o le organizzazioni sindacali, definiscono in un apposito atto organizzativo le procedure per il ricevimento delle segnalazioni e per la loro gestione, predisponendo e attivando al proprio interno appositi canali di segnalazione.

Nell’atto organizzativo è opportuno che almeno vengano definiti:

– il ruolo e i compiti dei diversi soggetti cui è consentito l’accesso alle informazioni e ai dati contenuti nella segnalazione, limitando il trasferimento di questi ultimi ai casi strettamente necessari;

– le modalità e i termini di conservazione dei dati appropriati e proporzionati ai fini della procedura di whistleblowing.

Laddove gli enti privati adottino i modelli di organizzazione e gestione ai sensi del decreto legislativo n. 231 del 2001, suddetti canali interni di segnalazione sono previsti all’interno di tali modelli.

Per essere ritenuti adeguati, i canali di segnalazione interna devono garantire, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

La gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione.

La gestione può essere affidata a un soggetto esterno, anch’esso autonomo e con personale specificamente formato.

Le segnalazioni sono effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale. Le segnalazioni interne in forma orale sono effettuate attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.

La persona o l’ufficio interno ovvero il soggetto esterno, ai quali è affidata la gestione del canale di segnalazione interna svolgono le seguenti attività:

1. a) rilasciano alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;
2. b) mantengono le interlocuzioni con la persona segnalante e possono richiedere a quest’ultima, se necessario, integrazioni;
3. c) danno diligente seguito alle segnalazioni ricevute;
4. d) forniscono riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione;
5. e) mettono a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazione esterne. Le suddette informazioni sono esposte e rese facilmente visibili nei luoghi di lavoro, o, se dotati di un proprio sito internet, pubblicate in una sezione dedicata del suddetto sito.

Ogni trattamento di dati personali deve tener conto e conformarsi agli obblighi previsti dal GDPR.

Canale esterno presso ANAC e linee guida

Ferma restando la preferenza per il canale interno, il decreto prevede la possibilità di effettuare una segnalazione attraverso un canale esterno attivato e gestito da ANAC.

L’ANAC garantisce, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

L’accesso a tale canale, tuttavia, è consentito solo al ricorrere di determinate condizioni espressamente previste dal legislatore.

L’articolo 10 del decreto assegna all’ANAC, sentito il Garante per la protezione dei dati personali, il compito di emanare le linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne.

L’ANAC ha già predisposto uno schema di linee guida, attualmente soggetto a consultazione pubblica in cui si forniscono indicazioni e principi di cui gli enti pubblici e privati possono tener conto per i propri canali e modelli organizzativi interni.

Divulgazione pubblica

Il decreto introduce un’ulteriore modalità di segnalazione consistente nella divulgazione pubblica.

Con la divulgazione pubblica le informazioni sulle violazioni sono rese di pubblico dominio tramite la stampa o mezzi elettronici o comunque attraverso mezzi di diffusione in grado di raggiungere un numero elevato di persone. Il legislatore tiene naturalmente conto dell’evoluzione dei mezzi di diffusione di massa includendovi anche i social network e i nuovi canali di comunicazione (ad esempio Facebook, Twitter, YouTube, Instagram) che costituiscono uno strumento rapido e interattivo di trasmissione e veicolazione di informazioni e scambi tra reti di persone e organizzazioni.

La divulgazione pubblica delle violazioni deve avvenire nel rispetto delle condizioni poste dal legislatore affinché poi il soggetto che la effettua possa beneficiare delle tutele riconosciute dal decreto.

Tutela da eventuali ritorsioni

Il decreto prevede, a tutela del whistleblower, il divieto di ritorsione definita come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto”.

Possono costituire ritorsioni, ad esempio, anche la pretesa di risultati impossibili da raggiungere nei modi e nei tempi indicati; una valutazione della performance artatamente negativa, una revoca ingiustificata di incarichi, un ingiustificato mancato conferimento di incarichi con contestuale attribuzione ad altro soggetto, il reiterato rigetto di richieste (ad esempio ferie, congedi), eccetera.

Affinché si possa configurare una ritorsione e, di conseguenza, il soggetto possa beneficiare di protezione è necessario uno stretto collegamento tra la segnalazione e il comportamento/atto/omissione sfavorevole subito, direttamente o indirettamente, dalla persona segnalante.

Sanzioni

Fermi restando gli altri profili di responsabilità, l’ANAC applica al responsabile sanzioni amministrative pecuniarie, tra cui:

– sanzione da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l’obbligo di riservatezza;

– sanzione da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non è conforme a quelle previste dagli articoli 4 e 5, nonché quando accerta che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.

Entrata in vigore

Le disposizioni del decreto hanno effetto a decorrere dal 15 luglio 2023.

Per le imprese del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, da 50 a 249, l’obbligo di istituzione del canale di segnalazione interna ha effetto a decorrere dal 17 dicembre 2023. Per chi ha adottato modelli di organizzazione e gestione di cui al decreto legislativo 8 giugno 2001 n. 231, fino a tale termine continua ad applicarsi l’articolo 6, comma 2 -bis , lettere a) e b) , del decreto legislativo n. 231 del 2001, nella formulazione vigente fino alla data di entrata in vigore del presente decreto.

Per le imprese del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, da 250 in poi, l’obbligo di istituzione del canale di segnalazione interna ha effetto a decorrere dal 15 Luglio 2023.