La Direttiva Whistleblowing: nuova disciplina introdotta dal D.Lgs. 24/2003

Le novità della Direttiva Whistleblowing: come cambia la compliance normativa per le aziende private e gli enti pubblici?

 

Chi è il Whistleblower?

In base agli artt. 1 e 2 del d.lgs. 24/2023 si ricava che il whistleblower è la persona che segnala, divulga ovvero denuncia all’Autorità giudiziaria o contabile, violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui è venuta a conoscenza in un contesto lavorativo pubblico o privato. Tale figura è fondamentale per capire come funziona il whistleblowing. Dobbiamo perciò approfondire il decreto che ho appena menzionato, il d.lgs. 24/2023 che recepisce la c.d. Direttiva Whistleblowing.

 

Il Whistleblowing e la normativa italiana: attuazione della Direttiva Whistleblowing

Il Decreto Legislativo n. 24 del 10 marzo 2023 di attuazione della Direttiva Whistleblowing è stato approvato definitivamente da parte del Consiglio dei ministri del 9 marzo 2023 ed è stato pubblicato in Gazzetta Ufficiale n. 63 del 15 marzo 2023.

Il whistleblowing non rappresenta una novità per il nostro ordinamento: sia per il settore pubblico che per quello privato erano già previste delle forme di tutela per i soggetti che intendessero segnalare illeciti di cui fossero venuti a conoscenza nel corso della propria attività lavorativa.

Per quanto riguarda il settore pubblico, la regolamentazione del whistleblowing era stata introdotta dall’art. 54-bis del D. Lgs. 165/2001, che disponeva espressamente il divieto di ripercussioni per il pubblico dipendente che segnalasse al responsabile della prevenzione della corruzione e della trasparenza, all’Autorità Nazionale Anti Corruzione (ANAC) o, ancora, all’Autorità giudiziaria, condotte illecite da lui apprese.

Con riferimento al settore privato, invece, la disciplina era stata introdotta dalla Legge 179/2017, che, oltre a riformare il sopracitato art. 54-bis, aveva anche previsto che le società del settore privato provviste di modelli organizzativi ex D. Lgs. 231/2001 si dotassero obbligatoriamente di canali di segnalazione delle condotte illecite ritenute rilevanti ai sensi di tale normativa, garantendo, al contempo, il divieto di atti ritorsivi o discriminatori nei confronti del whistleblower per la segnalazione effettuata.

Il D.lgs. 24/2023 ha, tuttavia, abrogato e modificato la normativa previgente, imponendo una rilettura della disciplina; con un unico provvedimento, valido sia per il settore pubblico che per il settore privato, viene conferito allo strumento della segnalazione una primaria rilevanza nella prevenzione delle violazioni normative e assicurando ai segnalanti una più efficace tutela.

I soggetti del settore pubblico e del settore privato sono tenuti a garantire le tutele e a istituire i canali interni di segnalazione, mentre l’Autorità Nazionale Anticorruzione (ANAC)^[1] diventa l’unico soggetto competente a valutare le segnalazioni e l’eventuale applicazione delle sanzioni amministrative sia per quanto concerne il settore pubblico che quello privato.

 

Ambito di applicazione oggettivo

La nuova normativa ha ampliato il novero delle condotte ritenute meritevoli di segnalazione, estendendo, in conformità a quanto specificamente previsto dalla Direttiva (UE) 2019/1937, la disciplina prevista dal Decreto anche alle violazioni che possano ledere gli interessi dell’Unione Europea.

Nello specifico, nel perimetro applicativo del Decreto vanno a ricadere le violazioni di disposizioni normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità della Pubblica Amministrazione o dell’ente privato, ivi inclusi gli illeciti amministrativi, contabili, civili o penali e – in continuità con il passato – “le condotte illecite rilevanti ai sensi del Decreto legislativo 8 giugno 2001, n. 231 o violazioni dei modelli di organizzazione e di gestione”.

A tal proposito, quando parliamo di disposizioni che ledono l’interesse pubblico o l’integrità della Pubblica Amministrazione o ente privato, senza dubbio, intendiamo che le violazioni segnalate debbano essere quelle tipizzate e che queste ultime debbano incidere sull’interesse pubblico o sull’interesse all’integrità della pubblica amministrazione o dell’ente. Rimangono, invece, escluse dall’ambito del Decreto le segnalazioni attinenti ai rapporti individuali di lavoro e quelle in materia di sicurezza e difesa nazionale.

Le disposizioni del D.lgs. 24/2023 non si applicano «alle contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate». I motivi che hanno indotto il whistleblower a effettuare la segnalazione sono da considerarsi irrilevanti al fine di decidere sul riconoscimento delle tutele previste dal presente decreto.

 

Ambito di applicazione soggettivo

Il D.lgs. 24/2023 ha esteso l’ambito di applicazione soggettivo della disciplina in materia di whistleblowing, ampliando la tutela in precedenza prevista per i soli dipendenti anche ai collaboratori autonomi, ai liberi professionisti, ai volontari, agli azionisti e agli amministratori.

È bene evidenziare che in riferimento agli enti destinatari della nuova disciplina, il Decreto opera una differenziazione tra “soggetti del settore pubblico” e “soggetti del settore privato”.

Per “soggetti del settore pubblico” si intendono non solo le amministrazioni pubbliche, le Autorità indipendenti di garanzia, vigilanza o regolazione, gli enti pubblici economici, ma anche gli enti di diritto privato sottoposti a controllo pubblico, gli organismi di diritto pubblico, i concessionari di pubblico servizio, nonché le società in house, anche se quotate.

Quanto ai “soggetti del settore privato” – individuati “per esclusione”[2], rispetto a quelli del settore pubblico, il D.lgs. 24/2023 prevede una disciplina più contenuta, rivolgendosi, in particolare, a:

1. enti privati che, nell’ultimo anno, hanno raggiunto una media di oltre 50 dipendenti ed enti che, a prescindere dalle dimensioni, rientrano nell’ambito di applicazione degli atti dell’Unione indicati dalla Direttiva (UE) 2019/1937;
2. enti privati dotati di un modello organizzativo ex D.lgs. 231/2001, indipendentemente dal settore di attività e dal numero di dipendenti in forza presso l’ente stesso.

 

Alla luce di quanto sopra, è dunque evidente che gli enti privati che non rispettino i requisiti sopra menzionati, non rientrano nell’ambito di applicazione di tale normativa.

Per quanto concerne i “soggetti del settore pubblico”, la tutela prevista dal Decreto è alquanto ampia: questi ultimi, infatti, possono segnalare violazioni sia del diritto comunitario che del diritto interno, attraverso tutti i canali di segnalazione previsti dal Decreto.

In merito ai soggetti del settore privato, invece, la nuova normativa opera un’ulteriore distinzione interna a tale categoria.

Innanzitutto, per quanto concerne i soggetti appartenenti agli enti privati di cui al n. 1) visto in precedenza, il Decreto dispone che possono essere segnalate esclusivamente le violazioni del diritto dell’Unione Europea, attraverso tutti i canali di segnalazione oggi previsti dal Decreto.

Per quanto riguarda, invece, agli enti che adottano un modello organizzativo ex D.lgs. 231/2001, il Decreto, di cui ci stiamo occupando, prevede proprio che:

1. nei casi in cui la media dei lavoratori impiegati sia inferiore alle 50 unità, il whistleblower potrà segnalare condotte illecite rilevanti ai sensi del D. Lgs. 231/2001 o violazioni del modello organizzativo, facendo ricorso al solo canale di segnalazione interno;
2. nei casi in cui l’ente abbia una media di lavoratori superiore alle 50 unità, invece, il whistleblower avrà la possibilità di segnalare, oltre alle violazioni contemplate dalla nuova normativa, anche quelle attinenti al diritto dell’Unione Europea; in questo caso, l’ente potrà fare ricorso a tutti i canali di segnalazione di cui al D. Lgs. 24/2023.

 

La gestione delle segnalazioni del whistleblower

Rispetto alla normativa previgente, che contemplava esclusivamente di canali di segnalazione interni ai singoli enti, il Decreto ha introdotto ulteriori modalità attraverso cui il whistleblower può segnalare gli illeciti di cui sia venuto a conoscenza: è stato, infatti, istituito un canale di segnalazione esterna, cui si aggiunge, come “estremo rimedio”, lo strumento della divulgazione pubblica.

Per quanto riguarda i canali di segnalazione interna, agli enti, sia del settore pubblico che di quello privato, viene imposta la loro predisposizione, volta a tutelare la riservatezza dell’identità del segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, che può essere effettuata sia in forma scritta che in forma orale.

Entrando più nel dettaglio, con riferimento alla gestione delle segnalazioni interne, va evidenziato che:

1. dopo l’inoltro della segnalazione da parte del whistleblower ed entro sette giorni dalla sua ricezione, l’ente è tenuto a rilasciargli un avviso di ricevimento;
2. il soggetto al quale è affidata la gestione del canale deve poi mantenere le interlocuzioni con il segnalante, dando diligente seguito alla segnalazione e fornendo riscontro al whistleblower entro tre mesi dalla data di ricezione della stessa.

 

Il Decreto affida poi la gestione della segnalazione ad una persona o ad un ufficio interno autonomo dedicato e con personale specificamente formato o, in alternativa, ad un soggetto esterno.

Nel caso di ente dotato del modello organizzativo previsto dal D.lgs. 231/2001, inoltre, si richiede che il M.O.G. provveda alla predisposizione di tale canale di segnalazione.

Il Decreto, come detto, ha provveduto ad ampliare i canali a disposizione dei segnalanti, tramite la previsione di un c.d. canale di segnalazione esterna, predisposto e gestito dall’ANAC.

Tale Autorità – sentito il Garante Privacy – ha predisposto lo schema di Linee guida[3], pubblicato in data 01/06/2023, come previsto dall’art. 10 del d.lgs. 24/2023, prevedendo il ricorso a strumenti di crittografia che garantiscano la riservatezza del segnalante e della persona eventualmente menzionata nella segnalazione o, comunque, coinvolta.

L’accesso al canale esterno dell’ANAC, a norma di legge, è consentito nelle ipotesi in cui:

1. il soggetto segnalante operi in un contesto lavorativo nel quale non è prevista l’attivazione obbligatoria del canale o la sua predisposizione non è conforme ai requisiti normativi;
2. il soggetto segnalante abbia già effettuato una segnalazione alla quale non è stato dato seguito;
3. il soggetto segnalante abbia fondato motivo di ritenere che una segnalazione interna possa determinare il rischio di ritorsione;
4. il soggetto segnalante abbia fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

 

Così come previsto per le segnalazioni interne, anche l’ANAC ha specifici doveri di attivazione e di riscontro nei confronti del whistleblower: al segnalante dovrà, infatti, essere dato avviso del ricevimento della segnalazione entro sette giorni dalla data di ricevimento e dovrà essere dato seguito, attraverso un’attività istruttoria, alle segnalazioni ricevute, dando riscontro al whistleblower entro tre o sei mesi (a seconda dei casi). Qualora, poi, la segnalazione abbia ad oggetto informazioni che esorbitino le proprie competenze, l’ANAC dovrà provvedere a dare comunicazione della segnalazione all’autorità competente.

La normativa in tema di whistleblowing prevede, da ultimo, la possibilità di segnalare gli illeciti mediante delle c.d. divulgazioni pubbliche, vale a dire tramite la stampa, mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone.

La persona segnalante che effettua una divulgazione pubblica beneficia della protezione prevista dal presente decreto se, al momento della divulgazione pubblica, ricorre una delle seguenti condizioni:

• la persona segnalante ha previamente effettuato una segnalazione interna ed esterna ovvero ha effettuato direttamente una segnalazione esterna e non è stato dato riscontro entro i termini stabiliti in merito alle misure previste o adottate per dare seguito alle segnalazioni;
• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;

la persona segnalante ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa.

 

La buona fede del segnalante

Valorizzando la buona fede del segnalante al momento della segnalazione, è previsto che la persona segnalante beneficerà delle tutele solo se, al momento della segnalazione, aveva fondato motivo di ritenere che le informazioni sulle violazioni segnalate, divulgate pubblicamente o denunciate fossero vere.

 

Tutela alla riservatezza

La disciplina introdotta dal D.lgs. 24/2023 si incentra fortemente sulla tutela della riservatezza del segnalante, attraverso la predisposizione di diverse garanzie contro eventuali atti ritorsivi derivanti dalla segnalazione effettuata.

La segnalazione è sottratta all’accesso agli atti amministrativi e al diritto di accesso civico generalizzato, divieto di rivelare l’identità del segnalante[4].

«L’identità del segnalante non può essere rivelata a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni”. Il divieto di rivelare l’identità del whistleblower è da riferirsi non solo al nominativo del segnalante ma anche a tutti gli elementi della segnalazione, dai quali si possa ricavare, anche indirettamente, l’identificazione del segnalante.

La tutela alla riservatezza include, altresì, la tutela dell’identità del segnalante nel procedimento penale, contabile e disciplinare.

Con specifico riferimento alle segnalazioni che abbiano comportato l’instaurazione di un procedimento penale, la riservatezza del whistleblower è tutelata nei modi e nei limiti previsti dall’art. 329 c.p.p.: tale disposizione impone l’obbligo di segretezza degli atti delle indagini preliminari sino al momento in cui l’indagato non abbia il diritto ad averne conoscenza e, comunque, non oltre la chiusura di tale fase.

Nell’ambito di procedimenti giudiziari o amministrativi o comunque di controversie stragiudiziali aventi ad oggetto l’accertamento dei comportamenti, atti o omissioni vietati ai sensi del Decreto nei confronti dei segnalanti, si presume che gli stessi siano stati posti in essere a causa della segnalazione, della divulgazione pubblica o della denuncia all’autorità giudiziaria o contabile. L’onere di provare che tali condotte o atti sono motivati da ragioni estranee alla segnalazione, alla divulgazione pubblica o alla denuncia è a carico di colui che li ha posti in essere[5].

L’inversione dell’onere della prova non opera a favore delle persone e degli enti diversi dal segnalante di cui all’art. 5, comma 3 (ad esempio, i facilitatori[6] o i colleghi).

La novellata disciplina prevede anche una serie di limitazioni della responsabilità[7]; non è punibile chi riveli o diffonda informazioni sulle violazioni:

• coperte dall’obbligo di segreto o
• relative alla tutela del diritto d’autore o
• alla protezione dei dati personali ovvero
• riveli o diffonda informazioni sulle violazioni che offendono la reputazione della persona coinvolta o denunciata.

 

La scriminante penale opera «quando, al momento della rivelazione o diffusione, vi fossero fondati motivi per ritenere che la rivelazione o diffusione delle stesse informazioni fosse necessaria per svelare la violazione e la segnalazione, la divulgazione pubblica o la denuncia all’autorità giudiziaria o contabile è stata effettuata nelle modalità richieste».

Occorre segnalare che, qualora sia accertata anche con sentenza di primo grado la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave, le tutele non sono garantite e alla persona segnalante o denunciante è irrogata una sanzione disciplinare.

 

Protezione dalle ritorsioni

È vietata ogni forma di ritorsione anche solo tentata o minacciata. La gestione delle comunicazioni di ritorsioni nel settore pubblico e nel settore privato compete all’ANAC.

Al fine di acquisire elementi istruttori indispensabili all’accertamento delle ritorsioni, l’ANAC può avvalersi, per quanto di rispettiva competenza, della collaborazione dell’Ispettorato della funzione pubblica e dell’Ispettorato nazionale del lavoro, ferma restando l’esclusiva competenza dell’ANAC in ordine alla valutazione degli elementi acquisiti e all’eventuale applicazione delle sanzioni amministrative di cui all’articolo 21.

La dichiarazione di nullità degli atti ritorsivi spetta all’Autorità giudiziaria.

È istituto presso l’ANAC l’elenco degli enti del Terzo settore che forniscono alle persone segnalanti misure di sostegno. Le misure di sostegno consistono in informazioni, assistenza e consulenze a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni offerta dalle disposizioni normative nazionali e da quelle dell’Unione europea, sui diritti della persona coinvolta, nonché sulle modalità e condizioni di accesso al patrocinio a spese dello Stato.

 

Sanzioni

Oltre ai profili di responsabilità in cui può incorrere il soggetto segnalato, si prevede un regime sanzionatorio specifico, applicabile ogni qual volta vengano riscontrate violazioni delle disposizioni del D.lgs. 24/2023.

A tal proposito, occorre evidenziare che l’ANAC può infliggere al responsabile delle sanzioni amministrative pecuniarie

• qualora siano state commesse delle ritorsioni, o qualora si accerti che la segnalazione sia stata ostacolata o che l’obbligo di riservatezza sia stato violato;
• qualora si accerti che non siano stati istituiti canali di segnalazione, che non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni, o che l’adozione delle procedure non sia conforme alle disposizioni del Decreto.

 

Per maggiori dettagli sull’iter dei singoli procedimenti sanzionatori, si rinvia alle prescrizioni contenute nel Regolamento sanzionatorio[8].

 

Conclusioni

Intendo concludere con queste due domande: quali sono, quindi, gli adempimenti da attuare per le aziende? E qual è la data di entrata in vigore della Direttiva Whistleblowing? Vediamo di rispondere.

Dato che per la violazione delle nuove disposizioni sono previste sanzioni che possono arrivare sino a euro 50.000, occorrerà:

• aggiornare il Modello e le procedure whistleblowingin modo tale da prevedere disposizioni interne compliant con la nuova normativa;
• implementare obbligatoriamente canali per la gestione delle segnalazioni whistleblowing, nonché idonee procedure volte a disciplinare la gestione delle medesime segnalazioni.

 

Senza trascurare gli adempimenti privacy, quali:

• aggiornare il registro dei trattamentie le misure di sicurezza a protezione dei dati inerenti alle segnalazioni;
• allineare, fin dalla progettazione, ogni operazione ai principi di protezione dei dati personalifissati dall’art. 5 del GDPR e dall’art. 3 del D.lgs.51/2018;
• eseguire una Valutazione di Impatto sulla Protezione dei Dati Personali(c.d. DPIA);
• formare ed autorizzare al trattamento i dipendentichiamati a gestire il canale di segnalazione;
• designare come “responsabili del trattamento” eventuali fornitori esterniche trattano dati personali per loro conto.

 

Le disposizioni del Decreto hanno effetto a decorrere dal 15 luglio 2023, ad eccezione degli enti del settore privato che, nell’ultimo anno, hanno impiegato una media di lavoratori subordinati fino a 249, per i quali l’obbligo di istituire il canale di segnalazione interna avrà effetto dal 17 dicembre 2023.