Il Whistleblowing e la segnalazione degli illeciti

Come accennato, il d.lgs. 24/2023, attua la Direttiva europea 2019/19377 e introduce regole comuni che impongono l’adozione di canali di segnalazione efficaci, riservati e sicuri e, al tempo stesso, garantiscano una protezione efficace degli informatori da possibili ritorsioni. 

La Direttiva fornisce indicazioni fondamentali in merito all’ambito di applicazione oggettivo e soggettivo e alle modalità di segnalazione (canali interni ed esterni).

In particolare, l’ambito di applicazione oggettivo è esteso a tutti i casi in cui vengano segnalate violazioni del diritto dell’Unione, definite come atti od omissioni illecite ovvero che vanificano l’oggetto e le finalità di norme dell’Unione relative a specifici settori: 

– appalti pubblici; 

–  servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo;

–  sicurezza e conformità dei prodotti;

–  sicurezza dei trasporti;

–  tutela dell’ambiente;

–  radioprotezione e sicurezza nucleare;

–  sicurezza degli alimenti e dei mangimi e salute e benessere degli animali;

–  salute pubblica;

–  protezione dei consumatori;

–  tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;

–  violazioni che ledono gli interessi finanziari dell’Unione di cui all’art. 325 TFUE;

–  violazioni riguardanti il mercato interno, di cui all’art. 26, par. 2, TFUE, comprese violazioni delle norme dell’Unione in materia di concorrenza e di aiuti di Stato, nonché violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società. 

I Contenuti delle segnalazioni e il de

Le violazioni oggetto di segnalazione possono consistere in comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’organizzazione privata, tra cui: 

– illeciti amministrativi, contabili, civili o penali;

– condotte illecite ai sensi del D.Lgs. n. 231/2001 o violazione dei modelli organizzativi e gestionali previsti dallo stesso decreto; 

– illeciti che rientrano nell’ambito di applicazione degli atti dell’UE o nazionali indicati nello specifico allegato al decreto o nell’allegato alla direttiva (UE) 2019/1937, nei settori degli appalti pubblici, servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza e conformità dei prodotti, sicurezza dei trasporti, tutela dell’ambiente, radioprotezione e sicurezza nucleare, sicurezza degli alimenti mancini e salute e benessere degli animali, salute pubblica, protezione dei consumatori, tutela della privacy e delle reti e sistemi informativi; 

– atti od omissioni che ledono interessi finanziari dell’UE; 

– atti od omissioni riguardanti il mercato interno; 

– atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni UE nei settori richiamati dal decreto. 

Quello che non può essere oggetto di segnalazione è previsto nell’articolo 1 del decreto legislativo in esame e in particolare riguarda: 

• le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’Autorità giudiziaria che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;

• le segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al decreto;

• le segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea.

Il Whistleblower è definito come la persona fisica che segnala o divulga informazioni sulle violazioni acquisite nell’ambito delle sue attività professionali, a prescindere dalla natura di tali attività o del fatto che il rapporto di lavoro sia nel frattempo terminato o non ancora iniziato.

Il D.Lgs. n. 24/2023 definisce una categoria più ampia per i destinatari degli obblighi e delinea i profili sanzionatori delle violazioni e dei comportamenti, anche ritorsivi. I canali che il datore di lavoro o ente è tenuto a mettere a disposizione dei potenziali segnalatori (whistleblowers) devono garantire la riservatezza dell’identità whistleblower, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione stessa e della relativa documentazione. 

In particolare, sono tenuti a rispettare la disciplina e sono obbligati a predisporre i canali di segnalazione, i soggetti privati che soddisfano almeno una delle seguenti condizioni: 

– hanno impegnato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato; 

– operano in specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori di cui al punto precedente; 

– adottano i modelli di organizzazione e gestione di cui al D.Lgs. n. 231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. 

Ai soggetti di diritto privato, di cui sopra, si affiancano, anche, i soggetti del settore pubblico (amministrazioni pubbliche, autorità amministrative indipendenti, enti pubblici economici organismi di diritto pubblico, etc.). 

Oltre ai lavoratori del settore pubblico, tra le persone legittimate alla segnalazione rientrano:

– i lavoratori dipendenti in aziende del settore privato;

– i lavoratori autonomi, nonché i titolari di un rapporto di collaborazione; 

– i lavoratori o i collaboratori, che svolgono la propria attività lavorativa presso soggetti del settore privato che forniscono beni o servizi o che realizzano opere in favore di terzi; 

– i liberi professionisti e i consulenti che prestano la propria attività presso soggetti del settore pubblico o del settore privato; 

– i volontari e i tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico o del settore privato; 

– gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. 

La segnalazione può avvenire anche quando il rapporto di lavoro non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite, (ad esempio, durante le fasi di selezione, ovvero nel corso del periodo di prova) purché le informazioni riferite alle violazioni siano state acquisite nel corso del rapporto. 

Infine la normativa ammette come segnalatori anche i “facilitatori”, ossia coloro che assistono “una persona segnalante nel processo di segnalazione in un contesto lavorativo e la cui assistenza deve essere riservata” ai terzi connessi con le persone segnalanti, quali ad esempio colleghi o familiari, e ai soggetti giuridici collegati al segnalante.

La normativa europea chiede agli Stati membri di “incoraggiare la segnalazione mediante canali di segnalazione interni prima di effettuare la segnalazione mediante canali di segnalazione esterni”, salvo nel caso in cui: 

• non si ritenga che la segnalazione possa essere gestita efficacemente a “livello interno” e sussiste un rischio di ritorsione;
• è ammissibile una segnalazione diretta ai media in deroga ai canali whistleblowing.

Per garantire la riservatezza dell’identità del segnalante, i soggetti pubblici e privati dovranno attivare canali di segnalazione gestiti da personale dedicato e appositamente formato, eventualmente anche a soggetto esterno autonomo. 

Con riferimento a questo punto, è necessario fare una distinzione e ricordare le date di adeguamento degli enti:

• Dal 15 luglio 2023 :

– Tutte le aziende del settore privato con più di 250 dipendenti a prescindere dall’adozione o meno di un modello Organizzativo ex D. Lgs. n. 231/2001.

-Tutti i soggetti del settore pubblico (PA), compresi i soggetti di proprietà o sotto il controllo di tali soggetti, nonché per i Comuni con più di 10.000 abitanti. 

•  Dal 17 dicembre 2023:

-Tutte le aziende del settore privato che abbiano impiegato nell’ultimo anno una media di lavoratori subordinati tra i 50 e i 249, a prescindere dall’adozione o meno di un modello Organizzativo ex D. Lgs. n. 231/2001. 

L’obbligo si traduce nell’adozione di una piattaforma di segnalazione sicura, che tuteli la riservatezza dell’identità dei denuncianti. Le imprese dovranno gestire le segnalazioni tramite software che utilizzano sistemi crittografici, adeguati a garantire la riservatezza dell’identità del segnalante, della persona coinvolta e del contenuto della segnalazione. Il trattamento dei dati personali e la documentazione relativa alle segnalazioni dovranno essere gestiti rispettando le regole e i principi contenuti nel GDPR. 

Segnalazione Interna

Così come previsto dall’art. 4 del D.Lgs. n. 24/2023, attraverso i canali di segnalazione interna i soggetti del settore pubblico e i soggetti del settore privato, sentite le rappresentanze o le organizzazioni sindacali, attivano propri canali di segnalazione che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Tutti i soggetti rientranti nell’ambito applicativo delle nuove norme, dovranno pertanto attrezzarsi per predisporre non soltanto tali canali interni di veicolazione delle informazioni ma, soprattutto, che questi garantiscano adeguati standard di sicurezza per tutelare l’identità dei segnalanti, attraverso piattaforme informatiche che preservino la possibilità di risalire alla persona che ha provveduto alla segnalazione, e che in ogni caso siano conformi, quanto al trattamento dei dati alle norme in materia di trattamento dei dati personali. 

La gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, ovvero è affidata a un soggetto esterno, anch’esso autonomo e con personale specificamente formato. Non sono previsti particolari requisiti di forma per le segnalazioni, che possono essere validamente recepite sia quando prodotte in forma scritta, anche digitale, sia oralmente.

I soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a 249, possono condividere il canale di segnalazione interna e la relativa gestione. 

Segnalazione esterna 

L’organo preposto per la gestione di un canale di segnalazione esterna è l’Autorità Nazionale Anti Corruzione. 

L’accesso al canale esterno dell’ANAC è consentito in una serie di ipotesi, di seguito elencate.

1. Il soggetto segnalante opera in un contesto lavorativo nel quale non è prevista l’attivazione obbligatoria del canale o la sua predisposizione non è conforme ai requisiti normativi;

2. Il soggetto segnalante ha già effettuato una segnalazione a cui non è stato dato seguito;

3. Il soggetto segnalante ha fondato motivo di ritenere che una segnalazione interna possa determinare il rischio di ritorsione;

4. Il soggetto segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Oltre alle conseguenze, di natura civilistica, lavoristica, amministrativa o penale in cui possono incorrere i responsabili delle violazioni accertate, sono state introdotte sanzioni da 10.000 a 50.000 euro qualora vi sia:

 – mancata istituzione dei canali di segnalazione;

– mancata adozione delle procedure per effettuare e gestire le segnalazioni;

– adozione di procedure non conformi a quelle fissate dal D.Lgs. n. 24/2023; 

– mancato svolgimento dell’attività di verifica e dell’analisi delle segnalazioni ricevute;

– comportamenti ritorsivi;

– impedimento alla segnalazione o tentativi di ostacolarla;

– violazione dell’obbligo di riservatezza circa l’identità del segnalante.

Sanzioni da 500 a 2.500 euro, sono previste invece per il segnalante che incorra nei reati di diffamazione o di calunnia.