Whistleblowing: cosa cambia?

La cornice normativa italiana che disciplinava la materia del whistleblowing, prima dell'adozione del d.lgs. n.24/2023 (operativo dal 15/07/2023), era rappresentata dalla legge n. 179/2017, che, per quanto concerne il settore pubblico, aveva riscritto in toto l'art. 54-bis del d.lgs. n. 165/2001 e, per quanto concerne il settore privato, aveva introdotto i commi 2-bis, 2-ter e 2-quater dell'articolo 6 del d.lgs. n. 231/2001.

Il d.lgs.n. 24/2023, invece, codifica in un unico corpus normativo la disciplina inerente alla protezione delle persone segnalanti (whistleblowers) sia nel settore pubblico sia nel settore privato.

Con riferimento al settore pubblico, è opportuno sottolineare che il Decreto include -nonostante il parere negativo espresso da Confindustria in seno al position paper pubblicato lo scorso gennaio- nella nozione di “soggetti del settore pubblico”, di cui all'art. 2, comma 1, lett. p), le società quotate così definite dall'art. 2, lett. p) del Testo unico in materia di società a partecipazione pubblica (d.lgs. n. 175/2016).

Ciò comporta una situazione d'incoerenza, una frattura rispetto ad un sistema in cui le normative contenute nel d.lgs. n. 175/2016, nella l. n. 190/2012 e nel d.lgs. n. 33/2013 espressamente escludono - salvo limitate eccezioni - dalla disciplina pubblicistica in materia di società a partecipazione pubblica, anticorruzione e trasparenza le quotate, come sopra definite.

Quid iuris in caso di segnalazione in una società pubblica quotata?

Dovrebbe essere ricevuta da un soggetto, il Responsabile della prevenzione della corruzione e trasparenza, previsto dalla l. n. 190/2012, ma non applicabile alle quotate ex art. 2, lett. p), del d.lgs. n.175/2016.

Con riferimento al settore privato, il Decreto riguarda le società dotate di un Modello di Organizzazione, Gestione e Controllo (a prescindere dal numero dei dipendenti), le società che hanno impiegato più di 50 lavoratori, in media, nell'ultimo anno e gli enti che, a prescindere dal numero dei dipendenti, sono attivi in specifici campi, con riferimento a segnalazioni inerenti ad illeciti relativi al diritto dell'UE.

L'ambito di applicazione oggettivo e, anche quello soggettivo, risultano modificati rispetto al precedente dettato normativo.

Sul piano oggettivo, viene disciplinata la protezione di coloro i quali segnalano «violazioni di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato». Di contro, le disposizioni del decreto non si applicano alle contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante; alle segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell'Unione europea o nazionali indicati nel Decreto o nella Direttiva UE 2019/1937; alle segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale.

Da un punto di vista soggettivo, sono tutelati i soggetti che segnalano violazioni di cui siano venuti a conoscenza in un contesto lavorativo pubblico o privato: lavoratori subordinati, lavoratori autonomi, liberi professionisti, collaboratori, volontari, tirocinanti anche non retribuiti, azionisti e persone con funzioni apicali, intese come persone con funzioni di amministrazione, direzione, controllo vigilanza o rappresentanza (anche di fatto).

Inoltre, le misure di protezione poste dal Decreto si applicano anche ai c.d. facilitatori, ai colleghi legati al whistleblower da uno stabile legame affettivo o di parentela entro il quarto grado, nonché agli enti di proprietà del segnalante.

La tutela delle persone segnalanti si applica anche nel caso in cui il rapporto di lavoro non sia ancora stato costituito, durante il periodo di prova o successivamente allo scioglimento del rapporto stesso.

Il Decreto prevede diversi canali di segnalazione. È, in ogni caso, necessario garantire la riservatezza della persona segnalante, della persona segnalata e del contenuto della segnalazione.

V'è l'obbligo d'istituire un canale di segnalazione interno, il cui gestore può essere rappresentato da una persona o un ufficio interno all'ente o da un soggetto esterno.

Il destinatario della segnalazione, dotato di idonee competenze, rilascia alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione e fornisce riscontro alla segnalazione entro tre mesi dalla data dell'avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine dei sette giorni dalla presentazione della segnalazione.

È, inoltre, prevista l'istituzione di un canale di segnalazione esterno, attivato e gestito dall'ANAC, ed utilizzabile se il canale interno non è previsto, non è attivo o non è conforme, se la segnalazione interna non ha sortito alcun effetto o ha sortito un effetto negativo, in caso di timore da parte del segnalante che la segnalazione possa determinare il rischio di ritorsione o se la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Il Decreto prevede la possibilità di effettuare divulgazioni pubbliche e di ricevere tutela o in caso di precedente segnalazione - interna o esterna - senza riscontro o nel caso in cui la violazione costituisca un pericolo imminente o palese per il pubblico interesse o, infine, se la segnalazione esterna può comportare il rischio di ritorsioni o potrebbe non avere efficace seguito in ragione di specifiche circostanze del caso concreto.

Particolare attenzione, poi, è posta alla riservatezza dei dati personali della persona segnalante ed al contenuto della segnalazione.

Infatti, «le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse e l'identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni».

Inoltre, «ogni trattamento dei dati personali, compresa la comunicazione tra le autorità competenti, previsto dal presente decreto, deve essere effettuato a norma del regolamento (UE) 2016/679, del decreto legislativo 30 giugno 2003, n. 196 e del decreto legislativo 18 maggio 2018, n. 51».

Degno di menzione risulta il divieto di ritorsione previsto dall'art. 17 del Decreto. Viepiù, è il datore di lavoro che adotta la misura, ad esempio il licenziamento o l'adozione di una misura disciplinare, a dover dimostrare che la misura adottata non presenta connotazioni ritorsive, ma trova fondamento in altre ragioni di fatto estranee alla segnalazione.

La documentazione riguardante la segnalazione va conservata per il tempo necessario al suo trattamento e comunque non oltre cinque anni.

Infine, il Decreto prevede la possibilità che l'ANAC applichi le seguenti sanzioni amministrative pecuniarie: da 10.000 a 50.0000 euro in caso di ritorsioni, segnalazioni ostacolate, violazione dell'obbligo di riservatezza, mancata istituzione dei canali di segnalazione, mancata adozione o non conformità delle procedure relative alle segnalazioni; da 500 a 2500 euro nel caso di accertata responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia.

Le disposizioni del Decreto hanno effetto a decorrere dal 15 luglio 2023, ciò comportando l'abrogazione dell'art. 54-bis del d.lgs. n. 165/2001, dell'art. 6, commi 2-ter e 2-quater del d.lgs. n. 231/2001 e dell'art. 3 della l. n. 179/2017.

I soggetti interessati devono predisporre idonee procedure aziendali finalizzate a consentire le segnalazioni di condotte illecite assicurando la riservatezza dell'identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.