La riforma del whistleblowing nel settore privato

Le aziende che nell’ultimo anno hanno impiegato in media tra i 50 e i 249 dipendenti hanno tempo fino al 17 dicembre 2023 per dotarsi di un canale di comunicazione interno dedicato al whistleblowing, cioè la segnalazione di illeciti in ambito lavorativo, ai sensi del d. lgs. n. 24/2023.

La precedente disciplina del whistleblowing in ambito privato, contenuta nel d. lgs. n. 231/2001 (art. 6, commi 2-bis ss) e nella legge n. 179/2017, era piuttosto frammentaria e di portata limitata. In sintesi, essa si applicava alle sole aziende che avessero adottato modelli organizzativi ai sensi del d. lgs. n. 231/2001 e generava molte incertezze interpretative, soprattutto con riguardo al coordinamento con la normativa in materia di privacy: ne parlammo all’epoca nel nostro blog.

In seguito, con la Direttiva (UE) 2019/1937, il legislatore comunitario ha riordinato e armonizzato la materia nell’Unione. Il D. lgs. 24/2023 attua la Direttiva in Italia, riconducendo così ad un unico testo normativo la disciplina del whistleblowing nel settore pubblico e in quello privato.  In questo articolo ci occupiamo specialmente delle novità relative al secondo.

La nuova disciplina intende favorire l’emersione degli illeciti commessi in ambiente lavorativo. Allo scopo di incoraggiare le segnalazioni provenienti “dall’interno”, il legislatore tutela l’anonimato dell’informatore e lo protegge da atti ritorsivi.

Ambito oggettivo e soggettivo

La disciplina riguarda, dunque, informazioni, compresi i fondati sospetti, fornite a riguardo di illeciti commessi o che si ritiene possano essere commessi nell’organizzazione con cui la persona segnalante intrattiene un rapporto giuridico e di cui sia venuta a conoscenza nell’ambito del proprio “contesto lavorativo”. Quest’ultimo è definito dalle attività svolte in qualità di dipendente, ma anche di lavoratore autonomo, libero professionista, volontario, tirocinante, azionista o persona con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. Tutti questi soggetti sono tutelati in quanto potenziali segnalatori di illeciti commessi o temuti nell’organizzazione con cui intrattengono rapporti lavorativi o professionali ed appresi per il tramite delle attività lavorative o professionali svolte.

Le aziende del settore privato interessate dalla riforma sono quelle che nell’ultimo anno hanno impiegato la media di almeno cinquanta lavoratori subordinati e quelle che, pur non avendo raggiunto tale media, operano in determinati settori - quali quello bancario, dei servizi e prodotti finanziari, dei servizi pensionistici e altri - ovvero rientrano nell'ambito di applicazione del D. lgs. 231/2001 e adottano i modelli di organizzazione e gestione ivi previsti. Rispetto a queste ultime, tuttavia, la normativa si applica solo alle segnalazioni “interne” (v. infra) relativa a illeciti rilevanti ai sensi del D. lgs. 231/2001.

Gli illeciti segnalabili ai sensi della nuova disciplina sono numerosissimi. Essi includono, tra gli altri, illeciti relativi ai settori degli appalti pubblici; dei servizi, prodotti e mercati finanziari; della prevenzione del riciclaggio; della sicurezza e conformità dei prodotti; della tutela dell'ambiente; della sicurezza degli alimenti e dei mangimi; della salute pubblica; della protezione dei consumatori; della tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi; illeciti fiscali; condotte rilevanti ai sensi del D. lgs. 231/2001 e violazioni dei modelli di organizzazione ivi previsti.

Sono escluse le contestazioni o rivendicazioni di carattere personale nei rapporti individuali di lavoro e le segnalazioni di violazioni in materia di sicurezza nazionale o di appalti relativi ad aspetti di difesa o sicurezza nazionale.

Modalità di segnalazione

Fatta naturalmente salva la possibilità per il whistleblower di denunciare direttamente i fatti all’autorità giudiziaria o contabile – e godere della medesima protezione - la nuova disciplina prevede tre modalità di comunicazione dell’illecito: quella che passa per un canale di segnalazione interno, attivato dall’azienda; quella affidata a un canale esterno, gestito dall’Anac; e, infine, la divulgazione pubblica (tramite, ad esempio, i media dell’informazione o i social).

Il legislatore considera il canale interno la modalità ordinaria di comunicazione e le altre due residuali. Il segnalante che faccia ricorso al canale Anac è tutelato a condizione che nel contesto lavorativo di appartenenza il canale di segnalazione interna manchi ovvero la segnalazione non abbia avuto seguito o il segnalante abbia fondato motivo di temere ritorsioni o l’esistenza di un pericolo imminente o palese per il pubblico interesse.  Condizioni simili sono previste per la tutela dell’autore della divulgazione pubblica.

Le segnalazioni possono essere effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale e, in tale secondo caso, vengono gestite attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante incontro diretto.

La procedura successiva alla segnalazione prevede un termine di tre mesi per fornire riscontro al segnalante.

Le segnalazioni possono essere utilizzate esclusivamente per darvi seguito.

Riservatezza dell’identità

Il segnalante è protetto anzitutto con un divieto, in linea di principio, di rivelazione della sua identità a persone diverse da quelle incaricate di ricevere la segnalazione e darle seguito (v. infra), salvo suo consenso. Il divieto di rivelazione dell’identità del segnalante costituisce, altresì, un limite rispetto all’esercizio del diritto di accesso previsto dalla normativa sulla privacy, che è stata appositamente modificata: diversamente, l’eventuale persona coinvolta avrebbe potuto pretendere di conoscere dall’azienda, in base al proprio diritto di accesso, la fonte di informazioni sulla propria persona, cioè appunto il whistleblower.

In deroga a questo divieto, è ammessa la rivelazione dell’identità del segnalante quando ciò sia indispensabile ai fini della difesa del soggetto coinvolto, ma previo avviso iscritto al segnalante contenente le motivazioni della rivelazione.

Nell’eventuale procedimento disciplinare che consegua alla segnalazione, l’identità del segnalante non può essere rivelata in alcun caso se la contestazione dell’illecito disciplinare si fonda su accertamenti ulteriori rispetto alla segnalazione stessa. Solo se la contestazione disciplinare sia fondata, in tutto o in parte, sulla segnalazione, e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell'incolpato, si potrà procedere alla rivelazione, ma solo previo avviso al segnalante e dietro suo consenso espresso; in mancanza, la sua identità resterà segreta, ma la segnalazione sarà inutilizzabile.

Se alla segnalazione consegue un procedimento penale, l’identità del segnalante è coperta da segreto ai sensi dell’articolo 329 c.p.p.

Anche l’identità delle persone coinvolte o comunque menzionate nella segnalazione è garantita sino alla conclusione dei relativi procedimenti, con il rispetto delle stesse garanzie accordate al segnalante.

Misure di protezione

La legge accorda inoltre al whistleblower delle speciali misure di protezione – ulteriori rispetto all’obbligo di riservatezza sull’identità – subordinatamente alla condizione che, al momento della segnalazione o della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica, il whistleblower avesse fondato motivo di ritenere che le informazioni sulle violazioni fornite fossero vere e rientrassero nell'ambito oggettivo di applicazione della normativa. Si valorizza, così, la buona fede della persona segnalante, a fronte dell’irrilevanza dei motivi sottesi alla segnalazione, espressamente sancita.

La prima e più importante misura di protezione è un generale divieto di ritorsione nei confronti del whistleblower, con un’esemplificazione (non tassativa) delle fattispecie ritorsive, che comprendono il licenziamento, la sospensione, la retrocessione di grado, la mancata promozione, il mutamento di funzioni o luogo di lavoro, la riduzione dello stipendio, l’intimidazione, l’ostracismo, i danni reputazionali (“in particolare sui social media”), la risoluzione anticipata del rapporto. Come detto, l’elenco è solo esemplificativo: costituisce ritorsione qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o denunciante un danno ingiusto.

Tutti gli atti assunti in violazione del divieto di ritorsione sono radicalmente nulli e le persone licenziate a causa della segnalazione, divulgazione o denuncia hanno diritto al reintegro nel posto di lavoro, oltre che, se del caso, al risarcimento dei danni e qualsiasi altra misura idonea ad assicurare la tutela.

Nell’ambito di procedimenti di qualsiasi natura relativi a pretese ritorsioni è prevista l’inversione dell’onere probatorio in ordine alla natura ritorsiva della condotta: in altri termini, si presume che l’atto o omissione vietati siano stati posti in essere a causa della denuncia, segnalazione o divulgazione e spetta a chi li ha posti in essere dimostrare il contrario. Identica presunzione è stabilita, per i giudizi risarcitori promossi dal whistleblower, riguardo al nesso causale tra la segnalazione, denuncia o divulgazione e il danno subito.

Sono in aggiunta previste sanzioni amministrative pecuniarie, applicate dall’Anac, da 10.000 a 50.000 euro per i casi di accertamento della commissione di atti ritorsivi o condotte ostruzionistiche rispetto alla segnalazione o violazioni dell'obbligo di riservatezza.

La legge introduce, inoltre, un’esimente generale da responsabilità civile, amministrativa e penale in favore del whistleblower che, per effetto della segnalazione o denuncia, riveli informazioni coperte da segreto, violi prerogative autoriali o norme sulla protezione dei dati personali, ovvero diffonda informazioni diffamatorie, purché al momento della rivelazione sussistessero fondati motivi per ritenere necessaria la diffusione delle suddette informazioni per svelare la violazione. Incidentalmente, chi scrive ritiene che la norma in questione sia stata redatta in maniera poco chiara.

Viene altresì esclusa ogni responsabilità del whistleblower anche per l’acquisizione o l’accesso alle informazioni sulle violazioni riportate, salva l’ipotesi in cui la condotta costituisca reato.

Obblighi per l’azienda

Naturalmente, la parte della nuova disciplina che ha l’impatto più immediato sull’attività delle aziende private interessate dalla normativa è quella relativa all’istituzione del canale di segnalazione interna.

Quest’ultimo deve essere obbligatoriamente attivato, previa consultazione con le rappresentanze sindacali, ed essere concepito in modo da garantire (anche tramite ricorso alla crittografia) la riservatezza dell’identità non solo del segnalante, ma anche delle persone coinvolte e menzionate nella segnalazione, nonché la riservatezza del contenuto della segnalazione.

La gestione del canale di segnalazione dev’essere affidata a una persona o un ufficio interno dedicato e con personale specificamente formato, ovvero a un soggetto esterno, in ogni caso con garanzia di autonomia e specifica formazione. Alle aziende che abbiano impiegato nell’ultimo anno una media inferiore a 250 di lavoratori subordinati è, tuttavia, consentito servirsi di piattaforme condivise.

Tra i compiti dei gestori del canale interno di segnalazione vi è quello di fornire informazioni chiare sul canale, sulle procedure e sui presupposti della segnalazione, rendendole facilmente visibili nei luoghi di lavoro e accessibili alle persone che, pur non frequentandoli, intrattengono con l’azienda un rapporto lavorativo o professionale. In ogni caso, le stesse informazioni sono pubblicate nel sito internet di cui eventualmente disponga l’azienda.

Vi è poi l’aspetto, tutt’altro che secondario, della conformità ai principi in materia di privacy.

Il trattamento dei dati personali relativi al whistleblowing da parte dell’azienda che attiva il canale di segnalazione interna (che è, rispetto a quei dati, titolare del trattamento) dovrà essere conforme alla normativa sulla privacy, con i relativi obblighi informativi nei confronti del segnalante e delle persone coinvolte, l’obbligo di procedere alla valutazione d’impatto sulla protezione dei dati onde individuare le più adeguate misure di sicurezza e il divieto di raccogliere i dati personali manifestamente non utili alla gestione di una specifica segnalazione.

L’affidamento in outsourcing del canale di segnalazione interna dovrà essere accompagnato dalla redazione di un accordo per il trattamento dei dati (comunemente definito “nomina a responsabile del trattamento”). Il personale preposto alla gestione del canale dovrà, in ogni caso (cioè, sia di gestione internalizzata che esternalizzata) essere espressamente individuato e autorizzato al trattamento dei dati personali ai sensi della normativa sulla privacy.

La conservazione delle segnalazioni interne ed esterne e della relativa documentazione è consentita per il tempo necessario alla loro definizione e, comunque, per non più di cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione (archiviazione o avvio procedimento disciplinare e/o denuncia all’autorità).

Sono previste sanzioni amministrative pecuniarie da 10.000 a 50.000 euro per la mancata o non conforme istituzione di canali e procedure di segnalazione o per il mancato seguito alle segnalazioni ricevute.

Come accennato in premessa, sebbene in via generale le disposizioni del decreto siano efficaci sin dal 15 luglio 2023, per le aziende del settore privato che hanno impiegato in media nell’ultimo anno un numero di lavoratori subordinati compreso tra 50 e 249 il solo obbligo di istituzione del canale di segnalazione interna ha effetto a decorrere dal 17 dicembre 2023.