Whistleblowing: dal 17 dicembre al via nelle piccole e medie imprese

Lo scorso 15 marzo è stato pubblicato in Gazzetta Ufficiale il D.Lgs. 24/2023, il Decreto attuativo della Direttiva (UE) 2019/137 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni sulle diposizioni normative nazionali (“Whistleblowing”), avente efficacia dal 15 luglio.

Per i soggetti del settore privato che hanno impiegato nell’ultimo anno una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, tra i 50 e i 249 le disposizioni di cui al Decreto producono effetti dal 17 dicembre 2023.

Ad essere tutelati sono tutti i lavoratori subordinati, i lavoratori autonomi e i liberi professionisti, i volontari, i tirocinanti, gli azionisti nonché coloro che hanno funzioni di amministrazione, direzione, controllo o vigilanza (singolarmente il “Whistleblower”). Le misure di protezione si applicano anche ai cosiddetti “facilitatori”, colleghi, parenti o affetti stabili di chi segnalato.

Possono essere segnalate violazioni effettive o potenziali della normativa europea e nazionale che ledono l’interesse pubblico o l’integrità, tra l’altro, dell’ente privato, di cui il Whistleblower sia venuto a conoscenza nel contesto lavorativo.

Di seguito vengono fornite le principali novità del Decreto.

Devono essere previsti appositi canali di segnalazione che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità del segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione nonché del contenuto della medesima e della relativa documentazione. La gestione del canale può essere affidata ad una persona/ufficio dedicato all’interno dell’ente o ad un soggetto esterno.

Le segnalazioni sono effettuate per iscritto, anche con modalità informatiche, o in forma orale attraverso linee telefoniche o sistemi di messaggistica vocale o, su richiesta del segnalante, mediante un incontro.

Il soggetto/ufficio deputato a ricevere le segnalazioni deve:

• rilasciare al Whistleblower avviso di ricevimento della segnalazione entro 7 giorni dalla data di ricezione;
• mantenere interlocuzioni con lo stesso, richiedendo, se necessario, integrazioni;
• fornire riscontro alla segnalazione entro 3 mesi dalla data di avviso di ricevimento o, in mancanza, entro 3 mesi dalla scadenza del termine di 7 giorni dalla sua presentazione.

Al Whistleblower devono essere fornite informazioni chiare sul canale di segnalazione interna, sulla procedura e sui presupposti per effettuare la segnalazione, anche attraverso la creazione di una sezione dedicata sul proprio sito.

Al Whistleblower è garantito anche un sistema di segnalazione esterno gestito dall’ANAC, a cui si potrà rivolgere se (i) nel contesto lavorativo non è previsto un canale di segnalazione interna o questo non è attivo o, se attivo, non è conforme alle prescrizioni dettate al riguardo; (ii) è stata presentata una segnalazione attraverso il canale di segnalazione interna che non ha avuto seguito; (iii) ha giustificato motivo di ritenere che la segnalazione attraverso il canale di segnalazione interna non sarà efficace o sarà oggetto di ritorsione oppure la violazione possa costituire pericolo imminente o palese per l'interesse pubblico.

In via residuale, il Whistleblower può effettuare divulgazioni pubbliche tramite stampa o altri mezzi elettronici o mezzi di diffusione in grado di raggiungere un numero elevato di persone.

Qualsiasi forma di ritorsione o discriminazione nei confronti del Whistleblower è vietata. Il Decreto prevede anche la riformulazione dell’art. 4 della L. 604/1966, inserendo tra le cause di nullità del licenziamento la fattispecie inerente alla segnalazione di un illecito di cui il dipendente sia venuto a conoscenza in ragione del rapporto di lavoro.

L’ANAC applica al responsabile le seguenti sanzioni amministrative:

• da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o si è tentato di ostacolarla o è stato violato l’obbligo di riservatezza;
• da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali e adottate procedure di whistleblowing;
• da 500 a 2.500 euro nel caso in cui venga accertata la responsabilità penale della persona segnalante per i reati di diffamazione e calunnia.

Nell’ambito del procedimento disciplinare non è possibile rivelare l’identità del Whistleblower salvo che essa non sia indispensabile per la difesa dell’incolpato e il Whistleblower abbia manifestato espresso consenso. In caso di responsabilità civile/penale dei Whistleblower per i reati di diffamazione e calunnia, la protezione non è garantita e si applicherà una sanzione disciplinare al segnalante qualora sia un dipendente.

I trattamenti di dati personali relativi al ricevimento e alla gestione delle segnalazioni devono essere effettuati, rilasciando idonea informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 in materia di protezione dei dati (c.d. “GDPR”).

I soggetti del settore privato, in quanto Titolari del trattamento, devono definire il proprio modello di ricevimento e gestione delle segnalazioni interne, individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati, sulla base di una valutazione d'impatto sulla protezione dei dati, e disciplinando il rapporto con eventuali fornitori che trattano dati personali per loro conto ai sensi dell’art. 28 del GDPR.