D.Lgs. 24/2023: l’Italia recepisce la direttiva sul whistleblowing

È stato pubblicato sulla Gazzetta Ufficiale del 15 Marzo 2023, il D.Lgs. n. 24/2023 (il «Decreto») - in attuazione della direttiva dell’UE 2019/1937 del 23 Ottobre 2019 - recante la disciplina delle «persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato» (il cosiddetto “whistleblowing”).

Come noto, il whistleblowing non è un fenomeno di nuova introduzione nell’ordinamento italiano: infatti, una precedente disciplina applicabile nel settore pubblico e, solo a particolari condizioni, nel settore privato, era già in vigore.

Si tratta della Legge n. 179/2017 la quale, distingueva due diversi ambiti di tutela: il primo decisamente più ampio ed articolato per il settore pubblico (art. 54-bis, D. Lgs. n. 165/2001) e il secondo, per il settore privato, riguardante esclusivamente le imprese adottanti il cosiddetto “modello 231” (di cui al D.Lgs. n. 231/2001) in materia di responsabilità delle persone giuridiche per gli illeciti amministrativi dipendenti da reato prevista dal citato Decreto Legislativo.

Il Decreto, invece, ha esteso notevolmente il perimetro di riferimento della disciplina in materia di whistleblowing, prevedendo che, per i soggetti del settore privato, le disposizioni del Decreto si applichino alle società che:

1. hanno impiegato in media nell’ultimo anno almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2. operano nei settori regolamentati a livello europeo (es. settore dei mercati finanziari) anche se nell’ultimo anno non hanno raggiunto la media di almeno 50 lavoratori subordinati;
3. adottano modelli di organizzazione, gestione e controllo ai sensi del D.Lgs 231/01 anche se nell’ultimo anno non hanno raggiunto la media di almeno 50 lavoratori subordinati.

Tra i soggetti interessati dalla tutela per la segnalazione degli illeciti, il Decreto individua i lavoratori subordinati e autonomi, i collaboratori, liberi professionisti, consulenti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Inoltre, le tutele nei confronti di tali soggetti dovranno essere assicurate oltre che nel corso del rapporto anche quando il rapporto di lavoro non sia ancora iniziato (se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali), durante il periodo di prova o successivamente allo scioglimento del rapporto (se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso).

Le misure di protezione previste nel Decreto si applicano altresì:

1. ai “facilitatori”;
2. alle persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia all'autorità giudiziaria o contabile o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado;
3. ai colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all'autorità giudiziaria o contabile o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;
4. agli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all'autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.

Nello specifico, i soggetti del settore pubblico e i citati soggetti del settore privato, sentite le rappresentanze o le organizzazioni sindacali comparativamente più rappresentative sul piano nazionale, dovranno attivare propri canali di segnalazione (cosiddetti canali di segnalazione interna), che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell'identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

La gestione del canale di segnalazione potrà essere affidata ad una persona o ad un ufficio interno autonomo dedicato e con personale specificamente formato, ovvero ad un soggetto esterno, anch'esso autonomo e con personale specificamente formato.

È previsto che le segnalazioni potranno essere effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale. In quest’ultima ipotesi, potranno essere effettuate attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.

La persona o l'ufficio ai quali è affidata la gestione del canale di segnalazione interna dovranno svolgere le seguenti attività:

1. rilasciare alla persona segnalante avviso di ricevimento della segnalazione entro 7 giorni dalla data di ricezione;
2. mantenere le interlocuzioni con la persona segnalante e richiedere a quest'ultima, se necessario, specifiche integrazioni della segnalazione;
3. fornire riscontro alla segnalazione entro 3 mesi dalla data dell'avviso di ricevimento o, in mancanza di tale avviso, entro 3 mesi dalla scadenza del termine di 7 giorni dalla presentazione della segnalazione;
4. mettere a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni. Le suddette informazioni dovranno essere esposte e rese facilmente visibili nei luoghi di lavoro. Se dotati di un proprio sito internet, i soggetti del settore pubblico e del settore privato dovranno pubblicare le suddette informazioni anche in una sezione dedicata del suddetto sito.

Elemento di novità consiste nella possibilità di effettuare una segnalazione esterna se, al momento della sua presentazione, ricorre una delle seguenti condizioni:

1. non è prevista l'attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto nel Decreto;
2. la persona segnalante ha già effettuato una segnalazione interna e la stessa non ha avuto seguito;
3. la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
4. la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Il canale di segnalazione esterna dovrà essere attivato e gestito dall’ Autorità nazionale anticorruzione (ANAC) che dovrà garantire, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell'identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Anche le segnalazioni esterne, così come quelle interne, potranno essere effettuate in forma scritta oppure in forma orale attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.

Tuttavia, il Decreto prevede che l'ANAC, sentito il Garante per la protezione dei dati personali, dovrà adottare, entro tre mesi dalla data di entrata in vigore del Decreto (15 Luglio 2023), linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne.

Il Decreto contiene, poi, specifiche disposizioni finalizzate a tutelare la persona del segnalante.

In particolare, in materia di tutela della riservatezza, l'identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni.

Nell'ambito del procedimento disciplinare, ad esempio, l'identità della persona segnalante non può essere rivelata, ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.

Di fondamentale importanza è poi la previsione che esclude espressamente la possibilità che i soggetti che effettuano le segnalazioni subiscano ritorsioni. Più nel dettaglio, costituiscono ritorsioni, secondo quanto previsto nel Decreto, tra gli altri, il licenziamento, la sospensione, la retrocessione di grado o la mancata promozione, il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell'orario di lavoro, l'adozione di misure disciplinari e  la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato (laddove il lavoratore avesse una legittima aspettativa a detta conversione). In tema di licenziamento, si segnala inoltre che il Decreto ha modificato l’art. 4 della Legge n. 604/1966, estendendo l’ipotesi di nullità dello stesso anche ai casi in cui il licenziamento sia determinato e/o conseguente «all’esercizio di un diritto ovvero alla segnalazione, alla denuncia all’autorità giudiziaria o contabile o alla divulgazione pubblica effettuate ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019».

Nel caso di violazione delle disposizioni del Decreto, l'ANAC applicherà al responsabile le seguenti sanzioni amministrative pecuniarie:

1. da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l'obbligo di riservatezza;
2. da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni ovvero che l'adozione di tali procedure non è conforme a quanto previsto nel Decreto, nonché quando accerta che non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute;
3. da 500 a 2.500 euro, quando è stata accertata la responsabilità civile per i reati di diffamazione o calunnia nei casi di dolo o colpa grave, salvo che la persona segnalante sia stata condannata, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all'autorità giudiziaria o contabile.

Infine, si segnala che il Decreto entrerà in vigore il 15 Luglio 2023. Tuttavia, per i soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a 249, l'obbligo di istituzione del canale di segnalazione interna avrà effetto a decorrere dal 17 Dicembre 2023.

Dunque, entro le suddette date, da un punto di vista pratico, le aziende dovranno:

1. definire la gestione del processo di segnalazione, individuando specifici organi deputati;
2. provvedere alla formazione del personale in materia di whistleblowing;
3. istituire misure tecniche e organizzative che garantiscano la riservatezza dell’intero processo di segnalazione.

A cura di Luca De Menech