Il d.lgs. n. 24 del 10 marzo 2023 recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”, entrato in vigore lo scorso 15 luglio, nel recepire e dare attuazione alla Direttiva UE n. 1937/2019 (c.d. "Direttiva Whistleblowing"), ha abrogato e modificato la precedente normativa andando a disciplinare, mediante un solo provvedimento, valido sia per il per il settore pubblico che per il settore privato, l’intero sistema di tutele concernente i soggetti che denunciano condotte illecite di cui siano venuti a conoscenza in un contesto lavorativo, pubblico o privato, che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che siano avvenute in violazione di disposizioni europee e nazionali.

1.) Entrata in vigore e ambito di applicazione della novellata disciplina

L’art. 24 del decreto in esame stabilisce che le nuove disposizioni sono efficaci dal 15 luglio 2023 per ciò che concerne specificatamene gli enti pubblici ed una parte dei soggetti appartenenti al settore privato. Per contro “i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a duecentoquarantanove”, saranno obbligati ad istituire il canale di segnalazione interna a far data dal 17 dicembre 2023. Inoltre, la normativa in esame contempla anche un regime transitorio, in base al quale le segnalazioni effettuate in data antecedente alla sua entrata in vigore e quelle effettuate fino al 14 luglio 2023 continuano a essere soggette alla normativa previgente.

Per ciò che riguarda, invece, l’ambito di applicazione, il decreto in esame nell’estendere i soggetti destinatari degli obblighi previsti dalla nuova disciplina, contempla la totalità degli enti appartenenti al settore pubblico, e dunque, tutte le Amministrazioni pubbliche di cui all’art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165; le Autorità amministrative indipendenti di garanzia, vigilanza o regolazione, gli enti pubblici economici ma anche gli organismi di diritto pubblico di cui all’articolo 3, lettera d), del decreto legislativo 18 aprile 2016, n. 50 e i concessionari di pubblico servizio, le società a controllo pubblico e le società in house. In tale ambito, la tutela si applica a chi effettua segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile relativamente a ciascuna delle  violazioni previste all’art. 2, c. 1, lettera a) del Decreto, dunque: illeciti amministrativi, contabili, civili o penali, condotte illecite che rientrano nell’ambito di applicazione di atti europei o nazionali indicati nell’allegato ovvero atti nazionali adottati in attuazione di atti dell’UE nei settori indicati ma anche atti e omissioni che ledono gli interessi finanziari dell’Unione, il mercato interno o ne vanifichino le finalità.

Con riferimento al settore privato, invece, la nuova disciplina opera una differenziazione, individuando quali soggetti destinatari della nuova norma:

• le aziende che hanno impiegato in media nell’ultimo anno almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Qui la tutela si applica a coloro che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile delle informazioni sulle violazioni di illeciti che riguardano violazioni di norme europee o diritto interno nei settori indicati
• le aziende che operano nei settori regolamentati a livello europeo, anche se nell’ultimo anno non hanno raggiunto la soglia media minima di cinquanta lavoratori subordinati. In questo caso la normativa prevede che la tutela si applichi a coloro che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile delle informazioni sulle violazioni di illeciti che riguardano violazioni di norme europee o diritto interno nei settori indicati;
• le aziende che adottano modelli di organizzazione, gestione e controllo ai sensi del d.lgs. 231/2001 anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati. In questo caso la tutela si applica a coloro che effettuano segnalazioni interne di violazioni relativamente a condotte illecite rilevanti ai sensi del medesimo decreto. Nel caso in cui tali aziende superino il limite di cinquanta dipendenti, la tutela si applica anche a coloro che effettuano segnalazioni interne o esterne o divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile anche delle informazioni delle violazioni di norme europee o diritto interno nei settori indicati.

 

Quanto all’ambito d’applicazione oggettivo, come già in precedenza evidenziato, il nuovo decreto riconduce ad un unico testo la disciplina relativa alla tutela delle persone che denunciano eventi o condotte lesivi di disposizioni legislative di matrice nazionale od unionale, i quali appunto ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato. Il secondo comma dell’art. 1 del decreto in esame, inoltre, sancisce esplicitamente l’esclusione dall’ambito di applicazione della nuova disciplina, delle contestazioni o rivendicazioni aventi carattere personale scaturenti dagli ordinari rapporti individuali di lavoro o di impiego pubblico e le segnalazioni di violazioni in materia di sicurezza nazionale o di appalti inerenti a materie riconducibili ai settori della difesa o della sicurezza nazionale, a meno che le citate violazioni riguardino disposizioni di carattere europeo. Riassumendo, dunque, l’oggetto della segnalazione potrà riguardare sia violazioni effettive o potenziali della normativa europea in determinati settori sia violazioni della normativa nazionale e regolamentare. Per violazione, oltre che le condotte concretamente poste in essere, dovranno intendersi pure gli atti e le omissioni in relazione ai quali il soggetto che segnala abbia fondati sospetti che possano evolversi in reali violazioni, sospetti che comunque dovranno essere supportati da indizi concreti. Inoltre, la nuova disciplina, contempla l’introduzione di una clausola di salvaguardia generale in favore delle disposizioni di procedura penale e di quelle sulle prerogative sindacali dei lavoratori e sulla repressione delle condotte antisindacali, di cui all’articolo 28 della legge 20 maggio 1970, n. 300.

Con riferimento all’applicazione soggettiva della nuova disciplina, l’art. 3 del d.lgs. 24/2023 identifica quali soggetti coinvolti dalla tutela per la segnalazione degli illeciti, in quanto investiti dal rischio di andare incontro a potenziali atti ritorsivi, tutti coloro che, senza distinguere tra comparto pubblico e privato, forniscono prestazioni lavorative a favore di terzi a qualsiasi titolo, a prescindere dalla natura di tali attività, anche in assenza di corrispettivo: la platea dei soggetti disegnata dal citato articolo è, infatti, la più ampia possibile. La stessa tutela, inoltre, viene estesa anche agli azionisti ed ai soggetti incaricati di svolgere funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche laddove tali ruoli siano esercitati in via di mero fatto. Inoltre la tutela nei confronti di tali soggetti (intesa come tutela della riservatezza, tutela contro le ritorsioni e previsioni di cause di esclusione della responsabilità) deve essere assicurata anche quando il rapporto di lavoro non sia ancora iniziato e, cioè, durante il periodo di prova o successivamente allo scioglimento del rapporto, questo purché le informazioni siano state acquisite nel corso del rapporto stesso o durante il processo di selezione. Da ultimo, l’estensione dell’ambito operativo della suddetta tutela giunge a ricomprendere i c.d. “facilitatori”, cioè coloro i quali assistono il soggetto che segnala la violazione nel processo di denuncia, alle persone legate ad essi da uno stabile legame affettivo o di parentela e ai colleghi di lavoro che operano all’interno del medesimo contesto lavorativo del whistleblower ma anche agli enti di proprietà di costui o in cui egli lavora.

2.) Il procedimento di segnalazione

La disciplina prevista dal decreto in esame contempla tre differenti canali di segnalazione, al verificarsi di determinate condizioni, in via progressiva e sussidiaria:

- la segnalazione interna, modalità da attivarsi “sentite le organizzazioni sindacali”, deve essere azionata previa attenta predisposizione di misure cautelari tali da garantire non solo la protezione dell’identità personale del soggetto segnalante, ma anche l’identità di coloro i quali siano coinvolti o menzionati nella segnalazione della violazione. Stessa previsione viene adottata con riferimento al contenuto della segnalazione ed alla documentazione pertinente. La segnalazione interna verrà gestita in forza del suo affidamento ad un soggetto interno autonomo (persona o ufficio), a ciò predisposto e che, inoltre, possa dimostrare specifiche competenze in tale ambito o, in alternativa, nel caso in cui non ci fosse la possibilità di ricorre ad un soggetto come quello appena menzionato, ad un soggetto esterno, anch’esso avente le caratteristiche di autonomi e competenza. Rimane invece affidata al Responsabile della prevenzione della corruzione e della trasparenza, di cui all’articolo 1, c. 7, della legge 6 novembre 2012, n. 190, per i soggetti già obbligati alla sua nomina. Le segnalazioni possono assumere forma scritta, anche con modalità informatiche, oppure in forma orale, su richiesta del soggetto segnalante, mediante un incontro diretto fissato entro un termine ragionevole. Il percorso procedurale successivo alla segnalazione rispetta i seguenti termini: entro sette giorni dalla presentazione, l’incaricato deve rilasciare un avviso di ricevimento al whistleblower e, ove necessario, chiedere integrazioni; entro tre mesi occorre fornire riscontro al segnalante; entro sette giorni la segnalazione pervenuta ad un soggetto non competente deve essere inoltrata al corretto destinatario. Le modalità, le condizioni e le procedure per effettuare le segnalazioni devono essere chiare, visibili e facilmente accessibili a tutti i possibili destinatari, anche a chi non frequenta i luoghi di lavoro. Inoltre, ove possibile, tutte le informazioni devono essere pubblicate in una sezione dedicata sul sito internet dell’organizzazione al fine di assicurarne la conoscenza a tutti i soggetti interessati;

- la segnalazione esterna è disciplinata dagli artt. 6-7, d.lgs. 24/2023. Questa tipologia di segnalazione rappresenta una novità nel panorama normativo inerente alla tematica del whistleblowing, poiché rimette all’autonoma valutazione del soggetto segnalante la facoltà di ricorrere a tale segnalazione al verificarsi di una delle seguenti ipotesi:

1. se nello specifico contesto lavorativo l’attivazione del canale di segnalazione interna non è obbligatoria o il canale non è attivo o non è stato congegnato nel rispetto dei requisiti normativi;
2. se il whistleblower ha già fatto una segnalazione interna, ma la stessa non ha avuto seguito o si è conclusa con un provvedimento finale negativo;
3. se il whistleblower ha fondato motivo di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito (ad esempio nel caso in cui sia coinvolto nella violazione il responsabile ultimo del suo contesto lavorativo) ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
4. se il whistleblower ha fondato motivo di ritenere che la violazione segnalata possa costituire un pericolo imminente o palese per il pubblico interesse.

 

Il soggetto che ha l’onere di attivare la piattaforma informatica che consentirà il corretto funzionamento di tale percorso di segnalazione da parte del segnalante è l’Anac, la quale dovrà offrire le medesime garanzie di riservatezza già indicate per il canale di segnalazione interna. L’Autorità sarà soggetta ai medesimi obblighi applicabili alle segnalazioni interne; inoltre nel caso in cui l’Anac dovesse ricevere una segnalazione di competenza di altra autorità, anche di natura unionale, è obbligata a trasmetterla a quest’ultima dandone avviso al segnalante.

La novellata normativa, comunque, prevede alcune peculiarità:

1. l’Anac, per giustificate e motivate ragioni, può prorogare di tre mesi il termine per dare riscontro all’interessato (art.8, c. 1, lett. f) del d.lgs. 24/2023);
2. l’Anac in caso di significativo afflusso di segnalazioni esterne, può trattare in via prioritaria le segnalazioni che hanno ad oggetto informazioni sulle violazioni riguardanti una grave lesione dell’interesse pubblico ovvero la lesione di principi di rango costituzionale o di diritto dell’Unione europea (art.8, c. 4, del d.lgs. 24/2023);
3. l’Anac può non dare seguito alle segnalazioni che riportano violazioni di lieve entità e procedere alla loro archiviazione (art.8, c. 5 del d.lgs. 24/2023).

 

Appare oltremodo evidente come le competenze dell’Anac abbiano conosciuto in materia, grazie all’introduzione dell’esaminato decreto, una notevole estensione: essa, infatti, si trova si trova a svolgere il ruolo di soggetto competente a ricevere, sia le segnalazioni di discriminazione da whistleblowing, che diretta segnalazione da parte di ogni possibile whistleblower pubblico e privato;

- le divulgazioni pubbliche sono una modalità di segnalazione, apparentemente di carattere residuale, disciplinate dall’art. 15 del decreto legislativo, il quale utilizzo viene lasciato alla totale discrezionalità del whistleblower. Il segnalante, in questo caso, beneficerà delle cautele previste dal d.lgs. 24/2023, solo qualora:

1. abbia previamente effettuato una segnalazione interna o esterna senza aver ricevuto riscontro nei termini previsti;
2. abbia fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;
3. abbia fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa.

3.) Le misure protettive e la tutela della privacy

Il Capo III del d.lgs. 24/2023 prevede una serie di rimedi e di tutele volte a proteggere il soggetto segnalante tanto da potenziali ripercussioni dirette quanto dalla possibilità che egli venga coinvolto da ritorsioni indirette.

I suindicati rimedi si applicano se al momento della segnalazione il whistleblower abbia fondato motivo di ritenere che le informazioni sulle violazioni, segnalate nel rispetto della relativa procedura di segnalazione, siano vere e rientrino nell’ambito oggettivo; mentre i motivi in base ai quali si è proceduto alla segnalazione vengono considerati irrilevanti. La ratio sottesa alla norma è quella di incentivare il lavoratore a denunciare gli eventuali comportamenti illeciti di cui egli abbia contezza, mitigando o eliminando il timore di subire conseguenze negative. È inoltre prevista l’inversione dell’onere della prova: la ritorsione si presume posta in essere e l’eventuale danno subito sia conseguenza della segnalazione ed è posto a carico di chi ha compiuto l’atto o il comportamento l’onere di dimostrare che condotte ed atti erano stati era motivati da ragioni estranee alla segnalazione o divulgazione o denuncia. L’articolo 18 del decreto disciplina le misure di sostegno a favore della persona segnalante e legittima l’autorità giudiziaria o amministrativa cui la persona segnalante si sia rivolta per ottenere protezione dalle ritorsioni, a richiedere all’Anac informazioni e documenti relativi alla segnalazione, mentre rimane in capo all’Anac la competenza a ricevere le segnalazioni di possibili ritorsioni, ad avviare l’attività istruttoria, a segnalare le fattispecie di competenza agli organismi preposti e ad applicare le relative sanzioni.

Tra le altre misure di protezione si possono annoverare:

• la nullità di eventuali rinunce e transazioni relative a diritti e alle tutele previste dal decreto;
• un’esimente generale in favore del soggetto che effettui la segnalazione di informazioni coperte da segreto, da prerogative autoriali o tutelate dalla disciplina di protezione dati, purché al momento della rivelazione sussistessero fondati motivi per ritenerla necessaria per svelare la violazione;
• viene esclusa ogni altra responsabilità per l’acquisizione o l’accesso alle informazioni sulle violazioni, salva l’ipotesi in cui la condotta costituisca reato. Esimente però esclusa per le condotte non strettamente necessarie a rivelare la violazione o, comunque, non collegate alla segnalazione, denuncia o divulgazione pubblica.

 

La nuova disciplina, inoltre, esprime quale proprio cardine la tutela della disciplina in tema di protezione dei dati personali ed evidenzia la necessità di rispettare integralmente il principio di minimizzazione dei dati trattati. Si va a delineare in tal modo un rinvigorito impianto normativo anche in riferimento ai temi della protezione dell’identità del soggetto segnalante e della riservatezza quale strumento per incoraggiare il soggetto che viene a conoscenza di illeciti ad azionare la conseguente segnalazione.

4.) Il quadro sanzionatorio

Il decreto legislativo in parola, nel consolidare ed ampliare il ruolo svolto dall’Anac, disciplina anche le sanzioni amministrative di tipo pecuniario applicabili nel caso in cui si arrivi ad un concreto accertamento delle violazioni denunciate. Le citate sanzioni devono possedere precise caratteristiche per essere adeguatamente comminate, esse infatti devono essere effettive, proporzionate e dissuasive.

Fermo restando altri profili di responsabilità, l’Anac applica sanzioni:

• da € 10.000 a € 50.000 quando accerta che: sono state commesse ritorsioni; la segnalazione è stata ostacolata o che si è tentato di ostacolarla o è stato violato l’obbligo di riservatezza; non sono stati istituiti canali di segnalazione o non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero l’adozione o la loro implementazione non è conforme alla normativa; non è che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute;
• da € 500 a € 2.500 quando accerta che è stato violato l’obbligo di riservatezza circa l’identità del soggetto segnalante.

 

Da ultimo, al fine di assicurare l’assoluta parità tra il settore pubblico e il settore privato nel perseguimento delle finalità della nuova disciplina, viene previsto l’obbligo per le PMI che applicano i modelli organizzativi previsti dal d.lgs. 231/2001 di prevedere espressamente, nell’ambito del loro sistema disciplinare, sanzioni nei confronti di coloro che si accertano responsabili degli illeciti suindicati.

di Dott. Antonino Guarino