L’attuazione della Direttiva sul whistleblowing: lo schema di decreto legislativo

di Luigi Fruscione

Premessa

Il Consiglio dei Ministri del 9 dicembre 2022 ha dato attuazione alla Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio¹ – riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione – approvando lo schema di decreto legislativo.²
Il 4 agosto del 2022 era stata approvata dal Parlamento la legge delega nella quale erano stati fissati i seguenti principi a cui il Governo si sarebbe dovuto uniformare:

1. modificare, in conformità alla disciplina della direttiva (UE) 2019/1937, la normativa vigente in materia di tutela degli autori di segnalazioni delle violazioni di cui all’articolo 2 alla Direttiva, di cui siano venuti a conoscenza nell’ambito di un contesto lavorativo pubblico o privato, e dei soggetti indicati all’articolo 4, paragrafo 4, della stessa Direttiva;
2. curare il coordinamento con le disposizioni vigenti, assicurando un alto grado di protezione e tutela dei soggetti di cui alla lettera a), operando le necessarie abrogazioni e adottando le opportune disposizioni transitorie;
3. esercitare l’opzione di cui all’articolo 25, paragrafo 1, della Direttiva (UE) 2019/1937, che consente l’introduzione o il mantenimento delle disposizioni più favorevoli ai diritti delle persone segnalanti e di quelle indicate dalla direttiva, al fine di assicurare comunque il massimo livello di protezione e tutela dei medesimi soggetti;
4. operare gli opportuni adattamenti delle disposizioni vigenti al fine di conformare la normativa nazionale a quella europea, anche in relazione a violazioni di diritto interno riconducibili a reati o comportamenti impropri che compromettono la cura imparziale dell’interesse pubblico o la regolare organizzazione e gestione dell’ente.

Occorre premettere che la normativa nazionale in materia di whistleblowing era già oggetto di disciplina grazie a due decreti legislativi del 2001, i nn. 165 (articolo 54-bis) e 231 (articolo 6, commi 2-bis e ss)³ nonché alla legge 30 novembre 2017, n. 179; con l’attuazione della Direttiva si riunisce in un unico testo la disciplina sulla tutela della persona segnalante tenendo in considerazione sia le previsioni normative vigenti che quelle di nuova introduzione da cui restano escluse alcune materie quali la sicurezza nazionale, la protezione delle informazioni classificate, del segreto professionale forense e medico e delle deliberazioni degli organi giudiziari, nonché le norme di procedura penale.
Il primo Considerando alla Direttiva chiarisce lo spirito del provvedimento: “chi lavora per un’organizzazione pubblica o privata o è in contatto con essa nello svolgimento della propria attività professionale è spesso la prima persona a venire a conoscenza di minacce o pregiudizi al pubblico interesse sorti in tale ambito. Nel segnalare violazioni del diritto unionale che ledono il pubblico interesse, tali persone (gli “informatori – whist-leblowers”) svolgono un ruolo decisivo nella denuncia e nella prevenzione di tali violazioni e nella salvaguardia del benessere della società. Tuttavia, i potenziali informatori sono spesso poco inclini a segnalare inquietudini e sospetti nel timore di ritorsioni. In tale contesto, l’importanza di garantire una protezione equilibrata ed efficace degli informatori è sempre più riconosciuta a livello sia unionale che Internazionale“.
La Direttiva stabilisce, altresì, lo scopo del provvedimento che è quello di “rafforzare l’applicazione del diritto e delle politiche dell’Unione in specifici settori stabilendo norme minime comuni volte a garantire un elevato livello di protezione delle persone che segnalano violazioni del diritto dell’Unione”.

Finalità e destinatari

Lo schema di decreto legislativo approvato dal Governo è suddiviso in quattro capi: “ambito di applicazione e definizioni”, “segnalazioni interne, segnalazioni esterne, obbligo di riservatezza e divulgazioni pubbliche”, “misure di protezione” e, infine “disposizioni finali”.
L’art.1, comma 1, delinea l’ambito di applicazione della normativa ovverosia la disciplina della “protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato“; al successivo comma 2 sono indicati i casi di esclusione dell’applicazione delle disposizioni:

1. contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;
2. segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti settoriali indicati nella parte II dell’allegato;
3. segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea.

I destinatari dei nuovi obblighi sono delineati nella Direttiva sulla base di settori di attività (appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità del prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi) e ripresi all’art. 2, comma 1, lett. a) n. 3 dello schema di decreto legislativo; come indicato nella relazione illustrativa però “nella trasposizione della direttiva si è tenuta presente la disposizione di cui all’articolo 2, paragrafo 2, che permette agli Stati membri di estendere la protezione prevista dal diritto nazionale relativamente a settori o atti non contemplati nel paragrafo 1 (che indica le violazioni del diritto dell’Unione). Pertanto, non si è ritenuto di circoscrivere la facoltà di segnalazione alle sole violazioni del diritto dell’Unione in determinati settori, ma si è prevista la possibilità di segnalare anche violazioni del diritto nazionale”.
Sotto il profilo soggettivo l’art. 2, lett. p) definisce i “soggetti del settore pubblico” le amministrazioni pubbliche di cui all’art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, le autorità amministrative indipendenti di garanzia, vigilanza o regolazione, gli enti pubblici economici, gli organismi di diritto pubblico di cui all’articolo 3, lettera d), del decreto legislativo 18 aprile 2016, n. 50, i concessionari di pubblico servizio, le società a controllo pubblico e le società in house, così come definite, rispettivamente, dall’art. 2, comma 1, lettere m) e o), del decreto legislativo 19 agosto 2016, n. 175, anche se quotate; sono invece “soggetti del settore privato” quelli diversi da quelli rientranti nella definizione di soggetti del settore pubblico, i quali:

1. hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2. rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato, anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui al numero 1);
3. rientrano nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231 e adottano modelli di organizzazione e gestione ivi previsti, anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui al numero 1).⁴

La disciplina trova applicazione nei confronti delle seguenti categorie di persone che segnalano o denunciano, all’autorità giudiziaria o contabile o divulgano pubblicamente, informazioni sulle violazioni di cui sono venute a conoscenza nell’ambito del proprio contesto lavorativo:

1. i dipendenti delle amministrazioni pubbliche di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, ivi compresi i dipendenti di cui all’articolo 3 del medesimo decreto, nonché i dipendenti delle Autorità amministrative indipendenti di garanzia, vigilanza o regolazione;
2. i dipendenti degli enti pubblici economici, degli enti di diritto privato sottoposti a controllo pubblico ai sensi dell’articolo 2359 del codice civile, delle società in house, degli organismi di diritto pubblico o dei concessionari di pubblico servizio;
3. i lavoratori subordinati di soggetti diversi, ivi compresi i lavoratori il cui rapporto di lavoro è disciplinato dal decreto legislativo 15 giugno 2015, n. 81 o dall’articolo 54-bis del decreto legge 24 aprile 2017, n. 50, convertito con modificazioni dalla legge 21 giugno 2017, n. 96;
4. i lavoratori autonomi, ivi compresi quelli indicati al capo I della legge 22 maggio 2017, n.81, nonché i titolari di un rapporto di collaborazione di cui all’articolo 409 del codice di procedura civile e all’articolo 2 del decreto legislativo 15 giugno 2015, n. 81, che svolgono la propria attività lavorativa presso soggetti del settore pubblico o presso soggetti diversi;
5. i lavoratori o i collaboratori, che svolgono la propria attività lavorativa presso soggetti del settore pubblico o soggetti diversi che forniscono beni o servizi o che realizzano opere in favore di terzi;
6. i liberi professionisti e i consulenti che prestano la propria attività presso soggetti del settore pubblico o presso soggetti diversi;
7. i volontari e i tirocinanti, retribuiti e non retribuiti che prestano la propria attività presso soggetti del settore pubblico o presso soggetti diversi;
8. gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico o soggetti diversi.

La tutela delle persone segnalante si applica anche qualora la segnalazione o la denuncia all’autorità giudiziaria o contabile o la divulgazione pubblica di informazioni avvenga nei seguenti casi:

1. quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;
2. durante il periodo di prova;
3. successivamente allo scioglimento del rapporto di lavoro, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto di lavoro.

Le misure di protezione previste al capo III della normativa trovano applicazione anche nei confronti

1. dei facilitatori;
2. delle persone del medesimo contesto lavorativo della persona segnalante o di colui che ha sporto una denuncia all’autorità giudiziaria o contabile o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado;
3. dei colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;
4. degli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.

Le segnalazioni interne ed esterne

La normativa distingue tra segnalazioni interne ed esterne in base alla tipologia di canale utilizzato; si ha il primo caso qualora i soggetti pubblici e privati abbiano attivato un proprio canale di segnalazione in base a quanto previsto all’art. 4 dello schema di decreto legislativo mentre, si rientra nel secondo caso – canale di segnalazione esterna -, qualora il flusso informativo sia indirizzato al canale predisposto dall’ANAC⁵, sempre che si rientri in una delle seguenti ipotesi:

1. non sia prevista, nell’ambito del suo contesto lavorativo, l’attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto nell’articolo 4;
2. la persona segnalante ha già effettuato una segnalazione interna ai sensi dell’articolo 4 e la stessa non ha avuto seguito o si è conclusa con un provvedimento finale negativo;
3. la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
4. la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Qualora la segnalazione esterna sia stata presentata ad un soggetto diverso dall’ANAC, entro sette giorni dalla data del suo ricevimento, deve essere trasmessa all’autorità competente, dando contestuale notizia alla persona segnalante.
L’articolo 5 dello schema disciplina l’iter procedurale successivo alla segnalazione attuata tramite il canale interno con l’introduzione dei termini entro cui dare un riscontro al segnalante del ricevimento della segnalazione nonché della attività di verifica ed analisi compiuta su di essa.
Il provvedimento individua anche i soggetti preposti alla gestione del canale di segnalazione interna stabilendo che tale attività debba essere affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, ovvero essere affidata a un soggetto esterno, anch’esso autonomo e con personale specificamente formato.
La segnalazione interna, presentata ad un soggetto diverso da quello indicato, deve essere trasmessa, entro sette giorni dal suo ricevimento, al soggetto competente, dando contestuale notizia della trasmissione alla persona segnalante.
In riferimento alle forme attraverso cui le segnalazioni possono essere effettuate abbiamo quella scritta, con modalità informatiche ed orale (in tale ultimo caso attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole).

La gestione del canale di segnalazione interna

Il gestore designato del canale di segnalazione interna è chiamato a svolgere alcune attività tra cui:

1. rilasciare alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;
2. mantenere le interlocuzioni con la persona segnalante e richiedere a quest’ultima, se necessario, integrazioni;
3. dare diligente seguito alle segnalazioni ricevute;
4. fornire riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine dei sette giorni dalla presentazione della segnalazione;
5. mettere a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazione esterne.

Le suddette informazioni devono essere esposte e rese facilmente visibili nei luoghi di lavoro, nonché rese accessibili alle persone che pur non frequentando i luoghi di lavoro intrattengono un rapporto giuridico con l’ente.

La conservazione della documentazione inerente alle segnalazioni

L’art. 14 dello schema di decreto legislativo prende in esame le modalità e le tempistiche di conservazione delle segnalazioni stabilendo che queste e la relativa documentazione possano essere archiviate per il tempo necessario al trattamento della segnalazione stessa e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione in applicazione delle regole dettate in materia di privacy dal GDPR.
Qualora per la segnalazione venga utilizzato lo strumento della linea telefonica registrata o un altro sistema di messaggistica vocale registrato, “la segnalazione, previo consenso della persona segnalante, è documentata a cura del personale addetto mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante trascrizione integrale. In caso di trascrizione, la persona segnalante può verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione“.
Negli altri casi, invece – linea telefonica non registrata o un altro sistema di messaggistica vocale non registrato – “la segnalazione è documentata per iscritto mediante resoconto dettagliato della conversazione a cura del personale addetto. La persona segnalante può verificare, rettificare e confermare il contenuto della trascrizione mediante la propria sottoscrizione“.
Nel caso di segnalazione orale nel corso di un incontro con il personale addetto, essa, “previo consenso della persona segnalante, è documentata a cura del personale addetto mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante verbale. In caso di verbale, la persona segnalante può verificare, rettificare e confermare il verbale dell’incontro mediante la propria sottoscrizione“.

La tempistica di adeguamento alle nuove disposizioni

L’art. 24 dello schema di decreto legislativo stabilisce che le disposizioni indicate nel provvedimento avranno effetto decorsi quattro mesi dalla data di entrata in vigore, eccetto che per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non inferiore a cinquanta e non superiore a 249, ai quali le disposizioni avranno effetto a decorrere dal 17 dicembre 2023.
Fino all’entrata in vigore delle nuove disposizioni continuano ad applicarsi le disposizioni di cui all’articolo 54-bis del decreto legislativo 30 marzo 2001 n. 165 (norme generali sull’ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche) all’articolo 6, commi 2-bis, 2-ter e 2-quater, del decreto legislativo 8 giugno 2001, n. 231 (responsabilità amministrativa delle società e degli enti) e all’articolo 3 della legge 30 novembre 2017, n. 179 (disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato).

Le sanzioni

Le sanzioni sono stabilite dall’art. 21 della bozza che ne stabilisce l’applicazione “fermi restando gli altri profili di responsabilità “; l’ANAC applica al responsabile le seguenti sanzioni amministrative pecuniarie:

1. da 5.000 a 30.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l’obbligo di riservatezza di cui all’articolo 12;
2. da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non è conforme a quelle di cui agli articoli 4 e 5, nonché quando accerta che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.

Per quel che riguarda le sanzioni per i soggetti del settore privato di cui all’articolo 1, comma 1, lettera q) numero 3) prevedono nel sistema disciplinare adottato ai sensi dell’articolo 6, comma 2, lettera e) del decreto legislativo 8 giugno 2001, n. 231 sanzioni nei confronti di coloro che accertano essere responsabili degli illeciti di cui al comma 1.

1. Si vedano su questa Rivista: “Whistleblowing: la nuova Direttiva (UE) 2019/1937 e opportunità di innovazione organizzativa” di Roberto Giordani e Emanuele Mazzaro – Compliance novembre 2021; “Che cos’è il Whistleblowing?” a cura di Silvia Crocelli – Compliance marzo 2022. ↩︎
2. Alla data di revisione del presente articolo il provvedimento è ancora all’esame del Parlamento per l’acquisizione dei prescritti pareri. Si rimanda alla consultazione del testo che sarà pubblicato nella Gazzetta Ufficiale una volta approvato ↩︎
3. In ambito privato la tutela del whistleblower è circoscritta al caso dei soggetti collettivi che abbiano adottato un Modello organizzativo ai sensi del decreto legislativo 8 giugno 2001, n. 231. ↩︎
4. Quindi i soggetti indicati al n.3 dell’elenco sono obbligati a predisporre i canali di segnalazione interni, anche se impiegano meno di cinquanta dipendenti, solo se adottano il Modello 231. ↩︎
5. L’ANAC è stata individuata quale Autorità competente per le segnalazioni esterne anche per il settore privato. ↩︎