La nuova normativa sul whistleblowing: il D.Lgs. n. 24 del 2023

di Luigi Fruscione

Premessa

Il Consiglio dei Ministri del 10 marzo 2023 ha approvato, in via definitiva, il testo del decreto legislativo relativo all’attuazione della Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio risalente all’ottobre del 2019.
Il provvedimento europeo fa riferimento sia alla protezione delle persone che segnalano violazioni del diritto dell’Unione che alla protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.
Il D.Lgs. n. 24/2023 pubblicato sulla Gazzetta Ufficiale del 15 marzo 2023, è suddiviso in IV capi (I° – ambito di applicazione e definizioni; II° – segnalazioni interne, segnalazioni esterne, obbligo di riservatezza e divulgazioni pubbliche; III° – misure di protezione; IV° – disposizioni finali) per un articolato complessivo di 25 articoli.

Ambito di applicazione

L’ambito di applicazione del provvedimento è circoscritto alla conoscenza, in un contesto lavorativo¹, di violazioni di disposizioni normative, siano esse nazionali o europee, attraverso le quali si leda l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato.
Il disposto dell’articolo 1 deve essere necessariamente letto in stretta connessione con il significato attribuito, nell’ambito del decreto legislativo, ad alcuni termini ivi citati ed in particolare rispetto a cosa si debba intendere per “violazione“, quali sono i “soggetti del settore pubblico” ed i “soggetti del settore privato” interessati dall’applicazione del provvedimento. A) La “violazione” si concretizza in quei “comportamenti, atti od omissioni che consistono in: 1) illeciti amministrativi, contabili, civili o penali che non rientrano nei [successivi] numeri 3), 4), 5) e 6); 2) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001 n. 231², o violazioni dei modelli di organizzazione e gestione ivi previsti, che non rientrano nei [successivi] numeri 3), 4), 5) e 6); 3), illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati [in un allegato al decreto legislativo] ovvero degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nell’allegato al presente decreto, relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi; 4) atti od omissioni che ledono gli interessi finanziari dell’Unione di cui all’articolo 325 del Trattato sul funzionamento dell’Unione europea³ specificati nel diritto derivato pertinente dell’Unione europea; 5) atti od omissioni riguardanti il mercato interno, di cui all’articolo 26, paragrafo 2, del Trattato sul funzionamento dell’Unione europea⁴, comprese le violazioni delle norme dell’Unione europea in materia di concorrenza e di aiuti di Stato, nonché le violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società; 6) atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori indicati nei [precedenti ] numeri 3), 4)e 5)”.
B) Per “soggetti del settore pubblico” devono intendersi “le amministrazioni pubbliche di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165⁵, le autorità amministrative indipendenti di garanzia, vigilanza o regolazione, gli enti pubblici economici, gli organismi di diritto pubblico di cui all’articolo 3, comma 1, lettera d), del decreto legislativo 18 aprile 2016, n. 50⁶, i concessionari di pubblico servizio, le società a controllo pubblico e le società in house, così come definite, rispettivamente, dall’articolo 2, comma 1, lettere m) e o), del decreto legislativo 19 agosto 2016, n. 175⁷, anche se quotate.
C) Il perimetro delineato dalla normativa per i “soggetti del settore privato” include i soggetti “diversi da quelli rientranti nella definizione di soggetti del settore pubblico, i quali: 1) hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato; 2) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato (alla normativa in commento), anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui al numero 1); 3) sono diversi dai soggetti di cui al numero 2), rientrano nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231, e adottano modelli di organizzazione e gestione ivi previsti, anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui al [precedente] numero 1)”.
La normativa di cui al D.Lgs. n. 24/2023 non trova applicazione nei seguenti casi⁸: “a) contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovra ordinate; b) segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto legislativo in commento, ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’ allegato alla Direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al provvedimento qui in commento; c) segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea”.

L’ambito di applicazione soggettivo

La normativa suddivide l’ambito di applicazione soggettiva in base al se il segnalante sia un soggetto appartenente al settore pubblico o privato: nel primo caso vi rientrano le persone indicate al comma 3 dell’art. 3 che procedono ad effettuare “segnalazioni” interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile.
In tale categoria vi rientrano non solo i dipendenti delle amministrazioni pubbliche come definiti nel testo o i dipendenti degli enti pubblici economici, degli enti di diritto privato sottoposti a controllo pubblico ai sensi dell’articolo 2359 del codice civile⁹, delle società in house, degli organismi di diritto pubblico o dei concessionari di pubblico servizio ma anche, in alcuni casi, i lavoratori subordinati di soggetti del settore privato; i lavoratori autonomi nonché i titolari di un rapporto di collaborazione che svolgono la propria attività lavorativa presso soggetti del settore pubblico o del settore privato.
A questi si aggiungono anche i lavoratori o i collaboratori, che svolgono la propria attività lavorativa presso soggetti del settore pubblico o del settore privato che forniscono beni o servizi o che realizzano opere in favore di terzi; i liberi professionisti e i consulenti che prestano la propria attività presso soggetti del settore pubblico o del settore privato; i volontari e i tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico o del settore privato; gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico o del settore privato¹⁰.
La tutela delle persone segnalanti di cui l’art. 13, comma 3, trova applicazione nel caso in cui la segnalazione, la denuncia all’autorità giudiziaria o contabile o la divulgazione pubblica di informazioni avvenga: a) quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali; b) durante il periodo di prova; c) successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.
Per quanto attiene, invece, i soggetti del settore privato il decreto legislativo prevede la sua applicazione: a) per i soggetti che hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato; b) che rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al provvedimento in commento, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati; c) alle persone di cui ai commi 3 o 4 dell’articolo 3, che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile delle informazioni sulle violazioni di cui all’articolo 2, comma 1, lettera a), numeri 3), 4), 5) e 6); d) per i soggetti di cui all’articolo 2, comma 1, lettera q), numero 3), alle persone di cui ai commi 3 o 4 dell’art. 3 che effettuano segnalazioni interne delle informazioni sulle violazioni di cui all’articolo 2, comma 1, lettera a), numero 2, ovvero, se nell’ultimo anno hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, segnalazioni interne o esterne o divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile anche delle informazioni delle violazioni di cui all’articolo 2, comma 1, lettera a), numeri 3), 4), 5) e 6).
Le misure di protezione predisposte dalla normativa si applicano anche ad una serie di ulteriori figure tra le quali: i facilitatori; le persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia all’autorità giudiziaria o contabile o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado; i colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente; gli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.

Il canale di segnalazione interna: obblighi e modalità di gestione

L’articolo 4 della normativa in esame stabilisce alcuni aspetti rilevanti sotto il profilo operativo ovverosia: la tutela della riservatezza di quei soggetti che rientreranno nell’ambito della segnalazione, chi deve gestire il canale di segnalazione e le relative modalità di effettuazione, le attività da effettuarsi nel caso di segnalazione interna presentata a soggetto diverso da quello legittimato a riceverla.
Sia i soggetti pubblici che quelli privati sono chiamati a predisporre dei canali di segnalazione che devono garantire la riservatezza – anche mediante l’utilizzo di strumenti di crittografia – dell’identità dei soggetti che sono parte del flusso informativo (segnalante, persona coinvolta e persona comunque menzionata nella segnalazione) nonché del contenuto della segnalazione e della relativa documentazione.
Per quel che riguarda i soggetti collettivi che hanno adottato un modello organizzativo previsto dal D.Lgs. n. 231/01, l’art. 4 comma 1 del D.Lgs. n. 24/2023 stabilisce che anche tali soggetti devono predisporre canali di segnalazione interna come delineati nella nuova normativa.
Le disposizioni transitorie, in tema di responsabilità amministrativa, prevedono che le nuove disposizioni avranno effetto a decorrere dal 15 luglio 2023. Alle segnalazioni effettuate precedentemente alla data di entrata in vigore del D.lgs n.24/2023, nonché a quelle effettuate fino al 14 luglio 2023, continueranno ad applicarsi le disposizioni di cui all’articolo 6, commi 2-bis, 2-ter e 2-quater, del decreto legislativo n. 231 del 2001.
Per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a duecentoquarantanove, l’obbligo di istituzione del canale di segnalazione interna ai sensi del presente decreto ha effetto a decorrere dal 17 dicembre 2023 e, fino ad allora, continuerà ad applicarsi l’articolo 6, comma 2-bis, lettere a) e b), del decreto legislativo n.231 del 2001, nella formulazione vigente fino alla data di entrata in vigore del D.lgs n.24/2023.
Per quel che riguarda la gestione operativa del canale di segnalazione questa deve essere attribuita a una persona o, in alternativa, ad un ufficio interno autonomo dedicato e con personale specificamente formato per la sua gestione, che può essere affidata anche un soggetto esterno che però sia autonomo e con personale specificamente formato.
Le segnalazioni possono essere effettuate sia in forma orale che scritta: nel primo caso queste andranno effettuate attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.
La segnalazione interna presentata ad un soggetto diverso da quello legittimato a riceverla deve essere trasmessa, entro sette giorni dal suo ricevimento, al soggetto competente, dando contestuale notizia della trasmissione alla persona segnalante.
L’art. 5 sviluppa il tema operativo della gestione vera e propria del canale di segnalazione interna prevedendo le seguenti regole che devono essere rispettate dal soggetto che gestisce il canale, il quale:

1. rilascia alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;
2. mantiene le interlocuzioni con la persona segnalante e può richiedere a quest’ultima, se necessario, integrazioni;
3. dà diligente seguito alle segnalazioni ricevute;
4. fornisce riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione;
5. mette a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni esterne.

Tali informazioni devono essere esposte e rese facilmente visibili nei luoghi di lavoro, nonché accessibili alle persone che pur non frequentando i luoghi di lavoro intrattengono un rapporto giuridico in una delle forme di cui all’articolo 3, commi 3 o 4 (ambito di applicazione soggettivo).
Se dotati di un proprio sito internet, i soggetti del settore pubblico e del settore privato sono tenuti a pubblicare le predette informazioni anche in una sezione dedicata del portale.

Il canale di segnalazione esterna: casi e modalità di gestione

La persona segnalante invece di effettuare una segnalazione interna può effettuarne una esterna¹¹ qualora ricorra una delle seguenti ipotesi:

1. non è prevista, nell’ambito del suo contesto lavorativo in cui opera, l’attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto dall’articolo 4 (canali di segnalazione interna);
2. la persona segnalante ha già effettuato una segnalazione interna ai sensi dell’articolo 4 e la stessa non ha avuto seguito;
3. la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito, ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
4. la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

L’obbligo di riservatezza e conservazione della documentazione relativa alla segnalazione

Di particolare importanza è la gestione dell’obbligo di riservatezza imposto dalla normativa essendo previsto che le segnalazioni “non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse”.
L’identità della persona segnalante – e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità – non possono essere rivelate, senza il suo consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni.
Tale disposizione va letta in connessione con gli obblighi di conservazione della documentazione inerente la segnalazione – sia essa interna o esterna – che rappresenta il successivo passaggio del processo di gestione della segnalazione; in particolare si prevede che le predette segnalazioni e la relativa documentazione debbano essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza stabiliti all’articolo 12 del D.Lgs. n.23/2024 e del principio di cui agli articoli 5, paragrafo 1, lettera e), del regolamento (UE) 2016/679¹² e 3, comma 1, lettera e), del decreto legislativo n. 51 del 2018¹³.
Qualora per la segnalazione sia utilizzata una linea telefonica registrata o un altro sistema di messaggistica vocale registrato essa, previo consenso della persona segnalante, è documentata a cura del personale addetto mediante registrazione su un dispositivo idoneo alla conservazione ed all’ascolto oppure mediante trascrizione integrale (in tale ultimo caso il segnalante potrà verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione).
Qualora invece, per la segnalazione sia utilizzata una linea telefonica non registrata o altro sistema di messaggistica vocale sempre non registrato, la segnalazione dovrà essere documentata per iscritto mediante resoconto dettagliato della conversazione da effettuarsi a cura del personale addetto alla gestione del canale; anche in tal caso la persona segnalante potrà verificare, rettificare e confermare il contenuto della trascrizione mediante sottoscrizione.
Ultimo caso preso in esame è quello in cui, su richiesta della persona segnalante, la segnalazione è effettuata per via orale nel corso di un incontro con il personale addetto alla gestione del canale: in tal caso, previo consenso della persona segnalante, la segnalazione è documentata a cura del predetto personale mediante registrazione su un dispositivo idoneo alla conservazione ed all’ascolto, oppure mediante la predisposizione di un apposito verbale che potrà essere verificato, rettificato e confermato mediante la propria sottoscrizione.

La tutela del segnalante

La normativa affronta in maniera ampia la tematica della tutela del segnalante che è suddivisa in diversi articoli: l’art. 16 attiene alle condizioni per la protezione della persona segnalante, l’art. 17 il divieto di ritorsione, l’art. 18 le misure di sostegno, l’art. 19 la protezione dalle ritorsioni e, infine, l’art. 21 che detta le sanzioni suddivise per il settore pubblico (applicate dall’ANAC) e privato (sistema disciplinare adottato ai sensi del D.Lgs. n. 231/01).

1. Per “contesto lavorativo” in base all’art. 2, comma 1, lett. i) si intendono “le attività lavorative o professionali, presenti o passate, svolte nell’ambito dei rapporti di cui all’articolo 3, commi 3 o 4, attraverso le quali, indipendentemente dalla natura di tali attività, una persona acquisisce informazioni sulle violazioni e nel cui ambito potrebbe rischiare di subire ritorsioni in caso di segnalazione o di divulgazione pubblica o di denuncia all’autorità giudiziaria o contabile”. ↩︎
2. Il D.Lgs. n.231/01 è relativo alla responsabilità amministrativa dei soggetti collettivi in sede penale. ↩︎
3. L’articolo 325 del TFUE stabilisce che l’Unione e gli Stati membri combattono contro la frode e le altre attività illegali che ledono gli interessi finanziari dell’Unione stessa mediante misure adottate sulla base di tale disposizione. ↩︎
4. L’articolo 26, par.2, del TFUE è relativo al mercato interno aspetto che comporta uno spazio senza frontiere interne, nel quale è assicurata la libera circolazione delle merci, delle persone, dei servizi e dei capitali secondo le disposizioni dei Trattati. ↩︎
5. Il D.Lgs. n.165/2001 detta norme generali sull’ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche. ↩︎
6. Il D.Lgs. n. 50/2016 è il Codice dei contratti pubblici. ↩︎
7. Il D.Lgs. 175/2016 è il Testo unico in materia di società a partecipazione pubblica. ↩︎
8. Come testualmente disposto dall’art. 1, comma 2, del D.Lgs. n. 24/2023. ↩︎
9. L’art. 2359 del codice civile detta disposizioni sulle società controllate e società collegate. ↩︎
10. Per le specifiche normative dei soggetti rientranti nell’ambito del settore pubblico si veda l’art. 3, comma 3 del D.Lgs. n. 24/2023 ed in particolare il comma 3 lett. a, b, c, d. ↩︎
11. Per “segnalazione esterna” si intende in base alla definizione di cui all’art. 2, comma 1 lett. e) del D.Lgs. n. 24/2023 la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione esterna di cui all’articolo 7. ↩︎
12. L’art. 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 stabilisce che “i dati personali sono: … e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»)”. ↩︎
13. Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio. ↩︎