Con il D. Lgs. 10 marzo 2023 n. 24, pubblicato in Gazzetta Ufficiale n. 63 del 15 marzo 2023, il legislatore italiano ha dato attuazione alla direttiva UE 2019/1937, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali, c.d. “whistleblowing”. Analizziamo nel presente articolo le principali novità introdotte nel settore privato.
Cosa significa whistleblowing?
Con il termine “whistleblowing” si identifica l’azione di un lavoratore (c.d. whistleblower) che durante l’attività lavorativa, sia in ambito pubblico che privato, rileva e intende segnalare possibili illeciti (penali, civili o amministrativi), che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, con garanzia dell’anonimato. L’obiettivo della normativa di origine europea è quello di rafforzare i principi di trasparenza e responsabilità, al fine di prevenire la realizzazione di reati.
Soggetti obbligati
Rientrano tra i soggetti destinatari degli obblighi previsti dalla nuova disciplina del whistleblowing, oltre ai soggetti del settore pubblico, i soggetti operanti in ambito privato che:
- hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati sia a tempo determinato che indeterminato;
- non hanno la dimensione indicata al punto 1 ma rientrano tra quelli obbligati al rispetto della normativa in materia di mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, tutela dell’ambiente e sicurezza dei trasporti;
- rientrano nell’ambito di applicazione del D. Lgs. 231/2001 e adottano modelli di organizzazione e gestione ivi previsti, anche se hanno meno di 50 lavoratori.
Sono quindi inclusi nell’ambito soggettivo di applicazione della disciplina anche i soggetti che, se non fossero dotati di un MOG, ne sarebbero esclusi.
Entrata in vigore
Le nuove regole sul whistleblowing entreranno in vigore con termini differenti a seconda della forza lavoro aziendale. In particolare, i datori di lavoro che:
a) hanno occupato, mediamente, negli ultimi dodici mesi, più di 249 dipendenti, debbono adeguarsi entro il prossimo 15 luglio;
b) hanno occupato, in media, nell’ultimo anno, almeno 50 lavoratori dipendenti, devono ottemperare a partire dal 17 dicembre 2023;
c) pur rimanendo sotto la soglia delle 50 unità, hanno come genere di attività i servizi ed i prodotti finanziari, la prevenzione del riciclaggio e le misure atte a bloccare il finanziamento del terrorismo, la sicurezza dei trasporti e la tutela dell’ambiente, nonché quelli che adottano i modelli organizzativi ex D. Lgs. n. 231/2001, dovranno adottare le misure di adeguamento entro il prossimo 17 dicembre.
Adempimento per i datori di lavoro
I soggetti che rientrano nel campo di applicazione della normativa, sentite le rappresentanze o le organizzazioni sindacali, dovranno predisporre appositi canali di segnalazione interni in grado di garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.
Le imprese potranno gestire in proprio questi canali, affidandoli a una persona o a un ufficio aziendale interno, autonomo e costituito da personale specificamente formato, oppure potranno avvalersi di soggetti esterni, dotati anch’esso di personale adeguatamente formato sulla materia
Le segnalazioni potranno essere rese in forma scritta (ammesso l’utilizzo di appositi strumenti informatici), in forma orale (attraverso linee telefoniche preposte o sistemi di messaggistica ad hoc) ovvero, su richiesta specifica del segnalante, attraverso incontri diretti.
Chi gestisce il canale di segnalazione interna deve:
a) rilasciare alla persona segnalante avviso di ricevimento della segnalazione entro 7 giorni dalla data di ricezione;
b) mantenere le interlocuzioni con la persona segnalante; è possibile richiedere a quest’ultima, se necessario, integrazioni;
c) dare diligente seguito alle segnalazioni ricevute;
d) fornire riscontro alla segnalazione entro 3 mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro 3 mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione;
e) mettere a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni. Le informazioni devono essere esposte e rese facilmente visibili nei luoghi di lavoro e accessibili alle persone che pur non frequentando i luoghi di lavoro intrattengono un rapporto giuridico con la società. Se la società è dotata di un proprio sito internet, le informazioni devono essere pubblicate anche in una sezione dedicata del sito.
I soggetti devono definire il proprio modello di ricevimento e gestione delle segnalazioni interne, individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati, sulla base di una valutazione d’impatto sulla protezione dei dati, e disciplinando il rapporto con eventuali fornitori esterni che trattano dati personali per loro conto
Informativa dei canali di segnalazione
La nuova normativa definisce anche le modalità con cui dovrà essere comunicata l’esistenza dei canali di segnalazione: le imprese dovranno pubblicare un’informativa chiara ed esplicativa circa le procedure e i presupposti per effettuare le segnalazioni, sia interne, sia esterne, che siano facilmente accessibili sul luogo di lavoro e sul sito internet.
Oggetto della segnalazione
Le tutele previste dalla disciplina in esame si applicano ai soggetti che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile, delle informazioni sulle violazioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui sia venuto a conoscenza nel contesto lavorativo relative a:
a) illeciti che rientrano nell’ambito di applicazione degli atti dell’UE o nazionali (individuati dall’allegato al D. Lgs. 24/2023) o degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea (indicati nell’allegato alla Dir. UE 2019/1937), pur non indicati nell’allegato al D. Lgs. 24/2023, relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
b) atti od omissioni che ledono gli interessi finanziari dell’UE (di cui all’art. 325 TFUE) specificati nel diritto derivato pertinente dell’Unione europea;
c) atti od omissioni riguardanti il mercato interno (di cui all’art. 26 par. 2 TFUE), comprese le violazioni delle norme dell’UE in materia di concorrenza e di aiuti di Stato e quelle riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società;
d) atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori sopra indicati.
Soggetti tutelati
Con riferimento al settore privato, sono soggetti tutelati coloro che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile sulle violazioni, che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, ossia:
a) lavoratori subordinati;
b) lavoratori autonomi e i titolari di un rapporto di collaborazione (di cui all’art. 409 c.p.c. e all’art. 2 D. Lgs. 81/2015), che svolgono la propria attività lavorativa presso tali soggetti;
c) lavoratori o collaboratori, che svolgono la propria attività lavorativa presso soggetti che forniscono beni o servizi o che realizzano opere in favore di terzi;
d) liberi professionisti e i consulenti che prestano la propria attività presso tali soggetti;
e) volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso tali soggetti;
f) azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto tali soggetti.
La tutela si applica anche qualora la segnalazione avvenga:
a) quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;
b) durante il periodo di prova;
c) successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.
La tutela, salvo disposizioni specifiche, si applica in generale, oltre che in via diretta agli autori, anche ai:
a) ai facilitatori, cioè alle persone fisiche che assistono una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata;
b) alle persone del medesimo contesto lavorativo della persona segnalante e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado;
c) ai colleghi di lavoro della persona segnalante che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;
d) agli enti di proprietà della persona segnalante o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.
Garanzie di riservatezza
L’identità del segnalante:
– non può essere rivelata o divulgata, senza il suo consenso espresso, a persone diverse rispetto a quelle competenti a ricevere o a dare seguito alla segnalazione;
– nell’ambito del procedimento penale, è coperta dal segreto nei modi e nei limiti previsti dall’art. 329 c.p.p. che disciplina il segreto investigativo;
– nell’ambito del procedimento contabile non può essere rivelata fino alla chiusura della fase istruttoria;
– con riferimento ai procedimenti disciplinari non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Nel caso in cui la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità. In questi casi, o quando viene rivelata l’identità del segnalante si prevede l’obbligo di comunicazione scritta delle ragioni della rivelazione dei dati riservati.
Quando la rivelazione della identità della persona segnalante e delle informazioni è indispensabile, ne deve essere dato avviso alla persona segnalante mediante comunicazione scritta con le ragioni della rivelazione dei dati riservati.
La società è tenuta a garantire la tutela anche dell’identità delle persone coinvolte e delle persone menzionate nella segnalazione nel rispetto delle medesime garanzie previste in favore della persona segnalante.
Divieto di ritorsione e nullità del licenziamento
Il decreto stabilisce un divieto di ritorsione nei confronti del segnalante.
Nell’ambito di procedimenti giudiziari o amministrativi o comunque di controversie stragiudiziali aventi ad oggetto l’accertamento dei comportamenti, atti o omissioni vietati nei confronti delle persone segnalanti, si presume che gli stessi siano stati posti in essere a causa della segnalazione.
Viene modificato l’articolo 4 della legge 604/1966, includendo espressamente tra i licenziamenti nulli, quelli conseguenti all’esercizio di un diritto ovvero alla segnalazione, alla denuncia all’autorità giudiziaria o contabile o alla divulgazione pubblica effettuate in base alle norme sul whistleblowing. Inoltre, viene estesa la nullità al mutamento di mansioni, nonché di ogni altra misura ritorsiva o discriminatoria. Il decreto individua altresì alcune fattispecie che possono costituire ritorsione, tra cui, ad esempio, la retrocessione di grado o la mancata promozione, il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro.
L’onere di provare che tali condotte o atti sono motivati da ragioni estranee alla segnalazione, alla divulgazione pubblica o alla denuncia è a carico di colui che li ha posti in essere. Si considera presunto il nesso di causalità tra il danno subito dal segnalante e la ritorsione subita a causa della segnalazione.
Protezione delle ritorsioni
Al segnalante viene offerta la possibilità di denuncia all’Ispettorato Nazionale del Lavoro per i provvedimenti di sua competenza. Medesima possibilità viene offerta nei confronti dell’ANAC che, nel caso del lavoro privato, informa l’Ispettorato Nazionale del Lavoro.
Sanzioni applicabili
Le imprese che non si attrezzeranno entro le scadenze previste rischiano sanzioni pesanti: l’ANAC potrà irrogare sanzioni amministrative pecuniarie di importo variabile per le varie situazioni.
Sono previste sanzioni sia nel caso di violazioni dell’obbligo di riservatezza sia per la mancata istituzione di canali di segnalazione o nell’evenienza in cui non siano state adottate procedure per l’inoltro e la gestione delle segnalazioni.
Fermi restando gli altri profili di responsabilità, soggetto competente a valutare gli elementi acquisiti e ad applicare le sanzioni sia ai soggetti pubblici che ai soggetti privati è l’ANAC, che applica al responsabile le seguenti sanzioni amministrative pecuniarie:
a) da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l’obbligo di riservatezza;
b) da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni o che l’adozione di tali procedure non è conforme alle modalità previste dal decreto, o quando non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute;
c) da 500 a 2.500 euro, nel caso in cui venga accertata la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia, salvo che sia stata accertata la responsabilità penale della persona segnalante, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile o la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave. In tali casi, le tutele previste dal decreto non sono garantite e alla persona segnalante o denunciante è irrogata una sanzione disciplinare.
Le società che rientrano nell’ambito di applicazione del D. Lgs. 231/2001 e adottano un modello di organizzazione e gestione devono altresì prevedere nel sistema disciplinare adottato, sanzioni nei confronti di coloro che accertano essere responsabili degli illeciti.
