PREMESSA

Con il decreto legislativo 10 marzo 2023, n. 24 (di seguito anche “Decreto”), pubblicato nella Gazzetta Ufficiale del 15 marzo 2023, è stata recepita nell’ordinamento italiano la direttiva UE 2019/1937 riguardante "la protezione delle persone che segnalano violazioni del diritto dell’Unione” (cd. disciplina whist!eb!owing).

L’obiettivo della direttiva europea è stabilire norme minime comuni per garantire un elevato livello di protezione delle persone che segnalano violazioni del diritto dell’Unione, creando canali di comunicazione sicuri, sia all’interno di un’organizzazione, sia all’esterno. In casi specifici, è prevista la possibilità di effettuare la segnalazione mediante la divulgazione pubblica attraverso i media.

Si tratta di una disciplina che persegue, come fine ultimo, il contrasto e la prevenzione dei fenomeni illeciti nelle organizzazioni pubbliche e private, incentivando l’emersione di condotte pregiudizievoli - di cui il segnalante sia venuto a conoscenza nell’ambito del suo contesto lavorativo - in danno dell’ente di appartenenza e, di riflesso, per l’interesse pubblico collettivo.

Il Decreto abroga e modifica la disciplina nazionale previgente1, racchiudendo in un unico testo normativo - per il settore pubblico e per il settore privato - il regime di protezione dei soggetti che segnalano condotte illecite poste in essere in violazione non solo di disposizioni europee, ma anche nazionali, purché basate su fondati motivi e lesive dell’interesse pubblico o dell’integrità dell’ente, al fine di garantire il recepimento della direttiva senza arretrare nelle tutele già riconosciute nel nostro ordinamento.

Il quadro regolatorio di riferimento è stato infine completato con le Linee Guida ANAC (di seguito anche “LG ANAC”)2, adottate con delibera del 12 luglio 2023, recanti procedure per la presentazione e gestione delle segnalazioni esterne, nonché indicazioni e principi di cui enti pubblici e privati possono tener conto per i canali interni.

Il Decreto prevede che la nuova disciplina si applichi, in via generale, a decorrere dallo scorso 15 luglio 2023(art. 24). Invece, per i soggetti del settore privato che, nell’ultimo anno, hanno impiegato una media di lavoratori subordinati fino a 249 unità, l’obbligo di istituire un canale interno di segnalazione ha effetto a decorrere dal 17 dicembre 2023; fino a quel giorno, continua ad applicarsi la disciplina previgente (art. 6, co. 2-bis del Decreto legislativo 8 giugno 2001, n. 231, di seguito anche “Decreto 231”).

1 Per effetto delle disposizioni del Decreto sono abrogati: l’art. 54 bis del Decreto legislativo 30 marzo 2001 n. 165 TUPI per gli enti pubblici; l’art. 6, commi 2 ter e 2 quater, del Decreto 231; l’art. 3 del d. lgs. 179/2017. È stato invece modificato l’art. 6 comma 2 bis del Decreto 231.

2 Le LG ANAC sono consultabili al seguenti link https://www.anticorruzione.it/-/del.311.2023.linee.guida.whistleblowing.

1. AMBITO DI APPLICAZIONE

1.1 Ambito soggettivo di applicazione: i destinatari della nuova disciplina

I destinatari della nuova disciplina sono sia i soggetti pubblici che privati (artt. 2 e 3).

I soggetti del settore pubblico sono le amministrazioni pubbliche, le autorità amministrative indipendenti, gli enti pubblici economici, i concessionari di pubblico servizio3, le imprese a controllo pubblico e le imprese in house, anche se quotate.

I soggetti del settore privato sono quelli che:

1. hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2. rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’Allegato al Decreto (che ripropone l’Allegato alla Direttiva UE), anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati. Si tratta dei settori dei servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, nonché della sicurezza dei trasporti;
3. sono diversi dai soggetti di cui al numero b), sono dotati di un modello di organizzazione e gestione 231, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati.

Ai fini del computo della media annua dei lavoratori impiegati nel settore privato - necessaria per stabilire quando si supera la soglia dei 50 lavoratori, ANAC ha specificato che si debba fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si considera l’anno in corso (ovvero il 2023).

Pertanto, per le imprese diverse da quelle di nuova costituzione, in sede di prima applicazione occorrerà fare riferimento alla media annua dei lavoratori impiegati al 31 dicembre 2022 e poi, per le annualità successive, si dovrà considerare il computo dell’anno solare precedente, sempre al 31 dicembre.

Il riferimento all’ultimo anno solare precedente a quello in cui avviene la segnalazione, per il calcolo della media annua dei lavoratori impiegati è un criterio che, rispondendo alla norma di legge, consente alle imprese di adeguarsi agli eventuali adempimenti con ragionevole tempestività.

Inoltre, l’ANAC ha precisato che “ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati INPS) al 31/12 dell’anno solare precedente a quello in corso, contenuto nelle visure camerali. Quando l’impresa è di nuova costituzione, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura.”.4

Il richiamo alle visure camerali dovrebbe, stando ad alcune verifiche effettuate, comportare il computo “per teste” e cioè del numero complessivo di addetti, a prescindere dalla effettiva durata dei singoli rapporti di lavoro.

3 In merito alla definizione di “concessionari di pubblico servizio”, pare opportuno fare riferimento alle disposizioni contenute nel D. lgs. 31 marzo 2023, n. 36, c.d. Nuovo codice degli appalti, ed in particolare al Libro IV, Parte II, artt. 176 e seguenti e alle definizioni contenute nell’ALL. I.1 che:

• all’art. 1, comma 1, lett. b) definisce l’“ente concedente” come “qualsiasi amministrazione aggiudicatrice o ente aggiudicatore, ovvero altro soggetto, pubblico o privato, che affida contratti di concessione di lavori o di servizi e che è comunque tenuto, nella scelta del contraente, al rispetto del codice”;
• all’art. 2, comma 1, lett. c) definisce i “contratti di concessione” come “i contratti a titolo oneroso stipulati per iscritto a pena di nullità in virtù dei quali una o più amministrazioni aggiudicatrici o uno o più enti aggiudicatori affidano l’esecuzione di lavori o la fornitura e la gestione di servizi a uno o più operatori economici, ove il corrispettivo consista unicamente nel diritto di gestire i lavori o i servizi oggetto dei contratti o in tale diritto accompagnato da un prezzo”.

4 Cfr. sul punto le LG ANAC, pag. 17.

Tuttavia, al riguardo, ai fini del computo dei lavoratori, si dovrebbe fare, invece, riferimento al dettato dell’art. 27 del D. lgs. n. 81/2015.

In particolare, tale norma citata stabilisce che: “[...] ai fini dell'applicazione di qualsiasi disciplina di fonte legale o contrattuale per la quale sia rilevante il computo dei dipendenti del datore di lavoro, si tiene conto del numero medio mensile di lavoratori a tempo determinato, compresi i dirigenti, impiegati negli ultimi due anni, sulla base dell'effettiva durata dei loro rapporti di lavoro”.

Pertanto, l’auspicio è che la prassi interpretativa si adegui prima possibile a questo sostrato normativo, consentendo di calcolare la media dei lavoratori in termini di “ULA” (unità lavorativa annua), ossia tenendo conto della effettiva durata di ciascun rapporto (fermo restando che il termine temporale di riferimento, in questo caso, non sarà di due anni – come previsto dal citato art. 27 – bensì di un anno, come previsto dall’art. 2 comma 1, lett. q) n.1) del Decreto).

1.2 Ambito oggettivo di applicazione
Oggetto della violazione

L’ambito di applicazione della disciplina è molto complesso e poggia su un regime di obblighi e tutele a geometria variabile, che muta in base: i) all’oggetto della violazione; ii) alla natura pubblica/privata del soggetto di appartenenza del segnalante; iii) alle dimensioni dell’ente privato e all’applicabilità allo stesso della disciplina di cui al Decreto 231.

In primo luogo, dal punto di vista oggettivo, la nuova disciplina si applica alle violazioni delle disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i soggetti segnalanti siano venuti a conoscenza in un contesto lavorativo pubblico o privato (art. 1).

In particolare, le segnalazioni possono avere a oggetto le violazioni riepilogate di seguito, in linea con quanto emerge dalle LG ANAC.

Violazioni delle disposizioni normative nazionali5

In tale categoria rientrano gli illeciti penali, civili, amministrativi o contabili diversi rispetto a quelli specificamente individuati come violazioni del diritto UE, come sotto definite (cfr. infra).

In secondo luogo, nell’ambito delle violazioni in esame, rientrano:

• i reati presupposto per l’applicazione del Decreto 231;
• le violazioni dei modelli di organizzazione e gestione previsti nel citato Decreto 231, anch’esse non riconducibili alle violazioni del diritto dell’UE come sotto definite (cfr. infra).

5 Tale elencazione è ripresa dalle LG ANAC.

Al riguardo, salvo quanto verrà analizzato più nel dettaglio nel prosieguo (vd. cap. 2), si evidenzia che, nel settore pubblico, le segnalazioni possono avere a oggetto violazioni inerenti alla disciplina nazionale come sopra indicata (quindi illeciti penali, civili, amministrativi o contabili, reati 231 e violazioni del Modello Organizzativo 231) e del diritto europeo nelle materie sopra indicate.

Invece, per quanto riguarda il settore privato, le segnalazioni possono avere a oggetto violazioni della disciplina nazionale solo con riferimento ai reati 231 e alle violazioni del Modello Organizzativo 231, nonché quelle riguardanti il diritto europeo nelle materie sopra indicate.

In secondo luogo, sono escluse dall’ambito di applicazione della nuova disciplina le segnalazioni:

• legate a un interesse personale del segnalante, che attengono ai propri rapporti individuali di lavoro, ovvero inerenti ai rapporti di lavoro con le figure gerarchicamente sovraordinate (es. vertenze di lavoro, discriminazioni, conflitti interpersonali tra colleghi, segnalazioni su trattamenti di dati effettuati nel contesto del rapporto individuale di lavoro in assenza di una lesione dell’interesse pubblico o dell’integrità dell’ente privato o dell’amministrazione pubblica6), posto che la nuova disciplina mira a tutelare l’integrità dell’ente persona giuridica e a ricomprendere “tutte quelle situazioni in cui si vanifica l’oggetto o le finalità delle attività poste in essere nel settore pubblico e privato per la piena realizzazione delle finalità pubbliche, che ne deviino gli scopi o che ne minino il corretto agire”7.

6 Cfr. sul punto le LG ANAC, pag. 29.

7 Cfr. sul punto le LG ANAC, pag. 27.

Le contestazioni escluse in quanto legate a un interesse personale del segnalante non sono, pertanto, considerate segnalazioni whistleblowing8 e, quindi, potranno essere trattate come segnalazioni ordinarie, laddove previsto. Infatti, è possibile che le imprese, soprattutto quelle più strutturate, già contemplino procedure e canali per la segnalazione interna di violazioni non rientranti nel campo di applicazione della disciplina whistleblowing, ma rilevanti in quanto lesive di principi o prescrizioni contenute, ad esempio, nel Codice etico o nel regolamento del personale. Pertanto, tali violazioni potranno essere segnalate attraverso le procedure già in precedenza adottate dall’ente o di cui l’ente intenda dotarsi;

• in materia di sicurezza e difesa nazionale;
• relative a violazioni già regolamentate in via obbligatoria in alcuni settori speciali, alle quali continua dunque ad applicarsi la disciplina di segnalazione ad hoc (servizi finanziari, prevenzione riciclaggio, terrorismo, sicurezza nei trasporti, tutela dell’ambiente)9.

Resta poi ferma la normativa in materia di: i) informazioni classificate; ii) segreto medico e forense; iii) segretezza delle deliberazioni degli organi giurisdizionali; iv) norme di procedura penale sull’obbligo di segretezza delle indagini; v) disposizioni sull’autonomia e indipendenza della magistratura; vi) difesa nazione e di ordine e sicurezza pubblica; vii) nonché di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati.

Definizione e contenuto della segnalazione

Le segnalazioni sono definite come le informazioni, compresi i fondati sospetti, su violazioni già commesse o non ancora commesse (ma che, sulla base di elementi concreti, potrebbero esserlo), nonché su condotte volte ad occultarle (es. occultamento o distruzione di prove).

Si deve poi trattare di comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza nel contesto lavorativo pubblico o privato.

Rispetto all’accezione da attribuire al “contesto lavorativo”, secondo il Decreto e LG ANAC, occorre fare riferimento a un perimetro di applicazione ampio e non limitato a chi abbia un rapporto di lavoro “in senso stretto” con l’organizzazione del settore pubblico o privato.

Occorre, infatti, considerare che le segnalazioni possono essere effettuate anche da coloro che hanno instaurato con i soggetti pubblici e privati altri tipi di rapporti giuridici diversi da quelli di lavoro in senso stretto. Ci si riferisce, fra l’altro, ai consulenti, collaboratori, volontari, tirocinanti, azionisti degli stessi soggetti pubblici e privati ove assumano la forma societaria e alle persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Al riguardo, con riferimento agli azionisti, le LG ANAC chiariscono il perimetro di applicazione della disciplina e, in particolare, delle segnalazioni, precisando che si tratta di “coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella impresa”.

La disciplina si applica anche nel caso di segnalazioni che intervengano nell’ambito di un rapporto di lavoro poi terminato, se le informazioni sono state acquisite durante il suo svolgimento, nonché qualora il rapporto non sia ancora iniziato e le informazioni sulle violazioni siano state acquisite durante la selezione o in altre fasi precontrattuali.

8 Cfr. sul punto le LG ANAC, pag. 32.

9 Ad es. come emerge dalle LG ANAC, si vedano: gli artt. 52-bis e 52-ter del Testo unico bancario, che contengono disposizioni sulle segnalazioni di violazioni nel settore bancario; gli articoli 4-undecies “Sistemi interni di segnalazione delle violazioni” e 4-duodecies “Procedura di segnalazione alle Autorità di Vigilanza” introdotti nel Testo unico delle disposizioni in materia di intermediazione finanziaria che, anche in questo settore, introducono disposizioni dettagliate sulla protezione dei segnalanti.

Pertanto, a rilevare è l’esistenza di una relazione qualificata tra il segnalante e il soggetto pubblico o privato nel quale il primo opera, relazione che riguarda attività lavorative o professionali presenti o anche passate.

Quanto al contenuto, le segnalazioni devono essere il più possibile circostanziate, al fine di consentire la valutazione dei fatti da parte dei soggetti competenti a ricevere e gestire le segnalazioni.

In particolare, è necessario che risultino chiari i seguenti elementi essenziali della segnalazione, anche ai fini del vaglio di ammissibilità:

• i dati identificativi della persona segnalante (nome, cognome, luogo e data di nascita), nonché un recapito a cui comunicare i successivi aggiornamenti;
• le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione e, quindi, una descrizione dei fatti oggetto della segnalazione, specificando i dettagli relativi alle notizie circostanziali e ove presenti anche le modalità con cui si è venuto a conoscenza dei fatti oggetto della segnalazione;
• le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.

Inoltre, nel caso di utilizzo del canale analogico (vd. infra), sarebbe utile che il segnalante indichi espressamente di voler beneficiare delle tutele in materia whistleblowing (ad es. inserendo la dicitura “riservata al gestore della segnalazione”), soprattutto al fine di gestire correttamente l’eventuale invio, per errore, della segnalazione a un soggetto diverso dal gestore (vd. par. 4.2 sulla “Gestione della segnalazione”).

È utile anche che alla segnalazione vengano allegati documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.

2. CANALI DI SEGNALAZIONE E SOGGETTI LEGITTIMATI A SEGNALARE

Il Decreto disciplina i canali e le modalità per effettuare una segnalazione.

In particolare, quanto ai canali, si distinguono tre fattispecie:

1. la segnalazione attraverso un canale interno all’ente10;
2. la segnalazione mediante un canale esterno all’ente, istituito e gestito dall’ANAC;
3. la divulgazione pubblica.

Resta ferma, in ogni caso, la possibilità di effettuare denunce all’autorità giudiziaria e contabile, nei casi di loro competenza.

Al riguardo, pur non indicando espressamente un ordine di priorità tra le diverse modalità di segnalazione, il Decreto fissa condizioni specifiche - sebbene con formule talvolta eccessivamente generiche - per accedere sia alla procedura esterna, sia alla divulgazione pubblica, al fine di incentivare gli enti a dotarsi di sistemi organizzativi efficienti integrati nei propri sistemi di controllo interno e di realizzare un corretto bilanciamento tra la tutela del whistleblower e la salvaguardia della reputazione dell’ente.

Su tale aspetto, anche le LG ANAC ribadiscono una gradualità nella scelta del canale di segnalazione più idoneo al caso concreto, da un lato, ribadendo la priorità del ricorso al canale

10 La gestione del canale interno può essere comunque affidata a un soggetto esterno all’ente (vd. il paragrafo “Gestione della segnalazione”).

interno e, dall’altro, chiarendo, in modo più puntuale rispetto alla disciplina normativa, le condizioni per il ricorso alla segnalazione esterna e alla divulgazione pubblica.

Con riferimento invece alle tipologie e alle modalità per effettuare le segnalazioni, la disciplina cambia in base alle dimensioni e alla natura pubblica o privata del soggetto di appartenenza del segnalante.

In particolare, per i soggetti pubblici, il regime di protezione è più ampio e le segnalazioni possono:

• avere a oggetto violazioni del diritto interno e violazioni del diritto UE, come sopra individuate;
• essere effettuate attraverso il canale interno, esterno, la divulgazione pubblica o la denuncia. Invece, nel settore privato, operano diversi regimi. In particolare, negli enti privati che:
• non hanno raggiunto la media di 50 lavoratori e hanno adottato il Modello Organizzativo 231, le segnalazioni possono riguardare solo condotte illecite rilevanti per la disciplina 231 o violazioni del modello 231 ed essere effettuate unicamente attraverso il canale interno;
• hanno impiegato la media di almeno 50 lavoratori e hanno adottato il Modello Organizzativo 231, le segnalazioni possono:

• avere a oggetto condotte illecite o violazione del Modello Organizzativo 231 ed essere effettuate solo attraverso canale interno;
• avere a oggetto violazioni del diritto UE ed essere effettuate attraverso canale interno, esterno, divulgazione pubblica o denuncia.

• hanno impiegato la media almeno di 50 lavoratori e non hanno il Modello Organizzativo 231 oppure rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’Allegato (servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, nonché sicurezza dei trasporti e tutela dell’ambiente) anche se non hanno raggiunto la media di 50 lavoratori subordinati, le segnalazioni possono riguardare violazioni del diritto UE ed essere effettuate attraverso canale interno, esterno, divulgazione pubblica o denuncia.

Quanto ai soggetti legittimati a presentare la segnalazione, nell’ambito degli enti pubblici e privati destinatari della disciplina in esame, le segnalazioni possono essere fatte da: lavoratori dipendenti e autonomi, liberi professionisti e consulenti, lavoratori e collaboratori che svolgono la propria attività presso soggetti pubblici o privati che forniscono beni o servizi presso soggetti pubblici e privati, i volontari, i tirocinanti, gli azionisti, e le persone con funzione di direzione amministrazione e controllo (art. 3).

3. CANALE INTERNO DI SEGNALAZIONE

Ai sensi dell’art. 4 del Decreto, gli enti pubblici e privati, rientranti nel perimetro di applicazione della disciplina sul whistleblowing, sono obbligati ad attivare un canale di segnalazione interno adeguato, che presenti i requisiti richiesti dalla normativa.

Inoltre, con la modifica all’articolo 6, comma 2-bis del Decreto 231, il Decreto whistleblowing impone agli enti che adottano il Modello Organizzativo 231 di prevedere all’interno dello stesso, canali di segnalazione interna conformi alle prescrizioni del Decreto, nonché il divieto di ritorsione e il relativo sistema disciplinare (vd. cap. 9).

Di seguito, si forniscono alcune indicazioni operative per la scelta del canale di segnalazione interno e la sua istituzione.

3.1 Requisiti e strumenti

I canali di segnalazione interna, per essere ritenuti adeguati, devono essere idonei ad assicurare la riservatezza dell’identità del segnalante 11e delle persone coinvolte (segnalato, facilitatore, eventuali altri terzi), del contenuto della segnalazione e della documentazione a essa relativa.

Per quanto attiene agli strumenti concreti attraverso cui attivare il canale di segnalazione interno, l’articolo 4 del Decreto prevede che le segnalazioni possono essere effettuate secondo diverse modalità:

• in forma scritta: analogica o con modalità informatiche;
• in forma orale, attraverso linee telefoniche dedicate o sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto con il gestore della segnalazione, che deve essere fissato entro un tempo ragionevole.

Al riguardo, anche alla luce delle LG ANAC, si chiarisce che la scelta della modalità attraverso la quale effettuare la segnalazione tra quella scritta od orale, riguarda il segnalante. Per l’impresa, invece, è obbligatorio predisporre sia il canale scritto - analogico e/o informatico - che quello orale, dovendo mettere entrambi a disposizione del segnalante.

L’alternatività riguarda, quindi, solo la forma scritta: l’impresa potrà decidere se utilizzare lo strumento della piattaforma on-line oppure optare per la posta cartacea (in via esemplificativa, prevedendo il ricorso a lettere raccomandate).

Con particolare riferimento allo strumento informatico, le LG ANAC, in linea con il parere reso dal Garante per la protezione dei dati personali, escludono espressamente che la posta elettronica ordinarie e la PEC siano strumenti adeguati a garantire la riservatezza. Pertanto, l’unico strumento informatico adeguato è da individuarsi nella piattaforma on-line.

Con riferimento, invece, alla modalità scritta analogica, l’ANAC, nelle sue LG, suggerisce, ad esempio, di prevedere che la segnalazione venga inserita in due buste chiuse, includendo, nella prima, i dati identificativi del segnalante, unitamente a un documento di identità; nella seconda, l’oggetto della segnalazione; entrambe le buste dovranno poi essere inserite in una terza busta riportando, all’esterno, la dicitura “riservata al gestore della segnalazione”.

La scelta tra piattaforma on-line e modalità analogica/cartacea è una valutazione rimessa alla singola impresa, in funzione di diverse considerazioni riconducibili al contesto, alla dimensione aziendale, alla funzionalità rispetto allo scopo e al livello di sicurezza e riservatezza garantito dalle soluzioni adottate. In questo contesto, andrà ovviamente considerato anche lo sforzo organizzativo ed economico che l’impresa intende affrontare per dotarsi di una piattaforma on-line, considerazione che potrebbe suggerire, specie per le imprese di minori dimensioni e in fase di prima applicazione, di optare per la soluzione della posta cartacea.

3.2 Istituzione

I soggetti cui si applica il Decreto, sentite le rappresentanze o le organizzazioni sindacali12, hanno l’onere di definire in un apposito atto organizzativo le procedure per il ricevimento delle segnalazioni e per la loro gestione, predisponendo e attivando al proprio interno appositi canali di segnalazione.

Tale atto organizzativo, secondo le LG ANAC, deve essere adottato con delibera dell’organo di indirizzo e, quindi, sarà di norma di competenza dell’organo amministrativo.

11 Il concetto di riservatezza dell’identità del segnalante deve essere ben distinto dall’anonimato. Le segnalazioni anonime non sono considerate whistleblowing (vd. paragrafo “Gestione della segnalazione cap.4.2).

12 Sul punto si tornerà nel paragrafo successivo.

La norma non stabilisce in dettaglio il contenuto della procedura adottata con l’atto organizzativo, ma si ritiene opportuno che contenga i seguenti elementi (che saranno oggetto di un’analisi specifica nei paragrafi successivi):

• i soggetti legittimati a presentare le segnalazioni, come sopra riportati;
• i soggetti che godono delle misure di protezione previste dal Decreto;
• l’ambito oggettivo delle segnalazioni ammesse e di quelle estranee all’ambito applicativo della disciplina whistleblowing, con le differenti conseguenze in termini di procedura di gestione e misure di tutela garantite;
• i presupposti per procedere alla segnalazione interna e le relative condizioni di ammissibilità;
• il soggetto, interno o esterno, al quale è affidata la gestione delle segnalazioni, i relativi poteri e gli obblighi, nonché l’eventuale budget a disposizione per attività di valutazione e gestione delle segnalazioni, con evidenza della sussistenza dei requisiti richiesti dalla norma;
• le modalità per l’eventuale coinvolgimento da parte del gestore di altri soggetti, interni all’ente o esterni, di cui risulti necessario avvalersi per la gestione della segnalazione. A tal fine, l’ente potrebbe riservarsi di procedere autonomamente e, di volta in volta, alle conseguenti designazioni privacy (vd. cap. 7) oppure delegare specificamente il gestore a procedere in tal senso;
• le modalità concrete scelte dall’impresa per l’utilizzo del canale di segnalazione interno (posta cartacea/piattaforma on line, numero telefonico/sistema messaggistica vocale);
• la procedura che il soggetto gestore deve seguire per la gestione delle segnalazioni interne, con indicazione delle varie fasi dell’istruttoria e delle tempistiche di riferimento, in linea con quanto previsto dal Decreto;
• la procedura da seguire nel caso in cui una persona diversa da quella alla quale è affidata la gestione delle segnalazioni riceva una segnalazione identificabile come whistleblowing;13
• la politica adottata per le ipotesi di segnalazioni anonime o inammissibili;
• le modalità e i termini di conservazione dei dati appropriati e proporzionati ai fini della procedura di whistleblowing;
• i necessari adeguamenti prescritti dall’art. 13 per il trattamento dei dati personali;
• i presupposti per ricorrere alla segnalazione esterna;
• le modalità attraverso cui verranno comunicate ai soggetti potenzialmente interessati le informazioni sull’utilizzo del canale interno e di quello esterno, nonché la previsione circa l’attività di formazione sulla disciplina e la procedura stessa (vd. cap.10 “Attività di formazione e informazione”).

Inoltre, risulta utile disciplinare nella procedura adottata con l’atto organizzativo anche le eventuali ipotesi di conflitto di interessi, ovvero quelle fattispecie in cui il gestore della segnalazione coincida con il segnalante, con il segnalato o sia comunque una persona coinvolta o interessata dalla segnalazione (tale conflitto può, ad. es, sussistere anche rispetto al soggetto esterno, nel caso in cui la gestione della piattaforma sia esternalizzata). Al riguardo, appare opportuno prevedere che, in tali situazioni, la segnalazione possa essere indirizzata, ad esempio, al vertice aziendale oppure a un altro soggetto/ufficio che possano garantirne la gestione efficace, indipendente e autonoma, sempre nel rispetto dell’obbligo di riservatezza previsto dalla disciplina.

13 Sul punto, le LG ANAC precisano che ai fini della identificazione della segnalazione come whistleblowing e per l’applicazione, quindi, della disciplina in esame, si debba tener conto del fatto che “il segnalante dichiari espressamente di voler beneficiare delle tutele in materia whistleblowing o tale volontà sia desumibile dalla segnalazione”.

Tale previsione appare opportuna anche alla luce del fatto che le LG ANAC prevedono che “Laddove il gestore versi in un’ipotesi di conflitto di interessi rispetto ad una specifica segnalazione (in quanto, ad esempio, soggetto segnalato o segnalante), si ritiene che ricorra una delle condizioni per effettuare una segnalazione esterna ad ANAC, non potendo essere assicurato che alla segnalazione sia dato efficace seguito”.

Inoltre, il Decreto prevede che, per i soggetti del settore privato che rientrano nell’ambito di applicazione del Decreto 231, i modelli organizzativi debbano prevedere, al fine di adeguarsi alla nuova disciplina, “i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare”. Pertanto, anche la necessità e i termini di aggiornamento del Modello Organizzativo 231 dovranno trovare esplicita indicazione nell’atto organizzativo o in un altro atto ma senza di provenienza dell’Organo gestorio.

3.3 Informativa alle rappresentanze sindacali

Nell’implementare il canale di segnalazione interno, come detto, l’art. 4 del Decreto prevede che l’impresa sia tenuta a sentire “le rappresentanze o le organizzazioni sindacali di cui all’art.51 del D.lgs. n.81 del 2015”, ovvero le rappresentanze sindacali aziendali (o la rappresentanza sindacale unitaria, di seguito anche “RSU”) o le associazioni sindacali comparativamente più rappresentative sul piano nazionale.

Il tenore letterale della norma porta a ritenere che il coinvolgimento del sindacato da parte dell’impresa abbia un carattere meramente informativo.

Le LG ANAC, nel breve richiamo a questa previsione, individuano la finalità della norma, nella necessità di acquisire eventuali osservazioni sviluppate dal sindacato in conseguenza dell’informativa sull’implementazione del canale interno di whistleblowing.

Per quanto riguarda l’individuazione del sindacato destinatario dell’informativa da parte dell’impresa, in ragione proprio del richiamo all’art. 51 del D.lgs. n. 81/2015, si ritiene che, ove in azienda esistano rappresentanze sindacali aziendali oppure una rappresentanza sindacale unitaria, l’adempimento vada compiuto verso di queste; mentre, nel caso di imprese prive di tali rappresentanze, dovranno essere informate le corrispondenti organizzazioni territoriali delle associazioni sindacali più rappresentative sul piano nazionale.

Nei casi di imprese con più unità produttive e, dunque, nel caso di una pluralità di RSU ovvero di unità produttive con RSU ed altre prive, a nostro avviso, è consigliabile suggerire, d’accordo con le organizzazioni sindacali (OO.SS.) del livello più appropriato, una forma di coordinamento delle rappresentanze per facilitare e razionalizzare gli adempimenti informativi. In particolare, potrebbe essere utile indirizzare l’informativa a tutte le RSU presenti e poi, ove queste ne facciano richiesta per il tramite del coordinamento, programmare un unico incontro, eventualmente anche con modalità informatiche.

Con riferimento al contenuto dell’informativa, alla luce della citata ratio della norma, si ritiene opportuno che l’impresa fornisca al sindacato una descrizione del canale, almeno negli elementi essenziali che lo caratterizzano (ad esempio, in merito alle modalità di segnalazione, alla gestione della segnalazione, alle informazioni che saranno condivise con i lavoratori, anche con la pubblicazione nel proprio sito internet, piuttosto che nell’ambito aziendale interno).

Si ritiene che tale informativa debba intervenire prima della delibera di approvazione dell’atto organizzativo, eventualmente attraverso strumenti di trasmissione che garantiscano la prova dell’avvenuta ricezione. Inoltre, si ritiene utile che l’ente indichi alle rappresentanze sindacali un congruo termine per trasmettere eventuali osservazioni, manifestando la disponibilità a un eventuale confronto diretto, anche mediante un incontro.

In ogni caso, la disciplina del canale interno e la sua implementazione restano nella piena autonomia decisionale e organizzativa dell’ente.

4. GESTIONE DELLA SEGNALAZIONE

4.1 I soggetti destinatari delle segnalazioni

L’art. 4, comma 2, del Decreto prevede che la gestione del canale di segnalazione interno possa essere affidata:

• a una persona fisica interna all’impresa;
• a un ufficio interno all’impresa;
• a un soggetto esterno.

Tali soggetti devono essere dotati di autonomia e specificamente e adeguatamente formati alla gestione delle segnalazioni.

La scelta di affidare la gestione del canale di segnalazione a una persona o ufficio interno ovvero a un soggetto esterno, è rimessa alla libera discrezionalità dell’ente, tenendo in considerazione l’attività esercitata e le relative responsabilità, nonché l’assetto organizzativo di cui si è dotato.

A ogni modo, requisito necessario che deve possedere l’ufficio interno o esterno ovvero la persona interna deputata a gestire le segnalazioni è quello dell’autonomia, al fine di assicurare che le segnalazioni vengano gestite in maniera adeguata e conforme alle disposizioni del Decreto. In particolare, tale requisito deve essere inteso come:

• imparzialità: mancanza di condizionamenti e di pregiudizi nei confronti delle parti coinvolte nelle segnalazioni whist!eb!owing, al fine di assicurare una gestione delle segnalazioni equa e priva di influenze interne o esterne che possano comprometterne l’obiettività;
• indipendenza: autonomia e libertà da influenze o interferenze da parte del management, al fine di garantire un'analisi oggettiva e imparziale della segnalazione.

Alla luce di quanto sopra descritto, dunque, il possesso del requisito dell’autonomia risulta di fondamentale importanza al fine di garantire l'efficacia e l'integrità del processo di whist!eb!owing all'interno dell’impresa.

Per quanto attiene l’individuazione della figura più idonea a cui affidare la gestione del canale di segnalazione, si riportano di seguito alcune considerazioni derivanti dalle più accreditate best practices aziendali:

Persona fisica interna all’impresa

Qualora l’impresa decida di affidare la gestione del canale di segnalazione interno a una persona fisica già presente all’interno della sua organizzazione, tale ruolo potrà essere ricoperto dal responsabile anticorruzione, ove presente, ovvero dai responsabili delle funzioni di Internal Audit o compliance.

La scelta di affidare ai responsabili delle funzioni di controllo il ruolo di gestori delle segnalazioni soddisfa sicuramente il requisito di autonomia richiesto dalla normativa in virtù della loro maggiore indipendenza organizzativa.

Tuttavia, nel caso di medie e piccole imprese nelle quali le funzioni di Internal Audit e compliance non siano presenti, si potrebbe affidare il ruolo di gestore della segnalazione a una figura priva di mansioni operative, in modo da rispettare il criterio di autonomia previsto dalla normativa. Al riguardo, si potrebbe affidare tale ruolo ai responsabili delle funzioni legali o risorse umane, i quali già svolgono funzioni di controllo e di compliance normativa.

Ufficio/Organismo interno all’impresa

Come opzione interna ulteriore rispetto a quella del paragrafo precedente, le imprese possono decidere di affidare la gestione del canale a un loro ufficio interno preesistente o a un organo collegiale/comitato appositamente costituito e composto da soggetti interni che, nel suo complesso, risponda al requisito di autonomia necessario. Tale comitato potrebbe essere composto, ad esempio, dai responsabili delle funzioni di controllo (compliance o Internal Audit) e di alcune delle altre funzioni aziendali in grado di gestire in maniera appropriata e diligente la segnalazione (si pensi, ad esempio, alle funzioni legali o alle funzioni risorse umane, al responsabile anticorruzione o a Comitati Etici, nonché, all’Organismo di vigilanza 231 - OdV -, se monocratico, o a un suo membro, se collegiale).

Al riguardo, si evidenzia, infatti, che le LG ANAC chiariscono che il requisito previsto dal Decreto, secondo cui l’ufficio interno debba essere autonomo e “dedicato” all’attività di gestione, non implica che lo stessa debba svolgere esclusivamente tale ruolo ma che debba essere l’unico ufficio a ciò preposto.

Inoltre, nelle imprese dotate di Modello Organizzativo 231 e con OdV (monocratico o collegiale), si può valutare di affidare a quest’ultimo, come ulteriore incarico, debitamente formalizzato, il ruolo di gestore delle segnalazioni, considerato il fatto che l’OdV già possiede i requisiti richiesti dalla disciplina in esame e che, come previsto anche dal Decreto, la disciplina whistleblowing è parte integrante del Modello Organizzativo 231, sulla cui osservanza l’OdV è chiamato a vigilare.

L’OdV in questione è dotato, infatti, di competenze tecniche adeguate e di autonomia e indipendenza, funzionali e gerarchiche, rispetto a qualsiasi altro ufficio interno all’ente; ciò gli consente di svolgere, senza interferenze o condizionamenti, l’attività di gestione delle segnalazioni interne in termini di verifica e istruttoria, lasciando poi alle competenti funzioni aziendali le eventuali decisioni operative sui seguiti.

Al riguardo, si consideri, infatti, che si tratta di un soggetto che, già in applicazione del Decreto 231, è destinatario dei flussi informativi ordinari e a evento interni all’ente, ivi compresi quelli relativi a eventuali criticità nell’attuazione del modello organizzativo e a sue violazioni rispetto alle quali già svolge attività di verifica. Al termine di tale attività in ogni caso l’OdV è tenuto a informare i vertici dell’ente o le funzioni competenti, affinché possano adottare i conseguenti provvedimenti (ad esempio, di natura sanzionatoria o disciplinare).

L’OdV, peraltro, alla luce dei suoi requisiti, risulta anche soggetto idoneo a garantire un livello adeguato di tutela della riservatezza, dell’identità del whistleblower e del contenuto delle segnalazioni.

Si tratta comunque di un’opzione rimessa alla discrezionalità organizzativa delle singole imprese.

In ogni caso, anche laddove non fosse incaricato dei compiti di gestione delle segnalazioni, è opportuno che l’OdV venga comunque coinvolto nel processo di gestione delle segnalazioni whistleblowing regolamentando i necessari flussi informativi, nel rispetto degli obblighi di riservatezza, alla luce della rilevanza, anche ai fini 231, delle violazioni segnalabili ai sensi del Decreto.

In particolare, qualora l’OdV non sia individuato come gestore dovrà ricevere:

• immediata informativa su segnalazioni rilevanti in termini 231 affinché, nell’esercizio della sua attività di vigilanza, possa condividere le proprie eventuali osservazioni e partecipare all’istruttoria o comunque seguirne l’andamento;
• un aggiornamento periodico sull’attività complessiva di gestione delle segnalazioni, anche non 231, al fine di verificare il funzionamento del sistema whistleblowing e proporre all’ente eventuali necessità di suo miglioramento.

A tal fine, nel Modello Organizzativo 231 dovranno essere procedimentalizzati i predetti flussi informativi.

Sia nel caso di persona fisica interna, sia nel caso di ufficio interno è necessario un formale atto di nomina con cui si attribuisce al soggetto l’incarico di gestore della segnalazione.

Ufficio esterno all’impresa

Nel caso in cui le imprese decidessero di affidare la gestione del canale di segnalazione a un soggetto esterno, dovranno verificare che lo stesso abbia i requisiti di autonomia, indipendenza e professionalità necessari. Al riguardo, il soggetto esterno deve possedere, tra gli altri, risorse e conoscenze specialistiche che garantiscano l’adozione di misure tecniche e organizzative tali da assicurare il rispetto della riservatezza, protezione dei dati e segretezza.

I rapporti tra le parti, inoltre, dovranno essere regolati da appositi contratti di servizio che, oltre a disciplinare i servizi prestati tra le parti, dovranno includere appositi livelli di servizio e di controllo.

4.2 L’attività di gestione delle segnalazioni

Il Decreto disciplina la gestione del canale di segnalazione prevedendo una procedura composta da diverse attività e fasi.

In primo luogo, per quanto attiene agli adempimenti da effettuare nella fase di ricezione delle segnalazioni, si riportano di seguito - a seconda del canale utilizzato - alcuni suggerimenti operativi.

Canali in forma scritta: posta ordinaria e piattaforma informatica

Nel caso in cui l’impresa decidesse di utilizzare la posta ordinaria come canale di segnalazione interno (es. lettere raccomandate), al momento della ricezione, gli uffici o la persona individuati a gestire le segnalazioni devono:

50. garantire la riservatezza dell’identità del segnalante e del contenuto delle buste;
50. procedere all’archiviazione della segnalazione attraverso idonei strumenti che permettano di garantire la riservatezza (ad esempio all’interno di archivi protetti da misure di sicurezza).

Per quanto attiene l’utilizzo della piattaforma informatica, sebbene il Decreto e le LG ANAC non individuino particolari adempimenti da effettuare in fase di ricezione, è consigliabile che le imprese configurino in maniera adeguata tale piattaforma.

Canali in forma orale: linee telefoniche o sistemi di messaggistica vocale

Come detto, il Decreto introduce l’obbligo di istituzione di un canale orale, attraverso l’implementazione di una linea telefonica o, in alternativa, di un sistema di messaggistica vocale.

Relativamente alla fase di ricezione della segnalazione, è necessario distinguere se i sistemi adottati consentano o meno la registrazione della segnalazione. Tale distinzione risulta necessaria al fine di individuare gli opportuni adempimenti da dover effettuare.

Nel caso di utilizzo di una linea telefonica registrata o di un altro sistema di messaggistica registrato, il gestore della segnalazione deve conservare, previo consenso del segnalante alla registrazione, la segnalazione all’interno di un dispositivo idoneo alla conservazione e all’ascolto.

Contrariamente, nel caso si utilizzino linee telefoniche non registrate, al momento della ricezione della segnalazione, il personale addetto deve documentarla mediante resoconto dettagliato del massaggio e il contenuto dev’essere controfirmato dal segnalante, previa verifica ed eventuale rettifica. Del resoconto sottoscritto deve essere fornita copia al segnalante.

Canali in forma orale: incontro diretto

Ulteriore novità introdotta dal Decreto riguarda la possibilità del whist!eb!ower di richiedere un incontro diretto agli uffici o alla persona deputati alla gestione della segnalazione. In tal caso, l’impresa deve garantire lo svolgimento dell’incontro entro un termine ragionevole (ad esempio, entro 10/15 giorni).

Per quanto attiene alle modalità di svolgimento dell’incontro (in un luogo adatto a garantire la riservatezza del segnalante) è sempre consigliabile procedere - previo consenso della persona segnalante - alla registrazione dello stesso attraverso dispositivi idonei alla conservazione e all’ascolto.

Nel caso in cui non si possa procedere alla registrazione (ad esempio, perché il segnalante non ha dato il consenso o non si è in possesso di strumenti informatici idonei alla registrazione) è necessario stilare un verbale che dovrà essere sottoscritto anche dalla persona segnalante, oltre che dal soggetto che ha ricevuto la dichiarazione. Copia del verbale dovrà essere consegnata al segnalante.

Inoltre, qualora l’impresa decida di esternalizzare il servizio a un soggetto esterno (persona fisica o giuridica), è sempre consigliato prevedere all’interno del relativo contratto anche espressamente la possibilità di effettuare l'audizione del segnalante che ne abbia fatta richiesta, in locali che non siano quelli aziendali (ad esempio, quelli del gestore esterno).

Ricezione della segnalazione

Il Decreto prevede anzitutto che il gestore della segnalazione debba rilasciare al segnalante l’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione stessa.

Si evidenzia che tale riscontro non implica per il gestore alcuna valutazione dei contenuti oggetto della segnalazione ma è unicamente volto a informare il segnalante dell’avvenuta corretta ricezione della stessa.

Tale avviso dev’essere inoltrato al recapito indicato dal segnalante nella segnalazione. In assenza di tale indicazione e, dunque, in assenza della possibilità di interagire con il segnalante per i seguiti, è possibile considerare la segnalazione come non gestibile ai sensi della disciplina whistleblowing (lasciando traccia di tale motivazione) ed eventualmente trattarla come segnalazione ordinaria.

Nel caso in cui l’ente opti per un ufficio/persona fisica interna all’impresa per la gestione delle segnalazioni, si suggerisce di informare il personale interno e i soggetti esterni (ad esempio una informativa sul sito aziendale) di casistiche in cui il servizio di gestione delle segnalazioni è sospeso (es. chiusure), nonché di prevedere delle procedure che garantiscano il subentro delle funzioni in caso di assenze più o meno prolungate (es. ferie e malattie) per garantire il rispetto dei termini previsti dal decreto.

Nel caso, invece, di ricezione di segnalazioni anonime, anche alla luce delle indicazioni dell’ANAC, si specifica che le stesse, qualora risultino puntuali, circostanziate e supportate da idonea documentazione, possono essere equiparate dall’impresa alle segnalazioni ordinarie e, in quanto tali, possono essere trattate in conformità ai regolamenti interni, laddove eventualmente implementati.

In ogni caso, le segnalazioni anonime dovranno essere registrate dal gestore della segnalazione e la documentazione ricevuta dovrà essere conservata. Infatti, Il Decreto prevede che laddove il segnalante anonimo venga successivamente identificato e abbia subito ritorsioni, allo stesso debbano essere garantite le tutele previste per il whistleblower.

Infine, il Decreto (art. 4, co. 6) prevede che, qualora la segnalazione interna sia presentata a un soggetto diverso da quello individuato e autorizzato dall’ente e sia evidente che si tratti di segnalazione whistleblowing (es. esplicitata la dicitura “whistleblowing” sulla busta o nell’oggetto o nel testo della comunicazione), la stessa vada trasmessa, entro sette giorni dal suo ricevimento e

senza trattenerne copia, al soggetto interno competente, dando contestuale notizia della trasmissione alla persona segnalante.

Completata la fase relativa alla trasmissione dell’avviso di ricevimento, gli uffici o la persona deputati possono procedere all’esame preliminare della segnalazione ricevuta.

Nello specifico, durante tale fase, è necessario che il gestore delle segnalazioni valutino la procedibilità e successivamente l'ammissibilità della stessa.

Di seguito, si rappresentano alcune valutazioni che possono essere effettuate in tali fasi.

La procedibilità della segnalazione

Come visto in precedenza, il Decreto definisce i presupposti soggettivi e oggettivi per effettuare una segnalazione interna.

Pertanto, per poter dare corso al procedimento, il gestore della segnalazione dovrà, per prima cosa, verificare la sussistenza di tali presupposti e, nello specifico, che il segnalante sia un soggetto legittimato a effettuare la segnalazione e che l’oggetto della segnalazione rientri tra gli ambiti di applicazione della disciplina.

In altre parole, il Gestore deve verificare la procedibilità della segnalazione alla luce del perimetro applicativo soggettivo e oggettivo del Decreto.

Nel caso in cui la segnalazione riguardi una materia esclusa dall’ambito oggettivo di applicazione, la stessa potrà essere trattata come ordinaria e, quindi, gestita secondo le eventuali procedure già in precedenza adottate dall’ente per tali violazioni (vd. par. 1.2), dandone comunicazione al segnalante.

L’ammissibilità della segnalazione

Una volta verificato che la segnalazione abbia i requisiti soggettivi e oggettivi definiti dal legislatore e, dunque, risulti procedibile, è necessario valutarne l’ammissibilità come segnalazione whistleblowing.

Ai fini dell’ammissibilità, è necessario che, nella segnalazione, risultino chiare14:

• le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione e, quindi, una descrizione dei fatti oggetto della segnalazione, che contenga i dettagli relativi alle notizie circostanziali e, ove presenti, anche le modalità attraverso cui il segnalante è venuto a conoscenza dei fatti;
• le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.

Alla luce di queste indicazioni, la segnalazione può, quindi, essere ritenuta inammissibile per:

• mancanza dei dati che costituiscono gli elementi essenziali della segnalazione;
• manifesta infondatezza degli elementi di fatto riconducibili alle violazioni tipizzate dal legislatore;
• esposizione di fatti di contenuto generico tali da non consentirne la comprensione agli uffici o alla persona preposti;
• produzione di sola documentazione senza la segnalazione vera e propria di violazioni.

14 Al riguardo, si ricorda che i dati identificativi della persona segnalante e il recapito a cui comunicare i successivi aggiornamenti sono elementi essenziali affinché la segnalazione venga considerata e gestita come segnalazione whistleblowing (vd. punto “Ricezione della segnalazione”).

Alla luce di quanto descritto, nel caso in cui la segnalazione risulti improcedibile o inammissibile, gli uffici o la persona deputati alla gestione della segnalazione possono procedere all'archiviazione, garantendo comunque la tracciabilità delle motivazioni a supporto.

Inoltre, durante la verifica preliminare gli uffici o la persona deputati alla gestione della segnalazione possono:

• nel caso di organo collegiale, nominare tra i propri membri un soggetto con il ruolo di coordinatore per la gestione della segnalazione;
• richiedere, al segnalante, ulteriori elementi necessari per effettuare approfondimenti relativi alla segnalazione.

Una volta verificata la procedibilità e l’ammissibilità della segnalazione, il gestore avvia l’istruttoria interna sui fatti e sulle condotte segnalate al fine di valutarne la fondatezza.

Istruttoria e accertamento della segnalazione

Gli uffici o la persona incaricati di gestire le segnalazioni assicurano che siano effettuate tutte le opportune verifiche sui fatti segnalati, garantendo tempestività e rispetto dei principi di obiettività, competenza e diligenza professionale.

Inoltre, nel caso in cui la segnalazione riguardasse il gestore della segnalazione, dovranno essere garantite le opportune misure per gestire un potenziale conflitto di interessi (vd. par. 3.2 “Istituzione”).

L’obiettivo della fase di accertamento è di procedere con le verifiche, analisi e valutazioni specifiche circa la fondatezza o meno dei fatti segnalati, anche al fine di formulare eventuali raccomandazioni in merito all’adozione delle necessarie azioni correttive sulle aree e sui processi aziendali interessati nell’ottica di rafforzare il sistema di controllo interno.

Gli uffici o la persona incaricati di gestire le segnalazioni devono assicurare lo svolgimento delle necessarie verifiche, a titolo esemplificativo:

• direttamente acquisendo gli elementi informativi necessari alle valutazioni attraverso l’analisi della documentazione/informazioni ricevute;
• attraverso il coinvolgimento di altre strutture aziendali o anche di soggetti specializzati esterni (es. IT specialist) in considerazione delle specifiche competenze tecniche e professionali richieste;
• audizione di eventuali soggetti interni/esterni, ecc.

Tale attività di istruttoria e di accertamento spettano esclusivamente agli uffici o alla persona incaricati a gestire le segnalazioni, comprese tutte quelle attività necessarie a dare seguito alla segnalazione (ad esempio, le audizioni o le acquisizioni di documenti).

Nel caso in cui risulti necessario avvalersi dell’assistenza tecnica di professionisti terzi, nonché del supporto specialistico del personale di altre funzioni/direzioni aziendali è necessario - al fine di garantire gli obblighi di riservatezza richiesti dalla normativa - oscurare ogni tipologia di dato che possa consentire l'identificazione della persona segnalante o di ogni altra persona coinvolta (si pensi, ad esempio, al facilitatore o ulteriori persone menzionate all’interno della segnalazione).

Nel caso sia necessario il coinvolgimento di soggetti interni diversi dal Gestore (altre funzioni aziendali), anche ad essi andranno estesi gli obblighi di riservatezza espressamente previsti nella Procedura “whistleblowing” e nel Modello 231 ed espressamente sanzionati dal Sistema Disciplinare interno.

Qualora tali dati siano necessari all’indagine condotta da soggetti esterni (eventualmente coinvolti dal Gestore), sarà necessario estendere i doveri di riservatezza e confidenzialità previsti dal Decreto in capo al Gestore anche a tali soggetti esterni mediante specifiche clausole contrattuali da inserire

negli accordi stipulati con il soggetto esterno. Inoltre, in entrambi i casi, andranno assicurate le necessarie designazioni privacy (vd. cap. 7), in linea con quanto stabilito nell’atto organizzativo.

Qualora la segnalazione, invece, abbia a oggetto violazione del Modello Organizzativo 231 o tematiche attinenti ai dati contabili, è consigliabile operare in sinergia con gli organi competenti, nel rispetto degli obblighi di riservatezza (ad esempio, l’OdV, qualora non sia ovviamente esso stesso il gestore della segnalazione o il Collegio sindacale)15.

Una volta completata l’attività di accertamento, il gestore della segnalazione può:

50. archiviare la segnalazione perché infondata, motivandone le ragioni;
50. dichiarare fondata la segnalazione e rivolgersi agli organi/funzioni interne competenti per i relativi seguiti (es. il management aziendale, Direttore Generale, ufficio legale o risorse umane). Infatti, al gestore della segnalazione non compete alcuna valutazione in ordine alle responsabilità individuali e agli eventuali successivi provvedimenti o procedimenti conseguenti.

Tutte le fasi dell’attività di accertamento devono essere sempre tracciate e archiviate correttamente a seconda della tipologia del canale di segnalazione utilizzato (ad esempio, se è stato utilizzato un canale di posta analogica tutta la documentazione cartacea come documenti, verbali di audizione ecc. dovrà essere correttamente archiviata all’interno di un faldone accessibile al solo gestore), al fine di dimostrare la corretta diligenza tenuta nel dare seguito alla segnalazione.

Inoltre, ai sensi di quanto previsto dal Decreto, è necessario che, durante le fasi di istruttoria e di accertamento della segnalazione, sia tutelata la riservatezza dell'identità della persona segnalante, del segnalato e di tutte le persone coinvolte e/o menzionate nella segnalazione.

Riscontro al segnalante

Il Decreto dispone che il gestore della segnalazione debba fornire un riscontro al segnalante, entro tre mesi dalla data di avviso di ricevimento o - in mancanza di tale avviso - entro tre mesi dalla data di scadenza del termine di sette giorni per tale avviso.

Al riguardo, è opportuno specificare che non è necessario concludere l’attività di accertamento entro i tre mesi, considerando che possono sussistere fattispecie che richiedono, ai fini delle verifiche, un tempo maggiore. Pertanto, si tratta di un riscontro che, alla scadenza del termine indicato, può essere definitivo se l’istruttoria è terminata oppure di natura interlocutoria sull’avanzamento dell’istruttoria, ancora non ultimata.

Pertanto, alla scadenza dei tre mesi, il gestore della segnalazione può comunicare al segnalante:

50. l’avvenuta archiviazione della segnalazione, motivandone le ragioni;
50. l’avvenuto accertamento della fondatezza della segnalazione e la sua trasmissione agli organi interni competenti;
50. l’attività svolta fino a questo momento e/o l’attività che intende svolgere.

In tale ultimo, caso è consigliabile comunicare alla persona segnalante anche il successivo esito finale dell’istruttoria della segnalazione (archiviazione o accertamento della fondatezza della segnalazione con trasmissione agli organi competenti), in linea con le LG ANAC.

15 Per maggiori dettagli circa il coordinamento con il Decreto 231 si rimanda al paragrafo 9 del presente capitolo.

5. CANALI DI SEGNALAZIONE IN CONDIVISIONE E ALL’INTERNO DEI GRUPPI 5.1 Condivisione del canale per le imprese fino a 249 dipendenti

Il Decreto, recependo il dettato Direttiva (art. 8, co. 6), ha previsto all’art. 4, co. 4 per i comuni diversi dai capoluoghi di provincia, nonché per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a 249, la facoltà di condividere il canale di segnalazione interna e la relativa gestione.

Lo scopo di tale previsione è quello di consentire agli enti di piccole/medie dimensioni (siano essi entità giuridiche appartenenti a un medesimo gruppo o enti e organizzazioni privi di legame tra loro) di semplificare gli adempimenti e di contenere i costi.

Nelle Linee Guida, l’ANAC ha precisato che, nel caso in cui più soggetti privati decidano di affidare a uno stesso soggetto (esterno) la gestione delle segnalazioni, “è necessario garantire che ciascun ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun ente abbia accesso solo alle segnalazioni di propria competenza”.

A tal fine, gli enti che vogliano condividere il canale di segnalazione dovranno stipulare accordi/convenzioni tra loro, nei quali definire i termini della gestione in forma associata delle segnalazioni, che deve comunque avvenire “senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata”.

Tali accordi/convenzioni potranno prevedere e disciplinare, tra le diverse misure e a titolo meramente esemplificativo:

• le modalità di funzionamento del canale di segnalazione condiviso;
• le finalità e i mezzi del trattamento dei dati personali;
• le misure tecniche e organizzative adottate affinché il canale garantisca la riservatezza nell’ambito della segnalazione;
• le misure tecniche e organizzative adottate affinché il canale di segnalazione garantisca a ciascun ente di accedere alle sole segnalazioni che lo riguardano;
• il soggetto destinatario delle segnalazioni e i relativi compiti e poteri;
• le procedure per il ricevimento delle segnalazioni;
• il processo di gestione della segnalazione. In ogni caso, ciascun ente avrà il compito di:
• assicurare ai propri dipendenti un’adeguata formazione sulla normativa whistleblowing e sul concetto di “segnalazione” (anche attraverso esempi concreti), sul corretto utilizzo del canale e sulle sanzioni in caso di violazioni;
• informare (anche attraverso il sito internet) dell’esistenza del canale;
• conservare in modo adeguato la documentazione inerente alla segnalazione.

Da un punto di vista prettamente operativo, la condivisione del canale di segnalazione dovrebbe consentire ad esempio, a:

a) un gruppo di imprese (nel rispetto del limite dimensionale di 249 dipendenti per ciascuna impresa, di cui all’art. 4, comma 4, Decreto) - nell’ottica di una gestione congiunta del processo, soprattutto laddove vi sia una compliance integrata di gruppo - di individuare nella casa madre il soggetto che predispone la piattaforma, smista le segnalazioni tra le controllate e/o le gestisce;

b) enti indipendenti di individuare tra loro o all’esterno il soggetto fornitore della piattaforma, cui è possibile affidare anche la gestione delle segnalazioni.

5.2 Gestione e delega delle segnalazioni interne nei gruppi con imprese sopra i 249 lavoratori dipendenti

Al di fuori della fattispecie della condivisione del canale nei soggetti fino a 249 dipendenti, il Decreto nulla dispone in ordine alla possibilità di condivisione del canale tra imprese appartenenti al medesimo gruppo ma che superino tale soglia dimensionale.

Sul punto, nessuna indicazione è contenuta nelle LG ANAC che, con riferimento al settore privato, rimette all’autonomia organizzativa di ciascun ente la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni, in considerazione alle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta,

Al contempo, si tenga conto che, come visto in precedenza, il Decreto prevede che la gestione del canale interno di segnalazione possa essere affidata a un soggetto esterno all’ente.

In tale contesto normativo e a fronte della larga diffusione nel tessuto imprenditoriale dei gruppi d’imprese, in alcuni Stati membri il legislatore ha recepito la Direttiva prevedendo espressamente la facoltà per le imprese appartenenti a un gruppo – a prescindere dai limiti dimensionali – di centralizzare sia il canale che la gestione delle segnalazioni (Francia, Danimarca e Spagna); in altri Paesi europei si è invece prevista la possibilità che una società del gruppo affidi la gestione del canale e della segnalazione alla holding come soggetto terzo, sulla base di un contratto di service (Germania).

Si tratta di soluzioni che tengono evidentemente conto delle caratteristiche dei gruppi d’impresa, realtà nelle quali la condivisione delle piattaforme per la presentazione e la gestione delle segnalazioni è una “derivata” dell’organizzazione stessa, che facilita ed efficienta le procedure.

In questo contesto, pertanto, sono ipotizzabili diverse soluzioni operative:

1. una prima soluzione è la gestione decentralizzata a livello di singola impresa controllata. In questi casi, sarà comunque possibile, per le società del gruppo, utilizzare un’unica piattaforma informatica, che consenta al segnalante, una volta effettuato l’accesso, selezionare – all’interno di un elenco – la società presso la quale presta attività lavorativa e intende effettuare la segnalazione. In tal modo, l’ufficio a ciò preposto nella legal entity selezionata avvierà il procedimento e gestirà la segnalazione. Con tale modalità organizzativa, si assicura il rispetto del principio di prossimità suggerito dalla Commissione europea, poiché è la legal entity scelta dal segnalante a gestire la segnalazione e attivare il procedimento.
2. una seconda soluzione è l’affidamento alla capogruppo, in qualità di soggetto terzo rispetto alle controllate, di attività inerenti alla segnalazione. In questi casi, oltre all’utilizzo di un’unica piattaforma informatica (eventualmente con canali dedicati e segregati per ciascuna società) predisposta dalla capogruppo, in linea con quanto previsto dall’art. 4, co. 2, del Decreto ciascuna controllata potrà affidare la gestione del canale di segnalazione al soggetto terzo, individuato nella capogruppo. Tale modello dovrebbe essere regolato da appositi contratti di servizio, sottoscritti tra la singola controllata e la capogruppo medesima. Ai fini della gestione della segnalazione, e per garantire la c.d. “prossimità”, il gestore del canale potrà avvalersi, volta per volta, del supporto degli uffici della controllata – nel rispetto degli obblighi di riservatezza – ovvero istituire ex ante una struttura dedicata che assicuri la partecipazione di soggetti interni alla controllata cui sia riferibile la segnalazione.

6. TUTELA DEL SEGNALANTE E DEI SOGGETTI A ESSO ASSIMILATI

Uno dei principali cardini della disciplina del whistleblowing è rappresentato dalle tutele riconosciute al segnalante per le segnalazioni effettuate nel rispetto della disciplina.

In particolare, il Decreto si preoccupa di proteggere il segnalante con:

• l’obbligo di riservatezza della sua identità;
• il divieto di atti ritorsivi nei suoi confronti;
• la limitazione della sua responsabilità per la rilevazione o diffusione di alcune tipologie di informazioni protette.

Tali misure di protezione, con alcune eccezioni (su cui vd. infra), si applicano non solo al soggetto segnalante ma anche ad altri soggetti che potrebbero essere destinatari di ritorsioni, in ragione del ruolo assunto o della particolare vicinanza o rapporto con il segnalante. In particolare, si tratta dei seguenti soggetti:

• facilitatore, ovvero la persona fisica che assiste il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata. Al riguardo, le LG ANAC prevedono che “il termine “assistenza”, fa riferimento a un soggetto che fornisce consulenza o sostegno al segnalante e che opera nel medesimo contesto lavorativo del segnalante. A titolo esemplificativo, il facilitatore potrebbe essere il collega dell’ufficio del segnalante o di un altro ufficio che lo assiste in via riservata nel processo di segnalazione. Il facilitatore potrebbe essere un collega che riveste anche la qualifica di sindacalista se assiste il segnalante in suo nome, senza spendere la sigla sindacale. Si precisa che se, invece, assiste il segnalante utilizzando la sigla sindacale, lo stesso non riveste il ruolo di facilitatore. In tal caso resta ferma l’applicazione delle disposizioni in tema di consultazione dei rappresentanti sindacali e di repressione delle condotte antisindacali”;
• persone del medesimo contesto lavorativo del segnalante, denunciante o di chi effettua una divulgazione pubblica e che sono legate a essi da uno stabile legame affettivo o di parentela entro il quarto grado. Sulla nozione di “stabile legame affettivo”, le LG ANAC prevedono che “tale espressione potrebbe far riferimento, innanzitutto, a coloro che hanno un rapporto di convivenza con il segnalante. In linea con la ratio di estendere il più possibile la tutela avverso le ritorsioni si ritiene che la nozione di stabile legame affettivo possa intendersi, però, non solo come convivenza in senso stretto, bensì anche come rapporto di natura affettiva caratterizzato da una certa stabilità sia sotto il profilo temporale che sotto il profilo di condivisione di vita. Un legame affettivo che dunque coinvolge una persona specifica.”;
• colleghi di lavoro del segnalante, denunciante o di chi effettua una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente. Al riguardo, le LG ANAC prevedono che “Nel caso di colleghi di lavoro, il legislatore ha previsto che si tratti di coloro che, al momento della segnalazione, lavorano con il segnalante (esclusi quindi gli ex colleghi) e che abbiano con quest’ultimo un rapporto abituale e corrente. La norma si riferisce, quindi, a rapporti che non siano meramente sporadici, occasionali, episodici ed eccezionali ma attuali, protratti nel tempo, connotati da una certa continuità tali da determinare un rapporto di “comunanza”, di amicizia.”.
• enti di proprietà - in via esclusiva o in compartecipazione maggioritaria di terzi - del segnalante, denunciante o di chi effettua una divulgazione pubblica;
• enti presso i quali il segnalante, denunciante o chi effettua una divulgazione pubblica lavorano.

Per la corretta individuazione di tali soggetti, anche ai fini di garantire la riservatezza e le tutele agli stessi accordate, sarebbe opportuno, nell’ambito del processo di istruttoria della segnalazione, prevedere la richiesta al segnalante di indicare esplicitamente l’esistenza di tali soggetti, dimostrando la sussistenza dei relativi presupposti.

6.1 La riservatezza dell’identità del segnalante

La prima tutela posta dal legislatore a favore del segnalante è l’obbligo di garantire la riservatezza della sua identità e di ogni altra informazione, inclusa l’eventuale documentazione allegata, dalla quale possa direttamente o indirettamente risalire all’identità del whistleblower.

La medesima garanzia è prevista in favore delle persone coinvolte e/o menzionate nella segnalazione, nonché ai facilitatori16, in considerazione del rischio di ritorsioni.

A tale obbligo sono tenuti:

• i soggetti competenti a ricevere e gestire le segnalazioni;
• l’ANAC;
• le autorità amministrative (Dipartimento per la funzione pubblica e Ispettorato Nazionale del Lavoro) cui l’ANAC trasmette, per competenza, le segnalazioni esterne ricevute.

La riservatezza deve essere garantita per ogni modalità di segnalazione, quindi, anche quando avvenga in forma orale (linee telefoniche, messaggistica vocale, incontro diretto).

Pertanto, nel rispetto delle previsioni in materia di protezione dei dati personali17, nell’istituzione e regolamentazione del canale interno, occorre predisporre adeguate misure che consentano di mantenere riservata l’identità del segnalante, il contenuto della segnalazione e la relativa documentazione.

Nell’ambito del procedimento disciplinare attivato dall’ente contro il presunto autore della condotta segnalata, l’identità del segnalante non può essere rivelata, ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa.

Qualora invece la contestazione sia fondata, in tutto o in parte, sulla segnalazione e l’identità del segnalante risulti indispensabile alla difesa del soggetto cui è stato contestato l’addebito disciplinare o della persona comunque coinvolta nella segnalazione, quest’ultima sarà utilizzabile ai fini del procedimento disciplinare solo previo consenso espresso della persona segnalante alla rivelazione della propria identità.

In tali casi, è dato preventivo avviso alla persona segnalante mediante comunicazione scritta delle ragioni che rendono necessaria la rivelazione dei dati riservati.

Qualora il soggetto segnalante neghi il proprio consenso, la segnalazione non potrà essere utilizzata nel procedimento disciplinare che, quindi, non potrà essere avviato o proseguito in assenza di elementi ulteriori sui quali fondare la contestazione.

Resta ferma in ogni caso, sussistendone i presupposti, la facoltà dell’ente di procedere con la denuncia all’Autorità giudiziaria.

6.2. Il divieto e la protezione contro le ritorsioni

Il Decreto vieta ogni forma di ritorsione nei confronti del segnalante, intesa come qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, che si verifichi nel contesto lavorativo e che determini – in via diretta o indiretta – un danno ingiusto ai soggetti tutelati.

Gli atti ritorsivi adottati in violazione di tale divieto sono nulli.

La stessa tutela si applica anche nei confronti dei facilitatori e degli altri soggetti assimilati al segnalante, già citati (es. colleghi di lavoro).

16 Ai sensi dell’art. 2, co. 1, n. 6), lett. h) del Decreto l’assistenza fornita dal facilitatore deve essere mantenuta riservata.

17 Al riguardo, si veda cap. 7.

L’ANAC è l’autorità preposta a ricevere dal segnalante e gestire le comunicazioni su presunte ritorsioni dallo stesso subite.

Affinché sia riconosciuta tale forma di tutela, il Decreto prevede le seguenti condizioni:

• che il segnalante/denunciante al momento della segnalazione o della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica avesse “fondato motivo” di ritenere le informazioni veritiere e rientranti nel perimetro applicativo della disciplina;
• che la segnalazione, denuncia o divulgazione sia stata effettuata secondo la disciplina prevista dal Decreto.

Questo implica da parte del segnalante un’attenta diligenza nella valutazione delle informazioni che non è sufficiente si fondino su semplici supposizioni, “voci di corridoio” o notizie di pubblico dominio.

La norma fornisce un elenco delle possibili fattispecie ritorsive, sia pur non esaustivo e non tassativo:

1. il licenziamento, la sospensione o misure equivalenti;
2. la retrocessione di grado o la mancata promozione;
3. il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell'orario di lavoro;
4. la sospensione della formazione o qualsiasi restrizione dell'accesso alla stessa;
5. le note di merito negative o le referenze negative;
6. l'adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
7. la coercizione, l'intimidazione, le molestie o l'ostracismo;
8. la discriminazione o comunque il trattamento sfavorevole;
1. la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
10. il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;

1000. i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
14. l'inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l'impossibilità per la persona di trovare un'occupazione nel settore

• nell'industria in futuro;

• la conclusione anticipata o l'annullamento del contratto di fornitura di beni o servizi;
• l'annullamento di una licenza o di un permesso;
• la richiesta di sottoposizione ad accertamenti psichiatrici o medici.

Pertanto, il soggetto che ritenga di aver subito una ritorsione, anche tentata o minacciata18, come conseguenza di una segnalazione/divulgazione/denuncia lo comunica all’ANAC, che dovrà accertare il nesso di causalità tra la ritorsione e la segnalazione e, quindi, adottare i conseguenti provvedimenti.

18 Secondo ANAC, l’esemplificazione di una ritorsione tentata può essere costituita dal licenziamento non andato a buon fine per mero vizio di forma. Un esempio di minaccia invece può essere costituito dalla prospettazione di un licenziamento

• trasferimento avvenuta nel corso di un colloquio con il proprio datore di lavoro o la riunione in presenza di più persone in cui si sia discusso il licenziamento del segnalante o di una delle persone tutelate.

In particolare, qualora l’Autorità consideri inammissibile la comunicazione, provvederà ad archiviarla; se, invece, dovesse accertarne la fondatezza e il nesso causale tra segnalazione e ritorsione avvierà il procedimento sanzionatorio19.

Nel caso di provvedimento sanzionatorio, ove le ritorsioni accertate siano state commesse nel contesto lavorativo di un soggetto del settore pubblico, l’Ufficio preposto informa il Dipartimento della funzione pubblica presso la Presidenza del Consiglio dei ministri e gli eventuali organismi di garanzia o di disciplina, per i provvedimenti di relativa competenza. In caso di ritorsioni commesse nel contesto lavorativo di un soggetto del settore privato, l’Ufficio preposto informa l’Ispettorato Nazionale del Lavoro per i provvedimenti di competenza.

Rimane invece di competenza dell’autorità giudiziaria disporre le misure necessarie ad assicurare la tutela del segnalante (reintegrazione nel posto di lavoro, risarcimento del danno, l’ordine di cessazione della condotta, nonché la dichiarazione di nullità degli atti adottati).

Nei procedimenti dinanzi ad ANAC, l’intento ritorsivo si presume. Infatti, opera un’inversione dell’onere probatorio e, pertanto, laddove il whistleblower dimostri di avere effettuato una segnalazione, denuncia, o una divulgazione pubblica e di aver subito, a seguito della stessa, una ritorsione, l’onere della prova si sposta sulla persona che ha posto in essere la presunta ritorsione. Quest’ultima dovrà, quindi, dimostrare che la presunta ritorsione non è connessa alla segnalazione/denuncia ma dipende da ragioni estranee20 rispetto alla segnalazione/denuncia.

Questa presunzione opera solamente a favore del segnalante e non anche a vantaggio del facilitatore e de soggetti a esso assimilati, che dovranno, quindi, dimostrare che gli atti subiti da parte del datore di lavoro sono conseguenti alla segnalazione effettuata dal segnalante.

Analogo regime probatorio si applica anche nei procedimenti giudiziari, amministrativi e nelle controversie stragiudiziali aventi a oggetto l’accertamento dei comportamenti vietati, nei quali si presume che la ritorsione sia conseguenza della segnalazione e spetta al datore di lavoro fornire la prova che gli atti ritorsivi non sono conseguenza della segnalazione effettuata dal lavoratore ma sono riconducibili a ragioni estranee.

Si evidenzia che esistono dei casi in cui il segnalante perde la protezione: i) qualora sia accertata, anche con sentenza di primo grado, la responsabilità penale del segnalante per i reati di diffamazione o di calunnia o nel caso in cui tali reati siano commessi con la denuncia all’autorità giudiziaria o contabile; ii) in caso di responsabilità civile per lo stesso titolo per dolo o colpa grave. In entrambe le ipotesi alla persona segnalante o denunciante verrà irrogata una sanzione disciplinare.

Al riguardo, l’ANAC ha specificato che la tutela, ancorché tardiva, va applicata anche in caso di sentenza di primo grado non confermata nei successivi gradi di giudizio, nei casi di archiviazione, nonché nei casi di accertata colpa lieve.

Infine, si ricorda che, come già detto, di fronte a una segnalazione anonima, il decreto prevede che la tutela è assicurata qualora la persona segnalante sia stata successivamente identificata o la sua identità si sia palesata soltanto in un secondo momento.

In generale, la disciplina sulle misure di protezione mette in luce la centralità della procedura interna di segnalazione, la cui funzione è quella di garantire le protezioni accordate al segnalante dalla legge, ma anche quella di informare e rendere consapevoli i potenziali segnalanti delle condizioni di operatività delle protezioni previste a loro tutela.

19 Per maggiori dettagli sul procedimento di gestione della comunicazione sugli atti ritorsivi, si rinvia al Regolamento adottato dall’ANAC.

20 Secondo ANAC, ad esempio, è da escludere l’intento ritorsivo quando la misura contestata dal segnalante sia stata adottata anche nei confronti di soggetti estranei alla segnalazione oppure ancora quando il presunto responsabile abbia tenuto il medesimo comportamento anche in passato.

Viceversa, anche le funzioni aziendali maggiormente coinvolte, sia l’organo destinatario delle segnalazioni, dovranno tenere in grande attenzione nell’espletamento delle proprie attività, del potenziale carattere ritorsivo di alcuni atti, comportamenti od omissioni posti in essere nei confronti dei lavoratori.

6.3. Le limitazioni di responsabilità per il segnalante

Ulteriore tutela riconosciuta dal Decreto al segnalante è la limitazione della sua responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni, che altrimenti lo esporrebbero a responsabilità penali, civili e amministrative.

In particolare, il segnalante non sarà chiamato a rispondere né penalmente, né in sede civile e amministrativa:

• di rivelazione e utilizzazione del segreto d’ufficio (art. 326 c.p.);
• di rivelazione del segreto professionale (art. 622 c.p.);
• di rivelazione dei segreti scientifici e industriali (art. 623 c.p.);
• di violazione del dovere di fedeltà e di lealtà (art. 2105 c.c.);
• di violazione delle disposizioni relative alla tutela del diritto d’autore;
• di violazione delle disposizioni relative alla protezione dei dati personali;
• di rivelazione o diffusione di informazioni sulle violazioni che offendono la reputazione della persona coinvolta.

Il Decreto pone tuttavia due condizioni all’operare delle suddette limitazioni di responsabilità:

1. al momento della rivelazione o della diffusione vi siano fondati motivi per ritenere che le informazioni siano necessarie per svelare la violazione oggetto di segnalazione;
2. la segnalazione sia effettuata nel rispetto delle condizioni previste dal Decreto per beneficiare della tutela contro le ritorsioni (fondati motivi per ritenere veritieri i fatti segnalati, la violazione sia tra quelle segnalabili e siano rispettate le modalità e le condizioni di accesso alla segnalazione).

Va evidenziato, quindi, che la limitazione opera se le ragioni alla base della rivelazione o diffusione non sono fondate su semplici illazioni, gossip, fini vendicativi, opportunistici o scandalistici.

In ogni caso, occorre considerare che non è esclusa la responsabilità per condotte che:

• non siano collegate alla segnalazione;
• non siano strettamente necessarie a rivelare la violazione;
• configurino un’acquisizione di informazioni o l’accesso a documenti in modo illecito.

Ove l’acquisizione si configuri come un reato, si pensi all’accesso abusivo a un sistema informatico o a un atto di pirateria informatica, resta ferma la responsabilità penale e ogni altra responsabilità civile, amministrativa e disciplinare della persona segnalante.

Sarà viceversa non punibile, ad esempio, l’estrazione (per copia, fotografia, asporto) di documenti cui si aveva lecitamente accesso.

6.4 Rinunce e transazioni

Il Decreto vieta, in generale, rinunce e transazioni dei diritti e dei mezzi di tutela dallo stesso previsti, a meno che non avvengano in particolari condizioni. Tale previsione, sottraendo in parte la disponibilità del diritto dalla sfera del beneficiario della tutela, risponde all’esigenza di implementare e rendere effettiva la protezione del whistleblower.

La norma consente, tuttavia, al segnalante e agli altri soggetti tutelati, di poter rinunciare ai propri diritti e mezzi di tutela o farne oggetto di transazione, solo se ciò avviene nelle sedi protette e, quindi, dinanzi ad un giudice, a seguito di tentativo obbligatorio di conciliazione, o di accordi di mediazione e conciliazione predisposti in sede sindacale o davanti agli organi di certificazione.

7. TRATTAMENTO DEI DATI PERSONALI

La ricezione e la gestione delle segnalazioni interne determinano in capo all’ente il trattamento dei dati personali delle persone a vario titolo coinvolte nei fatti segnalati.

Pertanto, nella definizione del canale di segnalazione interna, occorre prestare particolare attenzione al rispetto della disciplina sulla protezione dei dati personali (Regolamento UE n. 679/2016, c.d. GDPR, e il D.lgs. n. 196/2003, c.d. Codice privacy), affinché i trattamenti conseguenti alla presentazione delle segnalazioni siano effettuati in conformità a tale normativa.

Il Decreto contiene diverse disposizioni in materia di protezione dei dati personali, volte, da un lato, a definire il ruolo degli enti che attivano il canale di segnalazione interna e dei soggetti coinvolti nella ricezione e nella gestione delle segnalazioni (art. 12, co. 2 e art. 13, co. 4, 5, e 6) e, dall’altro, a indirizzare l’impostazione dei modelli di ricevimento e gestione delle segnalazioni (art. 12, co. 1 e art. 13, co. 1, 2, 3 e 6 e art. 14).

Di seguito, alcune indicazioni per:

1. l’inquadramento dei trattamenti dipendenti dal ricevimento e della gestione di una segnalazione;
2. l’individuazione e formalizzazione dell’organigramma privacy relativo al canale di segnalazione interna;
3. l’impostazione e l’esecuzione dei trattamenti conseguenti alle segnalazioni.

7.1 Inquadramento dei trattamenti dipendenti dal ricevimento e della gestione di una segnalazione

Come anticipato, il ricevimento e la gestione delle segnalazioni determinano in capo all’ente un trattamento dei dati personali:

• di natura comune, di natura particolare (ex “dati sensibili”) e giudiziari (quali condanne penali e reati), eventualmente contenuti nella segnalazione e negli atti e nei documenti a essa allegati (v. Parere del Garante privacy sullo “Schema di Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – procedure per la presentazione e gestione delle segnalazioni esterne”, provv. 6 luglio 2023, n. 304, di seguito, “Parere del Garante privacy”);
• relativi a tutte le persone fisiche - identificate o identificabili - a vario titolo coinvolte nelle vicende segnalate (segnalante, segnalato, facilitatore, eventuali altri terzi), c.d. interessati;
• necessario per dare attuazione agli obblighi di legge previsti dalla disciplina whist!eb!owing la cui osservanza è condizione di liceità del trattamento ex art. 6, par. 1, lett. c) e parr. 2 e 3, art. 9, par. 2, lett. b) e artt. 10 e. 88 del GDPR (v. Parere del Garante privacy);
• realizzato al solo fine di gestire e dare seguito alle segnalazioni (art. 12, co.1 del Decreto);

• che, in ragione della particolare delicatezza delle informazioni potenzialmente trattate, della vulnerabilità degli interessati nel contesto lavorativo, nonché dello specifico regime di riservatezza dell’identità del segnalante previsto dal Decreto, presenta rischi specifici per i diritti e le libertà degli interessati (v. Parere del Garante privacy) e, pertanto, deve essere preceduto da una valutazione d’impatto sulla protezione dei dati, c.d. DPIA (art. 13, co. 6 del Decreto e artt. 35 e 36 del GDPR);
• rispetto al quale, l’esercizio dei diritti degli interessati (es. accesso, rettifica, aggiornamento, cancellazione, limitazione del trattamento, portabilità, opposizione) può essere limitato qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante (art. 13, co. 3 del Decreto e art. 2-undecies del Codice privacy).

Si segnala che, al pari degli altri trattamenti dei dati personali, anche quello relativo al ricevimento e alla gestione delle segnalazioni deve essere censito nel registro delle attività di trattamento in conformità all’art. 30 del GDPR. Pertanto, ai fini della implementazione del canale di segnalazione interna, è necessario procedere all’aggiornamento del citato registro.

7.2 Ruoli privacy nel canale di segnalazione interna

Il Decreto individua i ruoli ai fini della normativa data protection degli enti che attivano il canale di segnalazione interna e dei soggetti coinvolti nella ricezione e nella gestione delle segnalazioni.

Quanto agli enti che attivano il canale interno, essi effettuano i trattamenti di dati personali relativi al ricevimento e alla gestione delle segnalazioni in qualità di titolari del trattamento (art. 13, co. 4 del Decreto). È, pertanto, sull’ente interessato che, in via generale, ricade la responsabilità di tali trattamenti e, in particolare, della loro conformità alla disciplina sulla protezione dei dati personali.

In caso di condivisione di risorse per il ricevimento e la gestione delle segnalazioni (v. supra), gli enti interessati dalla condivisione trattano i dati in qualità di contitolari del trattamento (art. 13, co. 5 del Decreto). Ai fini del trattamento congiunto, pertanto, i contitolari sono tenuti a stipulare un accordo interno che, in maniera trasparente, disciplini le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dalla normativa privacy e rifletta adeguatamente i ruoli e i rapporti con gli interessati.

A titolo meramente esemplificativo e non esaustivo, tale accordo, il cui contenuto essenziale deve essere messo a disposizione degli interessati, potrebbe:

• definire l’ambito della contitolarità, individuando i trattamenti svolti congiuntamente, i relativi mezzi e le relative modalità;
• individuare il/i soggetto/i responsabile/i dell’esecuzione della valutazione di impatto sulla protezione dei dati personali;
• individuare il/i soggetto/i responsabile/i di individuare e predisporre le misure tecniche e organizzative adeguate a garantire la sicurezza del trattamento;
• individuare il/i soggetto/i responsabile/i alla formalizzazione delle eventuali nomine a Responsabile del trattamento dei soggetti terzi cui si affidano attività comportanti il trattamento dei dati per conto dei contitolari (v. infra), con particolare attenzione all’adozione di misure tecniche e organizzative per garantire che ciascun contitolare abbia accesso solo alle segnalazioni di propria competenza;
• individuare il/i soggetto/i responsabile/i della formalizzazione delle autorizzazioni al trattamento (v. infra);
• prevedere l’eventuale designazione di un punto di contatto per gli interessati e fissare le modalità per rendere l’informativa agli interessati e la gestione delle richieste di esercizio dei diritti degli interessati;

• stabilire termini e modalità per la gestione dei cc.dd. personal data breach;
• stabilire i requisiti per l’eventuale trasferimento dei dati.

Quando l’ente affida - tutta o in parte - la gestione del canale di segnalazione a un soggetto esterno alla sua organizzazione (es. fornitore della piattaforma), quest’ultimo tratta i dati in qualità di responsabile del trattamento e, in quanto tale, deve presentare garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che garantiscano la protezione dei dati.

Ai sensi dell’art. 28 del GDPR, l'esecuzione dei trattamenti da parte dei responsabili del trattamento deve essere disciplinata da un contratto o da altro atto giuridico - tra il titolare/i contitolari e il responsabile stesso - stipulato in forma scritta e recante, tra l’altro:

• le caratteristiche del trattamento affidato al responsabile, con particolare riguardo alla natura, alle finalità e alla durata del trattamento, al tipo di dati personali e alle categorie di interessati;
• gli obblighi e i diritti del titolare del trattamento;
• le istruzioni per il trattamento dei dati da parte del responsabile.

Quanto alle persone fisiche preposte alla ricezione e/o alla gestione della segnalazione, esse trattano i dati in qualità di soggetti autorizzati al trattamento e, pertanto, possono trattare i dati solo se espressamente autorizzati e previamente istruiti in tal senso dal titolare ovvero dal responsabile ai sensi dell’art. 29, dell’art. 32, par. 4 del GDPR e dell’art. 2-quaterdecies del Codice privacy (art. 12, co. 2 del Decreto).

Con riferimento all’operato dei soggetti autorizzati, le LLGG prevedono di tracciare ove possibile, lo svolgimento delle loro attività, al fine di evitare l’uso improprio di dati relativi alla segnalazione e assicurare le garanzie a tutela del segnalante. Ad ogni modo, deve essere evitato il tracciamento di qualunque informazione che possa ricondurre all’identità ovvero all’attività del segnalante.

7.3 Impostazione ed esecuzione dei trattamenti conseguenti alle segnalazioni

Ai fini della impostazione dei canali di segnalazione interna, il Decreto, oltre a rinviare al GDPR, ai relativi principi e al Codice privacy, detta specifiche garanzie per i trattamenti conseguenti alle segnalazioni.

In particolare, il Decreto dà specifica attuazione ai principi di:

• trasparenza (art. 5, par. 1, lett. a) del GDPR: i dati personali sono trattati in modo ... trasparente nei confronti dell'interessato), prescrivendo ai titolari del trattamento di rendere ex ante ai possibili interessati un’idonea informativa sul trattamento dei dati personali (art. 13, co. 4 del Decreto), recante, tra le altre, le informazioni su: i) il titolare del trattamento e i relativi dati di contatto; ii) la finalità del trattamento (v. supra); iii) la base giuridica del trattamento (v. supra); iv) le modalità del trattamento; v) l’ambito del trattamento e i soggetti cui sono comunicati i dati (es. responsabili, autorizzati del trattamento), vi) il periodo di conservazione dei dati personali (v. infra). A titolo meramente esemplificativo e non esaustivo, tale informativa può essere fornita in allegato alla procedura whistleblowing, mediante la pubblicazione di documenti informativi (es. sul sito web) o in un’apposita sezione dell’applicativo informatico utilizzato per l’acquisizione e gestione delle segnalazioni.

Con riferimento all’obbligo di rendere l’informativa, le LLGG precisano che nella fase di acquisizione della segnalazione e della eventuale successiva istruttoria non devono essere fornite informative specifiche ai soggetti diversi dal segnalante. L’obiettivo è evitare che l’attivazione di flussi informativi dai quali è possibile dedurre il coinvolgimento della persona in una segnalazione possa vanificare le tutele per la riservatezza previste dal Decreto;

• limitazione delle finalità (art. 5, par. 1, lett. b) del GDPR: i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità), prevedendo che le segnalazioni non possano essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse (art. 12, co. 1 del Decreto);
• minimizzazione dei dati (art. 5, par. 1, lett. c) del GDPR: i dati personali sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati), prevedendo che i dati manifestamente non utili alla trattazione di una specifica segnalazione non siano raccolti o, in caso di raccolta accidentale, siano prontamente cancellati (art. 13, co. 2 del Decreto). Al riguardo, le LLGG precisano che il principio di minimizzazione previsto dal Decreto debba essere interpretato in modo restrittivo e che, pertanto, l’art. 13, co. 2 del Decreto debba applicarsi ai soli casi in cui sia palese la assoluta irrilevanza di parti della segnalazione che contengono dati personali rispetto alla vicenda segnalata, restando salve le norme in materia di conservazione degli atti (v. infra);
• limitazione della conservazione (art. 5, par. 1, lett. e) del GDPR: i dati personali sono conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati), prevedendo espressamente che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario alla trattazione della segnalazione e, comunque, non oltre 5 anni dalla comunicazione dell’esito finale della procedura (art. 14, co. 1 del Decreto);
• integrità e riservatezza (art. 5, par. 1, lett. f) del GDPR: i dati personali sono trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali), prevedendo che l’individuazione di misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi del trattamento e promuovendo il ricorso a strumenti di crittografia (art. 4, co. 1 e art. 13, co. 6 del Decreto).

Per definire i modelli di ricevimento e gestione delle segnalazioni, rilevano, altresì, i principi di:

• privacy by design e privacy by default (art. 25 del GDPR), che impongono di considerare le garanzie di protezione dei dati personali sin dalla progettazione del canale di segnalazione (privacy by design) e di assicurare che per impostazione predefinita (privacy by default) siano trattati solo i dati personali strettamente necessari in relazione alla specifica segnalazione e che tali dati non siano resi accessibili, in via automatica, a un numero indefinito di soggetti;
• riservatezza, su cui si basa l’intera disciplina whistleblowing. A tal fine, le LLGG prescrivono di garantire il divieto di tracciamento dei canali di segnalazione. Nel caso in cui l’accesso ai canali interni e al canale esterno di segnalazione avvenga dalla rete dati interna dell’ente e sia mediato da dispositivi firewall o proxy, deve essere garantita la non tracciabilità - sia sulla piattaforma informatica che negli apparati di rete eventualmente coinvolti nella trasmissione o monitoraggio delle comunicazioni - del segnalante nel momento in cui viene stabilita la connessione a tali canali.

8. SISTEMA SANZIONATORIO

In tema di regime sanzionatorio, le LG ANAC nell’ottica di individuarne il soggetto destinatario distinguono, per le varie fattispecie, tra persona fisica e giuridica ritenuta responsabile e quindi destinataria della sanzione.

In particolare:

i) nelle ipotesi di mancata istituzione del canale, di mancata adozione delle procedure o di adozione di procedure non conformi, il responsabile è individuato nell’organo di indirizzo;

ii) nelle ipotesi in cui non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute, nonché quando sia stato violato l’obbligo di riservatezza, il responsabile è il gestore delle segnalazioni.

Si precisa che la gestione delle segnalazioni rientra nelle prerogative riconducibili allo svolgimento dell'attività lavorativa del soggetto incaricato della gestione delle segnalazioni; pertanto, eventuali inadempimenti prevedono l'applicazione delle sanzioni sancite da Contratto Collettivo Nazionale applicabile. Con riferimento, invece, all’ipotesi della sanzione verso chi ha adottato un atto ritorsivo, è stato precisato che è sanzionata la persona fisica individuata come responsabile delle ritorsioni.

Nel dettaglio, le sanzioni amministrative pecuniarie sono le seguenti:

1. da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia commesso ritorsioni21;
2. da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia ostacolato la segnalazione o abbia tentato di ostacolarla;
3. da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia violato l’obbligo di riservatezza di cui all’art. 12 del d.lgs. n. 24/2023. Restano salve le sanzioni applicabili dal Garante per la protezione dei dati personali per i profili di competenza in base alla disciplina in materia di dati personali146;
4. da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione; in tal caso responsabile è considerato l’organo di indirizzo sia negli enti del settore pubblico che in quello privato;
5. da 10.000 a 50.000 euro quando accerta che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non è conforme a quanto previsto dal decreto; in tal caso responsabile è considerato l’organo di indirizzo sia negli enti del settore pubblico che in quello privato;
6. da 10.000 a 50.000 euro quando accerta che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute; in tal caso responsabile è considerato il gestore delle segnalazioni;
7. da 500 a 2.500 euro, quando è accertata, anche con sentenza di primo grado, la responsabilità civile della persona segnalante per diffamazione o calunnia nei casi di dolo o colpa grave, salvo che la medesima sia stata già condannata, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria.

9. DISCIPLINA WHISTLEBLOWING E MODELLO ORGANIZZATIVO 231

Come anticipato, alla luce della nuova disciplina whistleblowing risulta necessario aggiornare il Modello Organizzativo 231, valutando anzitutto la possibilità di adeguamento dei canali precedentemente attivati - in attuazione della precedente disciplina di cui alla Legge 179/2017 - e delle relative procedure interne, in considerazione dei requisiti prescritti dal Decreto whistleblowing.

In particolare, sarà necessario aggiornare il Modello con l’indicazione dei canali di segnalazione interna adottati dall’ente ai sensi della nuova normativa whistleblowing, avendo cura di esplicitare: il riferimento al divieto di commissione di qualsiasi atto di ritorsione come richiamato dalla norma; il rispetto dei doveri di riservatezza nel trattamento delle informazioni relativamente alla gestione delle segnalazioni.

21 Al riguardo, si segnala che l’ANAC, nelle LG; prevede che “Si precisa fin da ora che l’Autorità considera responsabile della misura ritorsiva il soggetto che ha adottato il provvedimento/atto ritorsivo o comunque il soggetto a cui è imputabile il comportamento e/o l’omissione. La responsabilità si configura anche in capo a colui che ha suggerito o proposto l’adozione di una qualsiasi forma di ritorsione nei confronti del whistleblower, così producendo un effetto negativo indiretto sulla sua posizione (ad es. proposta di sanzione disciplinare).”.

Inoltre, il Modello potrà fare rinvio, per quanto attiene gli ulteriori aspetti di applicazione e funzionamento dei canali interni, all’atto organizzativo e alle procedure adottate dall’ente.

Infine, sarà necessario integrare il Sistema disciplinare dello stesso Modello Organizzativo 231, considerato che la normativa whistleblowing richiede che venga adeguato prevedendo sanzioni nei confronti dei responsabili delle violazioni per le quali, come visto nel paragrafo precedente, l’ANAC applica sanzioni amministrative pecuniarie.

Pertanto, occorrerà anzitutto valutare se le misure già previste nel sistema disciplinare risultino adeguate a sufficienti a sanzionare le violazioni indicate dalla nuova normativa whistleblowing.

In particolare, si tratta delle seguenti fattispecie:

• la commissione di qualsiasi ritorsione - da intendersi come comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione (della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica) - che provoca o può provocare, in via diretta o indiretta, un danno ingiusto alla persona segnalante (o alla persona che ha sporto la denuncia o che ha effettuato una divulgazione pubblica) e/o agli altri soggetti specificamente individuati dalla norma;
• la non istituzione di canali di segnalazione, la mancata adozione di procedure di whistleblowing conformi alla normativa o anche la non effettuazione di attività di verifica ed analisi a riguardo delle segnalazioni ricevute;
• la messa in atto di azioni o comportamenti con i quali la segnalazione è stata ostacolata o si è tentato di ostacolarla;
• la violazione dell’obbligo di riservatezza.

Inoltre, il Decreto prevede che debbano essere previste sanzioni disciplinari da irrogare qualora sia stata accertata la responsabilità del segnalante, anche con sentenza di primo grado, per i reati di diffamazione o di calunnia (o comunque per i medesimi reati commessi in connessione a denuncia) ovvero la sua responsabilità civile nei casi di dolo o colpa grave.

10. ATTIVITA’ DI FORMAZIONE E INFORMAZIONE

Il Decreto, al fine di garantire una gestione consapevole, accurata e professionale delle segnalazioni, mira a sensibilizzare - anche attraverso un'attività di formazione e informazione - i soggetti interni ed esterni a vario titolo coinvolti circa le implicazioni etiche, legali e di riservatezza che scaturiscono dalle procedure di segnalazione.

A tal fine, il Decreto disciplina i seguenti oneri formativi e informativi:

50. l’art. 4, co. 2, del Decreto prevede che gli uffici o le persone cui è demandata la gestione del canale di segnalazione debbano ricevere una specifica formazione relativa alla gestione del canale;
50. l’art. 5, co. 1, lett. e) del Decreto, prevede che gli uffici o le persone cui è demandata la gestione del canale di segnalazione mettano a disposizione della persona segnalante (a titolo esemplificativo, personale interno, consulenti esterni, azionisti, Partner commerciali, fornitori, ecc.22) informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne od esterne.

Si riportano di seguito alcuni suggerimenti circa le modalità di espletamento degli oneri formativi ed informativi gravanti sui soggetti anzidetti.

22 Per il dettaglio dei soggetti cui si applicano le disposizioni del Decreto, si rimanda all’art. 3, comma 3, D. Lgs. 24/2023.

10.1 Obblighi di formazione

La formazione del personale che gestisce il canale di segnalazione è di fondamentale importanza per assicurare che le segnalazioni ricevute siano trattate in maniera adeguata e in conformità alle disposizioni applicabili. A tal fine, sarebbe opportuno che il personale cui è affidata la gestione del canale di segnalazione riceva un’adeguata formazione in relazione ad alcuni argomenti chiave.

A titolo esemplificativo e non esaustivo, si rappresentano di seguito alcune tematiche rispetto alle quali il personale dovrebbe essere adeguatamente formato:

50. aspetti normativi, che riguardano i principi e le disposizioni contenute nel Decreto, con specifico focus in merito agli adempimenti che devono essere svolti dal personale cui è affidata la gestione del canale di segnalazione (ad esempio, le attività previste dall’art. 5 del Decreto), nonché rispetto agli adempimenti in ambito Data Protection;
50. procedure e presupposti: approfondita panoramica delle policies, delle procedure e delle modalità operative adottate, anche per prassi, dall’impresa per la gestione del canale di segnalazione (ad esempio, le fasi di gestione delle segnalazioni dal momento della ricezione, alla successiva attività di istruttoria e riscontro al segnalante23);
50. principi generali di comportamento: al fine di favorire una adeguata comprensione e consapevolezza di alcuni principi generali quali, ad esempio:

• confidenzialità e riservatezza: necessità di applicare opportune misure tecniche e organizzative da parte del personale cui è affidata la gestione delle segnalazioni, al fine di salvaguardare la confidenzialità delle informazioni durante tutto il processo di gestione delle segnalazioni;
• etica ed integrità: promozione di un ambiente etico e integro all'interno dell’impresa, nonché in merito all'importanza di agire con onestà, trasparenza e responsabilità nella gestione delle segnalazioni;
• ascolto attivo, competenze comunicative e collaborazione: sensibilizzazione del personale cui è affidata la gestione delle segnalazioni circa l’ascolto attivo, la comunicazione empatica e la comprensione degli aspetti psicologici connaturati alla gestione delle segnalazioni, con particolare riguardo alle interlocuzioni con la persona segnalante, nonché in merito alle opportune ed adeguate pratiche di collaborazione in team con le altre funzioni aziendali coinvolte nella gestione della segnalazione (ad esempio, funzione legale, funzione risorse umane, OdV).

Tale formazione dovrà essere erogata con cadenza periodica, al fine di garantire l’efficacia della suddetta formazione. Si suggerisce, altresì, di integrare la formazione in caso di aggiornamenti normativi in merito alle disposizioni rilevanti e applicabili relativamente alla gestione dei canali di segnalazione.

In aggiunta a quanto previsto dal dettato normativo con riferimento al gestore delle segnalazioni, si suggerisce di assicurare un’adeguata formazione in merito alle tematiche esposte a tutto il personale interno (ivi compresa la disciplina sul trattamento dei dati personali), così da creare un’opportuna consapevolezza circa le finalità e le tutele riconosciute dal Decreto, nonché una cultura di integrità e responsabilità all'interno dell’impresa.

Fermo restando che l’individuazione delle opportune modalità di erogazione delle attività formative è rimessa alla discrezionalità dell’impresa, si raccomanda di strutturare un programma formativo che sia effettivamente in grado di garantire una efficace copertura e un adeguato coinvolgimento delle risorse coinvolte (a titolo esemplificativo, mediante sessioni formative in aula, workshop, formazione in modalità e-learning, ecc.).

23 Per maggiori dettagli circa le informazioni da rendere in relazione ai canali di segnalazione implementati ed ai presupposti per effettuare le segnalazioni, si rimanda al sottoparagrafo “Obblighi informativi”

10.2 Obblighi informativi

Il Decreto prevede che vengano messe a disposizione della persona segnalante informazioni chiare circa il canale, le procedure e i presupposti per effettuare le segnalazioni, interne o esterne.

A tal fine, deve essere garantita un’adeguata informativa in ordine all’utilizzo del canale interno e di quello esterno gestito da ANAC, con particolare riguardo ai presupposti per effettuare le segnalazioni attraverso tali canali, ai soggetti competenti cui è affidata la gestione delle segnalazioni interne, nonché alle procedure adottate, a tal fine, dall’ente. In particolare, tali informazioni devono essere esposte, ad esempio, nei luoghi di lavoro in un punto visibile, accessibile a tutte le persone (ivi comprese quelle che, pur non essendo presente fisicamente nei luoghi di lavoro, sono legittimate a effettuare segnalazioni di whistleblowing) nonché in una sezione apposita del sito web istituzionale dell’ente e, laddove implementata, della piattaforma informatica24.

A titolo esemplificativo e non esaustivo, si raccomanda di fornire tramite gli strumenti anzidetti le seguenti informazioni:

• soggetti legittimati a effettuare le segnalazioni;
• soggetti che godono delle misure di protezione riconosciute dal Decreto;
• violazioni che possono essere segnalate25;
• presupposti per effettuare la segnalazione interna o esterna;
• indicazioni sul canale di segnalazione implementato dall’impresa (e le relative istruzioni circa le modalità di funzionamento dello stesso), nonché quello esterno gestito da ANAC;
• procedure che la persona segnalante deve seguire per effettuare in maniera corretta una segnalazione (a titolo esemplificativo, gli elementi che la segnalazione deve contenere);
• soggetti competenti cui è affidata la gestione delle segnalazioni interne;
• attività che, una volta correttamente effettuata la segnalazione, devono essere svolte dal soggetto che ha ricevuto e che gestisce la segnalazione26;
• tutele riconosciute dal Decreto al segnalante e agli altri soggetti che godono di protezione ai sensi dell’art. 3;
• condizioni al verificarsi delle quali è esclusa la responsabilità del segnalante (anche in sede penale, civile o amministrativa) previste dall’art. 20 del Decreto;
• sistema sanzionatorio adottato dalla Impresa e da ANAC in caso di violazione delle disposizioni del Decreto.

11. SEGNALAZIONE ESTERNA E DIVULGAZIONE PUBBLICA

L’articolo 7 del Decreto attribuisce all’ANAC il compito di istituire un canale di segnalazione accessibile non solo ai soggetti appartenenti al settore pubblico ma anche al settore privato, che sia idoneo ad assicurare, analogamente a quanto previsto per il canale interno, anche tramite strumenti

24 Sul punto, cfr. LG ANAC, paragrafo par. 3.1 i “canali interni”, pag. 41.

25 Per il dettaglio dell’ambito di applicazione oggettivo del Decreto, si rimanda al Paragrafo 3 “Le modalità di svolgimento dell’istruttoria preliminare”.

26 Per il dettaglio circa le attività che devono essere condotte dal soggetto competente a ricevere e gestire la segnalazione, si rimanda ai Paragrafi 2 ”Obblighi informativi - Le modalità di ricezione delle segnalazioni”, 3 “Le modalità di svolgimento dell’istruttoria preliminare” e 4 “Accertamento della segnalazione”.

di crittografia, la riservatezza dell’identità del segnalante e di coloro che sono coinvolti nella segnalazione, del contenuto della segnalazione stessa e della relativa documentazione.

La nuova disciplina amplia, dunque, rispetto al passato le competenze dell’ANAC anche al settore privato, realizzando una maggiore uniformità di disciplina tra enti pubblici e privati e creando, al contempo, un’inedita interazione tra imprese private e Autorità nella gestione della segnalazione. L’articolo 15 del Decreto stesso introduce, invece, in attuazione dei principi della direttiva, una nuova forma di segnalazione attraverso la divulgazione pubblica (su cui v. infra).

Come già detto, anche al fine di scongiurare il rischio di ricorso a tali canali in assenza dei relativi presupposti, una particolare attenzione dovrebbe essere dedicata dalle imprese a predisporre programmi di formazione27 dei dipendenti e a pubblicare sui propri siti idonee informazioni circa le caratteristiche dei diversi canali, le condizioni per il loro utilizzo e le conseguenze di un uso improprio degli stessi.

11.1 Le condizioni per la segnalazione esterna

Per poter ricorrere al canale di segnalazione istituito dall’ANAC, devono sussistere alcune condizioni, ai sensi dell’art. 6 del Decreto. In particolare, il segnalante può ricorrere alla procedura esterna soltanto se ricorre una delle seguenti condizioni: i) nel suo contesto lavorativo non è prevista l’attivazione del canale interno come obbligatoria o, se prevista, non è stata attivata; ii) la segnalazione non ha avuto seguito; iii) ha fondati motivi di ritenere che se effettuasse la segnalazione interna questa non avrebbe seguito o che andrebbe incontro a ritorsioni; (iv) ha fondati motivi di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Rispetto a tali condizioni, le LG chiariscono, in primo luogo, che la segnalazione esterna è possibile quando il canale interno, laddove obbligatorio, non è stato attivato o non è conforme alle prescrizioni del decreto, con riferimento ai soggetti e alle modalità di presentazione delle segnalazioni interne che devono essere in grado di garantire la riservatezza dell’identità del segnalante e degli altri soggetti tutelati. Inoltre, le LG, prevedono che, negli enti per i quali non è obbligatoria l’istituzione del canale interno, il segnalante non è considerato un whistleblower ai fini del decreto e non può conseguentemente trasmettere segnalazioni ad ANAC.

Con riguardo alle altre condizioni viene, altresì, specificato che la segnalazione può aver luogo quando:

• la segnalazione interna non ha avuto seguito. Tale circostanza si verifica quando il soggetto cui è affidata la gestione del canale non abbia intrapreso entro i termini previsti dal Decreto alcuna attività circa l’ammissibilità della segnalazione28, la verifica della sussistenza dei fatti segnalati o la comunicazione dell’esito dell’istruttoria svolta. Ciò implica che non sussiste un diritto del segnalante al buon esito della segnalazione, ma soltanto un diritto di essere informato sull’attività svolta;
• sussistano fondati motivi per ritenere che alla segnalazione interna non sarebbe dato efficace seguito, ad esempio, per il rischio che le prove di condotte illecite possano essere occultate o distrutte o vi sia il timore di un accordo tra chi riceve la segnalazione e la persona coinvolta nella segnalazione, o ancora all’ipotesi in cui il gestore della segnalazione sia in conflitto di interessi.29 La segnalazione esterna è ammessa anche quando vi siano fondati motivi per ritenere che la segnalazione potrebbe determinare il rischio di ritorsione, come ad esempio quando si siano già

27 Si veda cap. 10.

28 Sul punto, le LG ANAC precisano che “È sufficiente che anche solo una delle attività ivi indicate (verifica ammissibilità, svolgimento istruttoria, comunicazione esiti) non sia stata effettuata per poter ritenere integrato il “mancato seguito” e, quindi, per poter accedere legittimamente al canale esterno”.

29 In tema di gestione dell’eventuale conflitto di interessi, si veda il paragrafo 3.2.

verificate situazioni ed eventi analoghi nell’ente. In ogni caso, i fondati motivi che legittimano il ricorso alla segnalazione esterna per il timore di ritorsioni o di trattamento inadeguato della segnalazione devono essere fondati sulla base di circostanze concrete che devono essere allegate alla segnalazione e su informazioni effettivamente acquisibili;

• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse. Si fa riferimento, ad esempio, al caso in cui la violazione richieda in modo evidente un intervento urgente da parte di un’autorità pubblica per salvaguardare un interesse che fa capo alla collettività quale ad esempio la salute, la sicurezza o la protezione dell’ambiente.

11.2 La presentazione e la gestione delle segnalazioni

In attuazione del potere/dovere a essa attribuito, l’ANAC, ha disciplinato, nelle LG e nell’apposito Regolamento30, le modalità di presentazione e gestione delle segnalazioni esterne, prevedendo che le stesse possono essere effettuate soltanto dalle persone fisiche legittimate ai sensi del Decreto (non potranno, invece, essere effettuate, ad esempio, segnalazioni da parte di rappresentanti di organizzazioni sindacali).

Con riguardo alle modalità di presentazione, le segnalazioni possono essere effettuate:

1. tramite piattaforma informatica, delineata come canale prioritario di segnalazione in quanto ritenuto maggiormente idoneo a garantire la riservatezza del segnalante e della segnalazione. In linea con quanto già previsto nel 2021, a tal fine si prevede infatti che i dati della segnalazione siano crittografati e i dati del segnalante siano oscurati e segregati in apposita sezione della piattaforma, in modo da renderli inaccessibili anche all’ufficio istruttore di ANAC. Sempre al fine di garantire la massima riservatezza si prevede, inoltre, la figura del Custode delle identità. Quest’ultimo è il soggetto che, su esplicita e motivata richiesta del Dirigente dell’Ufficio Whistleblowing interno ad ANAC, consente di accedere all’identità del segnalante, la quale tuttavia non è nota al custode stesso;
2. oralmente, attraverso un servizio telefonico con operatore. Quest’ultimo è un componente dell’Ufficio ANAC competente, che acquisisce la segnalazione telefonica e la inserisce sulla piattaforma ANAC unitamente al file audio della registrazione;
3. tramite incontri diretti fissati entro un termine ragionevole, cui consegue l’inserimento della segnalazione nella piattaforma da parte dell’operatore. Nel Regolamento è precisato che per ricorrere all’incontro diretto è necessaria una richiesta motivata.

Si prevede che per essere ammissibile nella segnalazione devono essere indicati: la denominazione e i recapiti del whistleblower; i fatti oggetto di segnalazione e l’Amministrazione o Ente in cui essi sono avvenuti; l’Amministrazione o l’Ente nel cui contesto lavorativo il whistleblower opera e il profilo professionale da quest’ultimo rivestito; la descrizione sintetica delle modalità con cui il whistleblower è venuto a conoscenza dei fatti segnalati.

La segnalazione esterna è considerata, inoltre, inammissibile per i seguenti motivi: i) manifesta infondatezza per l’assenza di elementi di fatto riconducibili alle violazioni tipizzate nell’art. 2, co. 1, lett. a), del Decreto; ii) manifesta insussistenza dei presupposti di legge per l’esercizio dei poteri di vigilanza dell’Autorità; iii) manifesta incompetenza dell’Autorità sulle questioni segnalate; iv) accertato contenuto generico della segnalazione esterna, tale cioè da non consentire la comprensione dei fatti, ovvero segnalazione esterna corredata da documentazione non appropriata, inconferente o comunque tale da rendere incomprensibile il contenuto stesso della segnalazione; v) produzione di sola documentazione in assenza della segnalazione esterna; vi) mancanza dei dati

30 Regolamento per la gestione delle segnalazioni esterne e per l’esercizio del potere sanzionatorio dell’ANAC in attuazione del Decreto Legislativo 10 marzo 2023, n. 24, adottato con delibera n. 301 del 12 luglio 2023.

che costituiscono elementi essenziali della segnalazione esterna; vii) sussistenza di violazioni di lieve entità.

L’Ufficio Istruttore di ANAC può valutare la sussistenza dei requisiti di ammissibilità, prevedendo anche la possibilità di integrazione istruttoria, ove necessario, tramite il canale dedicato. Qualora la segnalazione non sia dichiarata inammissibile l’ufficio può trasmettere la segnalazione e la documentazione allegata agli uffici di vigilanza dell’Autorità competenti per materia. Se le segnalazioni ricevute riguardano, invece, violazioni che non rientrano nella competenza di ANAC, l’Ufficio istruttore deve provvedere a inviare la relativa segnalazione all’autorità amministrativa competente oppure all’autorità giudiziaria (in caso di illeciti penali o erariali). Di tale trasmissione deve essere informato il segnalante. L’autorità che riceve la segnalazione, a sua volta, sarà tenuta a svolgere l’istruttoria, garantendo la riservatezza circa l’identità del segnalante e degli eventuali soggetti coinvolti.

In ogni caso, l’Ufficio entro tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento, comunica al segnalante: i) l’archiviazione predisposta o che intende predisporre; ii) la trasmissione all’Autorità competente già effettuata o che intende effettuare; iii) l’attività già svolta dall’Ufficio di vigilanza competente interno all’Autorità o l’attività che quest’ultimo intende svolgere. Infine, laddove nei termini di cui al precedente comma l’Ufficio non abbia comunicato la determinazione definitiva sul seguito della segnalazione, ma solo le attività che si intendono intraprendere, lo stesso comunica alla persona segnalante l’esito finale della gestione della segnalazione, che può consistere nell’archiviazione, nelle risultanze istruttorie dell’Ufficio di vigilanza competente o nella trasmissione alle Autorità competenti.

11.3 La procedura della divulgazione pubblica

La normativa introduce anche la possibilità per il segnalante di effettuare una divulgazione pubblica beneficiando della protezione.

Si tratta di una novità estremamente delicata per le imprese, in ragione delle potenzialità lesive per l’ente di una denuncia effettuata in assenza di giustificati motivi o di fondati elementi di prova.

I potenziali effetti lesivi possono inoltre essere acuiti dal fatto che la divulgazione può essere effettuata non solo attraverso la stampa, ma anche attraverso mezzi diffusione in grado di raggiungere un numero elevato di persone, quali ad esempio i social network e i nuovi canali di comunicazione (ad es. Facebook, Twitter, ecc.), i quali non sono presidiati da discipline specifiche, regole deontologiche e controlli da parte di apposite autorità di vigilanza.

Ciò rende di estrema importanza da un lato, circoscrivere il più possibile, anche in via interpretativa e attraverso l’informazione e la formazione dei dipendenti, il ricorso a tale istituto; e dall’altro, costruire in modo pienamente efficace e conforme sia alle prescrizioni del decreto che delle Linee Guida ANAC i canali interni di segnalazione.

Per ricorrere a tale procedura deve ricorrere almeno una delle seguenti condizioni:

• che si sia previamente utilizzato il canale interno e/o esterno, ma non vi sia stato riscontro o non vi sia stato dato seguito entro i termini previsti dal decreto;
• che il segnalante ritenga sussistere fondati motivi di un “pericolo imminente e palese per il pubblico interesse”, considerato come una situazione di emergenza o di rischio di danno irreversibile, anche all’incolumità fisica di una o più persone, che richieda che la violazione sia tempestivamente svelata con ampia risonanza per impedirne gli effetti.
• che il segnalante ritenga sussistere fondati motivi per ritenere che la segnalazione esterna possa comportare un rischio di ritorsione oppure non avere efficace seguito perché ad esempio potrebbe ricorrere un pericolo di distruzione delle prove o di collusione tra l’autorità preposta a