Maggior tutela al whistleblower nel rispetto della libertà di espressione

La tutela del whistleblower 

Il 9 dicembre 2022 il Consiglio dei Ministri ha approvato il Decreto Legislativo per il recepimento della Dir. UE 1937/2019 in materia di whistleblowing, cioè nello specifico lo “Schema di decreto legislativo recante attuazione della direttiva (UE) 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.

Finalità primaria della Direttiva è rappresentata dalla tutela dei whistleblower all'interno dell'Unione, tramite norme minime di protezione, così da uniformare e mettere in armonia con lo scenario dell'UE le normative nazionali. La normativa europea intende assegnare infatti allo strumento del whistleblowing la funzione di rafforzare i principi di trasparenza, responsabilità e di prevenzione della commissione di condotte delittuose. Il Presidente dell'Autorità Nazionale Anticorruzione (ANAC), Giuseppe Busia, ha commentato la citata approvazione dichiarando come la tutela del whistleblower rappresenti un diritto fondamentale, riconosciuto a livello internazionale, estensione del diritto di libertà di espressione.  Ha inoltre ribadito l'importanza di preservare i whistleblower da comportamenti ritorsivi, affinché i soggetti che responsabilmente denuncino irregolarità possano trovare una tutela normativa senza temere ritorsioni da parte dei propri superiori. Il Governo, in tal modo, ha rafforzato i poteri dell'Autorità, ampliando il campo di applicazione, come richiesto dall'Unione Europea.  Infatti, sin dal primo articolo, che definisce l'ambito di applicazione “oggettivo” del Decreto in esame, si evince come il focus del legislatore sia “[…] la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato”. In merito poi all'ambito “soggettivo” di applicazione, l'art. 3 indistintamente prevede in capo a tutti i soggetti, del settore pubblico e di quello privato, che le disposizioni del Decreto in esame si applichino alle persone che effettuano segnalazioni interne o esterne o divulgazioni pubbliche o denunce all'autorità giudiziaria o contabile delle informazioni su violazioni.

Il Legislatore prosegue dedicando un Capo (il II°) del Decreto alla disciplina specifica delle “Segnalazioni interne, segnalazioni esterne, obbligo di riservatezza e divulgazioni pubbliche”. In particolare, viene previsto che oggetto della segnalazione del whistleblowing sia la violazione del diritto dell'Unione con lo scopo di tutelare l'interesse pubblico. In relazione poi alle “modalità” di segnalazione previste dalla Direttiva, possono effettuarsi sostanzialmente tramite tre diversi canali: interni, esterni e pubblici. In relazione alle segnalazioni interne (artt. 4 e 5), il Decreto prevede che, sentite le rappresentanze o le organizzazioni sindacali, deve essere attivato un proprio canale di segnalazione che garantisca, anche tramite il ricorso a strumenti di crittografia, la riservatezza di:

• l'identità della persona segnalante;
• la persona coinvolta;
• la persona comunque menzionata nella segnalazione;
• il contenuto della segnalazione;
• la relativa documentazione. 

La gestione di tale canale deve essere affidata ad una persona o ad un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, cioè a un soggetto esterno, anch'esso autonomo e con personale specificamente formato.  Per quanto riguarda, poi, il canale di segnalazione esterna (artt. 6 e 7), Il Legislatore prevede che sussista almeno una delle seguenti condizioni, affinché la persona segnalante possa effettuare una segnalazione: 

• non è prevista, nell'ambito del suo contesto lavorativo, l'attivazione obbligatoria del canale di segnalazione interna cioè questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto nell'art. 4; 
• la persona segnalante ha già effettuato una segnalazione interna ai sensi dell'art. 4 e la stessa non ha avuto seguito o si è conclusa con un provvedimento finale negativo; 
• la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito oppure che la stessa segnalazione possa determinare il rischio di ritorsione;
• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

La sussistenza di tali condizioni deve ricorrere al momento della presentazione della segnalazione.  La Direttiva prevede, inoltre, che possa beneficiare delle tutele anche chi effettua la segnalazione mediante la divulgazione pubblica (art. 15), a condizione che:

• sia stato preliminarmente utilizzato il canale interno o esterno, ma non vi sia stata una risposta appropriata;  
• non siano stati utilizzati i canali interni o esterni per timore di una possibile ritorsione o a causa dell'inefficacia di quei sistemi.

Importante, infine, chiarire che la Direttiva ha contemplato una tutela anche nell'ipotesi di segnalazioni o divulgazioni infondate, qualora il segnalante abbia avuto concrete e ragionevoli motivazioni tali da ritenere che le violazioni fossero reali. Nel caso di segnalazioni consapevolmente false, invece, la Direttiva stabilisce l'obbligo per gli Stati membri di prevedere sanzioni adeguate, oltre al risarcimento del danno. A completezza, va detto che la tutela dei whistleblowers in Italia, mentre nel settore pubblico è in linea con la normativa europea, nel settore privato è più limitata rivolgendosi, di fatto, solo a quei lavoratori, collaboratori, subordinati in genere, di quegli enti che si siano dotati di un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001, con riferimento ai soli illeciti rilevanti ai sensi di tale normativa. Il legislatore ha previsto che entro tre mesi dalla data di entrata in vigore del Decreto, l'ANAC, sentito il parere del Garante per la protezione dei dati personali, dovrà adottare delle linee guida (art. 10) che vadano a disciplinare l'utilizzo di modalità anche informatiche e promuovano il ricorso a strumenti di crittografia per garantire la riservatezza dell'identità della persona segnalante, della persona coinvolta o menzionata nella segnalazione, nonché del contenuto delle segnalazioni e della relativa documentazione. 

L'ANAC inoltre dovrà riesaminare, almeno una volta ogni tre anni, le proprie procedure per il ricevimento e il trattamento delle segnalazioni, adeguandole, ove necessario, alla luce della propria esperienza e di quella di altre autorità competenti per le segnalazioni esterne nell'ambito dell'Unione Europea. Con riferimento alla riservatezza del segnalante, il legislatore ha previsto una serie di obblighi all'art. 12 dello schema in esame:

• è fatto esplicito divieto di usare le segnalazioni oltre il tempo necessario a darvi adeguato seguito;
• è fatto divieto di rivelare l'identità del segnalante (e qualsiasi altra informazione da cui possa evincersi) senza il consenso espresso dello stesso whistleblower;
• sono previste alcune limitazioni alla rivelazione dell'identità del segnalante nel caso in cui ci si trovi nell'ambito di un procedimento penale, dinanzi alla Corte dei Conti o disciplinare.

Il Decreto, inoltre, fornisce specifiche disposizioni in merito al trattamento dei dati personali. Innanzitutto, l'art. 13 chiarisce che “Ogni trattamento dei dati personali, compresa la comunicazione tra le autorità competenti, previsto dal presente decreto, deve essere effettuato a norma del Reg. UE 2016/679”.

Prosegue la norma precisando, tra le altre previsioni, che: 

• i dati trattati devono rispettare il principio di pertinenza, pertanto dovranno essere cancellati <<immediatamente>> in caso di raccolta accidentale degli stessi;
• i diritti degli interessati di cui agli artt. da 15 a 22 Reg. UE 2016/679 (GDPR) potranno essere esercitati nei limiti di quanto previsto dall'art. 2-undecies D.Lgs. 196/2003;
• i soggetti di cui all'art. 4 dello schema di decreto sono individuati quali Titolari del trattamento e, in quanto tali, sono tenuti agli obblighi di fornire idonee informazioni agli interessati (nel caso di specie, le persone segnalanti e quelle coinvolte) ai sensi degli artt. 13 e 14 GDPR;
• i soggetti di cui all'art. 4 dello schema di decreto, sono tenuti a definire il proprio modello di ricevimento e gestione delle segnalazioni interne e, di conseguenza, a individuare misure tecniche e organizzative idonee - sulla base di una valutazione d'impatto sulla protezione dei dati (DPIA) - e a disciplinare il rapporto con eventuali responsabili esterni ai sensi dell'art. 28 GDPR.

Con riferimento agli obblighi di conservazione, l'art. 14 individua il termine massimo di conservazione delle segnalazioni nel “[…] tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura […]”. Specifiche disposizioni in ordine alla conservazione sono, infine, previste nel caso in cui la segnalazione: 

• pervenga con linea telefonica registrata (la segnalazione, previo consenso, sarà acquisita su dispositivo idoneo alla conservazione e ascolto, o trascritta integralmente);
• pervenga con linea telefonica non registrata (la segnalazione sarà documentata per iscritto mediante resoconto dettagliato e conservata);
• pervenga oralmente (la segnalazione, previo consenso, sarà registrata dispositivo idoneo alla conservazione, oppure mediante verbale e conservata).

Il cuore della norma, vale a dire la tutela del segnalante, viene disciplinata nel Capo III (artt. 16 - 19) rubricato "Misure di protezione". 

L'art. 16 disciplina l'applicabilità delle misure di protezione, indipendentemente dai motivi che hanno indotto la persona a segnalare, estendendone la portata:

• alla persona segnalante o denunciante che aveva “fondato motivo di ritenere che le informazioni sulle violazioni segnalate o denunciate fossero vere e rientrassero nell'ambito oggettivo di cui all'articolo 1”;
• in caso di segnalazione anonima, al whistleblower che sia stato successivamente identificato e, per questo, abbia subito ritorsioni.

L'art. 17 disciplina il divieto di ritorsione prevedendo che:

• gli enti o le persone di cui all'art. 3 non possono subire alcuna ritorsione;
• è posto a carico del soggetto che li ha posti in essere l'onere di provare, nei procedimenti giudiziari, amministrativi o stragiudiziali, che tali condotte sono motivati da ragioni estranee alla segnalazione o alla divulgazione o alla denuncia;
• nel caso di domanda risarcitoria presentata all'autorità giudiziaria dalle persone di cui all'art. 3 c. 1, 2, 3 e 4, è sempre presunta, salvo prova contraria, la consequenzialità del danno alla segnalazione;
• sono elencate alcune fattispecie da ricondurre nell'alveo delle ritorsioni di cui all'art. 2 c. 1 lett. m).

Infine, in merito alle misure di sostegno (art. 18) e alla protezione dalle ritorsioni (art. 19), il legislatore ha previsto:

• l'istituzione presso l'ANAC e la pubblicazione sul sito dell'Autorità di un elenco degli enti del terzo settore che forniscono misure di sostegno alle persone segnalanti;
• la facoltà, per le persone di cui all'art. 3 dello schema in esame, di segnalare ad ANAC le ritorsioni che ritengono di aver subito, in seguito alle quali l'Autorità informerà immediatamente il Dipartimento di Funzione Pubblica (dipendente pubblico) o l'Ispettorato del nazionale del Lavoro (dipendente privato);
• la nullità degli atti assunti in violazione del divieto di ritorsione;
• il risarcimento del danno e la reintegrazione dei dipendenti che siano stati licenziati a causa della segnalazione.