Recepita la direttiva whistleblowing: coordinamento con la normativa privacy

Il 9 marzo 2023 il Consiglio dei Ministri ha approvato in via definitiva il D.Lgs. 24/2023 di attuazione della Dir. UE 2019/1937 (cd. Direttiva Whistleblowing) che disciplina la protezione dei whistleblowers, ossia coloro che segnalano violazioni di disposizioni normative, nazionali o dell'Unione europea, che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato. Il decreto, a eccezione della specifica disciplina prevista per i soggetti del settore privato, si applicherà a decorrere dal 15 luglio 2023.

Tra le molteplici novità introdotte dal D.Lgs. 24/2023, certamente assumono carattere rilevante:

-la presenza di tre canali di segnalazione (interno, esterno e pubblico). Sulle modalità di inoltro delle segnalazioni “esterne”, il decreto prevede che queste potranno essere effettuate tramite una piattaforma informatica messa a disposizione dall'Autorità Nazionale Anticorruzine (ANAC), ovvero in forma scritta o orale (quest'ultima, mediante linee telefoniche e altri sistemi di messaggistica vocale). In alternativa, sarà possibile per il segnalatore richiedere un incontro in presenza che l'ANAC avrà onere di fissare “in un tempo ragionevole”. Per quanto riguarda i canali di segnalazione, una particolarità riguarda i soggetti del settore privato: negli enti con meno di cinquanta dipendenti, sarà consentita solo la segnalazione interna delle condotte illecite, escludendo la possibilità di ricorrere al canale esterno o alla divulgazione pubblica;

-l'estensione della tutela non solo a coloro (dipendenti o collaboratori, lavoratori subordinati e autonomi, liberi professionisti ed altre categorie come volontari e tirocinanti anche non retribuiti, gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza) i quali segnalano violazioni di cui sono venuti a conoscenza in un contesto lavorativo pubblico o privato, ma anche a quanti assistono il segnalante nel processo di  segnalazione e che operano  all'interno  del medesimo  contesto  lavorativo (cosiddetti “facilitatori”), nonché ai colleghi, parenti o affetti stabili del whistleblower. Tra le principali tutele dei segnalatori, resta saldo il presidio del divieto di ritorsione nei confronti di questi ultimi come conseguenza della segnalazione effettuata. I whistleblowers, infatti, per effetto della segnlazione non potranno essere soggetti a:

• licenziamento;
• Sospensione;
• retrocessione di grado;
• mancata promozione;

il ruolo centrale assunto dall'ANAC. Il decreto in esame, infatti, prevede che l'Autorità sarà l'unico soggetto competente a valutare le segnalazioni e l'eventuale applicazione delle sanzioni amministrative pecuniarie, sia per quanto concerne il settore pubblico sia quello privato. Le sanzioni saranno così applicate:

• da 10.000 a 50.000 euro in caso di ritorsioni, nel caso in cui una segnalazione sia stata ostacolata o si è tentato di ostacolarla e in caso di violazione dell'obbligo di riservatezza;
• da 10.000 a 50.000 euro in caso di mancata istituzione dei canali di segnalazione, in caso di mancata adozione delle procedure per l'effettuazione e la gestione delle segnalazioni e in caso di adozione di procedure difformi da quelle previste dalla norma;
• da 500 a 2.500 euro, nel caso in cui venga accertata la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia.

L'impatto sulla normativa privacy

Trattandosi di una normativa che mira alla tutela dell'identità del segnalante, risulta evidente il suo impatto nelle politiche di trattamento dei dati personali adottate dai soggetti destinatari della normativa, che sono tenuti al rispetto dei principi del Regolamento EU 2016/679 (GDPR) espressamente richiamato, in più occasioni, dal decreto in esame.

Il decreto in esame, difatti, impone ai soggetti destinatari una serie di adempimenti specifici, tra cui:

• la disciplina dell'esercizio dei diritti di cui agli articoli da 15 a 22 Regolamento (UE) 2016/679 nei limiti di quanto previsto dall'articolo 2-undecies D.Lgs. 196/2003;
• l'obbligo di effettuare una valutazione d'impatto e, più in generale, l'adeguamento dell'organizzazione a quanto richiesto dal D.Lgs. 24/2023;
• l'adozione o aggiornamento del proprio modello di ricevimento e gestione delle segnalazioni interne, individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati;
• la disciplina del rapporto con eventuali fornitori esterni che trattano dati personali per conto del Titolare ai sensi dell'articolo 28 del Reg. UE 2016/679 o dell'art. 18 D.Lgs. 51/2018;
• l'autorizzzione dei soggetti abilitati alla ricezione e gestione delle segnalazioni al trattamento dei dati personali ai sensi degli articoli 29 e 32, paragrafo 4, del Regolamento (UE) 2016/679 e dell'articolo 2-quaterdeciesD.Lgs. 196/2003.

Nel modello di ricevimento e gestione delle segnalazioni interne, che ciascuna organizzazione dovrà predisporre, una particolare attenzione dovrà essere dedicata agli aspetti che riguardano la tutela dell'identità del segnalante. Difatti, la norma stabilisce che l'identità del whistleblower - nonché qualsiasi altra informazione da cui questa possa essere desunta direttamente o indirettamente - non potrà essere rivelata senza il “consenso espresso” del segnalante, fatta eccezione per le seguenti ipotesi:

• nell'ambito di un procedimento penale, poiché l'identità del segnalante è sempre coperta dal segreto istruttorio nei modi e nei limiti previsti dall'art. 329 c.p.c.;
• nell'ambito di un procedimento incardinato dinanzi alla Corte dei Conti, poiché l'identità del segnalante non può essere rivelata fino alla chiusura della fase istruttoria.

Un caso particolare si riscontra nell'ambito del procedimento disciplinare. In tale ultima circostanza, infatti, l'identità della persona segnalante non potrà essere rivelata ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa.  Tuttavia, qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione potrà essere utilizzata, ai fini del procedimento disciplinare, solo in presenza del consenso espresso del segnalante.

I canali di segnalazione

In ordine ai canali di segnalazione, il decreto ha previsto che ogni ente, sia pubblico sia privato, dovrà attivarne di propri che garantiscano - anche tramite il ricorso a strumenti di crittografia - la riservatezza dell'identità del whistleblower, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e relativa documentazione.

In virtù dell'alto livello di specializzazione e formazione che la corretta implementazione e manutenzione di un simile strumento richiede, il decreto prevede che la gestione del canale di segnalazione potrà essere affidata:

• a un ufficio interno, autonomo, dedicato e con personale specificamente formato per la gestione del canale, ovvero
• a un soggetto esterno, purché mantenga il carattere di autonomia e di specifica formazione del personale.

Tempi di conservazione

Con riferimento al tempo di conservazione delle segnalazioni, il legislatore ha confermato quanto già previsto nello schema di decreto stabilendo che queste, unitamente alla relativa documentazione, dovranno essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura di segnalazione.

Questo sempre nel rispetto degli obblighi di riservatezza di cui all'articolo 12 del decreto e del principio di cui agli articoli 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 e 3, comma 1, lettera e), del decreto legislativo n. 51 del 2018.

Prospettive

Queste novità si pongono in un'ottica di continuità con la regolamentazione già vigente e cercano di superare le difficoltà riscontrate nell'applicazione di questo strumento.  Si resta in attesa, ad esempio, di vedere in che modo gli enti presidieranno la tutela del dato del segnalante, giacché ad oggi il timore di ritorsioni – dovute in primis alla perdita della riservatezza dell'identità del whistleblower – è una delle principali cause di omessa segnalazione.

È auspicabile, in ogni caso, che attraverso le modifiche apportate allo strumento del whistleblowing, si contribuisca in maniera più significativa alla prevenzione della commissione dei reati, raffonzando i principi di trasparenza e responsabilità che dovrebbero orientare l'attività di ogni ente, pubblico e privato.