La nuova disciplina sul whistleblowing

Il Decreto Legislativo n° 24 del 2023 ha introdotto nel nostro ordinamento  la nuova disciplina del whistleblowing.

Con whistleblowing si intende la segnalazione di violazioni, commesse in un’organizzazione pubblica o privata, di norme di diritto nazionale o dell’Unione Europea che ledono l’interesse pubblico o l’integrità di quella organizzazione.

Il segnalatore o whistleblower è la persona che ne ha avuto conoscenza in ragione del proprio rapporto lavorativo o professionale.

Per quanto riguarda il settore privato, si riportano nel seguito  le principali novità.

La nuova disciplina  si applica alle organizzazioni che hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. La nuova normativa è entrata in vigore il 15 luglio 2023, ma per le imprese che abbiano impiegato, nell’ultimo anno, una media fino a 249 lavoratori gli obblighi decorreranno dal 17 dicembre 2023.

La segnalazione può essere inoltrata non solo dai dipendenti, ma anche dai professionisti, consulenti, lavoratori autonomi e collaboratori che svolgono la propria attività presso i soggetti privati oppure forniscono beni o servizi. Ma non solo, possono inoltrare la segnalazione anche i volontari e i tirocinanti anche non retribuiti e gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. 

Le organizzazioni obbligate devono, inoltre, istituire un canale di segnalazione interna che garantisca la riservatezza dell’identità del segnalante, delle persone coinvolte, nonché del contenuto della stessa e della relativa documentazione. Le informazioni sul funzionamento del canale interno devono essere rese facilmente visibili nei luoghi di lavoro ed in una sezione dedicata del proprio sito internet.

È prevista l’istituzione di un canale di segnalazione esterna gestito dall’Autorità Nazionale Anticorruzione, alla quale il segnalante si può rivolgere se il canale di segnalazione interna non viene attivato o non è stato realizzato nel rispetto dei requisiti normativi. Come previsto dal d.lgs. 24/2023 l’ANAC ha adottato con la delibera n. 311 del 12 luglio 2023 apposite Linee Guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne.

Il whistleblower può anche effettuare una divulgazione pubblica dei fatti illeciti se la segnalazione interna o esterna effettuata non ha ricevuto riscontro nei termini previsti o se teme che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Il Decreto ha un forte impatto sugli obblighi in materia di protezione dati personali, poiché sono previste diverse norme volte a tutelare la persona del segnalante e proprio per questo devono essere adottati specifici adempimenti e misure. In particolare:

• L’identità della persona segnalante e qualsiasi altro dato da cui può evincersi, direttamente o indirettamente, tale informazione, non può essere rilevata senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati;

• La segnalazione deve essere conservata per il tempo necessario e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione;

• La segnalazione e la documentazione allegata è sottratta al diritto di accesso;

• Le segnalazioni non possono essere utilizzate per scopi diversi, nè rivelate a persone diverse, da quelle specificamente competenti, autorizzate ed istruite, in assenza del consenso espresso del segnalante;

• L’identità delle persone coinvolte e di quelle menzionate nella segnalazione è garantita sino alla conclusione dei relativi procedimenti, con il rispetto delle stesse garanzie accordate al segnalante.

Sul piano degli adempimenti data protection è necessario:

• Aggiornare le informative per il personale dipendente e redigere una specifica informativa per i soggetti, diversi da questi ultimi, che possono inoltrare la segnalazione;

• Aggiornare il registro dei trattamenti riportando il nuovo processo relativo al trattamento dei dati personali derivanti dalla gestione delle segnalazioni di fatti illeciti;

• Nominare i designati e gli autorizzati al trattamento;

• Formare il personale addetto alla funzione e predisporre la documentazione necessaria alla ricezione ed all’analisi delle segnalazioni;

• Nominare responsabili del trattamento i fornitori di applicativi e servizi specifici dedicati al trattamento delle segnalazioni di fatti illeciti;

• Aggiornare l’analisi dei rischi esaminando i rischi relativi al particolare processo;

• Redigere la valutazione di impatto per lo specifico trattamento.

Le violazioni per le quali è possibile inoltrare una segnalazione attengono a molteplici settori che in dettaglio sono riportati nell’art. 2 e nell’allegato del decreto legislativo 24 del 2023.

In caso di inosservanza delle disposizioni contenute nella nuova disciplina, L’ANAC può applicare severe sanzioni amministrative che possono arrivare fino a 50.000 euro.