La nuova stagione del whistleblowing in Italia

ESTRATTO da Compliance - Il Mensile 7 aprile 2023 n. 3|p. 13 di Maria Hilda Schettino

11 Aprile 2023

L'Italia ha finalmente una nuova disciplina del Whistleblowing.
Il 30 marzo 2023 è entrato in vigore il D. Lgs. 24/2023 di "Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali" (di seguito, "Decreto Whistleblowing" o "Decreto").

Il Decreto ha lo scopo di rafforzare la legislazione nazionale sulla protezione dei whistleblower - precedentemente regolamentata dalla Legge 179/2017 - offrendo maggiori tutele alle persone che segnalano violazioni didisposizioni normative nazionali o dell'Unione Europea che ledono l'interesse pubblico o l'integrità delle amministrazioni pubbliche o degli enti privati, di cui siano venute a conoscenza nel proprio contesto lavorativo.

Che impatto ha il Decreto sull'organizzazione delle imprese private?
In che modo è assicurata una più estesa protezione dei segnalanti rispetto alla disciplina precedente?
Analizziamo di seguito le principali innovazioni della nuova normativa italiana.

Guardando al settore privato, l'obbligatoria implementazione di canali di whistleblowing rappresenta sicuramente uno dei principali tratti distintivi della nuova disciplina rispetto a quella introdotta nel 2017.

Invero, mentre fino a poche settimane fa, solo le imprese private che volontariamente decidevano di adottare modelli organizzativi ai sensi del D. Lgs. 231/2001 avevano poi anche l'obbligo di implementare un sistema di segnalazione di illeciti - ai fini dell'idoneità dei modelli stessi -, con il Decreto Whistleblowing, tale obbligo si applica a tutti gli enti privati che:
• nell'ultimo anno, hanno impiegato la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, a prescindere dal settore di appartenenza;
• hanno adottato un modello organizzativo ex Lgs. 231/2001, a prescindere dal numero dei dipendenti impiegati e dal settore di appartenenza;
• rientrano nell'ambito di applicazione degli atti dell'Unione Europea - elencati nell'allegato al Decreto - in materia di servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e finanziamento del terrorismo, sicurezza dei trasporti e tutela dell'ambiente, a prescindere dal numero dei dipendenti impiegati.

Pertanto, ogni impresa operante in Italia e rientrante nelle categorie appena menzionate dovrà istituire canali di segnalazione interna, adottareprocedure per l'effettuazione e la gestione delle segnalazioni, e garantire misure di tutela per i segnalanti. Tuttavia, occorre precisare che gli enti privati (i.e. i "gruppi") che, nell'ultimo anno, hanno impiegato una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, in numero non superiore a 249, potranno condividere il canale di segnalazione interna e la relativa gestione.

I nuovi canali interni dovranno consentire segnalazioni in forma scritta, anche con modalità informatiche (come piattaforme on-line), oppure in forma orale, attraverso linee telefoniche o sistemi di messaggistica vocale o, ancora, su richiesta del segnalante, tramite un incontro diretto con il gestore delle segnalazioni fissato entro un termine ragionevole.

La gestione dei canali dovrà essere affidata ad una persona o ad un ufficio interno autonomo dedicato (ad esempio, un comitato ad hoc) e costituito da personale specificamente formato per la gestione del canale di segnalazione. In alternativa, potrà anche essere affidata ad un soggetto esterno (il c.d. "Ombudsman"), anch'esso autonomo e specificamente formato.

Sarà fondamentale garantire - anche tramite il ricorso a strumenti di crittografia - la riservatezza dell'identità della persona segnalante, della persona segnalata e di altri soggetti comunque coinvolti nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. A tal fine, i dati personali del segnalante e degli altri soggetti coinvolti nella segnalazione dovranno essere trattati in conformità alla normativa vigente in materia di privacy e data protection, e sarà necessario applicare una serie di misure di natura sia organizzativa sia tecnica, al fine di tutelare la riservatezza del segnalante e l'integrità, nonché la confidenzialità, dei dati personali oggetto di segnalazione.

Non risulta, invece, obbligatorio fornire ai segnalanti la possibilità di effettuare segnalazioni anonime. Ciò nonostante, sul punto, è bene evidenziare che se, ricevute, le segnalazioni anonime non potranno essere totalmente ignorate. Il Decreto, infatti, richiede l'applicazione delle misure di tutela anche ai segnalanti che, dopo aver effettuato una segnalazione anonima, siano stati identificati e abbiano subito ritorsioni.

Come accennato, l'istituzione dei canali di segnalazione interna non è da sola sufficiente per adempiere alle prescrizioni del Decreto Whistleblowing.

Diversamente da quanto previsto in passato, le imprese dovranno anche adottare delle procedure per regolamentare in modo preciso le modalità di gestione della segnalazione, essendo stato introdotto uno specifico obbligo di follow-up in capo al gestore del canale.

In particolare, il soggetto designato a ricevere e gestire le segnalazioni effettuate attraverso il canale interno sarà tenuto, tra l'altro, a:
• fornire al segnalante un riscontro in merito alla ricezione della segnalazione entro 7 giorni dalla ricezione stessa;
• comunicare con il segnalante e, se necessario, chiedergli ulteriori informazioni;
dare diligentemente seguito alla segnalazione, ossia valutare la veridicità e sussistenza dei fatti segnalati, indagando sulla segnalazione e adottando le azioni correttive necessarie;
• fornire al segnalante un riscontro entro 3 mesi dall'avviso di ricevimento o, se non è stato inviato alcun avviso, entro 3 mesi dalla scadenza del termine di 7 giorni dalla presentazione della segnalazione.