Whistleblowing: compliance normativa e privacy alla luce della direttiva UE 2019/1937

La questione
Quali sono le novità del decreto di recepimento della Direttiva "whistleblowing" rispetto alla previgente disciplina? Come cambia la compliance normativa, in termini di modelli e privacy, per le aziende private e gli enti pubblici? Cosa prevede la nuova fattispecie di nullità di licenziamento individuale?

Il termine whistleblowing è entrato nel glossario giuridico italiano nel 2001, quando venne introdotta, all'interno dell'ordinamento giuridico italiano, la normativa finalizzata ad avversare eventuali eventi di corruzione nei contesti lavorativi, congegnando una peculiare tutela per colui che intendesse segnalare un illecito, affinché potesse procedervi senza la preoccupazione di poter diventare bersaglio di ripercussioni sfavorevoli, come condotte di mobbing o licenziamento. Il whistleblower è stato inteso, quindi, quale soggetto attivo del whistleblowing, cioè colui che riscontra in un'azienda o in un ente pubblico (in un primo momento, infatti, la disciplina limitava la propria operatività agli enti), e di conseguenza segnala, la presenza di illeciti o irregolarità. In virtù dell'art. 54 bis del decreto legislativo 30 marzo 2001 n. 165, più volte modificato e integrato, colui che avesse voluto segnalare le condotte illecite di cui fosse venuto a conoscenza in ragione del proprio rapporto di lavoro con la P.A., poteva farlo secondo la procedura e gli strumenti individuati dal medesimo testo. L'articolo era stato inserito dall'art. 1, comma 51, della legge 6 novembre 2012, n. 190, in seguito modificato dall'art. 31, del decreto-legge 24 giugno 2014, n. 90, come modificato dall'allegato alla legge di conversione, L. 11 agosto 2014, n. 114, in seguito sostituito dall'art. 1, L. 30 novembre 2017, n. 179, è stato da ultimo abrogato dall'art. 23, comma 1, lett. a), del D.lgs. 10 marzo 2023, n. 24, con decorrenza dal 30 marzo 2023 ed effetto dal 15 luglio 2023. Inoltre, ai sensi dell'art. 24, comma 1, di detto ultimo decreto, alle segnalazioni o alle denunce all'autorità giudiziaria o contabile effettuate prima del 30 marzo 2023, nonché a quelle effettuate fino al 14 luglio 2023, continuano ad applicarsi le disposizioni dell'articolo 54 bis in parola. Attraverso la L. 179/2017 si era imposto a tutte le P.A. e le aziende private che avessero adottato, queste ultime, un Modello Organizzativo Gestionale ex D. Lgs. 231/2001, a dotarsi di un canale informatico dedicato a chi venisse a conoscenza di condotte illecite nel luogo di lavoro, così da segnalarle in modo riservato.

Lo schema normativo della direttiva UE che l'Italia ha attuato col D.lgs. n. 24/2023
La direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, entrata in vigore il 16 dicembre 2019, reca disposizioni preordinate a fornire ai segnalanti (cd. "whistleblowers") una tutela uniforme in tutti gli Stati membri dell'UE e armonizzata tra gli svariati settori, introducendo regole comuni che impongano l'adozione di canali di segnalazione efficaci, riservati e sicuri e, al contempo, assicurino una protezione efficace dei segnalanti da eventuali ritorsioni. La direttiva dell'UE si compone di 29 articoli, suddivisi in 7 Capi, nonché di un allegato, e risulta suddistinta in due Parti, e plurimi Capi:

il Capo I (artt. 1-6) comprende le disposizioni afferenti:

all'ambito di applicazione,

alle definizioni,

alle condizioni di protezione.

In dettaglio, l'ambito di applicazione oggettivo viene ampliato (art. 2) alle ipotesi ove vengano segnalate violazioni del diritto UE, definite quali atti od omissioni illecite, ovvero che vanificano l'oggetto e le finalità di norme UE relative agli specifici settori individuati nell'allegato alla direttiva (tra cui gli appalti pubblici, la prevenzione del riciclaggio e del finanziamento del terrorismo, la sicurezza dei prodotti, la tutela dell'ambiente, la salute pubblica). Resta esclusa dall'ambito di operatività della direttiva in parola la materia della sicurezza nazionale, la quale rimane di esclusiva competenza del legislatore interno. Inoltre, la direttiva non pregiudica l'applicazione della normativa UE e nazionale in materia:

di protezione delle informazioni classificate,

di protezione del segreto professionale forense e medico,

di segretezza delle deliberazioni degli organi giudiziari,

nonché delle norme di procedura penale.

La direttiva è stata emendata dal regolamento (UE) 2020/1503 del Parlamento europeo e del Consiglio, del 7 ottobre 2020, relativo ai fornitori europei di servizi di crowdfunding per le imprese, nella finalità di renderla applicabile alle violazioni previste dal regolamento medesimo. Per quanto afferisce all'ambito di applicazione soggettivo il whistleblower, viene definito come la persona fisica che segnala o divulga informazioni sulle violazioni acquisite nell'ambito delle sue attività professionali, a prescindere dalla natura di dette attività o della circostanza che il rapporto di lavoro sia nel frattempo terminano ovvero non ancora esordito. Sono ricompresi tra i segnalanti tutelati dalla direttiva le persone aventi la qualifica di "lavoratori" ex art. 45 TFUE, ossia le persone che nel settore sia privato che pubblico, forniscono, per un certo periodo di tempo, a favore di terzi e sotto la direzione di questi, determinate prestazioni verso il corrispettivo di una retribuzione. Per l'effetto la protezione è concessa anche ai lavoratori con contratti atipici, quali quello a tempo parziale e a tempo determinato, nonché a chi ha un contratto o un rapporto di lavoro con un'agenzia interinale, ai tirocinanti e ai volontari. Le stesse tutele devono, inoltre, essere applicate a lavoratori autonomi, consulenti, subappaltatori e fornitori. Sono, infine, tutelati gli azionisti e le persone negli organi direttivi. Inoltre, la direttiva (art. 4) impegna gli Stati a dilatare le misure di protezione non soltanto ai segnalanti che lavorano nel settore privato o pubblico, ma pure:

ai cd. facilitatori, cioè coloro che assistono "una persona segnalante nel processo di segnalazione in un contesto lavorativo e la cui assistenza deve essere riservata" (art. 5),
ai terzi connessi con le persone segnalanti, quali ad esempio colleghi o familiari,
ai soggetti giuridici collegati al segnalante.

Le tutele contemplate dalla direttiva sono concesse ove siano segnalate:

violazioni già commesse o non ancora commesse, ma che verosimilmente potrebbero esserlo,

atti od omissioni che il segnalante abbia fondati motivi di ritenere violazioni,

tentativi di nascondere violazioni.

Vengono stabiliti specifici requisiti per poter accedere alle tutele (art. 6):

il segnalante deve avere ragionevoli motivi, alla luce delle circostanze e delle informazioni di cui dispone al momento della segnalazione, per ritenere che i fatti che segnala siano veri;

il segnalante ha fondati motivi per ritenere che le informazioni segnalate rientrino nell'ambito di applicazione della direttiva stessa;

il Capo II reca le disposizioni afferenti alle segnalazioni interne e al seguito delle medesime, chiedendo agli Stati di "incoraggiare la segnalazione mediante canali di segnalazione interni prima di effettuare la segnalazione mediante canali di segnalazione esterni" (art. 7). Detta regola subisce, al contempo, talune eccezioni:

ove non si ritenga che la segnalazione possa essere gestita efficacemente a "livello interno" e sussiste un rischio di ritorsione;

ove sia ammissibile una segnalazione diretta ai media in deroga ai canali whistleblowing.
La direttiva (art. 8) impone l'obbligo di istituire canali di segnalazione interni a tutte le imprese con almeno 50 lavoratori, all'infuori dalla natura delle loro attività, come pure a tutti i soggetti giuridici del settore pubblico, inclusi quelli di proprietà o sotto il controllo dei medesimi. L'esenzione delle piccole e medie imprese da obbligo siffatto non si applica ai soggetti che operano nel settore dei servizi finanziari esposti a rischio di riciclaggio e finanziamento del terrorismo che, pertanto, dovranno istituire canali di segnalazione interni a prescindere dalle loro dimensioni. Ulteriormente, a seguito di un'opportuna valutazione del rischio, è riconosciuta agli Stati membri la facoltà di esigere che pure società con un numero di dipendenti inferiore istituiscano canali di segnalazione interna in ipotesi specifiche, per esempio a causa dei notevoli rischi che possono derivare dalle loro attività. Nel settore pubblico, invece, l'obbligo di istituire canali whistleblowing potrà essere derogato, a discrezione del singolo Stato membro, per i soli Comuni con meno di 10.000 abitanti. In merito alle procedure per la segnalazione interna, sono imposti (art. 9) una serie di requisiti che gli enti devono rispettare, riconoscendo, al contempo, che spetti comunque a ogni soggetto definire la tipologia di canale da istituire: i canali per ricevere le segnalazioni devono essere progettati, realizzati e gestiti in modo sicuro e tale da assicurare la riservatezza dell'identità del segnalante e di eventuali terzi citati nella segnalazione. Al whistleblower deve essere consentito di segnalare per iscritto e di trasmettere le segnalazioni per posta, mediante cassetta per i reclami o piattaforma online, ovvero di segnalare oralmente tramite linea telefonica gratuita, ovvero ulteriore sistema di messaggistica vocale, o entrambi. Inoltre, dietro istanza del segnalante, deve essere possibile effettuare segnalazioni attraverso incontri di persona coi soggetti incaricati. Quanto alle tempistiche, entro sette giorni il segnalante deve ricevere un avviso circa il ricevimento della segnalazione stessa e le procedure devono prevedere un termine ragionevole (non superiore a tre mesi) per fornire un riscontro alla segnalazione. I canali di segnalazione possono essere gestiti:

internamente da una persona o da un servizio designato a tal fine,
essere messi a disposizione esternamente da terzi, purché offrano adeguate garanzie di indipendenza, riservatezza, protezione dei dati e segretezza.

È, inoltre, necessario che sia designata una persona o un servizio imparziale competente per dare seguito alle segnalazioni, che potrebbe essere la stessa persona o lo stesso servizio che riceve le segnalazioni e che manterrà la comunicazione col segnalante;
il Capo III (artt. 10-14) disciplina le segnalazioni esterne e il relativo seguito. Quanto alle segnalazioni esterne, i whistleblowers possono segnalare violazioni alle autorità designate dagli Stati membri, nonché a quelle competenti a livello europeo. Sono quindi disciplinati:

l'obbligo di istituire canali di segnalazione esterna e di seguito alle segnalazioni,

i criteri per la progettazione dei canali di segnalazione esterna (affinché gli stessi vengano considerati indipendenti e autonomi),

le informazioni sul ricevimento delle segnalazioni e relativo seguito che le autorità competenti devono pubblicare sui loro portali web, in una sezione separata, facilmente identificabile e accessibile.

Il Capo IV (art. 15) riconosce la possibilità di effettuare divulgazioni pubbliche in talune specifiche ipotesi, dove i segnalanti beneficiano delle protezioni previste a condizione che:abbiano prima segnalato internamente ed esternamente o direttamente esternamente, ma non sia stata intrapresa un'azione appropriata in risposta alla segnalazione entro il termine di tre mesi previsto dalla direttiva oppure, abbiano fondati motivi di ritenere che possa esservi un pericolo imminente o palese per il pubblico interesse o le prospettive che la violazione sia affrontata efficacemente siano scarse;

il Capo V (artt. 16-18) contiene disposizioni relative a:obbligo di riservatezza, specificando l'obbligo per gli Stati membri di provvedere affinché l'identità della persona segnalante non sia divulgata, senza il suo consenso esplicito, a nessuno che non faccia parte del personale autorizzato competente a ricevere o a dare seguito alle segnalazioni. Sono inoltre previsti specifici casi di deroga e le relative garanzie;trattamento dei dati personali;conservazione della documentazione inerente alle segnalazioni, con la specificazione che tutti i dati e le informazioni relativi alla segnalazione devono essere conservati diligentemente in modo da poterle fornire alle autorità competenti ove necessario;

il Capo VI (artt.19-24) riguarda le misure di protezione, quindi gli Stati membri dovranno adottare le misure necessarie per:vietare qualsiasi forma di ritorsione;garantire che siano fornite informazioni pertinenti e accurate a tale riguardo in modo chiaro e facilmente accessibile al pubblico;assicurare consulenze individuali, imparziali e riservate a titolo gratuito, nonché, se ne ricorrano determinate condizioni, il patrocinio gratuito nei procedimenti penali;prevedere che una volta che il whistleblower abbia dimostrato di aver effettuato una segnalazione a norma della direttiva e di aver subito un danno, l'onere della prova sia spostato sulla persona che ha posto in essere l'azione ritorsiva;garantire l'impossibilità nei confronti del whistleblower di far valere obblighi giuridici o contrattuali come le clausole di lealtà dei contratti o gli accordi di riservatezza o non divulgazione per impedire di effettuare una segnalazione, negare la protezione o penalizzare le persone segnalanti per aver effettuato la segnalazione;escludere, nei procedimenti giudiziari, la responsabilità del segnalante per effetto di segnalazioni o divulgazioni pubbliche;escludere la responsabilità dei segnalanti per l'acquisizione delle informazioni segnalate o divulgate pubblicamente né per l'accesso alle medesime, a condizione che tale acquisizione o accesso non costituisca di per sé un reato.
A tutela del sistema di protezione dei segnalanti, previsto dalla direttiva in disamina, gli Stati membri sono chiamati a prevedere sanzioni, di natura civile, penale o amministrativa, effettive, proporzionate e dissuasive nei confronti:di coloro che ostacolano o tentano di ostacolare le segnalazioni, attuano atti di ritorsione o procedimenti vessatori contro i segnalanti, violano l'obbligo di riservatezza sull'identità delle persone segnalanti;delle persone segnalanti per le quali sia accertato che hanno scientemente posto in essere segnalazioni o divulgazioni pubbliche false.Inoltre, gli Stati membri provvedono affinché i diritti e i mezzi di ricorso previsti dalla direttiva in parola non possano essere oggetto di rinuncia o limitazione in virtù di accordi, regimi, forme o condizioni di lavoro, compreso un accordo arbitrale precontenzioso;

il Capo VII contiene le disposizioni finali:il termine di recepimento della direttiva è stato fissato al 17 dicembre 2021;per quanto riguarda i soggetti giuridici del settore privato con più di 50 e meno di 250 lavoratori, gli Stati membri "mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie" per conformarsi all'obbligo di stabilire un canale di segnalazione interno entro il 17 dicembre 2023 (art.26);

l'articolo 25 riguarda il trattamento più favorevole e la clausola di non regressione, prevedendo che gli Stati membri possano introdurre o mantenere disposizioni più favorevoli ai diritti delle persone segnalanti di quelle previste dalla direttiva, e che l'attuazione della medesima non possa in alcuna ipotesi costituire motivo di riduzione del livello di protezione già offerto dagli Stati membri negli ambiti di operatività della direttiva.

L'attuazione della direttiva 2019/1937 mediante il D.lgs. n. 24/2023

Il decreto legislativo 10 marzo 2023, n. 24, recante «Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali», pubblicato sulla G.U. Serie Generale n. 63/2023, con entrata in vigore al 30 marzo 2023, consta di 25 articoli, ripartiti in quattro Capi, e di un allegato.

Il Capo I (artt. 1-3) oltre ad individuare l'ambito soggettivo e oggettivo di applicazione del provvedimento, reca le definizioni rilevanti ai fini del decreto stesso:l'articolo 1 individua l'ambito di applicazione oggettiva, ossia le violazioni oggetto di possibile segnalazione. Esso risulta avere una portata più ampia rispetto all'ambito di applicazione della direttiva (la direttiva, all'art. 2, par. 2, consente agli Stati membri di ampliare l'ambito di protezione), poiché ricomprende non solamente le violazioni del diritto dell'UE indicate nell'art. 2, par. 1, della direttiva, bensì pure quelle del diritto nazionale.
Le segnalazioni, per rientrare nell'ambito di applicazione del decreto, devono comunque avere per oggetto violazioni di disposizioni normative (nazionali o europee) che ledono l'interesse pubblico o l'integrità della P.A. o dell'ente privato. Si elencano, inoltre, una serie di disposizioni la cui applicazione non è pregiudicata dalla nuova disciplina;l'articolo 2 contiene le definizioni rilevanti ai fini del decreto, riproducendo quelle previste dall'art. 5 della direttiva (fatta eccezione per la definizione di "autorità competente", indicata nel decreto direttamente in ANAC) e prevedendone di nuove (lett. p), q) e r). Si tratta in particolare delle definizioni di:

"soggetti del settore pubblico" (PP.AA., autorità amministrative indipendenti di garanzia, vigilanza e regolazione, enti pubblici economici, organismi di diritto pubblico, concessionari di pubblico servizio, le società a controllo pubblico e le società in house);

"soggetti del settore privato", costituiti da quelli che hanno impiegato, nell'ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, nonché da quelli che, pur non avendo impiegato la media di 50 lavoratori, rientrano nell'ambito di applicazione degli atti dell'UE di cui alle parti I.B e II dell'allegato (in materia di servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, tutela dell'ambiente e sicurezza dei trasporti) ovvero rientrano nell'ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231 e adottano modelli di organizzazione e gestione ivi previsti;

"soggetti diversi" (soggetti diversi dai soggetti del settore pubblico e che includono i soggetti del settore privato).

In particolare, le segnalazioni rientranti nella nuova disciplina di tutela sono quelle concernenti le violazioni, di cui l'autore della segnalazione sia venuto a conoscenza in un contesto lavorativo, pubblico o privato, individuate dall'articolo 2, comma 1, lettera a). Nell'ambito rientrano, oltre a quelli specificamente individuati, tutti gli illeciti di natura amministrativa, contabile, civile o penale; in ogni caso, si pone la condizione che il comportamento, l'atto o l'omissione illecito leda l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato. Tale condizione viene posta anche con riferimento al caso in cui il contesto lavorativo in oggetto rientri tra le attività costituenti il summenzionato ambito di applicazione della direttiva (UE) 2019/1937 e la violazione asserita concerna una disposizione del diritto dell'UE;l'articolo 3 individua i lavoratori, ai quali è riconosciuta la facoltà di segnalazione, nonché i soggetti che godono delle misure di protezione. Si prevede che la disciplina in disamina si applichi agli autori delle segnalazioni, delle divulgazioni pubbliche o delle denunce all'autorità giudiziaria o contabile, se le violazioni asserite rientrino nella nozione summenzionata di violazione, l'ambito lavorativo rientri nei settori pubblici o privati summenzionati e gli autori delle segnalazioni o degli atti equivalenti rientrino tra:

i lavoratori operanti nell'ambito lavorativo oggetto della segnalazione o dell'atto equivalente, compresi i lavoratori autonomi;gli altri soggetti individuati dal comma 3 coinvolti, a vario titolo, nel medesimo ambito lavorativo.

La tutela si applica, oltre che in via diretta agli autori suddetti, ai soggetti di cui al comma 5:

i facilitatori;

le persone del medesimo contesto lavorativo della persona oggetto in via diretta di tutela che siano legate alla medesima da uno stabile legame affettivo o di parentela entro il quarto grado;

i colleghi di lavoro della persona oggetto in via diretta di tutela che lavorino nel medesimo contesto lavorativo della stessa e che abbiano con quest'ultima un rapporto abituale e corrente;

gli enti di proprietà della persona oggetto in via diretta di tutela, gli enti per i quali la stessa persona lavori e gli enti che operino nel medesimo contesto lavorativo della suddetta persona.

Il comma 4 dello stesso articolo 3 individua le fattispecie nelle quali la tutela si applica anche nelle ipotesi ove la segnalazione sia anteriore o successiva al rapporto di lavoro o all'altro tipo di rapporto giuridico di cui al comma 3.

Il Capo II (artt. 4-15) disciplina le segnalazioni interne, esterne e le divulgazioni pubbliche, fissando nel contempo puntuali obblighi di riservatezza:l'articolo 4 disciplina le modalità di presentazione delle segnalazioni interne, preordinate a garantire la riservatezza dell'identità del segnalante, e indica i soggetti che necessariamente devono istituire i canali di segnalazione interna. Si tratta dei soggetti del settore pubblico e dei soggetti del settore privato, come definiti ai sensi dell'art. 2.
Il comma 2 esplicita che la gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, ovvero è affidata a un soggetto esterno, anch'esso autonomo e con personale specificamente formato.
I soggetti del settore privato che hanno impiegato nell'ultimo anno una media di non più di 249 dipendenti a tempo indeterminato o a termine possono condividere le risorse per il ricevimento delle segnalazioni interne e per l'eventuale istruttoria da svolgere.
I Comuni diversi dai Capoluoghi di Provincia possono prevedere canali e procedure di segnalazione interna condivisi, anche nell'ambito delle Unioni di Comuni e delle ulteriori forme associative;

l'articolo 5 disciplina l'iter procedurale successivo alla segnalazione interna: sono stati introdotti specifici termini volti a dare riscontro al whistleblower del ricevimento della segnalazione, nonché dell'attività di verifica svolta.

I soggetti del settore pubblico e del settore privato sono poi chiamati a fornire informazioni chiare e facilmente accessibili anche dall'esterno sui canali e le procedure sia per le segnalazioni interne che per quelle esterne;

l'articolo 6 disciplina le condizioni per effettuare le segnalazioni esterne, sia per il settore pubblico che per il settore privato. La disposizione subordina il ricorso alle segnalazioni esterne al ricorrere di determinate condizioni, indicate dalla norma stessa;

l'articolo 7, similmente a quanto già previsto, per il settore pubblico, dall'articolo 54-bis del TU pubblico impiego, individua l'ANAC come autorità competente per le segnalazioni esterne, anche per il settore privato, e prevede le modalità di presentazione delle segnalazioni, attraverso canali idonei a garantire la riservatezza del segnalante, della persona coinvolta e di quella menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.
La disposizione prevede, inoltre, al comma 3, entro 7 giorni dal suo ricevimento, la trasmissione all'ANAC della segnalazione presentata a un'autorità incompetente, trasmissione di cui va dato contestuale avviso al whistleblower;

l'articolo 8 prevede che l'ANAC debba designare personale specificamente formato per la gestione del canale di segnalazione esterna: la disposizione individua le attività che il personale in questione è chiamato a svolgere, introducendo anche specifici termini volti a dare riscontro al segnalante del ricevimento della segnalazione, nonché dell'attività di verifica e analisi della stessa. Si prevede che sia data comunicazione al segnalante dell'esito dell'istruttoria, che può consistere anche nella archiviazione o nella trasmissione alle autorità competenti o in una raccomandazione o in una sanzione. L' ANAC è tenuta, inoltre, a disporre l'invio delle segnalazioni aventi ad oggetto informazioni sulle violazioni che non rientrano nella propria competenza alla competente autorità amministrativa o giudiziaria, ivi comprese le istituzioni, gli organi o gli organismi dell'UE, dando avviso al segnalante di tale invio. Viene prevista inoltre la trasmissione da parte di ANAC alla Commissione UE di informazioni:sul numero di segnalazioni esterne ricevute,sui procedimenti avviati in seguito alle segnalazioni,sugli eventuali danni finanziari derivanti dalle violazioni.

L'ANAC, in caso di significativo afflusso di segnalazioni esterne, può trattare in via prioritaria le segnalazioni esterne che hanno per oggetto informazioni sulle violazioni riguardanti una grave lesione dell'interesse pubblico ovvero la lesione di principi di rango costituzionale o di diritto dell'UE;

l'articolo 9 prevede una serie di informazioni relative alle procedure di segnalazione, in particolare l'ANAC deve pubblicare sul proprio website l'illustrazione delle misure di protezione, i propri contatti, le istruzioni di uso;

l'articolo 10 prevede l'adozione di apposite linee guida da parte dell'ANAC, sentito il Garante per la protezione dei dati personali, per le procedure di presentazione e gestione delle segnalazioni esterne. Le linee guida, che devono essere riesaminate almeno una volta ogni tre anni, prevedono l'impiego di modalità anche informatiche e promuovono il ricorso a strumenti di crittografia per garantire la riservatezza dell'identità del segnalante, della persona coinvolta o menzionata nella segnalazione, del contenuto delle segnalazioni e della relativa documentazione;

l'articolo 11 dispone un incremento della dotazione organica dell'ANAC, in considerazione delle ulteriori competenze ad essa attribuite:

18 unità di personale del ruolo dei funzionari,4 unità del ruolo degli operativi.

Alla copertura degli oneri derivanti da tale aumento, si provvede con corrispondente riduzione del Fondo per il recepimento della normativa europea, di cui all'articolo 41-bis della legge n. 234/2012;l'articolo 12 prevede un generale obbligo di riservatezza per il quale le informazioni sulle violazioni non possono essere impiegate oltre quanto necessario per dare seguito alle medesime.

Inoltre, si disciplina il contenuto dell'obbligo di riservatezza in ordine all'identità del segnalante, che non può essere rivelata o divulgata, senza il suo consenso espresso, a persone differenti rispetto a quelle competenti a ricevere o a dare seguito alla segnalazione. La disposizione precisa che nell'ambito del procedimento penale, l'identità della persona segnalante è coperta dal segreto nei modi e nei limiti previsti dall'art. 329 c.p.p. sul segreto investigativo.
Nell'ambito del procedimento contabile l'identità del segnalante non può essere rivelata fino alla chiusura della fase istruttoria. Con riferimento ai procedimenti disciplinari si precisa che l'identità del segnalante non può essere rivelata, ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, pure se conseguenti alla stessa.
Nel caso ove la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione sarà utilizzabile unicamente in presenza del consenso espresso del whistleblower alla rivelazione della propria identità. In questi casi, ovvero quando viene rivelata l'identità del segnalante, si prevede l'obbligo di comunicazione scritta delle ragioni della rivelazione dei dati riservati.

I soggetti del settore pubblico e privato, l'ANAC e le altre autorità amministrative cui l'ANAC trasmette le segnalazioni esterne sono tenuti a garantire la tutela anche dell'identità delle persone coinvolte e delle persone menzionate nella segnalazione nel rispetto delle stesse garanzie previste in favore del whistleblower;

l'articolo 13 disciplina il trattamento dei dati personali: ogni trattamento dei dati personali, compresa la comunicazione tra le autorità competenti, previsto dallo stesso D.lgs. n. 24, deve essere effettuato a norma del GDPR, del D.lgs. n. 196/2003, nonché del D.lgs. n. 51/2018. La comunicazione di dati personali da parte delle istituzioni, degli organi o degli organismi dell'UE è effettuata in conformità del regolamento (UE) 2018/1725. I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente;

l'articolo 14 disciplina le modalità di conservazione delle segnalazioni, interne ed esterne, e della relativa documentazione differenziando a seconda che la segnalazione sia stata presentata mediante:linea telefonica registrata,sistema di messaggistica vocale registrato,linea telefonica non registrata,altro sistema di messaggistica vocale non registrato,oralmente nel corso di un incontro con il personale addetto;

l'articolo 15 disciplina la divulgazione pubblica come ulteriore modalità di segnalazione, prevedendo che debba essere effettuata a determinate condizioni, affinché il segnalante possa beneficiare della protezione prevista dal D.lgs. n. 24/2023:

che sia stata effettuata una precedente segnalazione interna ed esterna o direttamente esterna, alle condizioni e con le modalità previste dagli articoli 4 e 7, e non è stato dato adeguato seguito nei termini ivi previsti;

oppure che la segnalazione non sia stata effettuata poiché il segnalante ha fondati motivi di ritenere che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse;ancora che la persona segnalante ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa essere inefficace considerate le circostanze del caso concreto.

Restano ferme le norme sul segreto professionale degli esercenti la professione giornalistica, con riferimento alla fonte della notizia.

Il Capo III (artt. 16-22) reca previsioni concernenti la tutela dei whistleblowers, disponendo le condizioni per l'applicazione delle misure di protezione e prevedendo presidi a fronte di eventuali ritorsioni, misure di sostegno e ipotesi di limitazioni della responsabilità:l'articolo 16 detta le condizioni per la protezione del whistleblower, il quale abbia fondato motivo di ritenere che le informazioni sulle violazioni siano vere e pertinenti, valorizzando a tal fine la sua buona fede al momento della segnalazione e precisando l'irrilevanza dei motivi che lo abbiano indotto a segnalare. La disposizione assicura tutela, in ipotesi di segnalazione o divulgazione anonima, anche al segnalante che sia stato in seguito identificato e che abbia subito ritorsioni, oltre che nei casi di segnalazione presentata alle istituzioni, agli organi e agli organismi competenti dell'UE;

l'articolo 17 reca il divieto di ogni forma di ritorsione a danno del whistleblower, fornendo un'esemplificazione delle possibili fattispecie ritorsive, sia pur non esaustiva:licenziamento,demansionamento,trasferimento di sede,ogni altra azione che comporti effetti negativi sui contratti di lavoro, nonché una serie di altre gravi condotte afflittive, come ad esempio:
la richiesta di sottoposizione ad accertamenti medici o psichiatrici,azioni discriminatorie dalle quali conseguono pregiudizi economici o finanziari anche in termini di perdita reddituale o di opportunità.

La norma determina, nell'ambito di procedimenti giudiziari aventi per oggetto comportamenti, atti o omissioni ritorsivi, un'inversione dell'onere probatorio, in quanto essi si presumono posti in essere a causa della segnalazione o divulgazione o denuncia, ponendosi quindi l'onere della prova contraria a carico del soggetto che li ha commessi così come, nell'ambito di giudizi risarcitori, per la natura ritorsiva delle condotte e la causazione del danno che i soggetti di cui all'articolo 3, commi 1, 2, 3 e 4, dimostrino di aver subito a fronte della segnalazione, divulgazione o denuncia medesima;

l'articolo 18 prevede misure di sostegno in favore del whistleblower, prevedendo che a fornirle siano gli enti del terzo settore inseriti in un elenco dedicato istituito presso l'ANAC, e specificando che tali misure consistono in informazioni, forme di assistenza e consulenze a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni offerta dall'ordinamento nazionale ed europeo, sui diritti della persona coinvolta e sulle modalità e condizioni di accesso al patrocinio a spese dello Stato previsto dal diritto interno e dell'UE.

Si prevede, inoltre, la possibilità per l'autorità giudiziaria o amministrativa, alla quale si è rivolto il whistleblower per ottenere protezione dalle ritorsioni, di richiedere all'ANAC informazioni e documenti relativi alle segnalazioni eventualmente presentate. Si osservano le forme ex articolo 210 e seguenti del c.p.c. in materia di esibizione delle prove nei procedimenti giudiziari, nonché l'articolo 63, secondo comma, del c.p.a. per i processi amministrativi, in tema di mezzi di prova;

l'articolo 19 garantisce la tutela del whistleblower, prevedendo, sia nel settore pubblico che nel settore privato, la comunicazione all'ANAC delle misure ritorsive eventualmente adottate. Vengono quindi dettate le misure di protezione che l'ANAC attiva al riguardo, informando, in ipotesi di ritorsioni commesse in ambito lavorativo pubblico, il Dipartimento della funzione pubblica ed eventuali organismi di garanzia o disciplina, per gli eventuali provvedimenti di competenza, e, in caso di ritorsioni commesse nel contesto lavorativo privato, l'Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza.
Nella disciplina previgente l'adozione di misure discriminatorie verso il whistleblower poteva essere denunciata direttamente all'Ispettorato del lavoro, invece l'articolo 23 esclude tale possibilità, pertanto, il coinvolgimento dell'Ispettorato potrà avvenire solo per il tramite dell'ANAC, che resta l'unico soggetto competente a valutare gli elementi acquisiti e l'eventuale applicazione delle sanzioni amministrative di cui all'articolo 21. L'ANAC può tuttavia delegare l'attività istruttoria ai competenti Ispettorati.

Gli atti ritorsivi sono considerati nulli con la previsione della reintegrazione nel posto di lavoro in ipotesi di licenziamento.

Competente a decidere riguardo alle condotte e agli atti integranti forme di ritorsione è il giudice ordinario, che adotta tutte le misure, anche provvisorie, necessarie ad assicurare la tutela alla situazione giuridica soggettiva azionata, incluso:

il risarcimento del danno,la reintegrazione nel posto di lavoro, l'ordine di cessazione della condotta posta in essere,la dichiarazione di nullità degli atti ritorsivi posti in essere;l'articolo 20 introduce una scriminante per il whistleblower, che ne esclude la responsabilità non solo penale, bensì pure civile e amministrativa, a fronte delle ipotesi ove vengano rivelate o diffuse informazioni sulle violazioni coperte dall'obbligo di segreto, e finanche nell'ipotesi di violazione delle disposizioni relative alla tutela del diritto d'autore, ovvero alla protezione dei dati personali, nonché nell'ipotesi ove la stessa attività di segnalazione o diffusione offenda la reputazione della persona coinvolta.
In ogni caso, resta ferma la responsabilità penale e ogni ulteriore forma di responsabilità, civile o amministrativa, per le condotte, gli atti o le omissioni non collegati alla segnalazione o alla denuncia o alla divulgazione pubblica, o che non sono strettamente necessari a rivelare la violazione;

l'articolo 21 dispone che l'ANAC, accertata all'esito dell'istruttoria la natura ritorsiva ovvero ostativa degli atti o delle omissioni poste in essere, deve applicare le sanzioni amministrative pecuniarie ai soggetti pubblici o privati, tenendo conto della dimensione dell'amministrazione oppure dell'ente cui si riferisce la segnalazione.
Sono previste sanzioni amministrative pecuniarie pure per l'omessa istituzione di canali di segnalazione o nell'evenienza in cui non siano state adottate procedure per l'inoltro e la gestione delle segnalazioni.

In merito al settore privato, gli enti e le persone giuridiche di cui all'articolo 1, comma 1, lettera q), numero 3) prevedono nel sistema disciplinare adottato ex articolo 6, comma 2, lettera e) del D.lgs. 8 giugno 2001, n. 231, sanzioni disciplinari verso coloro che accertano essere responsabili degli illeciti di cui al comma 1, sanzioni che si cumulano con quelle amministrative pecuniarie sopra esplicitate;

l'articolo 22 dispone che le nullità di rinunce e transazioni, integrali o parziali, che abbiano per oggetto diritti e tutele previsti dal decreto n. 24/2023 non sono valide, ad eccezione di quelle concluse nelle forme e nei modi di cui all'articolo 2113, comma 4, c.c., a seguito conciliazione in sede amministrativa, sindacale o giudiziale.Il Capo IV (artt. 23-25) reca previsioni concernenti le disposizioni finali:

l'articolo 23 dispone l'abrogazione delle già vigenti disposizioni in materia di whistleblowing, essendo stata trasposta nel decreto n. 24 la relativa disciplina, previo adattamento alle previsioni della direttiva che attua:

l'art. 54-bis del D.lgs. n. 165/2001, che disciplinava la tutela del dipendente pubblico che segnala illeciti;

l'art. 6, commi 2-ter e 2-quater, del D.lgs. n. 231/2001,l'art. 3 della l. n. 179/2017, che integrava la disciplina dell'obbligo di segreto d'ufficio, aziendale, professionale, scientifico e industriale.
Restano vigenti le attuali norme, di cui all'art. 2 (recante «Tutela del dipendente o collaboratore che segnala illeciti nel settore privato») della l. n. 179/2017, relative al settore lavorativo privato, che consistono in un'integrazione della disciplina sull'esclusione della responsabilità amministrativa degli enti privati derivante da reati, esclusione tuttavia subordinata all'adozione di determinati modelli di organizzazione e di gestione;

l'articolo 24 reca la disciplina transitoria e di coordinamento, statuendo che le disposizioni del decreto si applichino decorsi quattro mesi dalla data della relativa entrata in vigore, a eccezione della specifica disciplina prevista per i soggetti del settore privato: fino ad allora si dispone l'ultrattività della vigente disciplina in materia (la cui abrogazione viene specificamente disposta dall'art. 23), così come per le segnalazioni, denunce e divulgazioni poste in essere prima della data di entrata in vigore.

Inoltre, al fine di assicurare il coordinamento normativo, sono stati modificati i seguenti articoli:
art. 4 della l. n. 604/1966;art. 2-undecies, comma 1, lettera f), del D.lgs. n. 196/2003;
art. 6, comma 2 bis, del D.lgs. n. 231/2001;
l'articolo 25 contiene le disposizioni finanziarie e prevede che, ad eccezione per le disposizioni di cui all'articolo 11, dall'attuazione del decreto legislativo medesimo non debbano derivare nuovi o maggiori oneri a carico della finanza pubblica, atteso che agli adempimenti e alle attività a esso connessi potrà provvedersi tramite l'impiego delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

L'impatto della riforma su privacy e compliance

Come sopra già evidenziato, l'articolo 24, comma 4, del D.lgs. n. 24/2023 è andato a modificare tre norme, contenute rispettivamente nella disciplina sui licenziamenti individuali, sul Codice privacy, nonché sulla disciplina compliance, con decorrenza dal 30 marzo 2023 ed effetto a decorrere dal 15 luglio 2023. A seguito della novella, quindi:- in ambito licenziamenti, la Legge 15 luglio 1966, n. 604, recante «Norme sui licenziamenti individuali», all'articolo 4 («Presupposti per la nullità del licenziamento») stabilisce quindi che il licenziamento determinato da ragioni di credo politico o fede religiosa, dall'appartenenza a un sindacato, dalla partecipazione ad attività sindacali o conseguente all'esercizio di un diritto ovvero alla segnalazione, alla denuncia all'autorità giudiziaria o contabile o alla divulgazione pubblica effettuate ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, è nullo.- per ciò che afferisce gli adattamenti normativi del D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali) alla nuova disciplina sul whistleblowing, è stato specificamente l'art. 2 undecies, recante «Limitazioni ai diritti dell'interessato», comma I, lettera f), ad aver subito gli effetti della novella, con l'effetto che, i diritti di cui agli articoli da 15 a 22 del Regolamento non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell'articolo 77 del Regolamento qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto:

«f) alla riservatezza dell'identità della persona che segnala violazioni di cui sia venuta a conoscenza in ragione del proprio rapporto di lavoro o delle funzioni svolte, ai sensi del decreto legislativo recante attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione, ovvero che segnala violazioni ai sensi degli articoli 52-bis e 52-ter del decreto legislativo 1° settembre 1993, n. 385, o degli articoli 4-undecies e 4-duodecies del decreto legislativo 24 febbraio 1998, n. 58»;

- infine, il D.lgs. 8 giugno 2001, n. 231, recante la«Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300», all'articolo 6 "Soggetti in posizione apicale e modelli di organizzazione dell'ente", comma 2-bis, nel testo post novella stabilisce che "I modelli di cui al comma 1, lettera a), prevedono, ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2, lettera e)".

Considerazioni conclusive

Per "whistleblowing" si intendeva la possibilità, fornita dall'ordinamento al dipendente pubblico, di segnalare un illecito di cui fosse venuto a conoscenza nel proprio ambiente di lavoro. Per l'effetto, il segnalante (cd. whistleblower), sotto la previgente normativa, veniva identificato con un dipendente di una P.A., ovvero di un ente pubblico economico, di un ente di diritto privato sottoposto a controllo pubblico, ovvero un lavoratore di un fornitore della P.A., che segnalasse condotte o situazioni irregolari di interesse generale, nel quale avesse impattato a causa della propria funzione lavorativa. Attraverso la direttiva UE 1937/2019, recepita dall'Italia tramite il D.lgs. n. 24/2023, le tutele si sono dilatate sia dal punto di vista oggettivo che soggettivo, e risultano rivolte a coloro che segnalano violazioni di normative interne o europee in un contesto pubblico o privato in qualità di:lavoratori dipendenti o collaboratori;lavoratori subordinati e autonomi;liberi professionisti;volontari e tirocinanti, finanche non retribuiti;azionisti;individui che rivestono funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza;colleghi, parenti o affetti stabili del whistleblower.

Il D.lgs. n. 24/2023 rinforza i principi di trasparenza e responsabilità accrescendo il campo di operatività alle aziende private con una media di oltre 50 dipendenti e a settori (uno per tutti, quello finanziario) ove la disciplina trova applicazione indipendentemente dal limite numerico dell'organico aziendale mediamente occupato nell'anno precedente. Quanto ai soggetti del settore privato, negli enti con meno di cinquanta dipendenti viene consentita solamente la segnalazione interna delle condotte illecite, tuttavia non la possibilità di ricorrere al canale esterno e alla divulgazione pubblica. Le aziende cui si applica la nuova disciplina dovranno predisporre canali interni di segnalazione capaci di assicurare la riservatezza richiesta dal medesimo decreto.

La segnalazione esterna all'ANAC, invece, risulta consentita ove:sia stato impiegato preventivamente tale canale interno;non sia prevista l'attivazione obbligatoria del canale di segnalazione interna, ovvero questo non sia stato attivato oppure, se attivato, risulti inattendibile sul fronte della riservatezza;effettuata la segnalazione, questa non abbia avuto seguito ovvero sussista un effettivo pericolo di ritorsione;la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse.Si osserva che l'articolo 24, comma 4, del D.lgs. n. 24/2023 ha modificato tre norme, contenute rispettivamente sulla disciplina sui licenziamenti individuali, sul Codice privacy, nonché sulla disciplina compliance, con decorrenza dal 30 marzo 2023 ed effetto a decorrere dal 15 luglio 2023. Per l'effetto, oltre a inserire una specifica nullità del licenziamento individuale determinato dalla segnalazione, denuncia all'autorità giudiziaria o contabile o dalla divulgazione pubblica effettuate ai sensi del D.lgs. n. 24/2023, che attua la direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, le "Limitazioni ai diritti dell'interessato", contenute nel codice privacy, vengono ulteriormente ristrette, per cui i diritti di cui agli articoli da 15 a 22 del GDPR non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell'articolo 77 GDPR se dall'esercizio di detti diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell'identità della persona che segnala violazioni, di cui sia venuta a conoscenza in ragione del proprio rapporto di lavoro o delle funzioni svolte, ai sensi del D.lgs. n. 24/2023. Infine, il D.lgs. n. 231/2001, all'articolo 6 ("Soggetti in posizione apicale e modelli di organizzazione dell'ente") comma 2-bis, a seguito della novella stabilisce che "I modelli di cui al comma 1, lettera a), prevedono, ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2, lettera e)". Il D.lgs. n. 24/2023, come disposto dalle medesime norme transitorie, trova decorrenza dal 15 luglio 2023.