Whistleblowing, il termine quinquennale per la conservazione delle segnalazioni non tiene conto delle eventuali contestazioni

Se il limite dei cinque anni è certamente sufficiente per consentire un’adeguata istruttoria sugli illeciti segnalati e per concludere la procedura di valutazione, lo stesso non può dirsi con riguardo ad eventuali contestazioni che potrebbero sorgere all’esito di tale conclusione, soprattutto in ragione dei diversi regimi prescrizionali ascrivibili alla responsabilità civile, penale ed amministrativa

di Ugo Ettore Di Stefano e Valentina Boscarino*

23 Novembre 2023

La Direttiva (UE) 1937/2019 prevede, all’art. 18, che i dati personali e i documenti raccolti in occasione delle segnalazioni effettuate dai cd. Whistleblowers siano conservati “soltanto per il tempo ritenuto necessario e proporzionato per conformarsi all’obbligo imposto dalla presente direttiva o ad altri obblighi imposti dal diritto dell’Unione o nazionale”.

Il D.Lgs. 24/2023, di attuazione della direttiva, all’art. 14 prevede che “le segnalazioni, interne ed esterne, e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione”, nel rispetto degli obblighi di riservatezza di cui all’articolo 12 dello stesso decreto e del principio di « limitazione della conservazione » di cui all’art. 5, comma 1, lett. e) del GDPR.

Nel recepire la direttiva, il legislatore nazionale è dunque andato oltre il precetto comunitario, individuando una soglia temporale massima per la conservazione dei dati , della durata di cinque ann i, richiamata anche nelle linee guida di ANAC (v. pag. 60) e di Confindustria (par. 7.3).

Se la ratio della limitazione della conservazione è senza dubbio quella di tutela della privacy dei soggetti a vario titolo coinvolti nella segnalazione, giova allora richiamare il principio dettato dall’art. 5 del GDPR, menzionato anche nel decreto di attuazione della direttiva, secondo cui i dati personali devono essere conservati per il periodo strettamente necessario e proporzionato rispetto alla finalità per la quale sono raccolti, ferma restando la possibilità conservazione per periodi più lunghi per ragioni specifiche di pubblico interesse (ad esempio, per eseguire un ordine dell’Autorità).

Proprio la finalità per la quale le segnalazioni sono conservate, quella di una corretta gestione delle stesse, fa sorgere dei dubbi sull’adeguatezza del termine quinquennale.

Se infatti, da un lato, questo arco temporale è certamente sufficiente per permettere un’adeguata istruttoria sugli illeciti segnalati e per concludere la procedura di valutazione, lo stesso non può dirsi con riguardo ad eventuali contestazioni che potrebbero sorgere all’esito di tale conclusione. Si pensi, ad esempio, ad una segnalazione che venga archiviata, con successiva contestazione, da parte del segnalante o di un Pubblico Ministero, sulle ragioni dell’archiviazione.

Non sembrano surgere dubbi sull’opportunità di ricomprendere l’attività di gestione della contestazione in quella più ampia di gestione della segnalazione, che non si esaurisce con la conclusione del procedimento di valutazione, protraendosi anche oltre l’archiviazione/accoglimento della domanda.

Questa circostanza assume un’importanza centrale nell’individuazione del limite temporale oltre il quale considerare la conservazione non più necessaria e dunque illegittima.

Il sistema del whistleblowing ha infatti una portata molto ampia, consentendo di segnalare qualsiasi violazione del diritto nazionale o comunitario, purché lesiva dell’interesse pubblico o dell’integrità dell’ente, astrattamente riconducibile dunque sia alla responsabilità civile che a quella penale ed amministrativa, caratterizzate, come è noto, da un diverso regime prescrizionale.

Ecco allora che il termine quinquennale previsto dal Decreto mal si coordina con tale differente regime.

Sulle ragioni che hanno indotto il legislatore a prevedere tale termine nulla si diceva nella relazione Illustrativa al Decreto (Relazione-Schema-Decreto-Whistleblowing.pdf (giurisprudenzapenale.com)), mentre sul punto il Garante per la Protezione dei Dati Personali si era dapprima espresso sull’opportunità di prevedere un termine di conservazione decennale (v. Linee Guida ANAC n. 469/2021 e FAQ in materia di Anticorruzione – whistleblowing: FAQ whistleblowing - www.anticorruzione.it, punto 1.16), per poi, a circa un anno da tale indicazione, esprimere un parere positivo sul termine di 5 anni già previsto nella bozza di decreto attuativo della direttiva whistleblowing, senza tuttavia soffermarsi nell’esaminare le ragioni di tale adeguatezza.

Ugualmente, con provvedimento n. 304 del 6 luglio 2023, il Garante si è espresso sull’opportunità di conservare i documenti per 5 anni, precisando che la riservatezza dovrà essere sempre garantita durante tale periodo e che, successivamente, la segnalazione può essere anonimizzata, facendo venir “meno la possibilità di risalire all’identità del segnalante”

Ad avviso di chi scrive, ferma restando l’opportunità di anonimizzare i dati a seguito della scadenza del termine, come appunto suggerito anche dal Garante, così da consentire di tenere un archivio delle violazioni segnalate nel tempo senza tuttavia poter risalire all’identità dei soggetti coinvolti, un termine massimo di conservazione coerente con il diverso regime prescrizionale ed adeguato quindi a tutelare i soggetti coinvolti nelle segnalazioni anche a seguito della conclusione della procedura di valutazione sarebbe quello decennale, inizialmente condiviso anche dal Garante per poi essere sostituito con quello più breve di cinque anni.

Si ricorda infatti che, nella logica di un generale principio di accountability, che permea l’intera normativa privacy, il termine massimo deve costituire solo la extrema ratio, essendo rimesso al Titolare del trattamento il dovere di valutare di volta in volta quale sia il giusto periodo di conservazione in considerazione della situazione specifica.