Decreto whistleblowing: adempimenti entro il 15 luglio

È stato pubblicato sulla Gazzetta Ufficiale n. 63 del 15 marzo 2023, il D.lgs. n. 24/2023 del 10 marzo 2023, finalizzato ad attuare nell’ordinamento italiano la Direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la loro protezione (c.d. Direttiva Whistleblowing).

Il d.lgs. 24/2023 prevede una disciplina organica e completamente rinnovata dell’istituto del whistleblowing che assume una rilevanza del tutto autonoma sotto diversi profili (di rapporto con i sistemi di prevenzione 231 e privacy, oltre che lavoristici) con il superamento integrale della disciplina prevista nell’attuale formulazione dell’art. 6 comma 2-bis d.lgs. 231/2001 così come introdotto dalla l. 179/2017.

Il provvedimento, che richiede ai destinatari l’esecuzione di adempimenti anche in tema privacy, entrerà in vigore il 30 marzo 2023 e produrrà effetti a partire dal 15 luglio prossimo[1].

1. AMBITO DI APPLICAZIONE

Il decreto trova applicazione sia nei confronti dei soggetti pubblici che con riguardo ai soggetti privati, così come definiti nel testo normativo.

Con specifico riferimento ai soggetti di natura privata, l’art. 2 lett. q) del decreto vi include tutti coloro che rientrano in una delle seguenti condizioni: (i) hanno impiegato nell’ultimo anno la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato; (ii) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al decreto[2], anche se nell’ultimo anno hanno impiegato meno di 50 lavoratori; (iii) sono diversi dai soggetti di cui al nr.(ii), rientrano nell’ambito di applicazione del d.lgs. 231/2001 e adottano il MOGC ivi previsto, anche se hanno impiegato meno di 50 lavoratori[3].

2. MECCANISMI DI SEGNALAZIONE

Il decreto in commento prevede l’istituzione di tre distinti canali di segnalazione, attivabili gradatamente sia alle condizioni di cui all’art. 3 del decreto legislativo che alle condizioni espressamente previste nei relativi articoli e segnatamente: (i) canale di segnalazione interno (art. 4 d.lgs. 24/23); (ii) canale di segnalazione esterno gestito da ANAC e attivabile alle condizioni di cui all’art. 6 del decreto; (iii) canale delle divulgazioni pubbliche anch’esso attivabile a determinate condizioni di cui all’art. 15 del decreto.

Il decreto 24/2023, oltre a prevedere l’introduzione di nuovi canali esterni attivabili anche dai soggetti privati, impone per i destinatari l’adozione di un canale di segnalazione interno che si distanzia significativamente dalle previsioni sinora contenute nella l. 179/2017; il decreto in commento, a differenza di quanto valevole sinora ai sensi della l. del 2017, richiede l’adozione di un solo canale di segnalazione interno[4] che dovrà garantire, anche tramite il ricorso a strumenti crittografati, la riservatezza dell’identità del segnalante e dei soggetti coinvolti (art. 24 d.lgs. 24/2023).

Tale modifica è peraltro riconosciuta nel dettato degli artt. 23 e 24 comma 5 del d.lgs. 24/2023 che sanciscono rispettivamente: (i) l’abrogazione dei commi 2-ter e 2-quater dell’art. 6 d.lgs. 231/2001 e dell’art. 3 della l. 179/2017; (ii) la sostituzione dell’attuale formulazione dell’art. 6 comma 2-bis del d.lgs. 231/2001 con la nuova disposizione di cui all’art. 24 del d.lgs. 24/2023[5].

3. CARATTERI DEL CANALE DI SEGNALAZIONE INTERNO

Il canale di segnalazione interno, ai sensi degli artt. 4 e 5 del decreto, dovrà avere una serie di requisiti in tema di riservatezza e dovrà essere gestito secondo una procedura specifica[6], anche in considerazione delle sanzioni previste a carico del datore di lavoro in caso di violazione (art. 21 d.lgs. 24/2023).

Le segnalazioni dovranno pervenire ad una persona, ad un ufficio autonomo dedicato e con personale specificamente formato per la gestione del canale oppure ad un soggetto esterno autonomo avente le medesime caratteristiche.

Inoltre, è richiesto alle società di rendere noti gli strumenti attivabili per la presentazione delle segnalazioni nonché le modalità di gestione e di funzionamento dei canali, sia con riguardo al canale di segnalazione interno che con riferimento al canale di segnalazione esterno che sarà istituto presso l’ANAC. Tale aggiornamento richiederà sia un’informativa specifica ai propri dipendenti e collaboratori, che l’individuazione di un’apposita sezione dedicata a tali informazioni presso il sito internet della società.

4. TUTELA DEL SEGNALANTE E RISVOLTI IN TEMA PRIVACY

La ratio del decreto in commento è finalizzata ad assicurare sia una gestione uniforme delle segnalazioni relative a violazioni di fatti rilevanti ai sensi del d.lgs. 231/2001 nonché inerenti il diritto dell’Unione Europea in genere, sia ad assicurare la massima protezione dei segnalanti e del contenuto delle relative segnalazioni.

A questo proposito il decreto esplicita: (i) il divieto di ritorsione in capo al segnalante (artt. 17 d.lgs. 24/2023); (ii) misure di sostegno volte a garantire informazioni, assistenza e consulenza a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni (art 18 d.lgs. 24/2023). (iii) meccanismi di protezione da eventuali ritorsioni attraverso la presentazione di comunicazioni all’ANAC (art. 19 d.lgs. 24/2023); (iv) sanzioni in caso di violazione del divieto di ritorsione, dell’obbligo di riservatezza e della mancata adozione di adeguati canali di segnalazione (art. 21 d.lgs. 24/2023).

A questo scopo e nell’ottica di tutelare la riservatezza dell’identità del segnalante, i destinatari del provvedimento dovranno obbligatoriamente eseguire, ai sensi dell’art. 12 del decreto, una valutazione d’impatto sulla protezione dei dati personali ai sensi dell’art. 28 GDPR (già sottolineata dal Garante Privacy in diverse recenti pronunce), valutazione che dovrebbe essere eseguita prima dell’inizio del trattamento.

 5. CONCLUSIONI E PROSSIMI PASSI

Alla luce delle novità normative introdotte dal d.lgs. 24/2023, i destinatari del provvedimento dovranno – entro un termine breve – dar corso ai seguenti adempimenti: (i) dotarsi del canale di segnalazione così come disciplinato nel decreto; (ii) eseguire la valutazione di impatto sul canale individuato; (iii) modificare i propri MOGC[7]; (iv) informare i propri dipendenti e collaboratori dell’adozione di tale canale tramite l’invio di apposite informative e attraverso la relativa pubblicazione sul sito internet della società.

L’adozione del canale di segnalazione rimane sicuramente l’adempimento più critico considerando che, ad oggi, non sono ancora state pubblicate linee guida di supporto alle società nell’adozione di tale meccanismo.

Entro 3 mesi dall’entrata in vigore del decreto in commento è prevista la pubblicazione di linee guida da parte dell’ANAC che sicuramente potranno agevolare anche i soggetti privati nell’adempimento richiesto dal decreto; tuttavia, le tempistiche sono estremamente ridotte se consideriamo che buona parte dei destinatari dovrà adeguarsi entro il 15 luglio.

A tale fine si suggerisce ai soggetti interessati di avviare le riflessioni prodromiche all’adozione del canale di segnalazione interno nonché in relazione alla gestione delle segnalazioni; le determinazioni che verranno assunte dovrebbero auspicabilmente sfociare nell’emanazione di una policy strutturata e finalizzata alla gestione della segnalazione in conformità alla nuova normativa.

[1] Solo per le società aventi un numero di dipendenti compreso tra 50 e 249 il decreto produrrà effetti a partire dal 17.12.2023 (art. 24 comma 2 d.lgs. 24/2023).

[2] Soggetti operanti nei seguenti settori: servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e finanziamento del terrorismo, servizi finanziari, sicurezza e trasporti, tutela dell’ambiente.

[3] Ai sensi dell’art. 3 comma 2 lett. a) e b) del decreto in commento, le disposizioni del decreto si applicano: (i) con riguardo ai soggetti che abbiano impiegato più di 50 lavoratori nell’ultimo anno e a coloro che rientrano nell’ambito di applicazione dell’Unione: a tutti i soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori subordinati, autonomi etc…) che abbiano effettuato una segnalazione interna, esterna, divulgazione pubblica o denuncia alle autorità per le violazioni di cui all’art. 2 comma 1 lett. a) nr. 3,4,5,6; (ii) con riferimento a coloro che rientrano nell’ambito di applicazione del d.lgs. 231/2001 e che hanno adottato il relativo MOGC: ai soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori, subordinati, autonomi, etc…) che abbiano effettuato una segnalazione interna relativa alle violazioni 231 o dei MOGC; (iii) con riferimento a coloro che rientrano nell’ambito di applicazione del d.lgs. 231/2001, che hanno adottato un MOGC e che superano il numero di 50 dipendenti: ai soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori, subordinati, autonomi, etc…) che abbiano effettuato segnalazioni interne, esterne, divulgazioni pubbliche o denunce alle autorità per le violazioni in tema 231 nonché le violazioni di cui ai nr 3,4,5,6 dell’art 2 comma 1 lett. a).

[4] L’unicità del canale di segnalazione sembrerebbe evincersi dal contenuto del decreto che eliminando di fatto l’obbligo di adozione del canale alternativo sembrerebbe riferirsi ad un solo canale di segnalazione interno. Lo stesso decreto all’art. 5 si riferisce alla “gestione del canale di segnalazione interno”.

[5] Ai sensi dell’art. 24 comma 5 del d.lgs. 24/23 “all’art. 6 del d.lgs. 231/2001 il comma 2-bis è sostituito dal seguente: << I modelli di cui alla lettera a) prevedono, ai sensi del d.lgs. attuativo della direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio del 23.10.2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2 lett. e) >>”

[6] Nello specifico sarà necessario: (i) rilasciare al segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione della stessa; (ii) mantenere le interlocuzioni con il segnalante richiedendo le necessarie integrazioni; (iii) dare diligente seguito alle segnalazioni ricevute; (iv) fornire riscontro alla segnalazione entro tre mesi dal ricevimento.

[7] Si renderà necessario ampliare la descrizione relativa alla totale assenza di ritorsioni quale conseguenza delle segnalazioni e della completa tutela dei soggetti coinvolti, oltre che aggiornare le sanzioni disciplinari da applicarsi nei confronti dei responsabili delle attività di ritorsione, così come espressamente previsto all’art. 21 del decreto.