Normativa sul Whistleblowing

Ecco una panoramica dettagliata della normativa italiana in materia di whistleblowing – il Decreto Legislativo 10 marzo 2023 n. 24 (di seguito “D.Lgs. 24/2023”) – che recepisce la Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione europea.

1. Finalità e contesto

  • Il D.Lgs. 24/2023 ha come oggetto la «protezione delle persone che segnalano violazioni di disposizioni normative dell’Unione europea» e, contestualmente, «disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali».

  • Il decreto è stato pubblicato in Gazzetta Ufficiale n. 63 del 15 marzo 2023.

  • Con il decreto si è superato il precedente regime (es. art. 54-bis del D.Lgs. 165/2001 e la Legge n. 179/2017) e si è dato un testo unico per la disciplina del whistleblowing.

2. Ambito soggettivo e oggettivo

2.1 Soggetti protetti

  • Il decreto stabilisce che siano protetti coloro che effettuano segnalazioni di violazioni nell’ambito del contesto lavorativo pubblico o privato.

  • Non solo il segnalante diretto: sono protetti anche i “facilitatori” (cioè chi assiste il segnalante), nonché persone correlate al segnalante (colleghi, familiari, enti appartenenti al segnalante) secondo gli orientamenti dottrinali.

2.2 Oggetto della segnalazione

  • Le violazioni che possono essere segnalate sono quelle di normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato.

  • Vengono tuttavia esclusi alcuni ambiti: ad esempio, la materia della sicurezza nazionale e della difesa, le informazioni classificate, il segreto professionale forense/medico etc.

2.3 Soggetti obbligati a dotarsi del sistema

  • Settore pubblico: le amministrazioni pubbliche, autorità indipendenti di garanzia, vigilanza o regolazione, enti pubblici economici, concessioni di pubblico servizio, società in house, etc.

  • Settore privato: si applica l’obbligo, ad esempio, alle imprese che:

    1. nell’ultimo anno hanno avuto in media almeno 50 lavoratori subordinati (a tempo indeterminato o determinato)

    2. anche se non hanno 50 dipendenti, operano in specifici settori indicati (prodotti/servizi finanziari, prevenzione del riciclaggio, sicurezza trasporti, tutela ambiente)

    3. anche se non hanno 50 dipendenti, hanno adottato un “modello 231” (ai sensi del D.Lgs. 231/2001)

3. Canali di segnalazione e modalità operative

  • Le organizzazioni obbligate devono istituire un canale interno di segnalazione (anche informatico), che garantisca la riservatezza dell’identità del segnalante, del segnalato, del contenuto della segnalazione, mediante strumenti adeguati (e.g., crittografia).

  • È prevista anche la possibilità di segnalazione esterna agli organi competenti (es. per il pubblico, la Autorità Nazionale Anticorruzione – ANAC – o altri organi indicati) in casi specifici.

  • Le segnalazioni sono sottratte all’accesso previsto dalla L. n. 241/1990 e dal D.Lgs. n. 33/2013, a condizione che abbia natura conforme al decreto (art. 12 comma 8).

4. Tutela del segnalante – divieto di ritorsioni

  • Viene vietato ogni atto di ritorsione nei confronti del segnalante e delle persone che lo assistono o che sono collegate alla segnalazione. Il legislatore ha rafforzato questa tutela rispetto al passato.

  • Se l’azienda assume provvedimenti negativi (licenziamento, mancato rinnovo, demansionamento, etc) motivati esclusivamente sulla segnalazione, tali provvedimenti possono essere annullati.

5. Tempistiche e obblighi di adeguamento

  • Per le amministrazioni pubbliche l’obbligo di dotarsi dei canali interni era scaduto – per il pubblico – il 15 luglio 2023.

  • Per i soggetti privati con fino a 249 dipendenti l’obbligo di adeguamento è scaduto il 17 dicembre 2023.

6. Sanzioni

  • L’art. 21 del D.Lgs. 24/2023 prevede sanzioni amministrative a carico del responsabile (sia pubblico che privato) nei casi di: ritorsioni, ostacolo alla segnalazione, violazione della riservatezza. Le sanzioni variano da €10.000 fino a €50.000 per ciascuna ipotesi.

  • È prevista inoltre la previsione, nei modelli organizzativi aziendali (come i modelli 231), di sanzioni disciplinari interne per coloro che accertano gli illeciti.

7. Collegamenti con altre normative

  • Il D.Lgs. 24/2023 si raccorda con il D.Lgs. 231/2001 (responsabilità degli enti), e con la normativa sulla protezione dei dati personali (Regolamento (UE) 2016/679 – GDPR) per quanto riguarda la riservatezza e la tutela di dati personali nell’ambito delle segnalazioni.

  • Completa il complesso sistema anticorruzione, trasparenza e integrità (legge 190/2012, etc.).