Whistleblowing, una rivoluzione per le aziende e un’occasione in tema di privacy

Il whistleblowing, che in inglese vuol dire letteralmente usare un fischietto, ma indica in realtà l’azione di denuncia di un illecito, è stato disciplinato per la prima volta in Italia con la legge 190/2012, recante Disposizioni per la prevenzione e la repressione della corruzione e dell’illegalità nella Pubblica Amministrazione, meglio nota come Legge Severino. Questa normativa era volta a tutelare i lavoratori pubblici che segnalassero eventuali illeciti di cui fossero venuti a conoscenza nello svolgimento della loro attività, senza che dovessero temere azioni ritorsive a loro carico. 

La norma, tuttavia, non ebbe immediatamente il seguito sperato, per la mancanza di specifiche regole che tutelassero effettivamente il whistleblower, ossia colui che denunciava, proprio dalla possibilità di subire rappresaglie da parte dei suoi responsabili. In tale contesto e in risposta alle istanze di tutela avanzate in ambito comunitario, con la legge 179 del 2017, recante Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato, il legislatore italiano ha messo a punto una successiva e più organica riforma di questo istituto giuridico, estendendo la disciplina del whistleblowing anche al settore privato.

Con specifico riferimento a quest’ultimo settore, la legge in questione ha apportato una modifica all’articolo 6 del D.lgs. 231/2001, disponendo che ciascuna azienda si munisca di un idoneo modello di organizzazione, gestione e controllo, per prevenire la commissione di reati e illeciti. Tale modello doveva prevedere:

a) l’istituzione di uno o più canali, che consentissero ai dipendenti tutti (manager e subordinati) di presentare segnalazioni di condotte illecite di cui fossero venuti a conoscenza, in ragione delle funzioni svolte;

b) almeno un canale di segnalazione alternativo, idoneo a garantire la riservatezza dell’identità del whistleblower;

c) il divieto di atti di ritorsione o discriminatori per motivi collegati, direttamente o indirettamente, alla segnalazione;

d) sanzioni disciplinari nei confronti di chi violasse le misure di tutela del whistleblower e, per contro, di chi effettuasse dolosamente segnalazioni infondate.

Tuttavia, nonostante l’introduzione di tali norme anche in ambito privatistico, le differenze di tutela tra il settore pubblico e quello privato continuavano a permanere. In ambito pubblico, ad esempio, vigeva l’obbligo di trasmettere la notizia all’Anac, che a sua volta l’avrebbe comunicata al dipartimento della Funzione Pubblica. 

In ambito privato, invece, era semplicemente facoltà della società la comunicazione del fatto all’Ispettorato del Lavoro, dietro istanza del lavoratore medesimo o di un sindacato da questi designato. 

La legge 179/2017, inoltre, restava applicabile limitatamente agli enti dotati dei modelli organizzativi previsti dal D.lgs. 231/2001.

Tutto ciò indeboliva notevolmente una corretta applicazione della normativa, gettando le basi per l’emanazione della Direttiva Ue 2019/1937, con la quale l’Unione Europea ha chiesto agli Stati membri di introdurre garanzie aggiuntive a sostegno dei whistleblower e imponendo ulteriori disposizioni a livello nazionale in questo contesto.

È pure necessario segnalare come la normativa italiana fino a quel momento vigente in materia di whistleblowing fosse stata oggetto di severe critiche anche all’interno del Rapporto di valutazione dell’Italia sull’attuazione della Convenzione del 1997 sulla corruzione internazionale, adottato dal Working Group on Bribery dell’Ocse. In tale rapporto si deplorava che la legislazione italiana non fornisse sufficienti tutele ai whistleblower, in particolare nel settore privato, considerato più esposto a questioni di corruzione internazionale.

La nuova normativa è volta ad armonizzare le regole locali, nell’ottica del rafforzamento dei principi di trasparenza, responsabilità e prevenzione dei reati, sia in ambito pubblico sia privato. Essa individua con maggiore precisione l’ambito della sua applicazione materiale, specificando che debba trattarsi di:

a) violazioni che rientrino nell’ambito di applicazione degli atti dell’Unione Europea, con riferimento a specifici settori (tra cui appalti pubblici, servizi finanziari, sicurezza dei prodotti e dei trasporti, ambiente, alimenti, salute pubblica, protezione dei consumatori, protezione dei dati, sicurezza delle reti e dei sistemi informatici, concorrenza);

b) violazioni che ledano gli interessi finanziari dell’Unione;

c) violazioni delle norme in materia di corruzione.

È inoltre prevista una definizione più ampia di whistleblower, estesa ai lavoratori autonomi, gli azionisti, i membri degli organi di amministrazione e di controllo, i collaboratori esterni, i tirocinanti (retribuiti e non), tutti i soggetti che lavorino sotto la supervisione e direzione di appaltatori, sub-appaltatori e fornitori, oltre che ai cosiddetti facilitatori (ossia coloro che prestano assistenza al lavoratore nel processo di segnalazione) e finanche ai terzi connessi al segnalante, come colleghi e parenti. Oltre a ciò, sono previsti:

l’obbligo di istituire canali di segnalazione interni, esterni e pubblici;

la necessità di adottare procedure per dare seguito alla segnalazione ricevuta, pur tutelando la riservatezza dell’identità del segnalante, con canali di segnalazione sicuri;

la possibilità di avanzare le segnalazioni anche in forma orale, attraverso linee telefoniche o altri sistemi di messaggistica vocale e, su richiesta della persona segnalante, mediante un incontro diretto entro un termine ragionevole;

la designazione di una persona o di un servizio imparziale e competente per dare seguito alla segnalazione, entro un termine ragionevole;

la possibilità di ricorrere a terzi per la gestione delle segnalazioni, per assicurare indipendenza, riservatezza, protezione dei dati e segretezza;

il divieto di qualsiasi atto ritorsivo o discriminatorio nei confronti del segnalante, inclusi gli atti di discriminazione indiretti, quali ad esempio valutazioni negative della performance, mancate promozioni o referenze negative.

Una grande novità consiste inoltre nella previsione che tale apparato normativo sia applicato da tutti gli enti privati che abbiano più di 50 dipendenti, indipendentemente dalla natura delle loro attività e a prescindere dall’aver adottato i modelli organizzativi previsti dal D.lgs. 231/2001.

Specifiche disposizioni vengono dedicate alla protezione del whistleblower che effettua una divulgazione pubblica, la quale potrà anch’essa beneficiare della protezione della legge in presenza di una serie di condizioni, come la previa effettuazione di una regolare segnalazione cui non sia stato offerto riscontro nei termini previsti o il fondato motivo di ritenere che la violazione possa costituire un pericolo imminente e palese per il pubblico interesse, o quando si creda che la stessa comporti il rischio di ritorsioni o di non avere un seguito efficace, perché le prove potrebbero essere occultate o distrutte o perché colui che l’ha ricevuta sia egli stesso colluso con l’autore della violazione o coinvolto nella violazione stessa.

Occorre infine ricordare che l’attuazione della direttiva è avvenuta per noi con un ritardo di oltre un anno, rispetto al termine fissato perché gli Stati membri si conformassero ad essa. Il termine è scaduto il 17 dicembre 2021 e il 15 febbraio del 2023 la Commissione Europea ha aperto una procedura di infrazione contro otto Paesi, tra cui l’Italia, per il mancato recepimento e la mancata notifica delle misure nazionali di attuazione.