“Whistleblowing”: breve guida operativa per gli enti privati che hanno l’obbligo di istituire un canale interno di segnalazione entro il 17 dicembre 2023

1. Premessa

Come ormai noto, con il decreto legislativo 10 marzo 2023, n. 24 (di seguito anche “Decreto”), pubblicato nella Gazzetta Ufficiale del 15 marzo 2023, è stata recepita nell’ordinamento italiano la direttiva UE 2019/1937 riguardante “la protezione delle persone che segnalano violazioni del diritto dell’Unione” (cd. disciplina whistleblowing).

Il quadro regolatorio di riferimento è stato completato con le Linee Guida ANAC (di seguito anche “LG ANAC”) e, da ultimo, con le linee Guida di Confindustria.

Con il presente lavoro si vuole porre l’attenzione su tutti quei soggetti del settore privato che, nell’ultimo anno, avendo impiegato una media di lavoratori subordinati fino a 249 unità, hanno l’obbligo di istituire un canale interno di segnalazione entro il 17 dicembre 2023.

2. Ambito soggettivo di applicazione: i destinatari della nuova disciplina ed il computo della media annua dei lavoratori

I soggetti obbligati del settore privato sono quelli che:

1. a) hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2. b) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’Allegato al Decreto (che ripropone l’Allegato alla Direttiva UE), anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati.

Si tratta dei settori dei servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, nonché della sicurezza dei trasporti;

1. c) sono diversi dai soggetti di cui al numero b), sono dotati di un modello di organizzazione e gestione 231, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati.

Ai fini del computo della media annua dei lavoratori impiegati nel settore privato – necessaria per stabilire quando si supera la soglia dei 50 lavoratori – ANAC ha specificato che si debba fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si considera l’anno in corso (ovvero il 2023).

Pertanto, per le imprese diverse da quelle di nuova costituzione, in sede di prima applicazione occorrerà fare riferimento alla media annua dei lavoratori impiegati al 31 dicembre 2022 e poi, per le annualità successive, si dovrà considerare il computo dell’anno solare precedente, sempre al 31 dicembre.

Il riferimento all’ultimo anno solare precedente a quello in cui avviene la segnalazione, per il calcolo della media annua dei lavoratori impiegati è un criterio che, rispondendo alla norma di legge, consente alle imprese di adeguarsi agli eventuali adempimenti con ragionevole tempestività.

Inoltre, l’ANAC ha precisato che “ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati INPS) al 31/12 dell’anno solare precedente a quello in corso, contenuto nelle visure camerali. Quando l’impresa è di nuova costituzione, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura.”.

Il richiamo alle visure camerali sembrerebbe comportare il computo “per teste” e cioè del numero complessivo di addetti, a prescindere dalla effettiva durata dei singoli rapporti di lavoro.

Tuttavia, l’auspicio di Confindustria è che la prassi interpretativa si adegui prima possibile al sostrato normativo, consentendo di calcolare la media dei lavoratori in termini di “ULA” (unità lavorativa annua), ossia tenendo conto della effettiva durata di ciascun rapporto (fermo restando che il termine temporale di riferimento, in questo caso, non sarà di due anni – come previsto dal citato art. 27 – bensì di un anno, come previsto dall’art. 2 comma 1, lett. q) n.1) del Decreto).

3. Ambito oggettivo di applicazione: cosa resta fuori?

Al netto delle elencazioni normative che stabiliscono a cosa si applica la nuova disciplina (disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, reati presupposto per l’applicazione del Decreto 231, violazioni dei modelli di organizzazione e gestione previsti nel citato Decreto 231, di cui i soggetti segnalanti siano venuti a conoscenza in un contesto lavorativo pubblico o privato), appare utile precisare quanto resta escluso dall’ambito di applicazione della nuova disciplina le segnalazioni, segnatamente le violazioni:

• legate a un interesse personale del segnalante;
• in materia di sicurezza e difesa nazionale;
• relative a violazioni già regolamentate in via obbligatoria in alcuni settori speciali, alle quali continua dunque ad applicarsi la disciplina di segnalazione ad hoc (servizi finanziari, prevenzione riciclaggio, terrorismo, sicurezza nei trasporti, tutela dell’ambiente).

Resta, inoltre, ferma la normativa in materia di: i) informazioni classificate; ii) segreto medico e forense; iii) segretezza delle deliberazioni degli organi giurisdizionali; iv) norme di procedura penale sull’obbligo di segretezza delle indagini; v) disposizioni sull’autonomia e indipendenza della magistratura; vi) difesa nazione e di ordine e sicurezza pubblica; vii) nonché di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati.

4. Canali di segnalazione e soggetti legittimati a segnalare

Il Decreto disciplina i canali e le modalità per effettuare una segnalazione.

In particolare, quanto ai canali, si distinguono tre fattispecie:

1. la segnalazione attraverso un canale interno all’ente.

Per quanto attiene agli strumenti concreti attraverso cui attivare il canale di segnalazione interno, l’articolo 4 del Decreto prevede che le segnalazioni possono essere effettuate secondo diverse modalità:

• in forma scritta: analogica (cioè posta cartacea, ad es. raccomandata) o con modalità informatiche (escluse dal Garante Privacy espressamente la possibilità di utilizzare PEO o PEC, ammesso solo l’utilizzo di piattaforma on-line);
• in forma orale, attraverso linee telefoniche dedicate che consentano la registrazione (previo consenso del segnalante) o prevedendo procedure di documentazione, sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto con il gestore della segnalazione, che deve essere fissato entro un tempo ragionevole (es. 10/15 giorni).

La scelta della modalità riguarda il segnalante.

Per l’impresa, invece, è obbligatorio predisporre sia il canale scritto – analogico e/o informatico – che quello orale, dovendo mettere entrambi a disposizione del segnalante.

La scelta tra piattaforma on-line e modalità analogica/cartacea è una valutazione rimessa alla singola impresa, in funzione di diverse considerazioni riconducibili al contesto, alla dimensione aziendale, alla funzionalità rispetto allo scopo e al livello di sicurezza e riservatezza garantito dalle soluzioni adottate.

La scelta, adottata con delibera dell’Organo Amministrativo, deve essere definita in un apposito “atto organizzativo” contenente le procedure per il ricevimento delle segnalazioni e per la loro gestione. E’ onere dell’impresa informare del canale prescelto “le rappresentanze o le organizzazioni sindacali di cui all’art.51 del D.lgs. n.81 del 2015”.

1. la segnalazione mediante un canale esterno all’ente, istituito e gestito dall’ANAC. Per poter ricorrere al canale di segnalazione istituito dall’ANAC, devono sussistere alcune condizioni, ai sensi dell’art. 6 del Decreto. In particolare, il segnalante può ricorrere alla procedura esterna soltanto se ricorre una delle seguenti condizioni: i) nel suo contesto lavorativo non è prevista l’attivazione del canale interno come obbligatoria o, se prevista, non è stata attivata; ii) la segnalazione non ha avuto seguito; iii) ha fondati motivi di ritenere che se effettuasse la segnalazione interna questa non avrebbe seguito o che andrebbe incontro a ritorsioni; (iv) ha fondati motivi di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;
2. la divulgazione pubblica. Per ricorrere a tale procedura deve ricorrere almeno una delle seguenti condizioni: • che si sia previamente utilizzato il canale interno e/o esterno, ma non vi sia stato riscontro o non vi sia stato dato seguito entro i termini previsti dal decreto; • che il segnalante ritenga sussistere fondati motivi di un “pericolo imminente e palese per il pubblico interesse”, considerato come una situazione di emergenza o di rischio di danno irreversibile, anche all’incolumità fisica di una o più persone, che richieda che la violazione sia tempestivamente svelata con ampia risonanza per impedirne gli effetti. • che il segnalante ritenga sussistere fondati motivi per ritenere che la segnalazione esterna possa comportare un rischio di ritorsione oppure non avere efficace seguito perché ad esempio potrebbe ricorrere un pericolo di distruzione delle prove o di collusione tra l’autorità preposta a ricevere la segnalazione e l’autore della violazione. Dovrebbe in altri termini trattarsi di situazioni particolarmente gravi di negligenza o comportamenti dolosi all’interno dell’ente.

Resta ferma, in ogni caso, la possibilità di effettuare denunce all’autorità giudiziaria e contabile, nei casi di loro competenza.

• La gestione del canale di segnalazione interno

La gestione del canale di segnalazione interno, l’istruttoria, l’accertamento ed il riscontro al segnalante, può essere affidata, a discrezione dell’impresa, a:

• una persona fisica interna all’impresa (Funzione AML, Funzione Compliance, Internal Audit, HR);
• un ufficio interno all’impresa (ODV);
• un soggetto esterno (in outsourcing – funzione legale , ODV).

Tali soggetti devono possedere autonomia, indipendenza, imparzialità ed essere specificamente e adeguatamente formati alla gestione delle segnalazioni.

È prevista la possibilità di condivisione del canale di segnalazione per le imprese fino a 249 dipendenti. Lo scopo di tale previsione è quello di consentire agli enti di piccole/medie dimensioni (siano essi entità giuridiche appartenenti a un medesimo gruppo o enti e organizzazioni privi di legame tra loro) di semplificare gli adempimenti e di contenere i costi.

A tal fine, gli enti che vogliano condividere il canale di segnalazione dovranno stipulare accordi/convenzioni sulle modalità di funzionamento del canale di segnalazione condiviso tra loro, nei quali definire i termini della gestione in forma associata delle segnalazioni, che deve comunque avvenire “senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata”.

Infine, è opportuno segnalare la necessità per le imprese di effettuare una DPIA specifica in riferimento all’inquadramento dei trattamenti dipendenti dal ricevimento e della gestione di una segnalazione.