Il decreto legislativo n. 24/2023, in vigore a partire dal 30 marzo, attuando la direttiva UE 2019/1937, ha compiuto un passo importante in materia di whistleblowing perfezionando la disciplina degli obblighi di riservatezza e del trattamento dei dati personali dei soggetti segnalanti.
La materia del whistleblowing aveva già ricevuto un contributo rilevante con la legge 179/2017 che aveva esteso la disciplina già prevista per gli enti pubblici al settore privato così permettendo, anche ai dipendenti di questi ultimi, di segnalare in via anonima eventuali violazioni – sia atti che omissioni – di norme nazionali o dell’Unione Europea poste in essere all’interno del proprio contesto lavorativo e lesive dell’interesse pubblico o dell’integrità dell’ente.
Le violazioni che possono essere segnalate internamente sono oggi precisamente indicate all’art. 2 del d.lgs. citato e sono le seguenti: illeciti amministrativi, contabili, civili e penali; condotte rilevanti ai sensi del D.lgs. 231/2001 e violazioni dei modelli di organizzazione e gestione; illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione Europea; illeciti finanziari e del mercato interno.
L’inclusione – già prevista dalla l. 179/2017 ma oggi meglio specificata – degli illeciti fondativi di una responsabilità ai sensi del D.lgs. 231/2001 nel novero delle condotte suscettibili di segnalazione anonima comporta una novità rilevante anche per gli Organismi di Vigilanza la cui funzione è proprio il controllo dell’osservanza e della corretta attuazione interna dei Modelli di Organizzazione e Gestione quale modalità preventiva al rischio di commissione dei c.d. reati presupposto.
Per meglio comprendere la responsabilità in materia di whistleblowing di detti organismi, è bene evidenziare le nuove prescrizioni fornite dal d.lgs. 24/2023.
A tal proposito l’art. 4 del decreto citato impone ai soggetti privati tenuti all’applicazione della disciplina del whistleblowing – enti con almeno 50 dipendenti assunti con contratto determinato o indeterminato nell’ultimo anno – l’adozione di specifici canali di segnalazione che garantiscano, anche tramite strumenti di crittografia, la riservatezza dell’identità del segnalante e di qualsiasi informazione che possa direttamente o indirettamente ricondurre ad essa.
L’area dei soggetti privati tenuti per legge ad uniformarsi alla nuova normativa del whistleblowing si allarga: non più unicamente gli enti privati che hanno adottato un Modello di Organizzazione e Gestione ma tutti gli enti con almeno 50 dipendenti indipendentemente dalla loro soggezione al D.lgs. 231/2001.
La tutela del segnalante – per il quale sono previsti precisi divieti di ritorsione descritti al capo III del d.lgs 24/2023 – costituisce infatti il perno della nuova normativa e si estende al punto che nell’eventuale procedimento penale, istauratosi a seguito di una segnalazione interna, l’identità del segnalante è coperta dal segreto di cui all’art. 329 c.p.p. ed è rivelata solo a conclusione delle indagini se ciò costituisce un elemento necessario per la difesa del segnalato indagato.
Analoga tutela si rintraccia nel procedimento davanti alla Corte dei Conti e nell’eventuale responsabilità disciplinare del segnalato irrogata sulla base di precisi accertamenti svolti a seguito della segnalazione.
Anche in questo caso l’unico limite esterno di fronte al quale il diritto alla riservatezza del segnalante fa un passo indietro è l’esigenza difensiva del segnalato: in tal caso però, a differenza del procedimento penale ove la difesa dell’indagato costituisce sempre un diritto prevalente, è necessario acquisire il consenso del segnalante che viene comunque informato delle ragioni per le quali si rende necessario rivelare la sua identità per proseguire nel procedimento disciplinare.
Come anticipato, gli enti hanno l’obbligo di istituire un canale di segnalazione interno che viene gestito o da un ufficio interno all’ente, autonomo e adeguatamente formato sul tema oppure a un soggetto esterno quale può essere, nel caso di violazioni di modelli di organizzazione e gestione o di condotte rilevanti ai sensi del D.lgs. 231/2001, l’Organismo di Vigilanza.
La procedura prescelta dall’ente per le segnalazioni deve essere comunicata ai dipendenti e a tutti i soggetti che con esso entrano in contatto (collaboratori, liberi professionisti, consulenti, tirocinanti), deve essere resa visibile nei luoghi di lavoro e, se l’ente lo possiede, pubblicata sul sito internet.
La segnalazione può essere effettuata in forma scritta o orale, sia telefonicamente o, se richiesto dal segnalante, mediante un incontro.
L’ufficio interno o l’organo esterno a cui è affidata la gestione della segnalazione, preso atto del contenuto della stessa, rilascia al segnalante un avviso di ricevimento entro 7 giorni dalla data di ricezione; mantiene i rapporti con il segnalante richiedendo se necessario le opportune integrazioni; esegue gli accertamenti ritenuti opportuni; dà entro 3 mesi dalla data dell’avviso di ricevimento un riscontro al segnalante.
In aggiunta, o in determinati casi, in alternativa al canale di segnalazione interna previsto dall’ente, il segnalante può ricorrere all’utilizzo dei canali di segnalazione esterna.
Detta possibilità può essere utilizzata laddove l’ente non abbia previsto un canale di segnalazione interna oppure lo stesso non è attivo; la segnalazione interna è già stata effettuata ma non ha portato ad alcun risultato; il segnalante ha fondato motivo di ritenere che qualora effettuasse la segnalazione interna la stessa non verrebbe presa in considerazioni oppure lo esporrebbe al rischio di ritorsioni; il segnalante ritiene sussistente un pericolo imminente per il pubblico interesse.
L’accertamento compiuto da parte degli organi ai quali è affidata la gestione dei canali di segnalazione muterà a seconda della natura e della gravità della violazione: detti organi infatti potranno convocare i soggetti segnalati ed assumere maggiori informazioni in merito al contenuto della violazione segnalata, potranno convocare gli organi apicali dell’ente interessato o direttamente gli organi esterni quali l’Autorità giudiziaria per sporgere adeguata denuncia.
Alla luce, dunque, del perfezionamento della normativa del whistleblowing e del suo recepimento anche all’interno del D.lgs. 231/2001 – precisamente richiamata all’art. 6 comma 2 bis – è opportuno che gli enti chiamati per legge ad adottare le descritte prescrizioni prevedano adeguati canali di segnalazione valutando l’eventuale ruolo dell’Organismo di Vigilanza quale organo tenuto alla gestione delle segnalazioni.