- CHE COS’ È IL WHISTLEBLOWING E A CHE COSA SERVE?
Il whistleblowing indica l’azione con la quale una persona comunica informazioni relative al compimento di atti illeciti – già perpetrati o ancora in nuce – delle quali è venuta a conoscenza nell’ambito della organizzazione aziendale, privata o pubblica, in virtù del rapporto lavorativo in essere con l’azienda medesima.
Il termine, che deriva dall’inglese “to blow the whistle”, letteralmente <soffiare il fischietto> (riferita all’azione del poliziotto nel tentare di bloccare un’azione illecita o dell’arbitro per segnalare un fallo nel gioco), viene tradotto in italiano come “segnalatore” o “informatore” di irregolarità e/o illeciti e/o reati.
Lo scopo sotteso all’azione del whistleblower è di immediata percezione: essa contribuisce all’emersione e alla prevenzione di rischi e situazioni pregiudizievoli, consentendone la risoluzione interna o esterna, ma comunque tempestiva con conseguente effetto positivo per l’interesse pubblico a prevenire l’illecito o a farne cessare la prosecuzione e/o gli effetti.
Ogni impresa, pubblica o privata che sia, in adesione al proprio codice di condotta, dovrebbe predisporre un sistema sicuro di whistleblowing aziendale corredato da apposita policy e linee guida mirate in particolar modo ad incentivare l’attività di segnalazione degli informatori, spesso inclini a non metterla in atto nel timore di subire poi ritorsioni, anche molto gravi.
E in tal senso si è orientata la normativa nazionale ed europea, sintetizzata nel paragrafo che segue.
- INQUADRAMENTO NORMATIVO
è In Italia l’istituto giuridico del c.d. whistleblowing è stato introdotto dalla Legge 6 novembre 2012, n. 190 «Disposizioni per la prevenzione e la repressione della corruzione e dell’illegalità nella pubblica amministrazione».
Quindi, in questo primo momento, solo in ambito pubblico.
In particolare, l’art. 1 comma 51 della citata legge ha inserito l’art. 54-bis all’interno del d.lgs. 30 marzo 2001 n. 165 «Norme generali sull’ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche».
L’art. 54-bis prevede un regime di tutela del dipendente pubblico che segnala condotte illecite delle quali sia venuto a conoscenza in ragione del rapporto di lavoro [[1]].
è Successivamente, la suddetta disciplina è stata integrata dal decreto legge 24 giugno 2014, n. 90, convertito nella legge 11 agosto 2014, n. 114, «Misure urgenti per la semplificazione e la trasparenza amministrativa e per l’efficienza degli uffici giudiziari».
Tale decreto ha modificato l’art. 54-bis introducendo anche ANAC (Autorità Nazionale Anticorruzione) quale soggetto destinatario delle segnalazioni. [[2]]
A partire da questo momento, anche ANAC è chiamata a gestire le segnalazioni provenienti oltre che dal proprio interno anche da altre amministrazioni pubbliche.
è L’ultima, e più incisiva, riforma dell’istituto si deve alla Legge n. 179/2017 «Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato», entrata in vigore il 29 dicembre 2017 [[3]].
Essa si compone di soli tre articoli:
– il primo, intitolato «Tutela del dipendente pubblico che segnala illeciti» riscrive integralmente l’art. 54-bis d.lgs. 165/2001;
– il secondo, intitolato «Tutela del dipendente o collaboratore che segnala illeciti nel settore privato» prevede, per la prima volta nel nostro ordinamento, specifiche misure a tutela dei whistleblowers nel settore privato;
Tale risultato viene realizzato aggiungendo il co. 2-bis all’interno dell’art. 6 del decreto legislativo 8 giugno 2001, n. 231 , «Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell’articolo 11 della legge 29 settembre 2000, n. 300»;
– il terzo, intitolato «Integrazione della disciplina dell’obbligo di segreto d’ufficio, aziendale, professionale, scientifico e industriale» contiene una disposizione comune alle segnalazioni effettuate sia nel settore pubblico (ferme restando le forme e i limiti previsti dall’art. 54-bis sopra citato), sia nel settore privato (ferme restando le forme e i limiti previsti dall’art. 6 sopra citato).
Si tratta di una clausola di esonero per il whistleblower dalla possibile responsabilità penale o civile/disciplinare.
Il comportamento del whistleblower potrebbe infatti, a seconda dei casi, essere ritenuto idoneo a configurare diverse figure di reato o di grave illecito civile/disciplinare, in particolare:
- 326, 622, 623 cod. pen., rispettivamente <Rivelazione ed utilizzazione di segreti di ufficio>, <Rivelazione di segreto professionale> e Rivelazione di segreti scientifici o commerciali>, nel caso il segnalante riveli un segreto d’ufficio, aziendale, professionale, scientifico o industriale o
- 2105 cod. civ. <Obbligo di fedeltà>, nel caso violi il dovere di lealtà e fedeltà. Infatti quando notizie e documenti che sono comunicati dal whistleblower all’organo deputato a riceverli siano oggetto di segreto aziendale o professionale, costituisce violazione del relativo obbligo di segreto la rivelazione con modalità eccedenti rispetto alle finalità dell’eliminazione dell’illecito e, in particolare, la rivelazione al di fuori del canale di comunicazione specificamente predisposto a tal fine.
La disciplina del whistleblowing e la relativa tutela vengono tuttavia previste, per quanto riguarda il settore privato, solo in relazione agli enti collettivi (imprese, associazioni ecc.) che abbiano adottato o siano suscettibili di adottare un Modello organizzativo ai sensi del d.lg. 231/2001 (si dispone infatti l’integrazione dell’art 6 del d.lg. 231/2001).
Pertanto, come devono comportarsi le aziende e gli enti ai quali è applicabile la c.d responsabilità penale della persona giuridica, se intendono predisporre il proprio Modello 231 (MOG), rispetto al whistleblowing?
Essi devono:
– prevedere uno o più canali per consentire la segnalazione di condotte illecite, e almeno uno con modalità informatiche, che garantiscano la totale riservatezza dell’identità del segnalante e del contenuto della segnalazione (N.B. si parla di “canali che consentano la segnalazione” e non, quindi, di “obbligo di segnalazione”, non essendo stato, evidentemente ritenuto opportuno sancire a carico del dipendente un vero e proprio obbligo e/o dovere);
– contemplare misure aggiuntive che tutelino l’identità del segnalante anche in tutte le fasi successive alla segnalazione in senso stretto;
– osservare il divieto di atti di ritorsione o discriminatori nei confronti di chi segnala.
è Infine, il 23/9/2019 è stata adottata la Direttiva Europea n. 1937/2019 che rafforza e dà uniformità alle misure di protezione dei whistleblowers in relazione a violazioni della normativa UE [[4]].
Tale Direttiva dovrà essere ratificata dagli Stati membri entro il 17/12/2021, ad eccezione del settore privato con più di 50 e meno di 250 dipendenti, il cui termine slitta al 17/12/2023.
L’obiettivo della Direttiva è quello di garantire una protezione dei whistleblowers uniforme ed armonizzata tra gli Stati membri.
In particolar modo una tutela uniforme è ritenuta ormai indispensabile in riferimento a determinati fondamentali ambiti quali, ad esempio, quelli degli appalti pubblici, dei prodotti immessi nel mercato interno, della tutela dell’ambiente (raccolta di prove, prevenzione, accertamento e contrasto dei reati ambientali) e del rispetto della vita privata e della protezione dei dati personali.
Per questi ultimi in particolare si tratta di tutelarli, anche in relazione alle segnalazioni dei whistleblowers, in quanto diritti fondamentali previsti dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea, spesso oggetto di violazioni in diversi settori, quali, ad esempio, quello dell’energia, della sanità, bancario e dei servizi digitali essenziali.
- DOVE FINISCE IL D. LGS. 231/2001 E INIZIA IL REG. EU 679/2016 (G.D.P.R.)?
È evidente come, nel quadro sopra descritto, la tutela del whistleblower e della sua riservatezza costituiscano il punto chiave dell’istituto del whistleblowing in esame: nelle Aziende private le segnalazioni sono solitamente destinate e gestite dall’Organismo di Vigilanza (OdV), pur non escludendo che il destinatario possa essere anche un ente o soggetto terzo.
I compiti dell’Organismo di Vigilanza in ambito whistleblowing concernono:
- l’aggiornamento del MOG, del Codice etico aziendale e del Regolamento dell’OdV,
- la verifica dei canali predisposti alla segnalazione degli illeciti,
- la vigilanza sul rispetto del divieto di ripercussioni nei confronti del segnalante al quale deve essere garantito l’anonimato,
- le attività di informazione e formazione necessaria.
Nello svolgere tali compiti l’OdV si troverà a maneggiare vari dati personali caratterizzati da un profilo rafforzato di riservatezza.
Non è revocabile in dubbio, quindi, che la disciplina del whistleblowing sia strettamente collegata alla disciplina della Privacy e con essa debba integrarsi.
In quest’ottica, occorre domandarsi come si possa qualificare l’Odv ai fini privacy: esso è titolare autonomo del trattamento, o responsabile del trattamento o semplicemente parte dell’impresa?
A questo quesito basilare il Position paper AODV (Associazione dei Componenti degli Organismi di Vigilanza ex d.lgs. 231/2001) del 29 marzo 2019 dà la seguente risposta: <l’Odv non è qualificabile né come titolare né come responsabile, ma come <parte dell’impresa>: ai fini dell’osservanza delle norme relative alla protezione dei dati l’inquadramento soggettivo dell’Odv è assorbito da quello dell’ente di cui l’Odv è parte>.
Perciò, la finalità di prevenzione dei reati è una finalità dell’ente che si è dotato del MOG e non una autonoma finalità dell’OdV; l’Odv rappresenta lo strumento con cui si attua il controllo al fine della creazione di un sistema efficace che garantisca la compliance.
Il Garante per la protezione dei dati, con il parere Prot. 17347 del 12 maggio 2020 ha risposto alla nota AODV del 16 ottobre, successivamente integrata l’11 novembre e il 20 dicembre 2019, con cui tale Associazione aveva chiesto all’Autorità di pronunciarsi sulla qualificazione soggettiva dell’Odv ai fini privacy, confermando in sostanza la posizione dell’AODV.
Il Garante ha infatti dichiarato che
<l’Odv, nel suo complesso, a prescindere dalla circostanza che i membri che lo compongono siano interni o esterni, è da considerare “parte dell’ente”.
Il suo ruolo – che si esplica nell’esercizio dei compiti che gli sono attribuiti dalla legge, attraverso il riconoscimento di “autonomi poteri di iniziativa e controllo -, si svolge nell’ambito dell’organizzazione dell’ente, titolare del trattamento che, attraverso la predisposizione del modello, definisce il perimetro e le modalità di esercizio di tali compiti.
Lo stesso ente, in ragione del trattamento dei dati personali implicato dall’esercizio dei compiti e delle funzioni affidate all’Odv, deve designare i singoli menbri dell’Odv quali soggetti autorizzati.
Tali soggetti, in relazione al trattamento dei dati degli interessati, dovranno attenersi alle istruzioni impartite dal titolare affinchè il trattamento avvenga in conformità ai principi stabiliti dall’art. 5 del Gdpr.
Lo stesso titolare sarà, comunque, tenuto ad adottare le misure tecniche ed organizzative idonee a garantire la protezione dei dati trattati, assicurando contestualmente all’Organismo di vigilanza l’autonomia e l’indipendenza rispetto agli organi di gestione societaria>.
Così dicendo, tuttavia, il Garante non si esprime a proposito del ruolo che l’Odv potrebbe acquisire in relazione alle segnalazioni effettuate nell’ambito della normativa di whistleblowing, in relazione alla quale sarebbero ipotizzabili diverse qualificazioni, ossia l’assunzione di un diverso ruolo e di diverse responsabilità da parte dell’OdV.
Provando a tirare le fila dell’esame fin qui condotto, de iure condendo, è opinione condivisa che la disciplina del whistleblowing debba essere integrata con quella di cui al G.D.P.R. quantomeno:
– definendo con precisione i ruoli attribuiti ai vari attori coinvolti nella procedura in relazione all’organigramma privacy;
– garantendo idonee misure di sicurezza del dato personale e/o particolare categoria di dato (ex dato sensibile) trattato;
– qualora si tratti di enti multinazionali, disciplinando le modalità di eventuali trasferimenti di dati a Paesi extra-europei;
– disciplinando il diritto di accesso agli atti del soggetto segnalante e del soggetto segnalato.
à APPROFONDIMENTO
Si riporta di seguito la L. 179/2017 “Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarita’ di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato. (17G00193)
(GU n.291 del 14-12-2017)
Vigente al: 29-12-2017
Art. 1 <Modifica dell’articolo 54-bis del decreto legislativo 30 marzo 2001, n. 165, in materia di tutela del dipendente o collaboratore che segnala illeciti>
- L’articolo 54-bis del decreto legislativo 30 marzo 2001, n. 165, e’ sostituito dal seguente:«Art. 54-bis (Tutela del dipendente pubblico che segnala illeciti).
Il pubblico dipendente che, nell’interesse dell’integrita’ della pubblica amministrazione, segnala al responsabile della prevenzione della corruzione e della trasparenza di cui all’articolo 1, comma 7, della legge 6 novembre 2012, n. 190, ovvero all’Autorita’ nazionale anticorruzione (ANAC), o denuncia all’autorita’ giudiziaria ordinaria o a quella contabile, condotte illecite di cui e’ venuto a conoscenza in ragione del proprio rapporto di lavoro non puo’ essere sanzionato, demansionato, licenziato, trasferito, o sottoposto ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro determinata dalla segnalazione. L’adozione di misure ritenute ritorsive, di cui al primo periodo, nei confronti del segnalante e’ comunicata in ogni caso all’ANAC dall’interessato o dalle organizzazioni sindacali maggiormente rappresentative nell’amministrazione nella quale le stesse sono state poste in essere. L’ANAC informa il Dipartimento della funzione pubblica della Presidenza del Consiglio dei ministri o gli altri organismi di garanzia o di disciplina per le attivita’ e gli eventuali provvedimenti di competenza.
- Ai fini del presente articolo, per dipendente pubblico si intende il dipendente delle amministrazioni pubbliche di cui all’articolo 1, comma 2, ivi compreso il dipendente di cui all’articolo 3, il dipendente di un ente pubblico economico ovvero il dipendente di un ente di diritto privato sottoposto a controllo pubblico ai sensi dell’articolo 2359 del codice civile. La disciplina di cui al presente articolo si applica anche ai lavoratori e ai collaboratori delle imprese fornitrici di beni o servizi e che realizzano opere in favore dell’amministrazione pubblica.
- L’identita’ del segnalante non puo’ essere rivelata. Nell’ambito del procedimento penale, l’identita’ del segnalante e’ coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 del codice di procedura penale. Nell’ambito del procedimento dinanzi alla Corte dei conti, l’identita’ del segnalante non puo’ essere rivelata fino alla chiusura della fase istruttoria. Nell’ambito del procedimento disciplinare l’identita’ del segnalante non puo’ essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identita’ del segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sara’ utilizzabile ai fini del procedimento disciplinare solo in presenza di consenso del segnalante alla rivelazione della sua identita’.
- La segnalazione e’ sottratta all’accesso previsto dagli articoli 22 e seguenti della legge 7 agosto 1990, n. 241, e successive modificazioni.
- L’ANAC, sentito il Garante per la protezione dei dati personali, adotta apposite linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni. Le linee guida prevedono l’utilizzo di modalita’ anche informatiche e promuovono il ricorso a strumenti di crittografia per garantire la riservatezza dell’identita’ del segnalante e per il contenuto delle segnalazioni e della relativa documentazione.
- Qualora venga accertata, nell’ambito dell’istruttoria condotta dall’ANAC, l’adozione di misure discriminatorie da parte di una delle amministrazioni pubbliche o di uno degli enti di cui al comma 2, fermi restando gli altri profili di responsabilita’, l’ANAC applica al responsabile che ha adottato tale misura una sanzione amministrativa pecuniaria da 5.000 a 30.000 euro. Qualora venga accertata l’assenza di procedure per l’inoltro e la gestione delle segnalazioni ovvero l’adozione di procedure non conformi a quelle di cui al comma 5, l’ANAC applica al responsabile la sanzione amministrativa pecuniaria da 10.000 a 50.000 euro. Qualora venga accertato il mancato svolgimento da parte del responsabile di attivita’ di verifica e analisi delle segnalazioni ricevute, si applica al responsabile la sanzione amministrativa pecuniaria da 10.000 a 50.000 euro. L’ANAC determina l’entita’ della sanzione tenuto conto delle dimensioni dell’amministrazione o dell’ente cui si riferisce la segnalazione.
- E’ a carico dell’amministrazione pubblica o dell’ente di cui al comma 2 dimostrare che le misure discriminatorie o ritorsive, adottate nei confronti del segnalante, sono motivate da ragioni estranee alla segnalazione stessa. Gli atti discriminatori o ritorsivi adottati dall’amministrazione o dall’ente sono nulli. 8. Il segnalante che sia licenziato a motivo della segnalazione e’ reintegrato nel posto di lavoro ai sensi dell’articolo 2 del decreto legislativo 4 marzo 2015, n. 23. 9. Le tutele di cui al presente articolo non sono garantite nei casi in cui sia accertata, anche con sentenza di primo grado, la responsabilita’ penale del segnalante per i reati di calunnia o diffamazione o comunque per reati commessi con la denuncia di cui al comma 1 ovvero la sua responsabilita’ civile, per lo stesso titolo, nei casi di dolo o colpa grave».
Art. 2 <Tutela del dipendente o collaboratore che segnala illeciti nel settore privato>
- All’articolo 6 del decreto legislativo 8 giugno 2001, n. 231, dopo il comma 2 sono inseriti i seguenti:
– 2-bis. I modelli di cui alla lettera a) del comma 1 prevedono:
- a) uno o piu’ canali che consentano ai soggetti indicati nell’articolo 5, comma 1, lettere a) e b), di presentare, a tutela dell’integrità dell’ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto e fondate su elementi di fatto precisi e concordanti, o di violazioni del modello di organizzazione e gestione dell’ente, di cui siano venuti a conoscenza in ragione delle funzioni svolte; tali canali garantiscono la riservatezza dell’identita’ del segnalante nelle attività’ di gestione della segnalazione;
- b) almeno un canale alternativo di segnalazione idoneo a garantire, con modalita’ informatiche, la riservatezza dell’identita’ del segnalante;
- c) il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione;
- d) nel sistema disciplinare adottato ai sensi del comma 2, lettera e), sanzioni nei confronti di chi viola le misure di tutela del segnalante, nonche’ di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate.
– 2-ter. L’adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni di cui al comma 2-bis puo’ essere denunciata all’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza, oltre che dal segnalante, anche dall’organizzazione sindacale indicata dal medesimo.
– 2-quater. Il licenziamento ritorsivo o discriminatorio del soggetto segnalante e’ nullo. Sono altresi’ nulli il mutamento di mansioni ai sensi dell’articolo 2103 del codice civile, nonche’ qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante. E’ onere del datore di lavoro, in caso di controversie legate all’irrogazione di sanzioni disciplinari, o a demansionamenti, licenziamenti, trasferimenti, o sottoposizione del segnalante ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro, successivi alla presentazione della segnalazione, dimostrare che tali misure sono fondate su ragioni estranee alla segnalazione stessa.».
Art. 3 I<Integrazione della disciplina dell’obbligo di segreto d’ufficio, aziendale, professionale, scientifico e industriale>
- Nelle ipotesi di segnalazione o denuncia effettuate nelle forme e nei limiti di cui all’articolo 54-bis del decreto legislativo 30 marzo 2001, n. 165, e all’articolo 6 del decreto legislativo 8 giugno 2001, n. 231, come modificati dalla presente legge, il perseguimento dell’interesse all’integrità delle amministrazioni, pubbliche e private, nonché alla prevenzione e alla repressione delle malversazioni, costituisce giusta causa di rivelazione di notizie coperte dall’obbligo di segreto di cui agli articoli 326, 622 e 623 del codice penale e all’articolo 2105 del codice civile.
- La disposizione di cui al comma 1 non si applica nel caso in cui l’obbligo di segreto professionale gravi su chi sia venuto a conoscenza della notizia in ragione di un rapporto di consulenza professionale o di assistenza con l’ente, l’impresa o la persona fisica interessata.
- Quando notizie e documenti che sono comunicati all’organo deputato a riceverli siano oggetto di segreto aziendale, professionale o d’ufficio, costituisce violazione del relativo obbligo di segreto la rivelazione con modalità’ eccedenti rispetto alle finalità’ dell’eliminazione dell’illecito e, in particolare, la rivelazione al di fuori del canale di comunicazione specificamente predisposto a tal fine.”
[1] “Art. 54-bis. – (Tutela del dipendente pubblico che segnala illeciti).
- Fuoridei casi di responsabilita’ a titolo di calunnia o diffamazione, ovvero per lo stesso titolo ai sensi dell’articolo 2043 del codice civile, il pubblico dipendente che denuncia all’autorita’ giudiziaria o alla Corte dei conti, ovvero riferisce al proprio superiore gerarchico condotte illecite di cui sia venuto a conoscenza in ragione del rapporto di lavoro, non puo’ essere sanzionato, licenziato o sottoposto ad una misura discriminatoria, diretta o indiretta, avente effetti sulle condizioni di lavoro per motivi collegati direttamente o indirettamente alla denuncia.
- Nell’ambito del procedimento disciplinare, l’identita’ del segnalante non puo’ essere rivelata senza il suo consenso, sempre che la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione. Qualora la contestazione sia fondata, in tuttoo in parte, sulla segnalazione, l’identità può essere rivelata ove la sua conoscenza sia assolutamente indispensabile per la difesa dell’incolpato.
- L’adozione di misure discriminatoriee’ segnalata al Dipartimento della funzione pubblica, per i provvedimenti di competenza, dall’interessato o dalle organizzazioni sindacali maggiormente rappresentative nell’amministrazione nella quale le stesse sono state poste in essere.
- La denuncia e’ sottratta all’accesso previsto dagli articoli 22 e seguenti della legge 7 agosto 1990, n. 241, e successive modificazioni”.
[2] Legge 90/2014 – Art. 31 (Modifiche all’art. 54-bis del decreto legislativo n. 165 del 2001)
- Al comma 1, dell’art. 54-bis del decreto legislativo 30 marzo 2001, n. 165, dopo le parole: «Corte dei conti,» sono inserite le seguenti «o all’Autorita’ nazionale anticorruzione (ANAC),».
3 Si veda il testo della legge alla fine della presente scheda.
[4] https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32019L1937&from=RO