Whistleblowing: recepimento della direttiva 2019/1937/UE e nuovi obblighi per le imprese

Il termine whistleblower (dall’inglese to blow the whistle, ossia soffiare nel/il fischietto), identifica un individuo che – venuto a conoscenza nel corso della propria attività lavorativa di comportamenti illeciti di varia natura – denunci pubblicamente o riferisca alle autorità gli avvenimenti di cui è stato testimone, esponendosi così al rischio di vessazioni, ritorsioni e molestie[1]. Su input delle istituzioni europee ed internazionali, molti sono gli ordinamenti che hanno introdotto normative che prevedono l’adozione di sistemi e procedure di segnalazione di illeciti, contestualmente all’indispensabile inserimento di misure protettive dei soggetti segnalanti[2]. Dotarsi di adeguati strumenti di segnalazione è oggi questione sempre più cruciale[3], non a caso negli ultimi anni si è assistito ad una proliferazione delle norme in materia di whistleblowing[4], a fortiori in considerazione dell’acutizzato rischio di corruzione nell’assistenza sanitaria e negli appalti pubblici in seguito al periodo pandemico[5], nonché di quello connesso all’erogazione degli ingenti fondi del Recovery Fund[6].

In quest’ottica, con l’intento di correggere l’approccio disomogeneo e frammentato esistente a livello nazionale armonizzando gli standard normativi in materia di whistleblowing onde favorire l’emersione di illeciti, l’Unione Europea ha adottato la Direttiva 2019/1937/UE riguardante la “Protezione degli individui che segnalano violazioni delle norme comunitarie”. Il termine originario per il suo recepimento era fissato al 17 dicembre 2021 spirato, tuttavia, senza che l’Italia si fosse conformata al corpus normativo euro-unitario. Ne è conseguita la comunicazione del 27 gennaio 2022 della Commissione Europea sull’avvio nei confronti dell’Italia di una procedura di infrazione[7]. Finalmente, lo scorso agosto, la Camera dei Deputati ha approvato in via definitiva la Legge di delegazione europea 2021 (L. n. 127/2022), che include la Direttiva 2019/1937, in vigore dal 10 settembre 2022. Si attende, adesso, il decreto legislativo che andrà a rimodellare la normativa nazionale vigente: il D.Lgs. n. 231/2001 (per le imprese) e il D.Lgs. n. 165/2001 (per le pubbliche amministrazioni)[8].

Addentrandoci nello studio della Direttiva, il suo scopo precipuo è quello di stabilire norme minime, uniformi in tutti gli Stati membri, tali da garantire un’elevata tutela alle persone che decidano di segnalare presunte violazioni del diritto dell’Unione relativamente a settori assai delicati (tra questi appalti pubblici, concorrenza, servizi finanziari, sicurezza dei prodotti e dei trasporti, tutela dell’ambiente, tutela della privacy e salute pubblica), scoperte nell’ambito del proprio contesto lavorativo. Viene, a tal fine, introdotto un duplice obbligo: 1) istituire canali di segnalazione interni per tutti gli enti privati con più di 50 dipendenti; 2) istituire procedure per le segnalazioni interne a tutela del whistleblower, a prescindere dall’adozione o meno di un Modello organizzativo 231, le quali garantiscano la riservatezza dell’identità del segnalante e la protezione degli eventuali terzi citati nella segnalazione e impediscano l’accesso da parte del personale non autorizzato.

Resta salva la possibilità da parte degli Stati membri di estendere le novità in commento anche agli enti privati con meno di 50 lavoratori, nonché ad altri settori non contemplati dalla Direttiva.

Sotto il profilo soggettivo, la Direttiva inquadra il whistleblower nella persona fisica che segnala o divulga informazioni sulle violazioni acquisite nell’ambito delle sue attività lavorative in ambito pubblico o privato, indipendentemente dalla natura di tali attività o dal fatto che il rapporto di lavoro sia nel frattempo terminato o non ancora iniziato (quindi anche ex dipendenti o candidati all’assunzione). Essa, inoltre, allarga il ventaglio dei soggetti tutelati, ricomprendendo, in particolare, i cd. facilitatori (coloro che prestano assistenza al lavoratore nel processo di segnalazione), i soggetti terzi connessi con le persone segnalanti quali colleghi o parenti, i soggetti giuridici cui le persone segnalanti sono “lavorativamente” collegate.

Un altro aspetto peculiare della novella europea consiste nella concessione di salvaguardie anche qualora siano segnalate violazioni non ancora commesse, ma che molto plausibilmente potrebbero esserlo, oltre ad atti od omissioni che il segnalante abbia valide ragioni di ritenere violazioni e, infine, tentativi di occultare irregolarità. La facoltà di segnalare violazioni non ancora commesse, andrà, ovviamente, utilizzata con raziocinio e, stante la non trascurabile diffusione di condotte calunniose nella segnalazione di meri tentativi o, addirittura, di mere ideazioni, sarà necessario un trattamento altamente ponderato delle stesse onde evitare una “caccia alle streghe” sulle imprese a cui consegua un ingiustificato screditamento reputazionale.  

A proposito della procedura di segnalazione, la Direttiva ne individua tre tipologie: 1) segnalazione interna; 2) segnalazione esterna (che sarà rivolta ad autorità designate dagli Stati membri o a quelle competenti a livello europeo); 3) divulgazioni pubbliche (ipotesi residuale in caso di ostruzionismi negli altri canali). La gestione dei canali di segnalazione potrà essere in outsourcing ovvero interna ed affidata ad una persona o ad un servizio in possesso dei requisiti di imparzialità e competenza. La loro implementazione potrebbe generare dei costi a carico dell’impresa nonché richiedere alcuni riassetti organizzativi. Almeno un canale dovrà avere modalità informatiche. L’utilizzo del canale esterno sarà da preferire in casi particolari in cui il canale interno non assicuri indipendenza e autonomia ed una effettiva tutela[9].

La dotazione di uno specifico ed adeguato canale informatico interno potrà concretamente tornar utile anche all’azienda stessa, poiché in tal guisa capace di gestire internamente tutto il processo evitando possibili danni di immagine, combattendo le frodi e riducendo le perdite[10].

A completamento del quadro sin qui disegnato, la Direttiva sancisce l’obbligo per gli Stati membri di provvedere affinché l’identità della persona segnalante non sia divulgata, senza il suo consenso esplicito, a nessuno che non rientri tra il personale autorizzato competente a ricevere o a dare seguito alle segnalazioni. Sono inoltre previsti specifici casi di deroga e le relative garanzie. Essa, infine, commina sanzioni, di natura civile, penale o amministrativa, incombenti per chi (persona fisica o giuridica) si renda inadempiente degli obblighi di predisposizione delle risorse da utilizzare per le segnalazioni oppure violi le prescrizioni a salvaguardia dei segnalanti e soggetti equiparati.

Giunti al termine del presente elaborato, appare utile sintetizzare ciò che sarà essenziale per le imprese al fine di implementare o aggiornare il sistema di whistleblowing in conformità con quanto richiesto dalla Direttiva UE:

• predisporre la policy e stabilire la governance della procedura di gestione delle segnalazioni, individuando e valutando le soluzioni organizzative più idonee;
• mettere a punto le modalità operative con cui si concretizza il processo di gestione delle segnalazioni (ad esempio, canale di segnalazione, modalità di ricezione e analisi delle segnalazioni, modalità di tutela del segnalante);
• incrementare la formazione del personale in tema di whistleblowing;
• regolamentare il processo di analisi e gestione delle segnalazioni ricevute;
• assicurare la compliance in tema di trattamento dei dati personali (integrazione dell’Informativa privacy e del registro dei trattamenti, nomina ad autorizzato del trattamento, etc.);
• vietare atti ritorsivi nei confronti del segnalante, comprese le forme indirette di discriminazione.

Alla luce delle novità comunitarie a rafforzamento del whistleblowing, e per effetto della Legge delega n. 127/2022, è giocoforza che il Governo italiano, nella redazione del decreto legislativo atto a recepirle, non potrà prescindere dall’apportare necessari adeguamenti delle disposizioni regolatorie vigenti, a partire dalla Legge n. 179/2017[11], al fine di espungere le effettive dissonanze del corpus normativo nazionale con quello europeo[12]. Il nuovo esecutivo, con il Consiglio dei Ministri di venerdì 9 dicembre 2022, a ventiquattro ore dalla scadenza del termine ultimo fissato dalla Legge delega al 10 dicembre, ha dato luce verde alla bozza dello schema del suddetto decreto attuativo.