La disciplina del whistleblowing (aggiornata con le linee guida di ANAC e Confindustria).

 

Con il decreto legislativo 10 marzo 2023, n. 24, pubblicato in Gazzetta Ufficiale il 15 marzo 2023, l'Italia ha dato attuazione alla direttiva UE 2019/1937 del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione, estendendo la protezione alle persone che segnalano violazioni delle disposizioni normative nazionali (c.d. whistleblowing).

La norma si pone come una riforma organica destinata a sostituire le prime esperienze di disciplina dell'istituto.

L'ANAC, con delibera n. 311 del 12 luglio 2023, ha approvato le proprie linee guida in materia, contenenti anche le procedure per la presentazione e gestione delle segnalazioni esterne.

Sul tema si è espressa anche Confindustria, con proprie linee guida dell'ottobre 2023.

Ambito di applicazione oggettivo.

Il nuovo decreto legislativo disciplina la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato.

La norma, al contrario, non trova applicazione quando la persona segnalante avanzi contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale, che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate.

L'istituto, quindi, viene chiaramente delimitato nei confini del pubblico interesse al rispetto della normativa, mediante strumenti tesi a proteggere il segnalante.

Ambito di applicazione soggettivo.

Ex latere datoris, la norma trova applicazione al settore pubblico per tutte le segnalazioni, interne ed esterne, divulgazioni pubbliche e denunce all'autorità giudiziaria o contabile di informazioni riguardanti una delle violazioni previste dall'art. 2, comma 1, lettera a), qui sinteticamente indicate:

1) illeciti amministrativi, contabili, civili o penali;

2) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231 o violazioni dei modelli di organizzazione e gestione ivi previsti, purché non rientranti nelle ipotesi successive;

3) illeciti che rientrano nell'ambito di applicazione degli atti dell'Unione europea o di norme nazionali attuative di discipline comunitarie in alcuni settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell'ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;

4) atti od omissioni che ledono gli interessi finanziari dell'Unione Europea;

5) atti od omissioni riguardanti il mercato interno, la concorrenza, gli aiuti di stato, la concorrenza e le norme fiscali delle imposte sulla società.

6) atti o comportamenti che vanificano l'oggetto o la finalità delle disposizioni di cui agli atti dell'Unione nei settori indicati nei numeri 3), 4) e 5).

La disciplina trova applicazione anche ai soggetti del settore privato, ma con alcuni distinguo. Essa si applica a:

a) soggetti (datori di lavoro, imprese) che hanno impiegato, nell'ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, per segnalazioni interne o esterne, divulgazioni pubbliche o denunce all'autorità giudiziaria o contabile delle informazioni sulle violazioni di cui ai superiori numeri 3), 4), 5) e 6);

b) soggetti (datori di lavoro, imprese) che, pur non avendo impiegato la media di lavoratori indicata alla superiore lettera, operano in alcuni settori sensibili disciplinati dall'Unione Europea, indicati in apposito allegato al decreto legislativo (ad esempio, i settori creditizio, assicurativo, finanziario), per segnalazioni interne o esterne, divulgazioni pubbliche o denunce all'autorità giudiziaria o contabile delle informazioni sulle violazioni di cui ai superiori numeri 3), 4), 5) e 6);

c) soggetti (datori di lavoro, imprese) che, pur non avendo impiegato la media di almeno 50 lavoratori  nell'ultimo anno, rientrano nell'ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231 e adottano modelli di organizzazione e gestione ivi previsti. In tal caso, la tutela è apprestata per le sole segnalazioni interne di violazioni per condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231 o violazioni dei modelli di organizzazione e gestione ivi previsti.

Se un soggetto privato rientra nell'ambito di applicazione del d.lgs. 231/2001, ha adottato i modelli di organizzazione e gestione ed ha più di cinquanta dipendenti, la tutela verrà garantita per entrambe le ipotesi di cui alle superiori lettere a) e c).

Quanto ai soggetti tutelati, essi coincidono con le seguenti persone che segnalano, denunciano o divulgano informazioni sulle violazioni di cui sono venute a conoscenza nell'ambito del proprio contesto lavorativo:

- i dipendenti delle amministrazioni pubbliche e delle autorità amministrative di garanzia, vigilanza o regolazione;

- i dipendenti degli enti pubblici economici, degli enti di diritto privato sottoposti a controllo pubblico ai sensi dell'articolo 2359 del codice civile, delle società in house, degli organismi di diritto pubblico o dei concessionari di pubblico servizio;

- i lavoratori subordinati di soggetti del settore privato, compresi i prestatori occasionali;

- i lavoratori autonomi e collaboratori coordinati e continuativi che operano in favore di soggetti del settore pubblico o del settore privato;

- i liberi professionisti e i consulenti che prestano la propria attività presso soggetti del settore pubblico o del settore privato;

- i volontari e i tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico o del settore privato;

- gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico o del settore privato.

La novella prevede anche delle estensioni temporali e soggettive per ampliare l'ambito di operatività della tutela accordata ai whistleblower.

Sotto il profilo temporale, la tutela è accordata al segnalatore anche quando la segnalazione, la denuncia o la divulgazione avvengano prima dell'instaurazione del rapporto, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali; durante il periodo di prova; successivamente allo scioglimento del rapporto giuridico, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.

Sotto il profilo soggettivo, la tutela è estesa:

a) al facilitatore (una persona fisica che assiste una persona segnalante nel processo di segnalazione, operante all'interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata);

b) alle persone del medesimo contesto lavorativo della persona segnalante, ad essa legate da uno stabile legame affettivo o di parentela entro il quarto grado;

c) ai colleghi di lavoro della persona segnalante che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;

d) agli enti di proprietà della persona segnalante o per i quali essa lavora, nonché agli enti che operano nel medesimo contesto lavorativo del segnalante.

Organizzazione dei canali di segnalazione.

I soggetti tenuti all'applicazione della norma, per uniformarsi, previa consultazione con le rappresentanze sindacali o - in mancanza - con le organizzazioni sindacali territoriali comparativamente più rappresentative nella categoria, dovranno attivare dei canali di segnalazione in favore del proprio personale, che garantiscano - anche tramite strumenti di crittografia - la riservatezza dell'identità sia del segnalante, sia delle altre persone coinvolte nella segnalazione.

I modelli di organizzazione e gestione di cui al d.lgs. 231/2001 - come già stabiliva l'originaria formulazione dell'art. 6, comma 2 bis del d.lgs. 231/2001 - devono prevedere espressamente tali canali di segnalazione interna, oltre al divieto di ritorsione ed al sistema disciplinare​. Ciò comporterà la necessità di adeguare i modelli di gestione ed organizzazione che per ipotesi non contengano strumenti conformi alla nuova disciplina. Tale previsione o adeguamento, però, potrebbe non essere sufficiente. In caso di procedimento penale avviato per una delle ipotesi di reato ricomprese nell'elenco del d.lgs. 231/2001, infatti, non sarà sufficiente provare di aver implementato i canali di segnalazione interna, ma occorrerà anche dimostrare che essi funzionavano ed erano idonei a segnalare illeciti con le caratteristiche tecniche e giuridiche (in particolare, la garanzia di riservatezza) sopra citate.

La gestione del canale di segnalazione deve essere affidata a una persona o a un ufficio interno autonomo dedicato e con personale "specificamente formato" per la gestione del canale di segnalazione; è tuttavia possibile affidare la gestione a un soggetto esterno (non meglio specificato), anch'esso autonomo e con personale specificamente formato. Le imprese con una media di lavoratori subordinati non superiore a 249, possono condividere il canale di segnalazione interna e la relativa gestione.

La norma non stabilisce quale debba essere il soggetto interno ed esterno incaricato, né in cosa consista la specifica formazione, mancando allo stato percorsi formativi regolamentati per divenire un soggetto esperto nella gestione del canale di segnalazione.

Le modalità di raccolta delle segnalazioni e la garanzia di riservatezza imposta, anche mediante l'uso di strumenti crittografici, rendono impensabile che in aziende medio-piccole possa esservi un soggetto interno all'azienda capace, al contempo, di gestire il canale delle segnalazioni con "specifica formazione",  di avere la piena autonomia rispetto al datore di lavoro nella gestione delle segnalazione e delle informazioni, di introdurre l'uso di strumenti tecnicamente idonei a garantire la riservatezza.

Le Linee Guida Anac riferiscono della possibilità di affidare l'incarico ad uffici interni caratterizzati da autonomia, come ad es. il comitato etico, l'internal audit, compliance).

Confindustria, a sua volta, nelle proprie linee guida, sostiene che "nel caso di medie e piccole imprese nelle quali le funzioni di Internal Audit e compliance non siano presenti, si potrebbe affidare il ruolo di gestore della segnalazione a una figura priva di mansioni operative, in modo da rispettare il criterio di autonomia previsto dalla normativa. Al riguardo, si potrebbe affidare tale ruolo ai responsabili delle funzioni legali o risorse umane, i quali già svolgono funzioni di controllo e di compliance normativa".

Personalmente mi pare difficile sostenere che il responsabile HR possa avere la dovuta autonomia ed indipendenza o che possa andare esente tutte le volte da potenziale conflitto di interesse. Allo stesso modo, mi pare impraticabile individuare una figura priva di mansioni operative, che avrebbe un costo non indifferente.

Anche l'organo collegiale o comitato costituito ad hoc, come suggeriscono le linee guida di Confindustria, mi lasciano perplesso, poiché incrementa il rischio di fuga di notizie e vulnus alla riservatezza.

Sarà più probabile - e più sicuro, soprattutto nelle aziende medio-piccole - che la gestione dei canali di segnalazione venga affidata a soggetti terzi indipendenti, che abbiano la capacità tecnica di apprestare o gestire strumenti anche informatici per garantire la riservatezza della catena delle informazioni e segnalazioni.

Se la novella legislativa non si esprimeva sulla possibilità possibilità di affidare l'incarico di destinatario delle segnalazioni all'Organismo di Vigilanza, nominato nell'ambito del modello organizzativo e di gestione del d.lgs. 231/2001, le linee guida ANAC hanno avallato tale soluzione.

L'O.d.V., del resto, è già soggetto autonomo qualificato e, in ragione del suo ruolo, è legittimato a verificare l'idoneità dei canali di segnalazione apprestati nel MOG, nonché a vigilare sull'effettività di funzionamento degli strumenti, sulla correttezza del loro utilizzo, sul rispetto del divieto di ritorsione verso il segnalante e gli altri soggetti tutelati.

Canale di segnalazione interno.

Il d.lgs. 24/2023 prevede che le segnalazioni "sono effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale".

Secondo le linee guida ANAC, al segnalante va garantita la scelta tra due modalità di segnalazione, quella scritta (tradizionale o telematica) e quella orale (alternativamente attraverso linee telefoniche,  con o senza sistema di messaggistica, o mediante incontro diretto con il gestore delle segnalazioni, su richiesta del segnalante. La preferenza è accordata dall'Autorità a sistemi informatici che garantiscano la protezione della crittografia, benché non sia obbligatorio dotarsi di piattaforma digitale a tutti i costi.

Nella scelta dei canali di segnalazione, bisognerà, in ogni caso, tenere in considerazione la necessità che sia garantita la riservatezza del segnalante.

Il concetto di riservatezza è ben diverso da quello dell'anonimato, poiché il sistema previsto dal legislatore comunitario presuppone di poter individuare il segnalante, proprio per accordargli tutela o per sanzionarlo in caso di false segnalazioni; tuttavia, l'identificazione del soggetto segnalante deve essere possibile solo in determinati casi e solo da parte di determinati soggetti.

L'installazione di una cassetta postale all'interno dell'ambiente di lavoro, in cui materialmente imbucare segnalazioni cartacee, è deprecata, poiché vi è il rischio di manomissione della serratura e perché qualcuno potrebbe vedere il Segnalante imbucare la segnalazione, individuandolo.

La raccomandata a mani all'ufficio del gestore delle segnalazioni reca con sé lo stesso rischio che qualcuno veda il segnalante entrare per consegnare la missiva.

La soluzione ottimale potrebbe essere, se si vuole sfruttare il canale tradizionale, usare la raccomandata A/R, da spedire direttamente al gestore, affinché solo questi possa leggerne il contenuto. Secondo le linee guida ANAC, dovrà esservi una prima busta anonima, recante solo il destinatario e una dicitura che univocamente consenta di individuarne la funzione (ad es. "segnalazione whistleblowing"). All'interno della busta spedita dovranno esservi altre due buste chiuse, una contenente i dati necessari ad individuare il segnalante, l'altra contenente - in via anonima - la segnalazione vera e propria e gli eventuali documenti a corredo. Ciò consentirà più agevolmente al gestore di ottemperare al dovere di protocollazione riservata della segnalazione, su autonomo registro.

L'ANAC, previo parere del Garante Privacy, ha deprecato anche la mail e la p.e.c. quali strumenti di trasmissione della segnalazione, poiché non garantirebbero la dovuta riservatezza.
Personalmente non concordo con tale affermazione, poiché le mail professionali ed a maggior ragione le p.e.c. sono garantite da crittografia, da firma digitale debole (accesso mediante username e password); dal 2024, con l'avvento della R.E.M. (posta elettronica certificata europea) in luogo della p.e.c., la posta certificata sarà garantita nella sua titolarità (identificazione del titolare mediante firma digitale o SPID) e nella sua sicurezza, mediante autenticazione a due fattori.

Nonostante le perplessità, tuttavia, l'ANAC è il soggetto che effettuerà controlli ed irrogherà sanzioni, per cui non conviene di certo apprestare modalità di segnalazione in contrasto con le linee guida.

L'utilizzo della piattaforma informatica, mediante fornitore esterno, sicuramente introduce un onere economico nell'azienda, ma garantisce notevoli vantaggi, quali la piena compliance ai desiderata dell'ANAC, la riduzione della responsabilità dell'Ente sul funzionamento e sulla riservatezza (limitata ala culpa in eligendo/vigilando), la semplificazione della gestione delle segnalazione da parte del gestore, la consente la protocollazione riservata (spesso con assegnazione di codice alfanumerico che abbini segnalante a segnalazione, non noto nemmeno al gestore, fino al bisogno).

La segnalazione interna nella forma orale, invece, può avvenire attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole. La specifica previsione di una facoltà di audizione orale, in capo al segnalante, indurrebbe a ritenere che un canale di segnalazione debba essere riservato a tale forma, anche se, francamente, sarà difficile - a causa del metus generalizzato - che il segnalante si faccia avanti per chiedere l'audizione orale finalizzata alla segnalazione. Il canale di segnalazione orale, pertanto, sarà destinato a rimanere verosimilmente inutilizzato, a meno che esso non sia inserito nella piattaforma informatica, quale sistema automatico di registrazione di messaggi vocali.

La norma prevede anche l'ipotesi che la segnalazione interna sia presentata per errore ad un soggetto diverso dal destinatario previsto dai canali di segnalazione apprestati dall'imprenditore. In tal caso, chi riceva per errore la segnalazione interna dovrà trasmetterla al destinatario competente entro 7 giorni e deve darne notizia al segnalante.

Gestione del canale di segnalazione interna.

Il d.lgs. 24/2023 prevede una serie di obblighi a carico del gestore destinatario dei canali di segnalazione; egli:

- deve confermare al segnalante l'avvenuta ricezione della segnalazione entro sette giorni dalla data di ricezione;

- deve mantenere l'interlocuzione (riservata) con il segnalante e può chiedere eventuali integrazioni;

- deve dar seguito alle segnalazioni ricevute, istruendo la pratica;

- deve fornire riscontro alla segnalazione entro tre mesi dalla data dell'avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione;

- deve apprestare adeguate informazioni sui canali di segnalazione interna e sulle procedure e i presupposti per la segnalazione esterna, mediante affissione di adeguata informativa in luoghi accessibili a tutti i lavoratori ed alle persone che, pur non frequentando i luoghi di lavoro, siano potenziali destinatari della disciplina. Inoltre, il gestore delle segnalazioni, deve curare che l'informativa sulle procedure di segnalazione sia pubblicata anche sul sito internet del datore di lavoro, se questi ne è dotato.

Solitamente gli obblighi di pubblicità verranno assolti dall'Ente destinatario della norma, piuttosto che dal gestore delle segnalazioni.

La segnalazione esterna e la divulgazione pubblica.

L'ordinamento ha apprestato anche un canale di segnalazione esterna di eventuali illeciti, presso l'ANAC (Autorità Nazionale Anticorruzione).

I soggetti legittimati possono effettuare una segnalazione esterna all'ANAC se, al momento della sua presentazione, ricorre una delle seguenti condizioni:

a) non è prevista, nell'ambito del suo contesto lavorativo, l'attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto imposto dalla normativa;

b) la persona segnalante ha già effettuato una segnalazione interna, ma la stessa non ha avuto seguito;

c) la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;

d) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

La tutela speciale del d.lgs. 24/2023 è assicurata anche alla persona segnalante che effettua una divulgazione pubblica, ma solo al ricorrere di una delle seguenti condizioni:

a) la persona segnalante ha previamente effettuato una segnalazione interna ed esterna ovvero ha effettuato direttamente una segnalazione esterna, ma non è stato dato riscontro nei termini di legge;

b) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;

c) la persona segnalante ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l'autore della violazione o coinvolto nella violazione stessa.

Obbligo di riservatezza.

Il nucleo centrale della disciplina sul whistleblowing è sicuramente imperniato sulla tutela del segnalante e degli altri soggetti collegati al medesimo.

Lo strumento principe della tutela, in chiave preventiva, è costituito dalla garanzia di riservatezza delle segnalazione.

La disposizione prescrive che le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse; si richiamano i principi di necessità e di non eccedenza, tipici della disciplina a tutela della protezione dei dati personali.

La norma, inoltre, stabilisce che l'identità della persona segnalante - come qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità - non può essere rivelata, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati nel rispetto della normativa in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196 e Reg. UE GDPR).

La riservatezza del segnalante è tutelata perfino in sede processuale. Più precisamente:

- nel procedimento penale, l'identità della persona segnalante è coperta dal segreto istruttorio, ai sensi dell'art. 329 c.p.c., fino alla chiusura delle indagini preliminari (salve eventuali estensioni del divieto eccezionalmente disposte dal P.M.);

- nel procedimento dinanzi alla Corte dei Conti, l'identità della persona segnalante non può essere rivelata fino alla chiusura della fase istruttoria;

- nel procedimento disciplinare a carico dell'autore dell'illecito, l'identità della persona segnalante non può essere rivelata quando la contestazione dell'addebito disciplinare sia fondata anche su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora, invece, la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.

Nel caso in cui si renda necessario rivelare l'identità della persona segnalante, quest'ultima deve essere preventivamente avvisata mediante comunicazione scritta contenente le ragioni della rilevazione dei dati riservati.

Anche sotto il profilo pubblico, la norma garantisce la riservatezza del segnalante, imponendo all'ANAC ed agli altri soggetti pubblici destinatari di segnalazioni esterne di tutelare l'identità non solo del segnalante, ma anche delle persone coinvolte e delle persone menzionate nella segnalazione fino alla conclusione dei procedimenti avviati in ragione della segnalazione. La segnalazione, inoltre, resta riservata e sottratta all'accesso agli atti ex lege 241/1990.

Ferma la riservatezza in favore del segnalante e, in qualche modo, delle persone coinvolte dalla segnalazione, queste ultime possono essere sentite su iniziativa del responsabile della gestione delle segnalazioni o della stessa persona coinvolta, anche mediante l'acquisizione di osservazioni scritte e documenti.

Gli obblighi di riservatezza, come accennato, si accompagnano agli obblighi di trattamento dei dati personali in conformità al regolamento (UE) 2016/679 ed al d.lgs. 196/2003. Da ciò consegue che non devono essere raccolti dati manifestamente non utili al trattamento di una specifica segnalazione o, se raccolti accidentalmente, devono essere cancellati immediatamente.

I soggetti obbligati ad applicare la normativa sul whistleblowing devono anche definire i modelli di ricevimento e gestione delle segnalazioni interne, individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati.

Sono altresì stabiliti limiti alla conservazione della documentazione relativa a segnalazioni interne ed esterne, per un periodo non superiore a cinque anni dalla data della comunicazione dell'esito finale della procedura di segnalazione.

Le segnalazioni orali pervenute su linea telefonica o messaggistica vocale vanno trascritte in ogni caso, anche quando esista una registrazione della telefonata o del messaggio, con facoltà per la persona segnalante di verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione.

In caso di segnalazione effettuata durante un incontro con il soggetto competente, il contenuto può essere documentato mediante registrazione o verbalizzazione, con il consenso del segnalante, il quale può verificare, rettificare e confermare il verbale dell'incontro mediante la propria sottoscrizione.

Infine, quando la notizia illecita sia divulgata pubblicamente, il segnalante è tutelato dalle norme sul segreto professionale degli esercenti la professione giornalistica, con riferimento alla fonte della notizia.

Misure di protezione: beneficiari e limiti.

La tutela in favore delle persone segnalanti è soggetta ad alcune condizioni:

a) al momento della segnalazione, della denuncia o della divulgazione pubblica la persona segnalante o denunciante doveva avere fondato motivo di ritenere che le informazioni sulle violazioni segnalate fossero vere e rientrassero nell'ambito oggettivo di operatività della norma;

b) la segnalazione o divulgazione pubblica deve essere stata effettuata sui canali e secondo le procedure disciplinate dal capo II del d.lgs. 24/2023, sopra esaminate.

Restano irrilevanti, ai fini della protezione, i motivi che hanno indotto la persona a segnalare o denunciare o divulgare pubblicamente l'illecito, purché non si verta in ipotesi di mero perseguimento di interessi e rivendicazioni personali.

Il segnalante non ha diritto alla protezione accordata dalla norma ed altresì è passibile di sanzione disciplinare quando venga accertata la sua responsabilità penale, anche con sentenza di primo grado (quindi non necessariamente definitiva), per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all'autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave. E' previsto, però, un caso eccezionale di esonero da responsabilità all'art. 20 del medesimo decreto legislativo, di seguito esaminato.

Le norme sulla protezione - così come sui casi di esclusione di essa - trovano applicazione anche ai segnalatori anonimi se vengono successivamente identificati e hanno subito ritorsioni.

Divieto di ritorsione.

La tutela fondamentale accordata ai segnalanti si fonda, oltre che sulla loro riservatezza, sulla protezione contro eventuali ritorsioni. L'art. 17 d.lgs. 24/2023 stabilisce espressamente che i segnalanti e gli altri soggetti protetti non possono subire alcuna ritorsione.

La stessa norma individua alcune ipotesi di ritorsione, in un elenco che, per sua natura e per espressa definizione, è meramente esemplificativo e non tassativo. Rientrano in tale elenco:

a) il licenziamento, la sospensione o misure equivalenti;

b) la retrocessione di grado o la mancata promozione;

c) il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell'orario di lavoro;

d) la sospensione della formazione o qualsiasi restrizione dell'accesso alla stessa;

e) le note di merito negative o le referenze negative;

f) l'adozione di misure disciplinari o di altra sanzione, anche pecuniaria;

g) la coercizione, l'intimidazione, le molestie o l'ostracismo;

h) la discriminazione o comunque il trattamento sfavorevole;

i) la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;

l) il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;

m) i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;

n) l'inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l'impossibilità per la persona di trovare un'occupazione nel settore o nell'industria in futuro;

o) la conclusione anticipata o l'annullamento del contratto di fornitura di beni o servizi;

p) l'annullamento di una licenza o di un permesso;

q) la richiesta di sottoposizione ad accertamenti psichiatrici o medici.

La tutela accordata dalla disposizione viene rafforzata da una netta inversione dell'onere probatorio, attraverso lo strumento della presunzione semplice. Nelle cause introdotte dal segnalante, dirette ad accertare un comportamento, un atto o un'omissione avente carattere ritorsivo o ad ottenere il risarcimento dei danni derivanti dall'aver effettuato la segnalazione, si presume che i comportamenti denunciati siano stati posti in essere con finalità ritorsiva, a causa della segnalazione e che abbiano generato un danno. Incombe su chi ha tenuto il comportamento presuntivamente ritorsivo l'onere di fornire la prova contraria, ovvero di provare che tali condotte o atti sono motivati da ragioni estranee alla segnalazione o alla denuncia, nonché l'assenza di danni.

Gli atti ritorsivi sono espressamente definiti nulli. In particolare, i segnalanti e gli altri soggetti protetti che siano stati licenziati a causa della segnalazione, ricevono la piena tutela reintegratoria (artt. 18 legge 300/70 o art. 2 d.lgs. 23/2015, in base alla disciplina applicabile al rapporto).

Il concetto è stato ribadito con la modifica dell'art. 4 legge 604/66, che oggi ricomprende anche il licenziamento "conseguente all'esercizio di un diritto ovvero alla segnalazione, alla denuncia all'autorità giudiziaria o contabile o alla divulgazione pubblica effettuate ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019". Il termine "conseguente" non deve intendersi come riferimento ad una semplice consequenzialità cronologica, ma ad una conseguenza in termini di derivazione causale. Ciononostante, l'utilizzo di quel termine implicitamente dà l'idea della intensa rilevanza attribuita alla presunzione di ritorsività.

L'autorità giudiziaria adita - oltre a dichiarare la nullità dell'atto o del comportamento ritorsivo - può adottare i provvedimenti più adeguati per rimuovere gli effetti della ritorsione, ivi compresi la reintegrazione nel posto di lavoro, l'ordine di cessazione della condotta ritorsiva, il risarcimento del danno.

La protezione avverso le ritorsioni è garantita anche attraverso l'istituzione di un canale esterno, presso l'ANAC, per segnalare le condotte ritorsive che il segnalante ritiene di aver subito. L'ANAC, in caso di notizia di ritorsione nell'ambito di un rapporto di lavoro privato, allerta l'Ispettorato del Lavoro per gli accertamenti e del caso. L'ANAC, che è il soggetto legittimato ad irrogare le sanzioni speciali previste dalla norma (ut infra), ha anche la possibilità di stipulare accordi con l'INL al fine di acquisire gli elementi istruttori necessari all'accertamento delle ritorsioni.

Limitazioni della responsabilità.

Un secondo adeguato strumento di protezione, in favore dei segnalanti è l'esonero da responsabilità, a determinate condizioni, per le segnalazioni effettuate.

Il segnalante che riveli o diffonda informazioni sulle violazioni coperte dall'obbligo di segreto (ad eccezione dei segreti professionali e giudiziari) o relative alla tutela del diritto d'autore o alla protezione dei dati personali, ovvero riveli o diffonda informazioni sulle violazioni che offendono la reputazione della persona coinvolta o denunciata, va esente da responsabilità quando, al momento della rivelazione o diffusione, vi fossero fondati motivi per ritenere che la rivelazione o diffusione delle stesse informazioni fosse necessaria per svelare la violazione e la segnalazione è stata effettuata conformemente alle procedure ed alle condizioni previste dal decreto legislativo.

L'esonero da responsabilità riguarda non solo sanzioni penali, ma anche la responsabilità civile ed amministrativa.

Il segnalante non incorre in alcuna responsabilità nemmeno per aver acquisito informazioni sulle violazioni o per l'accesso alle stesse, a meno che non abbia commesso reato per averle.

Al contrario, non opera alcun esonero da responsabilità in favore del segnalante per i suoi comportamenti, gli atti o le omissioni non collegati alla segnalazione o che non sono strettamente necessari a rivelare la violazione.

Invalidità di rinunce e transazioni.

La tutela del segnalante e degli altri soggetti passa anche attraverso l'invalidità di atti che contengano rinunce e transazioni aventi ad oggetto i diritti e le tutele previsti dalla normativa speciale, a meno che la rinuncia o la transazione non siano effettuate in sede protetta, ai sensi dell'art. 2113 cod. civ.

Sanzioni.

La protezione accordata dall'ordinamento è accompagnata da severe sanzioni pecuniarie amministrative, la cui irrogazione spetta all'ANAC; esse si aggiungono ad eventuali altre responsabilità, civili o penali.

Le sanzioni pecuniarie sono le seguenti:

- da €10.000,00 ad €50.000,00 nei confronti di chi abbia posto in essere ritorsioni o quando viene accertato che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l'obbligo di riservatezza.

-  da €10.000,00 a €50.000,00 nei confronti dei soggetti che, tenuti in forza del decreto legislativo, non hanno istituito canali di segnalazione, non hanno adottato procedure per l'effettuazione e la gestione delle segnalazioni, hanno adottato procedure non conformi a quelle prescritte ovvero hanno accertato che non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute;

- da €500,00 a €2.500,00 nei confronti del segnalante che abbia effettuato false segnalazioni e che sia risultato responsabile per dolo o colpa grave; per evitare il bis in idem, la sanzione non trova applicazione nei casi di condanna penale del segnalante per i reati di diffamazione o di calunnia o comunque per i reati commessi con la denuncia all'autorità.

I soggetti del settore privato che hanno adottato il modello di organizzazione e gestione, ex d.lgs. 231/2001, devono prevedere, all'interno del modello, non solo i canali di segnalazione e l'esplicitazione del divieto di ritorsione, ma anche un sistema disciplinare che contenga sanzioni nei confronti dei responsabili degli illeciti puniti con le citate sanzioni amministrative.

Misure di sostegno.

Per favorire le segnalazioni di illeciti e proteggere i segnalanti, il decreto legislativo in commento ha introdotto anche misure di sostegno ed informazione, affidate all'ANAC.

Entrata in vigore.

Le misure e le disposizioni contenute nel d.lgs. 24/2023 entreranno generalmente in vigore a decorrere dal 15 luglio 2023 e si applicheranno alle segnalazioni effettuate dopo tale data; fino a quel momento continueranno a trovare applicazione le previgenti disposizioni a tutela del whistleblower.

Allo scopo di non gravare eccessivamente sull'organizzazione delle piccole e medie entità, è stato previsto un termine differito di applicazione della disciplina nei confronti dei soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media di lavoratori subordinati inferiore a 250. Per essi, l'obbligo di istituzione del canale di segnalazione interna avrà effetto a decorrere dal 17 dicembre 2023; fino ad allora, troverà applicazione la disciplina previgente.