Che cosa prevede la procedura di Whistleblowing 

La Direttiva sul whistleblowing, recepita in Italia, impone obblighi normativi per la protezione di coloro che segnalano violazione della normativa comunitaria e italiana all’interno dell’ente (pubblico o privato) presso cui lavorano. Fondamentale è l’istituzione di canali di segnalazione sicuri, vietando pesantemente le ritorsioni e discriminazioni con sanzioni esemplari. Questo articolo approfondisce una serie di indicazioni e best practice per guidare i destinatari della normativa nel percorso di compliance aziendale. 

La Direttiva (UE) 2019/1937 (‘Direttiva whistleblowing’), adottata dal Parlamento europeo e dal Consiglio il 23 ottobre 2019, ha introdotto degli standard comuni per la protezione dei whistleblower (segnalanti o informatori) all’interno dell’Unione europea. 

L’obiettivo, quindi, è garantire che chi segnala violazioni della normativa comunitaria (e vedremo, anche nazionale) sia tutelato contro eventuali comportamenti ritorsivi, e che la tutela sia adeguata e omogenea in tutti gli Stati membri. 

Vediamo quali sono i punti salienti della Direttiva. 

Decreto whistleblowing 

In Italia, la Direttiva whistleblowing è stata recepita nel 2023, con il decreto legislativo n. 24 del 10 marzo, che ha integrato e specificato il contenuto della Direttiva rispetto alla realtà italiana. 

Cosa dice il decreto italiano sul whistleblowing 

Il ‘decreto whistleblowing’ si applica alle violazioni sia del diritto dell’Unione (come previsto dalla Direttiva whistleblowing), sia del diritto italiano, di cui i segnalanti siano venuti a conoscenza in un contesto lavorativo, pubblico o privato. 

In altre parole, secondo il decreto whistleblowing devono essere tutelati quei dipendenti o collaboratori che, essendo testimoni di violazioni all’interno dell’ente pubblico o privato presso cui lavorano, vogliano segnalarle. 

L’idea di fondo è che la violazione della legge europea o italiana lede l’interesse e l’integrità della pubblica amministrazione o dell’azienda o ente privato in cui tale violazione si è verificata, e che porvi rimedio non può che giovare a tutti. Per questo le segnalazioni sono uno strumento prezioso per la salute dell’azienda (o dell’ente pubblico) e come tali vanno ampiamente incoraggiate. 

A tal fine, è fondamentale passare per un’adeguata tutela delle persone segnalanti. L’assenza di protezione dei dipendenti e collaboratori funge da grandissimo deterrente per paura di ritorsioni o trattamenti discriminatori. 

Per questo motivo, il decreto whistleblowing prevede un obbligo, per i datori di lavoro, di istituire canali di segnalazione interni: questi canali interni devono garantire un trattamento riservato della persona segnalante e delle persone comunque coinvolte, nonché del contenuto delle segnalazioni e di eventuale documentazione a corredo. Inoltre, impone un’individuazione precisa dei soggetti tutelati: nel settore privato, ad esempio parliamo di lavoratori subordinati, lavoratori autonomi / collaboratori, tirocinanti, consulenti, volontari, membri di organi amministrativi e di vigilanza, fornitori e chiunque abbia una relazione di collaborazione con l’ente. 

Ecco un’indicazione di alcune delle best practice da adottare per assicurarsi di rispettare gli obblighi previsti dal decreto whistleblowing. 

Canali di segnalazione interni 

Devono essere accessibili, facili da usare. Le segnalazioni possono essere in forma scritta oppure orale: se si opta per la forma scritta, è preferibile adottare modalità informatiche (ad
esempio, attraverso delle piattaforme online apposite). Il ricorso a strumenti di crittografia per tutelare la riservatezza, ad esempio, è un requisito assolutamente fondamentale. 

Designazione di un responsabile delle segnalazioni 

Può essere interno, o un consulente esterno specializzato (purché dotati di autonomia e con personale specificamente formato per la gestione del canale di segnalazione). Essenziale rispettare le tempistiche indicate dal decreto whistleblowing per la gestione della segnalazione (entro 3 mesi dall’avviso di ricevimento della segnalazione, ad esempio, occorre dare riscontro al segnalante). 

Riservatezza e tutela dei dati personali 

Oltre al ricorso alla crittografia, già menzionato, è imprescindibile il rispetto della normativa in tema di protezione di dati personali (rappresentata in larga parte dal GDPR). Sarà pertanto opportuno integrare l’informativa sul trattamento dei dati personali (o predisporne una ad hoc per le segnalazioni whistleblowing) e aggiornare la documentazione privacy (come, ad esempio, il registro delle attività di trattamento) indicando correttamente i nuovi flussi di dati, le finalità del relativo trattamento, l’eventuale nomina di ulteriori responsabili del trattamento (ad esempio, il provider di una piattaforma online da utilizzare per le segnalazioni).

Data retention 

La politica di data retention è di un massimo di 5 anni alla data della comunicazione dell’esito finale della procedura di segnalazione. 

Formazione dei dipendenti 

La comunicazione e la formazione sull’argomento garantiscono la trasparenza, la conoscenza e la consapevolezza dei rispettivi diritti e doveri. 

Monitorare i comportamenti ritorsivi 

Insieme alla funzione HR, verificare che non si pongano in essere condotte discriminatorie e/o ritorsive nei confronti dei dipendenti (che potrebbero subirle in ragione di sospetti in
merito alla loro qualità di segnalanti). 

Ignorare la normativa può comportare gravi conseguenze, tra queste ci sono:

• Sanzioni della legge di settore: da € 10.000 a € 50.000 per ogni inosservanza dell’azienda rispetto alla normativa sul whistleblowing.
• Sanzioni Privacy: possono ovviamente cumularsi anche provvedimenti sanzionatori parametrati sulla normativa privacy europea (fino a 20 milioni di euro o fino al 4% del fatturato globale annuo totale dell’esercizio precedente, se superiore).
• Contenziosi legali: possibilità di cause legali da parte di segnalanti non tutelati.