La normativa di attuazione della direttiva di protezione dei whistleblowers: lo statuto di protezione dei soggetti segnalanti, l’interesse dell’impresa ed i nuovi obblighi di compliance

A cura di Claudio Ponari

Il Dlgs 10 marzo 2023, n. 24, attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione Europea innova significativamente la disciplina del whistleblowing.
La normativa costituisce un ulteriore tassello di una tendenza generale che vede l’ordinamento impegnato a elevare il senso etico complessivo ed a contrastare il diffondersi di comportamenti illeciti, garantendo protezione a quanti segnalino violazioni di cui siano venuti a conoscenza nel contesto lavorativo. Nel contempo essa offre alle imprese nuovi importanti strumenti di tutela della propria integrità che si aggiungono a quelli già previsti e regolamentati dal decreto legislativo 231/01 – con l’importante differenza integrata dal fatto che oggi l’adozione dei nuovi strumenti è obbligatoria, allorquando alcuni requisiti dimensionali sono soddisfatti –prevedendo specifici obblighi di attivarsi concretamente per facilitare le denunzie e contrastare i comportamenti illeciti. La tutela approntata dal decreto, come chiarito dall’art. 1, riguarda “le persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo”. Il decreto ha innovato significativamente rispetto alla precedente normativa, dettando un’ampia ed analitica disciplina che coinvolge sia il personale dipendente dalla PA, sia il personale assunto (ivi compresi i lavoratori che non hanno ancora iniziato a rendere la prestazione) alle dipendenze da soggetti privati e va anche oltre l’ambito del lavoro dipendente per coinvolgere, coerentemente con il proprio fine, anche soggetti quali i collaboratori, i liberi professionisti ed i consulenti che prestino la propria attività presso soggetti del settore pubblico e privato, senza tralasciare neppure gli azionisti e le persone che rivestono cariche amministrative o di controllo. Nella logica di garantire una tutela effettiva ed incisiva il decreto ha previsto l’applicazione  di specifiche misure di protezione (su cui si tornerà nel prosieguo) non soltanto a beneficio dei soggetti segnalanti, ma anche a favore di soggetti terzi quali i “facilitatori” ovvero le persone fisiche (ad esempio colleghi o parenti) che assistono i denuncianti nel processo di  segnalazione,  operante  all’interno  del medesimo  contesto  lavorativo  e  la  cui  assistenza  deve essere mantenuta riservata.
Inoltre il decreto ha garantito l’applicazione delle tutele anche in caso di segnalazioni rivelatesi infondate qualora “al momento della segnalazione…la persona segnalante avesse fondato motivo di ritenere che le informazioni sulle violazioni…fossero vere e rientrassero nell’ambito oggettivo considerato dal decreto” sempre che le denunzie siano state effettuate con il rispetto delle modalità da esso previste. Il decreto individua un ampio “ventaglio” delle possibili violazioni che possono essere segnalate, menzionando, ad esempio: “gli illeciti amministrativi, contabili, civili o penali”, “condotte illecite rilevanti ai fini del d.lgs 231/01 (che prevede, come noto, la responsabilità dell’impresa per reati adottati dal personale apicale a suo vantaggio)”, “illeciti che riguardino appalti pubblici, servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del terrorismo…sicurezza e conformità dei prodotti…sicurezza dei trasporti…tutela dell’ambiente”. La normativa, infatti, si propone di prevenire e reprimere la commissione di illeciti in tali ambiti, incentivando le persone che siano a conoscenza di potenziali o intervenute violazioni a denunciare quanto ad esse noto, senza timore di subire ritorsioni, così da consentire un intervento tempestivo ed efficace idoneo sia ad evitare che a sanzionare dette violazioni. In questa logica, il soggetto che sia venuto a conoscenza di un comportamento illecito quale, potrebbe essere, ad esempio: una pratica di corruzione, un comportamento distorsivo della concorrenza o una forma di molestia a danno di un’altra persona nel contesto lavorativo può segnalare detto contegno in condizioni di  sicurezza, consentendo al datore di lavoro di adottare gli accorgimenti opportuni (ad esempio contestando e sanzionando il dipendente responsabile e/o adottando i provvedimenti organizzativi necessari), così da tutelare l’integrità dell’impresa (ed evitare, ad esempio, la responsabilità ex lege 231/01 e/o altri profili di responsabilità). Al fine di evitare un utilizzo improprio del whistleblowing il decreto ha opportunamente specificato che le tutele garantite ai soggetti che effettuano le segnalazioni non riguardino, tuttavia, “le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate”.
Ergo, è assolutamente chiaro che lo strumento in questione non può essere utilizzato laddove venga in rilievo un interesse (esclusivamente) personale e ciò tanto nel caso in cui detto interesse sia meritevole di tutela, come, ad esempio, nel caso di ricorrenza di comportamenti illeciti perpetrati dal datore di lavoro o da un superiore gerarchico a danno di un subordinato che trovano la propria tutela all’interno delle regole già esistenti, sia e, a maggior ragione, nel caso in cui non vi sia un interesse meritevole di tutela (come ad esempio nel caso in cui si utilizzi la segnalazione per calunniare o diffamare un collega o un superiore o si intenda utilizzare detto strumento per finalità di rappresaglia). In caso di utilizzo improprio, infatti, trova applicazione il disposto dell’art. 16, comma 3, del d.lgs 24 secondo cui “quando  è accertata, anche con sentenza di primo grado, la  responsabilità  penale  della persona segnalante per i  reati  di  diffamazione  o  di  calunnia  o comunque per i medesimi reati commessi con la denuncia  all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per  lo stesso titolo, nei casi di dolo o colpa grave, le tutele  di  cui  al presente  capo  non  sono  garantite  e  alla  persona  segnalante  o denunciante è irrogata una sanzione disciplinare”.
Ciò non toglie che qualora la segnalazione riguardi una violazione che abbia una rilevanza anche collettiva (ad esempio una violazione inerente il rispetto della normativa a tutela della sicurezza del luogo di lavoro) oltre che individuale la persona possa legittimamente usare lo strumento del whistleblowing beneficiando delle relative garanzie. È chiaro quindi che è tutelata solo la segnalazione di buona fede, mentre è sanzionato l’utilizzo improprio dello strumento. L’ambito applicativo delle nuove regole introdotte dal decreto non è tuttavia universale. Ne restano, infatti, fuori (ie non sono obbligate a adottare i canali di segnalazione interna) ad esempio le aziende private che obblighino meno di 50 dipendenti. Anche la decorrenza dei nuovi obblighi introdotti dal decreto non è omogenea; infatti mentre per la PA è prevista l’entrata in vigore già dal 15 luglio 2023, per le imprese private occorre distinguere tra quelle che abbiano occupato una media di lavoratori subordinati, con contratto di lavoro a tempo indeterminato o determinato, pari o superiore a 250 dipendenti rispetto alle quali gli obblighi e le tutele previste dal decreto troveranno applicazione a decorrere dal 15 luglio 2023, mentre per quelle che si collocano al di sotto della predetta soglia, ma applicano più di 50 dipendenti gli obblighi diventeranno cogenti a partire dal 17 dicembre 2023.
Si tratta all’evidenza già di un passaggio significativo rispetto alla precedente normativa che riguardava esclusivamente le aziende pubbliche e le private che applicavano il modello di gestione di cui al decreto legislativo 231/01. La decorrenza posticipata degli obblighi previsti dal d.lgs 24/23 non è, tuttavia, generalizzata, avendo il decreto imposto da subito la cogenza della nuova normativa alle aziende operanti nel settore finanziario che sono quindi immediatamente destinatarie (dal 30 marzo 2023) delle nuove prescrizioni a prescindere dalla dimensione occupazionale; il legislatore ha infatti ritenuto il contesto finanziario particolarmente delicato ed in quanto tale bisognevole di un’immediata ed incisiva tutela nel pubblico interesse. Da un punto di vista concreto il decreto ha previsto, all’art. 4, l’obbligo a carico del datore di lavoro di attivare, sentite le rappresentanze o le associazioni  sindacali comparativamente  più  rappresentative  sul  piano  nazionale, propri canali  di  segnalazione interna, che dovranno garantire, anche tramite il ricorso a strumenti  di  crittografia, la  riservatezza  dell’identità  della  persona  segnalante,   della persona  coinvolta  e  della  persona   comunque   menzionata   nella segnalazione  nonché  del  contenuto  della  segnalazione  e  della relativa documentazione.
Detti canali devono essere obbligatoriamente gestiti da “una persona o un ufficio interno autonomo dedicato” cui deve essere adibito personale specificamente formato per la gestione del canale o, in alternativa, da un soggetto esterno, anch’esso autonomo che possa avvalersi di personale specificamente formato. In sostanza la norma favorisce la nomina, anche oltre gli ambiti già previsti della Legge 6 dicembre 2021, n. 190, di una figura di “Responsabile della prevenzione della corruzione e della trasparenza” che si occupi anche della gestione delle segnalazioni ricevute.
La nuova normativa regola, all’art. 5, le modalità di gestione del canale di segnalazione prevedendo alcuni contenuti minimi obbligatori (ie la necessità di rilasciare un avviso di ricevimento della segnalazione entro il termine di 7 giorni, il compito, affidato al Responsabile, di mantenere l’interlocuzione con il segnalante, la necessità di dare seguito alle segnalazioni ricevute entro il termine di 3 mesi dalla segnalazione, l’obbligo di prevedere una policy chiara su procedure e presupposti per effettuare le segnalazioni). A tale ultimo riguardo è stata anche imposta la necessità di rendere agevolmente accessibili dette policy con l’obbligo di dedicare una sezione del sito internet per quelle aziende che ne abbiano uno.
In alternativa al canale di segnalazione interno il decreto ha previsto l’istituzione di un canale esterno presso l’Autorità Nazionale Anticorruzione (ANAC) utilizzabile in alcuni specifici casi che comprendono l’ipotesi in cui “la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la segnalazione possa determinare il rischio di ritorsione” e l’ipotesi in cui “la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse” .
Il decreto ha anche previsto la possibilità di ricorrere, legittimamente, a “divulgazioni pubbliche” di comportamenti illeciti in alcuni casi specificamente regolamentati ovvero quando:

1. a) la persona segnalante ha previamente   effettuato   una segnalazione interna ed esterna ovvero ha effettuato direttamente una segnalazione esterna, senza esito;
2. b) la persona segnalante ha fondato motivo di ritenere  che  la violazione possa costituire un pericolo imminente  o  palese  per  il pubblico interesse;
3. c) la persona segnalante ha fondato motivo di ritenere  che  la segnalazione esterna possa comportare  il  rischio  di  ritorsioni  o possa  non  avere  efficace  seguito  in  ragione  delle   specifiche circostanze del caso concreto, come  quelle  in  cui  possano  essere occultate o distrutte prove oppure in cui vi sia fondato  timore  che chi ha ricevuto la segnalazione possa  essere  colluso  con  l’autore della violazione o coinvolto nella violazione stessa.

Proprio l’ANAC è stata individuata dal decreto come l’autorità garante della corretta applicazione della disciplina; infatti in aggiunta al compito di ricevere e gestire le segnalazioni che siano ad essa immediatamente riferite e di tenere i rapporti con le altre autorità, amministrative e/o giudiziarie e con la Commissione UE, detta autorità è investita di un importante potere sanzionatorio.
Precisamente, l’art. 21 ha previsto che l’ANAC irroghi le seguenti sanzioni   amministrative pecuniarie:

10. a) da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni a danno del segnalante o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l’obbligo di riservatezza;
11. b) da 10.000 a 50.000 euro quando accerta che non sono stati istituiti i canali di  segnalazione,  che  non  sono  state  adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non rispetti le modalità previste dal decreto nonché quando  accerta  che  non  è  stata  svolta l’attività di verifica e analisi delle segnalazioni ricevute;
12. c) da 500 a 2.500 euro, nel caso in cui sia accertata la responsabilità penale del segnalante per i reati di diffamazione o di calunnia o  comunque  per  i medesimi reati commessi con la denuncia all’autorità  giudiziaria  o contabile.

Il decreto ha previsto specifiche tutele a beneficio dei soggetti che operano le segnalazioni.
Dette tutele consistono, innanzitutto, nella garanzia di riservatezza, considerata dall’art 12, secondo cui:

• Le segnalazioni non possono essere utilizzate se non per darvi seguito;
• L’identità della persona segnalante non può essere rivelata (salvo che vi sia un espresso consenso in questo senso);
• Nell’eventuale procedimento penale scaturito dalla segnalazione, l’identità del segnalante è coperta dal segreto;
• Nell’ambito del procedimento disciplinare generato dalla segnalazione, l’identità della persona segnalante non può essere  rivelata,  ove  la  contestazione dell’addebito disciplinare sia fondata  su  accertamenti  distinti  e ulteriori rispetto  alla  segnalazione,  anche  se  conseguenti  alla stessa. Qualora la contestazione sia fondata, in tutto o  in  parte, sulla segnalazione  e  la  conoscenza  dell’identità  della  persona segnalante  sia  indispensabile  per  la  difesa  dell’incolpato,  la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante  alla rivelazione della propria identità.

In secondo luogo, è affermata la necessità di garantire il rispetto della privacy del segnalante, operando, quindi, il “trattamento dei dati personali” a norma del GDPR, evitando di raccogliere dati personali che non sono utili al trattamento di una specifica segnalazione e cancellando i dati erroneamente raccolti.
Ancor più rilevante è la disposizione, contenuta nell’art. 17, che impone il divieto di ritorsione nei confronti della persona segnalante (e, più in generale, delle persone coinvolte, facilitatori inclusi).
Detta tutela consiste sia nell’introduzione di una semplificazione processuale consistente nella previsione di una presunzione di illiceità (ritorsività) nell’ambito dei procedimenti  giudiziari,  amministrativi  o comunque   di   controversie   stragiudiziali   aventi   ad   oggetto l’accertamento dei comportamenti, atti o omissioni vietati  nei confronti delle persone segnalanti sia nella previsione di un’ulteriore presunzione a favore del segnalante nei giudizi che questi abbia a proporre per il risarcimento dei danno eventualmente occorsi a seguito della segnalazione, essendo previsto che se tali persone dimostrano di aver effettuato, una segnalazione, una divulgazione pubblica o  una  denuncia all’autorità giudiziaria o contabile e di aver subito un  danno,  si presume che il danno sia conseguenza di  tale segnalazione,  divulgazione   pubblica   o   denuncia   all’autorità giudiziaria o contabile.
Il decreto contiene anche un elenco di possibili comportamenti integranti ritorsione e segnatamente:

1. a) il licenziamento, la sospensione o misure equivalenti;
2. b) la retrocessione di grado o la mancata promozione;
3. c) il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro;
4. d) la sospensione della formazione o  qualsiasi  restrizione dell’accesso alla stessa;
5. e) le note di merito negative o le referenze negative;
6. f) l’adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
7. g) la coercizione, l’intimidazione, le molestie o l’ostracismo;
8. h) la discriminazione o comunque il trattamento sfavorevole;
9. i) la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il  lavoratore avesse una legittima aspettativa a detta conversione;
10. l) il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
11. m) i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
12. n) l’inserimento in elenchi impropri sulla base di un  accordo settoriale o industriale formale o  informale,  che  può  comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro;
13. o) la conclusione anticipata o l’annullamento del contratto di fornitura di beni o servizi;
14. p) l’annullamento di una licenza o di un permesso;
15. q) la richiesta di sottoposizione ad accertamenti psichiatrici o medici.

Coerentemente con la natura illecita dei comportamenti che integrino ritorsione il decreto stabilisce espressamente che “gli atti assunti in violazione dell’articolo 17 sono  nulli.  Le persone che siano  state  licenziate  a  causa della segnalazione, della  divulgazione  pubblica  o  della  denuncia all’autorità  giudiziaria  o  contabile  hanno  diritto   a   essere reintegrate nel posto di lavoro,  ai  sensi  dell’articolo  18  della legge  20  maggio  1970,  n.  300  o  dell’articolo  2  del   decreto legislativo  4  marzo  2015,  n.  23,  in  ragione  della   specifica disciplina applicabile al lavoratore” e che “ L’autorità giudiziaria adita  adotta  tutte  le  misure,  anche provvisorie, necessarie  ad  assicurare  la  tutela  alla  situazione giuridica soggettiva  azionata,  ivi  compresi  il  risarcimento  del danno, la reintegrazione nel posto di lavoro, l’ordine di  cessazione della condotta posta in essere in violazione dell’articolo  17  (divieto di ritorsione) e  la dichiarazione di nullità  degli  atti  adottati  in  violazione  del medesimo articolo”.
In coerenza con detta previsione il decreto è anche intervenuto sull’art. 4 della L. 604/1966 il cui testo ora prevede che “Il  licenziamento  determinato  da  ragioni  di  credo politico o fede religiosa, dall’appartenenza a  un  sindacato,  dalla partecipazione ad attività sindacali o conseguente all’esercizio  di un diritto ovvero  alla  segnalazione,  alla  denuncia  all’autorità giudiziaria o contabile o alla divulgazione  pubblica  effettuate  ai sensi  del  decreto  legislativo  attuativo  della   direttiva   (UE) 2019/1937 del Parlamento europeo e  del  Consiglio,  del  23  ottobre 2019, è nullo”.
Infine, allo scopo di rafforzare lo “statuto” delle tutele del lavoratore che effettui la segnalazione, il decreto ha anche previsto: per un verso la sussistenza di una “ giusta causa” di rilevazione dei segreti che piò esonerare il segnalante dalla responsabilità civile e penale quando vi siano fondati motivi di ritenere che la rivelazione o diffusione delle informazioni sia necessaria per svelare la violazione e la segnalazione  è stata fatta nel rispetto delle procedure previste dal decreto e, per altro verso, che “Le rinunce e le transazioni, integrali o parziali, che hanno per oggetto i diritti e le tutele previsti dal presente decreto non  sono valide, salvo che siano effettuate nelle forme  e  nei  modi  di  cui all’articolo 2113, quarto comma, del codice civile” , con la conseguenza che il segnalante che sia in grado, avvalendosi degli specifici regimi introdotti dalla legge, di dimostrare che una determinata rinunzia o transazione firmata in sede aziendale sia collegata ad una segnalazione potrà beneficiare dello specifico regime previsto dall’art. 2113 c.c.
In definitiva, tirando le conclusioni è innegabile che la nuova normativa integri un progresso significativo nella lotta ai comportamenti illeciti, offrendo ai lavoratori ed alle imprese uno strumento potenzialmente utile alla crescita del senso etico collettivo e di tutela delle imprese dal rischio di dover rispondere di comportamenti adottati dal proprio personale; ovviamente molto dipenderà da come questo strumento sarà utilizzato, innanzitutto dalle imprese, che se sapranno utilizzare detto strumento adeguatamente potranno essere le prime beneficiarie (si pensi ad esempio alla repressione di fenomeni di molestie sessuali sul luogo di lavoro, comportamenti irrispettosi delle altrui libertà fondamentali in un mondo sempre più multietnico o violazioni in materia di ambiente di lavoro) laddove invece una formale applicazione delle nuove regole rischia di tradursi esclusivamente in un ulteriore appesantimento dell’organizzazione.