CIRCOLARE DECRETO WHISTLEBLOWING
È stato pubblicato sulla Gazzetta Ufficiale n. 63 del 15 marzo 2023, il D.lgs. n. 24/2023 del 10 marzo 2023, finalizzato ad attuare nell’ordinamento italiano la Direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la loro protezione (c.d. Direttiva Whistleblowing).
Il provvedimento, che richiede ai destinatari l’esecuzione di adempimenti anche in tema 231 e privacy, è entrato in vigore il 30 marzo 2023 e produrrà effetti a partire dal 15 luglio prossimo[1].
Le aziende e gli enti sono tenuti ad adeguarsi alla normativa secondo i seguenti termini:
- Enti / aziende con più di 250 dipendenti entro il 15 luglio 2023.
- Enti / aziende con almeno 50 dipendenti o dotate di MOGC 231 anche se con meno di 50 dipendenti entro il 17 dicembre 2023.
Si ricorda che gli enti e le aziende che non rispettano tale decreto potrebbero essere soggetti a sanzioni fino a 50.000 euro.
1. AMBITO DI APPLICAZIONE
Il decreto trova applicazione sia nei confronti dei soggetti pubblici sia, con riguardo, ai soggetti privati così come definiti nel testo normativo.
Con specifico riferimento ai soggetti di natura privata, l’art. 2 lett. q) del decreto vi include tutti coloro che rientrano in una delle seguenti condizioni:
(i) hanno impiegato nell’ultimo anno la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
(ii) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al decreto[2], anche se nell’ultimo anno hanno impiegato meno di 50 lavoratori;
(iii) sono diversi dai soggetti di cui al nr.(ii), rientrano nell’ambito di applicazione del d.lgs. 231/2001 e adottano il MOGC ivi previsto, anche se hanno impiegato meno di 50 lavoratori[3].
(i) hanno impiegato nell’ultimo anno la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
(ii) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al decreto[2], anche se nell’ultimo anno hanno impiegato meno di 50 lavoratori;
(iii) sono diversi dai soggetti di cui al nr.(ii), rientrano nell’ambito di applicazione del d.lgs. 231/2001 e adottano il MOGC ivi previsto, anche se hanno impiegato meno di 50 lavoratori[3].
2. MECCANISMI DI SEGNALAZIONE
Il decreto prevede l’istituzione di tre distinti canali di segnalazione, attivabili gradatamente sia alle condizioni di cui all’art. 3 del decreto legislativo che alle condizioni espressamente previste nei relativi articoli e segnatamente:
(i) canale di segnalazione interno (art. 4 d.lgs. 24/23);
(ii) canale di segnalazione esterno gestito da ANAC e attivabile alle condizioni di cui all’art. 6 del decreto;
(iii) canale delle divulgazioni pubbliche anch’esso attivabile a determinate condizioni di cui all’art. 15 del decreto.
(i) canale di segnalazione interno (art. 4 d.lgs. 24/23);
(ii) canale di segnalazione esterno gestito da ANAC e attivabile alle condizioni di cui all’art. 6 del decreto;
(iii) canale delle divulgazioni pubbliche anch’esso attivabile a determinate condizioni di cui all’art. 15 del decreto.
Il decreto 24/2023, oltre a prevedere l’introduzione di nuovi canali esterni attivabili anche dai soggetti privati, impone per i destinatari l’adozione di un canale di segnalazione interno che si distanzia significativamente dalle previsioni sinora contenute nella l. 179/2017; il decreto in commento, a differenza di quanto valevole sinora ai sensi della l. del 2017, richiede l’adozione di un solo canale di segnalazione interno[4] che dovrà garantire, anche tramite il ricorso a strumenti crittografati, la riservatezza dell’identità del segnalante e dei soggetti coinvolti (art. 24 d.lgs. 24/2023).
Tale modifica è peraltro riconosciuta nel dettato degli artt. 23 e 24 comma 5 del d.lgs. 24/2023 che sanciscono rispettivamente:
(i) l’abrogazione dei commi 2-ter e 2-quater dell’art. 6 d.lgs. 231/2001 e dell’art. 3 della l. 179/2017;
(ii) la sostituzione dell’attuale formulazione dell’art. 6 comma 2-bis del d.lgs. 231/2001 con la nuova disposizione di cui all’art. 24 del d.lgs. 24/2023[5].
(i) l’abrogazione dei commi 2-ter e 2-quater dell’art. 6 d.lgs. 231/2001 e dell’art. 3 della l. 179/2017;
(ii) la sostituzione dell’attuale formulazione dell’art. 6 comma 2-bis del d.lgs. 231/2001 con la nuova disposizione di cui all’art. 24 del d.lgs. 24/2023[5].
3. CARATTERI DEL CANALE DI SEGNALAZIONE INTERNO
Il canale di segnalazione interno, ai sensi degli artt. 4 e 5 del decreto, dovrà avere una serie di requisiti in tema di riservatezza e dovrà essere gestito secondo una procedura specifica[6], anche in considerazione delle sanzioni previste a carico del datore di lavoro in caso di violazione (art. 21 d.lgs. 24/2023).
Le segnalazioni dovranno pervenire ad una persona, ad un ufficio autonomo dedicato e con personale specificamente formato per la gestione del canale oppure ad un soggetto esterno autonomo avente le medesime caratteristiche.
Inoltre, è richiesto alle società di rendere noti gli strumenti attivabili per la presentazione delle segnalazioni nonché le modalità di gestione e di funzionamento dei canali, sia con riguardo al canale di segnalazione interno che con riferimento al canale di segnalazione esterno che sarà istituto presso l’ANAC. Tale aggiornamento richiederà sia un’informativa specifica ai propri dipendenti e collaboratori, che l’individuazione di un’apposita sezione dedicata a tali informazioni presso il sito internet della società.
4. ATTENZIONE AI CANALI DI GRUPPO
Una situazione particolarmente delicata è quella delle società appartenenti ad un gruppo che, anche se munite di un canale condiviso, dovranno necessariamente: (i) assicurare una gestione c.d. “di prossimità” delle segnalazioni e (ii) consentire al segnalante di escludere la capogruppo dalle attività investigative.
Ciò perché, anche se il comma 4 dell’art. 4 del d.lgs. 24/2023 consente espressamente alle entità con meno di 249 dipendenti di “condividere il canale di segnalazione interno e la relativa gestione”, la Commissione Europea ha chiaramente precisato che per tutte le entità con più di 50 dipendenti, il solo canale di gruppo non è sufficiente.
In particolare, con lettera del 02.06.2021 indirizzata alla Confederazione Industrie Danesi, viene sancito il c.d. principio di prossimità, per cui la segnalazione e la relativa gestione devono poter avvenire nel contesto più vicino possibile al segnalante.
Secondo la Commissione, è compatibile con la Direttiva UE un compliance program di gruppo che preveda la condivisione unicamente delle risorse investigative della controllante, a condizione che:
-
la controllata che beneficia della condivisione delle risorse sia di medie dimensioni (50-249 dipendenti);
-
sussistano canali di segnalazione alternativi a livello di controllata;
-
il canale di gruppo indichi espressamente che la segnalazione sarà gestita a livello di gruppo consentendo al segnalante di opporsi a tale modalità di gestione, scegliendo che la segnalazione venga gestita esclusivamente a livello di controllata;
-
le attività di riscontro siano comunque gestite a livello di controllata.
Contrariamente ad altri legislatori europei, come quello francese, il legislatore italiano è sino ad ora rimasto silente di fronte alla tematica del canale di gruppo.
In base al quadro normativo attuale, pertanto, è necessario che le società appartenenti ad un gruppo si adeguino alle previsioni del d.lgs. 24/2023 - non potendosi ritenere sufficiente il solo canale di gruppo.
5. TUTELA DEL SEGNALANTE E RISVOLTI IN TEMA PRIVACY
La ratio del decreto in commento è finalizzata ad assicurare sia una gestione uniforme delle segnalazioni relative a violazioni di fatti rilevanti ai sensi del d.lgs. 231/2001 nonché inerenti il diritto dell’Unione Europea in genere, sia ad assicurare la massima protezione dei segnalanti e del contenuto delle relative segnalazioni.
A questo proposito il decreto esplicita:
(i) il divieto di ritorsione in capo al segnalante (artt. 17 d.lgs. 24/2023);
(ii) misure di sostegno volte a garantire informazioni, assistenza e consulenza a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni (art 18 d.lgs. 24/2023).
(iii) meccanismi di protezione da eventuali ritorsioni attraverso la presentazione di comunicazioni all’ANAC (art. 19 d.lgs. 24/2023);
(iv) sanzioni in caso di violazione del divieto di ritorsione, dell’obbligo di riservatezza e della mancata adozione di adeguati canali di segnalazione (art. 21 d.lgs. 24/2023).
(i) il divieto di ritorsione in capo al segnalante (artt. 17 d.lgs. 24/2023);
(ii) misure di sostegno volte a garantire informazioni, assistenza e consulenza a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni (art 18 d.lgs. 24/2023).
(iii) meccanismi di protezione da eventuali ritorsioni attraverso la presentazione di comunicazioni all’ANAC (art. 19 d.lgs. 24/2023);
(iv) sanzioni in caso di violazione del divieto di ritorsione, dell’obbligo di riservatezza e della mancata adozione di adeguati canali di segnalazione (art. 21 d.lgs. 24/2023).
A questo scopo e nell’ottica di tutelare la riservatezza dell’identità del segnalante, i destinatari del provvedimento dovranno obbligatoriamente eseguire, ai sensi dell’art. 12 del decreto, una valutazione d’impatto sulla protezione dei dati personali ai sensi dell’art. 28 GDPR (già sottolineata dal Garante Privacy in diverse recenti pronunce), valutazione che dovrebbe essere eseguita prima dell’inizio del trattamento.
6. CONCLUSIONI E PROSSIMI PASSI
Alla luce delle novità normative introdotte dal d.lgs. 24/2023, i destinatari del provvedimento dovranno - entro un termine breve - dar corso ai seguenti adempimenti:
(i) dotarsi del canale di segnalazione così come disciplinato nel decreto;
(ii) eseguire la valutazione di impatto sul canale individuato;
(iii) modificare i propri MOGC[7];
(iv) informare i propri dipendenti e collaboratori dell’adozione di tale canale tramite l’invio di apposite informative e attraverso la relativa pubblicazione sul sito internet della società.
(i) dotarsi del canale di segnalazione così come disciplinato nel decreto;
(ii) eseguire la valutazione di impatto sul canale individuato;
(iii) modificare i propri MOGC[7];
(iv) informare i propri dipendenti e collaboratori dell’adozione di tale canale tramite l’invio di apposite informative e attraverso la relativa pubblicazione sul sito internet della società.
A tale fine si suggerisce ai soggetti interessati di avviare le riflessioni prodromiche all’adozione del canale di segnalazione interno nonché in relazione alla gestione delle segnalazioni; le determinazioni che verranno assunte dovrebbero auspicabilmente sfociare nell’emanazione di una policy strutturata e finalizzata alla gestione della segnalazione in conformità alla nuova normativa.
Per rispondere a questa esigenza, Confimi Servizi oltre a fornirle assistenza legale specializzata in Whistleblowing, Privacy e MOGC 231, ha sviluppato un sistema di segnalazione online delle irregolarità in conformità alla normativa europea e nel pieno rispetto della privacy del segnalatore.
Il Portale Whistleblowing è una soluzione semplice e intuitiva, progettata per garantire la massima protezione dell'individuo.
CONFIMI SERVIZI ha predisposto il nuovo servizio favore delle Imprese. Offriamo assistenza alle aziende sia dal punto di vista legale, sia da quello informatico attraverso una piattaforma di segnalazione anonima.
In funzione delle caratteristiche aziendali proponiamo, con il giusto equilibrio, la dotazione degli strumenti necessari all’adeguamento e all’aggiornamento normativo.
Le aziende e gli enti sono tenuti ad adeguarsi alla normativa secondo i seguenti termini:
- Enti / aziende con più di 250 dipendenti entro il 15 luglio 2023.
- Enti / aziende con almeno 50 dipendenti o dotate di MOGC 231 anche se con meno di 50 dipendenti entro il 17 dicembre 2023.
Per accedere al dettaglio del servizio ed alla descrizione della piattaforma clicca qui.
Clicca qui (https://whistleblowing.confimiservizi.it/login) e prova gratuitamente per 14gg la versione DEMO della piattaforma Whistleblowing oppure per maggiori informazioni contattaci allo 035210151.
Contatta l'Associazione per ricevere un’offerta.
[1] Solo per le società aventi un numero di dipendenti compreso tra 50 e 249 il decreto produrrà effetti a partire dal 17.12.2023 (art. 24 comma 2 d.lgs. 24/2023).
[2] Soggetti operanti nei seguenti settori: servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e finanziamento del terrorismo, servizi finanziari, sicurezza e trasporti, tutela dell’ambiente.
[3] Ai sensi dell’art. 3 comma 2 lett. a) e b) del decreto in commento, le disposizioni del decreto si applicano: (i) con riguardo ai soggetti che abbiano impiegato più di 50 lavoratori nell’ultimo anno e a coloro che rientrano nell’ambito di applicazione dell’Unione: a tutti i soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori subordinati, autonomi etc…) che abbiano effettuato una segnalazione interna, esterna, divulgazione pubblica o denuncia alle autorità per le violazioni di cui all’art. 2 comma 1 lett. a) nr. 3,4,5,6; (ii) con riferimento a coloro che rientrano nell’ambito di applicazione del d.lgs. 231/2001 e che hanno adottato il relativo MOGC: ai soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori, subordinati, autonomi, etc…) che abbiano effettuato una segnalazione interna relativa alle violazioni 231 o dei MOGC; (iii) con riferimento a coloro che rientrano nell’ambito di applicazione del d.lgs. 231/2001, che hanno adottato un MOGC e che superano il numero di 50 dipendenti: ai soggetti di cui ai commi 3 e 4 della medesima norma (es. dipendenti, lavoratori, subordinati, autonomi, etc…) che abbiano effettuato segnalazioni interne, esterne, divulgazioni pubbliche o denunce alle autorità per le violazioni in tema 231 nonché le violazioni di cui ai nr 3,4,5,6 dell’art 2 comma 1 lett. a).
[4] L’unicità del canale di segnalazione sembrerebbe evincersi dal contenuto del decreto che eliminando di fatto l’obbligo di adozione del canale alternativo sembrerebbe riferirsi ad un solo canale di segnalazione interno. Lo stesso decreto all’art. 5 si riferisce alla “gestione del canale di segnalazione interno”.
[5] Ai sensi dell’art. 24 comma 5 del d.lgs. 24/23 “all’art. 6 del d.lgs. 231/2001 il comma 2-bis è sostituito dal seguente: << I modelli di cui alla lettera a) prevedono, ai sensi del d.lgs. attuativo della direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio del 23.10.2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2 lett. e) >>”
[6] Nello specifico sarà necessario: (i) rilasciare al segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione della stessa; (ii) mantenere le interlocuzioni con il segnalante richiedendo le necessarie integrazioni; (iii) dare diligente seguito alle segnalazioni ricevute; (iv) fornire riscontro alla segnalazione entro tre mesi dal ricevimento.
[7] Si renderà necessario ampliare la descrizione relativa alla totale assenza di ritorsioni quale conseguenza delle segnalazioni e della completa tutela dei soggetti coinvolti, oltre che aggiornare le sanzioni disciplinari da applicarsi nei confronti dei responsabili delle attività di ritorsione, così come espressamente previsto all’art. 21 del decreto.
