Premessa
Come noto, la disciplina del whistleblowing è stata completamente revisionata ad opera del D.lgs. 24/2023 recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.
A seguito dell’entrata in vigore del Decreto Legislativo, l’Autorità Nazionale Anticorruzione ha adottato con Delibera del 12 luglio 2023, n. 311 le Linee guida in materia di whistleblowing(1), al fine di meglio specificare il contenuto del Decreto.
Il 7 novembre 2024, a completamento e integrazione delle indicazioni fornite, l’ANAC ha pubblicato lo Schema di nuove Linee Guida in materia di whistleblowing con l’obiettivo di fornire chiarimenti sulle modalità di implementazione e gestione dei canali interni di segnalazione.
Tale documento, in consultazione pubblica fino al 9 dicembre scorso, ha approfonditole seguenti tematiche:
- (i) il canale interno di segnalazione e le relative modalità di effettuazione della segnalazione;
- (ii) il gestore delle segnalazioni e le sue attività;
- (iii) i doveri di comportamento dei soggetti coinvolti nella gestione della segnalazione;
- (iv) la formazione del personale;
- (v) il ruolo di sostegno svolto dagli Enti del Terzo Settore.
In attesa della versione definitiva delle Linee Guida, di seguito sono brevemente illustrati i principali argomenti.
I canali interni di segnalazione
Il Decreto prevede l’obbligo di istituire canali che consentano di effettuare la segnalazione:
- (i) in forma scritta;
- (ii) in forma orale, mediante linee telefoniche, sistemi di messaggistica vocale e/o incontro diretto con il gestore.
Gli interpreti si sono lungamente interrogati se le predette modalità di segnalazione orale dovessero essere intese in via alternativa ovvero cumulativa.
Sul punto, Confindustria nella “Guida operativa per gli enti privati”(2) pubblicata nell’ottobre 2023 ha specificato che le società erano tenute ad adottare canali che consentissero di effettuare la segnalazione in forma scritta, in forma orale, nonché a prevedere la possibilità di richiedere un incontro diretto con il gestore della segnalazione.
ANAC, invece, nella recente pubblicazione, ha stabilito che “la segnalazione in forma orale può essere effettuata, in via alternativa, secondo le seguenti modalità”: i) attraverso linee telefoniche; ii) attraverso sistemi di messaggistica vocale; iii) attraverso un incontro diretto con il gestore della segnalazione.
Sempre in merito al canale di segnalazione, nello Schema di Linee Guida recentemente pubblicato, l’ANAC ha ribadito l’opportunità che le segnalazioni vengano gestite mediante l’implementazione di apposta piattaforma informatica. Infatti, si è sottolineato come tale modalità permetta di garantire una maggiore sicurezza informatica ed una maggiore protezione dei dati personali dei soggetti coinvolti, in quanto la stessa:
- (i) mitiga la possibilità di verificazione di data breach;
- (ii) garantisce la riservatezza dell’identità del segnalante mediante l’assegnazione di un codice identificativo, consentendo altresì le interlocuzioni con lo stesso.
Il gestore della segnalazione e il ruolo degli organi di vigilanza delle società
Fatta salva l’autonomia delle società nell’individuazione del gestore della segnalazione – in possesso dei requisiti stabiliti dal Decreto – occorre, in ogni caso, evidenziare come nell’ambito della gestione delle segnalazioni un ruolo centrale sia ricoperto dall’Organismo di Vigilanza.
A tal proposito, l’ANAC ha evidenziato che:
- (i) l’OdV può essere nominato quale gestore della segnalazione (mediante il conferimento di un distinto incarico);
- (ii) in caso contrario, è necessario disciplinare i rapporti tra l’OdV e il gestore della segnalazione e prevedere delle forme di raccordo tra gli organi, con particolare riguardo alle segnalazioni rilevanti ai sensi del D.lgs. 231/2001.
Resta in ogni caso fermo l’obbligo dell’OdV, in qualità di organo di vigilanza, di verificare sul corretto funzionamento del canale istituto e sulla relativa attuazione, nonché sulla formazione svolta.
A tal proposito, Assonime(3) ha sottolineato che i flussi informativi tra il gestore della segnalazione e l’OdV costituiscono prassi già diffusa nelle realtà aziendali. Pertanto, viene evidenziata la necessità di prevedere forme di raccordo tra gli organi di vigilanza, seppur le stesse debbano essere lasciate all’autonoma valutazione dell’ente interessato.
Ulteriori e diverse considerazioni devono essere svolte in merito alla possibilità che il ruolo di gestore della segnalazione venga ricoperto dal Data Protection Officer (DPO).
Sul punto, l’ANAC, richiamando quanto chiarito dal Garante della Privacy(4) in merito al cumulo di incarichi in capo al DPO, ha evidenziato l’opportunità di distinguere i due ruoli. Tale indirizzo trova il proprio fondamento nella possibile limitazione dell’effettività dello svolgimento delle funzioni, considerato che entrambi i ruoli determinano numerose responsabilità e compiti da svolgere.
Il whistleblowing nei gruppi societari
Inoltre, un tema ampiamente dibattuto, a seguito dell’entrata in vigore del D.lgs. 24/2023 atteneva alla possibilità o meno per i gruppi societari con un numero di dipendenti superiore a 249 unità di condividere il canale di segnalazione. Infatti, se per i gruppi di minori dimensioni vi è una espressa previsione normativa, nulla è stabilito per i grandi gruppi di imprese.
Alla luce del vuoto normativo e dell’assenza di indicazioni da parte dell’ANAC, Confindustria aveva proposto due diverse soluzioni:
- la gestione decentralizzata a livello di singola impresa controllata con la possibilità di utilizzare un’unica piattaforma informatica che consenta al segnalante, una volta effettuato l’accesso, di selezionare la società presso la quale presta l’attività lavorativa;
- l’affidamento alla capogruppo, in qualità di soggetto terzo rispetto alle controllate, di attività inerenti alla segnalazione.
Sulla base dell’interpretazione offerta da Confindustria e delle necessità operative rappresentate, l’ANAC nell’ambito dello Schema proposto ha sottolineato la possibilità dei gruppi di imprese di grandi dimensioni di esternalizzare il servizio di gestione della segnalazione ad un soggetto terzo. Tale soggetto terzo potrebbe essere individuato nella capogruppo, mediante appositi contratti intercompany che disciplinino altresì gli aspetti data protection. Inoltre, si specifica che da un punto di vista operativo, il soggetto segnalante deve poter aver la possibilità di scelta:
- (i) effettuare la segnalazione al soggetto terzo e, dunque, alla capogruppo;
- (ii) effettuare la segnalazione internamente alla propria società.
L’impatto della disciplina whistleblowing sul Modello di Organizzazione, Gestione e Controllo
Il documento in consultazione pubblica (fino al 9 dicembre scorso), inoltre, prende altresì in considerazione la necessità di aggiornare il Modello 231 adottato dalle società in costanza della previgente normativa in materia di whistleblowing.
Sul punto, l’ANAC ha specificato i contenuti della predetta implementazione del Modello 231:
- (i) la previsione di un canale di segnalazione interna;
- (ii) l’esplicazione del divieto di ritorsione;
- (iii) l’aggiornamento del sistema disciplinare con possibili sanzioni nei confronti dei responsabili degli illeciti sanzionati da ANAC.
Resta, fermo, che a seguito dell’adozione della procedura in materia whistleblowing e dell’aggiornamento del Modello, la società è tenuta ad organizzare specifiche sessioni di formazione. In particolare, la mancata partecipazione ai corsi può costituire violazione del Modello, nonché fonte di responsabilità disciplinare del dipendente(5).
Per approfondimenti, consultare i seguenti link e/o riferimenti:
(1) ANAC, Delibera n. 311 del 12 luglio 2023 “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne”.
(2) Confindustria, Nuova disciplina “Whistleblowing” – Guida operativa per gli enti privati, ottobre 2023.
(3) Assonime, Consultazioni 15/2024 – “Risposta a Consultazione ANAC sulle Linee Guida in materia di whistleblowing sui canali interni di segnalazione”.
(4) Garante per la protezione dei dati personali, Provvedimento del 29 aprile 2021 – “Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati in ambito pubblico”.
(5) Un prossimo aggiornamento seguirà non appena pubblicate le nuove Linee Guida
