Whistleblowing: l'intervento del Garante della privacy sul recepimento della direttiva Ue

Da Guida al Lavoro n. 7 del 17 febbraio 2023

Con provvedimento dell'11 gennaio 2023, il Garante Privacy ha espresso parere favorevole sullo schema di decreto legislativo attraverso il quale il Governo, in attuazione dell'articolo 13 della Legge 4 agosto 2022 n. 127 (legge di delegazione europea 2021), intende dare attuazione alla Direttiva UE 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione (c.d. direttiva whistleblowing).
La definitiva approvazione di tale decreto, attualmente all'esame delle competenti Commissioni Parlamentari, appare quindi ormai imminente, anche considerato che il mancato recepimento della Direttiva UE 2019/1937 nel termine ivi previsto del 17 dicembre 2021, ha già determinato, a carico del nostro Paese, l'apertura da parte della Commissione europea della relativa procedura di infrazione (n. 2022/0106).

L'attuale quadro normativo di riferimento in materia di whistleblowing
Prima di analizzare nel merito la disciplina di cui al nuovo decreto, appare opportuno ricordare brevemente che, nel nostro ordinamento, la materia del c.d. whistleblowing è attualmente regolata, per il settore pubblico, dall'art. 54 bis del D.Lgs. 30 marzo 2001, n. 165 (come sostituito dall'art. 1 della legge 30 novembre 2017, n. 179), nonché, per il settore privato, dall'art. 6, comma 2-bis e ss., del D.Lgs. 8 giugno 2001 n. 231 (introdotto dall'art. 2 Legge n. 179/2017).
In particolare, per il settore pubblico la tutela viene oggi riconosciuta al dipendente della pubblica amministrazione che segnali al responsabile della prevenzione, della corruzione e della trasparenza, ovvero all'ANAC o all'autorità giudiziaria, ordinaria o contabile, condotte illecite nell'interesse dell'integrità della pubblica amministrazione.
Le tutele si sostanziano nella garanzia, sia pure entro certi limiti, della riservatezza dell'identità del segnalante, nel divieto di atti discriminatori o ritorsivi, dichiaratamente nulli, nonché nell'espressa applicazione, in caso di licenziamento intimato a motivo della segnalazione, della tutela reintegratoria di cui all'art. 2, D.Lgs. 4 marzo 2015, n. 23.
Tali tutele cessano esclusivamente nei casi in cui sia accertata, anche solo con sentenza di primo grado, la responsabilità penale del segnalante per i reati di calunnia o diffamazione o per altri reati commessi con la denuncia o la sua responsabilità civile, per gli stessi titoli, nei casi di dolo o colpa grave.
Assai più limitata la tutela oggi prevista nel settore privato, applicabile unicamente ai lavoratori e collaboratori degli enti che adottano il modello organizzativo di cui al D.Lgs. n. 231/2001, con riferimento ai soli illeciti rilevanti ai sensi di tale normativa.
Anche in questo caso la tutela implica la garanzia della riservatezza del segnalante, nonché il divieto di eventuali atti ritorsivi e discriminatori, diretti o indiretti, adottati per motivi collegati, direttamente o indirettamente, alla segnalazione.

Lo schema di decreto legislativo di recepimento della Direttiva UE 2019/1937

Ambito di applicazione oggettivo e soggettivo
Occorre, in primo luogo, segnalare che lo schema di decreto in esame non si limita a dare attuazione alla Direttiva, ma mira a raccogliere in un unico testo normativo l'intera disciplina del whistleblowing. Le disposizioni normative nazionali che oggi regolano la materia vengono infatti abrogate e la relativa disciplina, adattata alle previsioni di cui alla Direttiva, viene trasposta all'interno del nuovo decreto.
Come emerge dall'articolo 1, l'ambito di applicazione oggettivo della disciplina di cui al decreto medesimo è infatti più ampio rispetto a quello della Direttiva UE 2019/1937, limitato, a sensi dell'art. 2, paragrafo 1, della Direttiva medesima, alle sole violazioni di disposizioni dell'Unione europea inerenti una serie di settori specificamente indicati, tra i quali: appalti pubblici; sicurezza dei trasporti; tutela dell'ambiente; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali.
Esercitando la facoltà attribuitagli dall'art. 2, paragrafo 2, della Direttiva (che permette agli Stati membri di estendere la protezione prevista dal diritto nazionale relativamente a settori o atti non contemplati dal paragrafo 1 del citato art. 2), il legislatore italiano ha esteso l'applicazione della disciplina di cui al decreto, oltre che alle segnalazioni inerenti violazioni del diritto dell'Unione Europea, anche alle segnalazioni inerenti violazioni del diritto interno, sempreché ovviamente lesive dell'interesse pubblico o dell'integrità dell'amministrazione pubblica o dell'ente privato, e di cui il segnalante sia venuto a conoscenza in un contesto lavorativo pubblico o privato.
Restano invece escluse dal campo di applicazione del decreto, contestazioni, rivendicazioni o richieste di carattere personale che attengono esclusivamente al rapporto individuale di lavoro o di pubblico impiego del segnalante, nonché segnalazioni di violazioni in materia di sicurezza nazionale o di appalti relativi ad aspetti di difesa o sicurezza nazionale, salvo che tali aspetti rientrino nel diritto dell'Unione Europea.
Parimenti impregiudicata resta, altresì, l'applicazione delle disposizioni di natura penale, nonché delle disposizioni in materia di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati, di protezione contro le condotte o gli atti illeciti posti in essere in ragione di tali consultazioni, di autonomia delle parti sociali e del loro diritto di stipulare accordi collettivi, nonché di repressione delle condotte antisindacali di cui all'articolo 28 della legge 20 maggio 1970, n. 300.
Quanto all'ambito di applicazione soggettivo del decreto appare, in primo luogo, necessario ricordare le definizioni di «soggetti del settore pubblico» e «soggetti del settore privato», contenute all'articolo 2, lett. p) e q), dello schema di decreto.
In particolare, si evidenzia che nella definizione di «soggetti del settore pubblico» vengono oggi espressamente ricomprese, oltre alle amministrazioni pubbliche di cui all'art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, agli enti pubblici economici e alle società a controllo pubblico, già indicati all'art. 54 bis, comma 2, del D.Lgs. n. 165/2001, anche le autorità amministrative indipendenti di garanzia, vigilanza o regolazione, gli organismi di diritto pubblico, i concessionari di pubblico servizio e le società in house, anche se quotate.
Sono invece inseriti tra i «soggetti del settore privato» riguardati dalla nuova normativa, tutti i soggetti che hanno impiegato, nell'ultimo anno, la media di almeno cinquanta lavoratori subordinati, con contratti di lavoro a tempo indeterminato e determinato, nonché i soggetti che, pur non avendo raggiunto il predetto requisito dimensionale, rientrano comunque nell'ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231 e adottano i modelli di organizzazione e gestione ivi previsti, ovvero operano nell'ambito di determinati e specifici settori tassativamente indicati, quali servizi, prodotti e mercati finanziari, sicurezza dei trasporti e tutela dell'ambiente.
Evidente appare la portata dell'estensione dell'ambito soggettivo della disciplina del whistleblowing operata dallo schema di decreto nell'ambito del settore privato, per quanto la possibilità di segnalare illeciti continui a rimanere, anche alla luce della nuova normativa, più circoscritta per il settore privato, rispetto al settore pubblico.
Così come emerge dall'art. 3, commi 1 e 2, dello schema di decreto, nel mentre per i soggetti del settore pubblico la disciplina di cui al decreto trova, infatti, applicazione con riferimento a qualsivoglia segnalazione, interna, esterna o pubblica, inerente una qualsiasi delle violazioni comunque ricomprese nell'ambito di applicazione del decreto medesimo, per i soggetti del settore privato la disciplina di cui al decreto si applica: con riferimento agli enti di cui al D.Lgs. 231/2001 per le segnalazioni interne di violazioni di disposizioni nazionali e per le segnalazioni interne ed esterne di violazioni di disposizioni dell'Unione europea (art. 3, comma 2, lett. b), mentre per tutti gli altri enti privati (diversi da quelli di cui al D.Lgs. 231/2001) per le sole segnalazioni interne ed esterne di violazioni di disposizioni dell'Unione europea (art. 3, comma 2, lett. a).
Di indubbia rilevanza appare certamente anche l'estensione della platea dei soggetti interessati dalla tutela per la segnalazione degli illeciti. L'articolo 3, comma 3, vi ricomprende, infatti, oltreché tutti i lavoratori del settore pubblico e privato (siano essi lavoratori subordinati o autonomi, consulenti, collaboratori o liberi professionisti), anche altre categorie, quali volontari o tirocinanti (retribuiti o non retribuiti), ovvero gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto.
La tutela per i predetti soggetti trova peraltro applicazione anche quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali, ovvero durante il periodo di prova, od ancora successivamente allo scioglimento del rapporto di lavoro, se le informazioni sulle violazioni sono state acquisite nel corso dello stesso.
Giova in ultimo evidenziare che, in conformità a quanto previsto dalla Direttiva, le misure di protezione di cui al capo III del decreto, si applicano, oltreché al segnalante, anche ai facilitatori (dovendo per tali considerarsi coloro che assistono il segnalante nel processo di segnalazione e che operano all'interno del medesimo contesto lavorativo), alle persone del medesimo contesto lavorativo del segnalante ad esso legate da uno stabile legame affettivo o di parentela entro il quarto grado, nonché ai colleghi di lavoro che lavorano nel medesimo contesto lavorativo del segnalante e che hanno con detta persona un rapporto abituale e corrente.

Segnalazioni interne ed esterne e divulgazione pubblica
Il Capo II dello schema di decreto, recependo quanto al riguardo previsto dalla Direttiva europea, disciplina le varie modalità attraverso le quali le segnalazioni possono essere effettuate, distinguendo tra segnalazioni interne, segnalazioni esterne e divulgazioni pubbliche.
L'articolo 4 regola, in particolare, le segnalazioni interne stabilendo, in capo ai soggetti sia del settore pubblico che del settore privato, l'obbligo di attivare un proprio canale di segnalazione, che garantisca, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell'identità del persona segnalante e della persona coinvolta, nonché del contenuto della segnalazione e della relativa documentazione.
La gestione del canale di segnalazione può essere affidata a una persona o a un ufficio interno ovvero ad un soggetto esterno, salvo che per i soggetti pubblici per i quali è prevista la figura del responsabile della prevenzione della corruzione e della trasparenza, nel qual caso la gestione del canale di segnalazione interna deve essere affidata a tale figura.
E' bene evidenziare che per i soggetti del settore privato che hanno impiegato nell'ultimo anno una media di lavoratori subordinati non superiore a duecento quarantanove, e per i Comuni diversi dai Capoluoghi di provincia, è prevista la possibilità di condividere il canale di segnalazione interna e la relativa gestione.
In alternativa alla segnalazione interna, il segnalante può ricorrere al canale di segnalazione esterna attivato dall'ANAC, competente a conoscere sia delle segnalazioni inerenti i soggetti del settore pubblico sia di quelle inerenti i soggetti del settore privato.
Il ricorso alla segnalazione esterna il luogo di quella interna è però consentito unicamente al ricorrere delle condizioni espressamente previste dall'articolo 6, ovvero :
– quando non è prevista, nell'ambito del contesto lavorativo del segnalante, l'attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto nell'articolo 4;
– quando il segnalante ha già effettuato una segnalazione interna e la stessa non ha avuto seguito o si è conclusa con un provvedimento finale negativo;
– quando il segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
– quando il segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse).
Grava sui soggetti sia del settore pubblico che del settore privato l'obbligo di fornire informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazione esterne, ove presente anche mediante pubblicazione delle stesse in una sezione dedicata del proprio sito internet.
Si evidenzia che tanto le segnalazione interne quanto quelle esterne possono essere presentate anche in forma anonima; in tal caso la segnalazione viene comunque registrata, ma non è obbligatorio darvi seguito, eccetto che nell'ipotesi in cui si tratti della segnalazione di una violazione che possa costituire un pericolo imminente o palese per il pubblico interesse.
Quanto alla possibilità di effettuare segnalazioni mediante divulgazione pubblica (dovendo per tale intendersi - a sensi dell'art. 2 lett. f, dello schema di decreto - la segnalazione effettuata per il tramite della stampa o mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone), lo schema di decreto si limita a prevedere l'estensione al segnalante delle medesime tutele già previste per l'ipotesi di segnalazioni interne o esterne, a condizione però che, al momento della divulgazione, ricorra una delle seguenti condizioni: la persona segnalante abbia previamente effettuato una segnalazione interna e/o esterna senza ricevere riscontro nei termini previsti, ovvero abbia fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse, od infine abbia fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto.

Obbligo di riservatezza e tutela dei dati personali
In linea con quanto già previsto dalle norme interne attualmente vigenti, l'articolo 12 dello schema di decreto ribadisce l'obbligo di garantire la riservatezza del segnalante, la cui identità non può essere rivelata a persone diverse da quelle specificamente autorizzate - anche ai fini del trattamento dei relativi dati personali - senza il consenso dell'interessato.
Sempre in conformità con quanto già previsto dalle disposizioni vigenti, si ribadisce, poi, che mentre nell'ambito del procedimento penale, l'identità del segnalante è coperta da segreto ai sensi dell'articolo 329 c.p.p., nel procedimento dinanzi alla magistratura contabile essa non può essere rivelata sino alla chiusura della fase istruttoria.
Con specifico riferimento ai procedimenti disciplinari, si precisa invece che l'identità della persona segnalante non può essere rivelata, ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Mentre, qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione sarà invece utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.
Le stesse garanzie di riservatezza previste per il segnalante devono, poi, essere assicurate anche alle altre persone coinvolte o comunque menzionate nella segnalazione
In tema di tutela dei dati personali trattati nell'ambito delle procedure di acquisizione e gestione delle segnalazione di illeciti, lo schema di decreto recepisce tutte le indicazioni via via fornite dal Garante Privacy nell'ambito della propria attività.
In particolare, l'articolo 13 disciplina il trattamento dei dati personali, sancendo una clausola di generale conformità al Regolamento UE 2016/679, al Codice Privacy e al D.Lgs. 51 del 2018, indicando i ruoli dei soggetti coinvolti nel trattamento, imponendo l'obbligo di procedere alla valutazione d'impatto sulla protezione dei dati, nonché quello di astenersi dal raccogliere dati personali manifestamente non utili alla gestione di una specifica segnalazione, da cancellarsi immediatamente in caso di raccolta accidentale.
Specifiche indicazioni – anche ai fini del rispetto del principio generale di cui all'art. 5, paragrafo 1, lettera e) del Regolamento UE 2016/679 - vengono fornite dal decreto anche in ordine ai tempi di conservazione delle segnalazioni interne ed esterne e della relativa documentazione, fissati in non più di 5 anni dalla data della comunicazione dell'esito finale della procedura di segnalazione.

Misure di protezione e divieto di ritorsione
Il capo III dello schema di decreto, inerente le "Misure di Protezione", indica, all'articolo 16, le condizioni al ricorrere delle quali il segnalante gode delle tutele in esso previste.
Specifico rilievo viene, in particolare, attribuito alla buona fede del segnalante, il quale, per godere delle tutele previste in suo favore - oltre ad aver effettuato la segnalazione nei modi previsti dal decreto - al momento della segnalazione o della denuncia, doveva avere fondato motivo di ritenere che le informazioni sulle violazioni segnalate o denunciate fossero vere e rientrassero nell'ambito oggettivo di applicazione del decreto medesimo. Prive di rilievo sono invece le motivazioni che hanno indotto il segnalante ad effettuare la segnalazione.
L'articolo 17 dello schema di decreto sancisce, quindi, un generale divieto di ritorsione nei confronti del segnalante e fornisce, in linea con quanto indicato anche nell'art. 19 della direttiva, un elenco meramente esemplificativo e non esaustivo di possibili fattispecie ritorsive, quali il licenziamento, il mutamento di funzioni, il cambiamento del luogo di lavoro o la modifica dell'orario di lavoro; la sospensione della formazione o qualsiasi restrizione dell'accesso alla stessa; le note di merito negative o le referenze negative, l'adozione di misure disciplinari.
Al fine di garantire l'effettività della tutela apprestata in favore del segnalante - in attuazione di quanto previsto dall'art. 21 paragrafo 5, della Direttiva - l'art. 17 prevede poi l'inversione dell'onere della prova in merito alla natura ritorsiva delle misure adottate ed al danno subito, attribuendo al soggetto che ha posto in essere le condotte e gli atti vietati provare che questi sono stati motivati da ragioni estranee alla segnalazione o alla divulgazione o alla denuncia.
Giova segnalare che la previsione dell'inversione dell'onere probatorio non si applica ai soggetti di cui all'articolo 3, comma 5, del decreto, ovvero ai facilitatori, ai colleghi di lavoro e ai parenti del segnalante.
Al pari delle disposizioni normative oggi applicabili, anche lo schema di decreto qualifica espressamente gli atti assunti in violazione del divieto di ritorsione come nulli e richiama, per l'ipotesi di licenziamento intimato a motivo della segnalazione, la tutela reintegratoria di cui all'art. 18 Legge 300/70 o all'art. 2 D.Lgs. 4 marzo 2015 n. 23, a seconda della specifica disciplina applicabile al lavoratore interessato.
A tale ultimo riguardo, si segnala che l'art. 24 dallo schema di decreto modifica l'art. 4, comma 1, legge 604/66, inserendo il licenziamento conseguente "alla segnalazione o denuncia o divulgazione pubblica effettuata ai sensi del decreto legislativo attuativo della Direttiva UE 2019/1937" tra quelli dichiaratamente affetti da nullità.
Ad ulteriore tutela dei lavoratori interessati, l'articolo 22 dello schema di decreto stabilisce che le rinunce e le transazioni, integrali o parziali, che hanno per oggetto i diritti e le tutele previsti dal decreto medesimo non sono valide, salvo che siano effettuate nelle forme e nei modi di cui all'articolo 2113, quarto comma, del codice civile.

Il regime sanzionatorio
Al fine di assicurare il rispetto delle previsioni di cui alla nuova normativa in materia di whistleblowing, il regime sanzionatorio già previsto dall'art. 54 bis, comma 6, D.Lgs 165/2001 viene esteso a tutti i soggetti sia del settore pubblico che del settore privato.
Nello specifico viene prevista l'applicazione da parte dell'ANAC di una sanzione amministrativa pecuniaria da 5.000 a 30.000 euro nei casi in cui venga accertato che sono state commesse ritorsioni, o che la segnalazione è stata ostacolata o che si è tentato di ostacolarla, o che è stato violato l'obbligo di riservatezza di cui all'articolo 12. Viene invece applicata la più elevata sanzione da 10.000 a 50.000 euro nei casi in cui non sono stati istituiti canali di segnalazione, non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni ovvero l'adozione di tali procedure non è conforme a quanto prescritto dal decreto medesimo, o non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute.
A carico dei soggetti rientranti nel campo di applicazione del D.Lgs 231/2001 è, altresì, previsto l'obbligo di introdurre nel sistema disciplinare adottato ai sensi dell'articolo 6, comma 2, lettera e) del decreto 22 legislativo 8 giugno 2001, n. 231, specifiche sanzioni nei confronti di coloro che accertano essere responsabili degli illeciti sopra indicati.

Abrogazioni di norme e disposizioni transitorie
Per effetto della loro trasposizione all'interno del nuovo decreto legislativo in materia di whistleblowing,, il decreto prevede – come detto - l'abrogazione di tutte le disposizioni normative che attualmente regolano la materia e specificamente dell'articolo 54-bis del decreto legislativo 30 marzo 2001 n. 165, dell'articolo 6, commi 2-ter e 2-quater, del decreto legislativo 8 giugno 2001, n. 231, nonché dell'articolo 3 della legge 30 novembre 2017, n. 179.
L'efficacia delle nuove disposizioni è prevista decorsi quattro mesi dalla data di entrata in vigore del decreto, eccetto che per i soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media di lavoratori subordinati non inferiore a cinquanta e non superiore a 249, per i quali è invece previsto che la nuova disciplina produca effetto solo dal 17 dicembre 2023. Fino ad allora continueranno quindi ad applicarsi le previgenti disposizioni normative, le quali continueranno altresì a trovare applicazione anche per le segnalazioni e le denunce effe