l D. Lgs. 24/2023, di attuazione della Direttiva UE 2019/1937, mira alla tutela dell’identità del whistleblower, con un’attenzione particolare alle politiche di trattamento dei dati personali. Vengono imposti infatti una serie di adempimenti specifici, tra cui la valutazione d’impatto e l’adozione di un modello di gestione delle segnalazioni.
Il 9 marzo 2023 il Consiglio dei Ministri ha approvato in via definitiva il D. Lgs. 24/2023 di attuazione della Dir. UE 2019/1937 chedisciplina la protezione dei whistleblowers, ossia coloro che segnalano violazioni di disposizioni normative, nazionali o dell’Unione Europea, che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato. Il decreto, a eccezione della specifica disciplina prevista per i soggetti del settore privato, si applicherà a decorrere dal 15 luglio 2023.
Tra le molteplici novità introdotte dal D. Lgs.24/2023, assumono carattere rilevante:
- La presenza di tre canali di segnalazione: interno, esterno e pubblico. Sulle modalità di inoltro delle segnalazioni “esterne”, il decreto prevede che queste potranno essere effettuate tramite una piattaforma informatica messa a disposizione dall’Autorità Nazionale Anticorruzione ANAC,ovvero in forma scritta o orale (quest’ultima, mediante linee telefoniche e altri sistemi di messagistica vocale). In alternativa, sarà possibile per il segnalatore richiedere un incontro in presenza che l’ANAC avrà onere di fissare “in un tempo ragionevole”. Per quanto riguarda i canali di segnalazione, una particolarità riguarda i soggetti del settore privato: per gli enti con meno di cinquanta dipendenti, sarà consentita sola la segnalazione interna delle condotte illecite.
- L’estensione della tutela non solo a coloro che segnalano violazioni di cui sono venuti a conoscenza in un contesto lavorativo pubblico o privato, ma anche a quanti assistono il segnalante nel processo di segnalazione e che operano all’interno del medesimo contesto lavorativo (cosiddetti “facilitatori”), nonché ai colleghi, parenti o affetti stabili del whistleblower. Tra le principali tutele dei segnalatori, resta saldo il presidio del divieto di ritorsione nei confronti di questi ultimi come conseguenza della segnalazione effettuata. I whistleblowers, infatti, per effetto della segnalazione non potranno essere soggetti a licenziamento, sospensione, retrocessione di grado o mancata promozione. Il decreto in esame infatti, prevede che l’Autorità sarà l’unico soggetto competente a valutare le segnalazioni e l’eventuale applicazione delle sanzioni amministrative pecuniarie, sia per quanto concerne il settore pubblico sia quello privato.
L’impatto sulla normativa privacy
Trattandosi di una normativa che mira alla tutela dell’identità del segnalante, risulta evidente il suo impatto nelle politiche di trattamento dei dati personali adottate dai soggetti destinatari della normativa, che sono tenuti al rispetto dei principi del Regolamento EU 2016/679 (GDPR) espressamente richiamato, in più occasioni, dal decreto in esame.
Il decreto in esame, difatti, impone ai soggetti destinatari una serie di adempimenti specifici, tra cui:
- l’obbligo di effettuare una valutazione d’impatto;
- l’adozione o aggiornamento del proprio modello di ricevimento e gestione delle segnalazioni interne;
- la disciplina del rapporto con eventuali fornitori esterni che trattano dati personali per conto del Titolare;
- l’autorizzazione dei soggetti abilitati alla ricezione e gestione delle segnalazioni al trattamento dei dati personali.
I canali di segnalazione
In ordine ai canali di segnalazione, il decreto ha previsto che ogni ente, sia pubblico sia privato, dovrà attivarne di propri che garantiscano la riservatezza dell’identità del whistleblower, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e relativa documentazione.
In virtù dell’alto livello di specializzazione e formazione che la corretta implementazione e manutenzione di un simile strumento richiede, il decreto prevede che la gestione del canale di segnalazione potrà essere affidata a un ufficio interno, autonomo, dedicato e con personale specificamente formato per la gestione del canale, oppure a un soggetto esterno, purché mantenga il carattere di autonomia e di specifica formazione del personale.
Tempi di conservazione
Con riferimento al tempo di conservazione delle segnalazioni, il legislatore ha confermato quanto già previsto nello schema di decreto stabilendo che queste, unitamente alla relativa documentazione, dovranno essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione.
Prospettive
Queste novità si pongono in un’ottica di continuità con la regolamentazione già vigente e cercano di superare le difficoltà riscontrate nell’applicazione di questo strumento.
È auspicabile, in ogni caso, che attraverso le modifiche apportate allo strumento del whistleblowing, si contribuisca in maniera più significativa alla prevenzione della commissione dei reati, rafforzando i principi di trasparenza e responsabilità che dovrebbero orientare l’attività di ogni ente, pubblico e privato.
