Whistleblowing: le implicazioni su normativa 231, privacy e sicurezza sul lavoro
In materia di whistleblowing, il D.Lgs. 24/2023, a recepimento della Dir. UE 2019/1937, in vigore dal 30 marzo, costituisce una specie di testo unico in materia, rafforzando la tutela giuridica delle persone (whistleblowers) che segnalano violazioni di disposizioni normative nazionali od europee, che ledono gli interessi e/o l’integrità dell’ente pubblico o privato di appartenenza e di cui siano venute a conoscenza nel contesto lavorativo. La normativa prevede la tutela del “segnalatore” da ogni forma di censura al fine di prevenirne il timore di eventuali ritorsioni.
Le novità principali
La novità principale è aver esteso l’obbligo di attivare un canale di segnalazione interna degli illeciti, sino ad ora riservato ai soggetti tenuti all’adozione di modelli organizzativi ai sensi del D.Lgs. 231/2001, ai soggetti privati che abbiano impiegato in media nell’ultimo anno almeno 50 lavoratori subordinati e – a prescindere dalla media di 50 lavoratori subordinati impiegati nell’ultimo anno – ai soggetti privati che abbiano adottato modelli di organizzazione ex D.Lgs. 231/2001, nonchè a quelli cui si applicano le norme in materia di servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente.
La nuova disciplina prevede tre diversi canali di segnalazione (interno, esterno e tramite divulgazione pubblica) che potranno essere utilizzati al verificarsi di determinate condizioni, in via progressiva e sussidiaria. Inoltre, con il D.Lgs. 24/2023 la figura del whistleblower, ossia del soggetto segnalante, non coincide più con quella del lavoratore subordinato. Il decreto estende, infatti, la tutela anche ad altre figure che entrano in contatto con l’ente, quali i lavoratori autonomi, i volontari, i tirocinanti, gli azionisti, i membri di organi di amministrazione, direzione e vigilanza delle imprese, le persone che lavorano sotto la supervisione e la direzione di appaltatori, subappaltatori e i fornitori.
Non solo. Secondo le nuove norme, le misure di protezione si applicano, oltrechè al segnalante, anche ai facilitatori, ossia coloro che assistono il segnalante nel processo di segnalazione e che operano all’interno del medesimo contesto lavorativo, alle persone legate al segnalante da uno stabile legame affettivo o di parentela entro il quarto grado, nonchè ai colleghi di lavoro che lavorano nel medesimo contesto lavorativo e che abbiano con il segnalante un rapporto abituale e corrente.
Inoltre, come oggetto della segnalazione, oltre alle condotte che potrebbero integrare la commissione di uno o più reati rilevanti ai sensi del D.Lgs. 231/2001 o costituire una violazione del Modello 231, vengono previste dal decreto altre condotte illecite di varia natura quali, a titolo esemplificativo, quelle relative ai settori degli appalti pubblici, della sicurezza e conformità dei prodotti, della sicurezza dei trasporti, della tutela dell’ambiente, della radioprotezione e sicurezza nucleare, della sicurezza degli alimenti e dei mangimi e salute e benessere degli animali, della salute pubblica. Quanto, poi, ai destinatari della segnalazione, viene previsto che la gestione del canale di segnalazione debba essere affidata ad una persona o ad un ufficio interno autonomo dedicato, con personale specificamente formato o ad un soggetto esterno, anch’esso autonomo e con personale specificamente formato.
Sull’aspetto della tutela della riservatezza e trattamento dei dati, vengono definiti in modo chiaro i requisiti. Così, i dati personali che non sono utili al trattamento della segnalazione devono essere cancellati immediatamente, il canale interno implementato per la gestione delle segnalazioni deve essere sottoposto al D.P.I.A. (Data Protection Impact Assesment) ossia alla valutazione di impatto del trattamento; la conservazione dei dati non deve comunque superare i 5 anni. Si prevedono, poi, tempistiche precise per la gestione della segnalazione, ossia l’avviso di ricevimento della segnalazione deve essere rilasciato alla persona segnalante entro 7 giorni dalla data di ricezione e il riscontro alla segnalazione deve essere fornito entro 3 mesi dalla data dell’avviso di ricevimento. Per quel che concerne, infine, la modalità delle segnalazioni, il nuovo decreto stabilisce che queste possono essere effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale, attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole. Parti centrali del nuovo decreto sono il Capo II (artt. 4-15) che regola le segnalazioni interne, esterne e di divulgazioni pubbliche, fissando al contempo puntuali obblighi di riservatezza e il Capo III (artt. 16-22) che disciplina la tutela dei segnalanti, fissando le condizioni per l’applicazione delle misure di protezione.
Il rapporto con il D.Lgs. 231/2001
Fino ad ora, l’onere di segnalazione di illeciti era legato in modo imprescindibile alla disciplina ex D.Lgs. 231/2001, che lo prevedeva come requisito di idoneità e adeguatezza dei modelli organizzativi. La nuova normativa, come detto, ha ampliato la sfera dei destinatari, l’oggetto delle segnalazioni e le modalità operative, uscendo decisamente dall’ambito di applicazione del modello organizzativo di cui al D.Lgs. 231/2001. Da ciò deriva un sistema complesso in cui, nella maggior parte dei casi, vi saranno due canali separati di segnalazione (uno per le segnalazioni whistleblowing ed uno per quelle di cui al D.Lgs. 231/2001), con due destinatari distinti (un organismo nominato appositamente e l’Odv) che dovranno necessariamente coordinarsi tra loro, al fine di non ingenerare confusione nei segnalanti. Nello specifico, il D.Lgs. 24/2023, nelle disposizioni finali (art. 23), oltre che prevedere l’abrogazione delle vigenti norme in materia di whistleblowing in quanto trasposte nel decreto (segnatamente l’art. 54 bis D.Lgs. 165/2001, l’art. 6, c. 2 ter e 2 quater, D.Lgs. 231/2001 e l’art. 3 L. 179/2017), sostituisce integralmente l’art. 6, c. 2 bis, D.Lgs 231/2001, prevedendo che i modelli che sono definiti al comma 1, lettera a) individuino canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2, lettera e) di cui al decreto attuativo della Dir. UE 1937/2019.
Il rapporto con la normativa sulla privacy
La definitiva approvazione del D.Lgs. 24/2023 è stata determinata anche a seguito dell’intervento del Garante Privacy con provvedimento dell’11 gennaio 2023 con il quale è stato espresso parere favorevole riguardo allo schema del decreto. In particolare, accanto alla ordinaria tutela dei dati personali (art. 13) sono previsti specifici obblighi di riservatezza che, in linea con quanto già previsto dalle norme vigenti, vanno dalla segretezza della identità dei segnalanti ai limiti temporali della legittimità della conservazione dei dati degli stessi, per cui le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse (art. 12). Ulteriori specifiche misure sono destinate a prevedere misure di protezione (art. 16) e a rendere effettivo il divieto di ritorsione. Con riferimento, poi, ai procedimenti disciplinari, si evidenzia che l’identità della persona segnalante non potrà essere rivelata, se la contestazione dell’addebito disciplinare fosse fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Mentre se la contestazione fosse fondata sulla stessa segnalazione, anche solo in parte, e la conoscenza dell’identità del segnalante fosse fondamentale per la difesa dell’incolpato, la segnalazione sarà, invece, utilizzabile ai fini del procedimento disciplinare solo con il consenso espresso del segnalante a rivelare la propria identità.
Il rapporto con la normativa sulla sicurezza sul lavoro
Un altro ambito di applicazione della disciplina relativa al whistleblowing riguarda la tutela della salute e della sicurezza dei lavoratori e le attività di prevenzione da attuare sui luoghi di lavoro.
In particolare, il D.Lgs. 24/2023 non prevede esplicitamente un richiamo al Testo Unico Sicurezza sul Lavoro (D.Lgs. 81/2008 e s.m.i.). In attesa di eventuali chiarimenti sul punto, è possibile
osservare che la Dir. UE 1937/2019 prevede che: “La presente direttiva non dovrebbe pregiudicare la protezione garantita ai lavoratori che segnalano violazioni del diritto del lavoro dell’Unione. In particolare nel settore della salute e della sicurezza sul lavoro, l’art.11 della Dir. 89/391/CEE del Consiglio (recepita in Italia con il D.Lgs. 81/2008, che ha sostituito il D.Lgs. 626/1994) impone già agli Stati membri di garantire che i lavoratori o i loro rappresentanti non siano penalizzati a causa delle loro richieste al datore di lavoro di prendere misure adeguate per ridurre qualsiasi rischio per i lavoratori e/o eliminare le cause di pericolo. I lavoratori e i loro rappresentanti hanno il diritto, ai sensi di tale direttiva, di rivolgersi all’autorità competente se ritengono che le misure adottate e i mezzi impiegati dal datore di lavoro non siano sufficienti per garantire la sicurezza e la salute”. Nel D.Lgs. 24/2023 si legge che: “Resta, altresì, ferma l’applicazione delle disposizioni in materia di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati, di protezione contro le condotte o gli atti illeciti posti in essere in ragione di tali consultazioni, di autonomia delle parti sociali e del loro diritto di stipulare accordi collettivi, nonché di repressione delle condotte antisindacali di cui all’art. 28 L. 300/70”. Ricordiamo che il Testo Unico Sicurezza sul Lavoro prevede obblighi ben precisi non solo in capo al datore di lavoro, ma anche in capo ai lavoratori, in un’ottica di coinvolgimento della forza lavoro e di condivisione di oneri e responsabilità rispetto al datore e ad eventuali preposti. Nel Testo Unico si dispone, infatti, che “I lavoratori devono (…) segnalare immediatamente al datore di lavoro, al dirigente o al preposto (…) qualsiasi eventuale condizione di pericolo di cui vengano a conoscenza (…) dandone notizia al rappresentante dei lavoratori per la sicurezza” (art. 20); “I preposti, secondo le loro attribuzioni e competenze, devono (…) segnalare tempestivamente al datore di lavoro o al dirigente sia le deficienze dei mezzi e delle attrezzature di lavoro e dei dispositivi di protezione individuale, sia ogni altra condizione di pericolo …..” (art. 19); “Il preposto non può subire pregiudizio alcuno a causa dello svolgimento della propria attività ” (art. 18); “Il rappresentante dei lavoratori per la sicurezza (…) può fare ricorso alle autorita’ competenti qualora ritenga che le misure di prevenzione e protezione dai rischi adottate dal datore di lavoro o dai dirigenti e i mezzi impiegati per attuarle non siano idonei a garantire la sicurezza e la salute durante il lavoro” (…) “Non può subire pregiudizio alcuno a causa dello svolgimento della propria attività e nei suoi confronti si applicano le stesse tutele previste dalla legge per le rappresentanze sindacali” (art. 50).
Conclusioni
L’istituto del whistleblowing ha assunto ormai una rilevanza fondamentale a livello di compliance aziendale e le imprese già dotate di modello organizzativo 231 dovranno quanto prima provvedere a rivedere i propri processi interni, aggiornando ed implementando le procedure e i modelli già esistenti oppure, se non ancora dotate di modello organizzativo, predisporre ed attivare il canale di segnalazione interna, organizzando adeguati percorsi formativi per i soggetti incaricati della gestione del canale interno di segnalazione. Il nuovo decreto, dopo un periodo transitorio, diverrà applicativo a partire dal prossimo 15 luglio 2023, con efficacia posticipata al 17 dicembre 2023 per le imprese che abbiano impiegato nell’ultimo anno una media di lavoratori subordinati inferiore a 250. Sono previste pesanti sanzioni in caso di mancato o inidoneo adempimento. Nello specifico, è prevista l’applicazione da parte di ANAC di una sanzione amministrativa pecuniaria da € 5.000 a € 30.000, nel caso in cui vengano accertate ritorsioni od ostacoli alla segnalazione o, ancora, nel caso in cui sia stato violato l’obbligo di riservatezza. Viene, poi, applicata la più grave sanzione da € 10.000 a € 50.000 nei casi in cui non siano stati istituiti canali di segnalazione, non siano state adottate procedure per effettuare e gestire le segnalazioni o non sia stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. E, infine, è prevista una sanzione da € 500 a € 2.500, in caso di condanna in primo grado del segnalante per reati di diffamazione e calunnia. Alla luce, dunque, del perfezionamento della normativa del whistleblowing e del suo recepimento anche all’interno del D.Lgs. 231/2001, tenuto conto delle criticità interpretative, degli aspetti di sovrapposizione forieri di possibili problematiche applicative e, in attesa di conoscere quali saranno in generale gli orientamenti giurisprudenziali in materia, è opportuno che gli enti chiamati per legge ad adottare le descritte prescrizioni inizino a prevedere un’adeguata formazione del personale, un potenziamento degli strumenti interni già sviluppati, approntando i corrispondenti canali di segnalazione.
