Il Decreto Legislativo 10 marzo 2023, n. 24 ha riscritto la disciplina italiana del whistleblowing, recependo la Direttiva UE 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell'Unione. Ha sostituito il quadro precedente (legge 179/2017 e norme sparse) con un corpo unico di regole valido per settore pubblico e privato.
Questa guida riassume i punti essenziali: i soggetti obbligati, l'oggetto delle segnalazioni, i requisiti dei canali, la procedura di gestione, le tutele e le sanzioni.
Chi è obbligato a dotarsi di un canale interno
Nel settore privato l'obbligo riguarda le imprese che nell'ultimo anno hanno impiegato una media di almeno 50 lavoratori subordinati. Sono obbligati a prescindere dalla soglia i soggetti che operano negli ambiti coperti dagli atti UE richiamati dal decreto (servizi finanziari, prevenzione del riciclaggio, sicurezza dei trasporti, tutela dell'ambiente) e gli enti che adottano un Modello di Organizzazione e Gestione ai sensi del D.Lgs. 231/2001.
Nel settore pubblico l'obbligo vale per tutte le amministrazioni, senza soglia dimensionale: enti territoriali, autorità, scuole, aziende sanitarie, enti pubblici economici, società a controllo pubblico e in house.
Le scadenze di adeguamento sono ormai superate: 15 luglio 2023 per PA e imprese con almeno 250 dipendenti, 17 dicembre 2023 per le imprese tra 50 e 249. Oggi chi non è conforme è già esposto alle sanzioni.
Cosa si può segnalare
Il perimetro oggettivo comprende le violazioni di disposizioni normative nazionali ed europee che ledono l'interesse pubblico o l'integrità dell'ente, di cui il segnalante sia venuto a conoscenza nel proprio contesto lavorativo. Rientrano in particolare:
- Illeciti amministrativi, contabili, civili o penali
- Condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 o violazioni dei Modelli 231
- Violazioni del diritto UE: appalti, servizi finanziari, antiriciclaggio, sicurezza dei prodotti e dei trasporti, ambiente, alimenti, salute pubblica, protezione dei consumatori e dei dati personali
- Atti od omissioni che ledono gli interessi finanziari dell'Unione o il mercato interno
I tre canali: interno, esterno, divulgazione pubblica
Il decreto disegna un sistema a tre livelli. Il canale interno, istituito dall'ente, è la via prioritaria. Il canale esterno, gestito da ANAC, è attivabile quando il canale interno manca o non è conforme, quando la segnalazione interna non ha avuto seguito, o quando il segnalante ha fondati motivi di ritenere che la segnalazione interna sarebbe inefficace o lo esporrebbe a ritorsioni.
La divulgazione pubblica (stampa, social) è tutelata solo in casi residuali: segnalazioni esterne rimaste senza riscontro, pericolo imminente per l'interesse pubblico o rischio concreto di ritorsioni o inefficacia del canale esterno.
Requisiti del canale e della gestione
Il canale interno deve garantire la riservatezza dell'identità del segnalante, delle persone coinvolte e del contenuto della segnalazione, anche tramite strumenti di crittografia. Deve consentire segnalazioni scritte e orali. La gestione va affidata a una persona o ufficio interno autonomo e formato, oppure a un soggetto esterno.
I tempi sono precisi: avviso di ricevimento al segnalante entro 7 giorni, riscontro sull'esito entro 3 mesi. La documentazione va conservata solo per il tempo necessario e comunque non oltre 5 anni dalla comunicazione dell'esito finale (art. 14).
Le tutele del segnalante
Il cuore della disciplina è il divieto di ritorsioni: licenziamento, demansionamento, trasferimento, sanzioni, mancate promozioni, discriminazioni e qualsiasi altra misura che arrechi danno ingiusto al segnalante sono vietati e nulli. In caso di contenzioso opera l'inversione dell'onere della prova: spetta al datore dimostrare che la misura non è collegata alla segnalazione.
Le tutele si estendono a facilitatori, colleghi e familiari del segnalante e ai soggetti a lui collegati. La rinuncia alle tutele non è valida.
Le sanzioni
ANAC può irrogare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro in caso di ritorsioni, di ostacolo alla segnalazione, di violazione della riservatezza o di mancata istituzione del canale e mancata adozione delle procedure. Sanzioni da 500 a 2.500 euro colpiscono il segnalante nei casi di accertata responsabilità penale per diffamazione o calunnia.