– compresi nell’elenco dei soggetti destinatari del predetto decreto (enti forniti di personalità giuridica, società e associazioni anche prive di personalità giuridica, ai sensi dell’art. 1, comma 2);
– che abbiano, in concreto, adottato il sistema di compliance ivi prescritto (adozione di un modello di organizzazione e gestione e nomina dell’organismo autonomo di vigilanza)
– specifici canali informativi dedicati alle segnalazioni, di cui almeno uno con modalità informatiche, tali da garantire la riservatezza dell’identità del segnalante;
– il divieto di atti di ritorsione o di discriminazione nei confronti del segnalante;
– l’inserimento all’interno del sistema disciplinare del modello organizzativo di sanzioni nei confronti di chi viola le misure di tutela del segnalante, nonché di chi effettua con dolo o colpa grave segnalazioni poi rivelatesi infondate;
– la previsione di una giusta causa di rivelazione di notizie coperte dall’obbligo di segreto di cui agli artt. 326, 622 e 623 c.p. e all’art. 2105 c.c.
– di qualsiasi misura ritorsiva o discriminatoria per motivi collegati direttamente o indirettamente alla segnalazione.
In definitiva, fatta salva l’espressa comminatoria di nullità delle eventuali misure ritorsive o discriminatorie adottate nei confronti del segnalante, nonché la facoltà di denuncia all’ITL (per i provvedimenti di propria competenza) attribuita al medesimo o all’organizzazione sindacale dallo stesso indicata, la legge n. 179/2017 rimette larga parte della protezione del whistleblower alla discrezionalità del datore di lavoro, che integrerà il proprio modello organizzativo con le modalità tecniche reputate più adatte a conseguire gli obiettivi di tutela sottesi alla normativa ad oggi vigente.
Ciò consente di riscontrare un primo mutamento di prospettiva rispetto al sistema italiano di cui alla legge n. 179/2017: la tutela del segnalante, infatti, opera non più in conseguenza dell’integrazione (allo stadio tentato o consumato) delle fattispecie incriminatrici nel novero dei “reati presupposto”, bensì, più in generale, all’atto della lesione di un bene giuridico tutelato dal diritto UE.
Tuttavia, è bene osservare che la tutela delineata, congiuntamente, dal D.Lgs. n. 231/2001 e dalla legge n. 179/2017 opera anche dinanzi a delitti contro la personalità individuale (art. 25-quinquies del D.Lgs. n. 231/2001), mentre la direttiva UE sembra più orientata alla repressione di interessi di natura economica o, comunque, superindividuale (al di là, invero, del riferimento alla “tutela della vita privata ai sensi dell’art. 2, par. 1, lett. x).
Quanto all’ampliamento dell’ambito applicativo personale, i “segnalanti” destinatari della disciplina sono, in virtù dell’art. 4, par. 1:
– le persone aventi la qualità di lavoratore, compresi i dipendenti pubblici;
– le persone aventi la qualità di lavoratore autonomo (consulenti, freelance, ecc.);
– gli azionisti e i membri dell’organo di amministrazione, direzione o vigilanza di un’impresa, compresi i membri senza incarichi esecutivi;
– i volontari e i tirocinanti retribuiti e non retribuiti;
– qualsiasi persona che lavora sotto la supervisione e la direzione di appaltatori, subappaltatori e fornitori.
I paragrafi 2, 3 e 4 aggiungono, inoltre, rispettivamente, che la direttiva trova applicazione anche nei confronti dei segnalatori che comunichino o divulghino informazioni sulle violazioni acquisite nell’ambito di un rapporto di lavoro nel frattempo terminato o non ancora iniziato e ciò in relazione alle informazioni riguardanti violazioni acquisite durante il processo di selezione o altre fasi delle trattative precontrattuali, ma anche nei confronti dei facilitatori che assistono l’informatore e dei terzi collegati con lo stesso, quali colleghi o parenti che potrebbero subire in conseguenza del collegamento ritorsioni sul lavoro.
La direttiva si rivolge alle imprese private con almeno 50 dipendenti, ma è facoltà degli Stati Membri (ex art. 8, par. 7), a fronte di adeguata valutazione dei rischi e tenuto conto della natura dell’attività, di estenderne le previsioni anche a enti con un numero di lavoratori inferiore.
Sotto il profilo procedurale, il Legislatore europeo detta prescrizioni più stringenti rispetto a quelle della legge nazionale italiana, individuando un sistema di canali di segnalazione articolato su due livelli: il primo interno (che il segnalatore deve privilegiare), il secondo esterno.
Con l’intento di assicurare l’efficienza delle procedure di segnalazione interna, l’art. 9 della direttiva individua i seguenti elementi fondamentali che dovranno essere previsti:
– i canali per ricevere le segnalazioni devono essere progettati, realizzati e gestiti in modo sicuro, garantendo la riservatezza dell’identità del segnalante, la protezione degli eventuali terzi citati nella segnalazione e impedendo l’accesso al personale non autorizzato;
– entro sette giorni dalla segnalazione l’informatore deve essere avvisato della ricezione;
– deve essere designata una persona o un servizio (potrebbe essere anche lo stesso che riceve le segnalazioni), competente e imparziale, per dare seguito, in modo diligente, alle segnalazioni (anche anonime se previste dal diritto nazionale), restare in contatto il segnalante e, se necessario, chiedere ulteriori informazioni e fornirgli riscontro;
– deve essere previsto un termine ragionevole, non superiore a tre mesi a far data dall’avviso di ricevimento (in assenza di avviso al segnalante, i tre mesi si calcolano dalla scadenza del termine di sette giorni dall’effettuazione della segnalazione), per dare un riscontro alla segnalazione;
– devono essere rese disponibili informazioni chiare e facilmente accessibili sulle procedure per effettuare segnalazioni esterne alle autorità competenti e, se del caso, a istituzioni, organi e organismi dell’Unione Europea.
L’art. 10 della direttiva prevede che, dopo aver effettuato la segnalazione per mezzo dei canali interni, ma, in alternativa, anche in prima battuta, gli informatori possono attivare una procedura “esterna”, indipendente e autonoma, che gli Stati Membri demanderanno alle autorità competenti, chiamandole ad informare il pubblico circa il concreto funzionamento del sistema di denuncia (art. 13).
Tali canali potranno considerarsi indipendenti e autonomi qualora soddisfino due parametri (art. 12):
– siano progettati, stabiliti e gestiti in modo da garantire la completezza, l’integrità e la riservatezza delle informazioni e impediscano l’accesso da parte del personale non autorizzato dell’autorità competente;
– permettano la memorizzazione di informazioni su supporti durevoli, conformemente all’art. 18, per consentire l’effettuazione di ulteriori indagini.
Tra le misure di protezione, che si applicano sempre quando l’informatore abbia fondati motivi per ritenere che, al momento della segnalazione, le notizie fossero vere e abbia seguito le procedure previste di segnalazione interne o esterne, diversamente da quanto previsto dalla legge n. 179/2017 che non le prevede nei confronti di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate, la direttiva contempla:
1) divieto di ritorsione (art. 19) tramite: licenziamento, retrocessione di grado, mancata promozione, mutamento di funzioni, cambiamento di luogo o di orario di lavoro, riduzione dello stipendio, sospensione della formazione, referenze negative, misure disciplinari, note di biasimo, mancata stabilizzazione di un lavoro temporaneo, coercizione, molestie, intimidazioni, ostracismo, ecc.
Si prevede, quindi, un elenco molto dettagliato, in luogo della formula di chiusura “qualsiasi altra misura ritorsiva o discriminatoria” impiegata dalla l. n. 179/2017;
2) misure di sostegno per l’autore della segnalazione (art. 20): garanzie sul piano informativo, assistenza, patrocinio gratuito a spese dello Stato, supporto psicologico;
3) misure di protezione dell’autore della segnalazione (art. 21): esclusione di ogni responsabilità per lecita acquisizione o divulgazione di informazioni propedeutiche alla denuncia; principio dell’integralità del risarcimento per danni subiti dal segnalante (par. 8);
4) misure di protezione anche per le “persone coinvolte” (ex art. 5 n. 10, le persone fisiche o giuridiche menzionate nella segnalazione o divulgazione come persone alle quali la violazione è attribuita o con le quali tali persone sono associate): diritto proporre ricorso effettivo dinanzi ad un giudice imparziale, presunzione di innocenza, diritto di difesa, di essere sentito e di accesso al fascicolo, tutela dell’identità durante le indagini (art. 22).
Gli Stati Membri possono, da ultimo, prevedere uno specifico apparato sanzionatorio nei confronti delle persone fisiche e giuridiche che ostacolino le segnalazioni o che pongano in essere ritorsioni, vessazioni o che violino il diritto alla riservatezza dell’identità degli informatori; allo stesso modo possono essere previste sanzioni anche nei confronti degli informatori quando si accerti che hanno effettuato segnalazioni scientemente false.
Dall’analisi della disciplina della direttiva sul whistleblowing emerge chiaramente il forte impatto sulla normativa italiana che dovrà essere profondamente modificata, entro il 2021, per recepire i principi eurounitari, andando ben oltre l’attuale dimensione esclusivamente connessa all’adozione del modello di organizzazione e gestione del D.Lgs. n. 231/2001.
