Il ‘soffiatore di fischietto’. Considerazioni sul recepimento della direttiva sul whistleblowing

di   Alessandro   Provera,  Docente  di  Diritto  penale Università del Piemonte orientale e di Diritto penale dell’economia Università Cattolica del Sacro Cuore di Piacenza

 

 

 

1. Un quadro di sintesi delle innovazioni introdotte dal d.lgs. 24 del 2023

Di recente e con significativo ritardo, l’Italia ha dato attuazione alla direttiva UE in materia di whistleblowing. Il c.d. soffiatore di fischietto è figura nota da tempo e di grande importanza nel contesto statunitense. Basti pensare che scandali come quello che ha riguardato Enron sono emersi proprio grazie alla segnalazione da parte di soggetti interni alla società. Tanta fu l’importanza della segnalazione interna in questo e in altri casi celebri che persino Time dedicò la copertina del ‘personaggio dell’anno’ ai whistleblower che permisero di scoprire gli scandali più rilevanti, che peraltro erano tutte donne.

 

Nel nostro sistema giuridico, la disciplina normativa del segnalante interno è molto più recente e presenta alcuni aspetti problematici di prima rilevanza. È di tutta evidenza, infatti, che, per quanto il segnalante sia figura essenziale all’interno della società e deve beneficiare di massima tutela, contro ritorsioni di qualsiasi genere, dall’altro lato occorre garantire una piena possibilità di difesa al segnalato, anche al fine di evitare abusi e segnalazioni infondate e pretestuose.

 

L’ultimo provvedimento in tema è il Decreto Legislativo n. 24 del 10 marzo 2023 recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”. Con tale provvedimento normativo si è, in primo luogo, esteso in maniera significativa il perimetro di applicazione della disciplina in materia di whistleblowing che, in precedenza, era limitato alle sole imprese dotate di modello organizzativo ex d.lgs. 231/2001.

 

I soggetti obbligati ad applicare la disciplina sono quindi tutte le imprese private che hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, oppure che rientrano nell’ambito di applicazione degli atti dell’Unione Europea, in materia soprattutto di protezione del risparmio, anche se nell’ultimo anno non hanno raggiunto questa media di lavoratori subordinati oppure che hanno adottato modelli di organizzazione e che hanno nominato un Organismo di Vigilanza. A questi si aggiungono i soggetti del settore pubblico ed altri soggetti previsti all’articolo 1 del d.lgs. 24/23.

 

Altra novità di primo piano è l’introduzione delle c.d. “segnalazioni esterne” da indirizzare all’ANAC. L’ANAC, Autorità Nazionale Anticorruzione, diventa così l’unica autorità competente a valutare tali segnalazioni e l’eventuale applicazione delle sanzioni amministrative, sia per quanto riguarda il settore pubblico sia per il settore privato.

Cercando di far maggiore chiarezza sulle segnalazioni esterne, il decreto 24/23 prevede, oltre alla ordinaria facoltà, in capo ai segnalanti, di rivolgere segnalazioni attraverso canali interni alla società, anche la possibilità di rivolgere all’ANAC segnalazioni esterne. Si tratta quindi di un canale di comunicazione del tutto indipendente e autonomo, previsto soprattutto come ulteriore garanzia dell’efficacia della segnalazione.

 

Sempre sul versante puramente descrittivo, lasciando a un secondo momento le criticità della nuova normativa, il d.lgs. 24/23 impone poi alle società obblighi assai gravosi.

 

Nello specifico, i soggetti obbligati, dovranno definire ex ante e nel dettaglio il processo di gestione delle segnalazioni, individuando e valutando idonee soluzioni organizzative, affidando la gestione del canale di segnalazione a un ufficio interno autonomo dedicato e con personale specificamente formato, oppure ad un soggetto esterno, anch’esso, però, autonomo e dotato di personale specificamente formato.

Sarà inoltre compito dell’azienda prevedere una continuativa formazione periodica in materia di whistleblowing.

Un tema senza dubbio centrale è quello delle modalità operative in cui si articola il processo di gestione delle segnalazioni. Uno specifico obbligo è implementare un canale interno per la ricezione e la gestione delle segnalazioni e prevedere adeguate modalità di tutela del segnalante; fra queste modalità, è necessario implementare misure tecniche che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza della sua identità della persona coinvolta nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

 

Le società devono altresì disciplinare ex ante e dettagliatamente il processo di analisi e gestione delle segnalazioni ricevute.

Occorre ricordare che non solo le segnalazioni provenienti dai canali informatici debbono essere processate, ma anche quelle pervenute mediante canali distinti da quello scritto e informatizzato (linee telefoniche, sistemi di messaggistica vocale, incontri diretti).

 

Vi sono poi obblighi molto significativi in materia di trasparenza. Tali obblighi hanno come finalità garantire un facile accesso ai canali per la segnalazione, stabilire termini precisi in cui la segnalazione viene processata e offrire al segnalante indicazioni chiare sul procedimento stesso.

La società, infatti, deve fornire informazioni chiare riguardo al canale, alle procedure e ai presupposti per effettuare le segnalazioni interne, nonché riguardo ai presupposti per effettuare segnalazioni esterne. Tali informazioni devono essere esposte e rese facilmente visibili nei luoghi di lavoro, nonché accessibili anche ai soggetti che, pur non frequentando i luoghi di lavoro, intrattengono un rapporto giuridico con l’organizzazione. In aggiunta, il decreto prevede che, qualora l’organizzazione pubblica o privata sia dotata di un proprio sito internet, tali informazioni vengano rese note in una sezione dedicata del suddetto sito.

 

Molto precisi sono i termini in cui deve essere data risposta o, meglio, come si vedrà, riscontro. In primo luogo, occorre comunicare al segnalante la presa in carico della segnalazione, mediante “avviso di ricevimento” da rilasciare entro sette giorni dalla ricezione.

Soprattutto, però, occorre fornire riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.

Infine, alle informazioni fornite al segnalante ai sensi della normativa in materia di whistleblowing, si devono unire le informazioni in merito al trattamento dei dati del segnalante e di tutte le altre persone coinvolte nel processo.

 

Anche i tempi per adeguarsi a tali obblighi sono assai stringenti. Le disposizioni del d.lgs. 24/23 entreranno in vigore a decorrere dal 15 luglio 2023, con eccezione dei soggetti del settore privato che abbiano impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a 249, per i quali l’obbligo di istituzione del canale di segnalazione interna, ai sensi del nuovo decreto, avrà effetto a decorrere dal 17 dicembre 2023.

 

Il d.lgs. 24 del 2023 prevede anche un apparato di sanzioni. L’ANAC può applicare sanzioni amministrative pecuniarie fino a euro 50.000, nei casi in cui non siano stati istituiti canali di segnalazione, o non siano state adottate procedure per la gestione delle segnalazioni, oppure l’adozione di tali procedure non è conforme a quelle previste dal decreto, non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. Chiaramente queste sanzioni sono anche irrogate nel caso di ritorsioni, o quando la segnalazione sia stata ostacolata.

 

 

2. Alcune criticità a fronte di una prima lettura

 

Si parta in questa analisi da un problema vistoso: le condizioni che legittimano la segnalazione esterna, soprattutto le condizioni di cui alle lettere c e d dell’art. 6 d.lgs. 24 del 2023:

• c) la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
• d) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

 

Sembra infatti, e sul punto qualcosa di analogo era stato osservato anche dal Position paper di Confindustria del gennaio 2023, che questi requisiti siano troppo vaghi e permettano praticamente di ricorrere subito alla segnalazione esterna senza che vi sia un effettivo pericolo di inefficacia della segnalazione interna o di ritorsioni a carico del segnalante. Tale pericolo è infatti unicamente valutato dal segnalante senza alcun indice concreto e preciso.

 

Tra l’altro, lo stesso problema di vaghezza e scarsa determinatezza dei presupposti caratterizza negativamente anche l’art. 15 d.lgs. 24 del 2023 per quanto concerne la divulgazione pubblica:

• b) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;
• c) la persona segnalante ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto”.

 

Un altro punto su cui è opportuna una riflessione è la tutela della riservatezza relativa all’identità del segnalante. Infatti, la normativa stabilisce che debbano essere utilizzati gli strumenti informatici necessari per raggiungere tale finalità, anche strumenti di crittografia. Occorre quindi domandarsi se tale riferimento alla crittografia si debba intendere come obbligatorio, non essendo del tutto chiaro il significato della disposizione.

Parrebbe, visto l’utilizzo di “anche” che la locuzione significhi che occorra sempre ricorrere agli strumenti di crittografia. Certamente, però, una siffatta interpretazione rischia, in primo luogo, di gravare eccessivamente la società. In secondo luogo, potrebbe altresì essere un obbligo superfluo, nel caso in cui l’anonimato del segnalante fosse garantito altrimenti dal sistema informatico.

Ad ogni modo la normativa non sembra del tutto chiara come detto, visto che all’art. 10 d.lgs. 24 del 2023 si stabilisce che ANAC debba adottare linee guida volte, tra l’altro, (solo) a “promuovere” l’utilizzo della crittografia.

 

Un gravoso obbligo è prevedere un apposito ufficio che riceva e gestisca le segnalazioni, con una specifica competenza. Come è stato illustrato dalla dottrina con considerazioni puntuali, tale ufficio non può essere l’Odv, per via delle sue caratteristiche e per l’assenza di una competenza specifica.

“Sul punto, infatti, giova infatti rammentare che, vigente la precedente normativa, vi era incertezza su chi fosse l’attore incaricato di gestire tale processo e molto spesso era l’OdV a doversi fare carico di tale onere, senza peraltro avere competenze specifiche minimamente paragonabili a quelle richieste dal nuovo decreto in riferimento al personale che andrà a operare nel nuovo ufficio ad hoc. A tale proposito, si intende anche prendere posizione sull’opportunità o meno che l’OdV sia destinatario delle segnalazioni in materia di Whistleblowing e che le gestisca sino, eventualmente, a proporre un procedimento disciplinare all’ufficio HR, volto all’irrogazione di una sanzione disciplinare nei confronti del segnalante in malafede o, nel caso opposto, dell’autore della violazione di cui si sia riscontrata la veridicità. Ebbene, su tale argomento si evidenzia come nel far ciò, inevitabilmente l’OdV andrebbe a perdere quella irrinunciabile qualità di terzietà data dall’autonomia e indipendenza dall’Ente, in quanto prenderebbe parte (seppur in minima parte), al processo di gestione dello stesso”[1].

Una terza questione, tutt’altro che secondaria, che non viene risolta dalla normativa e che si presta a un’interpretazione non univoca, riguarda i termini in cui deve essere data comunicazione al segnalante.

Per quanto riguarda il primo di essi, cioè il termine di sette giorni in cui deve essere data comunicazione della presa in carico della segnalazione, non sorgono particolari problemi. Infatti, è una mera comunicazione di presa in carico, senza un profilo contenutistico rilevante. Serve tra l’altro questa comunicazione per stabilire un dies a quo da cui decorre il termine dei tre mesi per il ‘riscontro’ su cui occorre ora concentrarsi.

Infatti, il termine più rilevante è quello dei tre mesi per il riscontro. Occorre, pertanto, chiedersi se quest’ultimo debba essere inteso come definizione del procedimento o solamente come una comunicazione circa l’attività svolta e quella da intraprendere a seguito della segnalazione. Parrebbe di dover optare per l’interpretazione volta a dare risposta negativa al quesito se occorra entro tre mesi definire il procedimento.

 

Ciò si evince sia dalla direttiva, sia dalla lettura attenta del d.lgs. 24 del 2023. Partiamo dalla direttiva, che stabilisce al considerando (57) che “Nell’ambito della segnalazione interna, informare nei limiti di legge e nel modo più completo possibile la persona segnalante circa il seguito dato alla segnalazione è fondamentale per aumentare la fiducia nell’efficacia di tutto il sistema di protezione degli informatori e ridurre il rischio di segnalazioni o divulgazioni pubbliche inutili. La persona segnalante dovrebbe essere informata entro un termine ragionevole delle misure previste o adottate per dare seguito alla segnalazione e dei motivi della scelta di tale seguito dato. Il seguito potrebbe includere, per esempio, il rinvio ad altri canali o altre procedure in caso di segnalazioni che interessino esclusivamente i diritti individuali della persona segnalante, l’archiviazione della procedura per mancanza di prove sufficienti o altri motivi, l’avvio di un’inchiesta interna ed eventualmente le relative risultanze, e i provvedimenti adottati per affrontare la questione sollevata, il rinvio a un’autorità competente per ulteriori indagini, nella misura in cui tali informazioni non pregiudichino l’inchiesta interna o l’indagine né ledano i diritti della persona coinvolta. In tutti i casi, la persona segnalante dovrebbe essere informata in merito all’andamento e all’esito dell’indagine. Dovrebbe essere possibile invitare tale persona a fornire ulteriori informazioni nel corso dell’indagine, senza tuttavia che sussista un obbligo di fornire dette informazioni”.

 

Sembrerebbe dunque profilarsi la possibilità di dare un riscontro non definitivo, potendo limitarsi l’azienda a comunicare che sono occorrenti nuove indagini e soprattutto fornendo l’indicazione di un nuovo termine. Infatti, al considerando (58) si sostiene che Un termine ragionevole per informare una persona segnalante non dovrebbe superare tre mesi. Se non è ancora stato deciso un seguito adeguato, la persona segnalante dovrebbe esserne informata, come anche degli eventuali ulteriori riscontri da attendersi.

 

Rimane tuttavia un tema che non viene affrontato direttamente, ma che, nel silenzio della normativa, rischia di essere pregiudizievole per il segnalante, per il segnalato e per l’efficacia complessiva del sistema interno del whistleblowing. Ammesso che il termine dei tre mesi debba essere inteso come un termine, solo in generale congruo per fornire riscontro, e che può quindi essere prorogato stante la complessità degli accertamenti che debbono essere condotti, ci si può chiedere che ulteriore termine occorrerebbe stabilire e indicare al segnalante. Qui la normativa, come detto, tace del tutto, ma è chiaro che, prevedendo un termine stretto di tre mesi, pur prorogabile, come si è prospettato, la proroga non possa essere eccessivamente estesa in termini temporali. Tale valutazione deve essere condotta tenendo a mente che il termine in genere congruo è quello di tre mesi, eventuali proroghe dovranno dunque contenersi in pochi mesi. La conseguenza sennò sarebbe quella di dilatare il termine e di fatto contravvenire alle esigenze di contingentamento e di precisazione ex ante dei termini di cui al d.lgs. 24 del 2023. Questa indeterminatezza, tuttavia, rischia di consentire applicazioni differenziate e discrezionali della normativa.

 

Terzo e ultimo aspetto interessante è quello relativo alla tutela dei soggetti coinvolti dalla segnalazione. In primo luogo, chiaramente, il segnalante non deve essere soggetto a nessuna ritorsione ed è obbligo specifico prevedere un sistema sanzionatorio efficace nei casi di ritorsione contro il segnalante.

 

 

3. Tutela per il segnalante… e per il segnalato?

 

Un aspetto però lasciato in secondo piano dal decreto 24 del 2023 è la tutela del segnalato.

Veniamo quindi al punto più critico.

L’art. 12, comma 2 e 5 prevede che “L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni […]. Nell’ambito del procedimento disciplinare, l’identità della persona segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità”.

 

Ma se la segnalazione risulta del tutto infondata?

 

Partiamo dai casi di segnalazione dolosa o con colpa grave. In tali casi, l’art. 6, commi 2 bis e ss. del decreto 231/01 (introdotto dalla L. 179 del 30.11.2017), l’unica tutela indirettamente prevista per il soggetto ingiustamente segnalato è concepita come misura di deterrenza contro il segnalante, che deve essere soggetto a sanzione disciplinare qualora effettui, con dolo o colpa grave, una segnalazione che si rilevi infondata (articolo 6, comma 2 bis, lett. d), Decreto 231/2001).

 

Invece, la normativa nulla dice circa la comunicazione al segnalato della segnalazione a suo carico rivelatasi “infondata”.

 

Questa assenza di previsione normativa di certo non è affatto positiva, più che altro perché rischia di non dissuadere da segnalazioni infondate.

 

Sarebbe senza dubbio più convincente, nella logica della tutela anche del segnalato[2], prevedere che, nel caso in cui la segnalazione risulti infondata, si proceda alla comunicazione della stessa al segnalato. Dovrebbe cioè cessare quella tutela della riservatezza del segnalante che può esser fondata esclusivamente sul presupposto della fondatezza della segnalazione. Il segnalato potrebbe così agire anche in sede penale per eventuali reati commessi con la segnalazione. È infatti ipotizzabile che una segnalazione infondata integri gli estremi della diffamazione. Non è invece configurabile nel caso di segnalazione interna la calunnia. Occorre infatti ricordare che, ai fini della sussistenza di questo delitto contro l’amministrazione della giustizia, non basta l’incolpazione di un soggetto di un reato pur sapendolo certamente innocente. Essendo infatti un reato a forma vincolata, occorre che l’incolpazione sia contenuta in un atto di denuncia, querela, istanza o comunque in un atto rivolto all’autorità giudiziaria o a chi ha l’obbligo di riferire all’autorità giudiziaria. Occorre, sul punto, ricordare che, se da un lato il pubblico ufficiale ha l’obbligo di denuncia per tutti i fatti di reato di cui viene a conoscenza nell’esercizio delle sue funzioni, dall’altro lato, il privato ha un obbligo ben più ristretto, che gli impone di denunciare solo alcune tipologie di reato grave.

 

Questo importante provvedimento normativo in tema d whistleblowing si caratterizza quindi per alcune criticità di rilevante importanza. È dunque auspicabile un primo chiarimento in sede di linee guida ANAC, nonché la cristallizzazione di un’interpretazione che miri a un’efficace tutela del segnalante (senza gravare di obblighi eccessivi le imprese), e a garantire una effettiva protezione anche al segnalato.

 

[1] S. Logroscino, Considerazioni critiche sui nuovi canali di segnalazione previsti dal D. Lgs. n. 24/2023 in materia di Whistleblowing, con particolare riferimento agli enti del settore privato, in Giurisprudenza Penale Web, 2023, 4

[2] Su cui peraltro avevo speso considerazioni importanti il Position paper di Confindustria, del gennaio 2023, su cui E. Romanelli, La nuova disciplina del whistleblowing, in Corporate crime and compliance hub, 6 febbraio 2023.