Whistleblowing e i canali interni per le segnalazioni: aperta la consultazione sulle Linee Guida Anac

L’ANAC ha avviato la consultazione pubblica sullo schema di nuove Linee Guida in materia di whistleblowing volte a fornire, nello specifico, indicazioni sulle modalità di gestione dei canali interni di segnalazione.

I contributi devono essere presentati, entro le ore 24:00 del prossimo 9 dicembre 2024, esclusivamente mediante la compilazione del questionario on line presente sul sito istituzionale.

L’obiettivo

Lo schema integra e completa le “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”, adottate dall’ANAC con il provvedimento n. 311 del 12 luglio 2023 in attuazione delle previsioni del decreto legislativo 10 marzo 2023, n.24 (di seguito: d.lgs. 24/23). Il d.lgs. 24/23, come è noto, ha recepito nel nostro ordinamento la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione.

Nello specifico le nuove linee guida non modificano, ma integrano e completano, le precedenti linee guida del luglio 2023 al fine di armonizzare le pratiche operative e fornire un supporto agli enti per rendere più efficace il sistema di tutele del whistleblower. Hanno, infatti, l’obiettivo di fornire indicazioni sulle modalità di gestione dei canali interni di segnalazione per assicurare un’applicazione uniforme ed efficace della normativa garantendo allo stesso tempo la riservatezza dell’identità del segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché il contenuto della segnalazione e della relativa documentazione.

Il percorso

Nell’elaborazione del documento si è tenuto innanzitutto conto dei risultati del monitoraggio sullo stato di attuazione della normativa sul whistleblowing, che ANAC ha condotto nel corso del 2023 attraverso la somministrazione di un questionario ai soggetti del settore pubblico e del settore privato chiamati ad attivare i canali interni di segnalazione, nonché degli esisti di consultazioni mirate con soggetti istituzionali e associazioni di categoria e della società civile.

I contenuti

Vediamo in sintesi i punti di maggiore interesse.

Il canale interno di segnalazione (d.lgs. 24/23 art. 4, c.1)

I soggetti destinatari della normativa whistleblowing hanno l’obbligo di istituire appositi “canali” interni per ricevere e gestire le segnalazioni al fine di garantire una più efficace ed immediata trattazione delle violazioni.

L’attivazione deve avvenire previa interlocuzione delle rappresentanze o organizzazioni sindacali: una interlocuzione preventiva che consente all’ente/amministrazione di acquisire le eventuali osservazioni di parte sindacale. A tal fine è opportuno che l’ente porti a conoscenza del sindacato i principali elementi che connotano il canale interno (le modalità di presentazione della segnalazione, la gestione della stessa, l’individuazione del gestore, la formazione specifica del personale addetto, nonché la modalità di diffusione all’interno dell’ente delle informazioni relative all’utilizzo del canale) già nelle prime fasi della procedura per l’adozione dell’atto organizzativo, proprio per consentire un corretta interlocuzione e confronto, valutando le considerazioni eventualmente formulate e offrendo anche la disponibilità a un incontro, ove richiesto.

Modalità di effettuazione della segnalazione

La segnalazione può essere effettuata in forma scritta e in forma orale e i soggetti destinatari devono assicurare entrambe le modalità di ricezione. Il canale interno di segnalazione deve essere liberamente e facilmente accessibile da parte di tutti gli aventi diritto e devono essere previste, obbligatoriamente, entrambe le modalità.

• Forma scritta: le segnalazioni devono essere acquisite e gestite preferibilmente attraverso l’apposita piattaforma informatica o, altrimenti, occorre adottare misure di protocollazione riservata in doppia busta con un registro riservato. La scelta dello strumento deve essere operata alla luce delle specificità del contesto organizzativo di riferimento, assicurando, in ogni caso, un livello di sicurezza adeguato agli specifici rischi per gli interessati, in primo luogo la non tracciabilità del segnalante, e adottando scelte conformi ai principi della “protezione dei dati fin dalla progettazione” e della “protezione per impostazione predefinita”. Il responsabile della protezione dei dati (RPD) va coinvolto sin dalle prime fasi e occorre tener conto delle osservazioni da lui formulate. Occorre inoltre dare ampia informazione sull’uso di tali canali proprio per le maggiori garanzie offerte in termini di sicurezza.
• Forma orale: la scelta delle modalità è rimessa alla piena discrezionalità dell’organizzazione: vanno assicurati strumenti per assicurare la tracciabilità delle segnalazioni al fine di garantire un effettivo e corretto procedimento. Può essere gestita, anche limitando giornate/fasce orarie, per mezzo di:
• • linee telefoniche, con l’attivazione di una linea telefonica gratuita dedicata gestita da un operatore autorizzato che acquisisce le segnalazioni e le registra, previo consenso del segnalante;
  • sistemi automatici di messaggistica vocale;
  • richiesta del segnalante, attraverso un incontro diretto da fissare entro un termine ragionevole.

Le ipotesi sanzionatorie relative al canale interno di segnalazione

In caso di mancata istituzione dei canali di segnalazione, di mancata adozione di procedure per l’effettuazione e la gestione delle segnalazioni o in presenza di procedure non conformi a quanto previsto dagli artt. 4 e 5 del d.lgs. n. 24/2023, con particolare riferimento alle modalità di presentazione delle segnalazioni, alla scelta del soggetto cui affidare la gestione delle stesse, il competente ufficio di vigilanza whistleblowing di ANAC (UWHIB) può avviare un procedimento sanzionatorio nei confronti dei presunti responsabili, garantendo la facoltà agli stessi di difendersi. Il procedimento sanzionatorio può concludersi con l’archiviazione o con l’irrogazione della sanzione amministrativa pecuniaria da 10.000 a 50.000 euro.

Risponde della sanzione, in solido con i suoi singoli componenti, l’organo di indirizzo dell’ente, fatta salva l’azione di regresso da esperire verso tutti i soggetti responsabili della violazione, in conformità a quanto previsto dall’art. 6 “Solidarietà” della legge 24 novembre 1981, n. 689 “Modifiche al sistema penale”.

Enti soggetti al d.lgs 231/01 e gruppi societari

Ampio spazio di approfondimento è dedicato dalla Linee Guida alle attività di compliance che devono essere poste in essere da quegli enti tenuti all’adozione del Modello di organizzazione gestione e controllo ai sensi del d.lgs. n. 231/2001, al fine di assicurarne la piena rispondenza alla nuova disciplina in materia di whistleblowing. Uno specifico approfondimento è riservato alla corretta gestione dei rapporti con l’Organismo di Vigilanza.

L’adeguamento del Modello mira soprattutto a tre profili:

1. previsione di un canale di segnalazione interno o adeguamento del canale precedentemente attivato;
2. esplicitazione del divieto di ritorsione;
3. aggiornamento del sistema disciplinare con possibili sanzioni nei confronti dei responsabili degli illeciti sanzionati da ANAC.

Analogamente vengono approfondite le ricadute in presenza di ipotesi di condivisione del canale interno di segnalazione e i correlati poteri dell’ANAC.

Il gestore del canale interno e la sua attività

• Requisiti: la gestione del canale di segnalazione deve essere affidata ad un soggetto, interno o esterno all’amministrazione o ad un ufficio dedicato, che deve essere dotato di autonomia, in termini di imparzialità, operare cioè in maniera neutrale ed equidistante rispetto alle parti coinvolte, e indipendenza, libero cioè svolgere senza interferenze le attività cui è tenuto con un’autonomia operativa e valutativa. A tal fine Anac raccomanda alle amministrazioni/enti di evitare l’attribuzione agli organi di vertice e/o controllo di poteri di supervisione sulla gestione delle segnalazioni o della competenza ad adottare i provvedimenti decisionali. Il personale deve essere specificamente formato e conoscere l’organizzazione e il funzionamento dell’amministrazione/ente; particolare attenzione va posta nel caso in cui la scelta ricada su un soggetto esterno.
• Il cumulo degli incarichi: al fine di evitare di compromettere l’autonomia e l’imparzialità proprie del gestore del canale interno e generare il rischio di conflitti di interessi, occorre prestare attenzione, nell’affidamento dell’incarico, all’ipotesi in cui un soggetto svolga già altri ruoli.
  In riferimento alla possibilità di cumulo dell’incarico di RPD con quello di gestore del canale whistleblowing occorre tener conto delle indicazioni che vengono dal Garante per la protezione dei dati laddove, tenuto conto della complessità del ruolo di RPD, le amministrazioni/enti devono tenere in debita considerazione il fatto che l’affidamento di incarichi ulteriori potrebbe inficiare la capacità del RPD di assolvere efficacemente ai compiti assegnatigli dal Regolamento sulla protezione dei dati personali.
  L’amministrazione/ente, pertanto, dovrebbe valutare, “in relazione alla complessità della struttura organizzativa, alla disponibilità di risorse, alla numerosità e delicatezza dei trattamenti svolti, alla quantità e qualità di dati personali trattati, di affidare l’incarico di RPD a una persona che possa dedicarvisi tendenzialmente a tempo pieno”. Il Garante ritiene che, per quanto possibile, la figura del RPD non debba coincidere con il gestore, al fine di non limitare l’effettività dello svolgimento delle attività riconducibili alle due diverse funzioni, tenuto conto dei numerosi compiti e delle responsabilità che la normativa attribuisce sia al RPD che al gestore.
  Diversamente, nelle amministrazioni/enti di ridotte dimensioni o con carenza di personale, sulla base di una valutazione ad hoc e con adeguata motivazione, il ruolo di RPD e quello di gestore potrebbero essere affidati al medesimo soggetto.
• Conflitti di interesse – ell’atto organizzativo va disciplinata la procedura di gestione dei conflitti di interessi e l’eventuale assenza, anche temporanea, del gestore della segnalazione individuando, per tali ipotesi, un sostituto del gestore.
• Attività del gestore: le linee guida individuano 5 fasi di attività di pertinenza del gestore della segnalazione:
• La presa in carico della segnalazione: entro 7 giorni dalla presentazione della segnalazione il gestore della segnalazione è tenuto a rilasciare al segnalante un Avviso di ricevimento;
• Esame preliminare della segnalazione: occorre valutarne l’ammissibilità attraverso la verifica della sussistenza dei presupposti soggettivi e oggettivi per effettuare la segnalazione. In questa fase il gestore può richiedere ulteriori elementi di supporto. Al termine delle sue valutazioni il gestore può dichiarare inammissibile  la segnalazione e archiviarla, fornendo in ogni caso al segnalante la motivazione della decisione;
• Istruttoria e accertamento della segnalazione: il gestore procede con l’istruttoria che prevede analisi, verifiche e valutazioni specifiche circa la fondatezza o meno dei fatti segnalati anche attraverso l’intervento di altre strutture interne o esterne dell’ente; resta fermo l’obbligo di garantire la riservatezza. Al termine il gestore può archiviare o inoltrare la documentazione agli altri uffici competenti per i relativi seguiti.
• Riscontro alla persona segnalante: il gestore è tenuto a comunicare al segnalante gli esiti della sua segnalazione. Il riscontro deve essere fornito entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. Il segnalante deve essere informato circa lo stato di avanzamento dell’istruttoria da parte del gestore e/o delle attività che quest’ultimo intende svolgere.
• Conservazione della documentazione inerente alla segnalazione e cancellazione: una volta concluse le attività di gestione della segnalazione, il gestore dovrà cancellare sia la segnalazione, sia la relativa documentazione al più tardi decorsi cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione. Potranno, invece, essere conservati gli atti e i documenti che afferiscono ai procedimenti avviati e alle iniziative assunte dal datore di lavoro (ad esempio, procedimento disciplinare; trasmissione degli atti alle autorità competenti; ecc.) che abbiano avuto origine in tutto o in parte dalla segnalazione.

Supporto al gestore delle segnalazioni

Sulla base di quanto indicato nelle Linee Guida, ove sia necessario supportare le attività del gestore, i soggetti che sono chiamati devono essere in possesso degli stessi requisiti di autonomia e imparzialità, essere individuati nell’atto organizzativo, i loro compiti devono essere espressamente definiti e gli stessi devono essere necessariamente autorizzati al trattamento dei dati personali.

Segnalazione trasmessa ad una pluralità di soggetti

Nella prima fase di applicazione del d.lgs. 24/23 si sono riscontrate criticità relativamente alla esatta qualificazione di una segnalazione indirizzata non solo al gestore interno, ma anche ad una pluralità di ulteriori destinatari. L’ANAC interviene chiarendo che nel caso in cui la segnalazione sia inviata, contestualmente, a più soggetti, tutti interni allo stesso ente, la segnalazione deve essere considerata alla stregua di una segnalazione trasmessa ad un soggetto non competente. Ne consegue che coloro ai quali non compete ricevere tali segnalazioni dovranno trasmettere le stesse, entro sette giorni dal ricevimento, al soggetto interno competente, dandone contestuale notizia al segnalante.

Se, invece, la segnalazione è trasmessa, oltre al soggetto interno competente a gestirla, anche a più soggetti esterni all’ente, occorre richiedere alla persona segnalante appositi chiarimenti in merito alle circostanze che hanno condotto alla segnalazione per accertare se la persona segnalante intendesse procedere direttamente ad una divulgazione pubblica.  Si ricorda che in caso di divulgazione pubblica il segnalante può continuare a godere dei benefici del whistleblower solo se dimostra:

• a) di aver già effettuato una segnalazione interna ed esterna ovvero aver effettuato direttamente una segnalazione esterna, a cui non è seguito un riscontro;
• b) la sussistenza di fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;
• c) la sussistenza di fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito.

Codici di comportamento

L’applicazione della nuova disciplina whistleblowing ha delle ricadute anche sui doveri di comportamento del personale, sia nei confronti dei soggetti sia del settore pubblico che in quelli del settore privato.

Le pubbliche amministrazioni, già tenute ad adottare codici di comportamento che integrano e specificano, in base alla realtà organizzativa e funzionale della singola amministrazione, i contenuti minimi fissati nel codice di comportamento per i dipendenti pubblici, di cui al d.P.R. n. 62/2013, devono inserire apposite disposizioni dedicate al whistleblowing, in cui richiamare i doveri di tutti i soggetti coinvolti.

In ragione dell’inserimento, nei codici di comportamento, degli obblighi di riservatezza e il divieto di ritorsione, questi assumono natura di doveri d’ufficio con conseguente possibile responsabilità disciplinare e irrogazione delle relative sanzioni da parte dell’amministrazione in caso di violazione degli stessi.

Le amministrazioni, nella previsione delle sanzioni disciplinari a carico dei segnalanti conseguenti alla violazione dei suddetti obblighi, potranno tener conto della graduazione della gravità delle fattispecie già compiuta dal legislatore che ha stabilito sanzioni amministrative pecuniarie di cui all’art. 21 del d.lgs. n. 24/23.

Formazione

Oltre al generale richiamo alla necessità di avviare specifiche attività di formazione e informazione per garantire una gestione consapevole e accurata delle segnalazioni whistleblowing, l’Autorità ritiene opportuno fornire alcuni suggerimenti nell’orientare l’attività formativa, sempre più orientata all’esame di casi concreti calati nel contesto organizzativo delle diverse amministrazioni/enti, con un’articolazione specificamente mirata nel caso in cui il destinatario sia  il personale che gestisce le segnalazioni laddove rilevano focus specifici dedicati agli adempimenti che devono essere svolti dai gestori, compresa la gestione dei conflitti di interesse.

Enti del terzo settore

L’art. 18 del d.lgs. n. 24/2023 ha affidato un importante ruolo nell’ambito del whistleblowing agli Enti del Terzo settore iscritti in un apposito Registro presso ANAC e con i quali l’Autorità stipula specifiche convenzioni: sono chiamati a fornire ai segnalanti misure di sostegno e supporto. Da un lato forniscono ai segnalanti informazioni di base, assistenza e consulenze a titolo gratuito, sulle modalità di segnalazione, sulla protezione dalle ritorsioni, sui diritti della persona coinvolta e sulle modalità e condizioni di accesso al patrocinio a spese dello Stato.

L’intento del legislatore è quello di assicurare ai soggetti tutelati, attraverso gli ETS, una conoscenza della disciplina in materia di whistleblowing e una maggiore consapevolezza degli strumenti a disposizione, anche al fine di consentire agli stessi di procedere in maniera corretta, indirizzandoli nella scelta del canale più idoneo e supportarla in presenza di presunte ritorsioni.

In tale veste gli ETS non possono effettuare un vero e proprio trattamento di dati personali di cui vengano eventualmente a conoscenza nell’ambito della propria attività con riferimento al segnalante o agli altri soggetti tutelati; sono tenuti a non utilizzarli per scopi diversi rispetto allo svolgimento della propria attività di sostengo e a non registrarli in archivi cartacei o informatici, procedendo quindi alla loro tempestiva cancellazione.

Il Facilitare

Una delle novità introdotte dal legislatore è il ruolo di facilitatore definito come “una persona fisica che assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo”. La norma, utilizzando il termine “assistenza”, fa riferimento quindi a un soggetto che fornisce consulenza o sostegno al segnalante. Nelle precedenti linee guida ANAC aveva indicato alcuni esempi di soggetti che potrebbero svolgere il ruolo di facilitatori: a titolo esemplificativo, il facilitatore potrebbe essere il collega dell’ufficio della persona segnalante o di un altro ufficio che la assiste in via riservata nel processo di segnalazione.

Il ruolo di facilitatore e quello degli ETS vanno tenuti distinti e questi ultimi enti sono tenuti a chiarire ai soggetti che si rivolgono a loro che la propria attività consiste nel fornire informazioni, assistenza e consulenza nei termini sopra esposti, mentre la segnalazione vera e propria deve essere effettuata personalmente dal segnalante.

Contributo alla Rubrica “Appunti di Privacy”: notizie, spunti di riflessione, brevi commenti, chiarimenti sui principali temi di attualità sul tema della tutela dei dati personali. A cura di Patrizia Cardillo, Esperta di Protezione dati personali, in collaborazione con FPA.