Whistleblowing e privacy: cosa significa, come funziona e novità

Il whistleblowing è tra quegli strumenti di compliance aziendale attraverso cui si contribuisce a garantire il rispetto delle normative nazionali, UE o internazionali da parte delle imprese.

Un sistema attraverso cui una figura legata all’azienda, dipendente, professionista o collaboratore, può segnalare uno o più comportamenti illeciti o irregolari. Un’attività che oggi è tutelata dal D.lgs. n. 24/2023, entrato in vigore il 15 marzo e che sancisce una serie di regole finalizzate a proteggere la riservatezza di chi denuncia: il whistleblower.

Il fine della normativa sul whistleblowing è quello di salvaguardare la privacy di chi effettua una denuncia, nel pieno rispetto di quanto previsto dal GDPR, e di evitare, al contempo, anche eventuali segnalazioni improprie che abbiano il solo fine di ledere gli interessi di un’azienda. Di seguito scoprirai come funziona, quali sono le direttive che salvaguardano i dati personali del whistleblower e le novità del Decreto.

Cos’è il Whistleblowing

Il significato di whistleblowing è letteralmente quello di soffiare nel fischietto, un termine codificato negli Stati Uniti, alla fine dell’Ottocento, per identificare una segnalazione di un illecito effettuata da un lavoratore nei confronti della sua azienda.

È a tutti gli effetti uno strumento giuridico che ha il fine di tutelare proprio i whistleblower (chi denuncia).

Prediamo il caso di irregolarità nelle attività economiche di un’azienda, di una casa farmaceutica o la violazione da parte di una società di direttive ambientali. Eventi che non verrebbero a conoscenza di un organo di controllo se non per l’opera di un whistleblower.

Tutelare queste figure è importante proprio per favorire le segnalazioni. In ambito europeo, con la Direttiva Whistleblowing (1937/2019), si sono portate diverse innovazioni per salvaguardare la privacy di questi soggetti.

In Italia, la direttiva è stata attuata con il D.lgs. n.24/2023, introducendo diverse novità per:

• chi può svolgere la figura del whistleblower;
• la tutela della riservatezza nel caso della segnalazione;
• l’obbligo da parte delle aziende di predisporre i canali interni finalizzati a segnalare eventuali comportamenti irregolari.

Ricordiamo che, entro il 15 di luglio, tutte le aziende che hanno più di 250 dipendenti dovranno adeguarsi a quanto indicato nel D.lgs. n. 24/2023, mentre per il 17 dicembre si estende il meccanismo del whistleblowing anche a quelle attività che hanno da 50 a 249 dipendenti.

Chi è il whistleblower?

Tra le prime novità presenti nel D.lgs. n. 24/2023 vi è quella dell’estensione della platea. Infatti, oggi possono rientrare nella figura del whistleblower i seguenti soggetti:

• dipendenti pubblici e privati;
• lavoratori subordinati di un soggetto privato;
• lavoratori autonomi;
• liberi professionisti;
• consulenti in qualunque forma;
• tirocinanti;
• soggetti che collaborano volontariamente;
• azionisti o persone legate ad attività di amministrazione.

Quindi, la segnalazione può avvenire anche se non è stato firmato un contratto – vedi il caso di un tirocinante o di un volontario – oppure se l’attività è stata già conclusa. In ogni caso, l’elemento di base che distingue il whistleblower è quello di essere un soggetto che è venuto a conoscenza di un comportamento illecito grazie al particolare rapporto previsto con l’azienda.

Come funziona il processo di denuncia nel whistleblowing

La denuncia di un whistleblower può far riferimento a:

• comportamenti irregolari nell’amministrazione e nella contabilità;
• reati penali o ambientali;
• violazione dei modelli organizzativi;
• violazioni negli appalti pubblici;
• comportamenti legati al riciclaggio;
• violazioni in ambito di mercati finanziari;
• eventuali omissioni che vanno a violare gli interessi o una direttiva UE.

Il whistleblower ha la possibilità di effettuare la sua attività di segnalazione utilizzando due diversi canali:

1. interno;
2. esterno.

Nel primo caso, si prevede una segnalazione a un apposito organo preposto, che potrà avvenire utilizzando un canale informatico predisposto, per iscritto o con altre forme di comunicazioni dirette e indirette – incontro, invio di messaggistica, e-mail, ecc. Entro 3 mesi dalla segnalazione, l’ufficio preposto sarà obbligato a dare riscontro.

Invece, il canale esterno dovrà essere utilizzato nel momento in cui l’azienda non ha predisposto un sistema di segnalazione interno, non si è avuto un seguito attraverso la segnalazione interna, oppure si presume che il canale interno non produrrà effetti, ma anzi potranno esserci ritorsioni dirette sul lavoratore.

Solo in questi casi, la normativa prevede l’utilizzo immediato di una segnalazione, che potrà avvenire nelle seguenti modalità:

• direttamente sul sito dell’ANAC;
• sul sito del Ministero dell’Interno;
• utilizzando un canale pubblico (giornali, TV, ecc.);
• tramite denuncia all’Autorità Giudiziaria.

In tutti gli altri casi, si prevede sempre prima l’utilizzo del canale interno.

Whistleblowing e privacy: cosa sapere

Il Decreto 24/2023 ha posto massima attenzione al fine di tutelare la riservatezza del whistleblower, un fattore che può incentivare i soggetti a segnalare gli illeciti di cui sono venuti direttamente a conoscenza. Vediamo quali sono alcune novità.

È stato previsto l’obbligo, entro il 15 luglio, per tutte le aziende che hanno più di 250 dipendenti, di attivare canali di segnalazione, con personale preposto e formato in questo settore, sia interno, sia esterno. L’obbligo verrà esteso anche per quelle attività che hanno tra i 50 e i 249 dipendenti: dovranno adeguarsi alla Direttiva entro il 17 dicembre.

Per ciò che concerne la tutela della privacy, sono diversi i punti di contatto tra il sistema whistleblowing e il GDPR al fine di tutelare la riservatezza di chi denuncia. In particolare, si è posto attenzione alla:

• tutela dei dati personali;
• adozione di misure di sicurezza per la conservazione dei dati;
• bilanciamento tra interessi del segnalante e del segnalato.

Tutela della privacy nel whistleblowing

L’art 12 del Decreto prevede la completa riservatezza dei dati del whistleblower, i quali non potranno essere rivelati se non con l’espresso consenso da parte dello stesso. Il consenso viene richiesto anche in quelle situazioni legali, come il caso di procedure disciplinari, in cui diventa indispensabile, per evitare eventuale decadenza della denuncia, identificare chi ha effettuato la segnalazione.

La riservatezza dei dati è anche ribadita dell’art 13, che riprende il principio dell’art 6 del GDPR secondo cui, in caso di un obbligo legale, deve essere comunque richiesto il consenso al trattamento dei dati personali di chi segnala.

Inoltre, l’ufficio o il soggetto preposto a ricevere le denunce di whistleblowing è obbligato a informare il whistleblower di quali siano le normative previste per la tutela dei suoi dati e del canale interno. In particolare, si richiede che queste informazioni siano presenti anche sul sito aziendale, al fine di essere facilmente reperibili.

Quasi sempre, la tutela alla riservatezza viene ottenuta con l’impiego di software, attraverso cui sarà possibile effettuare l’operazione di segnalazione. È responsabilità dell’azienda valutare a quale fornitore rivolgersi e la sua affidabilità.

Conservazione dei dati nel whistleblowing

I dati collegati all’attività di whistleblowing devono essere conservati in modo tale da non essere soggetti ad eventuali violazioni, che possano rivelare la figura del whistleblower.

L’art 13 prevede in maniera specifica l’obbligo di effettuare una DPIA (Valutazione d’impatto della protezione dei dati), con un’attività di analisi che può richiedere anche l’utilizzo di un professionista esterno specializzato in sistemi di sicurezza sulla privacy.

Inoltre, vi è l’obbligo di utilizzo di misure organizzative, tecnologiche, informatiche e fisiche adeguate a questo scopo. In questo caso, si riprende quanto indicato dall’art 32 del GDPR. Quindi il fornitore di servizi e l’ufficio preposto all’attività di whistleblowing saranno responsabili della tutela dei dati e, come tali, in caso di violazione saranno sottoposti ad eventuali sanzioni.

Per ciò che riguarda la tempistica di conservazione delle informazioni legati al whistleblowing; l’art 14 del Decreto specifica l’obbligo di mantenere le segnalazioni all’interno dei database per almeno 5 anni.

Viene presa come riferimento la data dell’esito finale della segnalazione. Quindi, chi è responsabile del trattamento dei dati, dovrà predisporre anche un sistema di cancellazione degli stessi.

L’ultimo aspetto da considerare ai fini della sicurezza è l’identificazione dei soggetti legittimati a gestire i dati. In questo caso come indicato anche dal GDPR, è necessario nominare:

• il soggetto che attiva il canale di segnalazione (fornitore);
• eventuali responsabili nella gestione (all’interno o all’esterno dell’azienda);
• chi è autorizzato ad accedere ai dati.

Il sistema di bilanciamento nel whistleblowing

La tutela della riservatezza del whistleblower è la priorità prevista dal Decreto. Tuttavia, si deve considerare che, nel rispetto del GDPR, si è posta attenzione anche al salvaguardare la privacy di chi viene denunciato. Infatti, fin quando non si dimostra l’eventuale comportamento illecito, si prevede anche una forma di tutela per il segnalato.

Un esempio in cui si bilanciano i diritti del segnalato e del segnalante è quello riguardante l’accesso agli atti, che non potrà essere esercitato dal segnalato nel momento in cui si andrà a violare la riservatezza del whistleblower.

Altro caso in cui il Decreto ha posto attenzione a tutelare i diritti dei soggetti interessati è quello della gestione della segnalazione: è previsto che i dati non utili alle segnalazioni, vengano immediatamente cancellati. Quelli necessari a definire l’eventuale illecito, potranno essere utilizzati solo per il tempo necessario alla relativa verifica.

Whistleblowing e privacy: domande frequenti