Premesse

La legge n.190 del 2012 (c.d. Legge Anticorruzione) ha previsto, fra le misure di prevenzione della corruzione, l’introduzione di un sistema di tutele del dipendente pubblico che segnala illeciti, il c.d. whistleblower, o “informatore”, disciplinato dall’art. 54 bis del decreto legislativo 30 marzo 2001, n. 165.

Chi lavora in un’organizzazione pubblica o privata o chi, in ragione della sua attività professionale, ha contatti con questa, può venire a conoscenza di una possibile minaccia o pregiudizio al pubblico interesse. Tali informatori svolgono un ruolo fondamentale nella prevenzione di tali violazioni, aumentando la possibilità che questi vengano previsti, scoperti o arginati.

 

Scopo della direttiva e ambito di applicazione

Al fine di rafforzare il sistema di tutele dell’“informatore” che spesso, purtroppo, può essere indotto a non segnalare eventuali violazioni per timore di subire ripercussioni nella sua sfera lavorativa o personale, l’Unione europea ha adottato la direttiva (UE) 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione, pubblicata in Gazzetta ufficiale dell’Unione europea lo scorso 26 novembre.

Garantendo uniformità normativa in tutti gli Stati membri, la direttiva contiene le norme minime comuni di protezione delle persone che segnalano violazioni in vari settori, tra cui si menziona quello relativo agli “appalti pubblici” e alla “tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi”.

L’articolo 4 della direttiva amplia l’ambito di applicazione personale: è garantita la tutela anche ai lavoratori autonomi, agli azionisti e i membri dell’organo di amministrazione, direzione o vigilanza di un’impresa (compresi i membri senza incarichi esecutivi) i volontari e i tirocinanti retribuiti e non retribuiti e qualsiasi persona che lavora sotto la supervisione e la direzione di appaltatori, subappaltatori e fornitori.

Inoltre, la protezione è garantita ai colleghi di lavoro dell’informatore e a tutti coloro che a lui sono connessi: come i colleghi o parenti delle persone segnalanti.

 

I canali di segnalazione interni, esterni e le divulgazioni pubbliche

I segnalatori hanno a disposizione canali interni ed esterni per segnalare le violazioni o presunte tali.

Tramite i primi, la comunicazione scritta o orale di informazioni sulle violazioni è inviata all’interno del soggetto giuridico (pubblico o privato) di appartenenza della persona segnalante. Gli Stati membri, si legge nella direttiva, devono anzitutto incoraggiare l’invio di segnalazioni tramite canali interni che possono essere gestiti da una persona, da un servizio designato a tal fine oppure messi a disposizione esternamente da terzi.

I canali devono essere progettati e gestiti in modo sicuro, in modo tale da: garantire la riservatezza dell’identità della persona segnalante, proteggere eventuali soggetti terzi citati nella segnalazione e impedire l’accesso da parte del personale non autorizzato.

I canali di segnalazione esterni, invece, sono ammessi solo dopo aver utilizzato i canali interni oppure possono essere utilizzati direttamente. Gli Stati membri provvedono affinché le autorità competenti assicurino sia il rispetto di criteri relativi alla loro indipendenza e autonomia, sia la memorizzazione di informazioni su supporti durevoli.

Si ricorre alla divulgazione pubblica quando l’informatore ha prima segnalato internamente ed esternamente, o direttamente esternamente, ma non è stata intrapresa un’azione appropriata in risposta alla segnalazione oppure se la persona segnalante aveva fondati motivi di ritenere che:

• la violazione possa costituire un pericolo imminente o palese per il pubblico interesse, come nel caso in cui sussista una situazione di emergenza o il rischio di danno irreversibile;
• in caso di segnalazione esterna, sussista il rischio di ritorsioni o le prospettive che la violazione sia affrontata efficacemente siano scarse per via delle circostanze del caso di specie.

 

Obbligo di riservatezza e trattamento dei dati personali

L’identità della persona segnalante non deve essere divulgata a chi non fa parte del personale autorizzato avente il compito di ricevere e a dar seguito alle segnalazioni, tranne nel caso in cui “ciò rappresenti un obbligo necessario e proporzionato imposto dal diritto dell’Unione o nazionale nel contesto di indagini da parte delle autorità nazionali o di procedimenti giudiziari, anche al fine di salvaguardare i diritti della difesa della persona coinvolta”.

Riguardo al trattamento dei dati personali nell’ambito della direttiva, deve essere attutato in conformità a quanto stabilito regolamento (UE) 2016/679[1] e della direttiva (UE) 2016/680[2]. Lo scambio e la trasmissione di informazioni da parte delle istituzioni, degli organi o degli organismi dell’Unione sono effettuati in conformità del regolamento (UE) 2018/1725[3].

I dati personali non necessari al trattamento di una specifica segnalazione non sono raccolti e, se raccolti accidentalmente, dovranno essere cancellati immediatamente.

 

Divieto di ritorsione e misure di sostegno

Gli Stati membri devono assicurare il divieto di minacce, ritorsioni e tentativi di ritorsione attuate contro i soggetti sopra menzionati. Nello specifico, sono inclusi: il licenziamento, la sospensione o misure equivalenti; la retrocessione di grado o la mancata promozione; la riduzione dello stipendio, note di merito o referenze negative, la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro permanente. Sono previste misure finalizzate al sostegno del segnalatore, tra queste rientrano l’“accesso a consulenze sulle procedure e i mezzi di ricorso disponibili” e alle “spese sostenute dallo Stato nell’ambito di un procedimento penale e di un procedimento civile transfrontaliero nonché, in conformità del diritto nazionale, al patrocinio a spese dello Stato nell’ambito di ulteriori procedimenti e a consulenze legali o altri tipi di assistenza legale”.

 

Sanzioni

La direttiva prevede l’irrogazione di sanzioni proporzioniate e applicabili alle persone fisiche e giuridiche che:

• ostacolano o tentano di ostacolare le segnalazioni;
• attuano atti di ritorsione contro le persone di cui all’articolo 4;
• intentano procedimenti vessatori contro le persone di cui all’articolo 4;
• violano l’obbligo di riservatezza sull’identità delle persone segnalanti di cui all’articolo 16.

Sono previste anche misure per il risarcimento dei danni derivanti da tali segnalazioni o divulgazioni conformemente al diritto nazionale.

 

Conclusioni

La direttiva dovrà essere recepita a livello nazionale entro il 17 dicembre 2021. Riguardo ai soggetti giuridici del settore privato con più di 50 e meno di 250 lavoratori, gli Stati membri mettono in vigore le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi all’obbligo di stabilire un canale di segnalazione interno entro il 17 dicembre 2023.

Ben venga la volontà del legislatore europeo di garantire norme comuni minime e omogenee circa la protezione del whistleblower. Questa può essere un’ulteriore occasione per riflettere sull’importanza di uno strumento che, se ben utilizzato, può condurre alla prevenzione dei fenomeni corruttivi.

Resta, purtroppo, la tendenza di alcuni che, come dimostrato dal “4° Rapporto annuale sull’applicazione del whistleblowing”, si rivolgono all’Autorità solo per raccontare situazioni personali che nulla hanno a che vedere con le condotte illecite.

 

[1] Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

[2] Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.

[3] Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (Testo rilevante ai fini del SEE.).

Fonte immagine di copertina: Photo by Brett Sayles from Pexels