Whistleblowing e tutela dati: recepimento della Direttiva Ue entro il 2021

Whistleblowing: «fare una soffiata»; o, per chi vuole leggerlo con malizia, può anche tradursi con «fare la spia». Il concetto di whistleblower o informatore sugli illeciti è stato introdotto nel nostro ordinamento con la legge 90/2012 che ha previsto l’inserimento dell’articolo 54bis nel Dlgs 165 del 30 marzo 2001, il quale ha introdotto la tutela del dipendente pubblico che decida di segnalare illeciti commessi all’interno dell’ente in cui opera. Inizialmente, dunque, la segnalazione di illeciti di cui il lavoratore era venuto a conoscenza mediante la sua qualità di “insider” era una eventualità riservata a quanti erano impiegati nel settore pubblico.

L’estensione al settore privato nel 2017

Solo nel 2017, anche a seguito di scandali come il Dieselgate che ha investito la casa automobilistica Volkswagen, la disciplina del whistleblowing è stata estesa anche al settore privato. La legge 179/2017, infatti, oltre a potenziare la tutela del whistleblower impiegato nel settore pubblico mediante un rafforzamento dei sistemi già previsti dall’articolo 54bis del Dlgs 165/2001, ha previsto la possibilità di istituire specifici sistemi di tutela per quanti, nell’ambito del settore privato, operassero una segnalazione di illecito. Ciò ha modificato in parte il percorso tracciato dal Dlgs 231/2001 in tema di responsabilità amministrativa delle società e modelli di organizzazione.

I contenuti della Direttiva Ue da recepire entro fine anno

Recentemente, l’Unione europea è intervenuta sul tema con la Direttiva 2019/1937 «riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione», sia nell’ambito pubblico sia nel settore privato. La direttiva dovrà essere recepita dagli Stati membri entro il 2021. Non manca molto, dunque, al termine ultimo per l’introduzione di alcune novità a livello nazionale sul tema. Lo spirito della direttiva è quello di tutelare quanti segnalano illeciti e, anzi, incentivare la realizzazione di cosiddette «speak-up policies».
Esistono infatti 2 tipologie di whistleblowing: quello esterno, cioè rivolto alle Autorità e/o alla stampa, e quello interno, in cui il dipendente si rivolge a un altro membro dell’organizzazione per effettuare la sua segnalazione. Logicamente, incentivare il dipendente a segnalare un problema internamente permette di gestirlo e risolverlo prima che questo si aggravi, con notevoli ritorni per il datore di lavoro (e, di conseguenza la società e gli azionisti) che non rischierà quindi di incorrere in sanzioni, eviterà l’eventuale pubblicità negativa e, certamente, offrirà un ambiente di lavoro e un prodotto qualitativamente migliore.

I settori in cui si auspicano maggiori segnalazioni

La direttiva Ue 2019/1937 prevede che i sistemi siano implementati obbligatoriamente per quanto riguarda determinati settori. Si tratta degli appalti pubblici, dei servizi finanziari, di quanto concerne i prodotti immessi nel mercato interno e in particolare la filiera alimentare, della sicurezza dei trasporti, della tutela dell’ambiente, e infine dei settori della sicurezza nucleare, tutela degli interessi finanziari dell’Unione e della protezione dei dati personali. Tuttavia, l’Unione europea incentiva gli Stati membri ad ampliare lo spettro applicativo della Direttiva in fase di recepimento, virtualmente a tutti i reati per cui ciò risulta possibile nell’ottica di una maggiore tutela.

Proteggere chi segnala: più tempo alle aziende per adeguarsi

Anche se il recepimento della direttiva da parte degli ordinamenti nazionali è previsto entro il termine del 31 dicembre 2021, le aziende avranno termini più lunghi per implementare i sistemi di whistleblowing interni. Per le imprese con oltre 250 dipendenti, essi diventeranno obbligatori tra 2 anni, nel 2023; è previsto un termine di 4 anni, invece, per le aziende con oltre 50 dipendenti. Sotto questa soglia, non è obbligatoria l’adozione di un modello per il whistleblowing. Quanto alle modalità di implementazione, non sono previsti obblighi in questo senso.
Sarà onere del datore di lavoro individuare le modalità più idonee al rispetto dei principi della direttiva e della normativa nazionale. In linea con quanto già avviene nell’ambito di «modelli 231» in tema di responsabilità amministrativa di società ed enti, sarà opportuna l’individuazione di un organismo omologo dell‘Organismo di vigilanza (Odv) nei modelli 231 in grado di raccogliere le segnalazioni, compiere la relativa istruttoria, e determinare l’esito della “soffiata” indicando gli eventuali provvedimenti da adottare. Resta fermo in ogni caso un principio chiave incardinato nella norma: garantire la riservatezza del whistleblower e la sua protezione da qualsiasi forma di ritorsioni. Inoltre, le segnalazioni dovranno essere veritiere e non dovranno avere ad oggetto meri “pettegolezzi” ma veri e propri illeciti previsti dalla normativa di recepimento della direttiva; potranno essere inviate da dipendenti, ma anche da consulenti o fornitori, cioè da soggetti esterni all’impresa ma che sono entrati direttamente in contatto con essa, e pertanto mantengono quella qualifica di “insider” propria del whistleblower.