Art. 48 Antiriciclaggio – Sistemi interni di segnalazione delle violazioni (1)

L’art. 48 e il whistleblowing interno in materia antiriciclaggio

L’art. 48 del D.Lgs. 231/2007, integralmente riscritto dal D.Lgs. 90/2017, introduce i sistemi interni di segnalazione delle violazioni in materia antiriciclaggio, disciplinando il cosiddetto whistleblowing interno. La norma riconosce che i soggetti obbligati non possono garantire il rispetto degli obblighi antiriciclaggio esclusivamente attraverso controlli gerarchici dall’alto: è necessario che i dipendenti e i collaboratori che rilevano violazioni nella propria organizzazione dispongano di un canale sicuro, riservato e protetto per segnalarle internamente.

Prima della riscrittura del 2017, l’art. 48 disciplinava il flusso di ritorno delle informazioni dalla UIF al segnalante (comunicazione dell’archiviazione della segnalazione, ecc.), funzione ora assorbita in modo diverso nel sistema. Il cambiamento di contenuto è radicale e riflette l’importanza attribuita dalla IV Direttiva AML 2015/849 alla tutela dei segnalanti come elemento essenziale del sistema di prevenzione.

Soggetti tenuti agli obblighi e ambito delle segnalazioni (comma 1)

Il comma 1 impone ai soggetti obbligati (in senso ampio, ricomprendendo intermediari bancari e finanziari, professionisti, operatori del settore dei giochi, prestatori di servizi per cripto-attività) di adottare procedure per la segnalazione al proprio interno, da parte di dipendenti o di persone in posizione comparabile (collaboratori, consulenti, tirocinanti, personale interinale), di violazioni potenziali o effettive delle disposizioni dettate in funzione di prevenzione del riciclaggio e del finanziamento del terrorismo.

L’ambito delle segnalazioni è ampio: non si limita alle violazioni già consumate, ma include le violazioni potenziali (situazioni che presentano indici di rischio ma che non hanno ancora generato una violazione conclamata). Questa estensione consente un intervento preventivo e correttivo prima che la violazione si consolidi.

Requisiti delle procedure (comma 2)

Il comma 2 disciplina i requisiti minimi che le procedure interne di segnalazione devono garantire:

• Riservatezza dell’identità del segnalante e del presunto responsabile (lett. a): la procedura deve proteggere sia l’identità di chi segnala sia quella del soggetto segnalato, fermo restando il rispetto delle regole che disciplinano le indagini e i procedimenti dell’autorità giudiziaria avviati in relazione ai fatti oggetto della segnalazione. La riservatezza del presunto responsabile tutela la sua reputazione fino all’accertamento della responsabilità.
• Protezione del segnalante da condotte ritorsive (lett. b): le procedure devono garantire che il soggetto che effettua la segnalazione non subisca, per effetto di essa, condotte ritorsive, discriminatorie o comunque sleali da parte del soggetto obbligato o di suoi rappresentanti. Sono esempi di condotte vietate: licenziamento, demansionamento, trasferimento non giustificato, esclusione da promozioni, mobbing, deterioramento del clima lavorativo.
• Canale di segnalazione anonimo e indipendente (lett. c): le procedure devono prevedere lo sviluppo di un canale specifico di segnalazione, anonimo e indipendente, proporzionato alla natura e alle dimensioni del soggetto obbligato. Il requisito di proporzionalità è importante: per uno studio professionale individuale, un canale di posta elettronica riservata può essere sufficiente; per una banca di grandi dimensioni, è attesa l’implementazione di piattaforme digitali dedicate al whistleblowing, con gestione esternalizzata o affidata a un soggetto indipendente dalla gerarchia operativa.

Natura giuridica della segnalazione interna (comma 3)

Il comma 3 chiarisce che la presentazione di una segnalazione ai sensi dell’art. 48 non costituisce, di per sé, violazione degli obblighi derivanti dal rapporto contrattuale con il soggetto obbligato. Si tratta di una previsione di fondamentale importanza: il dipendente o collaboratore che segnala una violazione non può essere considerato inadempiente al proprio contratto di lavoro o al proprio mandato professionale per il solo fatto di aver segnalato. Il contratto non può prevedere clausole che limitino o escludano il diritto di segnalare.

Questa disposizione si raccorda con la più generale tutela dei whistleblower prevista dal D.Lgs. 24/2023 (di recepimento della Direttiva UE 2019/1937), che ha introdotto un sistema organico di protezione dei segnalanti nel settore privato e pubblico italiano. Il D.Lgs. 24/2023 si applica anche alle segnalazioni in materia di violazioni delle norme antiriciclaggio, rafforzando il quadro di tutela già previsto dall’art. 48.

Protezione dei dati personali del segnalante (comma 4)

Il comma 4 prevede che la disposizione di cui all’art. 7 c. 2 D.Lgs. 196/2003 (Codice della privacy), relativa al diritto di accesso ai propri dati personali, non trova applicazione con riguardo all’identità del segnalante. L’identità del segnalante può essere rivelata solo:

• Con il consenso del segnalante stesso.
• Quando la conoscenza sia indispensabile per la difesa del segnalato.

Questa limitazione al diritto di accesso ai dati personali è una deroga calibrata: il soggetto segnalato (il presunto responsabile della violazione) non ha il diritto di conoscere l’identità di chi lo ha segnalato, salvo che tale conoscenza sia indispensabile per esercitare il diritto di difesa. La deroga è coerente con i principi del GDPR (Regolamento UE 2016/679) in materia di trattamento per finalità di interesse pubblico rilevante.

Coordinamento con il D.Lgs. 24/2023 sul whistleblowing generale

L’art. 48 del D.Lgs. 231/2007 è norma speciale rispetto al D.Lgs. 24/2023 (il decreto whistleblowing) che ha recepito la Direttiva UE 2019/1937. Il D.Lgs. 24/2023 si applica in via generale a tutte le segnalazioni di violazioni del diritto dell’Unione e della normativa nazionale, inclusa quella antiriciclaggio. I soggetti obbligati al D.Lgs. 231/2007 con più di 50 dipendenti sono tenuti, ai sensi del D.Lgs. 24/2023, ad attivare canali di segnalazione interna conformi ai requisiti di quel decreto (che sono parzialmente coincidenti ma anche più dettagliati rispetto all’art. 48). Il raccordo tra le due discipline richiede che i soggetti obbligati verifichino che i propri sistemi di whistleblowing soddisfino i requisiti di entrambe le normative.

Profilo pratico per i soggetti obbligati

Per le grandi banche e le compagnie di assicurazione, i sistemi di whistleblowing sono già da tempo strutturati su piattaforme digitali dedicate, con garanzie di anonimato tecnico e gestione da parte di funzioni compliance indipendenti. Per i professionisti (studi di commercialisti, notai, avvocati), la dimensione ridotta consente procedure più semplificate, ma non esonera dall’obbligo di predisporre un canale interno riservato. Un indirizzo e-mail dedicato e riservato, gestito direttamente dal titolare dello studio o da un soggetto di fiducia esterno, può costituire un’implementazione adeguata per strutture di piccole dimensioni. È in ogni caso necessario che l’esistenza del canale sia comunicata ai dipendenti e collaboratori, e che la policy di whistleblowing sia formalizzata per iscritto.