Whistleblowing: quando l’azienda è obbligata (d.lgs 24/2023)

La risposta breve: nel settore privato sei obbligato a istituire un canale di segnalazione interno se nell’ultimo anno hai impiegato una media di almeno 50 lavoratori subordinati (a tempo determinato o indeterminato). Ma l’obbligo scatta anche sotto i 50 dipendenti se la tua azienda ha adottato un modello organizzativo ex d.lgs 231/2001, oppure se opera in determinati settori regolati (servizi e prodotti finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell’ambiente). La mancata istituzione del canale, le ritorsioni o la cattiva gestione delle segnalazioni espongono a sanzioni ANAC fino a 50.000 euro. Vediamo nel dettaglio chi rientra, come si fa e cosa si rischia.

Cos’è il whistleblowing e da dove nasce l’obbligo

Il termine whistleblowing indica la segnalazione, da parte di chi lavora in un’organizzazione, di violazioni di disposizioni normative di cui sia venuto a conoscenza nel proprio contesto lavorativo e che ledano l’interesse pubblico o l’integrità dell’ente. Non si tratta di un esposto generico o di una lamentela: la legge protegge chi denuncia illeciti, garantendogli la riservatezza dell’identità e la tutela contro ogni forma di ritorsione.

La fonte è il decreto legislativo 10 marzo 2023, n. 24, che ha recepito in Italia la direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione. Il decreto ha unificato e riscritto una disciplina che prima era frammentata, estendendo per la prima volta in modo organico gli obblighi anche al settore privato.

Le date sono importanti per capire da quando si è “in ritardo”: gli obblighi sono entrati in vigore il 15 luglio 2023 per i soggetti privati con più di 249 lavoratori e per quelli del settore pubblico; per i soggetti privati con una media tra 50 e 249 lavoratori l’obbligo è scattato il 17 dicembre 2023. Per chi non si è ancora adeguato, quindi, il tema non è una scadenza futura ma un adempimento già dovuto.

Chi è obbligato nel settore privato: attenzione alla doppia soglia

Questo è il punto su cui molti imprenditori si sbagliano, perché esistono due porte d’ingresso distinte all’obbligo. Basta rientrare in una sola delle due per dover istituire il canale.

Prima soglia: la media di almeno 50 lavoratori subordinati

Sono obbligati i soggetti del settore privato che nell’ultimo anno hanno impiegato una media di almeno 50 lavoratori subordinati, con contratto di lavoro a tempo indeterminato o determinato. Due chiarimenti pratici fondamentali:

• Si ragiona sulla media dell’anno, non sul numero presente in un singolo giorno: un’azienda stagionale che oscilla sopra e sotto la soglia deve calcolare il valore medio dei lavoratori subordinati nell’arco dell’anno.
• Il computo riguarda i lavoratori subordinati. Vanno valutati con attenzione, alla luce delle indicazioni applicative, i rapporti diversi dalla subordinazione tipica; in caso di organici borderline il calcolo va documentato per iscritto.

Seconda soglia: l’obbligo anche sotto i 50 dipendenti

Anche un’azienda con meno di 50 dipendenti può essere pienamente obbligata. Accade in due ipotesi:

• Adozione di un modello organizzativo ex d.lgs 231/2001. Se l’ente ha adottato il modello di organizzazione, gestione e controllo per la responsabilità amministrativa degli enti, deve dotarsi del canale di segnalazione interno a prescindere dal numero di dipendenti. In questo caso, però, l’oggetto delle segnalazioni è di norma circoscritto alle violazioni rilevanti ai fini del modello 231.
• Operatività in settori regolati. Rientrano nell’obbligo, anche sotto la soglia dei 50, i soggetti che operano in ambiti per cui la normativa europea richiede tutele specifiche: in particolare servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente.

In sintesi: prima di concludere “ho pochi dipendenti, non mi riguarda”, occorre verificare se si ha un modello 231 o se si rientra in uno dei settori regolati. La doppia soglia rende l’obbligo molto più esteso di quanto sembri a prima vista.

Il canale di segnalazione interno: requisiti, gestione e tempi

Chi rientra nell’obbligo deve attivare un canale di segnalazione interno rispettando precisi requisiti.

Riservatezza

Il canale deve garantire la riservatezza dell’identità del segnalante, della persona coinvolta e di quella comunque menzionata nella segnalazione, nonché del contenuto e della relativa documentazione. La gestione tecnica deve assicurare questa protezione anche tramite strumenti informatici adeguati: un indirizzo e-mail ordinario condiviso non è idoneo, perché non garantisce la separazione e la sicurezza richieste.

A chi si affida la gestione

La gestione del canale può essere affidata a:

• una persona o un ufficio interno appositamente individuato e formato, con personale dedicato;
• un soggetto esterno, anch’esso autonomo e con personale dedicato.

In entrambi i casi serve un atto formale di nomina del gestore, che individui il responsabile e ne definisca compiti e garanzie di autonomia.

Modalità: scritto e orale

Il canale deve consentire segnalazioni sia in forma scritta (in modalità analogica o, preferibilmente, informatica) sia in forma orale (ad esempio tramite linee telefoniche o sistemi di messaggistica vocale e, su richiesta del segnalante, mediante un incontro diretto fissato entro un termine ragionevole).

I tempi da rispettare

Il gestore deve seguire una tempistica precisa:

• Avviso di ricevimento della segnalazione al segnalante entro 7 giorni dalla data di ricezione.
• Dialogo con il segnalante e, se necessario, richiesta di integrazioni.
• Riscontro alla segnalazione entro 3 mesi dalla data dell’avviso di ricevimento (o, in mancanza di avviso, dalla scadenza dei 7 giorni dalla ricezione).

Il rispetto di questi termini non è una formalità: la loro violazione rientra tra le condotte che possono essere sanzionate dall’ANAC.

Il canale esterno presso ANAC e la divulgazione pubblica

Oltre al canale interno aziendale, la legge prevede un canale esterno gestito dall’ANAC. Il segnalante può rivolgersi direttamente all’ANAC, anziché all’azienda, solo in presenza di determinate condizioni, ad esempio quando:

• nel suo contesto lavorativo non è attivo il canale interno obbligatorio, oppure questo non è conforme alla legge;
• ha già effettuato una segnalazione interna che non ha avuto seguito;
• ha fondato motivo di ritenere che la segnalazione interna non avrebbe efficace seguito o che esporrebbe a rischio di ritorsione;
• ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

La divulgazione pubblica (ad esempio tramite la stampa o i social) è ammessa, con conservazione delle tutele, solo in ipotesi residuali e più stringenti: tra le altre, quando il segnalante ha già attivato i canali interno ed esterno senza riscontro, o quando ha fondato motivo di ritenere che vi sia un pericolo imminente per il pubblico interesse o un rischio concreto di ritorsione o di occultamento delle prove. La logica del sistema è “a cascata”: il canale interno è la via privilegiata, l’ANAC e la divulgazione sono percorsi successivi e condizionati.

Le tutele del segnalante

Il cuore della disciplina è la protezione di chi segnala. Le tutele principali sono:

• Divieto di ritorsioni. Sono vietati comportamenti, atti od omissioni, anche solo tentati o minacciati, posti in essere a causa della segnalazione e che provochino un danno al segnalante: licenziamento, demansionamento, mancata promozione, mutamenti di mansioni, sanzioni disciplinari, discriminazioni e simili. Gli atti ritorsivi sono nulli.
• Riservatezza dell’identità. L’identità del segnalante non può essere rivelata senza il suo consenso espresso a soggetti diversi da quelli competenti a ricevere o gestire le segnalazioni.
• Ambito delle violazioni segnalabili. La tutela copre la segnalazione di illeciti rilevanti ai sensi del decreto: tra questi le violazioni del diritto dell’Unione europea nei settori indicati dalla direttiva, condotte rilevanti ai fini della responsabilità amministrativa degli enti, e altre violazioni che ledono l’interesse pubblico o l’integrità dell’ente. Restano escluse, ad esempio, le contestazioni o le rivendicazioni di carattere strettamente personale del rapporto di lavoro.

Le tutele si estendono, a determinate condizioni, anche ai facilitatori e alle persone vicine al segnalante (colleghi, familiari).

Le sanzioni ANAC: gli importi vigenti

La vigilanza e il potere sanzionatorio sono affidati all’ANAC. Gli importi previsti dall’articolo 21 del decreto sono i seguenti:

• Sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando l’ANAC accerta che sono state commesse ritorsioni, oppure che la segnalazione è stata ostacolata o si è tentato di ostacolarla, oppure che è stato violato l’obbligo di riservatezza.
• Sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando l’ANAC accerta che non sono stati istituiti i canali di segnalazione, che non sono state adottate le procedure per la gestione delle segnalazioni o che queste non sono conformi alla legge, oppure che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.
• Sanzione amministrativa pecuniaria da 500 a 2.500 euro a carico del segnalante nel caso, accertato anche con sentenza di primo grado, di sua responsabilità penale per diffamazione o calunnia (salvo che sia già stato condannato per tali reati con riferimento alla denuncia all’autorità).

Va sottolineato che la sanzione per ritorsioni e per mancata istituzione del canale colpisce il soggetto responsabile e che, per gli enti dotati di modello 231, le violazioni devono essere richiamate nel sistema disciplinare interno. Trattandosi di importi e fattispecie che possono essere aggiornati, è buona norma verificare l’entità esatta della sanzione applicabile al caso concreto e l’eventuale graduazione operata dall’ANAC nelle proprie delibere.

Come mettersi in regola: gli adempimenti pratici

Una volta accertato di essere obbligati, l’adeguamento si articola in alcuni passaggi concreti:

1. Verifica dell’obbligo e della soglia. Calcolare e documentare la media dei lavoratori subordinati dell’ultimo anno e controllare la presenza di un modello 231 o l’operatività in settori regolati.
2. Scelta e attivazione della piattaforma. Dotarsi di uno strumento, tipicamente informatico, che garantisca riservatezza, tracciabilità e sicurezza, con possibilità di segnalazione scritta e orale.
3. Atto di nomina del gestore. Individuare formalmente la persona, l’ufficio interno o il soggetto esterno cui affidare la gestione, garantendone autonomia e formazione.
4. Procedura interna. Adottare e formalizzare la procedura di gestione delle segnalazioni, con i tempi di legge (avviso entro 7 giorni, riscontro entro 3 mesi) e le regole di trattamento dei dati personali.
5. Informativa e comunicazione. Informare in modo chiaro e accessibile i lavoratori e gli altri soggetti legittimati sull’esistenza del canale, sulle modalità di utilizzo e sulle tutele previste, anche attraverso una sezione dedicata.
6. Coordinamento privacy e, se presente, modello 231. Integrare il sistema con gli adempimenti in materia di protezione dei dati personali e, per gli enti che ne sono dotati, con il modello organizzativo e il relativo sistema disciplinare.

Si tratta di un adempimento che incrocia diritto del lavoro, responsabilità degli enti e protezione dei dati personali, con sanzioni significative in caso di errore o inerzia. Per questo, prima di scegliere la piattaforma e redigere atto di nomina, procedura e informativa, è opportuno farsi affiancare da un professionista di fiducia, che valuti la posizione concreta dell’azienda rispetto alla doppia soglia e imposti correttamente il sistema. Un confronto preventivo evita di scoprire una non conformità solo nel momento, sempre delicato, in cui arriva la prima segnalazione o un controllo dell’autorità.