- Tutela i soggetti che segnalano internamente violazioni del D.Lgs. 231/2007 (whistleblower), coordinandosi con il D.Lgs. 24/2023 sul whistleblowing.
- Vieta qualsiasi forma di ritorsione, discriminazione o trattamento pregiudizievole nei confronti del segnalante.
- Impone ai soggetti obbligati di adottare procedure interne per la ricezione e la gestione riservata delle segnalazioni.
- La riservatezza dell’identità del segnalante è protetta in tutte le fasi della procedura, salvo consenso esplicito o obbligo di legge.
- Le violazioni delle tutele del segnalante sono sanzionate ai sensi dell’art. 56 del decreto.
Art. 38 D.Lgs. 231/2007 (Antiriciclaggio) – Tutela del segnalante (1)
In vigore dal 29/12/2007
1. I soggetti obbligati e gli organismi di autoregolamentazione adottano tutte le misure idonee ad assicurare la riservatezza dell’identità delle persone che effettuano la segnalazione. 2. Il titolare della competente funzione, il legale rappresentante o altro soggetto all’uopo delegato presso i soggetti obbligati sono responsabili della custodia degli atti e dei documenti in cui sono indicate le generalità del segnalante. 3. In ogni fase del procedimento, l’autorità giudiziaria adotta le misure necessarie ad assicurare che l’invio della segnalazione e delle informazioni trasmesse dalle FIU, il contenuto delle medesime e l’identità dei segnalanti siano mantenuti riservati. In ogni caso, i dati identificativi dei segnalanti non possono essere inseriti nel fascicolo del Pubblico Ministero nè in quello per il dibattimento, nè possono essere in altro modo rivelati, salvo che ciò risulti indispensabile ai fini dell’accertamento dei reati per i quali si procede. In tale caso, l’Autorità giudiziaria provvede con decreto motivato, adottando le cautele necessarie ad assicurare la tutela del segnalante e, ove possibile, la riservatezza della segnalazione e delle informazioni trasmesse dalle FIU. (2) 3 bis. Salvo che il fatto costituisca più grave reato, chiunque rivela indebitamente l’identità del segnalante è punito con la reclusione da due a sei anni. La stessa pena si applica a chi rivela indebitamente notizie riguardanti l’invio della segnalazione e delle informazioni trasmesse dalle FIU o il contenuto delle medesime, se le notizie rivelate sono idonee a consentire l’identificazione del segnalante. (3) 4. In caso di denuncia o di rapporto ai sensi degli articoli 331 e 347 del codice di procedura penale, l’identità del segnalante, anche qualora sia conosciuta, non è menzionata. 5. Fermo quanto disposto dai commi 3 e 4, in caso di sequestro di atti o documenti l’autorità giudiziaria e gli organi di polizia giudiziaria adottano le cautele necessarie ad assicurare la riservatezza dei segnalanti. 6. La trasmissione delle segnalazioni di operazioni sospette, le eventuali richieste di approfondimenti, nonchè gli scambi di informazioni, attinenti alle operazioni sospette segnalate, tra la UIF, la Guardia di finanza, la DIA, le autorità di vigilanza di settore e gli organismi di autoregolamentazione, avvengono per via telematica, con modalità idonee a garantire la tutela della riservatezza, la riferibilità della trasmissione dei dati ai soli soggetti interessati, nonchè l’integrità delle informazioni trasmesse. Note: (1) Articolo sostituito dall’art. 2, comma 1, DLgs. 25.5.2017 n. 90, pubblicato in G.U. 19.6.2017 n. 140, S.O. n. 28. Testo precedente: “Art. 38 (Modalità di registrazione per i professionisti di cui all’articolo 12 e per i revisori contabili di cui all’articolo 13, comma 1, lettera b)). – 1. Ai fini del rispetto degli obblighi di registrazione di cui all’articolo 36, i professionisti indicati nell’articolo 12 e i soggetti indicati all’articolo 13, comma 1, lettera b), istituiscono un archivio formato e gestito a mezzo di strumenti informatici, salvo quanto previsto dal comma 2. 1-bis. I soggetti indicati al comma l registrano tempestivamente e comunque entro trenta giorni dall’accettazione dell’incarico professionale, dall’eventuale conoscenza successiva di ulteriori informazioni o dal termine della prestazione professionale, i dati indicati dall’articolo 36, comma 2 ferma l’ordinaria validità dei documenti d’identità. 2. In alternativa all’archivio, i soggetti indicati al comma 1 possono istituire il registro della clientela a fini antiriciclaggio nel quale conservano i dati identificativi del cliente. La documentazione, nonché gli ulteriori dati e informazioni sono conservati nel fascicolo relativo a ciascun cliente. 3. Il registro della clientela è numerato progressivamente e siglato in ogni pagina a cura del soggetto obbligato o di un suo collaboratore delegato per iscritto, con l’indicazione alla fine dell’ultimo foglio del numero delle pagine di cui è composto il registro e l’apposizione della firma delle suddette persone. Il registro deve essere tenuto in maniera ordinata, senza spazi bianchi e abrasioni. 4. I dati e le informazioni registrati con le modalità di cui al comma 2 sono resi disponibili entro tre giorni dalla richiesta. 5. Qualora i soggetti indicati nei commi 1 svolgano la propria attività in più sedi, possono istituire per ciascuna di esse un registro della clientela. DLgs. 21.11.2007 n. 231 – Art. 39 67 6. La custodia dei documenti, delle attestazioni e degli atti presso il notaio e la tenuta dei repertori notarili, a norma della legge 16 febbraio 1913, n. 89, del regolamento di cui al regio decreto 10 settembre 1914, n. 1326, e successive modificazioni, e la descrizione dei mezzi di pagamento ai sensi dell’articolo 35, comma 22, decreto-legge 4 luglio 2006, n. 223, convertito, con modificazioni, dalla legge 4 agosto 2006, n. 248, costituiscono idonea modalità di registrazione dei dati e delle informazioni. 6-bis. Gli ordini professionali individuati ai sensi dell’articolo 43 quali organismi di autoregolamentazione delle professioni possono istituire con decreto del Ministro dell’economia e delle finanze di concerto con il Ministro della giustizia, sistemi di conservazione informatica di atti pubblici ed autenticati, loro copie autentiche ed informazioni a qualunque titolo da essi derivanti o ad essi relative affinchè possano essere utilizzati per qualsiasi indagine su operazioni di riciclaggio o di finanziamento del terrorismo o per corrispondenti analisi. All’attuazione del presente comma si provvede senza nuovi o maggiori oneri a carico della finanza pubblica. 7. Il Ministero della giustizia, sentiti gli ordini professionali, adotta disposizioni applicative del presente articolo.“. In precedenza, i commi 1-bis e 6-bis erano stati inseriti dall’art. 21, comma 1, DLgs. 25.9.2009 n. 151, pubblicato in G.U. 3.11.2009 n. 256. (2) Comma sostituito dall’art. 3, comma 1, lett. b), n. 1), DL 30.12.2021 n. 228, convertito, con modificazioni, dalla L. 25.2.2022 n. 15. Testo precedente: “In ogni fase del procedimento, l’autorità giudiziaria adotta le misure necessarie ad assicurare che l’identità del segnalante sia mantenuta riservata. In ogni caso, il nominativo del segnalante non può essere inserito nel fascicolo del Pubblico Ministero nè in quello per il dibattimento e la sua identità non può essere rivelata, a meno che l’Autorità giudiziaria non disponga altrimenti, con provvedimento motivato ed assicurando l’adozione di ogni accorgimento idoneo a tutelare il segnalante ivi compresa, ove necessaria in ragione dell’attinenza a procedimenti in materia di criminalità organizzata o terrorismo, l’applicazione delle cautele dettate dall’articolo 8 della legge 13 agosto 2010, n. 136, in materia di attività svolte sotto copertura, quando lo ritenga indispensabile ai fini dell’accertamento dei reati per i quali si procede. In ogni caso, il nominativo del segnalante può essere rivelato solo quando l’autorità giudiziaria, disponendo a riguardo con decreto motivato, lo ritenga indispensabile ai fini dell’accertamento dei reati per i quali si procede.“. (3) Comma inserito dall’art. 3, comma 1, lett. b), n. 2), DL 30.12.2021 n. 228, convertito, con modificazioni, dalla L. 25.2.2022 n. 15.
Inquadramento normativo e ratio dell’art. 38
L’art. 38 del D.Lgs. 231/2007, nella versione vigente dopo il recepimento del D.Lgs. 24/2023 (di attuazione della Direttiva UE 2019/1937 sul whistleblowing), disciplina la tutela dei soggetti che effettuano segnalazioni interne di violazioni della normativa antiriciclaggio all’interno dei soggetti obbligati. La norma persegue un duplice obiettivo: da un lato, incentivare la cultura della legalità e il controllo interno diffuso all’interno degli enti obbligati; dall’altro, proteggere chi, esponendo potenziali violazioni, si pone in una posizione di vulnerabilità rispetto al proprio datore di lavoro o committente.
Il rapporto tra l’art. 38 e il D.Lgs. 24/2023 è di specialità reciproca: il D.Lgs. 24/2023 costituisce il quadro normativo generale sul whistleblowing applicabile a tutti i settori, mentre l’art. 38 contiene le specificazioni proprie del settore antiriciclaggio. In caso di contrasto, prevale la norma speciale, che per il settore antiriciclaggio tende a essere più protettiva rispetto al quadro generale. L’ANAC (Autorità Nazionale Anticorruzione), designata come autorità competente per il whistleblowing ai sensi del D.Lgs. 24/2023, mantiene un ruolo di supervisione anche nel settore antiriciclaggio, in coordinamento con le autorità di vigilanza di settore.
Ambito soggettivo: chi è il segnalante protetto
La tutela si estende a una platea ampia di soggetti. Sono protetti: i dipendenti del soggetto obbligato a qualunque livello gerarchico (dal funzionario di sportello al dirigente); i collaboratori che operano con il soggetto obbligato su base contrattuale non subordinata (lavoratori autonomi, consulenti, agenti, liberi professionisti che svolgono attività per il soggetto); i tirocinanti e gli stagisti; i soggetti che hanno terminato il rapporto di lavoro o collaborazione ma segnalano violazioni avvenute durante il rapporto.
Sono inclusi nella tutela anche i facilitatori: persone fisiche che assistono il segnalante nel processo di segnalazione (ad esempio un collega che aiuta a raccogliere la documentazione o un sindacalista che fornisce supporto), purché mantengano la riservatezza sull’identità del segnalante. Sono parimenti tutelati i colleghi e familiari del segnalante che potrebbero essere oggetto di ritorsioni indirette.
Oggetto della segnalazione: violazioni rilevanti
L’art. 38 protegge le segnalazioni di violazioni della normativa antiriciclaggio, il che include: inosservanza degli obblighi di adeguata verifica della clientela (artt. 17-30); violazioni degli obblighi di conservazione documentale (art. 32); omessa o tardiva segnalazione di operazioni sospette (artt. 35-36); violazione del divieto di tipping off (art. 39); irregolarità nelle procedure interne di prevenzione; comportamenti dei vertici aziendali che ostacolano l’adempimento degli obblighi antiriciclaggio; violazioni delle normative settoriali connesse (ad esempio norme sul contrasto al finanziamento del terrorismo).
La segnalazione deve riguardare fatti di cui il segnalante è venuto a conoscenza nel contesto lavorativo o professionale. Non è necessario che il segnalante abbia la certezza della violazione: è sufficiente un ragionevole fondamento delle informazioni segnalate. Questo abbassa la soglia di accesso alla tutela e incentiva le segnalazioni anche in presenza di elementi indiziari non conclusivi.
Canali di segnalazione
Il D.Lgs. 24/2023, recepito nell’art. 38, prevede un sistema a tre livelli di segnalazione.
Il primo livello è la segnalazione interna, che deve essere il canale privilegiato: il soggetto obbligato è tenuto ad adottare procedure interne per la ricezione e la gestione riservata delle segnalazioni, designare un responsabile della ricezione (di norma il compliance officer, il responsabile antiriciclaggio o un comitato apposito) e garantire una risposta entro i termini previsti dal D.Lgs. 24/2023 (accusa di ricevimento entro 7 giorni, riscontro entro 3 mesi). Il canale interno deve essere progettato in modo da garantire la riservatezza dell’identità del segnalante e da non consentire la tracciabilità da parte dei soggetti segnalati.
Il secondo livello è la segnalazione esterna all’ANAC o alle autorità di settore competenti, attivabile quando il canale interno non è disponibile, non ha dato risposta nei termini, ha dato risposta non adeguata, o quando il segnalante ha ragionevole fondamento per ritenere che la segnalazione interna non possa avere seguito efficace (ad esempio perché la violazione coinvolge i vertici dell’organizzazione). Per le violazioni antiriciclaggio, il canale esterno alternativo è anche la segnalazione diretta alle autorità di vigilanza (Banca d'Italia, CONSOB, IVASS, UIF), che hanno procedure proprie di ricezione delle segnalazioni.
Il terzo livello è la divulgazione pubblica (ai media o alla pubblica opinione), ammessa solo in casi estremi: quando le segnalazioni interne ed esterne non abbiano avuto seguito o abbiano dato luogo a ritorsioni, o quando esista un pericolo imminente o manifesto per l’interesse pubblico. In questo caso la protezione è mantenuta, ma il segnalante deve rispettare il limite di non divulgare informazioni coperte da segreto d'ufficio o da altri vincoli di riservatezza che vadano oltre la violazione segnalata.
Divieto di ritorsione e sue forme
Il cuore dell’art. 38 è il divieto assoluto di ritorsione nei confronti del segnalante. Sono vietate: il licenziamento (anche nelle forme del licenziamento per giustificato motivo soggettivo o per giusta causa motivato con riferimento alla segnalazione); le sanzioni disciplinari; il demansionamento o il trasferimento; la mancata promozione o l’esclusione da percorsi di carriera; la modifica unilaterale in peius delle condizioni di lavoro; la mancata conversione del contratto a termine o il mancato rinnovo; la cessazione del contratto di lavoro autonomo o di collaborazione; le pressioni psicologiche (mobbing, isolamento); le segnalazioni negative a potenziali futuri datori di lavoro (ad esempio referenze negative); la comunicazione, senza consenso, dell’identità del segnalante a soggetti terzi.
Il D.Lgs. 24/2023 ha introdotto una inversione dell’onere della prova: in caso di ritorsione, spetta al soggetto obbligato (datore di lavoro) dimostrare che il trattamento sfavorevole nei confronti del segnalante non è connesso alla segnalazione. Questa inversione è di fondamentale importanza pratica, perché riconosce la difficoltà probatoria del segnalante e bilancia asimmetria informativa tra le parti.
Riservatezza dell’identità e protezione dei dati
La riservatezza dell’identità del segnalante è protetta in tutte le fasi della procedura: durante la ricezione e l’analisi della segnalazione, nel corso delle indagini interne, nei procedimenti disciplinari eventualmente avviati verso i soggetti segnalati, e nei procedimenti giudiziari o amministrativi. L’identità può essere rivelata solo con il consenso esplicito del segnalante o quando la rivelazione è obbligatoria per legge (ad esempio in un procedimento penale per cui è richiesta la testimonianza del segnalante). Anche in quest'ultimo caso, il segnalante deve essere informato preventivamente.
Il trattamento dei dati personali del segnalante avviene nel rispetto del GDPR, con designazione di un responsabile del trattamento specifico per le segnalazioni, limitazione dell’accesso ai dati al solo personale strettamente necessario, e cancellazione dei dati al termine della procedura di gestione della segnalazione.
Coordinamento con la funzione antiriciclaggio interna
L’art. 38 si coordina con l’art. 42, che disciplina le procedure e i controlli interni dei soggetti obbligati. La funzione antiriciclaggio interna (compliance officer antiriciclaggio, responsabile segnalazioni SOS, audit interno) ha un rapporto privilegiato con il canale di segnalazione del whistleblowing: spesso il responsabile della ricezione delle segnalazioni whistleblowing coincide con o è strettamente coordinato con la funzione antiriciclaggio. Questo crea potenziali conflitti d'interesse quando la violazione segnalata coinvolge lo stesso responsabile antiriciclaggio o i vertici della funzione di compliance. In questi casi, il soggetto obbligato deve prevedere un canale alternativo di segnalazione (ad esempio direttamente al collegio sindacale o al consiglio di amministrazione).
Domande frequenti
Chi è protetto dall’art. 38 come whistleblower nel settore antiriciclaggio?
Sono protetti dipendenti (a qualsiasi livello gerarchico), collaboratori, consulenti, agenti, tirocinanti e stagisti dei soggetti obbligati. La tutela si estende anche a chi ha cessato il rapporto di lavoro ma segnala violazioni avvenute durante il rapporto, ai facilitatori che aiutano il segnalante, e ai colleghi e familiari che potrebbero subire ritorsioni indirette.
Quali violazioni possono essere segnalate ai sensi dell’art. 38?
Tutte le violazioni della normativa antiriciclaggio: omessa o tardiva adeguata verifica, violazioni degli obblighi di conservazione, omessa segnalazione di operazioni sospette, violazione del divieto di tipping off, irregolarità nelle procedure interne, comportamenti dei vertici che ostacolano gli obblighi. Non è necessaria la certezza della violazione: è sufficiente un ragionevole fondamento delle informazioni segnalate.
Il segnalante può rivolgersi direttamente alle autorità esterne?
Sì, ma il canale interno è quello privilegiato. La segnalazione esterna all’ANAC o alle autorità di vigilanza (Banca d'Italia, CONSOB, IVASS, UIF) è attivabile quando il canale interno non esiste, non ha risposto nei termini, non ha dato risposta adeguata, o il segnalante ha motivo di ritenere che la segnalazione interna non possa avere seguito efficace. La divulgazione pubblica è ammessa solo in casi estremi.
Come funziona l’inversione dell’onere della prova in caso di ritorsione?
Il D.Lgs. 24/2023 prevede che in caso di ritorsione nei confronti del segnalante, spetti al soggetto obbligato (datore di lavoro) dimostrare che il trattamento sfavorevole non è connesso alla segnalazione. Questa inversione supera la difficoltà probatoria del segnalante che, nella logica ordinaria del diritto del lavoro, dovrebbe dimostrare il nesso causale tra la segnalazione e il trattamento pregiudizievole subito.
L’identità del segnalante può essere comunicata ai soggetti segnalati?
No, salvo consenso esplicito del segnalante o obbligo di legge (ad esempio in un procedimento penale). La riservatezza dell’identità è protetta in tutte le fasi: ricezione, analisi, indagine interna, procedimento disciplinare e procedimento giudiziario. Anche quando la legge impone la rivelazione (es. testimonianza in un processo), il segnalante deve essere informato preventivamente e i dati personali trattati nel rispetto del GDPR.