Introduzione
Il Decreto Legislativo n. 24 del 2023 (d’ora in poi anche “Decreto Whistleblowing” o semplicemente il “Decreto”), in attuazione della Direttiva UE 2019/1937, rivisita la disciplina nazionale previgente in materia di segnalazioni di reati e irregolarità e prevede un nuovo regime di protezione rafforzato per i soggetti che segnalano condotte improprie di cui siano venuti a conoscenza nell’ambito del contesto lavorativo (d’ora in poi anche il “Segnalante” o i “Segnalanti”).
Il Decreto ha l’obiettivo di incentivare le segnalazioni di violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato (d’ora in poi anche la “Segnalazione” o le “Segnalazioni”) innalzando, al contempo, il livello di protezione di cui beneficiano i Segnalanti, ove ne sussistano i presupposti.
Il rafforzamento della tutela per la segnalazione di tali violazioni opera essenzialmente imponendo agli enti specifiche regole relative alle procedure di segnalazione e stabilendo il regime applicabile in caso di ritorsioni.
Al di là delle disposizioni normative, PwC, in linea con i propri valori, incoraggia la segnalazione di condotte e comportamenti impropri e contrari alle norme di legge, tutelando la posizione dei Segnalanti in buona fede e assicurando loro la massima tutela.
Oggetto delle Segnalazioni
2.1 Ambito di applicazione
Coerentemente con l’ambito di applicazione del Decreto, è possibile segnalare violazioni, - inclusi fondati sospetti e condotte volte ad occultarle (ad esempio occultamento o distruzione di prove) - di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato, di cui si sia venuti a conoscenza in un contesto lavorativo pubblico o privato, in materia di:
Disposizioni normative nazionali
Nell’ambito delle violazioni in oggetto rientrano:
i reati presupposto per l’applicazione del D.Lgs. n. 231/2001 in materia di responsabilità amministrativa degli enti;
- le violazioni dei modelli di organizzazione e gestione previsti nel citato D.Lgs. n. 231/2001, anch’esse non riconducibili alle violazioni del diritto dell’Unione europea, come sotto definite.
Disposizioni normative europee
Si tratta di illeciti commessi in violazione della normativa dell’Unione europea di cui all’Allegato 1 al Decreto e di tutte le disposizioni nazionali che ne danno attuazione, ancorché non espressamente richiamate nello stesso.
In sintesi, si tratta di:
illeciti relativi ai seguenti settori: contratti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell'ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
atti od omissioni che ledono gli interessi finanziari dell'Unione europea (art. 325 del TFUE lotta contro la frode e le attività illegali che ledono gli interessi finanziari dell’Unione europea) come individuati nei regolamenti, direttive, decisioni, raccomandazioni e pareri dell’Unione europea;
atti o omissioni riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (art. 26, paragrafo 2, del TFUE). Sono ricomprese le violazioni delle norme dell'Unione europea in materia di concorrenza e di aiuti di Stato, di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l'oggetto o la finalità della normativa applicabile in materia di imposta sulle società;
atti o comportamenti che vanificano l'oggetto o la finalità delle disposizioni dell'Unione europea nei settori indicati ai punti precedenti. In tale ambito vanno ricondotte, ad esempio, le pratiche abusive quali quelle definite dalla giurisprudenza della Corte di Giustizia dell’Unione europea.
Il Decreto non pregiudica l’applicazione di alcune disposizioni nazionali o dell’Unione europea. In particolare, restano ferme le disposizioni nazionali o dell’Unione europea relative a:
informazioni cosiddette “classificate” (ossia “riservate” ex Legge 124/2007);
segreto professionale forense;
segreto professionale medico;
segretezza delle deliberazioni degli organi giurisdizionali;
norme di procedura penale;
autonomia e indipendenza della magistratura;
difesa nazionale e di ordine e sicurezza pubblica;
esercizio dei diritti dei lavoratori.
2.2 Esclusioni
Sono escluse dall'ambito di applicazione del Decreto e delle tutele ad esso correlate le seguenti tipologie di segnalazioni:
contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all'autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;
segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell'Unione europea o nazionali indicati nella parte II dell'allegato al Decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell'Unione europea indicati nella parte II dell'allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell'Allegato al Decreto (a titolo esemplificativo e non esaustivo: segnalazioni di violazioni disciplinate in via obbligatoria nelle direttive e nei regolamenti dell’Unione europea e nelle disposizioni attuative dell’ordinamento italiano che già garantiscono apposite procedure di segnalazione);
segnalazioni di violazioni in materia di sicurezza nazionale nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell'Unione europea.
Si precisa che con riferimento alle segnalazioni relative a comportamenti personali ritenuti impropri ovvero alla violazione di norme etico-comportamentali è attiva la PwC Ethics Helpline.
Segnalanti e altri soggetti che godono di tutela
I soggetti ai quali, in qualità di Segnalanti, sono riconosciute le tutele dalla normativa whistleblowing di cui al citato Decreto, sono:
lavoratori subordinati, compresi lavoratori con contratto di lavoro a tempo parziale, intermittente, a tempo determinato, di somministrazione, di lavoro accessorio o che svolgono prestazioni occasionali;
lavoratori autonomi, ovvero i lavoratori autonomi indicati al capo I della l. n. 81/2017. Si tratta dei lavoratori con rapporti di lavoro autonomi disciplinati dal Titolo III del Libro V del Codice civile, ivi inclusi i contratti d’opera di cui all’art. 2222 del medesimo c.c.; i titolari di un rapporto di collaborazione di cui all’art. 409 del Codice di procedura civile. Ci si riferisce ai rapporti di agenzia, di rappresentanza commerciale ed altri rapporti di collaborazione che si concretino in una prestazione di opera continuativa e coordinata, prevalentemente personale, anche se non a carattere subordinato. Ad esempio, avvocati, ingegneri, assistenti sociali che prestano la loro attività lavorativa per un soggetto del settore privato organizzandosi autonomamente (rapporto parasubordinato); i titolari di un rapporto di collaborazione di cui all’art. 2 del d.lgs. n. 81/2015. Si tratta delle collaborazioni organizzate dal committente che si concretino in prestazioni di lavoro esclusivamente personali e continuative, le cui modalità di esecuzione siano organizzate dal committente. Ciò vale anche qualora le modalità di esecuzione delle prestazioni siano realizzate mediante piattaforme digitali;
lavoratori o i collaboratori che forniscono beni o servizi o che realizzano opere in favore dell’ente;
liberi professionisti e consulenti che prestano la propria collaborazione in favore dell’ente;
tirocinanti e volontari, retribuiti e non retribuiti;
azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto.
Le tutele sono inoltre riconosciute, oltre ai suddetti soggetti che effettuano Segnalazioni, anche a coloro che potrebbero essere destinatari di ritorsioni, intraprese anche indirettamente, in ragione del ruolo assunto nell’ambito del processo di Segnalazione e/o del particolare rapporto che li lega al Segnalante. Tali soggetti godono di tutela analoga a quella del Segnalante e sono:
facilitatori, ossia persone fisiche che assistono eventualmente il Segnalante nel processo di Segnalazione, operanti all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata;
persone del medesimo contesto lavorativo del Segnalante e che sono legate ad esso da uno stabile legame affettivo o di parentela entro il quarto grado;
colleghi di lavoro del Segnalante che lavorano nel medesimo contesto lavorativo dello stesso e che hanno con detta persona un rapporto abituale e corrente;
enti di proprietà del Segnalante o per i quali lo stesso lavora nonché enti che operano nel medesimo contesto lavorativo del Segnalante.
Si precisa altresì che la tutela dei Segnalanti si applica anche qualora la Segnalazione avvenga nei seguenti casi:
quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;
durante il periodo di prova;
successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.
Modalità di inoltro e gestione delle Segnalazioni
Il Decreto prevede un sistema diversificato di presentazione delle Segnalazioni. Le stesse possono infatti essere effettuate attraverso:
canale interno,
canale esterno,
divulgazione pubblica,
denuncia all’Autorità giudiziaria o contabile.
Di seguito si riportano le casistiche e le modalità attraverso le quali è possibile presentare una segnalazione:
Laddove siano consentiti più canali, il canale da considerare in via primaria è il “canale interno”. Infatti, solo subordinatamente al verificarsi di determinate condizioni (dettagliate di seguito) e per determinate tipologie di Segnalazioni, il Segnalante può adire al “canale esterno” attivato presso l’Autorità Nazionale Anticorruzione (ANAC) – o effettuare, sempre subordinatamente e in presenza di determinate condizioni, una divulgazione pubblica o una denuncia all’Autorità giudiziaria o contabile.
Di seguito si illustrano le modalità di inoltro e gestione delle Segnalazioni tramite il canale interno adottato; nelle successive sezioni sono illustrati i presupposti per il ricorso agli altri canali.
Il Canale interno
Per l’effettuazione di Segnalazioni relative a violazioni (o fondati sospetti di violazioni) del diritto nazionale o del diritto dell’UE (come dettagliate nel precedente paragrafo 2 “Oggetto delle Segnalazioni”) è istituito per ciascuna entità giuridica un apposito canale interno di Segnalazione (d’ora in poi anche il “Canale”).
4.1.1 Caratteristiche del Canale
Il Canale implementato prevede:
l’utilizzo di uno strumento informatico dedicato (d’ora in poi anche la “Piattaforma”), che consente, altresì, la possibilità di acquisizione di Segnalazioni orali effettuate attraverso sistemi di messaggistica vocale;
la possibilità di colloquio diretto con il Gestore delle Segnalazioni a richiesta del Segnalante.
Tale Canale garantisce la riservatezza delle Segnalazioni effettuate e della relativa documentazione (relativamente a identità del Segnalante, persone coinvolte o persone comunque menzionate nella Segnalazione, nonché al contenuto della stessa), anche tramite il ricorso a strumenti di crittografia della Piattaforma adottata.
A tale proposito, la Piattaforma:
è specifica per entità giuridica;
prevede profili di accesso distinti per Segnalante e Gestore delle Segnalazioni;
consente l’individuazione univoca delle Segnalazioni e la loro tracciabilità nel tempo, attraverso apposita numerazione;
separa il contenuto della Segnalazione dall’identità del Segnalante;
consente l’effettuazione di Segnalazioni anche in forma anonima;
permette al Segnalante di fornire informazioni circostanziate sui fatti e di allegare documentazione a supporto della Segnalazione, integrando e modificando anche in momenti successivi le informazioni prodotte;
consente al Gestore delle Segnalazioni di disporre di un’area riservata che permette la gestione delle Segnalazioni ricevute, ivi incluse l’istruttoria e la storicizzazione delle informazioni;
consente la comunicazione diretta tra Segnalante e Gestore delle Segnalazioni attraverso l’utilizzo di chat collaborative, anche nel rispetto dell'anonimato;
consente al Segnalante di monitorare lo stato di avanzamento dell’istruttoria, anche attraverso apposite notifiche;
consente al Gestore delle Segnalazioni di disporre di reportistica in merito alle Segnalazioni ricevute e gestite, unitamente al relativo stato.
Le modalità operative di utilizzo della Piattaforma sono disponibili sul portale di accesso alla stessa.
4.1.2 Requisiti delle Segnalazioni
Le Segnalazioni devono essere il più possibile circostanziate al fine di consentire un’appropriata gestione delle stesse. In particolare, vanno specificate a cura del Segnalante:
le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della Segnalazione;
la descrizione del fatto;
le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati, nonché altri soggetti eventualmente coinvolti.
È utile che il Segnalante alleghi documenti che possano fornire elementi di fondatezza dei fatti oggetto di Segnalazione nonché riporti l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.
Qualora la Segnalazione contenga dati eccedenti, il Gestore delle Segnalazioni, come più avanti individuato, valuterà l'adozione delle più opportune iniziative volte alla cancellazione dei dati non pertinenti, se del caso chiedendo al Segnalante l'eliminazione delle informazioni non necessarie per la gestione della Segnalazione.
Non sono ricomprese tra le informazioni sulle violazioni segnalabili o denunciabili le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sulla base di indiscrezioni o vociferazioni scarsamente attendibili (cd. “voci di corridoio”).
4.1.3 Il Gestore delle Segnalazioni
La gestione del Canale e più in generale delle Segnalazioni stesse è affidata ad un team tecnico dedicato composto da:
Barbara Ferri - Ethics & Compliance Leader di PwC | contatti : barbara.ferri@pwc.com; +39 349 497 7660
Marco Golda Perini - Responsabile Office of General Counsel di PwC | contatti : marco.golda.perini@pwc.com; +39 328 836 5955
Rosaria Lodigiani - Responsabile Normativa Giuslavoristica di PwC | contatti: rosaria.lodigiani@pwc.com; +39 348 350 7373
d’ora in poi anche il “Comitato Whistleblowing” o il “Comitato”.
I componenti del Comitato sono soggetti specificamente autorizzati al trattamento dei dati personali e appositamente istruiti per le attività connesse alla gestione delle Segnalazioni.
È compito del Comitato Whistleblowing:
rilasciare un primo riscontro al Segnalante entro le tempistiche prestabilite dalla normativa di riferimento;
mantenere le interlocuzioni con il Segnalante;
dare un corretto seguito alle Segnalazioni ricevute;
fornire un riscontro al Segnalante entro le tempistiche prestabilite dalla normativa di riferimento.
A tale riguardo:
per “riscontro” si intende la comunicazione al Segnalante delle informazioni relative al seguito che viene dato o che si intende dare alla Segnalazione,
per “seguito” si intende l’azione intrapresa per valutare la sussistenza dei fatti segnalati, l’esito delle indagini e le eventuali misure adottate.
Qualora necessario, sarà cura del Comitato procedere alla predisposizione di un Regolamento interno per disciplinare le modalità di funzionamento dello stesso ad integrazione di quanto previsto nella procedura interna adottata.
4.1.4 Gestione della Segnalazione
4.1.4.1 Ricevimento della Segnalazione
Come precedentemente precisato, le Segnalazioni possono essere effettuate in forma scritta o orale.
Nel caso di Segnalazione orale, il Comitato acquisisce i contenuti e li trascrive nell’apposita sezione presente nello strumento (nel caso di messaggistica vocale, includendo anche il relativo file audio di registrazione).
Il Comitato è tenuto a rilasciare al Segnalante un avviso di ricevimento della Segnalazione entro sette giorni dalla data della sua ricezione; tale avviso è gestito attraverso la Piattaforma dedicata.
4.1.4.2 Valutazione preliminare della Segnalazione
Un corretto seguito della Segnalazione implica, in primo luogo, il rispetto di tempistiche ragionevoli e della riservatezza dei dati e una valutazione sulla sussistenza dei requisiti essenziali della Segnalazione per valutarne l’ammissibilità.
A tale proposito, sono inammissibili le Segnalazioni:
mancanti dei dati che costituiscono gli elementi essenziali della Segnalazione;
manifestamente infondate per l’assenza di elementi di fatto idonei a giustificare accertamenti;
il cui contenuto sia generico, tale da non consentire la comprensione dei fatti;
corredate da documentazione non appropriata o incoerente;
costituite da produzione di sola documentazione senza la segnalazione vera e propria di violazioni.
Nell’ipotesi in cui quanto segnalato non sia adeguatamente circostanziato, il Comitato potrà chiedere elementi integrativi al Segnalante tramite la Piattaforma, o anche di persona, ove il Segnalante abbia richiesto e/o accettato un incontro diretto.
Le Segnalazioni non ammissibili non possono essere prese in considerazione ai fini dell’istruttoria: di tale circostanza ne deve essere informato il Segnalante a cura del Comitato.
4.1.4.3 Istruttoria e riscontro
Per lo svolgimento dell’istruttoria, il Comitato può avviare e/o continuare il dialogo con il Segnalante, richiedendo allo stesso chiarimenti, documenti e informazioni ulteriori, sempre tramite la Piattaforma o anche di persona, nell’ambito di eventuali colloqui richiesti e condivisi con il Segnalante stesso.
Ove necessario, il Comitato può anche acquisire atti e documenti da altre strutture organizzative e avvalersi del loro supporto, ovvero coinvolgere terze persone tramite audizioni e altre richieste, avendo sempre cura che non sia compromessa la tutela della riservatezza del Segnalante, della persona coinvolta e della/e persona/e comunque menzionate nella Segnalazione.
Nel caso di colloqui ed incontri con il Segnalante, dovranno sempre presenziare almeno due componenti del Comitato. Laddove le interazioni con il Segnalante siano avvenute oralmente, sarà cura del Comitato provvedere alla relativa verbalizzazione, che dovrà essere condivisa con il Segnalante e archiviata.
Qualora un componente del Comitato sia una persona coinvolta nella Segnalazione, il Segnalante potrà decidere di indirizzare la Segnalazione soltanto agli altri componenti del Comitato, attraverso apposita opzione presente sulla Piattaforma. In tal caso, la gestione della Segnalazione e le informazioni ad essa correlate saranno curate dagli altri componenti, al fine di assicurare la riservatezza e la tutela delle parti coinvolte.
Qualora, a seguito dell’attività svolta, vengano ravvisati elementi di manifesta infondatezza della Segnalazione, ne sarà disposta l’archiviazione con adeguata motivazione.
Non spetta al Comitato accertare le responsabilità individuali qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dall’Entità interessata a seguito della Segnalazione.
È compito del Comitato fornire riscontro al Segnalante entro tre mesi dalla data dell'avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della Segnalazione, in merito al seguito che si è dato o che si intende dare alla medesima. Tale riscontro potrà consistere nella comunicazione dell’archiviazione, nell’avvio di un’inchiesta interna ed eventualmente nelle relative risultanze, nei provvedimenti adottati per affrontare la questione sollevata, nel rinvio a un’autorità competente per ulteriori indagini; il riscontro potrebbe tuttavia essere anche meramente interlocutorio, dal momento che possono essere comunicate le informazioni relative a tutte le attività sopra descritte che si intende intraprendere e lo stato di avanzamento dell’istruttoria. In tale ultimo caso, terminata l’istruttoria, gli esiti dovranno comunque essere comunicati al Segnalante.
In caso di fondati sospetti di commissione di un illecito, nella gestione della Segnalazione potranno essere coinvolti legali esterni, che il Comitato sarà libero di nominare a propria discrezione. A tale proposito il Segnalante deve autorizzare esplicitamente il consenso alla condivisione della Segnalazione con soggetti esterni al Comitato.
In caso di coinvolgimento di terzi da parte del Comitato, dovrà in ogni caso essere favorita una condivisione di dati e informazioni che consideri l'anonimato dei soggetti coinvolti ovvero la raccolta del consenso da parte del Segnalante per la rivelazione della sua identità.
4.1.4.4 Tutele riconosciute al Segnalante
Affinché trovino applicazione le tutele rafforzate e specifiche previste dal Decreto, il Segnalante deve dichiarare espressamente di voler beneficiare di tali tutele. Se la sua volontà non è desumibile dalla Segnalazione, oppure essa è effettuata in forma anonima, detta Segnalazione sarà considerata e trattata quale segnalazione ordinaria.
In ogni caso, la Segnalazione sarà gestita come segnalazione ordinaria, quando essa sia effettuata da parte di un Segnalante appartenente ad un ente con una media di lavoratori inferiore a 50 e che non sia dotato di Modello ex D.Lgs. 231/2001.
4.1.4.5 Segnalazioni rilevanti ai sensi del D.Lgs. 231/01
Con riferimento alle Segnalazioni che abbiano ad oggetto fatti rilevanti ai sensi del D.Lgs. 231/01 (intendendosi Segnalazioni aventi ad oggetto illeciti contemplati dal D.Lgs. 231/01 ovvero violazioni del Modello di Organizzazione e Gestione adottato), si precisa quanto segue:
nel caso di Segnalazione ricevuta dal Comitato Whistleblowing, lo stesso dovrà trasmetterla senza indugio all’Organismo di Vigilanza competente, considerando l’anonimato dei soggetti coinvolti e nella prospettiva di riservatezza delle informazioni veicolate (la rivelazione dell’identità del Segnalante potrà essere effettuata solo previo suo consenso);
nel caso di Segnalazione ricevuta dall’Organismo di Vigilanza, lo stesso dovrà senza indugio trasmetterla per il tramite della Piattaforma al Comitato Whistleblowing, che si occuperà di gestirla coerentemente con quanto previsto dal Decreto.
Inoltre, l’OdV dovrà ricevere dal Gestore un aggiornamento periodico sull’attività complessiva di gestione delle Segnalazioni, anche non aventi riflessi connessi al D.Lgs. 231/01, al fine di consentire verifiche relative al funzionamento del sistema whistleblowing e proporre eventuali necessità di suo miglioramento.
4.1.4.6 Segnalazioni inviate a un soggetto non competente
A condizione che la Segnalazione rientri nelle casistiche previste al precedente paragrafo 2 e il Segnalante dichiari espressamente di voler mantenere riservata la propria identità ovvero di voler beneficiare delle tutele in materia o tale volontà sia comunque desumibile dal tenore di quanto comunicato, nell’eventualità in cui la stessa sia presentata ad un soggetto diverso dal Comitato Whistleblowing, sarà compito del soggetto ricevente trasmettere la Segnalazione entro sette giorni dal suo ricevimento al Comitato Whistleblowing tramite la Piattaforma, dandone contestuale notizia al Segnalante.
Diversamente, ove il Segnalante non dichiari espressamente di voler beneficiare delle tutele o detta volontà non sia desumibile dal tenore della segnalazione, quest’ultima sarà considerata alla stregua di segnalazione ordinaria, per la quale, conseguentemente, non troveranno applicazione le tutele specifiche della normativa di riferimento.
4.1.4.7 Reporting
Con periodicità semestrale, sarà cura del Comitato Whistleblowing relazionare all’organo amministrativo in merito:
alle Segnalazioni ricevute,
agli esiti della loro gestione,
nel rispetto della normativa applicabile, ferme restando tempistiche più ristrette laddove i fatti segnalati lo rendano opportuno.
Il Canale esterno presso ANAC
Ferma restando la priorità del Canale Interno e solo qualora ricorrano determinate condizioni è prevista dalla normativa di riferimento la possibilità di effettuare una Segnalazione attraverso il canale esterno gestito dall’ANAC (“Canale Esterno”), usufruibile accedendo al servizio dedicato al “whistleblowing” (https://www.anticorruzione.it/-/whistleblowing). Analogamente al Canale Interno, il Canale Esterno garantisce la riservatezza dei soggetti coinvolti nonché del contenuto della Segnalazione e della relativa documentazione.
La possibilità di accesso a tale canale è tuttavia prevista solo al ricorrere di determinate condizioni individuate dal Legislatore. In particolare, il Segnalante può effettuare una Segnalazione attraverso il Canale esterno presso ANAC per violazioni relative al diritto dell’Unione europea e della normativa nazionale di recepimento, se al momento della sua presentazione:
il Canale Interno non è attivo o non è correttamente funzionante;
il Segnalante ha già effettuato una Segnalazione interna e per la stessa non si è ricevuto seguito da parte del soggetto preposto;
il Segnalante ha fondati motivi (ragionevolmente sulla base di circostanze concrete documentabili ed informazioni effettivamente acquisibili e, quindi, non su semplici illazioni) di ritenere che, se effettuasse una Segnalazione interna, alla stessa non sarebbe dato efficace seguito o la Segnalazione interna potrebbe determinare il rischio di ritorsione;
il Segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.
La divulgazione pubblica
Attraverso una divulgazione pubblica, il Segnalante rende le informazioni sulle violazioni di pubblico dominio tramite la stampa o mezzi elettronici o comunque attraverso mezzi di diffusione in grado di raggiungere un numero elevato di persone. In tale circostanza, la protezione del Segnalante è tuttavia riconosciuta solo nel caso in cui al momento della divulgazione ricorra almeno una delle seguenti condizioni:
ad una Segnalazione interna, a cui non è stato dato riscontro in merito alle misure previste/adottate o nei tempi previsti, ha fatto seguito una Segnalazione esterna ad ANAC, la quale, a sua volta, non ha fornito riscontro al Segnalante entro termini ragionevoli (tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento);
è stata effettuata una segnalazione esterna direttamente all’ANAC che, tuttavia, non ha dato riscontro al Segnalante in merito alle misure previste o adottate per dare seguito alla segnalazione entro termini ragionevoli;
sulla base di motivazioni ragionevoli e fondate alla luce delle circostanze, il Segnalante ritenga che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse o possa comportare il rischio di ritorsioni oppure possa non avere efficace seguito.
Nella divulgazione pubblica, dove il Segnalante riveli volontariamente la propria identità, non rileva la tutela della riservatezza, ferme restando tutte le altre forme di protezione previste per il Segnalante.
Il Decreto, in conformità alla precedente disciplina, riconosce ai soggetti tutelati anche la possibilità di rivolgersi alle Autorità giudiziarie o contabili per inoltrare una denuncia di condotte illecite di cui siano venuti a conoscenza nel contesto lavorativo. A tale proposito si precisa che, qualora il Segnalante rivesta la qualifica di pubblico ufficiale o di incaricato di pubblico servizio, anche laddove lo stesso abbia effettuato una segnalazione attraverso i canali interni o esterni previsti dal Decreto, ciò non lo esonera dall’obbligo di denunciare alla competente Autorità giudiziaria o contabile i fatti penalmente rilevanti e le ipotesi di danno erariale, in merito a reati procedibili d’ufficio.
I presidi sulla tutela della riservatezza e del contenuto delle Segnalazioni sono applicati anche dalle Autorità giudiziarie o contabili cui è sporta la denuncia
Tutela della riservatezza
5. 1 Tutela della riservatezza del Segnalante, del Segnalato e di eventuali ulteriori soggetti
Nel processo di gestione delle Segnalazioni deve essere garantita, da parte dei soggetti preposti e secondo le relative responsabilità, la riservatezza dell’identità dei soggetti coinvolti nella Segnalazione, ed in particolare:
del Segnalante;
del soggetto segnalato, ossia della persona cui sono imputabili o, comunque, riconducibili gli accadimenti oggetto della Segnalazione;
di eventuali ulteriori persone fisiche coinvolte nelle attività segnalate.
ciò anche al fine di evitare l’esposizione degli stessi a misure ritorsive che potrebbero essere adottate a seguito della Segnalazione, come più avanti disciplinato.
La tutela del Segnalante si applica anche qualora la Segnalazione avvenga nei seguenti casi:
nel caso in cui il rapporto giuridico non sia ancora iniziato, qualora le informazioni sulle violazioni siano state acquisite durante il processo di selezione o in altre fasi precontrattuali;
durante il periodo di prova;
successivamente allo scioglimento del rapporto giuridico, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.
Le informazioni relative alle Segnalazioni non possono essere utilizzate oltre quanto necessario per darne adeguato seguito.
L'identità del Segnalante e qualsiasi altra informazione da cui possa evincersi, direttamente o indirettamente, tale identità non possono essere rivelate senza il consenso espresso del Segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle Segnalazioni.
Conseguentemente, nel caso in cui il Comitato ritenga necessario, ai fini della gestione della Segnalazione, il coinvolgimento di soggetti ad esso non appartenenti (es. consulenti, professionisti esterni, etc.), la comunicazione del nome del segnalante e/o di qualsiasi ulteriore informazione che possa consentire di risalire all’identità di tale soggetto è subordinata alla raccolta di un consenso scritto del Segnalante a cura del Comitato Whistleblowing.
Il trattamento di tutti questi elementi deve essere improntato alla massima cautela a cominciare dall’”oscuramento” dei dati personali relativi al Segnalante attraverso i mezzi utilizzati per la gestione della Segnalazione.
Nell’ambito del procedimento disciplinare attivato contro il presunto autore della condotta segnalata:
l’identità del Segnalante non potrà essere rivelata ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla Segnalazione, anche se conseguenti alla stessa;
nel caso in cui la contestazione sia fondata in tutto o in parte sulla Segnalazione e la conoscenza dell’identità del Segnalante sia indispensabile per la difesa dell’incolpato, questa potrà essere rivelata solo dietro consenso espresso del Segnalante;
dovrà essere tutelata l'identità delle persone coinvolte e delle persone menzionate nella Segnalazione fino alla conclusione dei procedimenti avviati in ragione della Segnalazione nel rispetto delle medesime garanzie previste in favore del Segnalante.
Coerentemente con quanto previsto dalla normativa di riferimento, deve essere garantita la riservatezza anche dei soggetti diversi dal Segnalante, ma coinvolti nella Segnalazione e beneficiari delle tutele previste dal Decreto (come individuati nel precedente paragrafo 3 “Segnalanti e altri soggetti che godono di tutela”), la cui identità dovrà essere conseguentemente mantenuta riservata dal Comitato Whistleblowing attraverso le modalità di gestione delle correlate informazioni di cui sopra, salvo espresso obbligo a comunicare tali informazioni connesso all’applicazione di disposizioni normative o ove ottenuto l’espresso consenso dell’interessato. Di seguito il link al modulo per l’acquisizione del consenso.
Con riferimento al soggetto segnalato, la normativa non riconosce tuttavia il diritto di essere sempre informato della Segnalazione che lo riguarda. Fa infatti eccezione al dovere di riservatezza delle persone coinvolte o menzionate nella segnalazione il caso in cui le segnalazioni siano oggetto di denuncia alle Autorità giudiziarie (ciò trova conferma nel fatto che il legislatore, nel prevedere la tutela della riservatezza nei procedimenti giudiziari, fa riferimento solo all’identità del segnalante e non anche a quella della persona coinvolta o menzionata nella segnalazione).
Nella gestione della Segnalazione dovranno in ogni caso essere adottate tutte le necessarie cautele al fine di evitare la indebita circolazione di informazioni personali, non solo verso l’esterno, ma anche all’interno dell’organizzazione.
5.2 Trattamento dei dati personali
La gestione delle Segnalazioni deve avvenire in conformità alla normativa in tema di tutela dei dati personali. In tale contesto:
ciascuna entità PwC dotata di un canale whistleblowing è Titolare del relativo trattamento dei dati personali, ai sensi del Regolamento Europeo n. 679/2016 (di seguito “GDPR” o “Regolamento”) e delle ulteriori fonti normative in materia di protezione dei dati personali;
ai sensi del Regolamento, il Fornitore della Piattaforma è nominato da ciascun Titolare quale Responsabile del trattamento, ai sensi dell’articolo 28, GDPR;
i professionisti individuati per la gestione della segnalazione (Comitato Whistleblowing) operano quali soggetti autorizzati al trattamento dei dati personali, ai sensi degli articoli 29 e 32, comma 4, GDPR nonché dell’articolo 2-quaterdecies, DLgs. 196/2003 (“Codice Privacy”).
Nella gestione delle Segnalazioni, il Titolare del trattamento e ciascun membro del Comitato Whistleblowing, nell’ambito dei rispettivi ruoli e responsabilità, sono tenuti ad osservare i seguenti principi fondamentali, comunicando prontamente agli altri componenti del Comitato eventuali anomalie o situazioni di non conformità:
le informazioni di natura personale (di seguito anche “Dati”) dei soggetti interessati devono essere trattate in modo lecito, corretto e trasparente nei confronti dei soggetti interessati, in conformità alle disposizioni normative in materia di protezione dei dati personali e di ogni ulteriore normativa applicabile;
i Dati devono essere raccolti e trattati unicamente al fine di gestire e dare seguito alle Segnalazioni;
possono essere raccolti e utilizzati unicamente i Dati ritenuti adeguati, pertinenti e utili per la gestione della Segnalazione. A tal riguardo, i dati personali che manifestamente non sono utili per la gestione di una specifica Segnalazione non sono raccolti o, se raccolti accidentalmente, devono essere cancellati. Pertanto, qualora la Segnalazione contenga informazioni eccedenti, il Comitato valuterà l'adozione delle più opportune iniziative volte alla cancellazione dei Dati non pertinenti, se del caso chiedendo al Segnalante l'eliminazione delle informazioni da esso fornite e ritenute non necessarie per la gestione della Segnalazione;
i Dati devono essere esatti e, se necessario, aggiornati; a tale proposito, devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti relativi alla specifica Segnalazione. Anche in questo caso, ove possibile tali interventi possono essere svolti in coordinamento con il soggetto Segnalante;
i Dati devono essere conservati con modalità e strumenti che consentano l'identificazione degli interessati solo per il tempo necessario al trattamento della specifica Segnalazione e in ogni caso nel rispetto delle tempistiche definite dalla legge;
i Dati devono essere cancellati, tramite processi manuali o automatizzati dai componenti del Comitato, non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura di Segnalazione;
il trattamento deve essere eseguito ricorrendo a idonei strumenti di protezione dei dati personali, quali la crittografia e ulteriori misure tecniche e organizzative atte a prevenire la perdita, la distruzione, l’accesso e l’uso non autorizzato;
il Titolare, eventualmente anche su iniziativa del Comitato, dispone periodicamente il riesame e l’aggiornamento delle misure di sicurezza adottate;
il rischio del trattamento deve essere esaminato dal Titolare del trattamento tramite la redazione e il periodico aggiornamento di una valutazione d’impatto sulla protezione dei Dati, ai sensi dell’articolo 35, GDPR, sotto il coordinamento e la supervisione dell’Unità Data Protection;
gli interessati (ad es. Segnalanti, facilitatori, ecc.) ricevono l’informativa sul trattamento dei dati personali ai sensi degli articoli 13 e 14, GDPR, tramite la piattaforma utilizzata per la gestione delle Segnalazioni; tale documento indica anche le modalità di esercizio dei diritti degli interessati riconosciuti dal GDPR;
nel caso in cui il Comitato ritenga necessario, ai fini della gestione della Segnalazione, il coinvolgimento di terzi (soggetti estranei al Comitato) deve essere favorita la condivisione di dati e informazioni con modalità che consentano di preservare l'anonimato di tutti i soggetti coinvolti; la comunicazione a soggetti terzi del nome del Segnalante e/o di qualsiasi ulteriore informazione che possa consentire di risalire all’identità di tale soggetto è subordinata alla raccolta di un consenso scritto del Segnalante a cura dei membri del Comitato Whistleblowing; il Titolare del trattamento, per il tramite dell’Unità Data Protection, censisce il trattamento in questione nel Registro delle attività di trattamento previsto dall’articolo 30, GDPR, tenuto conto delle informazioni connesse a quelle di acquisizione e gestione delle Segnalazioni;
anche attraverso le caratteristiche dello strumento utilizzato,
non deve essere possibile il tracciamento del Segnalante al canale di segnalazione, dovendo essere individuabile l’identità del Segnalante unicamente dalle informazioni fornite e autorizzate dallo stesso;
deve essere ripercorribile l’attività svolta dai componenti del Comitato (per tutto il tempo di conservazione dei dati della Segnalazione), al fine di evitare l’uso improprio di Dati relativi alla Segnalazione.
Tutela dalle ritorsioni per il Segnalante e i soggetti che godono di analoghe misure di tutela
Coerentemente con lo spirito della norma e con i propri valori, PwC incoraggia le Segnalazioni di comportamenti non conformi alla legge e alle normative interne ed esterne. Conseguentemente, è da ritenersi inammissibile qualsiasi ritorsione definita dal Decreto come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all'autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto”.
Tali tutele devono essere assicurate tanto al Segnalante quanto ai soggetti che godono di misure di tutela analoghe a quella del Segnalante.
Affinché un comportamento, un atto o un’omissione sfavorevole subiti direttamente o indirettamente dal Segnalante possa essere considerata una ritorsione e il soggetto possa beneficiare di protezione, deve sussistere uno stretto collegamento tra tali fatti e la Segnalazione effettuata.
6.1 Condizioni per l’applicazione della tutela dalle ritorsioni
Il regime di protezione per i Segnalanti è previsto quando gli stessi siano in buona fede e nelle condizioni di credere ragionevolmente, anche alla luce delle circostanze del caso concreto e dei dati disponibili al momento della Segnalazione, che le informazioni sulle violazioni segnalate siano veritiere. Non rileva, ai fini delle tutele, la circostanza che il soggetto abbia effettuato Segnalazioni pur non essendo certo dell’effettivo accadimento dei fatti segnalati e/o dell’identità dell’autore degli stessi o riportando anche fatti inesatti per via di un errore genuino.
6.2 Limitazioni di responsabilità per il Segnalante
Nell’ambito delle tutele riconosciute al Segnalante, rientrano le limitazioni della responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni. Tali limitazioni operano al ricorrere di determinate condizioni, in assenza delle quali vi sarebbero conseguenze in termini di responsabilità penale, civile, amministrativa, in particolare:
al momento della rivelazione o diffusione devono sussistere fondati motivi per ritenere che le informazioni siano necessarie per far scoprire la violazione. Il Segnalante, quindi, deve ragionevolmente ritenere, e non in base a semplici illazioni, che quelle informazioni debbano svelarsi perché indispensabili per far emergere la violazione, ad esclusione di quelle superflue e non per ulteriori e diverse ragioni (ad esempio, gossip, scopi vendicativi, opportunistici o scandalistici);
la Segnalazione deve essere effettuata nel rispetto delle condizioni previste dal Decreto Whistleblowing per beneficiare delle tutele (fondato motivo di ritenere che le informazioni sulle violazioni fossero vere e rientrassero tra le violazioni segnalabili ai sensi del Decreto).
Nel caso in cui entrambe tali condizioni siano soddisfatte, al Segnalante non potranno essere ascritte responsabilità civili, penali, amministrative o disciplinari connesse alla rivelazione di tali informazioni.
