Articolo pubblicato su diritto.it
Dopo le linee guida sulle segnalazioni esterne, di cui abbiamo parlato in questo articolo, ANAC licenzia le linee guida sulle segnalazioni interne. Si delinea così un quadro regolatorio a cui enti pubblici ed aziende private con più di 50 dipendenti dovranno adeguarsi.
1. Le basi delle linee guida
Primo elemento che emerge chiaramente da una prima lettura dalle linee guida in commento è l’invito operato dal legislatore, a voler ricorrere in via preferenziale ai canali interni all’organizzazione, in quanto più prossimi all’origine delle questioni oggetto delle segnalazioni: una più efficace prevenzione e un pronto accertamento delle violazioni passano, infatti, attraverso l’acquisizione di informazioni pertinenti da parte dei soggetti maggiormente vicini all’origine delle violazioni stesse. Solo laddove si verifichino le particolari condizioni previste dal legislatore, le persone segnalanti possono fare ricorso al “canale esterno” attivato presso ANAC.
Più in generale, le linee guida in commento rappresentano un’utile occasione per verificare le procedure interne di gestione delle segnalazioni di whistleblowing e, se del caso, applicare dei correttivi.
2. La disciplina del canale interno: il ruolo delle organizzazioni sindacali
L’ente dovrà portare a conoscenza del sindacato i principali elementi che connotano il canale interno come, ad esempio, le modalità di presentazione della segnalazione, la gestione della stessa, l’individuazione del gestore, la formazione specifica del personale addetto, nonché la modalità di diffusione all’interno dell’ente delle informazioni relative all’utilizzo del canale.
L’informativa è trasmessa al sindacato prima della delibera di approvazione dell’atto organizzativo, in modo che sia possibile valutare in tempo utile le considerazioni eventualmente formulate dall’organizzazione sindacale.
3. Modalità di effettuazione della segnalazione scritta
Le segnalazioni di whistleblowing devono essere gestite preferibilmente con apposita piattaforma informatica. Questo perché, attraverso tale strumento software, se adeguatamente progettato e configurato, è possibile adottare stringenti misure di sicurezza e assicurare un più elevato livello di protezione dei dati personali degli interessati sia nella fase di acquisizione delle segnalazioni, sia in quella di gestione delle stesse. Ciò, in particolare, in considerazione della possibilità di cifrare i dati a riposo e di mantenere una interlocuzione riservata con la persona segnalante.
La prima di tali funzionalità consente di mitigare eventi di data breach come, ad esempio, nel caso di accesso abusivo effettuato da terzi a seguito di attacco informatico. La seconda funzionalità consente, tramite l’adozione di un codice identificativo della segnalazione noto solo alla persona segnalante, di mantenere le interlocuzioni con la stessa (art. 5, d.lgs. n. 24/2023), garantendo la riservatezza dell’identità del whistleblower.
Tuttavia, la scelta dello strumento adottato per l’acquisizione e la gestione delle segnalazioni deve essere operata alla luce delle specificità del contesto organizzativo di riferimento, assicurando, in ogni caso, un livello di sicurezza adeguato agli specifici rischi per gli interessati e adottando scelte conformi ai principi della “protezione dei dati fin dalla progettazione” e della “protezione per impostazione predefinita”, anche tenendo conto delle osservazioni formulate dal responsabile della protezione dei dati (RPD), ove nominato.
Precisano, inoltre, le linee guida in commento che:
➢ occorre invitare le persone segnalanti ad utilizzare esclusivamente i canali appositamente istituiti per presentare segnalazioni, proprio perché tali canali offrono maggiori garanzie in termini di sicurezza. Anche nell’eventualità in cui una segnalazione sia inviata per errore mediante canali alternativi, deve comunque essere assicurata la riservatezza dell’identità della persona segnalante e la protezione dei dati di tutti gli interessati;
➢ il ricorso alla posta elettronica (ordinaria o certificata) deve essere considerato di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante, anche tenuto conto del rischio che i sistemi informatici per la gestione della posta elettronica possano generare e raccogliere per impostazione predefinita, in modo preventivo e generalizzato, i log relativi all’invio e alla ricezione dei messaggi di posta elettronica e conservare gli stessi anche per un esteso arco temporale. Il rischio di poter risalire, anche indirettamente, all’identità della persona segnalante è, peraltro, ulteriormente aggravato nel caso in cui il whistleblower utilizzi, al fine di presentare la segnalazione, la casella di posta elettronica fornita dal datore di lavoro;
➢ nel caso in cui l’accesso ai canali interni di segnalazione avvenga dalla rete dati interna del soggetto obbligato/datore di lavoro, occorre garantire la non tracciabilità della persona segnalante nel momento in cui viene stabilita la connessione a tali canali, sia sulle piattaforme informatiche che negli apparati (es. firewall o proxy) eventualmente coinvolti nella trasmissione delle comunicazioni del segnalante. Sul punto, si vedano i provvedimenti del garante privacy doc web 9768363 e 9768387 commentati in questo articolo.
Laddove non si adotti un’apposita piattaforma informatica e al fine di garantire la riservatezza, si
ribadisce la possibilità di utilizzare la protocollazione riservata in doppia busta. La prima busta contenente i dati identificativi della persona segnalante unitamente alla fotocopia del documento di riconoscimento; la seconda, con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” indirizzata al gestore della segnalazione (ad es. “riservata al RPCT”). La segnalazione sarà poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore
3. La segnalazione in forma orale
La segnalazione in forma orale può essere effettuata, in via alternativa, secondo le seguenti modalità:
➢ attraverso linee telefoniche: ad esempio, con l’attivazione di una linea telefonica gratuita ad hoc gestita da un operatore autorizzato che acquisisce le segnalazioni e le registra;
➢ attraverso sistemi di messaggistica vocale: ad esempio, con l’adozione di un sistema di segreteria che riceve le segnalazioni sotto forma di messaggi vocali, oppure di una casella vocale sulla piattaforma informatica;
➢ su richiesta della persona segnalante, attraverso un incontro diretto da effettuare entro un termine ragionevole, che potrebbe svolgersi in un luogo esterno alla sede dell’amministrazione/ente, al fine di garantire la riservatezza della persona segnalante e del
contenuto della segnalazione.
Ferma restando la piena discrezionalità in capo all’ente nella scelta della modalità più adatta, in base alla relativa struttura organizzativa, per l’effettuazione delle segnalazioni orali, ciascuna
amministrazione/ente potrà valutare se limitare o meno ad alcuni giorni lavorativi e/o a specifiche fasce orarie l’acquisizione delle segnalazioni.
Di primaria importanza è, altresì, la previsione di modalità di tracciamento delle segnalazioni orali,
soprattutto al fine di garantire un effettivo e corretto procedimento.
Nel caso di utilizzo di una linea telefonica o di un sistema di messaggistica che prevedono un sistema di registrazione, il gestore della segnalazione potrebbe conservare quest’ultima, previo consenso della persona segnalante, mediante la registrazione su un dispositivo idoneo alla conservazione e all’ascolto. Diversamente, nel caso di utilizzo di linee telefoniche non registrate, al momento della ricezione della segnalazione, il personale competente potrebbe documentare la stessa mediante un resoconto dettagliato della conversazione. In caso di incontro diretto, infine, il gestore potrebbe procedere – previo consenso della persona segnalante – alla registrazione dell’incontro attraverso dispositivi idonei alla conservazione e all’ascolto o, nel caso in cui non si possa procedere alla registrazione, redigere un verbale che dovrà essere sottoscritto anche dalla persona segnalante.
Resta fermo che, laddove si proceda alla trascrizione della segnalazione, il contenuto di quest’ultima può essere sempre verificato e rettificato dalla persona segnalante al momento della sottoscrizione.
4. Caratteristiche del gestore del canale interno
Il d.lgs. n. 24/2023 prevede che la gestione della segnalazione sia affidata ad un soggetto, interno o esterno all’amministrazione, o ad un ufficio dedicato, che sia dotato di autonomia.
Tale requisito va declinato in termini di:
• Imparzialità: il gestore deve operare in maniera neutrale ed equidistante rispetto alle parti coinvolte, svolgendo un’attività scevra da condizionamenti o favoritismi.
• Indipendenza: il gestore deve essere un soggetto in grado di svolgere liberamente, senza interferenze, le attività cui è tenuto ai fini della gestione della segnalazione. In altri termini, deve possedere un’autonomia operativa e valutativa.
A titolo esemplificativo, per le verifiche e gli accertamenti nell’ambito della propria istruttoria, il gestore deve poter: a) disporre di pieno accesso ai servizi dell’ente (come banche dati, piattaforme, data-base e ogni altro applicativo in uso presso l’ente che sia necessario);
b) coinvolgere, ove ritenuto opportuno, altre strutture interne o esterne all’ente.
Pertanto, al fine di garantire un’autonomia nei termini sopra descritti, si raccomanda alle amministrazioni/enti di evitare l’attribuzione agli organi di vertice e/o controllo di poteri di supervisione sulla gestione delle segnalazioni o della competenza ad adottare i provvedimenti decisionali.
In base al citato art. 4 il gestore deve essere anche un soggetto specificamente formato.
In particolare, è fondamentale che la scelta ricada su un soggetto che disponga di tutti gli elementi
conoscitivi e delle competenze per una efficace gestione della segnalazione.
È preferibile che si tratti di un soggetto con una buona conoscenza in campo giuridico, etico e dell’integrità e destinatario privilegiato di adeguata formazione in materia di whistleblowing e trattamento dei dati personali.
È quanto mai opportuno selezionare un soggetto che abbia adeguata conoscenza dell’organizzazione e del funzionamento dell’amministrazione/ente.
Laddove la scelta dell’ente ricada su un soggetto esterno, è necessario che quest’ultimo riceva strumenti e materiali utili per assolvere alle funzioni che è chiamato a svolgere. Ad esempio, l’ente potrà fornire al gestore esterno un organigramma dettagliato al fine di migliorare la conoscenza del gestore in merito al contesto interno, l’ente potrà organizzare momenti di incontro con i diversi uffici/settori dello stesso.
Tenuto conto della delicatezza del compito cui è chiamato e del contatto diretto con la persona
segnalante, inoltre, la scelta del gestore dovrebbe ricadere su un soggetto che gode, all’interno dell’ente, di una buona reputazione e stima da parte dei colleghi.
Nel caso in cui sia individuato un soggetto esterno, la credibilità potrà essere valutata considerando, ad esempio, le pregresse esperienze.
Tale requisito, ad avviso di ANAC, può contribuire ad accrescere la fiducia dei potenziali whistleblowers, (incoraggiando l’utilizzo del canale interno) e, nel contempo, a tutelare l’immagine dell’ente).
5. Attività del gestore
Ricevuta la segnalazione, il gestore dovrà, in primo luogo accertare se sia una segnalazione whistleblowing o se si versi in presenza di una segnalazione anonima da considerarsi come ordinaria. In questo ultimo caso, l’ente è comunque tenuto a registrare la segnalazione anonima e conservare la relativa documentazione, rendendo così possibile rintracciarla qualora la persona segnalante comunichi ad ANAC di aver subìto misure ritorsive a causa di quella segnalazione anonima.
In presenza di una segnalazione whistleblowing, le diverse fasi di attività del gestore della segnalazione potrebbero, a titolo esemplificativo, essere articolate come segue.
A) Avviso di ricevimento della segnalazione. Il gestore della segnalazione è tenuto a rilasciare alla
persona segnalante tale avviso entro sette giorni dalla presentazione della segnalazione stessa.
Si precisa che l’avviso non implica, per il gestore, alcuna valutazione dei contenuti oggetto della segnalazione, ma assume un carattere meramente informativo nei confronti della persona segnalante.
L’avviso di ricevimento, a seconda della modalità utilizzata, sarà comunicato mediante la piattaforma informatica o, in caso di mancato utilizzo della piattaforma, allo specifico recapito indicato dalla persona segnalante nella segnalazione o, in assenza di quest’ultima indicazione, a quello utilizzato dalla persona segnalante per inoltrare la segnalazione.
B) Esame preliminare della segnalazione ricevuta. Durante tale fase, è necessario che il gestore valuti l’ammissibilità della segnalazione.
Il gestore verificherà quindi la sussistenza dei presupposti soggettivi e oggettivi definiti dal legislatore per effettuare la segnalazione.
Nello specifico, sarà chiamato a valutare che la segnalazione:
– sia presentata da uno dei soggetti legittimati ai sensi del d.lgs. n. 24/2023 e che l’oggetto della
stessa rientri nell’ambito di applicazione del medesimo decreto;
– si basi su fatti sufficientemente precisi;
– consenta l’individuazione delle circostanze di tempo e luogo in cui si è verificato il fatto oggetto di segnalazione e, quindi, una descrizione dei fatti oggetto della segnalazione, e, ove presenti, anche delle modalità attraverso cui il segnalante è venuto a conoscenza dei fatti;
– contenga le generalità o altri elementi che consentano di identificare la persona coinvolta nella segnalazione.
Resta ferma la possibilità per il gestore di richiedere alla persona segnalante – ove ritenuti necessari – ulteriori elementi a supporto della propria segnalazione.
In mancanza di uno o più di tali elementi o nel caso non siano state fornite le integrazioni richieste, il gestore potrà dichiarare inammissibile la segnalazione e archiviarla, fornendo in ogni caso alla persona segnalante la motivazione della decisione.
C) Istruttoria e accertamento della segnalazione. Una volta appurato che la segnalazione è ammissibile, il gestore può procedere con l’istruttoria vera e propria, che consiste nell’effettuare tutte le opportune verifiche, analisi e valutazioni specifiche circa la fondatezza o meno dei fatti segnalati.
Tali attività di accertamento possono essere svolte, ad esempio:
– direttamente, acquisendo gli elementi informativi necessari alle valutazioni dall’analisi della documentazione/informazioni già ricevute con la segnalazione;
– attraverso eventuali documenti integrativi richiesti al fine di circostanziare meglio la segnalazione;
– mediante il coinvolgimento di altre strutture interne all’amministrazione/ente o anche di soggetti
specializzati esterni, in considerazione delle specifiche competenze tecniche e professionali che risultano necessarie per il caso di specie;
– tramite audizione di eventuali ulteriori soggetti interni/esterni.
Nel caso in cui il gestore si avvalga del supporto specialistico del personale di altre strutture interne o esterne dell’ente, resta fermo l’obbligo di garantire la riservatezza ai sensi dell’art. 12 del d.lgs. n. 24/2023.
Una volta completata l’attività di accertamento, il gestore della segnalazione può:
– archiviare la segnalazione perché infondata, motivandone le ragioni;
– rivolgersi agli organi/funzioni interne ed esterni competenti per i relativi seguiti. A tal riguardo, si precisa che al gestore della segnalazione non compete alcuna valutazione in ordine alle responsabilità individuali e agli eventuali successivi provvedimenti o procedimenti conseguenti alla
propria istruttoria.
D) Riscontro alla persona segnalante. Il gestore è tenuto a comunicare alla persona segnalante gli esiti relativi alla propria segnalazione: l’archiviazione; l’avvenuto accertamento della fondatezza della segnalazione e la sua trasmissione agli organi competenti.
Il d.lgs. n. 24/2023 prevede che il riscontro debba essere fornito al segnalante entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione (cfr. art. 5, co. 1, lett. d)). Come già chiarito nelle LLGG n. 311/202327, il termine non è perentorio. Può, infatti, verificarsi che alcuni accertamenti e analisi richiedano tempi maggiori. In tal caso, il riscontro alla persona segnalante assume un carattere interlocutorio ed è volto ad informarlo circa lo stato di avanzamento dell’istruttoria da parte del gestore e/o delle attività che quest’ultimo intende svolgere.
Resta, tuttavia, ferma la necessità di comunicare alla persona segnalante l’esito finale dell’istruttoria della segnalazione.
È fondamentale che il gestore mantenga un’interlocuzione con la persona segnalante durante tutto il processo di gestione della segnalazione, interlocuzione che potrà avvenire mediante la piattaforma informatica, ove istituita, o con il recapito specifico indicato nella segnalazione o, in assenza di quest’ultimo, con quello utilizzato dalla persona segnalante per inoltrare la segnalazione (art. 5, d.lgs. n. 24/2023).
E) Conservazione della documentazione inerente alla segnalazione e cancellazione
Una volta concluse le attività di gestione della segnalazione, il gestore, tenuto conto della previsione di cui all’art.1428 del d.lgs. n. 24/2023, dovrà cancellare sia la segnalazione, sia la relativa documentazione al più tardi decorsi cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione.
Resta inteso che potranno, invece, essere conservati gli atti e i documenti che afferiscono ai procedimenti avviati e alle iniziative assunte dal datore di lavoro (ad esempio, procedimento disciplinare; trasmissione degli atti alle autorità competenti; ecc.) che abbiano avuto origine in tutto o in parte dalla segnalazione.
Ciò in considerazione della circostanza che tali atti e documenti non contengono di regola riferimenti puntuali al segnalante, fatto salvo quanto previsto dall’art. 12, co. 5, del d.lgs. n. 24/2023, ai sensi del quale, quando la contestazione disciplinare “sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità”.
6. Codici di comportamento
L’applicazione della nuova disciplina whistleblowing ha delle ricadute anche sui doveri di comportamento del personale, sia nei soggetti sia del settore pubblico che in quelli del settore privato.
Occorre allineare il codice di comportamento di cui al d.P.R. n. 62/2013 (aggiornato con d.P.R. n. 81/2023) alla nuova disciplina di cui al d.lgs. n. 24/2023, alle forme di responsabilità specifica che scaturiscono dalla gestione delle segnalazioni.
In particolare, si raccomanda alle pubbliche amministrazioni, di cui all’art. 1, co. 2, del citato d.lgs. n. 165/2001, di inserire nei codici apposite disposizioni dedicate al whistleblowing, in cui richiamare i doveri di tutti i soggetti coinvolti di:
– rispettare gli obblighi di riservatezza dell’identità della persona segnalante, della persona segnalata, delle persone menzionate nella segnalazione e degli altri soggetti da tutelare, nonché del contenuto della segnalazione e della relativa documentazione;
– trasmettere immediatamente la segnalazione whistleblowing al soggetto interno competente, laddove la stessa sia ricevuta erroneamente;
– richiamare il divieto di ritorsioni, anche solo tentate o minacciate, in ragione della segnalazione, con rinvio alle esemplificazioni contenute nel d.lgs. n. 24/2023 e ai chiarimenti forniti con le LLGG
ANAC n. 311/2023.
In ragione dell’inserimento, nei codici di comportamento, degli obblighi relativi alla riservatezza e al divieto di ritorsione, questi assumono natura di doveri d’ufficio con conseguente possibile responsabilità disciplinare e irrogazione delle relative sanzioni da parte dell’amministrazione in caso di violazione degli stessi.
7. La formazione
Il d.lgs. n. 24/2023 sensibilizza gli enti e le amministrazioni ad avviare specifiche attività di formazione e informazione per garantire una gestione consapevole e accurata delle segnalazioni whistleblowing.
Una formazione regolare e con cadenza periodica in materia – tenuto anche conto che la tutela del
whistleblower rientra a pieno titolo tra le misure generali di prevenzione della corruzione – è infatti essenziale per creare una cultura di trasparenza e integrità all’interno dell’organizzazione, che rafforza la fiducia dei dipendenti nell’ente e promuove un ambiente lavorativo più etico e responsabile.
Andrà, tuttavia, prevista specifica formazione al personale che gestisce le segnalazioni, con l’obiettivo di fornire loro le competenze fondamentali e necessarie nell’implementazione e nella gestione efficace dei processi di whistleblowing nonché le conoscenze sulle tematiche oggetto delle segnalazioni.
Si ritiene, quindi, che il personale debba essere formato almeno sulle seguenti tematiche:
– i profili normativi in materia di whistleblowing (sia la normativa europea che le disposizioni contenute nel d.lgs. n. 24/2023), con particolare attenzione anche alla tematica della protezione dei dati personali, per assicurare la massima sicurezza e riservatezza delle informazioni;
– le procedure e le modalità operative, con focus specifici dedicati agli adempimenti che devono essere svolti dai gestori, compresa la gestione dei conflitti di interesse;
– i principi generali di comportamento (confidenzialità e riservatezza, etica ed integrità, ascolto attivo, competenze comunicative e collaborazione).
La formazione dovrà, infine, coinvolgere anche tutti i dipendenti e collaboratori dell’ente/amministrazione in modo da fornire un quadro chiaro ed esaustivo sulla nuova disciplina, chiarendo, ad esempio, chi è il whistleblower, cosa può essere segnalato e con quali canali, quali sono le tutele che l’ordinamento garantisce alla persona segnalante e quali segnalazioni, invece, non rientrano tra quelle tutelate dalla norma, nonché specificando il coinvolgimento – anche sotto il profilo delle tutele – dei diversi soggetti che operano nel medesimo contesto lavorativo del whistleblower.
Si rammenta in ogni caso che la formazione va sempre affiancata ad una corretta informazione da parte degli enti/amministrazioni, sul sito istituzionale e nei luoghi di lavoro, sull’utilizzo del canale interno e di quello esterno gestito dall’ANAC, come previsto dall’art. 5, co. 1, lett. e) del d.lgs. n. 24/2023 e come già indicato nel § 3.1. delle LLGG ANAC n. 311/2023 cui si rinvia per maggiori dettagli.
8. Sanzioni
Resta confermato il potere di applicare la sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando l’ANAC ravvisa, all’interno dei soggetti del settore pubblico e privato, la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure per l’effettuazione e la gestione delle segnalazioni o la presenza di procedure non conformi a quanto previsto dagli artt. 4 e 511 del decreto (art. 21, co. 1, lett. b) del d.lgs. 24/23).
In tutte le ipotesi appena citate, responsabile è l’organo di indirizzo, sia negli enti del settore pubblico che in quello privato