Il whistleblowing D.Lgs. 24/2023 è la disciplina che obbliga molti enti pubblici e privati a istituire un canale di segnalazione interno, a gestire le segnalazioni con tempi e garanzie definiti e a proteggere chi segnala da qualsiasi ritorsione.
Per le società dotate di Modello 231 non è un adempimento separato: canale interno, divieto di ritorsione e sanzioni disciplinari devono essere previsti nel Modello stesso. Questa guida ricostruisce gli obblighi e i punti di raccordo con il Modello 231 e con l'Organismo di Vigilanza.
Il quadro normativo: direttiva (UE) 2019/1937 e D.Lgs. 24/2023
La direttiva (UE) 2019/1937 riguarda la protezione delle persone che segnalano violazioni del diritto dell'Unione. L'Italia l'ha recepita con il decreto legislativo 10 marzo 2023, n. 24, che riunisce in un unico testo la disciplina del settore pubblico e di quello privato.
In precedenza, nel settore privato il whistleblowing riguardava solo gli enti con Modello 231 (art. 6, commi 2-bis e seguenti, D.Lgs. 231/2001, introdotti dalla legge 30 novembre 2017, n. 179). Il D.Lgs. 24/2023 ha esteso gli obblighi anche a enti privi di Modello.
L'Autorità Nazionale Anticorruzione (ANAC) gestisce il canale esterno, adotta linee guida e applica le sanzioni.
Chi è obbligato al whistleblowing nel settore privato
L'art. 2, comma 1, lett. q), individua i soggetti del settore privato tenuti a istituire un canale interno:
- gli enti che nell'ultimo anno hanno impiegato la media di almeno 50 lavoratori subordinati, a tempo indeterminato o determinato;
- gli enti che rientrano nell'ambito di specifici atti dell'Unione richiamati dal decreto (ad esempio servizi finanziari, prevenzione del riciclaggio, sicurezza dei trasporti, tutela dell'ambiente), anche sotto la soglia;
- gli enti che rientrano nell'ambito del D.Lgs. 231/2001 e adottano un Modello 231, anche se non raggiungono la media di 50 lavoratori.
Per gli enti con Modello 231 l'oggetto delle segnalazioni e i canali utilizzabili variano con la dimensione. Sotto la soglia, il decreto si applica alle segnalazioni di condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 o di violazioni del Modello, effettuabili solo attraverso il canale interno. Sopra la soglia, queste segnalazioni restano riservate al canale interno, mentre quelle sulle violazioni del diritto dell'Unione possono seguire anche le vie esterne, alle condizioni di legge.
Il perimetro va verificato caso per caso sull'art. 3 del decreto e sulle indicazioni dell'ANAC. Gli enti con una media non superiore a 249 lavoratori possono condividere il canale interno e la sua gestione (art. 4, comma 4).
Cosa si può segnalare: le segnalazioni whistleblowing
Oggetto della segnalazione sono le violazioni: comportamenti, atti od omissioni che ledono l'interesse pubblico o l'integrità dell'ente. Per il settore privato rilevano, secondo la categoria dell'ente:
- le condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 e le violazioni dei Modelli 231;
- gli illeciti negli ambiti degli atti dell'Unione indicati dal decreto, tra cui appalti pubblici, servizi finanziari, sicurezza dei prodotti e dei trasporti, ambiente, salute pubblica, tutela dei consumatori, protezione dei dati personali e sicurezza delle reti;
- gli atti od omissioni che ledono gli interessi finanziari dell'Unione o riguardano il mercato interno, comprese concorrenza e aiuti di Stato.
Rientrano anche i fondati sospetti su violazioni che, sulla base di elementi concreti, potrebbero essere commesse, e le condotte volte a occultarle. Sono escluse le contestazioni legate a un interesse personale che riguardano esclusivamente il proprio rapporto individuale di lavoro (art. 1, comma 2).
Possono segnalare, tra gli altri, dipendenti, lavoratori autonomi, collaboratori, consulenti, volontari, tirocinanti, azionisti e chi ha funzioni di amministrazione, direzione, controllo o vigilanza, anche prima dell'inizio o dopo la fine del rapporto.
I canali: interno, esterno ANAC, divulgazione pubblica, denuncia
Il decreto prevede quattro strumenti: il canale interno dell'ente, il canale esterno dell'ANAC, la divulgazione pubblica e la denuncia all'autorità giudiziaria o contabile.
Il canale interno è la via ordinaria. All'ANAC ci si può rivolgere solo alle condizioni dell'art. 6:
- il canale interno non è obbligatorio, non è stato attivato o non è conforme alla legge;
- una segnalazione interna già effettuata non ha avuto seguito;
- vi sono fondati motivi di ritenere che una segnalazione interna non avrebbe efficace seguito o esporrebbe a ritorsioni;
- vi è fondato motivo di ritenere che la violazione costituisca un pericolo imminente o palese per il pubblico interesse.
La divulgazione pubblica è tutelata solo alle condizioni dell'art. 15: precedenti segnalazioni rimaste senza riscontro nei termini, pericolo imminente o palese per il pubblico interesse, oppure fondato timore che la segnalazione esterna comporti ritorsioni o resti senza efficace seguito.
Come gestire il canale di segnalazione interno
Il canale interno deve garantire, anche con strumenti di crittografia, la riservatezza dell'identità del segnalante, della persona coinvolta e delle persone menzionate, oltre che del contenuto della segnalazione e dei documenti (art. 4). Si attiva sentite le rappresentanze o le organizzazioni sindacali.
La gestione è affidata a una persona o a un ufficio interno autonomo, dedicato e con personale specificamente formato, oppure a un soggetto esterno con gli stessi requisiti. Le segnalazioni possono essere scritte, anche con piattaforma informatica, oppure orali, tramite linee telefoniche, messaggistica vocale o, su richiesta, un incontro diretto. La procedura deve regolare i conflitti di interesse: chi gestisce il canale non istruisce segnalazioni che lo riguardano.
Obblighi del gestore e tempi
| Adempimento | Contenuto | Termine |
|---|---|---|
| Avviso di ricevimento | Conferma al segnalante che la segnalazione è stata ricevuta | Entro 7 giorni dalla ricezione |
| Interlocuzione | Mantenere i contatti e chiedere integrazioni se necessario | Per tutta la gestione |
| Seguito | Valutare ammissibilità e fondatezza, svolgere le verifiche | Con diligenza |
| Riscontro | Comunicare il seguito dato o che si intende dare | Entro 3 mesi dall'avviso o, in mancanza, dalla scadenza dei 7 giorni dalla presentazione |
| Inoltro | Trasmettere al gestore la segnalazione ricevuta da chi non è competente | Entro 7 giorni, informando il segnalante |
| Segnalazioni orali | Registrazione, trascrizione o verbale, verificabili e sottoscrivibili dal segnalante | Al momento della segnalazione |
| Conservazione | Segnalazioni e documentazione | Per il tempo necessario, non oltre 5 anni dalla comunicazione dell'esito finale |
Il decreto estende le tutele anche al segnalante anonimo successivamente identificato che subisca ritorsioni: è quindi prudente che la procedura disciplini registrazione, conservazione e valutazione delle segnalazioni anonime circostanziate.
Riservatezza e protezione dei dati
L'identità del segnalante, e ogni informazione da cui possa ricavarsi, non può essere rivelata senza il suo consenso espresso a persone diverse da quelle competenti e autorizzate (art. 12). Nel procedimento disciplinare, se la contestazione si fonda in tutto o in parte sulla segnalazione e l'identità è indispensabile per la difesa dell'incolpato, la segnalazione è utilizzabile solo con il consenso espresso del segnalante, previa comunicazione scritta delle ragioni.
Sul piano dei dati personali (art. 13), l'ente è titolare e il fornitore della piattaforma è di regola responsabile ex art. 28 GDPR. Servono una valutazione d'impatto (art. 35 GDPR) e un'informativa; i dati manifestamente non utili vanno cancellati subito. L'art. 2-undecies del Codice privacy limita i diritti dell'interessato quando possa derivarne un pregiudizio alla riservatezza del segnalante.
Divieto di ritorsioni e tutele del segnalante
Il segnalante è protetto se aveva fondato motivo di ritenere vere le informazioni e rientranti nell'ambito del decreto, e se ha rispettato canali e condizioni previste. I motivi personali sono irrilevanti.
L'art. 17 vieta qualsiasi ritorsione, dal licenziamento al mutamento di funzioni, dalle note di merito negative al mancato rinnovo di un contratto a termine. Le tutele principali:
- inversione dell'onere della prova: si presume che l'atto sfavorevole sia conseguenza della segnalazione e spetta a chi lo ha adottato provare ragioni estranee;
- nullità degli atti ritorsivi, con diritto alla reintegrazione in caso di licenziamento, e possibilità di comunicare le ritorsioni all'ANAC;
- limitazioni di responsabilità per la rivelazione di alcune informazioni coperte da segreto, se necessaria a svelare la violazione, ferme le norme sul segreto professionale forense e medico;
- invalidità di rinunce e transazioni sui diritti previsti dal decreto, salvo che siano concluse nelle sedi protette.
La protezione si estende ai facilitatori, a parenti e persone legate al segnalante nello stesso contesto lavorativo, ai colleghi con rapporto abituale e agli enti di sua proprietà. Viene meno se è accertata, anche con sentenza di primo grado, la responsabilità penale del segnalante per diffamazione o calunnia, o quella civile per lo stesso titolo per dolo o colpa grave.
Sanzioni ANAC per il whistleblowing
L'art. 21 prevede sanzioni amministrative pecuniarie:
- da 10.000 a 50.000 euro per ritorsioni, ostacolo alla segnalazione o violazione della riservatezza;
- da 10.000 a 50.000 euro per mancata istituzione dei canali, mancata adozione di procedure o procedure non conformi, mancata verifica e analisi delle segnalazioni;
- da 500 a 2.500 euro a carico del segnalante che perde le tutele per responsabilità civile, salvo che sia già stato condannato in sede penale per diffamazione o calunnia.
Il raccordo con il Modello 231 e con l'Organismo di Vigilanza
L'art. 6, comma 2-bis, del D.Lgs. 231/2001, come riscritto dal D.Lgs. 24/2023, stabilisce che i Modelli prevedono i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare. L'art. 21, comma 2, del D.Lgs. 24/2023 richiede che il sistema disciplinare sanzioni i responsabili degli illeciti puniti dall'ANAC.
Il Modello va quindi aggiornato in tre punti: la Parte Generale, con il rinvio alla procedura whistleblowing; il sistema disciplinare, con le sanzioni per chi viola il decreto e per il segnalante nei casi dell'art. 16, comma 3; i flussi informativi verso l'OdV, perché le segnalazioni su illeciti 231 o violazioni del Modello devono arrivare all'Organismo.
La legge non indica chi debba essere il gestore: può essere l'OdV, una funzione interna o un professionista esterno, con una scelta motivata alla luce di autonomia e competenza. Se il gestore non è l'OdV, serve un flusso tempestivo verso l'Organismo per le segnalazioni di rilievo 231. In ogni caso l'OdV vigila sul funzionamento del sistema.
Le informazioni da pubblicare sul sito e da rendere accessibili
L'ente deve mettere a disposizione informazioni chiare su canale, procedure e presupposti per le segnalazioni interne ed esterne (art. 5). Vanno esposte nei luoghi di lavoro, rese accessibili anche a chi ha un rapporto giuridico con l'ente senza frequentarli e, se l'ente ha un sito internet, pubblicate in una sezione dedicata.
La sezione indica almeno: chi può segnalare e che cosa; come accedere al canale; chi gestisce le segnalazioni; i tempi di avviso e riscontro; le tutele; le condizioni per rivolgersi all'ANAC; l'informativa privacy.
Checklist di adempimenti per il whistleblowing 231
- Verificare se l'ente è obbligato e in quale categoria rientra.
- Nominare il gestore e assicurarne la formazione.
- Scegliere i canali e le misure di riservatezza, inclusa la crittografia.
- Sentire le rappresentanze o le organizzazioni sindacali.
- Adottare la procedura: ricezione, avviso, istruttoria, riscontro, conflitti di interesse, conservazione.
- Completare gli adempimenti privacy: valutazione d'impatto, informativa, nomine, autorizzazioni.
- Aggiornare il Modello 231: Parte Generale, sistema disciplinare, flussi verso l'OdV.
- Pubblicare le informazioni sul sito e nei luoghi di lavoro.
- Formare il personale, anche sul divieto di ritorsioni.
- Predisporre la modulistica: modulo di segnalazione, avviso di ricevimento, registro, verbale delle segnalazioni orali.
Come lo fa 231 AI
Nel fascicolo generato con 231 AI la procedura whistleblowing è un documento standard, coordinato con Parte Generale, sistema disciplinare e flussi verso l'OdV, insieme alla modulistica: modulo di segnalazione, ricevuta di avviso di ricevimento e registro delle segnalazioni.
231 AI predispone anche le informazioni da pubblicare sul sito dell'ente. L'intelligenza artificiale propone, l'avvocato rivede e approva. Richiedi una demo.
Domande frequenti
Il whistleblowing è obbligatorio per una società con meno di 50 dipendenti?
Dipende. Sotto la media di 50 lavoratori subordinati l'obbligo sussiste se l'ente opera nei settori regolati da specifici atti dell'Unione, come i servizi finanziari, oppure se ha adottato un Modello 231. In quest'ultimo caso le segnalazioni tutelate riguardano gli illeciti rilevanti ai sensi del D.Lgs. 231/2001 e le violazioni del Modello, e passano solo dal canale interno.
Chi può gestire il canale di segnalazione interno?
Una persona o un ufficio interno autonomo, dedicato e con personale formato, oppure un soggetto esterno con gli stessi requisiti. La legge non impone una funzione precisa: l'ente sceglie, garantendo autonomia, competenza e assenza di conflitti di interesse. Gli enti fino a 249 lavoratori possono condividere il canale e la sua gestione.
L'Organismo di Vigilanza può essere il gestore delle segnalazioni whistleblowing?
Sì, è una soluzione diffusa, purché l'OdV abbia i requisiti di autonomia e la formazione richiesti e la procedura regoli i conflitti di interesse. Se il gestore è un altro soggetto, il Modello deve prevedere un flusso informativo verso l'OdV per le segnalazioni di rilievo 231, nel rispetto della riservatezza del segnalante.
Entro quanto tempo bisogna rispondere a una segnalazione whistleblowing?
Il gestore deve inviare l'avviso di ricevimento entro 7 giorni e fornire un riscontro entro 3 mesi dalla data dell'avviso o, in mancanza, dalla scadenza dei 7 giorni dalla presentazione. Il riscontro informa il segnalante sul seguito dato o che si intende dare, anche se le verifiche non sono concluse.
Le segnalazioni anonime vanno prese in considerazione?
Il D.Lgs. 24/2023 estende le tutele al segnalante anonimo che venga poi identificato e subisca ritorsioni. Per questo la procedura dovrebbe stabilire come registrare, conservare e valutare le segnalazioni anonime circostanziate. Un canale informatico che consente l'anonimato facilita anche l'interlocuzione successiva con il segnalante.
Quali sanzioni rischia un ente che non attiva il canale di segnalazione?
L'ANAC può applicare una sanzione da 10.000 a 50.000 euro se accerta che i canali non sono stati istituiti, che le procedure mancano o non sono conformi, o che le segnalazioni non sono state verificate. Per un ente con Modello 231, inoltre, la mancanza del canale rende il Modello non conforme all'art. 6, comma 2-bis, del D.Lgs. 231/2001.
Approfondisci
Questa pagina ha finalità informative e non costituisce parere legale: l’applicazione della disciplina al singolo ente richiede la valutazione di un professionista.