Linee guida ANAC

Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. 

Procedure per la presentazione e gestione delle segnalazioni esterne. 

Approvate con Delibera n°311 del 12 luglio 2023 

Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne. Approvate con Delibera n°311 del 12 luglio 2023 VISTA la legge 6 novembre 2012, n. 190 «Disposizioni per la prevenzione e la repressione della corruzione e dell’illegalità nella pubblica amministrazione»; VISTO il decreto del Presidente della Repubblica 16 aprile 2013, n. 62 «Regolamento recante codice di comportamento dei dipendenti pubblici, a norma dell’articolo 54 del decreto legislativo 30 marzo 2001, n. 165» e ss.mm.ii; VISTO l’art. 19, co. 15, del decreto legge 24 giugno 2014, n. 90 – convertito con modificazioni dalla l. 11 agosto 2014, n. 114 – «Misure urgenti per la semplificazione e la trasparenza amministrativa e per l’efficienza degli uffici giudiziari» che trasferisce all’Autorità nazionale anticorruzione le funzioni del Dipartimento della funzione pubblica della Presidenza del Consiglio dei Ministri in materia di prevenzione della corruzione, di cui all’articolo 1 della legge 6 novembre 2012 n. 190; VISTA la legge 30 novembre 2017, n. 179 «Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato»; VISTO l’art. 54-bis del decreto legislativo 30 marzo 2001, n. 165, «Tutela del dipendente pubblico che segnala illeciti» come sostituito dall’art. 1 della l. n. 179/2017; VISTA la delibera ANAC del 9 giugno 2021, n. 469 recante «Linee guida in materia di tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza in ragione di un rapporto di lavoro, ai sensi dell’art. 54-bis, del d.lgs. 165/2001 (c.d. whistleblowing)»; VISTA la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione; VISTO il decreto legislativo 10 marzo 2023, n. 24 (in Gazz. Uff. 15 marzo 2023, n. 63) recante «Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. (Decreto whistleblowing)»; VISTO, in particolare, l’art. 10 del decreto legislativo 10 marzo 2023, n. 24 che prevede che ANAC, sentito il Garante per la protezione dei dati personali, adotta, entro tre mesi dalla data di entrata in vigore del decreto, le linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne; VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE; VISTO il decreto legislativo 30 giugno 2003, n. 196 «Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE», e successive modifiche; VISTA la decisione del Consiglio dell’Autorità del 30 maggio 2023 con cui è stato approvato lo schema delle «Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – procedure per la presentazione e gestione delle segnalazioni esterne» e disposta la pubblicazione sul sito istituzionale di ANAC per la consultazione pubblica dal 1° al 15 giugno 2023; VALUTATE le osservazioni e i contributi pervenuti nella consultazione; CONSIDERATE le informazioni pervenute sul parere favorevole del Garante per la protezione dei dati personali; IL CONSIGLIO DELL’AUTORITÀ approva in via definitiva con Delibera n. 311 del 12 luglio 2023 le “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – procedure per la presentazione e gestione delle segnalazioni esterne” disponendo la pubblicazione sul sito istituzionale di ANAC e l’avviso di pubblicazione sulla Gazzetta Ufficiale della Repubblica Italiana. Il Presidente Avv. Giuseppe Busia Depositata presso la Segreteria del Consiglio in data 13 luglio 2023 Il Segretario verbalizzante Valentina Angelucci Atto firmato digitalmente PREMESSA Il decreto legislativo 10 marzo 2023, n. 24 recepisce in Italia la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione. La nuova disciplina è orientata, da un lato, a garantire la manifestazione della libertà di espressione e di informazione, che comprende il diritto di ricevere e di comunicare informazioni, nonché la libertà e il pluralismo dei media. Dall’altro, è strumento per contrastare (e prevenire) la corruzione e la cattiva amministrazione nel settore pubblico e privato. Chi segnala fornisce informazioni che possono portare all’indagine, all’accertamento e al perseguimento dei casi di violazione delle norme, rafforzando in tal modo i principi di trasparenza e responsabilità delle istituzioni democratiche. Pertanto, garantire la protezione – sia in termini di tutela della riservatezza che di tutela da ritorsioni – dei soggetti che si espongono con segnalazioni, denunce o, come si vedrà, con il nuovo istituto della divulgazione pubblica, contribuisce all’emersione e alla prevenzione di rischi e situazioni pregiudizievoli per la stessa amministrazione o ente di appartenenza e, di riflesso, per l’interesse pubblico collettivo. Tale protezione viene, ora, ulteriormente rafforzata ed estesa a soggetti diversi da chi segnala, come il facilitatore o le persone menzionate nella segnalazione, a conferma dell’intenzione, del legislatore europeo e italiano, di creare condizioni per rendere l’istituto in questione un importante presidio per la legalità e il buon andamento delle amministrazioni/enti. Le principali novità contenute nella nuova disciplina sono: – la specificazione dell’ambito soggettivo con riferimento agli enti di diritto pubblico, a quelli di diritto privato e l’estensione del novero di questi ultimi; – l’ampliamento del novero delle persone fisiche che possono essere protette per le segnalazioni, denunce o divulgazioni pubbliche; – l’espansione dell’ambito oggettivo, cioè di ciò che è considerato violazione rilevante ai fini della protezione, nonché distinzione tra ciò che è oggetto di protezione e ciò che non lo è; – la disciplina di tre canali di segnalazione e delle condizioni per accedervi: interno (negli enti con persona o ufficio dedicato oppure tramite un soggetto esterno con competenze specifiche), esterno (gestito da ANAC) nonché il canale della divulgazione pubblica; – l’indicazione di diverse modalità di presentazione delle segnalazioni, in forma scritta o orale; – la disciplina dettagliata degli obblighi di riservatezza e del trattamento dei dati personali ricevuti, gestiti e comunicati da terzi o a terzi; – i chiarimenti su che cosa si intende per ritorsione e ampliamento della relativa casistica; – la disciplina sulla protezione delle persone segnalanti o che comunicano misure ritorsive offerta sia da ANAC che dall’autorità giudiziaria e maggiori indicazioni sulla responsabilità del segnalante e sulle scriminanti; – l’introduzione di apposite misure di sostegno per le persone segnalanti e il coinvolgimento, a tal fine, di enti del Terzo settore che abbiano competenze adeguate e che prestino la loro attività a titolo gratuito; – la revisione della disciplina delle sanzioni applicabili da ANAC e l’introduzione da parte dei soggetti privati di sanzioni nel sistema disciplinare adottato ai sensi del d.lgs. n. 231/2001. Le presenti Linee guida sono volte a dare indicazioni per la presentazione ad ANAC delle segnalazioni esterne e per la relativa gestione, come previsto dall’art. 10 del d.lgs. n. 24/2023, visto il termine stringente per loro adozione disposto dal legislatore. Giova sottolineare che tali Linee Guida forniscono indicazioni e princìpi di cui gli enti pubblici e privati possono tener conto per i propri canali e modelli organizzativi interni, su cui ANAC si riserva di adottare successivi atti di indirizzo. Si fa presente che, laddove possibile, i contenuti della nuova disciplina sono stati messi a confronto con quella previgente al fine di consentire agli interessati di poter valutare le principali innovazioni introdotte a seguito della Direttiva (UE) 2019/1937. Le presenti LLGG sono da intendersi sostitutive delle LLGG adottate dall’Autorità con Delibera n. 469/2021, fatto salvo quanto precisato nella Parte Quarta relativa al regime transitorio. PARTE PRIMA – Ambito di applicazione 1. Ambito soggettivo Il decreto legislativo n. 24/2023 individua l’ambito soggettivo di applicazione della nuova disciplina con contenuti molto innovativi rispetto alla precedente normativa. Vi sono ricompresi, tra l’altro, tutti i soggetti che si trovino anche solo temporaneamente in rapporti lavorativi con una amministrazione o con un ente privato, pur non avendo la qualifica di dipendenti (come i volontari, i tirocinanti, retribuiti o meno), gli assunti in periodo di prova, nonché coloro che ancora non hanno un rapporto giuridico con gli enti citati o il cui rapporto è cessato se, rispettivamente, le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali ovvero nel corso del rapporto di lavoro. La persona segnalante è quindi la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo1. 1 Cfr. art. 2, co.1, lett. g) del d.lgs. n. 24/2023. 2 Si precisa che nel testo delle presenti linee guida l’espressione “Autorità giudiziaria” ricomprende anche la Corte dei Conti o Autorità contabile cui fa riferimento espressamente il d.lgs. n. 24/2023 in diverse disposizioni ad esempio negli artt. 3 e 12. 3 Cfr. art. 2, co. 1, lett. p) del d.lgs. n. 24/2023. Quanto agli enti tenuti ad applicare la disciplina e a prevedere misure di tutela per il dipendente che segnala gli illeciti, la norma si riferisce sia a soggetti del “settore pubblico”, che a quelli del “settore privato”. Si forniscono di seguito indicazioni, sia con riferimento ai soggetti direttamente tutelati, sia agli enti tenuti a predisporre al proprio interno misure di protezione ai segnalanti o a coloro che effettuano una divulgazione pubblica o una denuncia all’Autorità giudiziaria2. 1.1 Gli enti del settore pubblico tenuti a rispettare la disciplina È stato ampliato, rispetto alla precedente normativa, il novero degli enti del settore pubblico tenuti a predisporre canali di segnalazione ed attuare le misure di tutela per la persona che segnala e denuncia gli illeciti3. Enti del settore pubblico tenuti a rispettare la disciplina in materia di whistleblowing Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Pubbliche amministrazioni di cui all’art. 1, co. 2, del d.lgs. n. 165/2001 ivi inclusi gli enti pubblici non economici nazionali, regionali e locali (ad es. le Autorità di sistema Portuale) e di cui all’art. 3 del d.lgs. n. 165/2001 Autorità amministrative indipendenti Enti pubblici economici Società in controllo pubblico ex art. 2, co. 1, lett. m) del d.lgs. n. 175/2016 anche se quotate Società in house anche se quotate Altri enti di diritto privato in controllo pubblico (associazioni, fondazioni e enti di diritto privato comunque denominati) ex art. 2-bis, co. 2, lett. c) del d.lgs. n. 33/2013 Società meramente partecipate ed enti di diritto privato, di cui all’art. 2-bis, co. 3, del d.lgs. n. Pubbliche amministrazioni di cui all’art. 1, co. 2, del d.lgs. n. 165/2001 ivi inclusi gli enti pubblici non economici nazionali, regionali e locali (ad es. le Autorità di sistema Portuale) e di cui all’art. 3 del d.lgs. n. 165/2001 Autorità amministrative indipendenti Enti pubblici economici Società in controllo pubblico ex art. 2, co. 1, lett. m) del d.lgs. n. 175/2016 anche se quotate Società in house anche se quotate Altri enti di diritto privato in controllo pubblico (associazioni, fondazioni e enti di diritto privato comunque denominati) ex art. 2-bis, co. 2, lett. c) del d.lgs. 33/2013 33/2013, fornitori di beni o servizi e che realizzano opere in favore dell’amministrazione pubblica NOVITA’ Organismi di diritto pubblico Concessionari di pubblico servizio Approfondimenti sull’ambito soggettivo – Gli enti del settore pubblico Di seguito si descrivono in dettaglio gli enti del settore pubblico tenuti ad applicare il nuovo d.lgs. n. 24/2023. . Le pubbliche amministrazioni di cui all’art. 1, co. 2, del d.lgs. n. 165/20014. 4 Si tratta di amministrazioni dello Stato, ivi compresi gli istituti e le scuole di ogni ordine e grado e le istituzioni educative; aziende ed amministrazioni dello Stato ad ordinamento autonomo; Regioni, Province, Comuni, Comunità montane e loro consorzi e associazioni; istituzioni universitarie; Istituti autonomi case popolari; Camere di commercio, industria, artigianato e agricoltura e loro associazioni; gli enti pubblici non economici nazionali, regionali e locali; Amministrazioni, aziende e enti del SSN; ARAN; Agenzie fiscali di cui al d. l. 300/1999; CONI. 5 Si rappresenta che con l’adozione del nuovo codice dei contratti pubblici di cui al decreto legislativo 31 marzo 2023, n. 36 per la definizione di organismo di diritto pubblico occorre fare riferimento all’art.1, lett e) dell’Allegato I.1 “Definizioni dei soggetti, dei contratti, delle procedure e degli strumenti” del Libro I del nuovo codice appalti che in parte modifica la precedente definizione di cui al citato art. 3, co. 1, lett. d) del d.lgs. 50/2016. A tal fine cfr. il combinato disposto delle seguenti disposizioni del nuovo codice appalti che: – all’art. 1, lett. b) dell’Allegato I.1 “Definizioni dei soggetti, dei contratti, delle procedure e degli strumenti” del Libro I, fornisce la definizione di “ente concedente” come, qualsiasi amministrazione aggiudicatrice o ente aggiudicatore, ovvero altro soggetto pubblico o privato, che affida contratti di concessione di lavori o di servizi e che è comunque tenuto, nella scelta del contraente, al rispetto del codice; – all’art. 2, lett. c) definisce i contratti di concessione quali “i contratti a titolo oneroso stipulati per iscritto a pena di nullità in virtù dei quali una o più amministrazioni aggiudicatrici o uno o più enti aggiudicatori affidano l’esecuzione di lavori o la fornitura e la gestione di servizi a uno o più operatori economici, ove il corrispettivo consista unicamente nel diritto di gestire i lavori o i servizi oggetto dei contratti o in tale diritto accompagnato da un prezzo”; – all’art. 177, co. 1, precisa che “L’aggiudicazione di una concessione comporta il trasferimento al concessionario di un rischio operativo legato, alla realizzazione dei lavori o alla gestione dei servizi e comprende un rischio dal lato della domanda o dal lato dell’offerta o da entrambi”. Nella norma vi è l’elenco di pubbliche amministrazioni. Con riferimento agli enti pubblici non economici è comunque necessario considerare le disposizioni normative e statutarie, nonché gli indici elaborati dalla giurisprudenza (ad esempio gli ordini professionali ove qualificati come tali a livello legislativo; le Autorità di sistema Portuale, definite dall’art. 6, co. 5 della legge n. 84/1994 come modificato dal d.lgs. n. 169/2016, “enti pubblici non economici”); . Le Autorità amministrativa indipendenti. Si tratta, in particolare, di: Autorità garante della concorrenza e del mercato, Commissione nazionale per le società e la borsa, Banca d’Italia, Istituto per la vigilanza sulle assicurazioni, Autorità di regolazione dei trasporti, Autorità per l’energia elettrica, il gas e il sistema idrico, Autorità per le garanzie nelle comunicazioni, Garante per la protezione dei dati personali, Autorità nazionale anticorruzione, Commissione di vigilanza sui fondi pensione e Commissione di garanzia dell’attuazione della legge sullo sciopero nei servizi pubblici essenziali. . Gli enti pubblici economici. Giova ricordare che ad essi si applica la disciplina sulla prevenzione della corruzione e trasparenza al pari delle pubbliche amministrazioni, con il limite della compatibilità. . Gli organismi di diritto pubblico ossia qualsiasi soggetto, anche aventi forma societaria: 1) dotato di capacità giuridica; 2) istituito per soddisfare specificatamente esigenze di interesse generale, attraverso lo svolgimento di un’attività priva di carattere industriale o commerciale; 3) la cui attività sia finanziata in modo maggioritario dallo Stato, dagli enti pubblici territoriali o da altri organismi di diritto pubblico, oppure la cui gestione sia soggetta al controllo di questi ultimi, oppure il cui organo d’amministrazione, di direzione o di vigilanza sia costituito da membri dei quali più della metà è designata dallo Stato, dagli enti pubblici territoriali o da altri organismi di diritto pubblico5. . I concessionari di pubblico servizio. Si tratta dei soggetti cui è affidata da un soggetto pubblico la gestione di un servizio pubblico con assunzione in capo ai concessionari di un rischio operativo 6 Cfr. artt. 2, co. 1, lett. o) e 16, co. 1 e 3, del d.lgs. n. 175/2016. 7 Tale disposizione definisce “società a controllo pubblico»: le società in cui una o più amministrazioni pubbliche esercitano poteri di controllo ai sensi della lettera b)”. In base all’art. 2, co, 1, lett. b) del TUSP il controllo corrisponde alla situazione descritta nell’art. 2359 c.c. rubricato in “Società controllate e società collegate”. Tale ultima disposizione contempla tre ipotesi di “controllo”, considerando come “controllate”: 1) le società in cui un’altra società dispone della maggioranza dei voti esercitabili nell’assemblea ordinaria; 2) le società in cui un’altra società dispone di voti sufficienti per esercitare un’influenza dominante nell’assemblea ordinaria; 3) le società che sono sotto influenza dominante di un’altra società in virtù di particolari vincoli contrattuali con essa. Secondo l’orientamento del MEF del 15 febbraio 2018 nella nozione di controllo di cui all’art. 2, co. 1, lett. b), del TUSP, rientra anche il controllo indiretto e, cioè, quello esercitato tramite una società controllata o soggetto diverso. Le società in controllo pubblico sono già state ricomprese nell’ambito di applicazione delle norme in tema di trasparenza e di prevenzione della corruzione ai sensi dell’art. 2-bis, co. 2, lett. b), del d.lgs. 33/2013. L’Autorità ha dato indicazioni per la corretta individuazione di tali società nella Delibera n. 1134/2017 (§ 2.1), e, con riferimento alle società in controllo pubblico congiunto, nella Delibera n. 859 del 25 settembre 2019, cui si rinvia. 8 A tali società non si applica la normativa sulla prevenzione della corruzione e della trasparenza (cfr. sul punto Delibera 1134/2017). 9 Ai sensi dell’art. 2, lett. c) del d.lgs. 175/2016 il «controllo analogo» è la situazione in cui l’amministrazione esercita su una società un controllo analogo a quello esercitato sui propri servizi, esercitando un’influenza determinante sia sugli obiettivi strategici che sulle decisioni significative della società controllata. Tale controllo può anche essere esercitato da una persona giuridica diversa, a sua volta controllata allo stesso modo dall’amministrazione partecipante. 10 Cfr. artt. 2, co. 1, lett. o) e 16, co. 1 e 3, del d.lgs. n. 175/2016. . Gli enti di diritto privato in controllo pubblico ai sensi dell’art. 2359 del c.c. Si può trattare di enti che rivestono forma “societaria” o di altri enti, ad esempio associazioni o fondazioni. In particolare: Le società a controllo pubblico che coincidono con quelle disciplinate dall’apposito Testo Unico n. 175 del 19 agosto 2016 (in particolare dall’art. 2, co. 1, lett. m)7. Rientrano nell’ambito di applicazione del decreto anche le società a controllo pubblico quotate, ossia quelle che emettono azioni quotate in mercati regolamentati o che hanno emesso, alla data del 31 dicembre 2015, strumenti finanziari, diversi dalle azioni, quotati in mercati regolamentati8. Gli altri enti di diritto privato in controllo pubblico ai sensi dell’art. 2359 del c.c. Il nuovo decreto, all’art. 3, co. 3, lett. b), fa espresso riferimento anche ad “enti di diritto privato sottoposti a controllo pubblico ai sensi dell’art. 2359 del c.c.”. L’Autorità ritiene che si possa fare riferimento per la loro individuazione all’art. 2-bis, co. 2, lett. c), del d.lgs. n. 33/2013, norma cardine sul perimetro di applicazione della normativa sulla prevenzione della corruzione e della trasparenza. Vi rientrano associazioni, fondazioni e enti di diritto privato, comunque denominati, anche privi di personalità giuridica, che soddisfino contemporaneamente i seguenti requisiti: a) bilancio superiore a cinquecentomila euro; b) attività finanziata in modo maggioritario per almeno due esercizi finanziari consecutivi nell’ultimo triennio da pubbliche amministrazioni; c) totalità dei titolari o dei componenti dell’organo d’amministrazione o di indirizzo designata da pubbliche amministrazioni. Le società in house, cioè le società nelle quali: o un’amministrazione esercita il controllo analogo o più amministrazioni esercitano il controllo analogo congiunto9; o la partecipazione di capitali privati avviene in forme che non comportino controllo o potere di veto, né l’esercizio di un’influenza determinante sulla società; o oltre l’ottanta per cento del loro fatturato sia effettuato nello svolgimento dei compiti a esse affidati dall’ente pubblico o dagli enti pubblici soci10. Tali società sono incluse nell’ambito di applicazione del decreto n. 24/2023 anche se emettono azioni quotate in mercati regolamentati o hanno emesso, alla data del 31 dicembre 2015, strumenti finanziari, diversi dalle azioni, quotati in mercati regolamentati. 1.2 I soggetti che godono di protezione in caso di segnalazione, denuncia o divulgazione pubblica nell’ambito del settore pubblico Il nuovo decreto amplia notevolmente, rispetto alla precedente normativa, i soggetti cui, all’interno del settore pubblico, è riconosciuta protezione, anche da ritorsioni, in caso di segnalazione, interna o esterna, divulgazione pubblica e denuncia all’Autorità giudiziaria. Soggetti tutelati del settore pubblico Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Dipendenti delle pubbliche amministrazioni di cui all’art. 1, co. 2 e art. 3 d.lgs. n. 165/2001, rispettivamente con rapporto di lavoro di diritto privato o con rapporto di lavoro assoggettato a regime pubblicistico Dipendenti delle Autorità amministrative indipendenti Dipendenti degli enti pubblici economici Dipendenti società in controllo pubblico ex art. 2, co. 1, lett. m) del d.lgs. n. 175/2016 anche se quotate Dipendenti delle società in house anche se quotate Dipendenti di altri enti di diritto privato in controllo pubblico (associazioni, fondazioni ed enti di diritto privato comunque denominati) ex art. 2-bis, co. 2, lett. c) del d.lgs. n. 33/2013. Dipendenti delle pubbliche amministrazioni di cui all’art. 1, co. 2, e art. 3 d.lgs. n. 165/2001, rispettivamente con rapporto di lavoro di diritto privato o con rapporto di lavoro assoggettato a regime pubblicistico Dipendenti delle Autorità amministrative indipendenti Dipendenti degli enti pubblici economici Dipendenti di società in controllo pubblico ex art. 2, co. 1, lett. m) del d.lgs. n. 175/2016 anche se quotate Dipendenti delle società in house anche se quotate Dipendenti di altri enti di diritto privato in controllo pubblico (associazioni, fondazioni ed enti di diritto privato comunque denominati) ex art. 2-bis, co. 2, lett. c) del d.lgs. n. 33/2013 NOVITA’ Dipendenti degli organismi di diritto pubblico Dipendenti dei concessionari di pubblico servizio Lavoratori autonomi che svolgono la propria attività lavorativa presso soggetti del settore pubblico Lavoratori o collaboratori che svolgono la propria attività lavorativa presso soggetti del settore pubblico che forniscono beni o servizi o che realizzano opere in favore di terzi Liberi professionisti e consulenti che prestano la propria attività presso soggetti del settore pubblico Volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico Azionisti (persone fisiche) Persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico Per tutti i suddetti soggetti, la tutela si applica anche durante il periodo di prova e anteriormente o successivamente alla costituzione del rapporto di lavoro o altro rapporto giuridico A tutti i soggetti sopra elencati la tutela si applica non solo se la segnalazione, la denuncia o la divulgazione pubblica avviene in costanza del rapporto di lavoro o di altro tipo di rapporto giuridico, ma anche durante il periodo di prova e anteriormente o successivamente alla costituzione del rapporto giuridico. Il decreto indica, infatti, che la tutela si estende: o quando i rapporti giuridici non sono ancora iniziati, se le informazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali; o durante il periodo di prova; o successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso dello stesso rapporto giuridico (art. 3, co. 4). Il decreto fa anche riferimento a lavoratori o collaboratori che svolgono la propria attività lavorativa presso soggetti del settore pubblico che forniscono beni o servizi o che realizzano opere in favore di terzi, ma che di fatto rientrano nelle tipologie sopra indicate. Approfondimenti sull’ambito soggettivo – I soggetti tutelati nel settore pubblico Di seguito si forniscono ulteriori dettagli in merito ad alcuni soggetti tutelati del settore pubblico. . Dipendenti delle pubbliche amministrazioni di cui all’art. 1, co. 2, del d.lgs. n. 165/2001 (cfr. elenco sopra, § 1.1.); . Dipendenti in regime di diritto pubblico di cui all’art. 3 del d.lgs. n. 165/2001, ovvero: avvocati e procuratori dello Stato, personale militare e delle Forze di polizia di Stato, personale della carriera diplomatica e della carriera prefettizia nonché il personale, anche di livello dirigenziale, del Corpo nazionale dei vigili del fuoco, il personale della carriera dirigenziale penitenziaria, i professori e ricercatori universitari a tempo indeterminato o determinato11. 11 Il decreto fa riferimento anche ai dipendenti degli enti che svolgono la loro attività nelle materie contemplate dall’art. 1 del decreto legislativo del Capo provvisorio dello Stato 17 luglio 1947, n. 691 (personale del Comitato interministeriale per il credito e il Risparmio), disposizione tuttavia abrogata dal d.lgs. 1 settembre 1993, n. 385. 12 In questa prospettiva si evidenzia che la legge n. 190/2012 sulla prevenzione della corruzione non risulta applicabile alla magistratura ordinaria, né contabile, né amministrativa così come il d.P.R. n. 62/2013, recante il Codice di comportamento dei dipendenti pubblici. L’art. 3 del d.lgs. n. 165 del 2001 include, nella categoria dei dipendenti con rapporto di lavoro pubblicistico, anche i magistrati ordinari, amministrativi e contabili. Ciò fa nascere perplessità sulle effettive modalità di applicazione della disciplina in parola anche a tali soggetti. Il rapporto di lavoro dei magistrati ordinari, amministrativi, contabili, infatti, è regolato anche da norme di rango costituzionale (art. 101 e ss. Cost.), che prevedono, fra l’altro, competenze esclusive attribuite agli organi di autogoverno12. ANAC, tenuto conto della lacunosità della norma nonché dell’inquadramento costituzionale della magistratura, ritiene di escludere le segnalazioni proposte da magistrati o relative a magistrati (seppure proposte da dipendenti pubblici). Ciò al fine di non interferire con le competenze proprie dell’organo di autogoverno. Resta fermo che, laddove gli illeciti segnalati rilevino sotto il profilo penale o erariale, ANAC e gli altri soggetti del settore pubblico e del settore privato inviano le segnalazioni eventualmente ricevute direttamente alle Autorità giudiziarie competenti. Tale posizione troverebbe conferma nella nuova disciplina laddove l’art. 1, co. 4, del d.lgs. n. 24/2023 fa salve le disposizioni in materia di autonomia e indipendenza della magistratura, di funzioni e attribuzioni del Consiglio superiore della magistratura, comprese le relative procedure, per tutto quanto attiene alla posizione giuridica degli appartenenti all’ordine giudiziario. Diversamente, ANAC valuta la comunicazione alla stessa13 dell’adozione di misure ritenute ritorsive nei confronti di chi segnala violazioni attribuibili a magistrati. L’Autorità considera, senz’altro, quelle che riguardano i segnalanti/dipendenti pubblici “non magistrati” 14 che hanno subito, a causa della predetta segnalazione, una ritorsione. A tali soggetti, infatti, va assicurata la tutela dalle ritorsioni eventualmente subite in ragione della segnalazione, come previsto dalla legge. 13 Ai sensi dell’art. 19 del d.lgs. n. 24/2023. 14 Ad esempio, tutti i dipendenti in servizio presso il Ministero della Giustizia, i Tar, il Consiglio di Stato, la Corte dei Conti e i Tribunali militari e, presso gli organi di autogoverno delle varie magistrature, il CSM, il Consiglio di Presidenza della Giustizia amministrativa e di quella Contabile, il Consiglio Superiore della magistratura militare. ANAC, invece, ritiene di non poter intervenire in caso di comunicazione di misure ritenute ritorsive adottate dall’amministrazione nei confronti del segnalante “magistrato”. Ciò al fine di non interferire con l’organo di autogoverno della magistratura. In simili casi, dunque, non può che delinearsi un parziale vuoto di tutela. L’Autorità auspica di poter attivare protocolli d’intesa con gli Organi di autogoverno delle magistrature, al fine di assicurare la compatibilità delle tutele previste dal d.lgs. n. 24/2023 con le garanzie di autonomia costituzionalmente assicurata alle magistrature. . Dipendenti delle Autorità amministrative indipendenti di garanzia, vigilanza o regolazione, come indicate al citato § 1.1; . Lavoratori autonomi che svolgono la propria attività lavorativa presso i soggetti del settore pubblico come elencati al § 1.1, ivi compresi: o Lavoratori autonomi indicati al capo I della l. n. 81/2017. Si tratta dei lavoratori con rapporti di lavoro autonomi disciplinati dal Titolo III del Libro V del codice civile ivi inclusi i contratti d’opera di cui all’art. 2222 del medesimo codice civile. o Titolari di un rapporto di collaborazione di cui all’art. 409 del codice di procedura civile, quali i rapporti indicati al n. 3 della disposizione appena citata: rapporti di agenzia, di rappresentanza commerciale ed altri rapporti di collaborazione che si concretano in una prestazione di opera continuativa e coordinata, prevalentemente personale, anche se non a carattere subordinato come ad esempio, avvocati, ingegneri, assistenti sociali che prestano la loro attività lavorativa per un soggetto del settore pubblico organizzandola autonomamente (rapporto parasubordinato); o Titolari di un rapporto di collaborazione di cui all’art. 2 del d.lgs. n. 81/2015. Si tratta – ai sensi del co. 1 della citata norma – delle collaborazioni organizzate dal committente che consistono in prestazioni di lavoro esclusivamente personali e continuative, le cui modalità di esecuzione siano organizzate dal committente. Ciò vale anche qualora le modalità di esecuzione delle prestazioni siano organizzate mediante piattaforme digitali. . Liberi professionisti e consulenti che prestano la propria attività presso soggetti del settore pubblico. Proprio questi soggetti potrebbero trovarsi in una posizione privilegiata per segnalare le violazioni di cui sono testimoni. Si considerino, ad esempio, i consulenti che forniscono supporto alle amministrazioni e agli enti nell’attuazione di progetti finanziati con fondi dell’Unione europea. . Volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico. Vi rientrano, tra l’altro, anche i dottorandi e gli assegnisti di ricerca in quanto assimilabili ai tirocinanti. Le ritorsioni contro i volontari e i tirocinanti potrebbero concretizzarsi, ad esempio, nel non avvalersi più dei loro servizi, nel dare loro referenze di lavoro negative, nel danneggiarne in altro modo la reputazione o le prospettive di carrieraricerca in quanto assimilabili ai tirocinanti. Le ritorsioni contro i volontari e i tirocinanti potrebbero concretizzarsi, ad esempio, nel non avvalersi più dei loro servizi, nel dare loro referenze di lavoro negative, nel danneggiarne in altro modo la reputazione o le prospettive di carrieraricerca in quanto assimilabili ai tirocinanti. Le ritorsioni contro i volontari e i tirocinanti potrebbero concretizzarsi, ad esempio, nel non avvalersi più dei loro servizi, nel dare loro referenze di lavoro negative, nel danneggiarne in altro modo la reputazione o le prospettive di carriera 15 Cfr. Considerando n. 40 della Direttiva (UE) 2019/1937. 16 Cfr. art. 2, co. 1, lett. p) del d.lgs. n. 24/2023. . Azionisti, da intendersi come le persone fisiche che detengono azioni in uno dei soggetti del settore pubblico16 , ove questi ultimi assumano veste societaria, es. società in controllo pubblico, società in house, società cooperativa etc. Si tratta di coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella società. . Persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico. Si tratta di soggetti collegati in senso ampio all’organizzazione nella quale la violazione si verifica e nella quale esercitano alcune funzioni, anche in assenza di una regolare investitura (esercizio di fatto di funzioni). Può trattarsi, ad esempio, dei componenti dei Consigli di amministrazione, anche senza incarichi esecutivi, oppure dei componenti degli Organismi interni di valutazione (OIV) o degli Organismi di vigilanza (ODV) nonché i rappresentanti della componente studentesca negli organi universitari. 1.3 Gli enti del settore privato tenuti a rispettare la disciplina Il d.lgs. n. 24/2023 include anche enti di diritto privato tra quelli tenuti a dare attuazione alla disciplina. Rispetto alla precedente normativa si tratta di una più ampia categoria di enti specificamente individuati con riferimento a diversi criteri, relativi alla consistenza del personale, all’adozione o meno del MOG 231 nonché allo svolgimento di attività nei settori disciplinati dal diritto dell’UE. Enti del settore privato tenuti a rispettare la disciplina in materia di Whistleblowing Disciplina precedente (L. n.179/2017 – LLGG ANAC n. 469/2021) Imprese private fornitrici di beni o servizi e che realizzano opere in favore dell’amministrazione pubblica Enti privati che rientrano nell’ambito di applicazione del d.lgs. n. 231/2001 Disciplina attuale (D.lgs. n. 24/2023) Soggetti del settore privato che rientrano nell’ambito di applicazione del d.lgs. n. 231/2001, e adottano i modelli di organizzazione e gestione ivi previsti, se nell’ultimo anno hanno raggiunto la media di almeno cinquanta lavoratori subordinati (con contratti di lavoro a tempo indeterminato o determinato) Soggetti del settore privato che rientrano nell’ambito di applicazione del d.lgs. n. 231/2001 e adottano i modelli di organizzazione e gestione ivi previsti, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati (con contratti di lavoro a tempo indeterminato o determinato) Computo della media dei lavoratori impiegati nei soggetti del settore privato Per il calcolo della media annua dei lavoratori impiegati negli enti del settore privato, occorre fare riferimento, di volta in volta, all’ultimo anno solare precedente a quello in corso17, salvo per le imprese di nuova costituzione per le quali si considera l’anno in corso. 17 Il primo anno da considerare è quello precedente all’entrata in vigore del presente decreto. Inoltre, ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati INPS) al 31/12 dell’anno solare precedente a quello in corso, contenuto nelle visure camerali. Quando l’impresa è di nuova costituzione, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura. 18 Cfr. art. 2, co. 1, lett. q), n. 3. Approfondimenti sull’ambito soggettivo – Gli enti del settore privato Di seguito si descrivono le tipologie di enti del settore privato tenuti al rispetto della disciplina in materia di protezione del segnalante. . Soggetti che hanno impiegato nell’ultimo anno la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato (art. 2, lett. q), n. 1); . Soggetti che, pur non avendo impiegato nell’ultimo anno la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, tuttavia, rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato 1 del decreto n. 24/2023 (cfr. Allegato 1” Elenco degli atti dell’UE e delle disposizioni attuative nazionali rilevanti per l’ambito soggettivo del d.lgs. 24 del 2023”) ossia nel settore dei servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, della tutela dell’ambiente e della sicurezza dei trasporti (art. 2, co. 1, lett. q), n. 2). Ciò che rileva principalmente, quindi, non è la consistenza dei lavoratori impiegati, quanto piuttosto i settori in cui operano. . Altri enti di diritto privato che, diversi dai quelli indicati al citato art. 2, co. 1, lett. q) n. 2, rientrano nell’ambito di applicazione del d.lgs. n. 231/2001 e adottano i modelli di organizzazione e gestione ivi previsti se nell’ultimo anno hanno impiegato la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. . Altri enti del settore privato che, diversi da quelli indicati al citato art. 2, co. 1, lett. q) n. 2, rientrano nell’ambito di applicazione del d.lgs. 231/2001, adottano i modelli di organizzazione e gestione ivi previsti, ma nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato18. Tali soggetti sono tenuti ad osservare le disposizioni sul Whistleblowing, anche se impiegano meno di cinquanta dipendenti, ma solo se adottano i modelli di organizzazione e gestione già previsti dall’art. 6 del d.lgs. n. 231/2001. Ciò, come chiarito nella Relazione illustrativa allo schema del decreto n. 24/2023, al fine di non pregiudicare le tutele in questa materia già previste da tale normativa, allo stato, assicurate anche agli enti con meno di cinquanta dipendenti. Giova evidenziare, al riguardo, che il decreto n. 24/202319 modifica il d.lgs. n. 231/2001, precisando che nei modelli di organizzazione e gestione (che gli enti non sono obbligati ad adottare) debbano essere previsti canali di segnalazione interna. 19 Cfr. in particolare l’art. 24 del decreto. 1.4 I soggetti che godono della protezione in caso di segnalazione, denuncia o divulgazione pubblica nel settore privato Il novero dei soggetti del settore privato cui è assicurata la tutela nel nuovo decreto è molto più ampio rispetto alla precedente normativa. Soggetti tutelati del settore privato Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Lavoratori e collaboratori di soggetti privati, comprese le società meramente partecipate da PA, nella misura in cui siano fornitori di beni o servizi e che realizzino opere in favore dell’amministrazione pubblica Soggetti presso gli enti privati che rientrano nell’ambito di applicazione del d.lgs. n. 231/2001 che: – rivestono funzioni di rappresentanza, di amministrazione o di direzione dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale; – esercitano, anche di fatto, la gestione e il controllo dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale; NOVITA’ Formulazione diversa e innovativa per l’individuazione dei soggetti tutelati. Lavoratori subordinati Lavoratori autonomi che svolgono la propria attività lavorativa presso i soggetti del settore privato Liberi professionisti e consulenti che prestano la propria attività presso i soggetti del settore privato Volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso i soggetti del settore privato Azionisti (persone fisiche) Per tutti i suddetti soggetti, la tutela si applica anche durante il periodo di prova e anteriormente o successivamente alla costituzione del rapporto di lavoro o altro rapporto giuridico. Persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso i soggetti del settore privato – sono sottoposte alla direzione o alla vigilanza di uno dei soggetti sopra indicati. Il decreto fa anche riferimento a lavoratori o collaboratori che svolgono la propria attività lavorativa presso soggetti del settore privato che forniscono beni o servizi o che realizzano opere in favore di terzi, ma che di fatto rientrano nelle tipologie sopra indicate. Come già precisato per il settore pubblico, anche per i soggetti del settore privato, come sopra elencati, la tutela si applica non solo se la segnalazione, la denuncia o la divulgazione pubblica avvenga in costanza del rapporto di lavoro o di altro tipo di rapporto giuridico, ma anche durante il periodo di prova e anteriormente (ad esempio, nella fase precontrattuale) o successivamente alla costituzione del rapporto giuridico (cfr. § 1.2 della presente parte). Approfondimenti sull’ambito soggettivo – I soggetti tutelati nel settore privato I soggetti del settore privato, ai quali sono riconosciute le tutele della nuova disciplina sono: . Lavoratori subordinati, ivi compresi i: o Lavoratori il cui rapporto di lavoro è disciplinato dal d.lgs. n. 81/2015. Si tratta, ad esempio, di rapporti di lavoro a tempo parziale, intermittente, a tempo determinato, di somministrazione, di apprendistato, di lavoro accessorio; o Lavoratori che svolgono prestazioni occasionali (il cui rapporto di lavoro è disciplinato dall’art. 54-bis del d.l. n. 50/2017, conv. con mm.ii. dalla l. n. 96/2017). . Lavoratori autonomi Lavoratori autonomi che svolgono la propria attività lavorativa presso soggetti del settore privato, ivi compresi i: o Lavoratori autonomi indicati al capo I della l. n. 81/2017. Si tratta dei lavoratori con rapporti di lavoro autonomi disciplinati dal Titolo III del Libro V del codice civile, ivi inclusi i contratti d’opera di cui all’art. 2222 del medesimo c.c.; o Titolari di un rapporto di collaborazione di cui all’art. 409 del codice di procedura civile. Ci si riferisce ai rapporti indicati al n. 3 della disposizione appena citata, ossia i rapporti di agenzia, di rappresentanza commerciale ed altri rapporti di collaborazione che si concretino in una prestazione di opera continuativa e coordinata, prevalentemente personale, anche se non a carattere subordinato. Ad esempio, avvocati, ingegneri, assistenti sociali che prestano la loro attività lavorativa per un soggetto del settore privato organizzandola autonomamente (rapporto parasubordinato); o Titolari di un rapporto di collaborazione di cui all’art. 2 del d.lgs. n. 81/2015. Si tratta – ai sensi del co. 1 della citata norma – delle collaborazioni organizzate dal committente che si concretino in prestazioni di lavoro esclusivamente personali e continuative, le cui modalità di esecuzione siano organizzate dal committente. Ciò vale anche qualora le modalità di esecuzione delle prestazioni siano realizzate mediante piattaforme digitali. . Liberi professionisti e consulenti che prestano la propria attività presso soggetti del settore privato e che potrebbero trovarsi in una posizione privilegiata per segnalare le violazioni di cui sono testimoni. . Volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore privato che rischiano comunque di subire ritorsioni per aver segnalato violazioni. Le ritorsioni nei confronti di questi soggetti potrebbero concretizzarsi, ad esempio, nel non avvalersi più dei loro servizi, nel dare loro referenze di lavoro negative, nel danneggiarne in altro modo la reputazione o le prospettive di carriera. . Azionisti persone fisiche che detengono azioni in uno dei soggetti del settore privato, ove questi ultimi assumano veste societaria Si tratta di coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella società. . Persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto presso soggetti del settore privato. Si tratta di soggetti collegati in senso ampio all’organizzazione nella quale la violazione si verifica e nella quale esercitano alcune funzioni, anche in assenza di una regolare investitura (esercizio di fatto di funzioni). Può trattarsi, ad esempio, dei componenti dei Consigli di amministrazione, anche senza incarichi esecutivi, oppure dei componenti degli Organismi di vigilanza (ODV). 1.5 I soggetti che godono della protezione diversi da chi segnala, denuncia o effettua divulgazioni pubbliche Ulteriore novità del d.lgs. n. 24/2023 consiste nel fatto che la tutela è riconosciuta, oltre ai suddetti soggetti del settore pubblico e del settore privato che effettuano segnalazioni, denunce o divulgazioni pubbliche, anche a quei soggetti che, tuttavia, potrebbero essere destinatari di ritorsioni, intraprese anche indirettamente, in ragione del ruolo assunto nell’ambito del processo di segnalazione, divulgazione pubblica o denuncia e/o del particolare rapporto che li lega al segnalante o denunciante20. 20 Cfr. art. 3, co. 5, lett. da a) a d), del d.lgs. n. 24/2023. Soggetti tutelati diversi da chi segnala, denuncia o effettua divulgazioni pubbliche Disciplina precedente (L. n. 179/2017) Figure non previste e non tutelate Facilitatore, persona fisica che assiste il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata Persone del medesimo contesto lavorativo del segnalante, denunciante o di chi effettua una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado Colleghi di lavoro del segnalante, denunciante o di chi effettua una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente Enti di proprietà – in via esclusiva o in compartecipazione maggioritaria di terzi – del segnalante, denunciante o di chi effettua una divulgazione pubblica Enti presso i quali il segnalante, denunciante o chi effettua una divulgazione pubblica lavorano (art. 3, co. 5, lett. d)) Enti che operano nel medesimo contesto lavorativo del segnalante, denunciante o di chi effettua una divulgazione pubblica Approfondimenti sull’ambito soggettivo – Gli altri soggetti tutelati oltre al segnalante, a chi denuncia o chi effettua una divulgazione pubblica Di seguito si forniscono chiarimenti in merito ai soggetti tutelati oltre al segnalante, a chi denuncia o chi effettua una divulgazione pubblica. . Il facilitatore Nel decreto il facilitatore è definito come una “persona fisica che assiste il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata”21. 21 Cfr. art. 2, co. 1, lett. h) del citato decreto. 22 Cfr. art. 2, co. 1, lett. h) d.lgs. 24/2023 ai sensi del quale l’assistenza del facilitatore deve essere “mantenuta riservata”. 23 Cfr. art. 2, co. 1, lett. i) del d.lgs. n. 24/2023. 24 Si tratta dei rapporti di cui all’ art. 3, co. 3 e 4, del d.lgs. n. 24/2023. 25 Cfr. art. 3, co. 5, lett. b), d.lgs. n. 24/2023. La norma, utilizzando il termine “assistenza”, fa riferimento a un soggetto che fornisce consulenza o sostegno al segnalante e che opera nel medesimo contesto lavorativo del segnalante. A titolo esemplificativo, il facilitatore potrebbe essere il collega dell’ufficio del segnalante o di un altro ufficio che lo assiste in via riservata22 nel processo di segnalazione. Il facilitatore potrebbe essere un collega che riveste anche la qualifica di sindacalista se assiste il segnalante in suo nome, senza spendere la sigla sindacale. Si precisa che se, invece, assiste il segnalante utilizzando la sigla sindacale, lo stesso non riveste il ruolo di facilitatore. In tal caso resta ferma l’applicazione delle disposizioni in tema di consultazione dei rappresentanti sindacali e di repressione delle condotte antisindacali di cui alla l. n. 300/1970. Tenuto conto che la ratio perseguita dal legislatore è quella di far emergere illeciti garantendo, fra l’altro, la libertà di espressione del segnalante anche mediante l’assistenza di altri soggetti, ne discende che la protezione debba essere garantita al facilitatore anche sotto il profilo della riservatezza. Ciò sia per quanto riguarda l’identità del facilitatore, sia con riferimento all’attività in cui l’assistenza si concretizza. Tale esigenza di protezione si desume dalla formulazione della norma che prevede espressamente che “l’assistenza deve essere mantenuta riservata”. D’altronde, escludendo tale tutela nei confronti del facilitatore, si potrebbe correre il rischio di disvelare l’identità dello stesso segnalante che si è avvalso dell’assistenza del primo. . Le persone del medesimo contesto lavorativo Come detto, la nuova legislazione ha esteso notevolmente il regime di tutele, ampliando la nozione di “contesto lavorativo”. Tale concetto ricomprende le attività lavorative o professionali, presenti o passate, in ragione delle quali, indipendentemente dalla loro natura, un soggetto acquisisce informazioni sulle violazioni e nel cui ambito potrebbe rischiare di subire ritorsioni in caso di segnalazione o di divulgazione pubblica o di denuncia all’autorità giudiziaria o contabile23. Deve, comunque, trattarsi di attività svolte dai soggetti che hanno instaurato con l’ente del settore pubblico o privato uno di quei rapporti di natura lavorativa o professionale espressamente indicati dal legislatore nel d.lgs. n. 24/202324. L’espressione “persone del medesimo contesto lavorativo del segnalante” si riferisce, quindi, a persone legate da una rete di relazioni sorte in ragione del fatto che esse operano, o hanno operato in passato, nel medesimo ambiente lavorativo del segnalante o denunciante, ad esempio colleghi, ex-colleghi, collaboratori25. Proprio in ragione di tale rete di rapporti e relazioni interpersonali, più persone potrebbero essere a rischio di subire ritorsioni in ragione della segnalazione, denuncia o divulgazione pubblica effettuata da un segnalante del medesimo contesto lavorativo. Si pensi, ad esempio, ad un soggetto che, a seguito di una procedura di mobilità interna, venga assegnato ad un nuovo ufficio ma che conserva un legame personale con il precedente ufficio ove lavora o presta la propria attività il segnalante. Analogamente, anche un soggetto cessato dal servizio o dall’incarico che conserva un legame con il proprio contesto lavorativo potrebbe subire le conseguenze di una segnalazione, denuncia o divulgazione pubblica effettuata da una persona operante all’interno di tale contesto. Presupposto per l’applicazione delle tutele in tali casi è però l’esistenza di uno stabile legame affettivo o di parentela entro il quarto grado con il segnalante stesso. Il legislatore ha quindi ancorato l’applicazione delle tutele all’esistenza di un legame qualificato. Se non sussistono dubbi circa il legame di parentela che deve essere entro il quarto grado, più incerta appare la definizione di stabile legame affettivo. Si ritiene che tale espressione potrebbe far riferimento, innanzitutto, a coloro che hanno un rapporto di convivenza con il segnalante26. 26 Questa interpretazione sembra trovare conferma nell’art. 1, co. 36, della l. n. 76/2016 (cd. legge Cirinnà). Detta norma ha infatti chiarito che “due persone maggiorenni unite stabilmente da legami affettivi di coppia e di reciproca assistenza morale e materiale, non vincolate da rapporti di parentela, affinità o adozione, da matrimonio o da un’unione civile” configurano un rapporto di “conviventi di fatto”. Sul punto si è espressa più volte anche la giurisprudenza civile, precisando che perché vi sia convivenza è necessaria la presenza di una situazione interpersonale di natura affettiva con carattere di tendenziale stabilità, con un minimo di durata temporale e che si esplichi “in una comunanza di vita” e di interessi (cfr. ad esempio ordinanza Cass. civ., sez. III, 13 aprile 2018, n. 9178; Cass. sentenza 7128, 21 marzo 2013, Cass. civ. Sez. II, sentenza 21 marzo 2013, n. 7214; Cass. civ. Sez. I, sentenza 8 agosto 2003, n. 11975). In linea con la ratio di estendere il più possibile la tutela avverso le ritorsioni si ritiene che la nozione di stabile legame affettivo possa intendersi, però, non solo come convivenza in senso stretto, bensì anche come rapporto di natura affettiva caratterizzato da una certa stabilità sia sotto il profilo temporale che sotto il profilo di condivisione di vita. Un legame affettivo che dunque coinvolge una persona specifica. Si pensi, ad esempio, ad un collega (o ex collega) del segnalante che tuttavia intrattiene con lo stesso una relazione affettiva anche se la stessa non si concretizza in una vera e propria condivisione della stessa abitazione. . I colleghi di lavoro con rapporto abituale e corrente con il segnalante Rientrano tra i colleghi di lavoro coloro che lavorano nel medesimo contesto lavorativo del segnalante, divulgatore o denunciante e hanno con detta persona un rapporto abituale e corrente. Diversamente da quanto visto sopra con riferimento alle persone del medesimo contesto lavorativo del segnalante, nel caso di colleghi di lavoro, il legislatore ha previsto che si tratti di coloro che, al momento della segnalazione, lavorano con il segnalante (esclusi quindi gli ex colleghi) e che abbiano con quest’ultimo un rapporto abituale e corrente. La norma si riferisce, quindi, a rapporti che non siano meramente sporadici, occasionali, episodici ed eccezionali ma attuali, protratti nel tempo, connotati da una certa continuità tali da determinare un rapporto di “comunanza”, di amicizia. . Gli enti di proprietà di chi segnala, denuncia o effettua una divulgazione pubblica o per i quali dette persone lavorano e gli enti che operano nel medesimo contesto lavorativo di tali soggetti Il legislatore ha esteso la protezione da ritorsioni anche agli enti di proprietà del segnalante (o della persona che denuncia all’Autorità giudiziaria o che ha effettuato una divulgazione pubblica) o per i quali gli stessi lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle suddette persone. È infatti possibile che le ritorsioni siano poste in essere anche nei confronti di persone giuridiche di cui il segnalante è proprietario, per cui lavora o a cui è altrimenti connesso in un contesto lavorativo. Si pensi, ad esempio, all’annullamento della fornitura di servizi, all’inserimento in una black list o al boicottaggio27. 27 Cfr. ritorsioni applicabili alle persone giuridiche di cui all’art. 17, co. 4, ad esempio lett. o) e p) del d.lgs. n. 24/2023 e cfr. il § 4.2.1. delle presenti LLGG. Stante la formulazione poca chiara della previsione in esame, sembra opportuno fornire alcune precisazioni. o Enti di proprietà del segnalante, denunciante o di chi effettua una divulgazione pubblica In primo luogo, con riferimento agli enti di proprietà del segnalante, nell’ottica di non svilire la ratio delle tutele e in ragione della diversa tipologia di enti che possono venire in rilievo, si ritiene che tale concetto possa intendersi in senso ampio ricomprendendo quindi sia i casi in cui un soggetto è titolare di un ente in via esclusiva, sia in compartecipazione maggioritaria con terzi. Ad esempio, nel caso di enti con veste societaria, si può parlare di enti di proprietà del segnalante quando quest’ultimo è titolare delle quote di partecipazione al capitale sociale. Tenuto conto che tali quote definiscono la misura della partecipazione di un socio ad una società, e quindi il complesso di diritti e doveri, si può certamente affermare che il segnalante sia proprietario di una società laddove detenga tutte le quote sociali o la maggioranza di esse. Infatti, maggiore è la quota detenuta, maggiori sono i diritti sociali spettanti ad un socio e pertanto la capacità di esercitare un’influenza determinante sulle scelte relative alla società. Diversamente, il segnalante, qualora detenga solo una quota minoritaria del capitale sociale non può esercitare una tale influenza sul complesso delle attività e dell’organizzazione sociale e quindi non può considerarsi proprietario dell’ente. o Enti presso i quali il segnalante, denunciante o chi effettua una divulgazione pubblica lavorano Le medesime tutele sono garantite altresì a quegli enti presso i quali lavora chi effettua una segnalazione, divulgazione pubblica o denuncia, pur non essendone proprietario. Ci si riferisce, a titolo esemplificativo, alla situazione in cui il dipendente di un’impresa che effettua un servizio di fornitura per un’amministrazione/ente segnali o denunci una violazione avvenuta in quest’ultimo. Anche in tal caso, la ritorsione potrebbe essere attuata non nei confronti del segnalante o denunciante, ma nei confronti dell’impresa in cui questo opera, mediante, ad esempio, l’interruzione anticipata del contratto di fornitura. o Enti che operano nel medesimo contesto lavorativo del segnalante, denunciante o di chi effettua una divulgazione pubblica Il legislatore ha previsto l’estensione delle tutele anche per gli enti che operano nel medesimo contesto lavorativo del segnalante, denunciante o di colui che effettua una divulgazione pubblica, anche se non di proprietà dello stesso. Si tratta di enti, sia del settore pubblico che privato, in cui non è riscontrabile un vero e proprio legame diretto con il segnalante né sotto il profilo della proprietà né in quanto quest’ultimo vi presti lavoro o servizio. In tal caso, tuttavia, un legame – seppure indiretto – con il segnalante può essere rintracciato nella circostanza per cui tali enti rientrano nel contesto lavorativo dello stesso. Anche tra enti, infatti, può svilupparsi una fitta rete di rapporti e interconnessioni che si sostanziano, ad esempio, in accordi e collaborazioni, scambi e confronti. Ci si riferisce – a titolo esemplificativo – al settore pubblico ove un dipendente di uno dei comuni che hanno stipulato una convenzione per la gestione associata di un servizio, segnali violazioni compiute, nell’ambito della gestione dello stesso servizio, da un comune associato. In tali casi, il comune segnalato potrebbe attuare una misura ritorsiva nei confronti non del dipendente segnalante bensì del comune di appartenenza di quest’ultimo, interrompendo in via anticipata la convenzione. Analoga situazione potrebbe verificarsi nel settore privato nel caso di partnership fra imprese. Pertanto, indipendentemente dalla natura delle attività svolte dagli enti in questione, questi ultimi sono tutelati in quanto, in ragione della connessione e interrelazione con il segnalante o denunciante, potrebbero subire misure ritorsive a seguito di segnalazione, denuncia o divulgazione pubblica. 2. Ambito oggettivo – La segnalazione, la divulgazione pubblica e la denuncia – La comunicazione di ritorsioni. Oggetto di segnalazione, denuncia e divulgazione pubblica sono le informazioni sulle violazioni di normative nazionali e dell’Unione Europea. L’obiettivo perseguito dal legislatore è quello di incoraggiare segnalazioni, divulgazioni pubbliche o denunce, al fine di far emergere, e così prevenire e contrastare, fatti illeciti di diversa natura. Nella nuova disciplina, il legislatore individua alcune tipologie di illeciti da considerare e solo queste rilevano perché una segnalazione, una divulgazione pubblica o una denuncia possano essere considerate ai fini dell’applicabilità della disciplina. Nella trattazione sull’ambito oggettivo rientrano anche le comunicazioni ad ANAC delle ritorsioni che coloro che hanno effettuato segnalazioni, denunce o divulgazioni pubbliche ritengono di aver subito nel proprio contesto lavorativo. Anche in tal caso, la nuova disciplina si spinge in avanti rispetto alla precedente, in quanto fornisce un elenco, sia pure non tassativo, di misure ritorsive, oltre, come anticipato, ad estendere la tutela da ritorsioni anche a soggetti diversi dal segnalante, divulgatore e denunciante. Di seguito si forniscono indicazioni sulle caratteristiche e sull’oggetto delle segnalazioni, divulgazioni pubbliche o denunce, evidenziando i casi in cui il decreto non trova applicazione, nonché sugli aspetti relativi alle comunicazioni di ritorsioni e sul trattamento delle segnalazioni anonime. 2.1 L’oggetto della segnalazione, della divulgazione pubblica, della denuncia Il d.lgs. n. 24/2023 stabilisce che sono oggetto di segnalazione, divulgazione pubblica o denuncia le informazioni sulle violazioni, compresi i fondati sospetti, di normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato commesse nell’ambito dell’organizzazione dell’ente con cui il segnalante o denunciante intrattiene uno di rapporti giuridici qualificati considerati dal legislatore 28 (cfr. § 2.1.2). Le informazioni sulle violazioni possono riguardare anche le violazioni non ancora commesse che il whistleblower, ragionevolmente, ritiene potrebbero esserlo sulla base di elementi concreti29. Tali elementi possono essere anche irregolarità e anomalie (indici sintomatici) che il segnalante ritiene possano dar luogo ad una delle violazioni previste dal decreto. Il legislatore ha tipizzato le fattispecie di violazioni. 28 Cfr. art. 2 co.1, lett. a) del d.lgs. n. 24/2023. 29 Cfr. art. 2, co. 1 lett. b) del d.lgs. n. 24/2023. Violazioni oggetto di segnalazione, denuncia o divulgazione pubblica Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Nessuna distinzione tra violazioni del diritto nazionale e del diritto dell’UE Illeciti civili Illeciti amministrativi Condotte illecite rilevanti ai sensi del d.lgs. n. 231/2001, o violazioni dei modelli di organizzazione e gestione ivi previsti Illeciti penali -> limitatamente ai delitti contro la pubblica amministrazione di cui al Titolo II, Capo I, del codice penale Irregolarità (le situazioni in cui, nel corso dell’attività amministrativa, si riscontrino comportamenti impropri di un funzionario pubblico che, anche al fine di curare un interesse proprio o di terzi, assuma o concorra all’adozione di una decisione che devia dalla cura imparziale dell’interesse pubblico) Violazioni del diritto nazionale Illeciti civili Illeciti amministrativi Condotte illecite rilevanti ai sensi del d.lgs. n. 231/2001, violazioni dei modelli di organizzazione e gestione previsti nel d.lgs. n. 231/2001 NOVITA’ Illeciti penali Illeciti contabili Irregolarità – Non sono più incluse tra le violazioni del diritto nazionale ma possono costituire “elementi concreti” (indici sintomatici) – di cui all’ art. 2, co. 1, lett. b) d.lgs. 24/2023 – tali da far ritenere al segnalante che potrebbe essere commessa una delle violazioni previste dal decreto Violazioni del diritto dell’UE Illeciti commessi in violazione della normativa dell’UE indicata nell’Allegato 1 al d.lgs. n. 24/2023 e di tutte le disposizioni nazionali che ne danno attuazione (anche se queste ultime non sono espressamente elencate nel citato allegato) (art. 2, co. 1, lett. a) n. 3) Atti od omissioni che ledono gli interessi finanziari dell’Unione Europea (art. 325 del TFUE lotta contro la frode e le attività illegali che ledono gli interessi finanziari dell’UE) come individuati nei regolamenti, direttive, decisioni, raccomandazioni e pareri dell’UE (art. 2, co. 1, lett. a) n. 4) Atti od omissioni riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (art. 26, paragrafo 2, del TFUE). Sono ricomprese le violazioni delle norme dell’UE in materia di concorrenza e di aiuti di Stato, di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società (art. 2, co. 1, lett. a) n. 5) Atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni dell’Unione Europea nei settori di cui ai n. 3, 4 e 5 sopra indicati (art. 2, co. 1, lett. a) n. 6) Possono essere oggetto di segnalazione, divulgazione pubblica o denuncia anche quegli elementi che riguardano condotte volte ad occultare le violazioni. Si pensi, ad esempio, all’occultamento o alla distruzione di prove circa la commissione della violazione. Non sono ricomprese tra le informazioni sulle violazioni segnalabili o denunciabili30 le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sola base di indiscrezioni o vociferazioni scarsamente attendibili (cd. voci di corridoio). 30 Cfr. Considerando n. 43 della direttiva (UE) 1937/2019. 31Cfr. art. 2, co. 1, lett. a) n. 1 e 2, del d.lgs. n. 24/2023. 32 Si tratta, ad esempio, dei seguenti reati: indebita percezione di erogazioni, truffa in danno dello Stato, di un ente pubblico o dell’Unione europea o per il conseguimento di erogazioni pubbliche, frode informatica in danno dello Stato o di un ente pubblico e frode nelle pubbliche forniture, peculato, concussione, induzione indebita a dare o promettere utilità, corruzione e abuso d’ufficio (cfr. artt.24 e ss. d.lgs. n. 231/2001). 33 Cfr. art. 2, co. 1, lett. a) n. 3, 4, 5 e 6, d.lgs. n. 24/2023. 34 Cfr. considerando 19 Direttiva (UE) 1937/2019. Approfondimenti sull’ambito oggettivo – Le violazioni Tenendo conto dell’ampiezza delle fattispecie che possono essere oggetto di segnalazione, divulgazione pubblica o denuncia, il legislatore ha tipizzato gli illeciti, gli atti, i comportamenti o le omissioni che possono essere segnalati, divulgati o denunciati, indicando in modo dettagliato, anche se con una tecnica di rinvio piuttosto complessa, che cosa è qualificabile come violazione. L’intento è di comprendere tutte quelle situazioni in cui si vanifica l’oggetto o la finalità delle attività poste in essere nel settore pubblico o privato per la piena realizzazione delle finalità pubbliche, che ne deviino gli scopi o che minino il corretto agire dei soggetti pubblici o privati cui si applica la disciplina del whistleblowing. Diversamente da quanto previsto nelle precedenti LLGG ANAC n. 469/2021, la violazione segnalabile non può consistere in una mera irregolarità, come le situazioni in cui, nel corso dell’attività amministrativa, si riscontrino comportamenti impropri di un funzionario pubblico che, anche al fine di curare un interesse proprio o di terzi, assuma o concorra all’adozione di una decisione che devia dalla cura imparziale dell’interesse pubblico. Tuttavia, le irregolarità possono costituire quegli “elementi concreti” (indici sintomatici) tali da far ritenere ragionevolmente al whistleblower che potrebbe essere commessa una delle violazioni previste dal decreto e di seguito indicate. La ratio di fondo, anche in base alle nuove disposizioni, in linea con la l. n. 190/2012, è quella di valorizzare i principi costituzionali di buon andamento e imparzialità dell’azione amministrativa di cui all’art. 97 Cost. nonché quello della correttezza dell’azione all’interno dei soggetti che operano nell’ambito di un ente pubblico o privato, rafforzando i principi di legalità nonché della libertà di iniziativa economica e di libera concorrenza tutelati ai sensi dell’art. 41 Cost. Le violazioni possono riguardare sia disposizioni normative nazionali che dell’Unione europea. . Violazioni delle disposizioni normative nazionali31 In tale categoria vi rientrano gli illeciti penali, civili, amministrativi o contabili diversi rispetto a quelli specificamente individuati come violazioni del diritto UE come sotto definite. In secondo luogo, nell’ambito delle violazioni in esame rientrano: o i reati presupposto per l’applicazione del d.lgs. n. 231/200132; o le violazioni dei modelli di organizzazione e gestione previsti nel citato d.lgs. n. 231/2001, anch’esse non riconducibili alle violazioni del diritto dell’UE come sotto definite. Si precisa che tali violazioni non integrano fattispecie di reato presupposto per l’applicazione del d.lgs. n. 231/2001 e attengono ad aspetti organizzativi dell’ente che li adotta. . Violazioni della normativa europea33 Si tratta di: o Illeciti commessi in violazione della normativa dell’UE indicata nell’Allegato 1 al d.lgs. n. 24/2023 e di tutte le disposizioni nazionali che ne danno attuazione (anche se queste ultime non sono espressamente elencate nel citato allegato). Si precisa che le disposizioni normative contenute nell’Allegato 1 sono da intendersi come un riferimento dinamico in quanto vanno naturalmente adeguate al variare della normativa stessa34. In particolare, si tratta di illeciti relativi ai seguenti settori: contratti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi. A titolo esemplificativo si pensi ai cd. reati ambientali quali, scarico, emissione o altro tipo di rilascio di materiali pericolosi nell’aria, nel terreno o nell’acqua oppure raccolta, trasporto, recupero o smaltimento illecito di rifiuti pericolosi. o Atti od omissioni che ledono gli interessi finanziari dell’Unione Europea (art. 325 del TFUE lotta contro la frode e le attività illegali che ledono gli interessi finanziari dell’UE) come individuati nei regolamenti, direttive, decisioni, raccomandazioni e pareri dell’UE. Si pensi, ad esempio, alle frodi, alla corruzione e a qualsiasi altra attività illegale connessa alle spese dell’Unione. o Atti od omissioni riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (art. 26, paragrafo 2, del TFUE). Sono ricomprese le violazioni delle norme dell’UE in materia di concorrenza e di aiuti di Stato, di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società. o Atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni dell’Unione Europea nei settori indicati ai punti precedenti. In tale ambito vanno ricondotte, ad esempio, le pratiche abusive quali definite dalla giurisprudenza della Corte di Giustizia dell’Unione europea. Si pensi ad esempio a un’impresa che opera sul mercato in posizione dominante. La legge non impedisce a tale impresa di conquistare, grazie ai suoi meriti e alle sue capacità, una posizione dominante su un mercato, né di garantire che concorrenti meno efficienti restino sul mercato. Tuttavia, detta impresa potrebbe pregiudicare, con il proprio comportamento, una concorrenza effettiva e leale nel mercato interno tramite il ricorso alle cd. pratiche abusive (adozione di prezzi cd. predatori, sconti target, vendite abbinate) contravvenendo alla tutela della libera concorrenza. Resta fermo che occorre effettuare una verifica, caso per caso, sulla base di indici probatori (ad es. normativa di settore, casi analoghi presi in esame dalla giurisprudenza) al fine di valutare la riconducibilità di tali atti o omissioni alle violazioni oggetto del d.lgs. n. 24/2023. 2.1.1 Segnalazioni con contenuti esclusi dall’applicazione della disciplina sul whistleblowing Per comprendere appieno quale può essere l’oggetto delle segnalazioni è indispensabile tener conto che il legislatore specifica ciò che non può essere oggetto di segnalazione, divulgazione pubblica o denuncia35 . Tali esclusioni, pertanto, vanno tenute in debita considerazione dalle amministrazioni/enti del settore pubblico e privato, da ANAC e da parte dell’Autorità giudiziaria. 35 Cfr. art. 1, co.2, del d.lgs. n. 24/2023. D.lgs. n. 24/2023 art. 1 c. 2 Restano ferme le disposizioni nazionali o dell’UE su: COSA NON PUÒ ESSERE OGGETTO DI SEGNALAZIONE, DIVULGAZIONE PUBBLICA O DENUNCIA Le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’Autorità giudiziaria che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate. Le segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al decreto. Le segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea Approfondimenti sull’ambito oggettivo – Le segnalazioni escluse dall’applicazione della normativa Sono escluse dall’applicazione della normativa in esame: . le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’Autorità giudiziaria che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate. Sono quindi, escluse, ad esempio, le segnalazioni riguardanti vertenze di lavoro e fasi precontenziose, discriminazioni tra colleghi, conflitti interpersonali tra la persona segnalante e un altro lavoratore o con i superiori gerarchici, segnalazioni relative a trattamenti di dati effettuati nel contesto del rapporto individuale di lavoro in assenza di lesioni dell’interesse pubblico o dell’integrità dell’amministrazione pubblica o dell’ente privato; . le segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al decreto. Il d.lgs. n. 24/2023 non trova applicazione alle segnalazioni di violazione disciplinate nelle direttive e nei regolamenti dell’Unione europea e nelle disposizioni attuative dell’ordinamento italiano che già garantiscono apposite procedure di segnalazione. L’Unione europea, infatti, ha da tempo riconosciuto in un numero significativo di atti legislativi, in particolare del settore dei servizi finanziari, il valore della protezione delle persone segnalanti con l’obbligo di attivare canali di segnalazione interna ed esterna ponendo altresì il divieto esplicito di ritorsioni. Si pensi ad esempio, alle procedure di segnalazione in materia di abusi di mercato di cui al Regolamento (UE) n. 596/2014 del Parlamento europeo e del Consiglio alla direttiva di esecuzione (UE) 2015/2392 della Commissione adottata sulla base del suddetto regolamento, che contengono già disposizioni dettagliate sulla protezione degli informatori; o ancora al caso, tra gli altri, della direttiva (UE) 2013/36 del Parlamento europeo e del Consiglio che ha previsto la protezione dei segnalanti nell’ambito del quadro prudenziale applicabile agli enti creditizi e alle imprese di investimento. In recepimento della citata direttiva36, sono stati introdotti gli artt. 52-bis e 52-ter al Testo unico bancario37 che contengono disposizioni sulle 36 Cfr. decreto legislativo12 maggio 2015, n. 72 Attuazione della direttiva 2013/36/UE, che modifica la direttiva 2002/87/CE e abroga le direttive 2006/48/CE e 2006/49/CE, per quanto concerne l’accesso all’attività degli enti creditizi e la vigilanza prudenziale sugli enti creditizi e sulle imprese di investimento. Modifiche al decreto legislativo 1° settembre 1993, n. 385 e al decreto legislativo 24 febbraio 1998, n. 58. 37 Decreto legislativo 1° settembre 1993, n. 385 “Testo unico delle leggi in materia bancaria e creditizia”. segnalazioni di violazioni nel settore bancario e l’obbligo sia delle banche, e delle relative capogruppo, sia della Banca d’Italia, di garantire la riservatezza dei dati personali del segnalante e del presunto responsabile della violazione e di tutelare adeguatamente il soggetto segnalante contro condotte ritorsive, discriminatorie o comunque sleali conseguenti alla segnalazione. Analogamente, a seguito dell’entrata in vigore del decreto legislativo 3 agosto 2017, n. 12938, sono stati introdotti nel Testo unico delle disposizioni in materia di intermediazione finanziaria39 gli articoli 4-undecies “Sistemi interni di segnalazione delle violazioni” e 4-duodecies “Procedura di segnalazione alle Autorità di Vigilanza” che, anche in questo settore, introducono disposizioni dettagliate sulla protezione dei segnalanti. 38 Decreto legislativo 3 agosto 2017, n. 129 “Attuazione della direttiva 2014/65/UE del Parlamento europeo e del Consiglio, del 15 maggio 2014, relativa ai mercati degli strumenti finanziari e che modifica la direttiva 2002/92/CE e la direttiva 2011/61/UE, così, come modificata dalla direttiva 2016/1034/UE del Parlamento europeo e del Consiglio, del 23 giugno 2016, e di adeguamento della normativa nazionale alle disposizioni del regolamento (UE) n. 600/2014 del Parlamento europeo e del Consiglio, del 15 maggio 2014, sui mercati degli strumenti finanziari e che modifica il regolamento (UE) n. 648/2012, così come modificato dal regolamento (UE) 2016/1033 del Parlamento europeo e del Consiglio, del 23 giugno 2016”. 39 Decreto legislativo 24 febbraio 1998, n. 58. 40 Cfr. i settori di cui alla parte II dell’Allegato 1 del d.lgs. n. 24/2023 41 Art. 15 “Difesa e sicurezza” della Direttiva 2014/24/UE del Parlamento Europeo e del consiglio del 26 febbraio 2014 sugli appalti pubblici e che abroga la direttiva 2004/18/CE. 42 Art. 24 “Difesa e sicurezza” Direttiva 2014/25/UE del Parlamento Europeo e del Consiglio del 26 febbraio 2014 sulle procedure d’appalto degli enti erogatori nei settori dell’acqua, dell’energia, dei trasporti e dei servizi postali e che abroga la direttiva 2004/17/CE. 43 Art. 13 “Esclusioni specifiche” Direttiva 2009/81/CE del Parlamento Europeo e del Consiglio del 13 luglio 2009 relativa al coordinamento delle procedure per l’aggiudicazione di taluni appalti di lavori, di forniture e di servizi nei settori della difesa e della sicurezza da parte delle amministrazioni aggiudicatrici/degli enti aggiudicatori, e recante modifica delle direttive 2004/17/CE e 2004/18/CE. 44 Il decreto legislativo 31 marzo 2023, n. 36 delimita, in concreto, un ambito residuale di applicazione in materia di contratti nel settore della difesa e sicurezza, rinviando all’applicazione del decreto legislativo n. 208/2011 recante la “Disciplina dei contratti pubblici relativi ai lavori, servizi e forniture nei settori della difesa e sicurezza in attuazione della Direttiva 2009/81/CE”. L’articolo 136, co. 1, di tale ultimo decreto prevede infatti: “1. Le disposizioni del codice si applicano ai contratti aggiudicati nei settori della difesa e della sicurezza, ad eccezione dei contratti: a) che rientrano nell’ambito di applicazione del decreto legislativo 15 novembre 2011, n. 208; b) ai quali non si applica neanche il decreto legislativo n. 208 del 2011, in virtù dell’articolo 6 del medesimo decreto.” Si consideri, inoltre, che l’art. 346 TFUE consente agli Stati membri di escludere determinati appalti laddove sia necessario per la tutela dei propri interessi in materia di sicurezza. 45 Cfr. art. 1, co. 2 – 4, del d.lgs. n. 24/2023. La segnalazione di dette violazioni rimane, pertanto, esclusa dall’ambito di applicazione del d.lgs. n. 24/2013, come anche quelle, come detto, previste in altre discipline speciali che regolano il whistleblowing in specifici settori40. Per quelle violazioni che non sono coperte dalla normativa speciale resta, naturalmente, ferma l’applicazione del d.lgs. n. 24/2023 anche nei predetti settori; . le segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea. Essendo la sicurezza nazionale di esclusiva competenza degli Stati membri, la materia non è ricompresa nell’ambito di applicazione della direttiva (UE) 2019/1937 e, di conseguenza, nel d.lgs. n. 24/2023 che ne dà attuazione. La disposizione, inoltre, da una parte, esclude le segnalazioni che attengono agli appalti relativi alla difesa o alla sicurezza, e quindi i contratti aggiudicati in quei settori. Dall’altra, tuttavia, nell’ultimo periodo, non contempla tale esclusione laddove detti aspetti siano disciplinati dal diritto derivato dell’Unione Europea che ricomprende regolamenti, direttive, decisioni, raccomandazioni e pareri. Per l’individuazione delle fattispecie escluse dall’applicazione del d.lgs. 24/2023 occorre far riferimento quindi agli appalti previsti agli artt. 15 e 24 delle direttive 2441 e 2542 del 2014 nonché all’art. 13 della direttiva del 2009/8143 e che sono esclusi anche dall’ambito di applicazione del codice appalti di cui al d.lgs. n. 36/2023 che rinvia anche al d.lgs. n. 208/201144. Al contrario, il d.lgs. n. 24/2023 si applica ai contratti aggiudicati nei settori della difesa e sicurezza diversi da quelli espressamente esclusi dalle sopra citate normative. Il decreto non pregiudica inoltre l’applicazione di alcune disposizioni nazionali o dell’UE. In particolare45: Informazioni classificate Segreto professionale forense Segreto professionale medico Segretezza delle deliberazioni degli organi giurisdizionali Norme di procedura penale Autonomia e indipendenza della magistratura Difesa nazionale e di ordine e sicurezza pubblica Esercizio dei diritti dei lavoratori Approfondimenti sull’ambito oggettivo – Le discipline che continuano ad avere applicazione Le discipline che continuano ad avere applicazione riguardano: . Informazioni classificate. Le classifiche di segretezza, disciplinate nel nostro ordinamento dall’art. 42 della legge n. 124/2007, sono apposte dalle singole amministrazioni per circoscrivere la conoscenza delle informazioni per i soggetti che abbiano necessità di accedervi o a ciò abilitati, in ragione delle loro funzioni istituzionali. La ratio risiede, quindi, nella necessità di proteggere per motivi di sicurezza le informazioni classificate dall’accesso non autorizzato; . segreto professionale forense. Si mira, in questo caso, a proteggere la riservatezza delle comunicazioni tra gli avvocati e i loro clienti («segreto professionale forense») prevista dal diritto dell’Unione e dal diritto nazionale46; . segreto professionale medico. Come disposto dal diritto nazionale47 e dell’Unione sussiste l’obbligo di mantenere la natura riservata delle comunicazioni tra prestatori di assistenza sanitaria e i loro pazienti, nonché la riservatezza delle cartelle cliniche («riservatezza medica»); . segretezza delle deliberazioni degli organi giurisdizionali 48; . norme di procedura penale. In particolare, va salvaguardato l’obbligo della segretezza delle indagini ex art. 329 c.p.p; . disposizioni sull’autonomia e indipendenza della magistratura, sulle funzioni e attribuzioni del Consiglio superiore della magistratura, comprese le relative procedure, per tutto quanto attiene alla posizione giuridica degli appartenenti all’ordine giudiziario; . disposizioni in materia di difesa nazionale e di ordine e sicurezza pubblica di cui al Regio decreto, 18 giugno 1931, n. 773, recante il testo unico delle leggi di pubblica sicurezza; . disposizioni in materia di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati, di protezione contro le condotte o gli atti illeciti posti in essere in ragione di tali consultazioni, di autonomia delle parti sociali e del loro diritto di stipulare accordi collettivi, nonché di repressione delle condotte antisindacali di cui all’articolo 28 della legge 20 maggio 1970, n. 300. 46 Si pensi, ad esempio, all’art. 200 c.p. p. “Segreto professionale”; art. 622 c.p. “Rivelazione di segreto professionale” nonché alle previsioni di cui agli artt. 13 “Dovere di segretezza e riservatezza” e 28 “Riserbo e segreto professionale” del Codice deontologico forense (da ultimo approvato nella G.U. n. 241 del 16 ottobre 2014). 47 Si veda, in particolare, art. 200 c.c.p. “Segreto professionale”; art. 622 c.p. “Rivelazione di segreto professionale”; art. 326 c.p. “Rivelazione ed utilizzazione di segreti di ufficio”; art. 10 del Codice di Deontologia Medica “Segreto professionale”. 48 Cfr. ad es. l’art. 125, co. 4, c.p.p. che prevede che il giudice assuma le sue deliberazioni in segreto, nella camera di consiglio, senza la presenza dell’ausiliario designato ad assisterlo e delle parti. Il principio della segretezza è volto a garantire la serenità del giudizio e al contempo anche l’impersonalità della decisione. Si pensi ancora all’art. 276, co. 1, c.p.c. che sancisce il principio di segretezza della deliberazione (“La decisione è deliberata in segreto nella camera di consiglio”), e esclude ogni forma di pubblicità della fase decisoria che si svolge in camera di consiglio. La segretezza vale non solo nei confronti del pubblico, ma soprattutto nei confronti delle parti, al fine di assicurare la libertà della decisione. 2.1.2 L’attinenza con il contesto lavorativo del segnalante o denunciante Le informazioni sulle violazioni devono essere apprese nel contesto lavorativo del segnalante, del denunciante o di chi divulga pubblicamente 49. 49 Art. 1, co. 1, del d.lgs. n. 24/2023. 50 Si tratta dei rapporti di cui all’art. 3, co. 3, del d.lgs. n. 24/2023. 51 Cfr. art. 3, co. 4, del d.lgs. n. 24/2023. Attinenza con contesto lavorativo Le informazioni sulle violazioni devono riguardare comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza in un contesto lavorativo pubblico o privato. Nozione ampia di contesto lavorativo quindi non solo dipendenti ma anche altri soggetti che hanno una relazione qualificata con l’ente/amministrazione es. consulenti, volontari, azionisti, tirocinanti, persone con funzioni di amministrazione, direzione e controllo In virtù delle disposizioni del decreto che individuano i soggetti legittimati a segnalare, divulgare, denunciare, l’accezione da attribuire al “contesto lavorativo” deve necessariamente essere ampia e considerarsi non solo con riguardo a chi ha un rapporto di lavoro “in senso stretto” con l’organizzazione del settore pubblico o privato. Occorre infatti considerare anche coloro che hanno instaurato con i soggetti pubblici e privati altri tipi di rapporti giuridici. Ci si riferisce, fra l’altro, ai consulenti, collaboratori, volontari, tirocinanti, azionisti degli stessi soggetti pubblici e privati ove assumano la forma societaria e alle persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza50. Ciò anche quando si tratta di situazioni precontrattuali, periodi di prova o situazioni successive allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso51. Pertanto, a rilevare è l’esistenza di una relazione qualificata tra il segnalante e il soggetto pubblico o privato nel quale il primo opera, relazione che riguarda attività lavorative o professionali presenti o anche passate. Infine, possono essere segnalati i fatti appresi in virtù dell’ufficio rivestito ma anche notizie acquisite in occasione e/o a causa dello svolgimento delle mansioni lavorative, sia pure in modo casuale. 2.1.3 L’ irrilevanza dei motivi personali del segnalante o denunciante I motivi che hanno indotto la persona a segnalare, denunciare o divulgare pubblicamente sono irrilevanti ai fini della trattazione della segnalazione e della protezione da misure ritorsive. Resta comunque fermo che non sono considerate segnalazioni di whistleblowing quelle aventi ad oggetto una contestazione, rivendicazione o richiesta legata ad un interesse di carattere personale del segnalante (cfr. § 2.1.1 della presente parte). 2.1.4 Gli elementi e le caratteristiche delle segnalazioni È necessario che la segnalazione sia il più possibile circostanziata al fine di consentire la delibazione dei fatti da parte dei soggetti competenti a ricevere e gestire le segnalazioni negli enti e amministrazioni del settore pubblico e privato nonché da parte di ANAC. Caratteristiche delle segnalazioni E’ necessario risultino chiare: – le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione; – la descrizione del fatto; – le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati. È utile anche allegare documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti. Ove quanto segnalato non sia adeguatamente circostanziato, chi gestisce le segnalazioni può chiedere elementi integrativi al segnalante tramite il canale a ciò dedicato o anche di persona, ove il segnalante abbia richiesto un incontro diretto. 2.2 Le segnalazioni anonime e la loro trattazione Le segnalazioni dalle quali non è possibile ricavare l’identità del segnalante sono considerate anonime. Le segnalazioni anonime, ove circostanziate, sono equiparate da ANAC a segnalazioni ordinarie e trattate consequenzialmente in conformità a quanto previsto nei Regolamenti di vigilanza. I soggetti del settore pubblico e del settore privato considerano le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione. In tali casi quindi le segnalazioni anonime saranno gestite secondo i criteri stabiliti, nei rispettivi ordinamenti, per le segnalazioni ordinarie. Le segnalazioni anonime L. n. 179/2017 – LLGG 469/2021 D.lgs. n. 24/2023 Nella legge non è regolamentata la tutela delle segnalazioni anonime. Nelle LLGG 469/2021 le segnalazioni anonime ricevute da ANAC da parte dei soggetti del settore pubblico sono equiparate a segnalazioni ordinarie, e non di whistleblowing, se circostanziate. ANAC equipara le segnalazioni anonime ricevute a quelle ordinarie e le gestisce in conformità ai Regolamenti di vigilanza I soggetti del settore pubblico e del settore privato considerano le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione. NOVITA’ Nei casi di segnalazione, denuncia all’autorità giudiziaria o divulgazione pubblica anonime, se la persona segnalante è stata successivamente identificata e ha subito ritorsioni si applicano le misure di protezione per le ritorsioni. In ogni caso, il segnalante o il denunciante anonimo, successivamente identificato, che ha comunicato ad ANAC di aver subito ritorsioni può beneficiare della tutela che il decreto garantisce a fronte di misure ritorsive52. 52 Cfr. 16, co. 4, del d.lgs. n. 24/2023. Gli enti del settore pubblico o privato che ricevono le segnalazioni attraverso canali interni e la stessa Autorità sono, quindi, tenuti a registrare le segnalazioni anonime ricevute e conservare la relativa documentazione secondo i criteri generali di conservazione degli atti applicabili nei rispettivi ordinamenti rendendo così possibile rintracciarle, nel caso in cui il segnalante, o chi abbia sporto denuncia, comunichi ad ANAC di aver subito misure ritorsive a causa di quella segnalazione o denuncia anonima. 2.3 Le comunicazioni delle ritorsioni ad ANAC Il d.lgs. n. 24/2023 disciplina le comunicazioni ad ANAC delle ritorsioni53 che i soggetti ritengono di aver subito a causa della segnalazione, denuncia o divulgazione pubblica effettuata. 53 In merito alla nozione di ritorsione cfr. § 4.2.1. della presente parte. La comunicazione delle ritorsioni solo ad ANAC Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Soggetti che possono comunicare le ritorsioni ad ANAC Dipendente pubblico che segnala o denuncia condotte illecite Organizzazioni sindacali maggiormente rappresentative nell’amministrazione/ente in cui le ritorsioni sono state poste in essere Soggetti che possono comunicare la ritorsione ad ANAC NOVITA’ Ampliamento del novero dei soggetti del settore pubblico ed introduzione del settore privato Oltre ai segnalanti, i facilitatori, le persone del medesimo contesto lavorativo, i colleghi di lavoro, anche soggetti giuridici nei casi in cui siano enti di proprietà del segnalante, denunciante, divulgatore pubblico o enti in cui lavora o enti che operano nel medesimo contesto lavorativo (cfr. §§ 1.2, 1.4, 1.5) Le organizzazioni sindacali maggiormente rappresentative nell’amministrazione o nell’ente in cui le ritorsioni sono state poste in essere non possono darne comunicazione ad ANAC Necessaria consequenzialità tra segnalazione, denuncia, divulgazione pubblica effettuata e la lamentata ritorsione. Quindi il segnalante fornisce ad ANAC elementi oggettivi dai quali sia possibile dedurre la consequenzialità tra segnalazione, denuncia, divulgazione pubblica effettuata e la lamentata ritorsione. Sulle modalità di presentazione delle comunicazioni delle ritorsioni ad ANAC si rinvia alla Parte II § 2 delle presenti Linee guida. Potrebbe capitare che la comunicazione sulle ritorsioni sia trasmessa a soggetti diversi da ANAC. In tal caso è necessario che la comunicazione sia correttamente trasmessa ad ANAC. La comunicazione delle ritorsioni a soggetti diversi da ANAC Comunicazione ricevuta dai gestori delle segnalazioni nei canali interni Comunicazioni ricevute da soggetti pubblici e privati Qualora la comunicazione di misure ritorsive pervenga al soggetto deputato alla gestione della segnalazione interna, anziché ad ANAC, il medesimo offre il necessario supporto al segnalante rappresentando che la comunicazione deve essere inoltrata all’Autorità al fine di ottenere le tutele previste dalla normativa. Laddove la comunicazione di ritorsione pervenga erroneamente a soggetti pubblici o privati, invece che ad ANAC, tali soggetti sono tenuti a garantire la riservatezza dell’identità della persona che l’ha inviata e a trasmettere ad ANAC la comunicazione, dando contestuale notizia di tale trasmissione al soggetto che l’ha effettuata Approfondimenti sull’ambito oggettivo – Le comunicazioni delle ritorsioni ad ANAC Elemento di novità è che la nuova disciplina include tra i soggetti che possono comunicare ad ANAC le presunte ritorsioni anche coloro che, avendo un legame qualificato con il segnalante, denunciante o divulgatore pubblico, subiscono ritorsioni in ragione di detta connessione. Si tratta di: facilitatori, persone del medesimo contesto lavorativo, colleghi di lavoro che hanno un rapporto abituale e corrente con il segnalante, e anche soggetti giuridici nei casi in cui siano enti di proprietà del segnalante, denunciante, divulgatore pubblico o enti in cui lavora o enti che operano nel medesimo contesto lavorativo (si tratta delle categorie di soggetti individuati al § 1.5 della presente parte). Sono escluse dalla possibilità di segnalare ad ANAC, in discontinuità con il passato, le organizzazioni sindacali maggiormente rappresentative nell’amministrazione/ente in cui le ritorsioni sono state poste in essere. Resta fermo che i rappresentanti sindacali beneficiano della possibilità di comunicare ad ANAC ritorsioni, sia se esse sono conseguenza di una segnalazione, denuncia, divulgazione pubblica dagli stessi effettuata in qualità di lavoratori, sia se assumono il ruolo di facilitatori, non spendendo la sigla sindacale, e quindi subiscono ritorsioni per aver fornito consulenza e sostegno alla persona segnalante, denunciante o che ha effettuato una divulgazione pubblica 54. 54 Per questo ultimo aspetto, cfr. Considerando n. 41, Direttiva (UE) 2019/1937. 55 Cfr. Considerando n. 44 della Direttiva (UE) 2019/1937. Si sottolinea che deve esserci un nesso tra la segnalazione, la divulgazione pubblica e la denuncia e il comportamento/atto/omissione sfavorevole subito, direttamente o indirettamente, dalla persona segnalante, denunciante o che effettua la divulgazione pubblica, affinché si possa configurare una ritorsione e, di conseguenza, il soggetto possa beneficiare di protezione55. È quindi necessario che il segnalante fornisca ad ANAC elementi oggettivi dai quali sia possibile dedurre la consequenzialità tra segnalazione, denuncia, divulgazione pubblica effettuata e la lamentata ritorsione. Il decreto prevede che le comunicazioni di ritorsioni siano trasmesse esclusivamente ad ANAC per gli accertamenti che la legge le attribuisce e per l’eventuale irrogazione della sanzione amministrativa al responsabile. È importante, quindi, che chi ha subito una ritorsione non trasmetta la comunicazione a soggetti diversi da ANAC per non vanificare le tutele che il d.lgs. n. 24/2023 garantisce, prima fra tutte, la riservatezza. È necessario, quindi, che i soggetti del settore pubblico e privato forniscano chiare indicazioni sul sito istituzionale a riguardo, affinché le comunicazioni siano correttamente inoltrate ad ANAC. Sulle modalità di presentazione delle comunicazioni delle ritorsioni si rinvia alla Parte Seconda, § 2 delle presenti Linee guida. 3. I canali e le modalità di presentazione delle segnalazioni Il decreto, nel recepire le indicazioni della Direttiva europea, ha previsto un sistema diversificato di presentazione delle segnalazioni. Canali di segnalazione Canale interni negli enti pubblici e privati – incoraggiati Canale esterno presso ANAC Divulgazione pubblica Denuncia all’Autorità giudiziaria Il legislatore ha disposto che debbano essere approntati all’interno degli enti cui si applica la normativa appositi “canali interni” per ricevere e trattare le segnalazioni. Il ricorso a questi canali viene incoraggiato, in quanto più prossimi all’origine delle questioni oggetto della segnalazione. La preferenza accordata ai canali interni si evince anche dal fatto che, solo ove si verifichino particolari condizioni specificamente previste dal legislatore, allora i segnalanti possono fare ricorso al “canale esterno” attivato presso ANAC. Nell’ottica di consentire di scegliere il canale di segnalazione più adeguato in funzione delle circostanze specifiche del caso, e quindi di garantire una più ampia protezione, si è prevista, al ricorrere di determinate condizioni, anche la divulgazione pubblica. Rimane naturalmente salvo il dovere di rivolgersi all’Autorità giudiziaria ove ne ricorrano i presupposti (cfr. § 3.4 della presente parte). 3.1 I canali interni Gli enti del settore pubblico e di quello privato, come indicati nel § 1 “ambito soggettivo”, sono tenuti ad attivare un canale interno per la trasmissione e la gestione delle segnalazioni. Indicazioni sui canali interni Istituzione del canali – Soggetti del settore pubblico. Definizione con atto organizzativo sentite le rappresentanze o le organizzazioni sindacali di cui all’art. 51 del d.lgs. n.81/2015; – Soggetti del settore privato. Definizione all’interno del MOG 231 o con atto organizzativo cui il MOG 231 rinvia sentite le rappresentanze o le organizzazioni di cui all’art. 51 del d.lgs. n.81/2015; Riservatezza Garanzia della riservatezza, anche tramite il ricorso a strumenti di crittografia, ove siano utilizzati strumenti informatici: – della persona segnalante; – del facilitatore; – della persona coinvolta o comunque dei soggetti menzionati nella segnalazione; – del contenuto della segnalazione e della relativa documentazione. Modalità di segnalazione – in forma scritta, anche con modalità informatiche (piattaforma online); – in forma orale, alternativamente attraverso linee telefoniche, con sistemi di messaggistica vocale o incontro diretto (su richiesta). Gestione della segnalazione è affidata, alternativamente: – a una persona interna all’amministrazione/ente; – a un ufficio dell’amministrazione/ente con personale dedicato, anche se non in via esclusiva; – a un soggetto esterno. Si deve trattare di soggetti autonomi, requisito che per ANAC va declinato come imparzialità e indipendenza. Negli enti del settore pubblico la gestione è affidata al RPCT ove tenuti a nominarlo. Negli enti del settore privato la scelta è rimessa all’autonomia organizzativa di ciascun ente. Attività del gestore – rilascia alla persona segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione; – mantiene le interlocuzioni con la persona segnalante; – dà un corretto seguito alle segnalazioni ricevute; – fornisce un riscontro alla persona segnalante. Gestione condivisa del canale – per i comuni diversi dai capoluoghi di provincia; – per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratto di lavoro a tempo determinato o indeterminato, non superiore a duecentoquarantanove; – ad avviso di ANAC anche per le pubbliche amministrazioni e per gli enti pubblici di piccole dimensioni (meno di 50 dipendenti come per il PIAO). Informazioni da pubblicare sul sito e sulla pagina della piattaforma – informazioni sull’utilizzo del canale interno e di quello esterno presso ANAC – chiara indicazione che le segnalazioni devono specificare che si vuole mantenere riservata la propria identità e beneficiare delle tutele previste nel caso di eventuali ritorsioni. – Segnalazioni inviate ad un soggetto interno diverso da chi gestisce le segnalazioni Se la segnalazione è considerata “segnalazione whistleblowing” va trasmessa, entro sette giorni dal suo ricevimento, al soggetto interno competente, dandone contestuale notizia della trasmissione alla persona segnalante. La mancata/non conforme istituzione del canale ANAC può applicare una sanzione amministrativa. Approfondimenti sui canali e le modalità di presentazione delle segnalazioni – I canali interni L’intento del legislatore è quello di incoraggiare le persone segnalanti a rivolgersi, innanzitutto, ai canali interni all’ente a cui sono “collegati”. Ciò in quanto una più efficace prevenzione e accertamento delle violazioni passa attraverso l’acquisizione di informazioni pertinenti da parte dei soggetti più vicini all’origine delle violazioni stesse. Tale principio, inoltre, è volto, da un lato, “a favorire una cultura della buona comunicazione e della responsabilità sociale d’impresa all’interno delle organizzazioni”, dall’altro, a fare in modo che i segnalanti, facendo emergere atti, omissioni o condotte illecite, contribuiscano significativamente al miglioramento della propria organizzazione56. 56 Cfr. Considerando 47 della Direttiva (UE) 1937/2019. Di seguito, si illustrano alcuni profili relativi ai canali interni la cui trattazione più approfondita sarà oggetto di successive Linee guida. . Istituzione dei canali di segnalazione I soggetti del settore pubblico e del settore privato, sentite le rappresentanze o le organizzazioni sindacali57 , per acquisire eventuali osservazioni, definiscono in un apposito atto organizzativo le procedure per il ricevimento delle segnalazioni e per la loro gestione, al fine di attivare al proprio interno appositi canali di segnalazione. 57 Ai sensi dell’art. 51, d.lgs. n. 81/2015, si tratta delle organizzazioni sindacali comparativamente più rappresentative sul piano nazionale, delle rappresentanze sindacali aziendali di queste ultime ovvero dalla rappresentanza sindacale unitaria. 58 Cfr. art. 1, co. 7 della l. n. 190/2012. Nell’atto organizzativo, adottato dall’organo di indirizzo, è opportuno che almeno vengano definiti: – il ruolo e i compiti dei soggetti che gestiscono le segnalazioni; – le modalità e i termini di conservazione dei dati, appropriati e proporzionati in relazione alla procedura di whistleblowing e alle disposizioni di legge. Laddove gli enti privati adottino i modelli di organizzazione e gestione ai sensi del d.lgs. n. 231/2001, i canali interni di segnalazione vanno previsti all’interno di tali modelli o nell’atto organizzativo cui il MOG 231 espressamente rinvia. I canali di segnalazione interna devono garantire la riservatezza, anche tramite il ricorso a strumenti di crittografia, ove siano utilizzati strumenti informatici: o della persona segnalante; o del facilitatore; o della persona coinvolta o comunque dei soggetti menzionati nella segnalazione; o del contenuto della segnalazione e della relativa documentazione. Inoltre, al fine di agevolare il segnalante, a quest’ultimo va garantita la scelta fra diverse modalità di segnalazione: o in forma scritta, anche con modalità informatiche (piattaforma online). La posta elettronica ordinaria e la PEC si ritiene siano strumenti non adeguati a garantire la riservatezza. Qualora si utilizzino canali e tecniche tradizionali, da disciplinare nell’atto organizzativo, è opportuno indicare gli strumenti previsti per garantire la riservatezza richiesta dalla normativa. Ad esempio, a tal fine ed in vista della protocollazione riservata della segnalazione a cura del gestore, è necessario che la segnalazione venga inserita in due buste chiuse: la prima con i dati identificativi del segnalante unitamente alla fotocopia del documento di riconoscimento; la seconda con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” al gestore della segnalazione (ad es. “riservata al RPCT”). La segnalazione è poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore. o in forma orale, alternativamente, attraverso linee telefoniche, con sistemi di messaggistica vocale, ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole. . I soggetti cui va affidata la gestione delle segnalazioni La gestione dei canali di segnalazione è affidata, alternativamente: o a una persona interna all’amministrazione/ente; o a un ufficio dell’amministrazione/ente con personale dedicato, anche se non in via esclusiva; o a un soggetto esterno. Si precisa che nei soggetti del settore pubblico tenuti a nominare un Responsabile della prevenzione della corruzione e della trasparenza (RPCT)58 la gestione del canale interno è affidata a quest’ultimo. Chi gestisce le segnalazioni è necessario possieda il requisito dell’autonomia, che, ad avviso di ANAC, va declinato come imparzialità e indipendenza. Pertanto le amministrazioni/enti del settore pubblico e privato nell’affidare tale incarico devono valutare se il soggetto abbia le caratteristiche indispensabili per svolgere l’attività richiesta. In particolare, i soggetti che gestiscono le segnalazioni devono: o laddove si tratti di soggetti interni, essere autorizzati al trattamento dei dati personali da parte delle amministrazioni/enti e quindi essere destinatari di una specifica formazione in materia di privacy (cfr. per i dettagli § 4.1.3. della presente parte); o nel caso di soggetti esterni, questi sono responsabili del trattamento in base ad un accordo appositamente stipulato con l’amministrazione/ente59; o ricevere un’adeguata formazione professionale sulla disciplina del whistleblowing, anche con riferimento a casi concreti. 59 Cfr. art. 28 del Regolamento UE 679/2016 e art. 18 del d.lgs. n. 51/2018. 60 Ai sensi dell’art. 8 del D.P.R. n. 62/2013 “Il dipendente rispetta le misure necessarie alla prevenzione degli illeciti nell’amministrazione. In particolare, il dipendente rispetta le prescrizioni contenute nel piano per la prevenzione della corruzione, presta la sua collaborazione al responsabile della prevenzione della corruzione e, fermo restando l’obbligo di denuncia all’Autorità giudiziaria, segnala al proprio superiore gerarchico eventuali situazioni di illecito nell’amministrazione di cui sia venuto a conoscenza”. Nel settore privato, la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Ciò, fermo restando il rispetto dei requisiti previsti dal legislatore. Tale ruolo, a meri fini esemplificativi, può essere affidato, tra gli altri, agli organi di internal audit, all’Organismo di vigilanza previsto dalla disciplina del d.lgs. n. 231/2001, ai comitati etici. Laddove il gestore versi in un’ipotesi di conflitto di interessi rispetto ad una specifica segnalazione (in quanto ad esempio soggetto segnalato o segnalante), si ritiene che ricorra una delle condizioni per effettuare una segnalazione esterna ad ANAC, non potendo essere assicurato che alla segnalazione sia dato efficace seguito (cfr. § 3.2 della presente parte). I canali interni devono essere progettati in modo da consentire un accesso selettivo alle segnalazioni solo da parte del personale autorizzato e rispettare la tutela della riservatezza e la disciplina sul trattamento dei dati personali (cfr. §§ 4.1 e 4.1.3 della presente parte). . La segnalazione inviata ad un soggetto non competente Qualora la segnalazione interna sia presentata ad un soggetto diverso da quello individuato e autorizzato dall’amministrazione o ente (ad esempio nelle amministrazioni pubbliche ad altro dirigente o funzionario in luogo del RPCT), laddove il segnalante dichiari espressamente di voler beneficiare delle tutele in materia whistleblowing o tale volontà sia desumibile dalla segnalazione, la segnalazione è considerata “segnalazione whistleblowing” e va trasmessa, entro sette giorni dal suo ricevimento, al soggetto interno competente, dando contestuale notizia della trasmissione alla persona segnalante. Diversamente, se il segnalante non dichiari espressamente di voler beneficiare delle tutele, o detta volontà non sia desumile dalla segnalazione, detta segnalazione è considerata quale segnalazione ordinaria. Il d.P.R. n. 62 del 2013 prevede che la segnalazione possa essere presentata al superiore gerarchico60. Quest’ultimo, ove il segnalante dichiari di volersi avvalere delle tutele come whistleblower o tale volontà sia desumibile dalla segnalazione, è tenuto alla trasmissione al soggetto competente, entro sette giorni, come sopra indicato. Si precisa, comunque, che una segnalazione presentata ad un soggetto non competente può essere considerata di whistleblowing anche nel caso in cui la volontà di avvalersi delle tutele si desuma da comportamenti concludenti (per esempio dall’utilizzo di una modulistica apposita per le segnalazioni di whistleblowing o dal richiamo alla normativa in materia). . Le attività cui è tenuto chi gestisce le segnalazioni Chi gestisce le segnalazioni è tenuto al rispetto di indicazioni che il legislatore ha posto per assicurare sia una efficiente e tempestiva gestione della segnalazione che la tutela delle persone segnalanti61. 61 Cfr. art 5 del d.lgs. n. 24/2023. 62 Tutte le attività di verifica devono in ogni caso rispettare le specifiche norme di settore e limiti stabiliti dalle disposizioni in materia di controlli a distanza (art. 4 della l. 20 maggio 1970, n. 300, cui fa rinvio l’art. 114 del Codice per la protezione dei dati personali di cui d.lgs. 196/2003) e di quelle che vietano al datore di lavoro di acquisire e comunque trattare informazioni e fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore o comunque afferenti alla sua sfera privata (art. 8 della l. 20 maggio 1970, n. 300 e art. 10 d.lgs. 10 settembre 2003, n. 276, cui fa rinvio l’art. 113 del Codice). Le attività istruttorie dovranno essere altresì espletate nel rispetto della normativa in materia di protezione dei dati personali. Chi gestisce le segnalazioni: o rilascia alla persona segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione; o mantiene le interlocuzioni con la persona segnalante; o dà un corretto seguito alle segnalazioni ricevute; o fornisce un riscontro alla persona segnalante. In particolare, un corretto seguito implica, in primo luogo, nel rispetto di tempistiche ragionevoli e della riservatezza dei dati, una valutazione sulla sussistenza dei requisiti essenziali della segnalazione per valutarne l’ammissibilità e poter quindi accordare al segnalante le tutele previste. Per la valutazione dei suddetti requisiti, il soggetto che gestisce le segnalazioni può far riferimento agli stessi criteri utilizzati dall’Autorità, come elencati al § 1, Parte Seconda, delle presenti Linee Guida. Ad esempio: o manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti; o accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti ovvero segnalazione di illeciti corredata da documentazione non appropriata o inconferente. Una volta valutata l’ammissibilità della segnalazione, come di whistleblowing, il gestore delle segnalazioni avvia l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi62. All’esito dell’istruttoria, il gestore fornisce un riscontro alla persona segnalante. Si precisa che, in conformità all’art. 2, co. 1, lett. o), del d.lgs. 24/2023, per “riscontro” si intende la comunicazione alla persona segnalante delle informazioni relative al seguito che viene dato o che si intende dare alla segnalazione; ai sensi del medesimo articolo, co. 1, lett. n), per “seguito” si intende l’azione intrapresa dal soggetto cui è affidata la gestione della segnalazione per valutare la sussistenza dei fatti, l’esito delle indagini e le eventuali misure adottate. Ciò premesso, occorre evidenziare che, per poter dare corretto “seguito” alla segnalazione, è opportuno anzitutto, come già detto, vagliarne l’ammissibilità. Ad avviso dell’Autorità, spetta poi a chi gestisce la segnalazione compiere una prima imparziale delibazione sulla sussistenza di quanto rappresentato nella segnalazione. Per lo svolgimento dell’istruttoria, il soggetto cui è affidata la gestione può avviare un dialogo con il whistleblower, chiedendo allo stesso chiarimenti, documenti e informazioni ulteriori, sempre tramite il canale a ciò dedicato nelle piattaforme informatiche o anche di persona. Ove necessario, può anche acquisire atti e documenti da altri uffici dell’amministrazione, avvalersi del loro supporto, coinvolgere terze persone tramite audizioni e altre richieste, avendo sempre cura che non sia compromessa la tutela della riservatezza del segnalante e del segnalato. Qualora, a seguito dell’attività svolta, vengano ravvisati elementi di manifesta infondatezza della segnalazione, ne sarà disposta l’archiviazione con adeguata motivazione. Laddove, invece, si ravvisi il fumus di fondatezza della segnalazione è opportuno rivolgersi immediatamente agli organi preposti interni o enti/istituzioni esterne, ognuno secondo le proprie competenze. Non spetta al soggetto preposto alla gestione della segnalazione accertare le responsabilità individuali qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dall’ente/amministrazione oggetto di segnalazione, a pena di sconfinare nelle competenze dei soggetti a ciò preposti all’interno di ogni ente o amministrazione ovvero della magistratura. Con riferimento al “riscontro” da effettuare entro il termine di tre mesi, si evidenzia che lo stesso può consistere nella comunicazione dell’archiviazione, nell’avvio di un’inchiesta interna ed eventualmente nelle relative risultanze, nei provvedimenti adottati per affrontare la questione sollevata, nel rinvio a un’autorità competente per ulteriori indagini. Tuttavia, occorre precisare che il medesimo riscontro, da rendersi nel termine di tre mesi, può anche essere meramente interlocutorio, giacché possono essere comunicate le informazioni relative a tutte le attività sopra descritte che si intende intraprendere e lo stato di avanzamento dell’istruttoria. In tale ultimo caso, terminata l’istruttoria, gli esiti dovranno comunque essere comunicati alla persona segnalante. . Informazioni da inserire sul sito e sulla pagina della piattaforma per evitare errori da parte del segnalante Può essere utile per le amministrazioni e gli enti chiarire al proprio interno che chi intende presentare una segnalazione debba specificare che si tratta di una segnalazione per la quale si intende mantenere riservata la propria identità e beneficiare delle tutele previste nel caso di eventuali ritorsioni. Tale specificazione consente, laddove la segnalazione pervenga erroneamente ad un soggetto non competente 63, la trasmissione tempestiva da parte di quest’ultimo al soggetto autorizzato a ricevere e gestire le segnalazioni di whistleblowing. Ad esempio, se una segnalazione perviene in busta chiusa sulla quale è indicato che si tratta di una segnalazione di whistleblowing, colui che la riceve, senza aprirla, la trasmette tempestivamente ai soggetti competenti. 63 Cfr. art. 7 d.lgs. n. 24/2023. In assenza della chiara indicazione, infatti, la segnalazione potrebbe essere trattata come ordinaria. È necessario, quindi, che le amministrazioni e gli enti chiariscano bene, sul sito istituzionale e anche nella stessa pagina della piattaforma dedicata, quali sono le diverse conseguenze in caso di segnalazione ordinaria e di whistleblowing. Sarebbe utile anche che, negli stessi modelli per la trasmissione delle segnalazioni ordinarie, sia chiesto ai segnalanti di precisare se intendono o meno mantenere riservata la propria identità e avvalersi delle tutele previste per il whistleblower. Inoltre, i soggetti che gestiscono il canale di segnalazione interno mettono a disposizione informazioni sull’utilizzo del canale interno e di quello esterno gestito da ANAC con particolare riguardo ai presupposti per effettuare le segnalazioni attraverso tali canali, ai soggetti competenti cui è affidata la gestione delle segnalazioni interne nonché alle procedure. Tali informazioni devono essere chiare e facilmente accessibili anche alle persone che, pur non frequentando i luoghi di lavoro, siano legittimate a presentare segnalazioni di whistleblowing. Vanno esposte, per esempio, nei luoghi di lavoro in un punto visibile, accessibile a tutte le suddette persone, nonché in una sezione apposita del sito web istituzionale dell’ente. Devono essere, altresì, oggetto di trattazione nei corsi e nelle formazioni su etica e integrità. In ogni caso, le amministrazioni e gli enti possono prevedere nei propri Codici di comportamento o codici di condotta uno specifico dovere di trasmissione immediata, nel caso si riceva erroneamente una segnalazione di whistleblowing. . La possibilità per alcuni enti di gestire in modo condiviso le segnalazioni Al fine di ottimizzare e specializzare il lavoro sulle segnalazioni in esame, e anche in una logica di semplificazione degli adempimenti e di contenimento dei costi, il decreto consente ad enti di minori dimensioni di “condividere” il canale di segnalazione interna e la relativa gestione64 (ad esempio potrebbero essere stipulati accordi/convenzioni per la gestione in forma associata delle segnalazioni whistleblowing). Ciò, naturalmente, senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata. 64 Cfr. art. 4, co.4, del d.lgs. n. 24/2023. 65 Cfr. art. 6 d.l. n. 80/2021. 66 Cfr. art. 13, co. 5, del d.lgs. n. 24/2023. Si rammenta che i contitolari del trattamento sono tenuti a stipulare un accordo interno ai sensi dell’art. 26 del Regolamento (UE) 2016/679 o dell’art. 23 del d.lgs. n. 51/2018. 67 Cfr. Delibera ANAC n. 1134/2017. La condivisione del canale è prevista, in particolare, per: o i comuni diversi dai capoluoghi di provincia; o i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratto di lavoro a tempo determinato o indeterminato, non superiore a duecentoquarantanove. Ad avviso di ANAC, in una logica di semplificazione degli oneri e considerato che il whistleblowing rientra fra le misure di prevenzione della corruzione, si può ritenere che anche le pubbliche amministrazioni e gli enti pubblici di piccole dimensioni possano scegliere di condividere il canale interno di segnalazione e la relativa gestione. Per l’individuazione di tali enti appare ragionevole far riferimento alla soglia dimensionale di meno di cinquanta dipendenti indicata dal legislatore per l’adozione del Piano Integrato di Attività e Organizzazione (PIAO) semplificato65. Ove vi sia questo tipo di condivisione del canale interno, si rammenta che gli enti coinvolti sono considerati contitolari del trattamento dei dati personali66. Si precisa che, nell’ipotesi in cui gli enti affidino ad uno stesso soggetto (esterno) la gestione delle segnalazioni, è necessario garantire che ciascun ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun ente abbia accesso solo alle segnalazioni di propria competenza. . La disciplina della procedura di gestione delle segnalazioni nel PIAO, PTPCT, MOG 231 o in altro atto organizzativo La tutela del whistleblower rientra a pieno titolo tra le misure generali di prevenzione della corruzione. Le amministrazioni e gli enti tenuti all’adozione del PIAO, del PTPCT o all’adozione delle misure integrative del MOG 231 ovvero del documento che tiene luogo del PTPCT67 indicano, quindi, in questi piani le modalità con le quali l’ente intende attuare la disciplina in esame. È opportuno che negli stessi strumenti di programmazione vengano pianificate anche iniziative di sensibilizzazione e formazione del personale per divulgare le finalità dell’istituto del whistleblowing e la procedura per il suo utilizzo (quali ad esempio comunicazioni specifiche, eventi di formazione, newsletter e portale intranet). Tenuto conto tuttavia del fatto che – come sopra precisato- in base alla nuova disciplina, le procedure per il ricevimento delle segnalazioni e per la loro gestione vanno definite in un atto organizzativo apposito, i PIAO, i PTPCT o le misure integrative del MOG 231 ovvero l’atto che tiene luogo del PTPCT possono rinviare a tale atto. Naturalmente, tutti gli enti a cui non si applica la normativa anticorruzione e trasparenza sono tenuti ad adottare il solo atto organizzativo sentite le rappresentanze sindacali, come sopra visto (cfr. precedente punto su “Istituzione dei canali di segnalazione”). . La mancata istituzione dei canali interni e delle relative procedure o istituzione non conforme Si ricorda, da ultimo, che ANAC può applicare una sanzione amministrativa pecuniaria ove accerti che non siano stati istituiti canali interni di segnalazione, che non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non sia conforme a quanto previsto dal decreto. La sanzione può essere irrogata da ANAC anche quando si accerti che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute (cfr. § 1 della Parte Terza)68. 68 Cfr. art. 21, co. 1, lett. b) d.lgs. n. 24/2023. 69 Cfr. art. 7 del d.lgs. n. 24/2023. 70 Cfr. § 4 Parte Seconda. 3.2 Il canale esterno presso ANAC Ferma restando la preferenza per il canale interno – come chiarito sopra – il decreto prevede per i soggetti del settore sia pubblico sia privato la possibilità di effettuare una segnalazione attraverso un canale esterno69. ANAC, come meglio precisato nella seconda parte delle presenti Linee guida, è competente ad attivare e gestire detto canale che garantisce, anche tramite il ricorso a strumenti di crittografia70, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. Le condizioni per ricorrere al canale esterno presso ANAC 1) Se il canale interno obbligatorio – non è attivo – è attivo ma non è conforme a quanto previsto dal legislatore in merito ai soggetti e alle modalità di presentazione delle segnalazioni 2) La persona ha già fatto la segnalazione interna ma non ha avuto seguito 3) La persona segnalante ha fondati motivi di ritenere che se effettuasse una segnalazione interna – alla stessa non sarebbe dato efficace seguito – questa potrebbe determinare rischio di ritorsione 4) La persona segnalante ha fondato motivo di ritenere ma la violazione possa costituire un pericolo imminente o palese per il pubblico interesse Approfondimenti sui canali e le modalità di presentazione delle segnalazioni – Il canale esterno presso ANAC L’accesso al canale esterno è consentito solo al ricorrere di determinate condizioni espressamente previste dal legislatore. In particolare, la persona segnalante può effettuare una segnalazione a questo canale se, al momento della sua presentazione: 1. il canale interno, pur essendo obbligatorio non è attivo o, anche se attivato, non è conforme a quanto previsto dal decreto con riferimento ai soggetti e alle modalità di presentazione delle segnalazioni interne che devono essere in grado di garantire la riservatezza dell’identità del segnalante e degli altri soggetti tutelati (cfr. §§ 4.1.1 e 4.1.2 della presente parte). Il decreto contempla anche l’ipotesi in cui non sia prevista, nell’ambito del contesto lavorativo, l’attivazione obbligatoria del canale di segnalazione interna. Tale fattispecie, tuttavia, presenta delle difficoltà applicative in quanto, per come è strutturato il decreto, il soggetto è tutelato se l’ente presso cui lavora e/o collabora rientra tra quelli tenuti ad applicare la disciplina in questione. Quindi se il canale non è istituito perché l’ente non è obbligato, il segnalante non è considerato un whisteblower e non può trasmettere di conseguenza segnalazioni ad ANAC; 2. la persona segnalante ha già effettuato una segnalazione interna e la stessa non ha avuto seguito da parte della persona o dell’ufficio designati. Si fa riferimento ai casi in cui il canale interno sia stato utilizzato ma il soggetto cui è affidata la gestione del canale non abbia intrapreso, entro i termini previsti dal decreto, alcuna attività circa l’ammissibilità della segnalazione, la verifica della sussistenza dei fatti segnalati o la comunicazione dell’esito dell’istruttoria svolta71; 71 È sufficiente che anche solo una delle attività ivi indicate (verifica ammissibilità, svolgimento istruttoria, comunicazione esiti) non sia stata effettuata per poter ritenere integrato il “mancato seguito” e, quindi, per poter accedere legittimamente al canale esterno. 72 Cfr. considerando 62 direttiva (UE) n. 1937/2019. 73 Cfr. art. 2, co. 1, lett. f), d.lgs. n. 24/2023. 3. la persona segnalante ha fondati motivi di ritenere ragionevolmente sulla base di circostanze concrete allegate ed informazioni effettivamente acquisibili e, quindi, non su semplici illazioni, che se effettuasse una segnalazione interna72: o alla stessa non sarebbe dato efficace seguito in ragione delle specifiche circostanze del caso concreto. Si pensi, ad esempio, all’ipotesi in cui vi sia il fondato timore che non sarebbe svolta alcuna attività a causa di un accordo tra chi riceve la segnalazione e la persona coinvolta nella violazione; o a seguito dell’occultamento o distruzione di prove di condotte illecite di cui il segnalante sia a conoscenza; oppure, si pensi all’ipotesi in cui il gestore della segnalazione, ad esempio il RPCT, sia in conflitto di interessi perché la segnalazione lo riguarda direttamente, come segnalato, oppure come segnalante. In tali casi sarà possibile accedere al canale esterno onde evitare che alla segnalazione non sia dato efficace seguito; o questa potrebbe determinare il rischio di ritorsione. Si pensi ad esempio all’ipotesi in cui il soggetto ha fondato timore di poter subire una ritorsione in ragione di situazioni ed eventi che si sono già verificati nella propria amministrazione/ente (come nel caso in cui al soggetto sia stata già prospettata l’evenienza di subire un pregiudizio in caso di segnalazione oppure lo stesso sia a conoscenza di precedenti ritorsioni o violazioni dell’obbligo di riservatezza); 4. la persona segnalante ha fondato motivo – nei termini indicati al punto 3 – di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse. Si fa riferimento, ad esempio, al caso in cui la violazione richieda in modo evidente un intervento urgente da parte di un’autorità pubblica per salvaguardare un interesse che fa capo alla collettività quale ad esempio la salute, la sicurezza o la protezione dell’ambiente. 3.3 La divulgazione pubblica Il d.lgs. n. 24/2023 introduce un’ulteriore modalità di segnalazione consistente nella divulgazione pubblica. Con la divulgazione pubblica le informazioni sulle violazioni sono rese di pubblico dominio tramite la stampa o mezzi elettronici o comunque attraverso mezzi di diffusione in grado di raggiungere un numero elevato di persone73. Le condizioni per poter effettuare una divulgazione pubblica 1) ad una segnalazione interna a cui l’amministrazione/ente non abbia dato riscontro nei termini previsti abbia fatto seguito una segnalazione esterna ad ANAC la quale, a sua volta, non ha fornito riscontro al segnalante entro termini ragionevoli. 2) la persona ha già effettuato direttamente una segnalazione esterna ad ANAC la quale, tuttavia, non ha dato riscontro al segnalante in merito alle misure previste o adottate per dare seguito alla segnalazione entro termini ragionevoli. 3) la persona effettua direttamente una divulgazione pubblica in quanto ha fondato motivo, di ritenere, ragionevolmente, sulla base di circostanze concrete e quindi, non su semplici illazioni, che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse. 4) la persona effettua direttamente una divulgazione pubblica poiché ha fondati motivi di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni oppure possa non avere efficace seguito Il soggetto che effettua una divulgazione pubblica, così come sopra illustrato, deve considerarsi distinto da chi costituisce fonte di informazione per i giornalisti. In tali casi, infatti, il decreto prevede che restino ferme le norme sul segreto professionale degli esercenti la professione giornalistica, con riferimento alla fonte della notizia74. La ratio di tale previsione risiede nel fatto che in tal caso il soggetto che fornisce informazioni costituisce una fonte per il giornalismo di inchiesta ed esula dalle finalità perseguite con il d.lgs. n. 24/2023. 74 Cfr. art. 15, co. 2, del d.lgs. n. 24/2023. 75 La direttiva include tra i canali attraverso cui effettuare una divulgazione pubblica anche la comunicazione ai rappresentanti eletti, alle organizzazioni della società civile, ai sindacati o alle organizzazioni imprenditoriali e professionali (cfr. considerando 45 direttiva (UE) 1937/2019). 76 Cfr. art. 4 del d.lgs. n. 24/2023. 77 Cfr. artt. 5, 7 e 8 del d.lgs. n. 24/2023. 78 Cfr. art. 7 del d.lgs. n. 24/2023 e Parte Seconda delle presenti LLGG. Approfondimenti sui canali e le modalità di presentazione delle segnalazioni – La divulgazione pubblica Con la divulgazione pubblica le informazioni sulle violazioni sono rese di pubblico dominio. La Direttiva europea e il legislatore nel prevedere la divulgazione pubblica tengono naturalmente conto dell’evoluzione dei mezzi di diffusione di massa, includendovi anche i social media che costituiscono uno strumento rapido e interattivo di trasmissione e veicolazione di informazioni e scambi tra reti di persone e organizzazioni75. La divulgazione pubblica delle violazioni deve avvenire nel rispetto delle condizioni poste dal legislatore affinché poi il soggetto che la effettua possa beneficiare delle tutele riconosciute dal decreto. Pertanto, la protezione sarà riconosciuta se al momento della divulgazione ricorra una delle seguenti condizioni: 1. a una segnalazione interna, a cui l’amministrazione/ente76 non abbia dato riscontro nei termini previsti (tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione), abbia fatto seguito una segnalazione esterna ad ANAC la quale, a sua volta, non ha fornito riscontro al segnalante entro termini ragionevoli (tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento)77 (cfr. § 1 della Parte Seconda); 2. la persona ha già effettuato direttamente una segnalazione esterna ad ANAC78 la quale, tuttavia, non ha dato riscontro al segnalante in merito alle misure previste o adottate per dare seguito alla segnalazione entro termini ragionevoli (tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento); 3. la persona effettua direttamente una divulgazione pubblica in quanto ha fondato motivo, di ritenere, ragionevolmente, sulla base di circostanze concrete allegate ed informazioni effettivamente acquisibili e, quindi, non su semplici illazioni, che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse. Si pensi, ad esempio, ad una situazione di emergenza o al rischio di danno irreversibile, anche all’incolumità fisica di una o più persone, che richiedono che la violazione sia svelata prontamente e abbia un’ampia risonanza per impedirne gli effetti; 4. la persona effettua direttamente una divulgazione pubblica poiché ha fondati motivi – nei termini sopra precisati – di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni oppure possa non avere efficace seguito perché, ad esempio, teme che possano essere occultate o distrutte prove oppure che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa. Si consideri, a titolo esemplificativo, il caso in cui chi riceve la segnalazione di una violazione, accordandosi con la persona coinvolta nella violazione stessa, proceda ad archiviare detta segnalazione in assenza dei presupposti. Nella divulgazione pubblica, ove il soggetto riveli volontariamente la propria identità, non viene in rilievo la tutela della riservatezza, ferme restando tutte le altre forme di protezione previste dal decreto per il whistleblower. Laddove, invece, la divulgazione avvenga utilizzando, ad esempio, uno pseudonimo o un nickname, che non consente l’identificazione del divulgatore, ANAC tratterà la divulgazione alla stregua di una segnalazione anonima (cfr. § 2.2 della presente parte) e avrà cura di registrarla, ai fini della conservazione, per garantire al divulgatore, qualora sia successivamente disvelata l’identità dello stesso, le tutele previste nel caso in cui subisca ritorsioni. 3.4 Denuncia all’Autorità giudiziaria Il decreto, in conformità alla precedente disciplina, riconosce ai soggetti tutelati anche la possibilità di rivolgersi alle Autorità giudiziarie, per inoltrare una denuncia di condotte illecite di cui siano venuti a conoscenza in un contesto lavorativo pubblico o privato, come definito nel § 1 “ambito soggettivo” della presente parte. In linea con le indicazioni già fornite da ANAC nelle LLGG n. 469/2021, si precisa che qualora il whistleblower rivesta la qualifica di pubblico ufficiale o di incaricato di pubblico servizio, anche laddove lo stesso abbia effettuato una segnalazione attraverso i canali interni o esterni previsti dal decreto, ciò non lo esonera dall’obbligo – in virtù di quanto previsto dal combinato disposto dell’art. 331 c.p.p. e degli artt. 361 e 362 c.p. – di denunciare alla competente Autorità giudiziaria i fatti penalmente rilevanti e le ipotesi di danno erariale. Si rammenta in ogni caso che l’ambito oggettivo degli artt. 361 e 362 c.p., disponendo l’obbligo di denunciare soltanto reati (procedibili d’ufficio), è più ristretto di quello delle segnalazioni effettuabili dal whistleblower che può segnalare anche illeciti di altra natura. Resta fermo che, laddove il dipendente pubblico denunci un reato all’Autorità giudiziaria ai sensi degli artt. 361 o 362 c.p. e poi venga discriminato per via della segnalazione, potrà beneficiare delle tutele previste dal decreto per le ritorsioni subite. Le stesse regole sulla tutela della riservatezza e del contenuto delle segnalazioni vanno rispettate dagli uffici delle Autorità giudiziarie cui è sporta la denuncia. 3.5 Differenze tra i soggetti pubblici e quelli privati nell’uso dei canali e del tipo di violazioni che possono essere segnalate L’utilizzo dei canali interni/esterno/divulgazione pubblica sopra rappresentati per segnalare le violazioni varia a seconda che si tratti del settore pubblico o privato. Inoltre una diversificazione vi è nell’ambito dello stesso settore privato, rispetto a ciò che si può segnalare e con quali canali. Il legislatore riconosce ai soggetti del settore pubblico la possibilità di segnalare ogni tipologia di violazione attraverso tutti i canali attivabili. I soggetti del settore privato dispongono, invece, di poteri e di canali di segnalazione più limitati rispetto ai soggetti del settore pubblico. Il decreto, inoltre, differenzia il possibile oggetto di segnalazione in relazione alle caratteristiche dei diversi soggetti privati79. 79 Cfr. art. 2, co. 1, lett. q) d.lgs. 24/2023. Ne risulta un quadro eterogeneo in termini di possibilità, sia sotto il profilo dell’oggetto delle segnalazioni che sotto il profilo dei canali di cui i soggetti tutelati dispongono per segnalare, divulgare e denunciare. È fondamentale, pertanto, che tali soggetti operino nel pieno rispetto dei presupposti individuati dal legislatore e che gli enti mettano a disposizione dei potenziali segnalanti chiare informazioni al riguardo. Nell’ottica di consentire – sia per i soggetti che per gli enti tenuti a garantire la tutela – una più immediata comprensione di tali presupposti, nella tabella che segue viene indicato ciò che i soggetti del settore pubblico e del settore privato possono segnalare e con quali canali. Settore pubblico Settore privato 4. Le tutele e le misure di sostegno Un asse portante dell’intera disciplina è rappresentato dal sistema di tutele offerte a colui che segnala, effettua una divulgazione pubblica o denuncia violazioni, tutele che – come già anticipato- si estendono anche a soggetti diversi dal segnalante e denunciante che, proprio in ragione del ruolo assunto nell’ambito del processo di segnalazione e/o del particolare rapporto che li lega al segnalante, potrebbero essere destinatari di ritorsioni. Il d.lgs. n. 24/2023 ha previsto un sistema di protezione che comprende La tutela della riservatezza (cfr. § 4.1) del segnalante, del facilitatore, della persona coinvolta e delle persone menzionate nella segnalazione. La tutela da eventuali ritorsioni adottate dall’ente in ragione della segnalazione, divulgazione pubblica o denuncia effettuata (cfr. § 4.2) e le condizioni per la sua applicazione. Le limitazioni della responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni che operano al ricorrere di determinate condizioni (cfr. § 4.3). Inoltre, al fine di rafforzare l’efficacia delle tutele previste dal decreto, il legislatore ha previsto misure di sostegno al segnalante da parte di enti del Terzo settore inseriti in un apposito elenco pubblicato da ANAC (§ 4.4. della presente parte). Il nuovo decreto vieta poi, in generale, rinunce e transazioni – non sottoscritte in sede protetta 80 – dei diritti e dei mezzi di tutela ivi previsti. Tale previsione risponde all’esigenza di implementare e rendere effettiva la protezione del whistleblower, quale soggetto vulnerabile, nonché degli altri soggetti tutelati, che, per effetto della segnalazione, divulgazione o denuncia, potrebbero subire effetti pregiudizievoli. 80 Si tratta degli accordi conclusi in sede giudiziale (art. 185 c.p.c); dinanzi alla commissione di conciliazione istituita presso la direzione territoriale del lavoro (art.410 c.p.c); innanzi alle sedi di certificazione (art. 31, co. 13, L. 183/2010); innanzi alla commissione di conciliazione istituita in sede sindacale (art. 412-ter c.p.c.); presso i collegi di conciliazione ed arbitrato irrituale (art. 412-quater c.p.c.). Divieto di rinunce e transazioni di diritti e mezzi di tutela Disciplina precedente (L. n. 179/2017 – LLGG 469/2021) Disciplina attuale (D.lgs. 24/2023) Non era previsto Le rinunce e le transazioni, integrali o parziali, che hanno per oggetto i diritti e le tutele previsti dal decreto non sono valide, salvo che siano effettuate nelle sedi protette (giudiziarie, amministrative o sindacali) di cui all’art. 2113, co.4, del codice civile Approfondimenti sulle tutele e misure di sostegno – Il divieto di rinunce e transazioni Il divieto di rinunce e transazione è un principio innovativo, in quanto nella precedente normativa mancava una disposizione espressa che impedisse la restrizione, anche contrattuale, del diritto alla segnalazione e delle forme di tutele previste. Ne consegue quindi che non sono validi in primis gli atti di rinuncia e le transazioni, sia integrali che parziali (ad esempio in virtù di accordi o altre condizioni contrattuali) aventi ad oggetto il diritto di effettuare segnalazioni, divulgazioni pubbliche o denunce nel rispetto delle previsioni di legge. Analogamente, non è consentito imporre al whistlebower, così come agli altri soggetti tutelati, (cfr. § 1 della presente parte) di privarsi della possibilità di accedere a mezzi di tutela cui hanno diritto (tutela della riservatezza, tutela da eventuali misure ritorsive subite a causa della segnalazione, divulgazione pubblica o denuncia effettuata o alle limitazioni di responsabilità conseguenti alla segnalazione, divulgazione o denuncia al ricorrere delle condizioni previste). A maggior ragione tali tutele non possono essere oggetto di rinuncia volontaria. La ratio sottesa a tali previsioni è quella di evitare che il segnalante e gli altri soggetti considerati dalla disciplina possano essere esposti al rischio di dismettere alcuni diritti – in costanza del rapporto di lavoro o anche prima dell’instaurazione dello stesso o successivamente allo scioglimento del rapporto – con il solo scopo di salvaguardare o ottenere l’occupazione, in assenza di una piena consapevolezza circa le norme di legge e i propri diritti o per via di una situazione di squilibrio o “timore”, anche sotto il profilo di eventuali ritorsioni. Occorre tuttavia precisare che quanto sopra detto non vale invece per le rinunce e transazioni sottoscritte in sedi protette (giudiziarie, amministrative sindacali). Il segnalante e gli altri soggetti tutelati, infatti, possono validamente rinunciare ai propri diritti e mezzi di tutela o farne oggetto di transazione, se ciò avviene nelle sedi protette indicate all’art. 2113 c.c.81. 81 Si tratta degli accordi conclusi in sede giudiziale (art. 185 c.p.c); dinanzi alla commissione di conciliazione istituita presso la direzione territoriale del lavoro (art.410 c.p.c); innanzi alle sedi di certificazione (art. 31, co. 13, L. 183/2010); innanzi alla commissione di conciliazione istituita in sede sindacale (art. 412-ter c.p.c.); presso i collegi di conciliazione ed arbitrato irrituale (art. 412-quater c.p.c.). 82 Cfr. art. 5, par. 1 lett. b) e c) del Regolamento UE 679/2016 e art. 3, lett. b) e c) d.lgs. n. 51/2018. In questi casi, la circostanza che tali atti vengano conclusi dinanzi ad organismi che, per la loro composizione, assicurano autorevolezza ed imparzialità, consente di considerare maggiormente tutelata la posizione del soggetto che rinunzia o transige, anche in termini di maggiore genuinità e spontaneità del consenso. 4.1 La tutela della riservatezza 4.1.1 La tutela della riservatezza del segnalante In conformità alla precedente normativa, il legislatore impone all’amministrazione/ente, che riceve e tratta le segnalazioni, e alla stessa ANAC di garantire la riservatezza dell’identità del segnalante. Ciò anche al fine di evitare l’esposizione dello stesso a misure ritorsive che potrebbero essere adottate a seguito della segnalazione. Nel rispetto dei principi fondamentali in materia di protezione dei dati personali, quali quello di limitazione delle finalità e minimizzazione dei dati82, il decreto inoltre sancisce espressamente che le segnalazioni non possano essere utilizzate oltre quanto necessario per dare alle stesse adeguato seguito. La tutela della riservatezza del segnalante Disciplina precedente (L. n. 179/2017 – LLGG n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) L’identità del segnalante non può essere rivelata. In base alle LLGG il divieto di rivelare l’identità del segnalante riguarda il nominativo del segnalante e tutti gli elementi della segnalazione, inclusa la documentazione ad essa allegata, nella misura in cui il loro disvelamento, anche indirettamente, possa consentire l’identificazione del segnalante. Come è garantita la riservatezza del segnalante nell’ambito giurisdizionale? o Nel procedimento penale, l’identità del segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 c.p.p. o Nel procedimento dinanzi alla Corte dei Conti l’obbligo del segreto istruttorio è previsto sino alla chiusura della fase istruttoria. Dopo la suddetta chiusura, ad avviso di ANAC, l’identità del segnalante può essere svelata dall’Autorità contabile al fine di essere utilizzata nel procedimento stesso. Come è garantita la riservatezza del segnalante nell’ambito del procedimento disciplinare? o Nell’ambito del procedimento disciplinare l’identità del segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza di consenso del segnalante alla rivelazione della sua identità. Ad avviso di ANAC il segnalante deve acconsentire espressamente alla rivelazione della propria identità. I corollari della tutela della identità del segnalante: a) gestione informatizzata delle segnalazioni, con il ricorso a strumenti di crittografia; b) sottrazione della segnalazione e della documentazione ad essa allegata al diritto di accesso agli atti amministrativi previsto dagli artt. 22 e ss. della l. n. 241/1990 e secondo ANAC dall’accesso civico generalizzato ex art. 5 del d.lgs. n. 33/2013; c) rispetto dei principi in materia di protezione dei dati personali. L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate senza il consenso espresso della stessa persona segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni. Come è garantita la riservatezza del segnalante nell’ambito giurisdizionale? o Nell’ambito del procedimento penale, l’identità del segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 c.p.p. o Nell’ambito del procedimento dinanzi alla Corte dei conti, l’identità della persona segnalante non può essere rivelata fino alla chiusura della fase istruttoria. Come è garantita la riservatezza del segnalante nell’ambito del procedimento disciplinare? o Nell’ambito del procedimento disciplinare, l’identità della persona segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità. I corollari della tutela della identità del segnalante: a) preferenza per la gestione informatizzata delle segnalazioni, con il ricorso a strumenti di crittografia; b) sottrazione della segnalazione e della documentazione ad essa allegata al diritto di accesso agli atti amministrativi previsto dagli artt. 22 e ss. della l., n. 241/1990 e accesso civico generalizzato ex art. 5 del d.lgs. n. 33/2013; c) rispetto dei principi in materia di protezione dei dati personali. NOVITA’ La riservatezza, oltre che all’identità del segnalante, viene garantita anche a qualsiasi altra informazione o elemento della segnalazione dal cui disvelamento si possa dedurre direttamente o indirettamente l’identità del segnalante. La riservatezza viene garantita anche nel caso di segnalazioni – interne o esterne – effettuate in forma orale attraverso linee telefoniche o, in alternativa, sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto con chi tratta la segnalazione Si tutela la riservatezza del segnalante anche quando la segnalazione perviene a personale diverso da quello autorizzato e competente a gestire le segnalazioni, al quale, comunque, le stesse vanno trasmesse senza ritardo In due casi espressamente previsti dal decreto, per rivelare l’identità del segnalante, oltre al consenso espresso dello stesso, si richiede anche una comunicazione scritta delle ragioni di tale rivelazione: o nel procedimento disciplinare laddove il disvelamento dell’identità del segnalante sia indispensabile per la difesa del soggetto a cui viene contestato l’addebito disciplinare; o nei procedimenti instaurati in seguito a segnalazioni interne o esterne laddove tale rivelazione sia indispensabile anche ai fini della difesa della persona coinvolta. Approfondimenti sulle tutele e misure di sostegno – La tutela della riservatezza del segnalante L’obbligo di tutelare la riservatezza impone che un eventuale disvelamento dell’identità della persona segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni avvenga sempre con il consenso espresso della stessa. È fondamentale, quindi, che le amministrazioni e gli enti in qualità di titolari del trattamento, autorizzino al trattamento dei dati personali tutti i dipendenti coinvolti nel trattamento di tali dati i quali, come anticipato, devono ricevere un’adeguata formazione professionale, anche sulle norme applicabili in materia di protezione dei dati personali, al fine di trattare le segnalazioni83. 83 Cfr. le seguenti disposizioni: art. 29 del Regolamento (UE) 2016/679 “Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento “ ai sensi del quale “Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri” ; art. 32, par. 4 del medesimo Regolamento ai sensi del quale: “Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.; Art. 2-quaterdecies “Attribuzione di funzioni e compiti a soggetti designati” del d.lgs. n. 196/2003 e ss. mm. ii. “1. Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità. A titolo esemplificativo, si pensi al RPCT dei soggetti del settore pubblico tenuti a nominarlo ai sensi dell’art. 1, co. 7, l. 190/2012, al personale degli uffici coinvolti nella gestione della segnalazione e, per quanto concerne ANAC al custode dell’identità. Nel caso in cui siano chiamati a gestire le segnalazioni soggetti esterni, questi ultimi sono responsabili del trattamento in base ad un accordo appositamente stipulato con l’amministrazione/ente e devono offrire garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate84 nonché assicurare il rispetto della riservatezza, protezione dei dati e segretezza (cfr. § 4.1.3 della presente parte). 84 Cfr. art. 28 del Regolamento UE 679/2016 e art. 18 d.lgs. n. 51/2018. 85 Cfr. art. 67 del d.lgs. 26 agosto 2016, n. 174 “Codice di giustizia contabile, adottato ai sensi dell’articolo 20 della legge 7 agosto 2015, n. 124”. Va anche precisato che il divieto di rivelare l’identità del segnalante è da riferirsi non solo al nominativo del segnalante ma anche a qualsiasi altra informazione o elemento della segnalazione, ivi inclusa la documentazione ad essa allegata, dal cui disvelamento si possa dedurre direttamente o indirettamente l’identità del segnalante. Il trattamento di tutti questi elementi va quindi improntato alla massima cautela, a cominciare dall’oscuramento dei dati personali, specie quelli relativi al segnalante ma anche degli altri soggetti la cui identità in base al d.lgs. 24/2023 deve rimanere riservata (il facilitatore, il segnalato, le altre persone menzionate nella segnalazione (cfr. §§ 4.1.1. e 4.1.2 della presente parte)), qualora, per ragioni istruttorie, anche altri soggetti debbano essere messi a conoscenza del contenuto della segnalazione e/o della documentazione ad essa allegata. Ciò vale anche nei casi in cui ANAC debba trasmettere la segnalazione ad altra autorità competente e viceversa (cfr. § 1.1 della Parte Seconda). L’esigenza di operare con particolare cautela al fine di evitare di rivelare l’identità del segnalante e di tutti gli altri soggetti tutelati appare ancor più evidente laddove si consideri che, come sopra chiarito, il legislatore ha introdotto nuove e ulteriori modalità di presentazione della segnalazione, non solo per iscritto o tramite piattaforma dedicata ma anche oralmente, ad esempio mediante linea telefonica gratuita o, in alternativa, con altro sistema di messaggistica vocale oppure anche mediante incontri diretti su richiesta del segnalante. La tutela della riservatezza va assicurata anche in ambito giurisdizionale e disciplinare. Analogamente a quanto già previsto dalla precedente normativa, il d.lgs. n. 24/2023 precisa, infatti, fino a quale momento nel procedimento penale, nel procedimento dinanzi alla Corte dei Conti e nel procedimento disciplinare debba essere garantita la riservatezza. a) Nell’ambito del procedimento penale, l’identità del segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 c.p.p. Tale disposizione prevede l’obbligo del segreto sugli atti compiuti nelle indagini preliminari “fino a quando l’imputato non ne possa avere conoscenza e, comunque, non oltre la chiusura delle indagini preliminari” (il cui relativo avviso è previsto dall’art. 415-bis c.p.p.). b) Nel procedimento dinanzi alla Corte dei Conti l’obbligo del segreto istruttorio è previsto sino alla chiusura della fase istruttoria. Dopo, l’identità del segnalante potrà essere disvelata dall’Autorità giudiziaria al fine di essere utilizzata nel procedimento stesso85. c) Nell’ambito del procedimento disciplinare attivato dall’amministrazione contro il presunto autore della condotta segnalata, l’identità del segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Nel caso in cui l’identità del segnalante risulti indispensabile alla difesa del soggetto cui è stato contestato l’addebito disciplinare, questa può essere rivelata solo dietro consenso espresso del segnalante. Il decreto disciplina poi espressamente due casi in cui per rivelare l’identità del segnalante devono concorrere la previa comunicazione scritta delle ragioni alla base della rivelazione dei dati relativi alla sua identità e il previo consenso espresso del segnalante. La prima ipotesi ricorre laddove nell’ambito di un procedimento disciplinare avviato nei confronti del presunto autore della condotta segnalata, l’identità del segnalante risulti indispensabile alla difesa del soggetto cui è stato contestato l’addebito disciplinare. In tal caso, invero, come già sopra precisato, un obbligo di comunicazione era già previsto dalla precedente normativa ai sensi della quale l’identità del segnalante poteva essere disvelata solo dietro consenso dello stesso. Il d.lgs. n. 24/2023, oltre al previo consenso del segnalante, chiede anche di comunicare, sempre previamente, in forma scritta a quest’ultimo le motivazioni che conducono al disvelamento della sua identità. La seconda ipotesi ricorre, invece, nel caso in cui nelle procedure di segnalazione interna ed esterna la rivelazione dell’identità del segnalante sia indispensabile anche ai fini della difesa della persona coinvolta. Anche in questo caso per disvelare l’identità del segnalante è necessario sia acquisire previamente il consenso espresso dello stesso che notificare allo stesso in forma scritta motivazioni alla base della necessità di disvelare la sua identità. La ratio di tali disposizioni risponde, da un lato, all’esigenza che la segnalazione vada a buon fine e riceva un adeguato trattamento soprattutto laddove si tratti di casi gestiti dalle Autorità giurisdizionali competenti. Dall’altro, la previsione mira a far comprendere al segnalante le motivazioni che renderebbero necessario far conoscere la propria identità per consentire, eventualmente, di intervenire in casi in cui la difesa dell’incolpato potrebbe addurre fatti non conferenti o infondati a danno stesso del segnalante o tali da determinare una errata conclusione del procedimento attivato a seguito della segnalazione. Dalla previsione dell’obbligo di riservatezza derivano una serie di corollari: 1. La prima importante conseguenza dell’obbligo di riservatezza è la sottrazione della segnalazione e della documentazione ad essa allegata al diritto di accesso agli atti amministrativi previsto dagli artt. 22 e ss. della l. n. 241/1990. Il nuovo decreto dispone espressamente l’esclusione della segnalazione e della documentazione ad essa allegata anche dall’accesso civico generalizzato di cui agli artt. 5 e ss. del d.lgs. n. 33/201386. 86 Tale sottrazione dall’accesso ricorre anche quando la segnalazione è gestita da un’altra Autorità competente ratione materiae. Conseguentemente ciascuna Autorità dovrà adeguare i propri regolamenti interni in materia di accesso. 2. In secondo luogo, il rispetto dell’obbligo di riservatezza impone che le amministrazioni ed enti coinvolti nella gestione delle segnalazioni garantiscano tale riservatezza durante tutte le fasi del procedimento di segnalazione, ivi compreso l’eventuale trasferimento delle segnalazioni ad altre autorità competenti. Ciò vale: o nell’ambito della gestione delle segnalazioni esterne da parte di ANAC, ivi inclusi i casi in cui la stessa ANAC, ricevendo segnalazioni che non rientrano nella propria competenza, sia tenuta a trasmetterle all’autorità amministrativa competente (ad esempio all’Ispettorato della funzione pubblica, all’ACGM, all’ART). In tale ultimo caso, la stessa autorità amministrativa competente è tenuta a garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione; o nell’ambito della gestione delle segnalazioni interne da parte delle amministrazioni/enti. 3. Sul piano operativo, l’altro importante corollario dell’obbligo di riservatezza è la previsione – sia nell’ambito del canale interno di segnalazione che di quello esterno – di adeguate procedure per il trattamento delle segnalazioni anche mediante sistemi di gestione informatizzata delle stesse, che consentano di tutelare e mantenere riservata l’identità del segnalante, il contenuto della segnalazione e la relativa documentazione, anche con il ricorso a strumenti di crittografia (cfr. § 4 della Parte Seconda). 4. La riservatezza va garantita anche quando la segnalazione viene effettuata attraverso modalità diverse da quelle istituite dai soggetti del settore pubblico e privato e dalla stessa ANAC in conformità al decreto o perviene a personale diverso da quello autorizzato e competente al trattamento della stessa, a cui la segnalazione va trasmessa senza ritardo. Con specifico riferimento alla divulgazione pubblica, la protezione della riservatezza non si applica nel caso in cui la persona segnalante abbia intenzionalmente rivelato la sua identità mediante ad esempio piattaforme web o social media. Lo stesso vale nell’ipotesi in cui il soggetto si rivolga direttamente ad un giornalista. In tal caso, infatti, restano ferme le norme sul segreto professionale dei giornalisti, con riferimento alla fonte della notizia (cfr. § 3.3 della presente parte). Nel caso in cui, invece, colui che effettua la divulgazione non riveli la propria identità (ad es. utilizzando uno pseudonimo o un nickname nel caso di social) tali divulgazioni sono equiparabili alle segnalazioni anonime. In quest’ottica, è opportuno che le divulgazioni pubbliche “anonime”, ove possibile, (ad esempio da organi di stampa o piattaforme web), siano registrate/catalogate e conservate da parte dell’ente che ne ha conoscenza, rendendo così possibile un richiamo ad esse da parte del segnalante che intenda disvelare la propria identità ed essere tutelato nel caso in cui subisca ritorsioni a seguito della divulgazione (cfr. § 2.2 della presente parte). Si precisa, infine, che, a garanzia del rispetto dell’obbligo di riservatezza, il decreto prevede che, in caso di violazione di tale obbligo, ANAC applichi ai titolari del trattamento una sanzione amministrativa pecuniaria. Nell’ambito del settore privato, il decreto dispone che gli enti e le persone con meno di 50 dipendenti, ma che abbiano istituito un modello 231, prevedano in esso sanzioni disciplinari tra l’altro nei confronti di coloro che accertano essere responsabili della violazione dell’obbligo di riservatezza nella gestione delle segnalazioni. Ad avviso di ANAC, è opportuno che anche le amministrazioni ed enti del settore pubblico introducano nei codici di comportamento, adottati ai sensi dell’art. 54, co. 5, del d.lgs. n. 165/2001, forme di responsabilità disciplinare in capo ai soggetti competenti a gestire le segnalazioni in caso di violazione dell’obbligo di riservatezza dell’identità del segnalante e degli altri soggetti la cui identità va tutelata. 4.1.2. La tutela della riservatezza dell’identità delle persone segnalate (o coinvolte) e di altri soggetti Il decreto, nell’ottica di estendere quanto più possibile il sistema delle tutele, ha riconosciuto che la riservatezza vada garantita anche a soggetti diversi dal segnalante. La Tutela della riservatezza del soggetto segnalato e di altri soggetti Disciplina precedente (L. n. 179/2017 – LLGG n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Non è previsto nulla nella legge 179/2017 Solo ANAC nelle LLGG precisa che i dati relativi ai soggetti segnalati, in quanto interessati, sono comunque tutelati dalla disciplina in materia dei dati personali. La tutela della riservatezza di altri soggetti non è prevista Tutela della riservatezza del segnalato (cd persona coinvolta) NOVITA’ Tutela della riservatezza del facilitatore che assiste il segnalante Tutela della riservatezza anche delle persone differenti dal segnalato ma menzionate nella segnalazione, tramite il ricorso a strumenti di crittografia ove si utilizzino strumenti informatici. La riservatezza della persona coinvolta e della persona menzionata viene garantita anche: – nel caso di segnalazioni – interne o esterne – effettuate in forma orale attraverso linee telefoniche o, in alternativa, sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole; – quando la segnalazione viene effettuata con modalità diverse da quelle istituite dalle amministrazioni/enti e da ANAC in conformità al decreto; – quando la segnalazione perviene a personale diverso da quello autorizzato al trattamento delle segnalazioni, al quale va in ogni caso trasmessa senza ritardo. La tutela dell’identità della persona coinvolta e della persona menzionata nella segnalazione va garantita da parte dei soggetti del settore pubblico e privato, di ANAC, nonché delle autorità amministrative cui vengono trasmesse le segnalazioni in quanto di loro competenza, fino alla conclusione dei procedimenti avviati in ragione della segnalazione e nel rispetto delle medesime garanzie previste in favore della persona segnalante. La persona segnalata può essere sentita o viene sentita, dietro sua richiesta, anche mediante procedimento cartolare attraverso l’acquisizione di osservazioni scritte e documenti. Tale soggetto non ha il diritto di essere sempre informato della segnalazione che lo riguarda ma solo nell’ambito del procedimento eventualmente avviato nei suoi confronti a seguito della conclusione della gestione della segnalazione e nel caso in cui tale procedimento sia fondato in tutto o in parte sulla segnalazione. Approfondimenti sulle tutele e misure di sostegno – La tutela della riservatezza del soggetto segnalato e di altri soggetti Il decreto prevede espressamente che la tutela dell’identità sia garantita anche alla persona fisica segnalata, ovvero alla persona alla quale la violazione è attribuita nella divulgazione pubblica (c.d. persona coinvolta). Pertanto, il titolare del trattamento e il responsabile del trattamento dovranno adottare particolari cautele al fine di evitare la indebita circolazione di informazioni personali, non solo verso l’esterno, ma anche all’interno degli uffici dell’amministrazione/ente in capo, eventualmente, a soggetti non autorizzati al trattamento di tali dati. Si consideri, peraltro, che a sostegno della persona segnalata e del suo diritto di difesa, l’art. 12, co. 9 del d.lgs. 24/2023 ha altresì riconosciuto che tale soggetto possa essere sentito o venga sentito, dietro sua richiesta, anche mediante procedimento cartolare attraverso l’acquisizione di osservazioni scritte e documenti. La normativa non riconosce però al segnalato il diritto di essere sempre informato della segnalazione che lo riguarda; tale diritto, infatti, è garantito nell’ambito del procedimento eventualmente avviato nei suoi confronti a seguito della conclusione dell’attività di verifica e di analisi della segnalazione e nel caso in cui tale procedimento sia fondato in tutto o in parte sulla segnalazione. D’altro canto, il riconoscimento del diritto del segnalato ad essere sempre e comunque informato della segnalazione interna e/o esterna, oltre a non avere un chiaro appiglio normativo, rischierebbe di compromettere lo svolgimento dell’attività istruttoria con particolare riferimento alle successive/eventuali indagini penali. Il legislatore ha poi ritenuto di garantire la riservatezza: o al facilitatore, sia per quanto riguarda l’identità, sia con riferimento all’attività in cui l’assistenza si concretizza; o a persone diverse dal segnalato, ma comunque implicate in quanto menzionate nella segnalazione o nella divulgazione pubblica (si pensi ad esempio a persone indicate come testimoni). La ratio della nuova disciplina va individuata nell’esigenza di salvaguardare i diritti di soggetti che, per effetto della segnalazione, potrebbero subire danni alla loro reputazione o altre conseguenze negative ancor prima che venga dimostrata l’estraneità o meno degli stessi ai fatti segnalati. Si pensi, ad esempio, al caso in cui il CEO di un’azienda si ritrovi ad essere una persona segnalata. Il disvelamento dell’identità di quest’ultimo comporterebbe un danno notevole sia al soggetto – in termini di credibilità e affidabilità – sia all’azienda che, oltre al danno reputazionale potrebbe subire anche conseguenze negative dal punto di vista economico. La riservatezza del facilitatore, della persona coinvolta e della persona menzionata nella segnalazione va garantita fino alla conclusione dei procedimenti avviati in ragione della segnalazione e nel rispetto delle medesime garanzie previste in favore della persona segnalante. Tenuto conto di quanto sopra, come già anticipato, si ribadisce che sia l’Autorità che le amministrazioni e gli enti del settore pubblico e privato devono quindi attivare canali di segnalazione che garantiscano la riservatezza dell’identità di tali soggetti anche tramite il ricorso a strumenti di crittografia, ove si utilizzino strumenti informatici. In ogni caso, la stessa riservatezza va garantita – come precisato sopra per il segnalante (cfr. supra § 4.1.1) – anche quando la segnalazione viene effettuata attraverso modalità diverse da quelle istituite in conformità al decreto nonché nei casi in cui la stessa perviene a personale diverso da quello addetto al trattamento, al quale la stessa viene comunque trasmessa senza ritardo. Fa eccezione a questo dovere di riservatezza delle persone coinvolte o menzionate nella segnalazione il caso in cui le segnalazioni siano oggetto di denuncia alle Autorità giudiziarie. Ciò trova conferma nel fatto che il legislatore, nel prevedere la tutela della riservatezza nei procedimenti giudiziari, fa riferimento solo all’identità del segnalante e non anche a quella della persona coinvolta o menzionata nella segnalazione87. 87 Cfr. art. 12, co. 3, 4 e 7, d.lgs. n. 24/2023. La ratio di siffatta previsione risponde all’esigenza di consentire alle Autorità giudiziarie di procedere con le proprie indagini avendo un quadro completo del fatto segnalato e acquisendo quante più informazioni possibili per pronunciarsi sul caso di specie. A tal fine potrebbe rendersi necessario conoscere l’identità delle persone coinvolte o menzionate nella segnalazione. Si pensi, ad esempio, all’ipotesi in cui l’Autorità giudiziaria debba sentire i testimoni sui fatti intorno ai quali è chiamata ad esprimersi. La mancata rivelazione dell’identità di questi ultimi priverebbe l’Autorità di uno degli elementi fondamentali per la risoluzione del caso. 4.1.3. Il trattamento dei dati personali Al fine di garantire il diritto alla protezione dei dati personali alle persone segnalanti o denuncianti il legislatore ha previsto che l’acquisizione e gestione delle segnalazioni, divulgazioni pubbliche o denunce, ivi incluse le comunicazioni tra le autorità competenti, avvenga in conformità alla normativa in tema di tutela dei dati personali88. Qualsiasi scambio e trasmissione di informazioni che comportano un trattamento di dati personali89 da parte delle istituzioni, organi o organismi dell’UE deve inoltre avvenire in conformità al regolamento (UE) 2018/172590. 88 In particolare, al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR), al d.lgs. n. 196 del 30 giugno 2003, adeguato alle disposizioni del Regolamento (UE) 2016/679 tramite il Decreto legislativo 10 agosto 2018, n. 101. e al d.lgs. 51/2018 recante “Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché’ alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio”. 89 Per trattamento si intende “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione” 87(cfr. Regolamento (Ue) 2016/679, art. 4. § 1, n. 2). 90 Il regolamento riguarda la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati. 91 Cfr. art. 4, par. 1 Regolamento (UE) 679/2016 ai sensi del quale l’interessato è una “persona fisica identificata o identificabile si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”. La tutela dei dati personali va assicurata non solo alla persona segnalante o denunciante ma anche agli altri soggetti cui si applica la tutela della riservatezza, quali il facilitatore, la persona coinvolta e la persona menzionata nella segnalazione (cfr. §§ 4.1.1 e 4.1.2 della presente parte) in quanto “interessati”91 dal trattamento dei dati. Le qualifiche dei soggetti che trattano i dati personali Titolari del trattamento – Soggetti pubblici e privati che istituiscono il canale interno – ANAC per il canale esterno – Altre autorità competenti a cui sono trasmesse le segnalazioni Contitolari del trattamento – Enti pubblici e privati che condividono il canale interno (art. 4, co. 4, d.lgs. 24/2023) Responsabili del trattamento – Soggetti esterni gestori delle segnalazioni (ove sia stata loro affidata la gestione) – Fornitori esterni Persone autorizzate – Persone espressamente designate dal titolare o dai contitolari del trattamento che gestiscono e trattano le segnalazioni I titolari del trattamento, i responsabili del trattamento e le persone autorizzate a trattare i dati personali sono tenuti a rispettare alcuni principi fondamentali. Principi da rispettare per il trattamento dei dati personali Trattare i dati in modo lecito, corretto e trasparente Raccogliere i dati al solo fine di gestire e dare seguito alle segnalazioni, divulgazioni pubbliche o denunce Garantire che i dati siano adeguati, pertinenti e limitati a quanto necessario per le finalità per le quali sono trattati Assicurare che i dati siano esatti e aggiornati Conservare i dati per il tempo necessario al trattamento della specifica segnalazione. Non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione Assicurare il trattamento in maniera da garantire la sicurezza dei dati personal, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, distruzione e dal danno accidentali Rispettare il principio della privacy by design e della privacy by default Effettuare la valutazione d’impatto sulla protezione dei dati Rendere ex ante ai possibili interessati un’informativa sul trattamento dei dati personali mediante la pubblicazione di documenti informativi (ad esempio sul sito web, sulla piattaforma, oppure informative brevi in occasione dell’uso di altre modalità scritte o orali) Assicurare l’aggiornamento del registro delle attività di trattamento Garantire il divieto di tracciamento dei canali di segnalazione Garantire, ove possibile, il tracciamento dell’attività del personale autorizzato nel rispetto delle garanzie a tutela del segnalante La responsabilità in caso di violazione della disciplina sulla tutela dei dati personali ricade in capo al titolare del trattamento laddove tale violazione sia commessa delle persone autorizzate o dai responsabili del trattamento92. 92 Ciò salvo che, come sopra chiarito, questi ultimi non si siano limitati a trattare i dati in base alle indicazioni del titolare del trattamento e abbiano definito mezzi e finalità propri assumendo quindi la titolarità di tale trattamento. 93 Cfr. artt. 58, co. 2 e 83 del Regolamento e art. 166 e ss. d.lgs. n. 196 del 2003. 94 Cfr. art. 166, co. 10 d.lgs. 196/2003. 95 Cfr. artt. 82 e 84 Regolamento (UE) 679/2016 e artt. 167 e ss. d.lgs. n. 196/2003. 96 Ciò tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato di cui al comma 1 lett. [..] f) ai sensi dell’’art. 2, unidicies co. 3 del d.lgs. n. 2023 n. 196. 97 Si tratta nello specifico dei diritti previsti dagli artt. 15 a 22 del Regolamento (UE) n. 2016/679 La responsabilità ricade in capo al responsabile del trattamento nel caso in cui la suddetta violazione è commessa da persone autorizzate da quest’ultimo. In tali casi, il Garante per la protezione dei dati personali può adottare provvedimenti correttivi e, nei casi previsti dalla legge, applicare sanzioni amministrative pecuniarie93 . Tali sanzioni amministrative non si applicano in relazione ai trattamenti svolti in ambito giudiziario94. Le medesime violazioni possono inoltre rilevare sotto il profilo penale e dar luogo a responsabilità civile95. La persona coinvolta o la persona menzionata nella segnalazione, con riferimento ai propri dati personali trattati nell’ambito della segnalazione, divulgazione pubblica o denuncia, non possono esercitare – per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata96 – i diritti che normalmente il Regolamento (UE) 2016/679 riconosce agli interessati (il diritto di accesso ai dati personali, il diritto a rettificarli, il diritto di ottenerne la cancellazione o cosiddetto diritto all’oblio, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati personali e quello di opposizione al trattamento97). Dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante. In tali casi, dunque, al soggetto segnalato o alla persona menzionata nella segnalazione è preclusa anche la possibilità, laddove ritengano che il trattamento che li riguarda violi suddetti diritti, di rivolgersi al titolare del trattamento e, in assenza di risposta da parte di quest’ultimo, di proporre reclamo al Garante della protezione dei dati personali114. Approfondimenti sulle tutele e misure di sostegno – Il trattamento dei dati personali Il titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Pertanto, ai sensi del d.lgs. n. 24/2023 sono titolari del trattamento i soggetti del settore pubblico e privato che istituiscono canali di segnalazione interni, ANAC nell’ambito del canale di segnalazione esterno e le autorità competenti cui le segnalazioni vengono trasmesse (cfr. § 4.1. della presente parte). Gli enti che condividono il canale interno per la ricezione e la gestione delle segnalazioni sono contitolari del trattamento. Tali soggetti determinano congiuntamente le finalità e i mezzi del trattamento dei dati personali. Pertanto, essi sono tenuti a stabilire in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dalla normativa in tema di tutela dei dati personali. L’accordo, il cui contenuto essenziale è messo a disposizione dei soggetti interessati (persona segnalante o denunciante, facilitatore, persona coinvolta o persona menzionata nella segnalazione), deve riflettere adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati98. 98 Cfr. art. 13, co. 5 d.lgs. n. 24/2023 e artt. 26 Regolamento (UE) 679/2016 e 23 d.lgs. 51/2018. 99 Art. 2-quaterdecies del d.lgs. n. 196/2003 e ss.mm.ii. 100 Cfr. § 3.1 supra. Si consideri inoltre che i suddetti soggetti autorizzati operano sotto la direzione del titolare del trattamento eseguendo i compiti loro affidati. Non godono pertanto di apprezzabili margini di autonomia operativa nell’ambito dei trattamenti di dati personali che sono chiamati a svolgere. Resta fermo che le persone autorizzate sono comunque tenute a rispettare i principi fondamentali in materia di tutela dei dati personali. 101 Ai sensi degli articoli 29 e 32, paragrafo 4, del regolamento (UE) 2016/679. 102 Tale specifica formazione deve inoltre avere i caratteri di effettività e concretezza e, al fine di tener conto delle novità o delle specifiche attività affidate ai soggetti in questione, i percorsi formativi necessitano di aggiornamenti e revisioni periodiche (facendo riferimento ad esempio a procedure adottate o in corso di adozione). 103 Cfr. art. 28 Regolamento (UE) 679/2016 e art. 18 d.lgs. n. 51/2018. La disciplina sulla tutela dei dati personali stabilisce che i titolari e i contitolari del trattamento prevedano, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità99. A tal riguardo, per la trattazione delle segnalazioni, divulgazioni pubbliche o denunce, vanno individuate, come già anticipato, persone espressamente autorizzate100 e previamente istruite dai titolari del trattamento101. Occorre avere riguardo all’assetto organizzativo interno di ogni ente in modo da prevedere che le autorizzazioni al trattamento dei dati siano tali da ricomprendere tutte le persone che sono coinvolte nella gestione delle segnalazioni (si pensi al caso in cui erroneamente la segnalazione invece di pervenire attraverso il canale interno pervenga tramite protocollo). Tali soggetti devono inoltre ricevere un’adeguata e specifica formazione professionale volta ad accrescerne le competenze specialistiche anche in materia di normativa sulla protezione dei dati personali, sicurezza dei dati e delle informazioni, nonché in tema di addestramento relativamente alle procedure predisposte102. Inoltre, il decreto prevede che nell’ambito dei canali interni di segnalazione, i soggetti del settore pubblico e privato possono affidare la ricezione e la trattazione delle segnalazioni anche ad un soggetto esterno autonomo e con personale specificamente formato. Tale soggetto, ai sensi della normativa in materia della tutela dei dati personali, assume la qualifica di responsabile del trattamento103 e, come anticipato, deve presentare garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che garantiscano il rispetto della riservatezza, protezione dei dati e segretezza. L’esecuzione dei trattamenti da parte dei responsabili del trattamento deve essere disciplinata da un contratto o da altro atto giuridico che preveda l’oggetto, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Peraltro, anche i responsabili del trattamento possono prevedere, sotto la propria responsabilità, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità104. 104 Cfr. art. 2-quaterdecies d.lgs. n. 196/2003 e artt. 29 e 32, par. 4 del Regolamento (UE) 679/2016. 105 Cfr. art. 13, co. 6, d.lgs. n. 24/2023. 106 In tal caso il soggetto deputato a valutare la manifesta inutilità dei dati è il titolare del trattamento, in persona di coloro che sono autorizzati a ricevere e a trattare le segnalazioni, sulla base di indicazioni impartite dallo stesso titolare e dalla normativa di settore in ogni caso si precisa che il principio di minimizzazione previsto dal decreto ai sensi dell’art. 13 comma 2 del dlgs 24/2023 debba essere interpretato in modo restrittivo limitando l’applicabilità della previsione ai soli casi sia palese la assoluta irrilevanza di parti della segnalazione che contengono dati personali rispetto alla vicenda segnalata restando salve le norme di settore in materia di conservazione degli atti. 107 Cfr. art. 14, co. 1, d.lgs. 24/2023. Qualora i responsabili del trattamento non si limitino a trattare i dati in base alle indicazioni del titolare del trattamento e inizino a definire mezzi e finalità propri, sono considerati titolari rispetto a tale ultimo trattamento e possono pertanto essere soggetti alle sanzioni amministrative pecuniarie da parte del Garante (cfr. infra). Vale poi precisare che, laddove in esito alla valutazione di impatto (cfr. infra) si renda necessario il ricorso a misure tecniche e organizzative per ridurre un rischio per i diritti degli interessati, i titolari del trattamento, nell’individuazione e predisposizione di tali misure, possono eventualmente ricorrere a fornitori esterni105 al fine di rendere più sicuro e adeguato il canale di gestione delle segnalazioni, divulgazioni pubbliche o denunce. Anche tali soggetti, che operano per conto dei titolari del trattamento, ai sensi della normativa sulla tutela dei dati personali, sono responsabili del trattamento. I principi fondamentali da rispettare per il trattamento dei dati personali sono: o Trattare i dati in modo lecito, corretto e trasparente nei confronti dei soggetti interessati («liceità, correttezza e trasparenza»). o Raccogliere i dati solo al fine di gestire e dare seguito alle segnalazioni, divulgazioni pubbliche o denunce effettuate da parte dei soggetti tutelati dal d.lgs. 24/2023 («limitazione della finalità»). o Garantire che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»). A tal riguardo, il decreto precisa, infatti, che i dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati senza indugio106. o Assicurare che i dati siano esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti relativi alla specifica segnalazione, divulgazione pubblica o denuncia che viene gestita («esattezza»). o Conservare i dati in una forma che consenta l’identificazione degli interessati per il tempo necessario al trattamento della specifica segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione107 («limitazione della conservazione»). Per ANAC, tale termine decorre dalla chiusura del fascicolo sulla segnalazione da parte dell’ufficio UWHIB. o Effettuare il trattamento in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità, disponibilità e riservatezza»). Nel contesto in esame, caratterizzato da elevati rischi per i diritti e le libertà degli interessati, il ricorso a strumenti di crittografia nell’ambito dei canali interni e del canale esterno di segnalazione, è di regola da ritenersi una misura adeguata a dare attuazione, fin dalla progettazione e per impostazione predefinita, al predetto principio di integrità e riservatezza. Le misure di sicurezza adottate devono, comunque, essere periodicamente riesaminate e aggiornate. o Definire un modello di gestione delle segnalazioni in conformità ai principi di protezione dei dati personali108. In particolare, tali misure devono fare in modo che non siano resi accessibili, in via automatica senza il tramite del titolare del trattamento o soggetto autorizzato, dati personali a un numero indefinito di soggetti109. 108 Occorre in particolare adottare misure tecniche e organizzative fin dalla progettazione del canale di segnalazione (privacy by design) e garantire che per impostazione predefinita (privacy by default) siano trattati solo i dati personali strettamente necessari in relazione alla specifica segnalazione, divulgazione pubblica o denuncia. 109 Cfr. art. 25 Regolamento (UE) 679/2016. 110 Cfr. l’art. 13, co. 6, del d.lgs. 24/2023, che espressamente prevede la necessità di una previa valutazione d’impatto. 111 Ai sensi degli artt. 35 e 36 del Regolamento (UE) 679/2016. 112 Ai sensi degli artt. 13 e 14 del Regolamento (UE) 679/2016. Tale informativa (che può essere, ad esempio, inclusa nell’atto organizzativo adottato dall’amministrazione/ente per la gestione delle segnalazioni ovvero pubblicata in un’apposita sezione dell’applicativo informatico utilizzato per l’acquisizione e gestione delle segnalazioni), deve essere resa nel momento in cui i dati personali sono ottenuti e deve contenere una serie di indicazioni specifiche. Ci si riferisce, a titolo esemplificativo, all’identità e ai dati di contatto del titolare del trattamento, del responsabile del trattamento, ove presente, e della persona autorizzata al trattamento, le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; il periodo di conservazione dei dati personali. 113 Ciò anche per evitare elevati flussi informativi dai quali è possibile dedurre il coinvolgimento della persona in una segnalazione vanificando le tutele per la riservatezza approntate dal decreto (v. anche 14, par. 5, lett. b) e d), del Regolamento (UE) 2016/679, che peraltro in taluni casi, che possono sussistere nel contesto di specie, esclude l’obbligo di fornire l’informativa quando i dati non sono raccolti presso l’interessato). 114 Tale registro dovrà contenere, ad esempio, il nome e i dati di contatto del titolare del trattamento e, ove presente, del contitolare del trattamento; una descrizione delle categorie di soggetti interessati e delle categorie di dati personali che vengono in rilievo; le autorità competenti a cui le segnalazioni, divulgazioni pubbliche o denunce, e quindi i dati personali in esse contenuti, sono stati o saranno comunicati. 115 Ai sensi dell’art. 30 del Regolamento (UE) 679/2016. 116 Ciò in quanto la registrazione e la conservazione (ad esempio, nei log degli apparati firewall), delle informazioni relative alle connessioni ai predetti canali di segnalazione consente la tracciabilità dei soggetti che utilizzano tale applicativo, tra i quali i segnalanti. Ciò, rende inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti. o Effettuare, nella fase di progettazione del canale di segnalazione e dunque prima dell’inizio del trattamento, una valutazione d’impatto sulla protezione dei dati110 al fine di individuare ed applicare le necessarie misure tecniche per evitare tale rischio111. o Rendere ex ante ai possibili interessati (ad es. segnalanti, segnalati, persone interessate dalla segnalazione, facilitatori, ecc.) un’informativa sul trattamento dei dati personali112 mediante la pubblicazione di documenti informativi ad esempio tramite sito web, piattaforma, informative brevi in occasione dell’utilizzo degli altri canali previsti dal decreto. Nella fase di acquisizione della segnalazione e della eventuale successiva istruttoria non devono invece essere fornite informative ad hoc ai vari soggetti interessati diversi dal segnalante. Laddove all’esito dell’istruttoria sulla segnalazione si avvii un procedimento nei confronti di uno specifico soggetto segnalato, a quest’ultimo va naturalmente resa un’informativa ad hoc113. o Assicurare l’aggiornamento del registro delle attività di trattamento114, integrandolo con le informazioni connesse a quelle di acquisizione e gestione delle segnalazioni115. o Garantire il divieto di tracciamento dei canali di segnalazione. Nel caso in cui l’accesso ai canali interni e al canale esterno di segnalazione avvenga dalla rete dati interna del soggetto obbligato e sia mediato da dispositivi firewall o proxy, deve essere garantita la non tracciabilità – sia sulla piattaforma informatica che negli apparati di rete eventualmente coinvolti nella trasmissione o monitoraggio delle comunicazioni – del segnalante nel momento in cui viene stabilita la connessione a tali canali116. o Garantire, ove possibile, il tracciamento dell’attività del personale autorizzato nel rispetto delle garanzie a tutela del segnalante, al fine di evitare l’uso improprio di dati relativi alla segnalazione. Deve essere evitato il tracciamento di qualunque informazione che possa ricondurre all’identità o all’attività del segnalantericondurre all’identità o all’attività del segnalantericondurre all’identità o all’attività del segnalante 117 Il tracciamento, fatto salvo quanto previsto dall’art. 4 della l. n. 300/1970, può essere effettuato esclusivamente al fine di garantire la correttezza e la sicurezza del trattamento dei dati. 118 Cfr. art. 2, co. 1, lett. m), d.lgs. n. 24/2023. 119 Da intendersi come danno ingiustificato quale effetto provocato in via diretta o indiretta dalla ritorsione ed insito nel contenuto della ritorsione. 4.2 La tutela da ritorsioni 4.2.1 Le ritorsioni Il decreto prevede118, a tutela del whistleblower, il divieto di ritorsione definita come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto”119. Si tratta quindi di una definizione ampia del concetto di ritorsione che può consistere sia in atti o provvedimenti che in comportamenti od omissioni che si verificano nel contesto lavorativo e che arrecano pregiudizio ai soggetti tutelati. La ritorsione può essere anche “solo tentata o minacciata”. Le ritorsioni Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Come può configurarsi una ritorsione o una misura discriminatoria Con atti, provvedimenti, comportamenti od omissioni aventi effetti negativi, diretti o indiretti, sulle condizioni di lavoro Quali sono le ritorsioni o le misure discriminatorie Sanzione, demansionamento, licenziamento, trasferimento (ritorsioni espressamente menzionate dalla legge); Misure organizzative aventi effetti diretti o indiretti sulle condizioni di lavoro determinate dalla segnalazione che producono effetti di discriminazione o ritorsivi (riferimento a misure discriminatorie o ritorsive non tipizzate); Esemplificazioni di ritorsioni o misure discriminatorie proposte da ANAC a) irrogazione di sanzioni disciplinari ingiustificate; b) proposta di irrogazione di sanzioni disciplinari ingiustificate; c) graduale e progressivo svuotamento delle mansioni; d) pretesa di risultati impossibili da raggiungere nei modi e nei tempi indicati; Come può configurarsi una ritorsione Con atti, provvedimenti, comportamenti od omissioni, anche solo tentati o minacciati, che provocano o possono provocare alla persona/ente, in via diretta o indiretta, un danno ingiusto. Necessità di un nesso/stretto collegamento tra la segnalazione, la divulgazione pubblica o la denuncia e la presunta ritorsione. NOVITA’ La ritorsione può essere anche tentata o minacciata. La ritorsione provoca o può provocare alla persona/ente, in via diretta o indiretta, un danno ingiusto Quali sono le ritorsioni NOVITA’ La nuova disciplina non fa più riferimento né a misure discriminatorie né a misure organizzative aventi effetti diretti o indiretti sulle condizioni di lavoro determinate dalla segnalazione Elencazione delle ritorsioni da parte del legislatore molto più ampia rispetto alla precedente disciplina, pur tuttavia, con carattere non esaustivo: a) licenziamento, sospensione o misure equivalenti; b) retrocessione di grado o mancata promozione; e) valutazione della performance artatamente negativa; f) mancata ingiustificata attribuzione della progressione economica o congelamento della stessa; g) revoca ingiustificata di incarichi; h) ingiustificato mancato conferimento di incarichi con contestuale attribuzione ad altro soggetto; i) reiterato rigetto di richieste (ad es. ferie, congedi); j) sospensione ingiustificata di brevetti, licenze, etc.; k) mancata ingiustificata ammissione ad una procedura e/o mancata ingiustificata aggiudicazione di un appalto (ad esempio, nel caso di un’impresa individuale, già fornitrice della p.a., ove è avvenuto il fatto segnalato, quando si tratta dei soggetti di cui all’art. 54-bis, co. 2, ultimo periodo, d.lgs. 165/2001). l) per i lavoratori e i collaboratori delle imprese fornitrici di beni o servizi e che realizzano opere in favore dell’amministrazione pubblica le ritorsioni possono consistere in: ingiustificata risoluzione o ingiustificato annullamento del contratto di servizi, della licenza o del permesso, ingiustificata perdita di opportunità commerciali determinata dalla mancata ingiustificata ammissione ad una procedura e/o mancata ingiustificata aggiudicazione di un appalto (ad esempio, nel caso di un’impresa individuale, già fornitrice della p.a., ove è avvenuto il fatto segnalato, quando si tratta dei soggetti di cui all’art. 54-bis, co.2, ultimo periodo d.lgs.n. 165/2001. c) mutamento di funzioni, cambiamento del luogo di lavoro, riduzione dello stipendio, modifica dell’orario di lavoro; d) sospensione della formazione o qualsiasi restrizione dell’accesso alla stessa; e) note di demerito o referenze negative; f) adozione di misure disciplinari o di altra sanzione, anche pecuniaria; g) coercizione, intimidazione, molestie o ostracismo; h) discriminazione o comunque trattamento sfavorevole; i) mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione; j) mancato rinnovo o risoluzione anticipata di un contratto di lavoro a termine; k) danni, anche alla reputazione della persona, in particolare sui social media, o pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi; l) inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro; m) conclusione anticipata o annullamento del contratto di fornitura di beni o servizi; n) annullamento di una licenza o di un permesso; o) richiesta di sottoposizione ad accertamenti psichiatrici o medici. Approfondimento sulle tutele e misure di sostegno – La configurabilità di una ritorsione La nuova disciplina fa riferimento unicamente alle ritorsioni, superando la suddivisione tra misure discriminatorie e ritorsioni presente nella l. n. 179/2017, e amplia notevolmente, seppure in modo non esaustivo, l’elencazione delle fattispecie che possono costituire ritorsioni. Oltre a quelle espressamente indicate nel d.lgs. n. 24/2023, possono costituire ritorsioni, ad esempio, anche la pretesa di risultati impossibili da raggiungere nei modi e nei tempi indicati; una valutazione della performance artatamente negativa; una revoca ingiustificata di incarichi; un ingiustificato mancato conferimento di incarichi con contestuale attribuzione ad altro soggetto; il reiterato rigetto di richieste (ad es. ferie, congedi); la sospensione ingiustificata di brevetti, licenze, etc. La definizione di ritorsione contempla non solo le ipotesi in cui la ritorsione si sia già verificata, ma anche quelle in cui sia soltanto “tentata” oppure “minacciata”. Ciò comporta una estensione della protezione per i soggetti tutelati in quanto questi possono comunicare ad ANAC sia le ritorsioni già compiute nei loro confronti sia quelle tentate, anche se il comportamento non è stato posto in essere in modo compiuto, e quelle soltanto prospettate. Si consideri, quale esemplificazione di una ritorsione tentata, il licenziamento come conseguenza di una segnalazione, denuncia o divulgazione pubblica che il datore di lavoro non è riuscito a realizzare per un mero vizio formale commesso nella procedura di licenziamento; oppure, come esempio di minaccia, la prospettazione del licenziamento o del mutamento delle funzioni avvenuta nel corso di un colloquio che chi ha segnalato, denunciato o effettuato una divulgazione ha avuto con il proprio datore di lavoro. Nei casi di ritorsioni tentate o minacciate, il soggetto tutelato, nel comunicare ad ANAC la ritorsione subita, deve necessariamente fornire elementi da cui poter desumere il fumus sulla effettività della minaccia o del tentativo ritorsivo. A titolo esemplificativo, può darsi conto di una riunione tenuta in presenza di più persone in cui si è discusso il licenziamento della persona segnalante. Se, in base agli elementi presentati, l’Autorità desume che il tentativo si è consumato o che la minaccia è effettiva, dà avvio al procedimento sanzionatorio. È onere del soggetto che ha tentato la ritorsione o l’ha minacciata dimostrare che i fatti allegati dal segnalante sono estranei alla segnalazione, denuncia o divulgazione pubblica effettuata. 4.2.2 Le condizioni per l’applicazione della tutela dalle ritorsioni L’applicazione del regime di protezione contro le ritorsioni prevista dal decreto è subordinata ad alcune condizioni e requisiti. Le condizioni per l’applicazione della tutela dalle ritorsioni D.lgs. n. 24/2023 1) Il soggetto ha segnalato, denunciato o ha effettuato la divulgazione pubblica in base ad una convinzione ragionevole che le informazioni sulle violazioni segnalate, divulgate o denunciate, siano veritiere e rientranti nell’ambito oggettivo di applicazione del decreto. 2) La segnalazione o divulgazione pubblica è stata effettuata nel rispetto della disciplina prevista dal d.lgs. 24/2023. 3) E’ necessario un rapporto di consequenzialità tra segnalazione, divulgazione e denuncia effettuata e le misure ritorsive subite. 4) Non sono sufficienti invece i meri sospetti o le “voci di corridoio”. Non rilevano la certezza dei fatti né i motivi personali che hanno indotto il soggetto a segnalare, a denunciare o effettuare la divulgazione pubblica. In difetto di tali condizioni o le segnalazioni, divulgazioni pubbliche e denunce non rientrano nell’ambito della disciplina di whistleblowing e quindi la tutela prevista non si applica a chi segnala, denuncia o effettua la divulgazione pubblica; o analogamente si esclude la protezione riconosciuta ai soggetti diversi, che in ragione del ruolo assunto nell’ambito del processo di segnalazione/denuncia e/o del particolare rapporto che li lega al segnalante o denunciante, subiscono indirettamente ritorsioni. Approfondimenti sulle tutele e misure di sostegno – Le condizioni per l’applicazione della tutela dalle ritorsioni Per godere della protezione da ritorsioni: 1. I segnalanti o denuncianti devono ragionevolmente credere, anche alla luce delle circostanze del caso concreto e dei dati disponibili al momento della segnalazione, divulgazione pubblica o denuncia, che le informazioni sulle violazioni segnalate, divulgate o denunciate siano veritiere120. Non sono sufficienti invece semplici supposizioni o “voci di corridoio” così come notizie di pubblico dominio. 120 Cfr. art. 16, co. 1, lett. a), d.lgs. n. 24/2023. In altri termini, ciò che conta è che un soggetto abbia effettuato segnalazioni, divulgazioni pubbliche o denunce, in base ad una convinzione ragionevole che fossero veri (che un illecito stesse per verificarsi, ad esempio) a prescindere dal fatto che tali fatti possano essere successivamente accertati come errati. L’elemento della ragionevolezza rappresenta l’unico criterio alla stregua del quale valutare l’elemento soggettivo della segnalazione. La stessa rappresenta anche una salvaguardia essenziale contro le segnalazioni che, deliberatamente e consapevolmente, contengono informazioni errate, palesemente prive di fondamento o fuorvianti. 2. Le tutele si applicano ugualmente al soggetto che abbia segnalato, effettuato divulgazioni pubbliche o denunce pur non essendo certo dell’effettivo accadimento dei fatti segnalati o denunciati e/o dell’identità dell’autore degli stessi o riportando anche fatti inesatti per via di un errore genuino. Infatti, tenuto conto che lo spirito della protezione è quello di incentivare la collaborazione sia all’interno delle amministrazioni/enti pubblici che negli enti privati, al fine di far emergere possibili illeciti, richiedere che questi dispongano di conoscenze giuridiche sufficienti a determinare le probabilità che un illecito venga commesso equivarrebbe di fatto a vanificare le finalità dell’istituto. 3. Allo stesso modo, chi effettua una segnalazione, divulgazione pubblica o denuncia ha diritto alla protezione se ha agito sulla base di circostanze concrete allegate ed informazioni effettivamente acquisibili tali da far ritenere ragionevolmente che le informazioni sulle violazioni segnalate, divulgate o denunciate siano pertinenti in quanto rientranti fra gli illeciti considerati dal legislatore (cfr. § 2 della presente parte). 4. La segnalazione o la divulgazione pubblica, inoltre, devono essere effettuate utilizzando i canali e secondo le modalità previste dal decreto121. 121 Cfr. in particolare artt. 4 e ss. d.lgs. n. 24/2023. 122Cfr. art. 20 d.lgs. n. 24/2023 e § 4.3. delle presenti LLGG. 123 Cfr. art. 16, co. 3 d.lgs. n. 24/2023. 124 Cfr. art. 16, co. 3 d.lgs. 24/2023. 5. Deve esserci uno stretto collegamento tra la segnalazione, la divulgazione pubblica e la denuncia e il comportamento/atto/omissione sfavorevole subito direttamente o indirettamente, dalla persona segnalante o denunciante, affinché si configuri una ritorsione e, di conseguenza, il soggetto possa beneficiare di protezione (cfr. § 2.3 della presente parte). Per godere della tutela, nessuna rilevanza assumono invece – come già anticipato – i motivi personali e specifici che hanno indotto le persone a effettuare la segnalazione, la divulgazione pubblica o la denuncia. La focalizzazione sulle motivazioni infatti potrebbe rappresentare una strategia utilizzata per deflettere l’attenzione dai problemi segnalati e delegittimare, allo stesso tempo, chi segnala. In mancanza del rispetto di tali condizioni generali, la tutela non potrà essere garantita neanche ai soggetti diversi da quello che segnala, denuncia e effettua la divulgazione pubblica qualora, in ragione del ruolo assunto nell’ambito del processo di segnalazione/denuncia e/o del particolare rapporto che li lega al segnalante o denunciante, subiscano indirettamente ritorsioni. . Condizioni in cui la tutela dalle ritorsioni viene meno in caso di sentenza penale e civile Fatte salve le specifiche limitazioni di responsabilità previste dal legislatore122, la protezione prevista in caso di ritorsioni non trova applicazione – in analogia alla precedente disciplina – in caso di accertamento con sentenza, anche non definitiva di primo grado nei confronti del segnalante, della responsabilità penale per i reati di calunnia o diffamazione o comunque per i medesimi reati commessi con la denuncia, ovvero della responsabilità civile, per aver riferito informazioni false riportate intenzionalmente con dolo o colpa123. Nei casi di accertamento delle dette responsabilità, al soggetto segnalante e denunciante è inoltre applicata una sanzione disciplinare124. È necessario quindi che gli enti del settore pubblico o privato inseriscano nei codici di comportamento o nel MOG 231 questa specifica fattispecie sanzionabile. Le condizioni in cui viene meno la tutela dalle ritorsioni Disciplina precedente (L. n. 179/2017 – LLGG n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Le tutele previste dall’art. 54-bis nei confronti del segnalante cessano in caso di sentenza, anche non definitiva di primo grado, che accerti nei confronti dello stesso la responsabilità penale per i reati di calunnia o diffamazione o comunque per reati commessi con la denuncia, ovvero la sua responsabilità civile, per aver riferito informazioni false riportate intenzionalmente con dolo o colpa. I cc.dd. malicious reports, cioè i casi in cui il segnalante abbia agito con la consapevolezza di rilevare una notizia non vera, sono esclusi dal beneficio delle tutele previste dall’art. 54-bis. Ferme restando le specifiche ipotesi di limitazione di responsabilità, la tutela prevista in caso di ritorsioni non è garantita quando è accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave. NOVITA’ In caso di accertamento delle responsabilità, alla persona segnalante o denunciante è anche irrogata una sanzione disciplinare. L’Autorità – conformemente a quanto indicato nelle LLGG n. 469/2021- ritiene opportuno precisare che laddove la sentenza di condanna in primo grado dovesse essere riformata in senso favorevole al segnalante nei successivi gradi di giudizio, quest’ultimo potrà ottenere nuovamente la tutela prevista dalla normativa solo a seguito del passaggio in giudicato della pronuncia che accerta l’assenza della sua responsabilità penale per i reati di calunnia e/o diffamazione commessi con la segnalazione/denuncia/divulgazione, ovvero della sua responsabilità civile per lo stesso titolo. Analogamente, l’instaurazione di un processo penale per i reati di diffamazione o di calunnia, in seguito alla segnalazione, divulgazione pubblica, o denuncia, concluso poi con archiviazione non esclude l’applicazione di tale tutela in favore del segnalante o denunciante. Ciò in quanto l’archiviazione non comporta alcun accertamento di responsabilità penale. Inoltre, tenuto conto che, con riferimento alla responsabilità civile, il danno derivante da reato deve essere stato causato dal convenuto con dolo o colpa grave, la sussistenza della colpa lieve, benché fonte di responsabilità civile accertata dal giudice, non potrà comportare il venir meno della tutela prevista in caso di ritorsioni. 4.2.3 La protezione dalle ritorsioni Le presunte ritorsioni, anche solo tentate o minacciate, devono essere comunicate esclusivamente ad ANAC (dai soggetti indicati al § 1 e nelle modalità descritte al § 3 della presente parte) alla quale è affidato il compito di accertare se esse siano conseguenti alla segnalazione, denuncia, divulgazione pubblica effettuata. La tutela si estende anche ai casi di ritorsione che fanno seguito a segnalazione presentata alle istituzioni, agli organi e agli organismi competenti dell’Unione europea125 . Con riferimento ai procedimenti di ANAC per l’accertamento delle ritorsioni si rinvia alla Parte Seconda, § 2 delle presenti Linee guida. 125 Al riguardo si consideri quanto precisato nel considerando n. 69 della Direttiva (UE) 2019/1937 “[…]. La presente direttiva non dovrebbe pregiudicare le procedure e i canali di segnalazione esterna, ove esistano, ma dovrebbe garantire che le persone che effettuano segnalazioni a istituzioni, organi e organismi dell’Unione beneficino di norme minime comuni di protezione in tutta l’Unione”. La protezione dalle ritorsioni ANAC valuta l’intento ritorsivo in collegamento alla segnalazione, denuncia, divulgazione pubblica Inversione dell’onere della prova: – Per il solo segnalante, denunciante o divulgatore pubblico No inversione dell’onere della prova: – per gli altri soggetti tutelati dal decreto (facilitatori, persone del medesimo contesto lavorativo con stabile legame affettivo o di parentela entro il quarto grado con il segnalante, denunciante o con chi effettua una divulgazione pubblica, colleghi di lavoro che lavorano nel medesimo contesto lavorativo e che hanno un rapporto abituale e corrente con il segnalante, denunciante o con chi effettua una divulgazione pubblica, enti di proprietà o che operano nel medesimo contesto lavorativo del segnalante, denunciante o di chi effettua una divulgazione pubblica o in cui questi ultimi lavorano) Se ANAC accerta la ritorsione: – nullità della misura ritorsiva e sanzione amministrativa da 10.000 a 50.000 euro al soggetto che ha adottato il provvedimento/atto ritorsivo o a cui è imputabile il comportamento e/o l’omissione – in caso di licenziamento, nullità dello stesso e diritto al reintegro nel posto di lavoro Approfondimenti sulle tutele e misure di sostegno – La protezione dalle ritorsioni L’Autorità ritiene che l’intento ritorsivo debba essere valutato in collegamento alla segnalazione, denuncia o divulgazione pubblica. Tale intento può desumersi anche dall’infondatezza o dalla pretestuosità delle motivazioni poste a fondamento dell’adozione della ritorsione o anche dall’assenza di giustificazione per l’adozione dell’atto, provvedimento, comportamento, omissione ritenuti ritorsivi. La ritorsione non sussiste, ad esempio, allorquando la misura contestata dal segnalante, denunciante, o da chi ha effettuato una divulgazione pubblica sia motivata da ragioni estranee alle stesse, ovvero laddove risulti che la presunta ritorsione sia stata adottata non solo nei confronti del whistleblower ma anche di altri soggetti che non hanno presentato segnalazioni, denunce o fatto divulgazioni pubbliche. Inoltre, l’intento ritorsivo potrebbe non sussistere anche nella circostanza in cui il presunto responsabile abbia tenuto il medesimo comportamento anche in epoca antecedente alla segnalazione126. 126 Inoltre, la sussistenza di un atteggiamento del presunto autore della ritorsione che sia benevolo e favorevole agli interessi del segnalante nonché, in caso di adozione di un provvedimento disciplinare, la fondatezza della sanzione, la sua esiguità e la sua applicazione in modo proporzionato e ragionevole possono costituire elementi idonei ad escludere la sussistenza dell’intento ritorsivo. 127 Cfr. art. 3, co. 5, d.lgs. n. 24/2023. Il legislatore ha previsto un’inversione dell’onere probatorio stabilendo che laddove il whistleblower dimostri di avere effettuato una segnalazione, denuncia, o una divulgazione pubblica e di aver subito, a seguito della stessa, una ritorsione, l’onere della prova si sposta sulla persona che ha posto in essere la presunta ritorsione. È quest’ultima, quindi, che è tenuta a dimostrare che la presunta ritorsione non è in alcun modo connessa alla segnalazione, denuncia, divulgazione pubblica. Ciò vale nell’ambito dei procedimenti giudiziari, amministrativi e nelle controversie stragiudiziali. Anche in caso di domanda risarcitoria all’Autorità giudiziaria, la persona deve solo dimostrare di aver effettuato una segnalazione, denuncia o divulgazione pubblica e di aver subito un danno. Salvo prova contraria, il danno si presume derivato dalla segnalazione, denuncia, divulgazione pubblica. Deve tuttavia precisarsi che, non tutti i soggetti a cui sono riconosciute tutele contro le ritorsioni possono beneficiare dell’inversione dell’onere della prova. Il legislatore, infatti, ha escluso tale beneficio per alcuni specifici soggetti che avendo un legame qualificato con il segnalante, denunciante, divulgatore pubblico potrebbero subire ritorsioni in ragione di detta connessione. Si tratta di facilitatori, persone del medesimo contesto lavorativo con stabile legame affettivo o di parentela entro il quarto grado con chi segnala, denuncia o effettua una divulgazione pubblica, colleghi di lavoro che lavorano nel medesimo contesto lavorativo e che hanno un rapporto abituale e corrente con chi segnala, e anche soggetti giuridici nei casi in cui siano enti di proprietà del segnalante, denunciante, divulgatore pubblico o enti in cui lavora o enti che operano nel medesimo contesto lavorativo127 (cfr. § 1.5 della presente parte). Su tutti questi soggetti, qualora lamentino di aver subito ritorsioni o un danno, incombe dunque l’onere probatorio. Nel caso in cui l’Autorità accerti la natura ritorsiva di atti, provvedimenti, comportamenti, omissioni adottati, o anche solo tentati o minacciati, posti in essere dai soggetti del settore pubblico e privato, ne consegue la loro nullità e l’applicazione della sanzione amministrativa pecuniaria da 10.000 a 50.000 euro (cfr. § 1 della Parte Terza). Si precisa fin da ora che l’Autorità considera responsabile della misura ritorsiva il soggetto che ha adottato il provvedimento/atto ritorsivo o comunque il soggetto a cui è imputabile il comportamento e/o l’omissione. La responsabilità si configura anche in capo a colui che ha suggerito o proposto l’adozione di una qualsiasi forma di ritorsione nei confronti del whistleblower, così producendo un effetto negativo indiretto sulla sua posizione (ad es. proposta di sanzione disciplinare). Compete all’Autorità giudiziaria (giudice ordinario) adottare tutte le misure, anche provvisorie, necessarie ad assicurare la tutela alla situazione giuridica soggettiva azionata, ivi compresi il risarcimento del danno, la reintegrazione nel posto di lavoro, l’ordine di cessazione della condotta posta in essere in violazione del divieto di ritorsioni e la dichiarazione di nullità degli atti adottati. Si evidenzia che il d.lgs. n. 24/2023 è intervenuto sostituendo l’art. 4 della legge 15 luglio 1966, n. 604 “Norme sui licenziamenti individuali” prevedendo, tra i licenziamenti nulli, anche quelli conseguenti “alla segnalazione, alla denuncia all’autorità giudiziaria o alla divulgazione pubblica effettuate ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019”. Inoltre nel medesimo d.lgs. n. 24/2023 è precisato che i soggetti tutelati licenziati a causa della segnalazione, della divulgazione pubblica o della denuncia all’Autorità giudiziaria hanno diritto a essere reintegrati nel posto di lavoro, ai sensi dell’articolo 18 della legge 20 maggio 1970, n. 300 o dell’articolo 2 del decreto legislativo 4 marzo 2015, n. 23. (rubricato in “Licenziamento discriminatorio, nullo e intimato in forma orale”). L’ordine di “reintegro”, come anticipato, resta di esclusiva competenza della magistratura. L’atto o il provvedimento ritorsivo può essere oggetto di annullamento in sede di autotutela da parte dell’ente indipendentemente dagli accertamenti di ANAC. Semmai, ove ANAC abbia ricevuto la comunicazione di misure ritorsive, l’annullamento in autotutela può essere valutato in sede di procedimento sanzionatorio. 4.3 Limitazioni di responsabilità per chi segnala, denuncia o effettua divulgazioni pubbliche All’insieme delle tutele riconosciute dalla disciplina al segnalante, denunciante o a chi effettua una divulgazione pubblica si devono ascrivere anche le limitazioni della responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni. Si tratta di limitazioni che operano al ricorrere di determinate condizioni in assenza delle quali vi sarebbero conseguenze in termini di responsabilità penale, civile, amministrativa. Limitazioni di responsabilità penale, civile, amministrativa Disciplina precedente (L. n. 179/2017 – LLGG ANAC n. 469/2021) Disciplina attuale (D.lgs. n. 24/2023) Reati non configurabili nei casi di diffusione di informazioni coperte dall’obbligo di segreto se opera la scriminante: Rivelazione e utilizzazione del segreto d’ufficio (art. 326 c.p.); Rivelazione del segreto professionale (art. 622 c.p.); Reati non configurabili nei casi di diffusione di informazioni coperte dall’obbligo di segreto se opera la scriminante, in particolare rispetto a: Rivelazione e utilizzazione del segreto d’ufficio (art. 326 c.p.); Rivelazione del segreto professionale (art. 622 c.p.); Rivelazione dei segreti scientifici e industriali (art. 623 c.p.); Violazione del dovere di fedeltà e di lealtà (art. 2105 c.c.). Condizioni necessarie perché la scriminate operi: Il segnalante deve agire per tutelare l’interesse all’integrità delle amministrazioni, pubbliche e private, e per prevenire e reprimere le malversazioni; Il segnalante non deve aver appreso la notizia in ragione di un rapporto di consulenza professionale o di assistenza con l’ente, l’impresa o la persona fisica interessata; Le notizie e i documenti, oggetto di segreto aziendale, professionale o d’ufficio, non devono essere rivelati con modalità eccedenti rispetto alle finalità dell’eliminazione dell’illecito e, in particolare, la rivelazione non deve avvenire al di fuori del canale di comunicazione specificamente predisposto per le segnalazioni. Rivelazione dei segreti scientifici e industriali (art. 623 c.p.); Violazione del dovere di fedeltà e di lealtà (art. 2105 c.c.). NOVITA’ Violazione delle disposizioni relative alla tutela del diritto d’autore Violazione delle disposizioni relative alla protezione dei dati personali Rivelazione o diffusione di informazioni sulle violazioni che offendono la reputazione della persona coinvolta NOVITA’ Condizioni perché l’esclusione della responsabilità operi nei casi di diffusione di informazioni -> presupposti diversi rispetto alla precedente disciplina. Devono ricorrere cumulativamente due condizioni: 1) Fondati motivi, al momento della rilevazione o diffusione delle informazioni, per ritenere che tale rivelazione o diffusione è necessaria per svelare la violazione 2) Effettuare la segnalazione, la divulgazione pubblica o la denuncia nel rispetto delle condizioni che il legislatore ha previsto nel d.lgs. n. 24/2023 per beneficiare delle tutele NOVITA’ Esclusione di responsabilità in caso di accesso lecito alle informazioni segnalate o ai documenti contenenti dette informazioni. NOVITA’ Esclusione della responsabilità penale e ogni altra responsabilità, anche di natura civile o amministrativa, anche per i comportamenti, gli atti o le omissioni se collegati alla segnalazione, denuncia, divulgazione pubblica e strettamente necessari a rivelare la violazione. Approfondimenti sulle tutele e misure di sostegno – Le limitazioni di responsabilità penale, civile, amministrativa Le limitazioni di responsabilità operano solo nei casi in cui ricorrono due condizioni: 1. La prima richiede che al momento della rivelazione o diffusione vi siano fondati motivi per ritenere che le informazioni siano necessarie per far scoprire la violazione. La persona, quindi, deve ragionevolmente ritenere, e non in base a semplici illazioni, che quelle informazioni debbano svelarsi perché indispensabili per far emergere la violazione, ad esclusione di quelle superflue, e non per ulteriori e diverse ragioni (ad esempio, gossip, fini vendicativi, opportunistici o scandalistici); 2. La seconda condizione, invece, esige che la segnalazione, la divulgazione pubblica o la denuncia sia stata effettuata nel rispetto delle condizioni previste dal d.lgs. n. 24/2023 per beneficiare della tutela dalle ritorsioni (fondato motivo di ritenere che le informazioni sulle violazioni fossero veritiere e rientrassero tra le violazioni segnalabili ai sensi del d.lgs. n. 24/2023; segnalazioni, interne ed esterne, divulgazioni pubbliche effettuate nel rispetto delle modalità e delle condizioni dettate nel Capo II del decreto (cfr. § 3 della presente parte)). Entrambe le condizioni devono sussistere per escludere la responsabilità. Se soddisfatte, le persone che segnalano, denunciano o effettuano una divulgazione pubblica non incorrono in alcun tipo di responsabilità civile, penale, amministrativa o disciplinare (art. 20, co. 1 e 2, del d.lgs. n. 24/2023). Cause di giustificazione tali da escludere la responsabilità del segnalante nei casi di rivelazione e diffusione di informazioni erano già contenute nella precedente disciplina del whistleblowing anche se più limitate rispetto a quelle contemplate nel nuovo decreto e fondate su presupposti differenti. Costituisce elemento di novità rispetto al passato la circostanza per cui per le limitazioni di responsabilità rileva il profilo dell’accesso “lecito” alle informazioni segnalate o ai documenti contenenti dette informazioni che esonera dalla responsabilità. E’ aspetto innovativo anche l’aver previsto che la scriminante operi, non solo con riguardo alla rivelazione e diffusione di informazioni, ma anche rispetto a comportamenti, atti od omissioni compiuti da chi segnala, denuncia o divulga pubblicamente, purché collegati alla segnalazione, denuncia o divulgazione pubblica e necessari a rivelare la violazione128. 128 Cfr. art. 20, co. 4 d.lgs. n. 24/2023. . Reati non configurabili se opera la scriminante nei casi di diffusione di informazioni La responsabilità penale e ogni altra ulteriore responsabilità anche civile, amministrativa, disciplinare è oggi esclusa, come già avveniva in passato, nei casi di rivelazione di notizie coperte dall’obbligo di segreto. La formulazione utilizzata dal legislatore “non è punibile l’ente o la persona […] che rilevi o diffonda informazioni sulle violazioni coperte dall’obbligo di segreto, diverso da quello di cui all’art. 1, comma 3” conferisce all’esclusione una portata molto ampia. Si evidenzia che nella Relazione illustrativa al d.lgs. n. 24/2023 è precisato che si tratta, in particolare, del segreto d’ufficio, professionale, dei segreti scientifici e industriali (artt. 326, 622, 623 c.p.), della violazione del dovere di fedeltà e di lealtà (art. 2105 c.c.), espressamente indicati nella precedente disciplina. Non vi rientrano gli obblighi di segretezza relativi alle informazioni classificate, al segreto professionale forense e medico, alla segretezza delle deliberazioni degli organi giurisdizionali (art. 1, co. 3, d.lgs. n. 24/2023). Costituisce aspetto innovativo la circostanza che la scriminate operi anche nelle ipotesi di violazione delle disposizioni relative alla tutela del diritto d’autore, alla protezione dei dati personali e quando le informazioni diffuse offendono la reputazione della persona coinvolta o denunciata. . Modalità di accesso lecite/illecite alle informazioni segnalate o ai documenti che le contengono L’ente o la persona tutelata ai sensi del d.lgs. n. 24/2023 non incorre in alcuna responsabilità, anche di natura civile o amministrativa, per l’acquisizione delle informazioni sulle violazioni o per l’accesso alle stesse, purché tale acquisizione non costituisca “di per sé” un reato (art. 20, co. 3, d.lgs. n. 24/2023). Ciò vale, quindi, ove l’acquisizione di informazioni o l’accesso ai documenti sia avvenuto in modo lecito. La scriminante può applicarsi, ad esempio, sia se la persona ha rivelato il contenuto di documenti cui ha lecitamente accesso sia nei casi in cui fa copie di tali documenti o li rimuove dai locali dell’organizzazione presso cui lavora; se accede ai messaggi di posta elettronica di un collega di lavoro con il suo consenso; se fotografa i locali dell’organizzazione o accede a luoghi a cui solitamente non ha accesso. Tuttavia, ove l’acquisizione o l’accesso alle informazioni o ai documenti in questione sia stato ottenuto commettendo un reato, come un accesso abusivo o un atto di pirateria informatica, l’esclusione della responsabilità non opera ma resta ferma la responsabilità penale, e ogni altra responsabilità anche civile, amministrativa e disciplinare. Spetta al giudice valutare la responsabilità della persona o dell’ente segnalante, denunciante, che ha effettuato la divulgazione pubblica alla luce di tutte le informazioni fattuali pertinenti e tenendo conto delle circostanze specifiche del caso (cfr. considerando n. 92 della direttiva (UE) 2019/1937). . Condizioni perché la scriminante operi anche nei casi di compimento di comportamenti, atti o omissioni La scriminante opera con riguardo ai comportamenti, agli atti o alle omissioni poste in essere solo se collegati alla segnalazione, denuncia o divulgazione pubblica e se sono strettamente necessari a rivelare la violazione. Affinché le responsabilità non vengano in rilievo, quindi, deve, innanzitutto, aversi una stretta connessione tra la segnalazione, denuncia o divulgazione pubblica con quanto compiuto o omesso. Inoltre, il compimento degli atti, comportamenti, omissioni deve essere strettamente necessario, e quindi non superfluo, perché la violazione possa emergere. In assenza di queste condizioni la responsabilità deve ritenersi non esclusa e potrà valutarsi dal giudice, caso per caso, considerando tutte le informazioni fattuali disponibili e tenendo conto delle circostanze specifiche del caso, comprese la necessità e la proporzionalità dell’atto o dell’omissione in relazione alla segnalazione, denuncia, o alla divulgazione. 4.4 Le misure di sostegno da parte di enti del Terzo settore Ad ulteriore rafforzamento della protezione del segnalante, il legislatore per la prima volta prevede la possibilità che ANAC stipuli convenzioni con enti del Terzo settore affinché questi ultimi forniscano misure di sostegno al segnalante. In particolare tali enti, inseriti in un apposito elenco pubblicato da ANAC sul proprio sito istituzionale, prestano assistenza e consulenza a titolo gratuito: – sulle modalità di segnalazione; – sulla protezione dalle ritorsioni riconosciuta dalle disposizioni normative nazionali e da quelle dell’Unione europea; – sui diritti della persona coinvolta; – sulle modalità e condizioni di accesso al patrocinio a spese dello Stato129. 129 Cfr. art. 18, d.lgs. 24/2023. Si tratta di una forma di tutela in senso ampio in quanto in questo modo si tende a garantire sia il segnalante per la migliore effettuazione della segnalazione, anche al fine di proteggere al meglio la sua identità, sia il diritto di difesa della persona segnalata. PARTE SECONDA – Il canale esterno e il ruolo di ANAC nella gestione delle segnalazioni 1. La presentazione e la gestione delle segnalazioni ANAC attiva un canale esterno per le segnalazioni che garantisce, tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. Le segnalazioni esterne devono essere trasmesse ad ANAC quale unico ente competente alla loro gestione, ad eccezione delle denunce alle Autorità giudiziarie. In via preliminare, ANAC, attraverso personale specificamente formato dell’Ufficio per la Vigilanza sulle segnalazioni dei whistleblowers (UWHIB), si occupa di fornire informazioni sull’uso del canale di segnalazione esterna e dei canali di segnalazione interna, sugli obblighi informativi relativi al trattamento dei dati personali130 nonché sulle misure di protezione di cui al capo III del d.lgs. n. 24/2023, rinviando ai contenuti delle presenti Linee Guida e a quelli di successivi eventuali atti di indirizzo. 130 Cfr. artt. 13 e 14 Regolamento UE 679/2016. 131 Laddove la persona agisse utilizzando la sigla sindacale, non assumerebbe la qualifica di segnalante e non beneficerebbe delle tutele prevista dal d.lgs. n. 24/2023 in quanto resterebbe ferma l’applicazione delle disposizioni in tema di consultazione dei rappresentanti sindacali e di repressione delle condotte antisindacali di cui alla l. n. 300/1970. 132 Si ribadisce che l’unico ente competente a ricevere le segnalazioni esterne è ANAC. 133 Cfr. art. 12, co. 8, d.lgs. n. 24/2023. 134 Si precisa che i soggetti del settore pubblico e privato dovranno modificare, ove necessario, i propri regolamenti interni in materia di accesso ai documenti amministrativi. Le segnalazioni whistleblowing possono essere trasmesse ad ANAC da parte dei soggetti legittimati come indicati dall’art. 3 del d.lgs. n. 24/2023. Si precisa che ai sensi dell’art. 2, co. 1, lett. g) per “persona segnalante” si intende “la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo”: il segnalante deve essere necessariamente una persona fisica. Non sono prese in considerazione, pertanto, le segnalazioni presentate da altri soggetti, ivi inclusi i rappresentanti di organizzazioni sindacali, in quanto l’istituto del whistleblowing è indirizzato alla tutela della singola persona fisica che agisce in proprio, non spendendo la sigla sindacale131. In tale ultimo caso, le segnalazioni sono archiviate in quanto prive del requisito soggettivo previsto dalla normativa e, se relative a materie di competenza ANAC, sono trattate quali segnalazioni ordinarie. Si rammenta che la segnalazione e la documentazione ad essa allegata sono sottratte al diritto di accesso agli atti amministrativi previsto dagli artt. 22 e seguenti della legge 241/1990, all’accesso civico generalizzato di cui all’art. 5 co. 2 del d.lgs. 33/2013 nonché all’accesso di cui all’art. 2-undecies co. 1 lett. f) del codice in materia di protezione dei dati personali. Eventuali segnalazioni esterne presentate erroneamente ad un soggetto diverso da ANAC132, che ritiene di non essere competente ratione materiae, devono essere trasmesse a quest’ultima, laddove il segnalante dichiari espressamente di voler beneficiare delle tutele di cui al d.lgs. 24/2023 o tale volontà sia desumibile dalla segnalazione. La trasmissione va fatta entro sette giorni dalla data del ricevimento delle segnalazioni, dandone contestuale notizia alla persona segnalante. Tali segnalazioni sono considerate “segnalazioni whistleblowing” e pertanto sottratte all’accesso documentale e accesso civico o generalizzato133. Stesso discorso vale per le segnalazioni esterne presentate erroneamente ad un soggetto diverso da ANAC che ritiene di essere competente ratione materiae, le quali dovranno essere trasmesse a quest’ultima laddove il segnalante dichiari espressamente di voler beneficiare delle tutele di cui al d.lgs. 24/2023. L’ente che le ha ricevute le tratterà esclusivamente per la gestione dell’istruttoria. Anche tali segnalazioni sono considerate “segnalazioni whistleblowing” e sottratte all’accesso ai sensi dell’art. 12, co. 8, d.lgs. 24/2023134. Questi soggetti dovranno trasferire tali segnalazioni ad ANAC tramite piattaforma informatica nelle modalità descritte nel successivo § 4, sezione “Acquisizione delle segnalazioni”. Diversamente, nel caso in cui la segnalazione sia trasmessa ad un soggetto diverso da ANAC e il segnalante non dichiari espressamente di voler beneficiare delle tutele in materia di whistleblowing, detta segnalazione è considerata quale segnalazione ordinaria e, pertanto, non è più sottratta ad un eventuale accesso. Va da sé che, in questo caso, l’ente ricevente gestirà la segnalazione in conformità alla propria normativa di riferimento e non sarà tenuto a trasmettere la medesima aa ANAC. In tale ultima ipotesi, quindi, qualora la segnalazione sia oggetto di istanza di ostensione, potranno trovare applicazione le discipline delle singole tipologie di accesso (a seconda dei casi, documentale, civico o generalizzato). Sarà compito del soggetto sopra menzionato, cui viene presentata l’istanza di accesso, bilanciare gli interessi contrapposti e valutare, previa interlocuzione con i controinteressati, tra cui il segnalante, se concedere o meno l’accesso alla segnalazione secondo i principi e i limiti previsti dal d.lgs. n. 33 del 2013 o dalla l. n. 241/1990. È molto importante quindi – come già evidenziato nel § 3.1. della Parte Prima – che i soggetti del settore pubblico e del settore privato forniscano, in conformità all’art. 5 del d.lgs. n. 24/2023, informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonché sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni esterne. La segnalazione esterna viene acquisita da ANAC mediante i canali appositamente predisposti (si rinvia al successivo §. 4). Si tratta di: – Piattaforma informatica – Segnalazioni orali – Incontri diretti fissati entro un termine ragionevole La piattaforma informatica utilizza, sia per le segnalazioni che per le comunicazioni di ritorsioni, dei meccanismi di crittografia che meglio garantiscono sicurezza e confidenzialità tecnologica del processo di segnalazione. In particolare, detti meccanismi di crittografia consentono di mantenere riservati tutti i dati della segnalazione. In aggiunta, i dati del segnalante vengono oscurati, segregandoli in apposita sezione della piattaforma, in modo da renderli inaccessibili anche all’ufficio istruttore di ANAC (Ufficio UWHIB). Una volta effettuato l’accesso alla piattaforma, l’utente inserisce nella Sezione “Identità” le informazioni che lo identificano in modo univoco. A tale riguardo, al fine di garantire la massima riservatezza dell’identità del segnalante, ANAC prevede la figura del Custode delle identità, confermando la scelta già effettuata nell’ambito delle previgenti Linee Guida n. 469/2021. Il Custode dell’identità è il soggetto individuato da ANAC che, su esplicita e motivata richiesta del Dirigente dell’UWHIB, consente di accedere all’identità del segnalante. L’identità del segnalante non è nota al custode, il quale, quindi, non è coinvolto nel trattamento dei dati personali presenti nella segnalazione. Resta fermo che, sebbene quest’ultimo non tratti direttamente i dati relativi al segnalante e quelli contenuti nella segnalazione, lo stesso opera in qualità di “autorizzato” al trattamento (ai sensi degli artt. 4, par. 10, 29 e 32, par. 4 del Regolamento UE 2016/679 e art. 2-quaterdecies del d.lgs. n. 196 del 2003). Per le segnalazioni trasmesse con modalità diverse da quelle sopra menzionate, ANAC garantisce comunque la riservatezza mediante l’acquisizione al protocollo, in apposito registro riservato. Acquisita la segnalazione mediante i canali appositamente predisposti, l’UWHIB procede a dare avviso alla persona segnalante dell’avvenuta ricezione della segnalazione entro sette giorni dalla data della sua acquisizione, salvo esplicito rifiuto della persona segnalante ovvero salvo il caso in cui ANAC ritenga che l’avviso potrebbe pregiudicare la tutela della riservatezza dell’identità della persona segnalante (si pensi, a tale riguardo, alle segnalazioni effettuate in forma orale mediante linee telefoniche o, in alternativa, sistemi di messaggistica vocale). Il dirigente dell’ufficio UWHIB procede preliminarmente a verificare la sussistenza di almeno una delle condizioni previste per l’effettuazione della segnalazione esterna135 (si rinvia al § 3.2. della Parte Prima). 135 Cfr. art. 6 del d.lgs. n. 24/2023. All’esito di tale vaglio preliminare, laddove non ricorra alcuna delle suddette condizioni, l’UWHIB archivia la segnalazione poiché improcedibile. Diversamente, l’Ufficio procede a valutare la sussistenza dei requisiti di ammissibilità. La segnalazione è considerata inammissibile e viene archiviata in via diretta dal Dirigente per i seguenti motivi: a) manifesta infondatezza per l’assenza di elementi di fatto riconducibili alle violazioni tipizzate nell’art. 2, co. 1, lett. a)136; b) manifesta insussistenza dei presupposti di legge per l’esercizio dei poteri di vigilanza dell’Autorità, ivi inclusa l’assenza dei presupposti per l’effettuazione della segnalazione con particolare riferimento alle persone che svolgono la propria attività lavorativa presso soggetti del settore privato; c) manifesta incompetenza dell’Autorità sulle questioni segnalate; d) accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti, ovvero segnalazione di illeciti corredata da documentazione non appropriata o inconferente tale da non far comprendere il contenuto stesso della segnalazione; e) produzione di sola documentazione in assenza della segnalazione di condotte illecite; f) mancanza dei dati che costituiscono elementi essenziali della segnalazione di illeciti indicati dal Regolamento per la gestione delle segnalazioni e per l’esercizio del potere sanzionatorio; g) sussistenza di violazioni di lieve entità. 136 A titolo esemplificativo si pensi alle segnalazioni connotate da questioni di carattere prevalentemente personale del segnalante tese ad ottenere l’accertamento nel merito di proprie vicende soggettive, nonché alle segnalazioni di violazioni non qualificabili in termini di illecito e quindi non sorrette da alcuna motivazione circa la norma che si assume violata (ad es. le segnalazioni concernenti i dati per i quali non è previsto, per legge, alcun obbligo di pubblicazione), ovvero a quelle aventi ad oggetto la violazione della normativa in tema di accesso agli atti o di accesso civico generalizzato. Nei casi di cui alle lett. d) e lett. f), l’UWHIB, ove quanto denunciato non sia adeguatamente circostanziato, può chiedere al whistleblower elementi integrativi tramite il canale a ciò dedicato. L’UWHIB mantiene le interlocuzioni con la persona segnalante, tenendo traccia dell’attività svolta e fornendo informazioni, anche d’ufficio, sullo stato di avanzamento dell’istruttoria, almeno con riferimento ai principali snodi decisionali. In caso di significativo afflusso di segnalazioni esterne, l’UWHIB tratta le medesime secondo il seguente ordine di priorità: 1. le segnalazioni che hanno ad oggetto informazioni sulle violazioni riguardanti una grave lesione dell’interesse pubblico ovvero la lesione di principi di rango costituzionale o di diritto dell’Unione Europea. Segnatamente, verranno trattate con priorità le segnalazioni che riportano violazioni che, per le modalità della condotta e/o per l’entità del danno o del pericolo, risultano avere un significativo impatto sull’interesse pubblico; in particolare, verrebbero in rilievo quelle violazioni inerenti a beni non suscettibili di appropriazione e di godimento esclusivi, fruibili da tutti (ambiente, paesaggio, patrimonio storico artistico, sicurezza stradale, concorrenza ecc.) e in relazione alla cui tutela emergerebbe un interesse pubblico. In merito alla lesione di principi di rango costituzionale e di diritto dell’Unione Europea, emblematici potrebbero essere i casi di violazioni concernenti rispettivamente il diritto alla salute e all’integrità della persona nonché i casi di trattamenti inumani o degradanti; 2. le segnalazioni da trasmettere agli Uffici di vigilanza competenti; 3. le segnalazioni che denunciano fattispecie delittuose, danni erariali o fattispecie di competenza delle altre autorità amministrative competenti; 4. le segnalazioni anonime, che saranno trattate quali segnalazioni ordinarie. L’UWHIB dà corretto seguito alle segnalazioni ricevute attraverso le attività di seguito illustrate. a) Fuori dai casi di inammissibilità, l’UWHIB trasmette agli uffici di vigilanza competenti per materia la segnalazione di illeciti. Essi svolgono le attività istruttorie ai sensi del relativo Regolamento di vigilanza e delle linee guida adottate dall’Autorità in materia (si rinvia al § 2 della presente parte). b) Qualora la segnalazione abbia ad oggetto illeciti che rilevano sotto il profilo penale o erariale, l’UWHIB archivia la medesima perché inammissibile per manifesta incompetenza di ANAC e ne dispone l’immediata trasmissione, con nota a firma del Presidente dell’Autorità, alla competente Autorità giudiziaria, evidenziando che si tratta di una segnalazione whistleblowing, nel cui processo di gestione si dovrà pertanto assumere ogni cautela per garantire il rispetto delle disposizioni previste dalla normativa. c) Qualora la segnalazione di illeciti abbia ad oggetto violazioni che non rientrano nell’ambito oggettivo di intervento di ANAC, bensì nella competenza di altra autorità amministrativa (a titolo meramente esemplificativo, l’Ispettorato della Funzione Pubblica, AGCM, ART) o di un’istituzione, organo o organismo dell’Unione Europea, l’UWHIB ne dispone l’archiviazione perché inammissibile e la trasmissione per gli eventuali seguiti di competenza, avendo cura di indicare che si tratta di segnalazione whistleblowing e che pertanto devono essere adottate tutte le cautele necessarie in termini di tutela della riservatezza e di trattamento dei dati personali. In ogni caso, l’UWHIB provvede a dare riscontro alla persona segnalante entro tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento. Si precisa che, in conformità all’art. 2, co. 1, lett. o), del d.lgs. 24/2023, per “riscontro” si intende la comunicazione alla persona segnalante delle informazioni relative al seguito che viene dato o che si intende dare alla segnalazione; ai sensi del medesimo articolo, co. 1, lett. n), per “seguito” si intende l’azione intrapresa dall’ANAC per valutare la sussistenza dei fatti segnalati, l’esito delle indagini e le eventuali misure adottate. In altri termini, l’UWHIB entro tre/sei mesi comunica al segnalante: o l’archiviazione predisposta o che si intende predisporre; o la trasmissione all’Autorità competente già effettuata o che si intende effettuare; o l’attività già svolta dall’Ufficio di vigilanza competente interno all’Autorità o che quest’ultimo intende svolgere. Successivamente, laddove nell’arco temporale suddetto l’UWHIB non abbia comunicato la determinazione definitiva sul seguito della segnalazione ma solo le attività che si intendono intraprendere, lo stesso comunica alla persona segnalante l’esito finale della gestione della segnalazione, che può consistere nell’archiviazione diretta, nelle risultanze istruttorie dell’Ufficio di vigilanza competente o nella trasmissione alle Autorità competenti. Da ultimo, nell’ottica di privilegiare la volontà del segnalante, è sempre possibile per quest’ultimo ritirare la segnalazione mediante apposita comunicazione da trasmettere attraverso il canale originariamente prescelto per l’inoltro della stessa. In tale specifico caso, gli accertamenti eventualmente già avviati a seguito della segnalazione si arresteranno, salvo che si tratti di questioni procedibili d’ufficio. 1.1 La gestione delle segnalazioni Come sopra anticipato, la gestione delle segnalazioni può riguardare materia di competenza di: a) ANAC; b) Autorità giudiziaria e/o altra Autorità amministrativa competente; c) Istituzioni, organi od organismi dell’Unione europea. a) La gestione delle segnalazioni relative a materie di competenza ANAC Quando l’illecito segnalato attiene a materie di competenza dell’Autorità (ad esempio contratti pubblici, trasparenza, violazione delle norme anticorruzione, imparzialità dei pubblici funzionari), la segnalazione pervenuta e l’allegata documentazione vengono trasmesse agli Uffici di vigilanza competenti rispetto al caso di specie, provvedendo ad espungere i dati e ogni altro elemento che possa, anche indirettamente, consentire l’identificazione del segnalante e ove presente, del facilitatore, delle persone coinvolte e delle persone menzionate nella segnalazione. Le attività istruttorie necessarie a dare seguito alla segnalazione, incluse le audizioni e le acquisizioni documentali, spettano esclusivamente all’Ufficio di vigilanza competente, che procede ai sensi del Regolamento di vigilanza di settore, delle Linee guida di settore adottate dall’Autorità in materia nonchè nel rispetto della tutela della riservatezza dell’identità del segnalante. Restano ferme le responsabilità disciplinari previste per violazione degli appositi doveri di comportamento e per violazione delle norme sulla tutela dei dati personali previste dal codice di settore. Al fine di consentire all’UWHIB di dare riscontro alla persona segnalante entro tre mesi o, se ricorrono giustificate e motivate ragioni, sei mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento, l’Ufficio di vigilanza competente fornisce all’UWHIB le informazioni necessarie relative al seguito che è stato dato o che si intende dare alla segnalazione. Infine, l’UWHIB provvede a comunicare alla persona segnalante l’esito finale dell’istruttoria dell’Ufficio di vigilanza competente, che può consistere anche nell’archiviazione o nella trasmissione degli atti alle Autorità competenti137 o in una raccomandazione o in una sanzione amministrativa, tutte attività disposte dall’Ufficio interessato. 137 Cfr. art. 8, co. 2, del d.lgs. n. 24/2023. b) La gestione delle segnalazioni relative a violazioni di competenza di Autorità esterne o In caso di fatti penalmente rilevanti o di competenza della Corte dei Conti Qualora la segnalazione abbia ad oggetto illeciti che rilevano sotto il profilo penale o erariale, l’UWHIB provvede alla loro immediata trasmissione alla competente Autorità giudiziaria, nel rispetto della tutela della riservatezza come prevista dalla normativa. Giova evidenziare che, per i casi in parola, la normativa vigente non indica espressamente le modalità che ANAC è tenuta a seguire al fine di tutelare la riservatezza dell’identità del segnalante. Si è ritenuto, quindi – pur nella consapevolezza degli obblighi di legge vigenti rispetto ai procedimenti penali e a quelli davanti alla Corte dei Conti espressamente richiamati al co. 3 e co. 4 dell’art. 12 del d.lgs. n. 24/2023 – che la trasmissione della segnalazione alla Autorità giudiziaria debba avvenire specificando che si tratta di una segnalazione di whistleblowing, nel cui processo di gestione si dovrà pertanto assumere ogni cautela per garantire il rispetto delle disposizioni previste dal decreto. Laddove l’Autorità giudiziaria per esigenze istruttorie volesse conoscere il nominativo del segnalante, ANAC provvede a comunicare l’identità del medesimo. È opportuno precisare che il segnalante è preventivamente avvisato, attraverso l’informativa presente in piattaforma informatica, o con un apposito comunicato per i segnalanti che non utilizzano la piattaforma, della eventualità che la sua segnalazione potrà essere inviata all’Autorità giudiziaria. Nel caso in cui l’ANAC provveda all’inoltro della segnalazione alla competente Procura, dandone comunicazione al segnalante, eventuali successive integrazioni dovranno essere direttamente trasmesse da quest’ultimo all’Autorità giudiziaria individuata. o In caso di fatti per cui è competente altra Autorità amministrativa Qualora la segnalazione abbia ad oggetto violazioni che non rientrano nell’ambito oggettivo di intervento di ANAC bensì nella competenza di altra autorità amministrativa (a titolo meramente esemplificativo, l’Ispettorato della Funzione Pubblica, AGCM, ART), l’UWHIB provvede a trasmettere la segnalazione per gli eventuali seguiti di competenza. Qualora la segnalazione abbia ad oggetto profili di intervento di diverse autorità amministrative, ciascuna riceverà la medesima per i profili di competenza. L’autorità amministrativa competente che riceve la segnalazione svolge, nel rispetto delle normative di settore nazionale ed europee applicabili, le seguenti attività: 1. mantiene le interlocuzioni con la persona segnalante e richiede a quest’ultima, se necessario, integrazioni; 2. provvede a dare diligente seguito alle segnalazioni ricevute al ricorrere dei presupposti previsti dalla normativa di settore; 3. svolge l’istruttoria necessaria a dare seguito alla segnalazione, anche mediante audizioni e acquisizione di documenti; 4. provvede a fornire il riscontro alla persona segnalante entro tre mesi o sei mesi secondo quanto previsto dall’art. 8, co. 1, lett. f del d.lgs. n. 24/2023, comunica alla persona segnalante l’esito finale dandone altresì notizia ad ANAC138. 138 Ai fini della rendicontazione all’ANAC degli esiti istruttori non solo da parte delle Autorità amministrativa ma delle Autorità Esterne lato sensu intese si veda il § 3 della presente Parte delle Linee Guida. 139 Cfr. art. 13, co. 1, secondo periodo del d.lgs. n. 24/2023. 140 Cfr. art. 54 bis, d.lgs. n. 165/2001; Regolamento UWHIB adottato con delibera n. 690 del 1° luglio 2020 e LLGG n. 469/2021. L’autorità amministrativa garantisce, anche tramite ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona menzionata nella segnalazione nonché del contenuto della segnalazione e della relativa documentazione. c) La gestione delle segnalazioni in caso di fatti per cui sono competenti Istituzioni, organi o organismi dell’Unione Europea Qualora la segnalazione abbia ad oggetto violazioni che non rientrano nell’ambito oggettivo di intervento di ANAC ma nella competenza di Istituzioni, organi o organismi dell’Unione Europea, l’UWHIB provvede a trasmettere a tali soggetti la segnalazione per gli eventuali seguiti di competenza (a titolo meramente esemplificativo si pensi al caso delle violazioni che ledono gli interessi finanziari dell’UE). In tali casi la comunicazione di dati personali da parte delle istituzioni, degli organi o degli organismi dell’Unione europea è effettuata in conformità del regolamento (UE) 2018/1725139. Si ritiene che, in linea con la ratio della direttiva UE 1937/2019, anche tali soggetti siano tenuti a garantire la riservatezza dell’identità del segnalante e degli altri soggetti tutelati e a garantire la tutela dei dati personali degli interessati anche mediante il ricorso a strumenti di crittografia e modalità informatiche. Ne consegue che il sistema di trasmissione da e verso questi soggetti è analogo a quello previsto per le altre autorità amministrative. 1.2 Le segnalazioni relative a magistrati Come chiarito nella Parte Prima delle presenti Linee guida, cui si rinvia, l’Autorità ritiene di non poter intervenire direttamente in caso di segnalazioni fatte da un magistrato o che riguardano i magistrati (né in caso di comunicazioni di misure ritenute ritorsive poste in essere nei confronti di un magistrato in ragione della segnalazione). Si tratta, infatti, di segnalazioni che non rientrano nell’ambito di applicazione del d.lgs. 24/2023. Resta fermo che, laddove gli illeciti segnalati rilevino sotto il profilo penale o erariale, le segnalazioni sono trasmesse direttamente, così come sono state acquisite, da ANAC alle Autorità giudiziarie competenti. Il soggetto che riceve le segnalazioni è responsabile dei dati in esse contenuti e del loro trattamento. 1.3 Le segnalazioni di violazioni di lieve entità Va segnalata la novità introdotta dal comma 5 dell’art. 8 del d.lgs. n. 24/2023 rispetto al previgente assetto normativo e regolamentare, in quanto nella precedente disciplina140 non era contemplata alcuna norma che consentisse esplicitamente di archiviare segnalazioni per “lieve entità” delle violazioni in esse denunciate. Si pone, pertanto, la necessità di stabilire a priori, per quanto possibile, i criteri sottostanti all’applicazione della disposizione de qua, ciò sia al fine di garantire la par condicio dei segnalanti, sia per limitare gli ambiti di discrezionalità dell’Ufficio procedente, enucleando parametri cui ci si dovrà attenere nella gestione e nella valutazione delle segnalazioni. Innanzitutto, va da subito sgombrato il campo da possibili equivoci riguardanti l’oggetto delle segnalazioni che ricadono nel regime normativo del comma 5 del citato art. 8. Si ritiene che rientrino nel campo di applicazione della norma solo quelle segnalazioni che riguardano violazioni e illeciti riconducibili al core business di ANAC, segnatamente la vigilanza sui contratti pubblici di lavori, servizi e forniture, nonché quella sulla trasparenza e anticorruzione in genere, ivi compresa quella sull’imparzialità dei pubblici funzionari. Ne deriva che saranno oggetto di applicazione della norma solo quelle segnalazioni riferite agli ambiti di competenza istituzionale di ANAC, mentre tutte le altre seguiranno i criteri di valutazione e trattazione propri delle segnalazioni previste dal d.lgs. n. 24/2023. Pertanto, laddove pervengano segnalazioni che evidenziano illeciti amministrativi, contabili, civili o penali e, in genere, ogni altro illecito previsto dall’art. 2 del decreto ma estraneo alle competenze di ANAC, si procederà al loro esame per le valutazioni da assumere circa le ulteriori iniziative d’ufficio, quindi all’archiviazione per incompetenza dell’Autorità accompagnata dalla trasmissione della segnalazione ai competenti organi dell’A.G.O. e/o della Corte dei Conti e/o di altri organismi e amministrazioni di controllo (Dipartimento Funzione Pubblica, Ispettorato del lavoro, Autorità amministrative indipendenti, ecc.) secondo i criteri e le modalità stabilite nelle presenti Linee Guida. Fatta questa premessa di carattere generale, si ritiene che per violazioni di lieve entità, suscettibili di condurre l’Ufficio procedente (UWHIB) a disporre l’archiviazione dell’esposto, quindi omettendo la rituale trasmissione dello stesso ai competenti Uffici interni di ANAC, debbano intendersi tutte quelle infrazioni caratterizzate da una “limitata gravità della violazione e/o della esigua rilevanza degli interessi coinvolti”. Nel concetto di segnalazioni che riportano violazioni di lieve entità rientrano, inoltre, tutte quelle segnalazioni dalle quali può evincersi che, per le modalità della condotta denunciata e/o per l’esiguità del danno o del pericolo, l’offesa all’interesse pubblico risulta essere di particolare tenuità e il comportamento risulta non abituale. La violazione di lieve entità, pertanto, anche quando si estrinseca in una condotta antigiuridica, presenta un disvalore sociale di impatto contenuto, rispetto al quale si giustifica l’archiviazione, anche per economia di procedure in ragione di altre priorità connotate da maggiore gravità, che richiedono – per quanto possibile – un intervento tempestivo dell’Autorità. In tale contesto si collocano anche quelle violazioni per le quali l’autore ha posto in essere spontaneamente condotte e iniziative tese a ripristinare la legalità, con conseguente sua riabilitazione, purché sia addivenuto alla riparazione del danno (eventuale) e/o alla rimozione della lesione all’interesse pubblico protetto dalla norma. È evidente che l’indagine circa la lieve entità della violazione sarà condotta caso per caso, come desumibile dalla specifica casistica sottoposta ad ANAC, avuto riguardo all’oggetto della violazione e alle ricadute che questa ha prodotto o è suscettibile di produrre sull’interesse pubblico. Restano valide e pienamente operative tutte le altre casistiche che consentono di pervenire all’archiviazione di segnalazioni e/o di comunicazioni di misure ritorsive in forza di altre cause e motivazioni estranee al concetto di “lieve entità della violazione”, quali, ad esempio la manifesta infondatezza della segnalazione, la manifesta incompetenza di ANAC, la segnalazione generica e non circostanziata, la segnalazione anonima archiviabile. 2. Le attività di ANAC per la gestione delle comunicazioni di ritorsioni Secondo quanto previsto dall’art. 19 del d.lgs. n. 24/2023, le persone segnalanti e gli altri soggetti di cui all’art. 3, co. 5, possono comunicare ad ANAC, tramite piattaforma informatica, le ritorsioni che ritengono di avere subito. Per quanto riguarda il concetto di ritorsione, si rinvia alla Parte Prima delle presenti Linee guida. Compito di ANAC, come già precisato, è quello di accertare che la ritorsione sia conseguente alla segnalazione di illeciti e, in caso positivo, applicare la sanzione prevista dal legislatore. Si sottolinea, in questa sede, che è essenziale che vi sia una precedente segnalazione di illeciti giacche è in relazione a tale segnalazione che va valutato l’intento ritorsivo del comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere. Come già precisato, una volta che il segnalante provi di aver effettuato una segnalazione ai sensi del d.lgs. n. 24/2023 e di aver subito una ritorsione, l’onere della prova grava sulla persona che ha compiuto tale azione (cfr. § 4.2.3 della Parte Prima). Detto in altri termini, spetta a chi ha adottato la misura l’onere di dimostrarne il carattere non ritorsivo. Nel procedimento innanzi ad ANAC, quindi, l’intento ritorsivo si presume. Trattandosi di una presunzione di responsabilità, è necessario che le prove in senso contrario emergano nel contraddittorio con ANAC. A tal fine è fondamentale che il presunto responsabile fornisca tutti gli elementi da cui dedurre l’assenza della natura ritorsiva della misura adottata nei confronti del segnalante. L’inversione dell’onere della prova opera anche nel caso in cui la ritorsione sia solo tentata o minacciata. Tuttavia, al fine dell’avvio del procedimento, il segnalante che ritiene di aver subito una minaccia o un tentativo di ritorsione deve necessariamente fornire ad ANAC elementi da cui poter desumere quantomeno il fumus dell’avvenuto tentativo o dell’avvenuta minaccia. Come già anticipato nella Parte Prima delle presenti Linee Guida, l’inversione dell’onere della prova non opera nei casi in cui a lamentare una ritorsione sia uno dei seguenti soggetti: i facilitatori; le persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia all’autorità giudiziaria o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado; i colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o effettuato una divulgazione pubblica che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente; gli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone141. 141 Art. 3, co. 5, d.lgs. n. 24/2023. 142 A titolo esemplificativo si pensi all’ipotesi in cui il segnalante agisca in mala fede non ritenendo le informazioni riportate vere. Ne deriva quindi che nell’ipotesi prospettata spetterà ai suddetti soggetti fornire la prova di aver subito una ritorsione. Resta fermo che avverso la decisione in ordine alla valutazione da parte di ANAC della sussistenza di una ritorsione, l’interessato può ricorrere dinanzi al giudice amministrativo. 2.1 L’iter procedimentale di gestione e analisi delle comunicazioni di misure ritorsive In caso di comunicazione di ritorsioni, il dirigente dell’UWHIB procede al preliminare esame della comunicazione al fine di valutare la sussistenza dei requisiti di ammissibilità. La comunicazione è considerata inammissibile e l’ufficio procede alla sua archiviazione, da comunicare tramite piattaforma informatica, all’autore della medesima, nei seguenti casi: a) manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti; b) manifesta insussistenza dei presupposti di legge per l’esercizio dei poteri di vigilanza dell’Autorità; c) finalità palesemente emulativa142; d) accertato contenuto generico della comunicazione o tale da non consentire la comprensione dei fatti, ovvero comunicazione corredata da documentazione non appropriata o inconferente; e) produzione di sola documentazione in assenza della comunicazione; f) mancanza dei dati che costituiscono elementi essenziali della comunicazione; Laddove sia necessario acquisire informazioni, chiarimenti o documenti ulteriori rispetto a quelli contenuti nella comunicazione, l’Ufficio può convocare in audizione i soggetti in possesso degli stessi ovvero inviare loro una richiesta di integrazione documentale con assegnazione di un termine entro il quale fornire riscontro. Una volta accertata l’ammissibilità della comunicazione e verificato il rapporto di successione temporale tra la segnalazione/denuncia/divulgazione pubblica e la lamentata ritorsione, l’Autorità avvia il procedimento sanzionatorio nei confronti dell’autore della suddetta entro novanta giorni dalla acquisizione della comunicazione, salve specifiche esigenze del procedimento, quali ad esempio la necessità di integrazione documentale e/o chiarimenti. Giova qui evidenziare che l’autore della comunicazione è tempestivamente informato dell’avvio del procedimento nonché della conclusione e degli esiti del suddetto secondo le modalità specificate nel Regolamento sanzionatorio. In relazione agli atti del procedimento sanzionatorio, sia l’autore della comunicazione che il presunto responsabile che ha adottato, tentato o minacciato l’adozione di una qualsiasi forma di ritorsione, possono esercitare il diritto di accesso agli atti amministrativi, ciò al solo fine di garantire il diritto di difesa dell’incolpato. La comunicazione di misure ritorsive e la documentazione ivi allegata non sono sottratte all’accesso agli atti né all’accesso civico generalizzato143. 143 Cfr. artt. 22 e ss. l. n. 241/1990 e art. 5 co. 2 d.lgs. n. 33/2013. 144 Cfr. art. 19, co. 1, secondo periodo del d.lgs. n. 24/2023. Resta fermo che, laddove nella comunicazione vi siano riferimenti alla segnalazione, essi sono debitamente oscurati. Si precisa che l’Autorità tratta altresì le comunicazioni di ritorsioni provenienti da soggetti che hanno presentato una segnalazione o denuncia all’Autorità giudiziaria o contabile o divulgazione pubblica anonime, se la persona è stata successivamente identificata, nonché nei casi di segnalazione presentata alle Istituzioni, agli organi e agli organismi competenti dell’Unione Europea, in conformità alle condizioni di cui all’art. 6 del d.lgs. n. 24/2023. Al fine di acquisire elementi istruttori indispensabili all’accertamento delle ritorsioni, ANAC può avvalersi, per quanto di rispettiva competenza, della collaborazione dell’Ispettorato della funzione pubblica e dell’Ispettorato nazionale del lavoro, ferma restando l’esclusiva competenza di ANAC in ordine alla valutazione degli elementi acquisiti e all’eventuale applicazione delle sanzioni amministrative di cui all’art. 21 (cfr. § 1 della Parte Terza). Al fine di regolare tale collaborazione, ANAC conclude specifici accordi, ai sensi dell’art. 15 della l. n. 241/1990, con l’Ispettorato della funzione pubblica e con l’Ispettorato nazionale del lavoro. Il procedimento condotto da ANAC si conclude con l’adozione di un provvedimento di archiviazione o, laddove sia accertata la “ritorsione”, con un provvedimento sanzionatorio (da 10.000 a 50.000 euro) nei confronti del soggetto responsabile della medesima. Per maggiori dettagli sull’iter procedimentale di gestione e analisi della comunicazione, si rinvia alle prescrizioni contenute nel Regolamento sanzionatorio. 2.2 Informativa al Dipartimento della Funzione Pubblica e all’Ispettorato nazionale del lavoro In caso di ritorsioni commesse nel contesto lavorativo di un soggetto del settore pubblico, ANAC informa immediatamente il Dipartimento della funzione pubblica presso la Presidenza del Consiglio dei ministri e gli eventuali organismi di garanzia o di disciplina, per i provvedimenti di loro competenza. In caso di ritorsioni commesse nel contesto lavorativo di un soggetto del settore privato, ANAC informa l’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza144. Al riguardo, l’Autorità ritiene che la suddetta attività informativa debba svolgersi solo all’esito del procedimento sanzionatorio, qualora sia accertata la natura ritorsiva della misura adottata. 3. La trasmissione delle informazioni alla Commissione europea ANAC trasmette annualmente alla Commissione europea le seguenti informazioni: a) il numero di segnalazioni esterne ricevute; b) il numero e i tipi di procedimenti avviati a seguito delle segnalazioni esterne ricevute e relativo esito; c) se accertati, i danni finanziari conseguenza delle violazioni oggetto di segnalazione esterna, nonché gli importi recuperati a seguito dell’esito dei procedimenti di cui alla lettera b). Per consentire di comunicare le suddette informazioni, le Autorità esterne, alle quali ANAC invia le segnalazioni che non rientrano nella propria competenza, sono tenute a comunicare a quest’ultima – mediante la piattaforma informatica – la tipologia dei procedimenti avviati e il relativo esito. 4. Le soluzioni tecnologiche di ANAC: la piattaforma informatica ANAC sta predisponendo una apposita piattaforma informatica (anche detta piattaforma, piattaforma online in questo documento o piattaforma ANAC) per l’acquisizione e la gestione delle segnalazioni di fatti illeciti e delle comunicazioni di misure ritorsive (semplicemente segnalazioni d’ora in poi in questo paragrafo). In questo documento, con il termine piattaforma informatica o online si intende genericamente una applicazione web accessibile tramite browser o app. La piattaforma ANAC è erogata in forma di applicazione web accessibile tramite browser. La piattaforma ANAC consente l’identificazione di ogni segnalazione ricevuta mediante l’attribuzione di un codice univoco progressivo. La piattaforma ANAC consente, in modo informatizzato, la compilazione, l’invio e la ricezione del modulo di segnalazione, la gestione dell’istruttoria e l’eventuale inoltro ad altre Autorità competenti. Nel sito istituzionale di ANAC, cliccando il link alla pagina dedicata, si accede al servizio dedicato al “whistleblowing” (https://www.anticorruzione.it/-/whistleblowing). Come già anticipato al § 1 della presente parte, l’invio delle segnalazioni può avvenire mediante l’utilizzo della piattaforma informatica, in quanto la stessa, conformemente alla disposizione di cui all’ art. 7, co. 1, del d.lgs. n. 24/2023, utilizza strumenti di crittografia ed accesso con autenticazione informatica a più fattori. Ciò garantisce la riservatezza dei dati personali trattati nel processo di segnalazione, ovvero, sia dei dati trasmessi e ricevuti che di quelli conservati dalla piattaforma. Il segnalante può liberamente accedere alla apposita area della piattaforma ANAC per l’inserimento della segnalazione senza preventiva necessità di autenticazione. In questa area visualizza il modulo di segnalazione da compilare e inviare. Il modulo prevede una apposita sezione “Identità” che il segnalante deve compilare per sottoscrivere la segnalazione. I dati inseriti in questa sezione, utili alla sua identificazione univoca, sono oggetto di oscuramento e quindi non accessibili ai componenti dell’ufficio che si occuperà dell’istruttoria salvo esplicita autorizzazione all’accesso concessa dal custode previa motivata richiesta. L’interessato è tenuto, altresì, a compilare, in modo chiaro, preciso e circostanziato le rimanenti sezioni del modulo fornendo le informazioni richieste come obbligatorie e il maggior numero possibile di quelle facoltative. La piattaforma informatica funge, di fatto da registro particolare e, pertanto, deve garantire l’integrità e l’immodificabilità della segnalazione. Nel caso in cui sia palese l’assoluta irrilevanza rispetto alla vicenda segnalata di parti della segnalazione, che contengono dati personali, ai sensi dell’art. 13, co. 2, tali parti saranno oggetto di “oscuramento” (equivalente a cancellazione logica) e non utilizzati per le successive attività di istruttoria. Nell’eventualità di trasmissione a terzi, la segnalazione dovrà essere epurata da elementi ritenuti non significativi o utili. Il dirigente dell’Ufficio ANAC competente procede all’esame e all’assegnazione al personale autorizzato delle segnalazioni acquisite per la successiva trattazione. La piattaforma informatica consente al segnalante di accedere alla propria segnalazione fino a cinque anni successivi alla data di chiusura del fascicolo da parte di ANAC. Tale accesso avviene tramite l’utilizzo di un codice identificativo univoco di 16 caratteri alfanumerici (key code), generato in modo casuale e automatico dalla piattaforma informatica e fornito al segnalante all’esito dell’inoltro della segnalazione. Tale codice consente al segnalante di monitorare lo svolgimento del procedimento amministrativo eventualmente avviato a seguito della segnalazione, integrare la stessa e dialogare (in modo anonimo e sicuro) con ANAC. In ogni caso, la piattaforma deve tracciare le operazioni svolte dagli utenti ai fini dell’attribuzione delle responsabilità delle operazioni eseguite. Anche in questa sede, come già evidenziato nel Comunicato del Presidente del 5 settembre 2018145 , si rappresenta la rilevanza di un comportamento collaborativo del segnalante, al quale si richiede, anche nel proprio interesse, di tenere costantemente aggiornata l’Autorità in ordine all’evoluzione delle proprie segnalazioni o comunicazioni di misure ritorsive, soprattutto quando queste non siano più connotate dal carattere di attualità. 145 Comunicato del Presidente del 5 settembre 2018 recante “Indicazioni per la miglior gestione delle segnalazioni di illeciti o irregolarità effettuate dai dipendenti pubblici nell’interesse dell’integrità della pubblica amministrazione, ai sensi dell’art. 54-bis, del decreto legislativo 30 marzo 2001, n. 165 (c.d. whistleblowers)”, punto 4, pubblicato sul sito istituzionale di ANAC. Si precisa che, in caso di smarrimento del key code, il segnalante non può più effettuare l’accesso alla segnalazione e il key code non può essere replicato né riprodotto. È quindi onere del segnalante averne adeguata cura. In caso di smarrimento del key code, ai soli fini di una interlocuzione con l’ufficio ANAC competente in merito alla segnalazione, il segnalante dovrà far presente, a detto ufficio, tale situazione, comunicando ogni eventuale informazione aggiuntiva utile riguardante la segnalazione di cui ha smarrito il key code. . Le segnalazioni orali ANAC predispone un servizio telefonico con operatore che, previa presentazione vocale dell’informativa del trattamento dei dati personali e delle indicazioni necessarie per reperire online il testo completo di tale informativa, consente l’acquisizione delle segnalazioni orali. L’operatore è un componente dell’Ufficio ANAC competente (detto operatore d’ora in poi in questo paragrafo). Questi acquisisce la segnalazione telefonicamente e la inserisce sulla piattaforma ANAC unitamente al file audio di registrazione della telefonata. L’operatore, al termine dell’inserimento della segnalazione, acquisisce dalla piattaforma ANAC il codice identificativo univoco di 16 caratteri alfanumerici (key code) di primo accesso, generato in modo casuale e automatico dalla piattaforma informatica – detto One Time Key Code (OTKC) – che trasferisce contestualmente (durante la telefonata) e per via orale al segnalante. Il segnalante può utilizzare il OTKC per effettuare in autonomia il primo accesso alla segnalazione sulla piattaforma ANAC o telefonicamente tramite operatore che accede alla segnalazione sulla piattaforma ANAC per suo conto. Riguardo l’uso e le accortezze da prendere per il mantenimento del OTKC e del key code valgono le stesse considerazioni già riportate sopra. Qualora il segnalante effettui il primo accesso tramite operatore telefonico, questi utilizzerà il OTKC specificato dal segnalante per accedere alla segnalazione per suo conto ed otterrà dalla piattaforma un nuovo OTKC che dovrà comunicare contestualmente al segnalante. Il segnalante può effettuare un successivo accesso alla segnalazione con il nuovo OTKC. In nessun caso l’operatore mantenerrà il OTKC della segnalazione. Si ritiene opportuno specificare che: 1. i segnalanti che abbiano inserito la segnalazione tramite piattaforma non possono successivamente accedervi tramite operatore; 2. il segnalante che effettua l’accesso alla segnalazione sulla piattaforma inserendo il OTKC, riceve il key code definitivo e da questo momento può accedere alla segnalazione esclusivamente tramite piattaforma inserendo tale key code; 3. l’operatore fornisce esclusivamente un supporto per l’inserimento della segnalazione, relativi contenuti ed accesso agli stessi. . Segnalazioni raccolte tramite “Incontri diretti fissati entro un termine ragionevole” Questa tipologia di segnalazioni viene acquisita mediante incontro diretto – previa presentazione dell’informativa del trattamento dei dati personali e delle indicazioni necessarie per reperire online il testo completo di tale informativa – tramite un operatore che inserisce la segnalazione nella piattaforma informatica, analogamente a quanto previsto per le segnalazioni orali sopra descritte. . La trasmissione delle segnalazioni ANAC, ai sensi del art. 8, co. 2, dispone l’invio delle segnalazioni alla competente autorità amministrativa o giudiziaria – detta anche organizzazione esterna – esponendogliele in visibilità sulla propria piattaforma ANAC. Questo processo prevede che l’organizzazione esterna effettui la procedura di accreditamento sulla piattaforma ANAC come descritto nell’Allegato 2 “Istruzioni sulla trasmissione di segnalazioni”. La procedura di accreditamento consente al personale autorizzato dell’organizzazione esterna di accedere, previa autenticazione informatica a più fattori, alla piattaforma ANAC per l’accesso alle segnalazioni di loro competenza. L’organizzazione esterna destinataria della segnalazione: a) può visualizzarne i contenuti tramite la piattaforma ANAC, non necessariamente scaricandoli sul proprio dispositivo. Qualora tali dati siano scaricati sul proprio dispositivo, l’organizzazione esterna dovrà adottare adeguate misure di sicurezza per proteggere i dati personali acquisiti, anche eventualmente attraverso l’utilizzo di strumenti di cifratura; b) è tenuta a fornire informazioni al segnalante per permettergli di mantenere il contatto ai sensi dell’art. 8, co. 1, del d.lgs. n. 24/2023. Può farlo usando la funzionalità di invio messaggi al segnalante fornita in prima battuta dalla piattaforma ANAC. Nel formulare i messaggi per il segnalante, deve tenere in considerazione che il segnalante può solo leggerli ma non rispondere; c) è tenuta ad usare la funzionalità di invio messaggi al segnalante esclusivamente per le finalità previste al punto precedente; d) è tenuta a comunicare ad ANAC l’esito finale della sua istruttoria tramite apposite funzionalità messe a disposizione dalla piattaforma ANAC; e) deve tener presente che ANAC, al momento della messa a disposizione della segnalazione mediante piattaforma, la considera archiviata per proprio conto e la renderà disponibile fino e non oltre il tempo massimo consentito dalla policy di retention (5 anni). . Acquisizione delle segnalazioni L’ente che riceve una segnalazione esterna è tenuto a trasferirla ad ANAC, nei casi e nei modi descritti al § 1 della presente parte, inserendola in apposita sezione della piattaforma informatica di ANAC seguendo le istruzioni definite nell’Allegato 3 “Istruzioni sull’acquisizione di segnalazioni”. Per le pubbliche amministrazioni, l’inserimento della segnalazione sulla piattaforma ANAC, salvo diverse scelte organizzative, può avvenire ad opera del RPCT che può accedere utilizzando lo stesso account già accreditato presso ANAC. È cura delle pubbliche amministrazioni comunicare prontamente ad ANAC eventuali aggiornamenti riguardo la posizione del RPCT in modo che il relativo sistema di accreditamento ANAC sia aggiornato di conseguenza. Nei casi in cui una pubblica amministrazione deleghi l’inserimento della segnalazione sulla piattaforma ANAC ad un un soggetto diverso dal RPCT, può applicare la procedura descritta dall’allegato 3. Al completamento della procedura di inserimento, la piattaforma restituisce un messaggio di conferma dell’inserimento contenente il OTKC analogamente a quanto previsto per le segnalazioni orali precedentemente descritte. L’ente che inserisce la segnalazione deve comunicare contestualmente all’inserimento il OTKC al segnalante. La prima volta che il segnalante accede alla segnalazione sulla piattaforma ANAC deve inserire il OTKC, in cambio di tale codice gli viene comunicato il codice di accesso univoco definitivo di 16 caratteri, detto key code, con cui potrà accedere alla segnalazione da quel momento in poi. Per quanto riguarda l’importanza di una corretta gestione del key code valgono le stesse considerazioni già fatte sopra. ANAC ha avviato il percorso di evoluzione della piattaforma informatica per poter implementare le funzionalità descritte in queste Linee Guida. Le nuove funzionalità saranno implementate seguendo un ciclo di sviluppo iterativo e rese disponibili all’utenza gradualmente. PARTE TERZA – La disciplina sanzionatoria 1. I poteri sanzionatori di ANAC. Le diverse fattispecie sottoposte a sanzione Ai sensi dell’art. 21 del d.lgs. n. 24/2023, ANAC applica al responsabile, sia nel settore pubblico che nel settore privato, le seguenti sanzioni amministrative pecuniarie: a) da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia commesso ritorsioni; b) da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia ostacolato la segnalazione o abbia tentato di ostacolarla; c) da 10.000 a 50.000 euro quando accerta che la persona fisica individuata come responsabile abbia violato l’obbligo di riservatezza di cui all’art. 12 del d.lgs. n. 24/2023. Restano salve le sanzioni applicabili dal Garante per la protezione dei dati personali per i profili di competenza in base alla disciplina in materia di dati personali146; 146 cfr. Regolamento UE 2016/679 e Codice privacy di cui al d.lgs. 196/2003 e ss.mm.ii. d) da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione; in tal caso responsabile è considerato l’organo di indirizzo sia negli enti del settore pubblico che in quello privato; e) da 10.000 a 50.000 euro quando accerta che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non è conforme a quanto previsto dal decreto; in tal caso responsabile è considerato l’organo di indirizzo sia negli enti del settore pubblico che in quello privato; f) da 10.000 a 50.000 euro quando accerta che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute; in tal caso responsabile è considerato il gestore delle segnalazioni; g) da 500 a 2.500 euro, quando è accertata, anche con sentenza di primo grado, la responsabilità civile della persona segnalante per diffamazione o calunnia nei casi di dolo o colpa grave, salvo che la medesima sia stata già condannata, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria. Compatibilmente con le disposizioni previste dal d.lgs. n. 24/2023, trova applicazione la L. n. 689/1981. Per maggiori dettagli sull’iter dei singoli procedimenti sanzionatori, si rinvia all’apposito Regolamento sanzionatorio che ANAC sta predisponendo. PARTE QUARTA – Il regime transitorio 1. Il regime transitorio Per consentire l’adeguamento alla nuova disciplina, è previsto che le disposizioni del d.lgs. n. 24/2023 producano effetti a decorrere dal 15 luglio 2023 per: – i soggetti del settore pubblico; – i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, superiore a duecentoquarantanove; Pertanto, le segnalazioni e le denunce all’autorità giudiziaria effettuate fino alla data del 14 luglio 2023 continuano ad essere disciplinate dal previgente assetto normativo e dalle Linee guida ANAC di cui alla delibera 469/2021147. 147 Si fa riferimento, per le pubbliche amministrazioni, all’art. 54-bis del decreto legislativo 30 marzo 2001, n. 165; per i soggetti privati all’art. 6, commi 2-bis, 2-ter e 2-quater del decreto legislativo 8 giugno 2001, n. 231; all’art. 3 della legge 30 novembre 2017, n. 179 sia per i soggetti pubblici che privati. Dette disposizioni sono state abrogate dal d.lgs. 23/2024 (art. 23) con decorrenza 15 luglio 2023, ad eccezione del comma 2-bis dell’art. 6 del d.lgs. n. 231/2001 che è stato riformulato dallo stesso d.lgs. 24/2023 (art. 24, co. 5) e, nella nuova formulazione, entrerà in vigore dal 17 dicembre 2023. 148 Si tratta dei canali previsti dall’art. 6, co. 2-bis, lettere a) e b), del d.lgs. n. 231/2001 introdotte dalla legge 179/2017 e quindi nella formulazione vigente prima delle modifiche apportate dal medesimo d.lgs. 24/2023. In particolare, le citate lettere a) e b) dell’art. 6, co. 2-bis, d.lgs. n. 231/2001 (dispongono che “I modelli di cui alla lettera a) del comma 1 prevedono: a) uno o più canali che consentano ai soggetti indicati nell’articolo 5, comma 1, lettere a) e b), di presentare, a tutela dell’integrità dell’ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto e fondate su elementi di fatto precisi e concordanti, o di violazioni del modello di organizzazione e gestione dell’ente, di cui siano venuti a conoscenza in ragione delle funzioni svolte; tali canali garantiscono la riservatezza dell’identità del segnalante nelle attività di gestione della segnalazione; b) almeno un canale alternativo di segnalazione idoneo a garantire, con modalità informatiche, la riservatezza dell’identità del segnalante”. La nuova disciplina produce effetti dal 17 dicembre 2023 per i soli soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a duecentoquarantanove. Fino a tale data, i suddetti soggetti privati che hanno adottato il modello 231 o intendano adottarlo continuano a gestire i canali di segnalazione secondo quanto previsto dal d.lgs. n. 231/2001148.