WHISTLEBLOWING

7. LE TUTELE DEL SEGNALANTE
La procedura presenta un articolato sistema di tutele, per escludere eventuali misure ritorsive conseguenti alla segnalazione.
Il Gestore della segnalazione, così come tutti i dipendenti societari che sono venuti a conoscenza della segnalazione, sono tenuti al divieto di rivelare l’identità del whistleblower, con riferimento sia alle generalità del segnalante ma, anche, a tutti gli altri elementi della segnalazione dai quali si possa ricavare, anche indirettamente, l’identità del soggetto.
Tutte le informazioni raccolte, relative alla segnalazione, rimangono riservate fatta eccezione per i casi in cui:

• Il segnalante esprima il proprio consenso alla divulgazione (trattamento) dei propri dati personali;
• Sia richiesta dalla normativa (ad esempio, se sia necessario coinvolgere le autorità);
• Sia finalizzata alla salvaguardia della salute o della sicurezza delle persone;
• Risulti indispensabile alla difesa, in sede di audizione del segnalato, ai fini della presentazione di
  memorie difensive. L’indispensabilità deve essere motivata e dimostrata;
• Sia configurabile una responsabilità a titolo di calunnia o di diffamazione.

Nei confronti del soggetto segnalante è vietata ogni forma – concreta ovvero solo potenziale – di ritorsione, per tale intendendosi qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto.
In particolare, la società non consente e non tollera alcuna condotta avente effetti sulle condizioni di lavoro del dipendente che effettua una segnalazione, per motivi collegati alla denuncia, quali ad esempio:

• Azione disciplinare ingiustificata (degradazione, mancata promozione, trasferimento, licenziamento,
  etc.);
• molestie sul luogo di lavoro (mobbing, persecuzione, etc.);
• ogni altra forma di ritorsione che determini condizioni di lavoro intollerabili (isolamento, minacce, etc.).

Il segnalante, inoltre, ha diritto a richiedere il trasferimento in altro ufficio e, laddove ragionevolmente possibile, la società provvederà al soddisfacimento di dette richieste.
Ancora, il whistleblower che ritiene di aver subito una discriminazione dovuta alla segnalazione, riferisce al Gestore che, valutata la sussistenza degli elementi, segnala l’ipotesi di discriminazione.
Inoltre, è bene precisare che anche in sede giudiziaria o amministrativa opererà una limitazione di responsabilità di chi abbia rivelato o diffuso informazioni coperte dall’obbligo di segreto, relative alla tutela del diritto d’autore o alla protezione dei dati personali ovvero ancora informazioni sulle violazioni che offendono la reputazione della persona coinvolta e denunciata, limitatamente ai casi in cui «al momento della rivelazione o diffusione, vi fossero fondati motivi per ritenere che la rivelazione o diffusione delle stesse informazioni fosse necessaria per svelare la violazione e la segnalazione, la divulgazione pubblica o la denuncia all’autorità giudiziaria o contabile è stata effettuata nelle modalità richieste».

8. LE MODALITA’ DI VALUTAZIONE DEGLI ESPOSTI
A fronte delle suddette garanzie poste a tutela del segnalante, tuttavia, occorre precisare opportune modalità e criteri di valutazione degli esposti, con la finalità precipua di scongiurare segnalazioni che possano, senza
giustificato motivo, danneggiare l’immagine della società ovvero la reputazione del soggetto, dipendente della società, che è oggetto della segnalazione.
Ebbene, in quest’ottica, le segnalazioni dovranno necessariamente essere valutate alla luce dei seguenti criteri:

• la concretezza delle circostanze rappresentate;
• la doverosità della condotta segnalata;
• continenza delle modalità di rivelazione in relazione alla finalità di eliminazione o prevenzione della condotta criminosa;
• aderenza della comunicazione alle modalità e ai canali previsti dalla presente procedura;
• ogni altra circostanza.

In ogni caso, come previsto dallo stesso Decreto Legislativo 24/2023, le predette tutele per il segnalante o denunciante non sono garantite e può anzi essere irrogata la sanzione disciplinare laddove venga accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero ancora la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave.
Come sopra riferito, in mancanza delle informazioni sopra indicate – e, in particolare di quelle necessarie per fornire, da un lato, concretezza alla segnalazione stessa e, dall’altro, strumenti per consentire alla società di intervenire con misure di rimedio – la segnalazione potrà essere archiviata, conservando, però, evidenza della stessa.

Infatti, proprio alla luce delle linee guida ANAC, la segnalazione è considerata inammissibile per:
a) manifesta mancanza di interesse all’integrità della pubblica amministrazione;
b) manifesta incompetenza dell’Autorità sulle questioni segnalate;
c) manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti;
d) manifesta insussistenza dei presupposti di legge per l’esercizio dei poteri di vigilanza dell’Autorità;
e) intervento dell’Autorità non più attuale;
f) finalità palesemente emulativa;
g) accertato contenuto generico della segnalazione o tale da non consentire la comprensione de fatti, ovvero segnalazione corredata da documentazione non appropriata o inconferente;
h) produzione di sola documentazione in assenza della segnalazione di condotte illecite o irregolarità;
i) mancanza dei dati che costituiscono elementi essenziali della segnalazione.

9. CHI GESTISCE LA SEGNALAZIONE: IL RUOLO DELL’ODV NELL’AMBITO DEL WHISTLEBLOWING
Venendo all’altro ambito di competenza dell’OdV – ossia la vigilanza sul funzionamento e sull’osservanza del Modello organizzativo – dall’inserimento dei canali di segnalazione interna nel Modello discendono i seguenti compiti diretti e immediati dell’Organismo:

• vigilare sulla tempestiva adozione dei canali di segnalazione interna e sulla loro rispondenza (quanto a “disegno”) al D. Lgs. 24/2023, nonché sul conseguente aggiornamento del Modello organizzativo;
• vigilare sull’avvenuta adozione delle procedure interne sul Whistleblowing;
• vigilare sulla formazione, informazione e diffusione di quanto previsto nell’aggiornato Modello organizzativo e nelle procedure interne sul Whistleblowing (in parti- colare ex art. 5, lett. e) D. Lgs. 24/2023);
• vigilare sull’effettività e sull’accessibilità dei canali di segnalazione;
• vigilare sull’effettivo funzionamento e sull’osservanza di quanto previsto nell’aggiornato Modello organizzativo e nelle procedure interne sul Whistleblowing (a titolo esemplificativo: verificare il rispetto dell’art. 4, comma 2 D. Lgs. 24/2023 quanto al soggetto individuato come Gestore, compiere verifiche periodiche a campione sul rispetto delle tempistiche previste dal D. Lgs. 24/2023 in tema di avviso di ricevimento e di riscontro, sull’eventuale applicazione del sistema disciplinare, sulle misure adottate per garantire il rispetto degli obblighi di riservatezza e dei divieti di ritorsione).

Quanto a un eventuale ruolo “attivo” dell’OdV rispetto alla gestione delle segnalazioni interne, giova premettere che il legislatore non ha inteso prevedere né la necessaria coincidenza tra OdV e gestore delle segnalazioni Whistleblowing, né la necessaria diversificazione delle due figure.
Va affermata, dunque, la piena autonomia organizzativa di ciascun ente rispetto alla soluzione da adottare nella scelta del Gestore più appropriato nel contesto specifico.
Nelle proprie Linee Guida ANAC afferma, sul punto, che “nel settore privato, la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Ciò, fermo restando il rispetto dei requisiti previsti dal legislatore. Tale ruolo, a meri fini esemplificativi, può essere affidato, tra gli altri, agli organi di internal audit, all’Organismo di vigilanza previsto dalla disciplina del d.lgs. n. 231/2001, ai comitati etici (…)”.
Tanto premesso, al fine di individuare il possibile perimetro di azione dell’OdV rispetto alle segnalazioni interne, occorre preliminarmente chiarire cosa si intenda per “gestione” nell’ambito della disciplina del Whistleblowing.
L’art. 5 D. Lgs. 24/2023 prevede, a tal proposito, che «nell’ambito della gestione del canale di segnalazione interna, la persona o l’ufficio interno ovvero il soggetto esterno, ai quali è affidata la gestione del canale di segnalazione interna»: 
«a) rilasciano alla persona segnalante avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione»;
«b) mantengono le interlocuzioni con la persona segnalante e possono richiedere a quest’ultima, se necessario, integrazioni»;
«c) danno diligente seguito alle segnalazioni ricevute», intendendosi per «seguito», a norma dell’art. 2, comma 1, lett. n) D. Lgs. 24/2023, «l’azione intrapresa dal soggetto cui è affidata la gestione del canale di segnalazione per valutare la sussistenza dei fatti segnalati, l’esito delle indagini e le
eventuali misure adottate»;
«d) forniscono riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione».

La definizione di «seguito» è ambigua nella parte in cui, dal punto di vista lessicale, non è chiaro se l’esito delle indagini e le misure adottate siano componenti del «seguito» ovvero se siano elementi oggetto della “valutazione” attribuita al Gestore.
In merito, l’art. 5, n. 12, della Direttiva (UE) 2019/1937 definisce il «seguito» come «l’azione intrapresa dal destinatario di una segnalazione o da un’autorità competente, allo scopo di valutare la sussistenza dei fatti segnalati e, se del caso, porre rimedio alla violazione segnalata, anche attraverso azioni come un’inchiesta interna, indagini, l’azione penale, un’azione per il recupero dei fondi o l’archiviazione della procedura».
Le Linee guida di ANAC, con riferimento alle attività in cui si compendia il «seguito», affermano invece che,qualora «si ravvisi il fumus di fondatezza della segnalazione è opportuno rivolgersi immediatamente agli organi preposti interni o enti/istituzioni esterne, ognuno secondo le proprie competenze. Non spetta al soggetto preposto alla gestione della segnalazione accertare le responsabilità individuali qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dall’ente/amministrazione oggetto di segnalazione, a pena di sconfinare nelle competenze dei soggetti a ciò preposti all’interno di ogni ente o amministrazione ovvero della magistratura».
ANAC, pertanto, descrive un perimetro meno ampio delle prerogative del Gestore, ancorché, a ben vedere, attribuisca comunque al Gestore la verifica di “ammissibilità” della segnalazione e, soprattutto, «l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi» (v. p. 40 e 41). È il follow up dell’esito dell’istruttoria, in particolare per quanto concerne l’esercizio del potere disciplinare e l’assunzione di iniziative giudiziali, che – secondo ANAC, condivisibilmente – spetta alle figure istituzionalmente competenti in azienda.
Ad ogni modo, dal momento che l’OdV ha funzioni di vigilanza, l’attribuzione allo stesso del ruolo di Gestore, nell’incertezza interpretativa sopra evidenziata, deve essere valutata attentamente, nei pro e nei contro, avendo cura di evitare, ove la scelta ricada sull’OdV, conflitti di interesse e la partecipazione ad attività gestorie che potrebbero minare l’indipendenza di giudizio e l’autonomia dell’Organismo.
In un simile contesto regolatorio, si ritiene – in linea generale e di principio – preferibile evitare la coincidenza tra Gestore e OdV, soprattutto nelle imprese di medie e grandi dimensioni, per le ragioni esplicitate nel già richiamato Documento di approfondimento dell’Associazione del 14 dicembre 2022, al quale si rimanda.
Tale soluzione, tra l’altro, è coerente con le indicazioni fornite, a suo tempo, dal Garante per la protezione dei dati personali in merito alla qualificazione dell’OdV ai fini della normativa privacy, a tutt’oggi valide («allo stato, il d.lgs n. 231/2001 non attribuisce necessariamente all’OdV la gestione delle segnalazioni in questione, ma rimette alla discrezionalità dell’ente la scelta di individuare in un soggetto diverso il destinatario di tali segnala- zioni che avrà il compito di istruirle e adottare ogni conseguente provvedimento»)5. Diversamente, qualora si voglia attribuire all’OdV il ruolo di Gestore o comunque un ruolo attivo nella gestione delle segnalazioni, l’adeguato riparto di competenze tra l’Organismo e le altre funzioni interne andrà definito nelle procedure interne sul Whistleblowing, che dovranno tenere conto, nel descrivere le modalità operative con cui gestire la segnalazione, dei requisiti di autonomia e di indipendenza dell’OdV, derivanti dall’art. 6 D. Lgs. 231/2001.
Così, ad esempio, potrebbe essere costituito un Ufficio Whistleblowing (o “Comitato Etico”) “misto”, cioè composto da personale interno e da un soggetto esterno idoneo a contribuire professionalmente alle attività proprie dell’Ufficio; tale componente esterno ben potrebbe già ricoprire altri incarichi per l’ente compatibili con i requisiti previsti per il Gestore, tra cui quello di membro dell’OdV. Naturalmente tutti i componenti dell’Ufficio dovranno rispondere ai requisiti di cui all’art. 4, comma 2 D. Lgs. 24/2023.
Ancora, l’OdV potrebbe essere stabilmente coinvolto nella funzione di “smistamento” delle segnalazioni, prevedendo un ruolo consultivo dell’Organismo o di un suo componente in tale attività.
Da ultimo, è possibile – sebbene, come detto, non preferibile – attribuire all’OdV il compito di effettuare direttamente, nell’ambito della gestione delle segnalazioni, la ricezione e lo smistamento: la soluzione non è vietata, come detto, dalla normativa di riferimento; essa tuttavia va attentamente ponderata, tenendo conto del complesso degli adempimenti previsti dalla disciplina di riferimento (comprese le comunicazioni al segnalante e il mantenimento della relazione successivamente alla segnalazione) e, dunque, delle esigenze di tipo organizzativo che questa ulteriore attività richiede.
Quale che sia la soluzione prescelta, l’OdV deve in ogni caso esercitare un importante ruolo in materia di Whistleblowing, proprio al precipuo fine di garantire le attività di vigilanza sopra sinteticamente riportate.
Cosi, l’OdV deve necessariamente ricevere dal Gestore informazione immediata di ogni segnalazione avente (diretta o anche soltanto indiretta) rilevanza “231”, al fine di compiere le proprie valutazioni in sede di vigilanza e di formulare osservazioni in caso di rilievo di anomalie, nonché – più in generale – di seguire l’andamento della gestione di tali segnalazioni.
Come detto, l’OdV può anche essere coinvolto dal Gestore nella valutazione della rilevanza “231” della segnalazione, laddove vi siano incertezze in merito.
Inoltre, l’OdV deve in ogni caso ricevere flussi informativi periodici dal Gestore (con periodicità da definire coerentemente con i termini stabiliti dal D. Lgs. 24/2023 per il riscontro alle segnalazioni) in merito a tutte le segnalazioni (anche quelle non di rilevanza “231” o valutate come “non whistleblowing”), al fine di verificare il funzionamento del sistema e la qualità dello smistamento e al fine di intervenire a correttivo di eventuali errori di valutazione o, comunque, in ottica di costante miglioramento del Modello organizzativo (ove emergano disfunzionalità dello strumento).
Pare necessario, allora, che il Modello organizzativo stesso preveda tali flussi, o a mezzo di apposita reportistica periodica e/o a mezzo di incontri periodici con il Gestore.
In alternativa, l’OdV – senza con ciò sovrapporsi alle prerogative e alle responsabilità del Gestore, che rimarrebbero di sua esclusiva competenza – potrebbe essere inserito di default quale soggetto in grado di apprendere immediatamente la notizia della segnalazione e vigilare sulla sua adeguata trattazione.
Resta in ogni caso ferma l’esigenza che, quali che siano i flussi informativi concernenti le segnalazioni, venga rispettato il requisito della riservatezza dell’identità delle persone coinvolte (segnalante, segnalato e altri soggetti menzionati nella segnalazione).
In tutti i casi sopra ipotizzati, andranno valutati i profili riguardanti la tutela dei dati personali (con specifica valutazione di impatto preliminare) e attribuite le qualifiche ai fini privacy ai diversi soggetti coinvolti, come evidenziato anche dalle Linee guida ANAC. Tali aspetti, relativi al trattamento dei dati personali, dovranno essere tenuti in debita considerazione nell’implementazione del sistema Whistleblowing, soprattutto in relazione ai flussi informativi interni riguardanti le segnalazioni.

10. ARCHIVIAZIONE E CONSERVAZIONE DEGLI ESPOSTI
Al fine di garantire la gestione e la tracciabilità delle segnalazioni, il Gestore delle Segnalazioni aggiorna il Registro delle segnalazioni assicurando l’archiviazione di tutta la relativa documentazione di supporto.
Il Gestore garantisce la conservazione della documentazione originale inerente alle segnalazioni in appositi archivi cartacei/informatici, con i più elevati standard di sicurezza/riservatezza.
I dati personali raccolti nell’ambito di una segnalazione sono conservati per il tempo strettamente necessario al loro trattamento, e comunque compatibilmente con la finalità stessa del trattamento, in osservanza a quanto disciplinato dalle normative in materia di privacy, da ultimo il GDPR 2016/679.

A tal proposito, è necessario:

•  formare ed autorizzare al trattamento dei dati i dipendenti chiamati a gestire il canale di segnalazione;
• informare tutti i soggetti interessati;
• designare e dare istruzioni, in forma scritta, ai “responsabili del trattamento” ovvero coloro che sono chiamati ad effettuare il trattamento per conto del titolare, siano essi meri fornitori o gestori del canale.
  Tali soggetti devono presentare garanzie di compliance alla normativa come prevede l’art. 28 del GDPR.

In particolare, sarà opportuno prevedere l’autorizzazione al trattamento dei dati del responsabile 231 interno che potrà coadiuvare l’Organo di Vigilanza nell’effettuazione dell’indagine che eventualmente seguirà alla segnalazione.

11. DIFFUSIONE E RECEPIMENTO DELLA PROCEDURA
Alla presente procedura deve essere fornita la massima diffusione verso apicali, sottoposti e soggetti terzi che interagiscono con la società. Quest’ultima ha il dovere di assicurare la disponibilità, la tenuta e l’aggiornamento di tale documentazione.
Nel caso di nuove assunzioni, il Responsabile interno 231 e il responsabile del personale assicura la consegna ed il recepimento della presente procedura da parte del candidato all’atto dell’assunzione.