Entra in vigore il 17 dicembre 2023 l’obbligo delle imprese chiamate ad attuare le nuove regole contenute nel Dlgs 24/2023 sul cosiddetto whistleblowing. Con questo decreto il legislatore ha rafforzato regole già esistenti ampliando la portata delle norme che impongono l’adozione di sistemi di segnalazione aziendale degli illeciti.

Che cos’è il Whistleblowing
“Whistleblowing” significa la denuncia di una irregolarità compiuta in seno ad un’organizzazione pubblica o privata, attraverso la segnalazione di comportamenti, omissioni o atti lesivi dell’interesse pubblico o dell’integrità dell’ente, effettuati da lavoratori dell’ente stesso o da suoi collaboratori/partner esterni (consulenti, clienti, fornitori etc.).

Quali sono i soggetti obbligati?
I soggetti del settore privato:

a) le piccole e medie imprese interessate dall’obbligo di attivare una piattaforma per la segnalazione di illeciti sono quelle che hanno impiegato in media tra i 50 e i 249 dipendenti nell’ultimo anno, intendendo come dipendenti i “lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato” ( l’obbligo per le aziende con almeno 250 è scattato ancora il 15 luglio 2023);

Pertanto, per le imprese diverse da quelle di nuova costituzione, in sede di prima applicazione occorrerà fare riferimento alla media annua dei lavoratori impiegati al 31 dicembre 2022 e poi, per le annualità successive, si dovrà considerare il computo dell’anno solare precedente, sempre al 31 dicembre;

b) pur avendo impiegato meno di 50 lavoratori subordinati, adottano modelli di organizzazione e gestione previsti dal D.lgs. 231/2001 (cosiddetto “MOG”);

c) pur avendo impiegato meno di 50 lavoratori subordinati, operano nei settori cosiddetti “sensibili” regolamentati a livello europeo (es. settore dei mercati finanziari o del credito).
Ai fini del computo della media annua dei lavoratori impiegati nel settore privato, necessaria per stabilire quando si supera la soglia dei 50 lavoratori, ANAC ha specificato che si deve fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si considera l’anno in corso (ovvero il 2023), specificando inoltre che “ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati Inps) al 31.12 dell’anno solare precedente a quello in corso, contenuto nelle visure camerali. Quando l’impresa è di nuova costituzione, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura”.
È necessario sottolineare come il richiamo alle visure camerali comporti che il computo avvenga “per teste” e cioè in base al numero complessivo di addetti, a prescindere dall’effettiva durata dei singoli rapporti di lavoro.
Tuttavia, come ribadito da più parti, ai fini del computo dei lavoratori, si dovrebbe fare riferimento al dettato dell’art. 27 D.Lgs. 81/2015, secondo cui “ai fini dell’applicazione di qualsiasi disciplina di fonte legale o contrattuale per la quale sia rilevante il computo dei dipendenti del datore di lavoro, si tiene conto del numero medio mensile di lavoratori a tempo determinato, sulla base dell’effettiva durata dei loro rapporti di lavoro”.

L’auspicio è pertanto quello che sia consentito di calcolare la media dei lavoratori in termini di “ULA” (unità lavorativa annua), ossia tenendo conto dell’effettiva durata di ciascun rapporto; a oggi, tuttavia, la modalità di calcolo del computo non può ritenersi chiaramente definita.

Chi può segnalare e cosa può essere oggetto di segnalazione?
Può effettuare segnalazioni qualsiasi soggetto che sia venuto a conoscenza di violazioni nell’ambito del contesto lavorativo, quali ad esempio: dipendenti, collaboratori, lavoratori autonomi, liberi professionisti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, rappresentanza o vigilanza, a prescindere che il rapporto sia già in corso, debba ancora iniziare o sia terminato.

Quali illeciti comprende?
1) illeciti amministrativi, contabili, civili o penali;
2) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231;
3) illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali;
4) atti od omissioni che ledono gli interessi finanziari dell’Unione di cui all’articolo 325 del Trattato sul funzionamento  dell’Unione europea;
5) atti od omissioni riguardanti il mercato interno.

Quali sono gli obblighi per le aziende?
Entro le date indicate, le aziende interessate dovranno predisporre procedure e canali di comunicazione interni o esterni utili a favorire le segnalazioni all’azienda, garantendo l’anonimato e la riservatezza del segnalante e dei documenti prodotti. La tutela può riguardare anche lavoratori non dipendenti quindi con rapporto di collaborazione o consulenza.
A tal scopo, oltre all’implementazione del canale, è necessario individuare un soggetto o un ufficio interno autonomo, dedicato e composto da personale formato, o un soggetto esterno (anch’esso autonomo e con personale formato) che gestisca il canale di segnalazione e che ne garantisca il corretto funzionamento.
Prima dell’implementazione di questi strumenti, l’azienda deve effettuare una valutazione di impatto ai sensi della normativa sulla protezione dei dati personali (Privacy) con il fine di garantire il massimo rispetto ed il minimo rischio per i diritti e le libertà degli interessati nell’ambito del trattamento dati personali necessario al funzionamento ed alla gestione dei canali di segnalazione interni.

Le sanzioni previste dal decreto e dalla normativa privacy
Le sanzioni previste, di natura amministrativa pecuniaria, sono irrogabili dall’ANAC (Autorità Nazionale Anti Corruzione, competente in materia) ai responsabili di violazione delle disposizioni del decreto e sono di seguito descritte:

– da € 10.000,00 a € 50.000,00 in caso di accertamento di ritorsioni, di ostacolo o tentativo di ostacolare la segnalazione, ovvero in caso di violazione dell’obbligo di riservatezza;

– da € 10.000,00 a € 50.000,00 in caso di mancata istituzione dei canali di segnalazione, delle procedure per l’effettuazione o gestione delle segnalazioni o che l’adozione di queste procedure non è conforme a quanto previsto dal decreto, ovvero ancora quando non è stata svolta l’attività di analisi e verifica delle segnalazioni ricevute.

Oltre alle sanzioni previste dal decreto, l’azienda potrebbe infine incappare nelle sanzioni previste per il mancato rispetto della normativa sulla protezione dei dati personali, in particolare in caso di mancato svolgimento di valutazione di impatto preventiva all’inizio dell’attività di trattamento.