All’interno dell’oggetto delle segnalazioni rientrano i possibili illeciti, almeno per una certa categoria di soggetti. Qualora violazioni di questo tipo configurino un illecito è possibile che siano oggetto di segnalazione.

Non è possibile. La legge prevede che debba essere garantita la possibilità di fornire segnalazioni in forma orale o su richiesta del segnalante, via incontro personale. Questi canali non sono garanzia di anonimato o riservatezza ma il segnalante deve essere messo nella condizione di effettuare una segnalazione in forma orale.

A.N.AC. non ha il potere normativo di fare Linee Guida vincolanti sui canali per la segnalazione interna ma fornirà delle raccomandazioni non obbligatorie agli enti nel corso del 2023.

Certamente deve essere data disponibilità per l’effettuazione di una segnalazione in forma scritta e orale. E certamente deve essere data disponibilità per un incontro personale, su richiesta del segnalante.

Attendiamo indicazioni da A.N.AC. se quest’ultima opzione possa costituire da sé il canale per la segnalazione orale o se vada in ogni caso predisposta anche una linea telefonica o un sistema di messaggistica vocale

Al momento non sappiamo quali debbano essere le caratteristiche di questi canali. La ratio della norma è di offrire al segnalante canali diversi per la segnalazione, proprio per incentivarla. Non riteniamo che il legislatore abbia pensato che la segnalazione orale andasse fatta attraverso una piattaforma ma che fosse un canale pensato per coloro che non si trovano a loro agio con strumenti tecnologici. 

Per quanto riguarda il progetto WhistleblowingPA, già oggi è possibile inviare allegati audio al questionario di segnalazione e ci potrebbero essere sviluppi tecnologici prossimi ma, come scritto, non crediamo che i canali scritto e orale debbano esistere all’interno dello stesso mezzo. 

La norma sembra prevedere la necessità della sottoscrizione del verbale da parte del segnalante perché la segnalazione sia di fatto agibile. Anche per questa ragione, ci sentiamo di raccomandare l’incontro personale come canale per la segnalazione orale, di modo che la firma possa essere fatta in modo contestuale. 

L’accertamento dell’identità del segnalante riguarda anche la segnalazione scritta, per cui andrebbero nel caso richiesti documenti identificativi. Vale la pena ricordare che, considerando il non divieto di ammettere segnalazioni anonime, la scelta del segnalante di identificarsi sia un diritto a tutela dello stesso contro possibili discriminazioni e non uno strumento per validare o meno una segnalazione. 

La legge prevede che in tutti gli enti in cui sia prevista la figura del RPCT sia questo il ricevente. In passato non c’era questo obbligo e gli enti assegnavano la ricezione delle “segnalazioni 231” ad altri organi. Qualora il RPCT volesse gestire queste ultime congiuntamente ad altri organi deve nominarli in modo specifico. Il canale potrà essere distinto o meno, a scelta dell’ente. 

Per validare la segnalazione orale, è necessaria la sottoscrizione del verbale della stessa. Con la segnalazione telefonica questo avverrà necessariamente in una fase differita. 

A.N.AC. potrà rispondere nel dettaglio a questa domanda ma, da quanto abbiamo compreso, ci sarà un operatore telefonico a rispondere al telefono e guidare il segnalante. Questo operatore ragionevolmente coinciderà con uno dei soggetti istruttori che già leggono le segnalazioni su piattaforma e, quindi, non costituisce un allargamento dei soggetti a conoscenza della segnalazione.

D’altra parte, una segnalazione mediata da un soggetto ricevente contribuisce alla formulazione di una segnalazione più strutturata e qualificata e meglio processabile dal soggetto ricevente.

L’e-mail e la PEC non sono canali sicuri in quanto non crittografati. Non lo sono peraltro anche altri canali possibili, come la posta o le segreterie telefoniche. A.N.AC. ha sempre raccomandato l’utilizzo di piattaforme informatiche crittografate; è necessario attendere le Linee Guida della stessa per comprendere se queste siano ritenute obbligatorie.

Non crediamo che questo sia possibile; siamo convinti che questa previsione normativa sia totalmente illogica e che, invece, la legge avrebbe dovuto prevedere l’obbligo di notificare al segnalante il canale corretto, cosicché sia questo a instaurare un dialogo confidenziale con il ricevente corretto. 

La legge sembra attribuire tutela contro le discriminazioni anche in caso di segnalazioni inviate a un soggetto errato. Tuttavia, resta di più complicata attribuzione la tutela della riservatezza, essendo le segnalazioni transitate su canali diversi da quelli previsti dalle procedure interne. 

Una segnalazione inviata all’UPD non è una segnalazione di whistleblowing. La segnalazione deve essere inviata al destinatario corretto previsto dalla legge o dalle procedure interne, affinché il segnalante possa aver diritto alle tutele normative. Opportuno che il corretto canale e la corretta procedura siano adeguatamente esposti per i potenziali segnalanti. 

Può essere una domanda interessante da porre al soggetto segnalante in quanto aiuta il soggetto ricevente a comprendere quali ulteriori soggetti tutelare rispetto allo stesso. 

No, significa che deve essere aperta una consultazione con le stesse in merito alla predisposizione dei canali di segnalazione. Il parere ricevuto non è in ogni caso vincolante. 

Se tali rappresentanze non sono presenti non vanno sentite e si può procedere senza questo parere, comunque non vincolante. 

La segnalazione fatta attraverso questi canali potrebbe non prevedere le tutele previste dalla norma. Giova ricordare che anche per gli enti sottoposti al decreto ci sono grandi discrasie in merito all’ambito oggettivo di segnalazione, per cui non tutte le segnalazioni sono protette a seconda dei diversi enti. 

Sulla base della normativa i fondati motivi sono la paura di ritorsioni, la convinzione che non verrebbe dato seguito alla stessa e il convincimento di un possibile danno imminente all’interesse pubblico. Queste valutazioni sono chiaramente discrezionali e si attendono indicazioni specifiche nelle Linee Guida dell’A.N.AC..

È opportuno precisare che sia la Direttiva Europea che la precedente legge n.179/2017 davano al segnalante la possibilità di effettuare direttamente una segnalazione esterna: si può quindi auspicarsi che la dimostrazione di questi fondati motivi non sia troppo onerosa per lo stesso segnalante.

Per quanto riguarda il riscontro da riportare per legge, la norma sembra prevedere un termine tassativo di tre mesi per il riscontro al segnalante. Il riscontro deve riguardare le attività compiute dal soggetto ricevente in questo lasso di tempo e non conterrà indicazioni relative a dati personali la cui conoscenza non è consentita al soggetto segnalante (ad es.: potrà essere comunicato l’avvio di un procedimento disciplinare a carico del soggetto segnalato ma non eventuali sanzioni attribuite).

Vale la pena precisare che il termine di tre mesi si riferisce al riscontro dell’attività istruttoria svolta in quel termine; non significa che obbligatoriamente andrà comunicato in quel termine l’esito finale delle attività di accertamento, che potrebbero anche essere più prolungate.

Ciò non toglie che l’ente deve dimostrare di aver dato seguito alla segnalazione svolgendo attività di accertamento nel periodo considerato, per evitare due conseguenze:

1. Che il soggetto segnalante possa rivolgersi a canali esterni;
2. Non subire procedimenti sanzionatori da parte di A.N.AC. dovuti all’inazione.

Alle autorità competenti non deve essere inviata inizialmente la segnalazione ma il risultato delle attività di accertamento; solo al termine di queste il ricevente può ritenere che i fatti segnalati siano supportati e siano confermati dei profili penali o di danno erariale. In questo caso è probabilmente opportuno inviare i fatti riscontrati, comprendenti il nome del soggetto segnalato. L’autorità giudiziaria ordinaria o contabile è in ogni caso tenuta a ricevere e trattare quanto ricevuto con gli stessi criteri di riservatezza adottati dal ricevente interno. 

I vertici non devono essere messi a conoscenza del ricevimento della segnalazione. Il soggetto ricevente è responsabile della segnalazione e può eventualmente comunicare ai vertici gli esiti delle attività di accertamento, qualora fossero rilevanti per i vertici stessi. 

Il consenso del segnalante non è richiesto per promuovere un’azione disciplinare ma per rivelare l’identità dello stesso. La rivelazione dell’identità è necessaria al diritto di difesa qualora sia necessario utilizzare la testimonianza del segnalante per procedere disciplinarmente. Il soggetto ricevente dovrebbe provare a raccogliere elementi ed evidenze ulteriori e indipendenti rispetto alla testimonianza del segnalante, così da non essere obbligato a richiederne la partecipazione. Qualora gli elementi non siano sufficienti a procedere, è opportuno che il segnalante debba accettare di essere chiamato; se non volesse farlo e il “caso disciplinare” non fosse sufficientemente solido, è corretto non procedere. 

In tutti gli enti, pubblici o privati, che non prevedono la figura del RPCT, è data libertà all’ente di scegliere il soggetto (individuale o collegiale) più idoneo alla ricezione e gestione delle segnalazioni. Questo soggetto deve essere adeguatamente formato e dotato di poteri e di accesso per svolgere le attività di accertamento senza esporre il segnalante. 

L’indirizzo email, qualunque indirizzo email, non è un canale crittografato ma può essere messo a disposizione per le segnalazioni; è necessario che sia data indicazione dello stesso nella procedura dell’ente e nella pagina informativa. 

Negli enti in cui è prevista la figura di RPCT è questi il responsabile per le segnalazioni. Può essere data disposizione organizzativa per cui la ricezione delle stesse sia congiunta con l’OdV. In quel caso l’OdV deve essere nominato come organo di supporto al RPCT.

In realtà, il Garante, in questo parere, sembra confermare la designazione dell’Organismo di Vigilanza come soggetto idoneo a ricevere le segnalazioni di whistleblowing: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9347842.

La ratio è sempre la stessa: il soggetto ricevente deve essere dotato di poteri e accesso alle informazioni per svolgere le indagini di accertamento senza esporre i soggetti menzionati nella segnalazione.

Non c’è modo di dare una risposta univoca. Il criterio dovrebbe essere quello di incaricare un soggetto sia indipendente ma anche dotato di poteri e controlli per effettuare controlli efficaci (il primo esempio che viene in mente per imprese strutturate è l’audit). L’OdV può essere anch’esso eventualmente selezionato come ricevente ma, nel caso non lo sia, è opportuno che il ricevente notifichi eventuali esiti delle attività di accertamento che possano portare alla correzione di processi interni.

Sì, deve essere nominato dai vertici e può essere organo individuale o collegiale. Se si tratta di un collegio, la responsabilità è di tutti i componenti. Nel caso siano presenti piattaforme informatiche, ogni persona deve avere un’utenza personale, così da determinare eventuali responsabilità sul trattamento. 

Lo scopo di una procedura di segnalazione è quello di gestire le segnalazioni attraverso canali confidenziali che tutelino il trattamento della stessa tutelando tutti i soggetti coinvolti (segnalante, segnalato, altre persone menzionate nella segnalazione). Fermo restando i profili di responsabilità a carico del segnalante che possa aver diffamato alcuni soggetti, è evidente che un canale interno non sia lo strumento attraverso cui si potrebbe pensare di creare un danno a un terzo. Inoltre, la legge prevede anche la tutela in caso di segnalazioni potenzialmente errate ma non volutamente false. 

Crediamo che sia controproducente per l’istituto questo tipo di comportamento, nel momento in cui al termine dell’accertamento di una segnalazione questa venga archiviata senza conseguenze per il segnalato. 

A.N.AC. non ha più un potere regolatorio sulle segnalazioni interne; le Linee Guida ora in consultazione riguardano le segnalazioni esterne ma interpretano anche dei principi relativi alle segnalazioni interne. In ogni caso, le Linee Guida della delibera in oggetto sono superate dalla nuova normativa e ora abrogate.

È certamente vero che possono esserci alcuni aspetti per cui la legge vigente abbia fatto dei passi indietro, come la non possibilità di segnalare irregolarità o le condizioni previste alla segnalazione esterna; tuttavia, in alcuni aspetti i passi in avanti sono evidenti, anche solo pensando all’ampliamento dell’ambito soggettivo e oggettivo di applicazione.

Non potendo rispondere in questa sede per A.N.AC., speriamo di poter indicare che il potenziamento organico dell’Autorità dovrebbe renderne l’azione più efficiente ed efficace, fermo restando che la tutela contro le discriminazioni non è prerogativa dell’Autorità in modo diretto, bensì dell’autorità giudiziaria.

La legge non ha regolamentato le segnalazioni anonime, di fatto non escludendole e permettendone il trattamento al soggetto ricevente. È abbastanza evidente che un ricevente non ignorerà una segnalazione qualificata e ben circostanziata; allo stesso tempo, durante le fasi di accertamento non avrà l’onere di tutelare un soggetto che ha scelto di non rivelare la propria identità. 

Non riteniamo che sia né auspicabile né tanto meno è obbligatorio. Il whistleblowing si basa su due principi fondamentali: il primo è che un segnalante invii a un soggetto ricevente informazioni relativi a possibili illeciti affinché questo possa accertarli ed eventualmente dare vita a correttivi; il secondo è che durante questo accertamento il segnalante non venga esposto. È un sistema basato sulla fiducia, e sul fatto che il ricevente manterrà la riservatezza del segnalante mentre svolge un’istruttoria interna sulla segnalazione.

Se il segnalante si fida del ricevente e delle tutele attribuite dalla legge, è necessario per il ricevente conoscere ogni informazione utile per non esporre il segnalante. Cosa succederebbe se lo esponesse involontariamente perché sceglie di non conoscerne l’identità? 

Siamo convinti che l’anonimato debba essere una facoltà per il segnalante, che può scegliere tra la tutela dell’anonimato e la tutela garantita dalla norma, che è un insieme di riservatezza e di misure contro le ritorsioni. 

La legge non regolamenta in generale le segnalazioni anonime. Possono essere processate o meno, a scelta dell’ente. Se processate, devono comunque essere trattate rispettando la riservatezza. 

Attendiamo pronunce dell’A.N.AC. o del Garante su questo punto. La possibilità di modificare la segnalazione ricevuta ne compromette l’integrità, rendendo molto problematico soprattutto un eventuale procedimento volto ad accertare responsabilità successive.

L’email ordinaria non è un canale crittografato. Da un punto di vista tecnologico non è equiparabile a una piattaforma informatica crittografata. Se sarà sufficiente a garantire la riservatezza dovrà essere indicato da A.N.AC. o dal Garante per la Privacy.

La domanda è molto ampia e possiamo solo rimandare alle prossime linee guida di A.N.AC. e a possibili pareri del Garante Privacy. Sulla base della sola legge, è necessario che la segnalazione orale sia trascritta e il verbale della stessa sia firmato dal segnalante. Dopo questo processo, la segnalazione può ragionevolmente essere trattata come una segnalazione proveniente attraverso altri canali.

La nostra interpretazione è che, nel momento in cui il segnalante fornisce la propria identità, il soggetto ricevente sia tenuto a conoscerla, per poterlo tutelare durante l’attività di accertamento. Non crediamo che il mancato accesso del ricevente all’identità fornita dal segnalante possa eventualmente tutelarlo rispetto a eventuali sanzioni per aver esposto “involontariamente” il segnalante. 

Il presupposto di non accedere all’identità è che si ritenga che il ricevente non sia capace di svolgere accertamenti senza esporre il segnalante; costituisce un alibi e una giustificazione che ha poco a che vedere con il whistleblowing. 

Non esistono, in capo a questa tipologia di segnalazioni che ricadono al di fuori del decreto n.24/2023, obblighi informativi nei confronti dei segnalanti rispetto ai livelli successivi a cui può essere rivolta una segnalazione. 

Invitiamo a consultare le Linee Guida A.N.AC. di prossima pubblicazione in merito alla prevalenza applicativa del d.lgs. n.24/2023 rispetto alle leggi speciali preesistenti. 

Riteniamo che le segnalazioni fatte con entrambi i canali siano meritevoli di tutela. È ragionevole che l’ente predisponga protocolli di collaborazione tra i soggetti riceventi qualora la segnalazione riguardi un illecito di questo tipo.

Qualora la violazione sia segnalata al responsabile per le segnalazioni ex d.lgs. n.24/2023, devono essere applicate le rafforzate protezioni previste dalla nuova normativa.