Quali sono i soggetti obbligati? WHISTLEBLOWING
Il 15 marzo 2023 è stato pubblicato in Gazzetta Ufficiale il D.Lgs. n. 24/2023, attuativo della direttiva (Ue) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, sulla protezione delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali.
L’obiettivo perseguito dal legislatore è quello di incentivare, nell’ambito dei contesti di lavoro pubblici e privati, la segnalazione di eventuali comportamenti illeciti, tutelando, al contempo, il segnalante (“whistleblower”) da:
La nuova disciplina si applica già dal 15 luglio 2023 ai soggetti del settore pubblico e del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, superiore a 249.
Le disposizioni del D.Lgs. n. 24/2023 avranno, invece, effetto a decorrere dal 17 dicembre 2023 per i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a 249 unità.
COSA SI PUÒ SEGNALARE
Comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in:
- illeciti amministrativi, contabili, civili o penali;
- condotte illecite rilevanti ai sensi del decreto legislativo 231/2001, o violazioni dei modelli di organizzazione e gestione ivi previsti;
- illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
- atti od omissioni che ledono gli interessi finanziari dell’Unione;
- atti od omissioni riguardanti il mercato interno;
- atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione.
Con specifico riferimento al settore privato, il D.Lgs. n. 24/2023 si applica, in particolare, ai soggetti:
a) che abbiano impiegato, nell’ultimo anno, almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato
b) o che rientrino nell’ambito di applicazione degli atti dell’Unione europea (Ue) in materia di servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente (allegato al D.Lgs. n. 24/2023)
c) o che rientrino nell’ambito di applicazione del D.Lgs. n. 231/2001 4 (decreto 231) e abbiano adottato un modello di organizzazione e gestione ai sensi di questa normativa (modello 231).
Segnalazione: chi può effettuarla
Qualsiasi soggetto che si trovi in rapporti lavorativi con un’organizzazione privata (o pubblica), indipendentemente dall’inquadramento giuridico e contrattuale, per uno spazio temporale che va oltre i confini del rapporto di lavoro.
WHISTLEBLOWING e PRIVACY
Ogni trattamento dei dati personali deve essere effettuato nel rispetto della normativa privacy.
Nello specifico, l’ente deve provvedere a:
effettuare la valutazione d’impatto (data protection impact analysis, Dpia);
nominare gli autorizzati al trattamento dei dati personali;
curare l’informativa sul trattamento dei dati personali ai soggetti interessati (segnalante, facilitatori eccetera).
Come in parte già anticipato, il gestore è invece chiamato a:
• definire il modello di ricevimento e gestione delle segnalazioni;
• individuare misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato conservazione della segnalazione per il tempo necessario al trattamento.
In ogni caso:
– non oltre cinque anni dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza;
– con cancellazione immediata dei dati non utili o raccolti accidentalmente.