Articolo a cura di: Redazione - Studio Legale Calvello

Una segnalazione di possibili illeciti può arrivare all’azienda senza passare dal canale whistleblowing predisposto: un dipendente può scrivere direttamente all’amministratore, alle risorse umane o al proprio responsabile, inviare un’e-mail a un indirizzo aziendale ordinario oppure rivolgersi a un soggetto diverso dal gestore incaricato. In questi casi il primo errore da evitare è considerare automaticamente la comunicazione irrilevante soltanto perché è arrivata attraverso il canale sbagliato.

Occorre invece verificare contenuto della comunicazione, soggetto che l’ha effettuata, destinatario, modalità utilizzata e volontà del segnalante di ricorrere alle tutele previste dalla disciplina whistleblowing. Il D.Lgs. 24/2023 contempla espressamente l’ipotesi in cui una segnalazione interna sia presentata a un soggetto diverso da quello competente: in presenza dei relativi presupposti, la comunicazione deve essere trasmessa al soggetto competente entro sette giorni dal ricevimento, dandone contestuale notizia alla persona segnalante.

Per l’impresa la questione è particolarmente delicata perché una segnalazione arrivata fuori dalla piattaforma può essere letta da persone che non avrebbero dovuto conoscerne il contenuto. Diventano quindi immediatamente rilevanti la riservatezza dell’identità del segnalante e delle persone coinvolte, la circolazione interna dei documenti e dei dati personali, la corretta qualificazione della comunicazione e la sua presa in carico. Quando l’azienda riceve una segnalazione attraverso un percorso anomalo, è quindi opportuno ricostruire subito che cosa sia accaduto prima di inoltrare e-mail o documenti tra uffici senza una procedura controllata.

Una segnalazione inviata fuori dal canale whistleblowing non è automaticamente invalida

Il punto di partenza è l’art. 4, comma 6, del D.Lgs. 24/2023. La norma stabilisce che, quando la segnalazione interna viene presentata a un soggetto diverso da quello individuato e autorizzato dall’ente, essa deve essere trasmessa entro sette giorni dal ricevimento al soggetto competente, con contestuale notizia della trasmissione alla persona segnalante. La disciplina non consente quindi di risolvere il problema affermando semplicemente che il dipendente avrebbe dovuto utilizzare la piattaforma o l’indirizzo predisposto dall’azienda.

Le indicazioni dell’ANAC precisano ulteriormente un aspetto decisivo: quando il segnalante dichiara espressamente di volersi avvalere delle tutele previste per il whistleblowing, oppure tale volontà è desumibile dalla comunicazione o dal comportamento tenuto, la segnalazione presentata al soggetto non competente deve essere trattata secondo questa disciplina e trasmessa al gestore. Se, invece, tale volontà non è espressa né desumibile, la comunicazione può essere qualificata come segnalazione ordinaria. La qualificazione richiede quindi di guardare alla sostanza della comunicazione e alle circostanze nelle quali è stata presentata, non soltanto allo strumento tecnico utilizzato.

Si pensi al dipendente che, anziché accedere alla piattaforma whistleblowing, invii al direttore HR un’e-mail nella quale descrive una condotta che ritiene illecita, richiama espressamente la normativa sul whistleblowing e chiede che la propria identità rimanga riservata. Il fatto che l’e-mail sia arrivata alla casella ordinaria delle risorse umane non basta per degradarla a semplice comunicazione interna. Il responsabile che la riceve deve evitare una circolazione incontrollata del messaggio e attivare il percorso previsto per la trasmissione al soggetto competente.

La situazione cambia se un dipendente scrive al proprio responsabile esclusivamente per contestare una decisione relativa al suo rapporto individuale di lavoro, senza che la vicenda rientri nell’ambito di applicazione del D.Lgs. 24/2023. Non ogni reclamo, contestazione o denuncia interna costituisce una segnalazione whistleblowing. Prima di applicare la relativa procedura occorre quindi verificare anche i presupposti soggettivi e oggettivi previsti dalla normativa. Questa distinzione evita sia di ignorare una vera segnalazione sia di trasferire impropriamente al sistema whistleblowing controversie che devono seguire percorsi aziendali differenti.

La qualificazione può diventare più complessa quando la comunicazione viene indirizzata contemporaneamente a più persone. Anche questa situazione deve essere prevista nell’organizzazione aziendale: chi non è competente a gestire la segnalazione deve sapere come comportarsi e, soprattutto, deve evitare che il semplice utilizzo di più destinatari produca un’ulteriore diffusione delle informazioni. Una corretta organizzazione del whistleblowing aziendale deve quindi disciplinare anche ciò che accade quando il percorso predisposto dall’impresa non viene seguito esattamente dal segnalante.

Cosa deve fare chi riceve per errore la segnalazione e come proteggerne la riservatezza

Quando un amministratore, un dirigente, il responsabile HR, un componente dell’ufficio legale o un altro soggetto riceve una comunicazione che potrebbe costituire una segnalazione whistleblowing, la prima esigenza operativa è limitare la conoscenza delle informazioni e verificare chi sia effettivamente competente alla gestione. Inoltrare l’e-mail a una serie di colleghi chiedendo informalmente che cosa fare può aggravare il problema, perché il messaggio potrebbe contenere l’identità del segnalante, quella della persona coinvolta, documenti aziendali e ulteriori dati personali che devono rimanere riservati.

Il destinatario non competente deve quindi trasmettere la segnalazione al gestore individuato dall’azienda entro il termine previsto dalla legge, dandone contestuale notizia al segnalante. La trasmissione deve avvenire preservando la riservatezza del contenuto e dei soggetti interessati. Da quel momento sarà il gestore a procedere alla presa in carico e alle verifiche preliminari necessarie, secondo la procedura applicabile. Le attività successive non devono essere confuse con una verifica sommaria svolta dal primo destinatario: chi riceve accidentalmente la segnalazione non dovrebbe iniziare autonomamente un’istruttoria, interrogare colleghi o diffondere gli allegati per verificarne la fondatezza.

Questo passaggio è particolarmente importante quando la segnalazione riguarda proprio una persona collocata nella linea gerarchica attraverso cui la comunicazione è transitata. Un sistema organizzato deve impedire che la segnalazione venga rimessa, direttamente o indirettamente, nelle mani del soggetto coinvolto nei fatti. Anche l’eventuale conflitto di interessi del gestore richiede una soluzione predisposta dall’azienda, perché la procedura deve consentire una gestione autonoma e imparziale delle segnalazioni.

La riservatezza prevista dal D.Lgs. 24/2023 si intreccia con la disciplina sulla protezione dei dati personali. Una segnalazione può contenere dati del segnalante, della persona segnalata, di testimoni o di altri soggetti citati nei documenti. L’azienda deve quindi evitare accessi non necessari e verificare che i soggetti che trattano tali informazioni siano correttamente individuati e istruiti. Il problema non consiste soltanto nella sicurezza della piattaforma: la protezione deve funzionare anche quando la segnalazione arriva attraverso un canale imprevisto.

Per questo una procedura efficace non dovrebbe limitarsi a spiegare ai lavoratori dove effettuare la segnalazione. È necessario che anche amministratori, dirigenti, HR, segreteria, ufficio legale e altri soggetti che potrebbero ricevere accidentalmente una comunicazione sappiano riconoscerla e conoscano il percorso da seguire. Quando la segnalazione è già arrivata, occorre invece ricostruire rapidamente chi ne abbia avuto conoscenza, dove siano stati conservati il messaggio e gli eventuali allegati e se vi siano state ulteriori trasmissioni. La successiva gestione della segnalazione whistleblowing potrà così partire da una situazione documentata, evitando che l’errore iniziale di canale si trasformi in una gestione disordinata dell’intera istruttoria.

Gli errori più delicati: inoltri impropri, accessi non autorizzati e gestione parallela della segnalazione

Quando la segnalazione è arrivata fuori dal canale previsto, l’azienda deve prestare attenzione non soltanto a ciò che farà successivamente, ma anche a quanto è già accaduto. Se un’e-mail contenente la segnalazione è stata ricevuta da una casella condivisa, inoltrata a più dirigenti o archiviata in sistemi ai quali accedono numerosi dipendenti, occorre verificare concretamente quali soggetti abbiano potuto conoscere l’identità del segnalante e le altre informazioni riservate. Non ogni errore di destinatario determina automaticamente una violazione dei dati personali da notificare al Garante, ma l’eventuale accesso o divulgazione non autorizzata deve essere valutato anche alla luce del GDPR.

La verifica deve essere proporzionata alla situazione. È diverso il caso dell’e-mail aperta esclusivamente da un responsabile HR che, riconosciutane la natura, la trasmette immediatamente e in modo riservato al gestore competente, rispetto alla segnalazione inoltrata a una mailing list interna o discussa con persone estranee alla gestione. Nel secondo caso può essere necessario ricostruire la circolazione delle informazioni, limitare ulteriormente gli accessi e valutare se l’accaduto integri una violazione di dati personali ai sensi del Regolamento (UE) 2016/679, applicando le ordinarie procedure aziendali previste per la gestione dei data breach.

Un altro errore frequente consiste nel creare una gestione parallela della stessa segnalazione. Il dirigente che l’ha ricevuta potrebbe, per esempio, iniziare a chiedere spiegazioni alla persona segnalata mentre il gestore whistleblowing avvia separatamente la propria istruttoria. Oltre a moltiplicare la circolazione delle informazioni, questa sovrapposizione può interferire con gli accertamenti, compromettere la riservatezza e rendere più difficile ricostruire successivamente chi abbia svolto determinate attività e sulla base di quali informazioni.

La segnalazione deve quindi essere ricondotta al percorso organizzativo competente, mantenendo traccia delle operazioni necessarie e separando il ruolo di chi l’ha ricevuta accidentalmente da quello di chi è incaricato di gestirla. La necessità di trasmetterla rapidamente non significa che sia lecito inoltrare indiscriminatamente il messaggio originario: modalità di trasferimento, accesso agli allegati e conservazione delle copie devono essere coerenti con gli obblighi di riservatezza e con le misure di sicurezza adottate dall’organizzazione.

La questione diventa ancora più delicata quando il destinatario iniziale, il gestore o un componente dell’organo normalmente coinvolto nella procedura è menzionato nella segnalazione. In questa situazione occorre verificare il meccanismo previsto per i conflitti di interessi e impedire che il soggetto interessato possa condizionare la presa in carico o conoscere informazioni alle quali non dovrebbe accedere. Lo stesso problema può presentarsi quando la segnalazione riguarda amministratori o altri componenti del management: la gestione deve seguire un percorso che preservi autonomia, riservatezza e imparzialità, tema che richiede una valutazione specifica quando la segnalazione whistleblowing riguarda il management.

Per ridurre questi rischi non basta quindi disporre di una piattaforma tecnicamente adeguata. L’impresa deve predisporre istruzioni organizzative che consentano anche a chi non gestisce abitualmente il whistleblowing di riconoscere una possibile segnalazione e sapere a chi trasmetterla senza diffonderne il contenuto. Formazione e procedure interne assumono particolare rilievo proprio nelle situazioni anomale: il canale ufficiale protegge le informazioni quando viene utilizzato, mentre l’organizzazione aziendale deve essere in grado di preservarle anche quando il segnalante segue un percorso diverso.

Un caso pratico: la segnalazione inviata direttamente alle risorse umane

Consideriamo, a titolo di esempio realistico e anonimizzato, il caso di un’azienda nella quale un dipendente, anziché utilizzare il canale interno predisposto, invia alla casella personale del responsabile HR un’e-mail dettagliata relativa a presunte irregolarità aziendali, allegando alcuni documenti e chiedendo espressamente che il proprio nome rimanga riservato. Il responsabile comprende che la comunicazione potrebbe rientrare nella disciplina whistleblowing, ma l’e-mail è ormai presente nella normale infrastruttura di posta aziendale e non nel sistema dedicato.

La situazione richiede innanzitutto di verificare la natura della comunicazione e il percorso già seguito dal messaggio, evitando ulteriori inoltri non necessari. Una volta individuato il gestore competente, la segnalazione viene ricondotta alla procedura prevista dall’azienda con modalità idonee a preservarne la riservatezza, informando il segnalante della trasmissione. Parallelamente viene verificato se altre persone abbiano avuto accesso all’e-mail o agli allegati e se siano necessarie misure ulteriori sotto il profilo della protezione dei dati personali. L’aspetto che richiede maggiore attenzione non è quindi soltanto il fatto che il dipendente abbia utilizzato il canale sbagliato, ma la gestione dell’intervallo tra il ricevimento della comunicazione e la sua corretta presa in carico: è proprio in questa fase che un inoltro improprio, una richiesta di chiarimenti rivolta alla persona sbagliata o una diffusione interna non necessaria possono creare problemi ulteriori rispetto alla segnalazione originaria.

FAQ sulle segnalazioni whistleblowing ricevute fuori dai canali ufficiali

Una segnalazione inviata al soggetto sbagliato perde le tutele del whistleblowing?

Non necessariamente. Se una segnalazione interna viene presentata a un soggetto diverso da quello competente e il segnalante dichiara espressamente di voler beneficiare delle tutele in materia di whistleblowing, oppure tale volontà è desumibile dalla comunicazione, la segnalazione deve essere trasmessa al soggetto competente entro sette giorni dal ricevimento, dandone contestuale notizia al segnalante. Occorre quindi valutare il contenuto e le circostanze della comunicazione, non soltanto il canale utilizzato.

Cosa succede se il dipendente invia la segnalazione a una normale casella e-mail aziendale?

L’utilizzo di una casella ordinaria richiede particolare cautela perché il messaggio potrebbe essere accessibile a soggetti diversi dal gestore. Chi lo riceve deve evitare ulteriori diffusioni non necessarie e, quando ricorrono i presupposti della disciplina whistleblowing, provvedere alla trasmissione al soggetto competente nel rispetto della riservatezza. È opportuno verificare anche chi abbia già avuto accesso al messaggio e agli eventuali allegati.

Una segnalazione inviata al responsabile HR è sempre una segnalazione whistleblowing?

No. Una comunicazione indirizzata alle risorse umane può riguardare una controversia individuale, un reclamo lavorativo o altre questioni che non rientrano nell’ambito del D.Lgs. 24/2023. La qualificazione dipende dal contenuto della segnalazione, dai soggetti coinvolti, dal contesto e dagli altri presupposti previsti dalla normativa. Quando la distinzione non è immediata, una valutazione preliminare evita sia di trascurare una segnalazione rilevante sia di utilizzare impropriamente il canale whistleblowing.

Se la segnalazione è stata letta da persone non autorizzate bisogna sempre notificare un data breach al Garante?

No. L’accesso o la divulgazione non autorizzata di dati personali deve essere esaminata secondo le regole del GDPR sulla gestione delle violazioni dei dati personali. Occorre ricostruire concretamente l’accaduto e valutare natura dei dati, soggetti interessati, estensione della divulgazione, possibili conseguenze e livello di rischio. L’eventuale obbligo di notifica al Garante dipende dalla valutazione prevista dalla normativa e non deriva automaticamente dal semplice fatto che la segnalazione sia transitata fuori dal canale dedicato.

Come può l’azienda evitare problemi quando una segnalazione arriva fuori piattaforma?

La procedura interna dovrebbe disciplinare anche questa eventualità, individuando chi deve ricevere la comunicazione, come deve essere effettuata la trasmissione e quali cautele devono essere adottate per la riservatezza. È utile che HR, dirigenti, amministratori, segreteria e altri possibili destinatari conoscano almeno le istruzioni essenziali da seguire. Una formazione mirata riduce il rischio che una segnalazione arrivata al destinatario sbagliato venga inoltrata indiscriminatamente o gestita al di fuori della procedura.

Avete ricevuto una segnalazione fuori dal canale whistleblowing? Richiedete una valutazione

Quando una segnalazione arriva tramite un’e-mail ordinaria, direttamente a un amministratore, alle risorse umane, a un dirigente o a un altro soggetto diverso dal gestore, occorre stabilire rapidamente come qualificarla, a chi trasmetterla e quali misure adottare per proteggere le informazioni già circolate. La soluzione dipende dalla struttura aziendale, dalla procedura adottata, dal contenuto della comunicazione e dalle modalità con cui è stata ricevuta.

Assistiamo le imprese nella valutazione e nella gestione delle segnalazioni whistleblowing, anche quando sono state ricevute attraverso canali diversi da quelli predisposti dall’azienda, nonché nell’organizzazione o revisione delle procedure interne e nella gestione esterna delle segnalazioni. Per sottoporci il caso è possibile richiedere una valutazione in materia di whistleblowing aziendale e gestione delle segnalazioni, descrivendo attraverso il modulo la situazione concreta e le modalità con cui la segnalazione è pervenuta.