Articolo a cura di: Redazione - Studio Legale Calvello
Molte aziende ritengono di aver assolto agli obblighi sul whistleblowing dopo aver acquistato e attivato una piattaforma informatica per ricevere le segnalazioni. La disponibilità del software, però, non è sufficiente a dimostrare che il sistema aziendale sia conforme al D.Lgs. 24/2023. Occorre verificare chi gestisce le segnalazioni, quali procedure sono state adottate, come viene tutelata la riservatezza delle persone coinvolte e se il trattamento dei dati personali rispetta il GDPR.
Il problema riguarda soprattutto le imprese che hanno già installato una piattaforma whistleblowing, magari affidandosi a un fornitore esterno, senza aver successivamente verificato gli adempimenti organizzativi e documentali. In queste situazioni, un controllo di conformità può individuare carenze che espongono la società a contestazioni e, nei casi previsti dalla legge, a sanzioni. La verifica deve riguardare il funzionamento effettivo del sistema, non soltanto le caratteristiche dichiarate dal produttore del software.
Perché acquistare una piattaforma whistleblowing non basta per rispettare la normativa
Il D.Lgs. 24/2023 impone ai soggetti rientranti nel proprio ambito di applicazione di istituire canali interni di segnalazione conformi a determinati requisiti. La normativa non si limita a richiedere uno strumento attraverso il quale trasmettere informazioni: disciplina anche le modalità di gestione delle segnalazioni, la tutela della riservatezza, l’individuazione dei soggetti incaricati e gli obblighi successivi alla ricezione.
Una piattaforma informatica può costituire una componente del canale interno, ma la conformità del sistema whistleblowing dipende dall’insieme delle misure tecniche e organizzative concretamente adottate dall’impresa. Un software che consente di inviare segnalazioni riservate non dimostra, da solo, che l’azienda abbia individuato un gestore competente, definito una procedura adeguata o predisposto le necessarie garanzie per il trattamento dei dati personali.
Consideriamo il caso di una società che acquista un servizio whistleblowing in cloud. Il fornitore mette a disposizione un portale con accesso riservato, crittografia delle comunicazioni e un sistema per dialogare con il segnalante. L’azienda riceve le credenziali, pubblica il collegamento sul proprio sito e considera concluso l’adeguamento. Se non ha formalizzato l’affidamento della gestione, verificato le autorizzazioni di accesso, disciplinato le attività istruttorie e predisposto le informazioni richieste dalla normativa, il sistema può presentare carenze rilevanti nonostante le funzionalità tecniche disponibili.
Il primo controllo riguarda quindi la distinzione tra piattaforma whistleblowing, canale interno di segnalazione e gestione delle segnalazioni. La piattaforma è lo strumento tecnologico; il canale è il sistema attraverso il quale le segnalazioni vengono presentate secondo le modalità previste dalla legge; la gestione comprende le attività che devono essere svolte dopo la ricezione, dall’avviso di ricevimento alla valutazione dei fatti e al riscontro al segnalante.
Questa distinzione assume particolare rilievo quando il contratto con il fornitore comprende esclusivamente la licenza d’uso del software. L’impresa potrebbe aver acquistato una soluzione tecnologicamente adeguata senza aver affidato ad alcun soggetto il compito di gestire le segnalazioni. Anche quando il servizio comprende un gestore esterno, occorre verificare il contenuto dell’incarico e la concreta ripartizione delle responsabilità.
Un ulteriore errore consiste nel ritenere che una dichiarazione commerciale di conformità del software equivalga alla conformità dell’intera organizzazione. La responsabilità di istituire e mantenere un sistema adeguato resta in capo al soggetto obbligato, anche quando alcune attività sono affidate all’esterno. Le garanzie contrattuali del fornitore possono assumere rilievo nei rapporti tra le parti, ma non sostituiscono gli adempimenti previsti dalla normativa.
Per comprendere se un’impresa abbia effettivamente assolto i propri obblighi, occorre quindi esaminare la piattaforma nel contesto dell’organizzazione aziendale. La disciplina generale dei requisiti del canale whistleblowing interno costituisce il riferimento per verificare se lo strumento adottato sia inserito in un sistema idoneo a ricevere e trattare le segnalazioni secondo la legge.
Quali adempimenti devono accompagnare la piattaforma whistleblowing per essere conformi
La verifica di conformità deve partire dall’effettiva applicabilità del D.Lgs. 24/2023 all’impresa, considerando le condizioni previste per i soggetti del settore privato, tra cui, secondo i casi, la dimensione occupazionale, l’attività svolta e l’adozione di un Modello organizzativo ai sensi del D.Lgs. 231/2001. Accertato l’obbligo di istituire il canale interno, occorre controllare che la piattaforma sia accompagnata dagli adempimenti richiesti e da un’organizzazione capace di assicurarne il funzionamento.
Uno degli aspetti da verificare è l’individuazione del soggetto incaricato della gestione delle segnalazioni. L’articolo 4 del D.Lgs. 24/2023 prevede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo dedicato, con personale specificamente formato, oppure a un soggetto esterno anch’esso autonomo e dotato di personale specificamente formato. L’acquisto della piattaforma non determina automaticamente l’attribuzione di questo incarico al fornitore del software.
Quando l’impresa decide di affidare la gestione all’esterno, è necessario definire l’incarico, le attività comprese nel servizio, le modalità di accesso alle segnalazioni e le procedure applicabili in presenza di possibili conflitti di interessi. Occorre anche distinguere chi svolge la manutenzione tecnica della piattaforma da chi è autorizzato a conoscere il contenuto delle segnalazioni. Il personale IT, gli amministratori di sistema e i responsabili aziendali non devono poter accedere indiscriminatamente alle informazioni riservate soltanto in ragione delle rispettive funzioni.
La piattaforma deve inoltre inserirsi in una procedura aziendale che disciplini la presentazione e la gestione delle segnalazioni. La procedura deve essere coerente con la struttura dell’impresa, individuare le responsabilità operative e regolare le attività successive alla ricezione. Non è sufficiente utilizzare un documento standard fornito dal produttore senza verificarne l’effettiva corrispondenza all’organizzazione e alle modalità di gestione adottate. Per gli aspetti relativi alla predisposizione documentale, abbiamo approfondito i requisiti della procedura whistleblowing aziendale.
Un altro profilo riguarda le modalità attraverso le quali il segnalante può comunicare. L’articolo 4 del D.Lgs. 24/2023 prevede canali che consentano segnalazioni in forma scritta, anche mediante modalità informatiche, e in forma orale. Quest’ultima può essere realizzata attraverso linee telefoniche o sistemi di messaggistica vocale e, su richiesta del segnalante, mediante un incontro diretto fissato entro un termine ragionevole. Una piattaforma che permette esclusivamente di compilare un modulo scritto non esaurisce, da sola, tutte le modalità di segnalazione previste dalla disciplina. L’azienda deve quindi verificare come siano concretamente assicurate anche le ulteriori possibilità richieste dalla legge.
Prima dell’attivazione dei canali interni, i soggetti obbligati devono inoltre effettuare le consultazioni previste dall’articolo 4 con le rappresentanze o organizzazioni sindacali indicate dalla norma. La consultazione non equivale alla necessità di ottenere un accordo sindacale, ma costituisce un passaggio che non può essere sostituito dalla semplice installazione del software. Se la piattaforma è già operativa e tale adempimento non è stato considerato, occorre valutare la situazione e le misure appropriate per regolarizzarla.
Particolare attenzione richiede il trattamento dei dati personali. Le segnalazioni possono contenere informazioni relative a dipendenti, amministratori, collaboratori e altri soggetti, talvolta anche dati appartenenti a categorie particolari o relativi a presunti illeciti. Il sistema deve quindi rispettare il Regolamento (UE) 2016/679 e le disposizioni specifiche del D.Lgs. 24/2023. Devono essere verificati i ruoli privacy, le informative, le autorizzazioni, i tempi di conservazione, le misure di sicurezza e i rapporti contrattuali con gli eventuali fornitori che trattano dati per conto dell’impresa.
Il trattamento connesso al canale whistleblowing richiede anche una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 GDPR, come previsto dall’articolo 13 del D.Lgs. 24/2023. La documentazione tecnica o la valutazione predisposta dal fornitore può contribuire all’analisi, ma non sostituisce automaticamente la valutazione che compete al titolare del trattamento. Quest’ultimo deve considerare le caratteristiche concrete del sistema utilizzato, i soggetti coinvolti e i rischi derivanti dalle modalità operative adottate.
La conservazione delle segnalazioni deve rispettare i limiti previsti dall’articolo 14 del D.Lgs. 24/2023. La documentazione deve essere mantenuta per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza. Le impostazioni automatiche della piattaforma devono essere coerenti con tali prescrizioni e non possono essere considerate adeguate soltanto perché configurate dal fornitore.
La conformità richiede infine che siano rese disponibili informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare segnalazioni interne ed esterne. L’articolo 5 del D.Lgs. 24/2023 disciplina questi obblighi informativi, che interessano anche soggetti diversi dai dipendenti. L’impresa deve verificare l’accessibilità delle informazioni nei luoghi di lavoro e, quando dispone di un proprio sito internet, la loro pubblicazione nell’apposita sezione.
Quando la società ha adottato un Modello 231, occorre considerare anche il coordinamento tra il sistema whistleblowing, il Modello organizzativo e l’Organismo di Vigilanza. L’esistenza di una piattaforma non dimostra automaticamente che siano stati adeguati i protocolli interni, il sistema disciplinare o i flussi informativi pertinenti. La verifica deve rispettare le competenze del gestore delle segnalazioni e dell’OdV, evitando che il coordinamento organizzativo comprometta le garanzie di riservatezza.
Quali rischi corre l’azienda se la piattaforma whistleblowing non è conforme
La presenza di una piattaforma whistleblowing non esclude la possibilità che l’azienda sia considerata inadempiente rispetto agli obblighi previsti dal D.Lgs. 24/2023. Le irregolarità possono riguardare le caratteristiche tecniche del canale, l’assenza di un gestore adeguatamente individuato, la mancata adozione delle procedure necessarie oppure l’inosservanza delle garanzie di riservatezza. Il rischio giuridico dipende dalla natura della violazione e dalle concrete modalità con cui il sistema è stato organizzato e utilizzato.
L’articolo 21 del D.Lgs. 24/2023 attribuisce all’ANAC il potere di applicare sanzioni amministrative pecuniarie nei casi previsti dalla disposizione. In particolare, è prevista una sanzione da 10.000 a 50.000 euro quando viene accertato che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per effettuare e gestire le segnalazioni oppure che le procedure adottate non sono conformi alle prescrizioni degli articoli 4 e 5. La stessa fascia sanzionatoria è prevista quando viene accertata la mancata attività di verifica e analisi delle segnalazioni ricevute.
Questo significa che un’azienda dotata di una piattaforma informatica può comunque essere esposta a una contestazione se il sistema di gestione presenta le irregolarità sanzionate dalla legge. La valutazione non può però essere automatica: occorre individuare la specifica prescrizione violata e verificare se ricorrono i presupposti della responsabilità amministrativa.
Ulteriori conseguenze possono derivare dalla violazione degli obblighi di riservatezza, dall’ostacolo alla presentazione delle segnalazioni o dall’adozione di comportamenti ritorsivi. La normativa prevede specifiche misure di tutela del segnalante e un sistema sanzionatorio che opera secondo presupposti differenti. Non ogni errore organizzativo equivale a una ritorsione, così come non ogni anomalia tecnica determina automaticamente una violazione della riservatezza.
La protezione dei dati personali costituisce un distinto ambito di responsabilità. Se la piattaforma permette accessi non autorizzati, conserva informazioni oltre i termini consentiti oppure viene utilizzata senza adeguate misure di sicurezza, possono emergere violazioni del GDPR e delle disposizioni nazionali applicabili. In presenza dei relativi presupposti, possono assumere rilievo i poteri di controllo e sanzione del Garante per la protezione dei dati personali.
Un problema particolarmente delicato riguarda le autorizzazioni di accesso. Una piattaforma potrebbe essere tecnicamente protetta da password e sistemi di autenticazione, ma consentire comunque a soggetti aziendali non legittimati di consultare le segnalazioni. In questa situazione, la sicurezza informatica dello strumento non coincide necessariamente con la liceità degli accessi e con il rispetto degli obblighi di riservatezza. Occorre verificare le credenziali attribuite, i privilegi amministrativi, i log disponibili e le modalità attraverso le quali il fornitore può intervenire sul sistema.
Anche il mancato funzionamento del canale può produrre conseguenze operative. Se una segnalazione non viene ricevuta, non viene presa in carico oppure rimane senza riscontro, l’azienda deve verificare se siano stati rispettati gli obblighi di gestione previsti dall’articolo 5 del D.Lgs. 24/2023. La disciplina stabilisce, tra l’altro, l’invio dell’avviso di ricevimento entro sette giorni e il riscontro nei termini previsti dalla legge. Per approfondire gli adempimenti successivi alla ricezione, rinviamo alla nostra analisi delle tempistiche nella gestione delle segnalazioni whistleblowing.
Quando il canale interno non risponde ai requisiti normativi, possono inoltre assumere rilievo le condizioni che consentono al segnalante di ricorrere al canale esterno dell’ANAC. L’impresa non può quindi considerare il proprio sistema adeguato soltanto perché esiste un collegamento informatico attraverso il quale inviare una comunicazione.
Per le società che hanno adottato un Modello 231, eventuali carenze del sistema whistleblowing richiedono anche una valutazione della coerenza tra il canale di segnalazione, le procedure organizzative e il sistema disciplinare. L’irregolarità del whistleblowing non determina automaticamente la responsabilità dell’ente ai sensi del D.Lgs. 231/2001, che richiede specifici presupposti, ma può rappresentare un elemento da considerare nella verifica dell’effettiva attuazione dei presidi organizzativi.
Quando emergono criticità, l’intervento dovrebbe partire da un audit tecnico e giuridico del sistema whistleblowing esistente. La verifica deve esaminare il contratto con il fornitore, le caratteristiche della piattaforma, la documentazione aziendale, l’individuazione del gestore, le autorizzazioni di accesso e le modalità effettive di trattamento delle segnalazioni. In base alle carenze riscontrate, può essere necessario modificare le configurazioni del software, integrare la documentazione, riorganizzare le responsabilità oppure sostituire un servizio non adeguato.
Esempio pratico: azienda con piattaforma whistleblowing attiva ma adempimenti incompleti
Consideriamo una società manifatturiera con 120 dipendenti che ha acquistato una piattaforma whistleblowing da un fornitore specializzato. Il software consente di trasmettere segnalazioni scritte in modalità riservata e di consultare le comunicazioni attraverso credenziali personali. L’azienda ha pubblicato il collegamento sul proprio sito internet e ritiene di aver completato gli adempimenti previsti dalla normativa.
Durante una verifica interna emerge però che non è stato formalizzato l’affidamento della gestione a un soggetto dotato dei requisiti richiesti, la procedura aziendale non disciplina compiutamente le modalità di segnalazione orale e non risulta predisposta una valutazione d’impatto privacy riferita al trattamento. Si scopre inoltre che un amministratore del sistema informatico dispone di privilegi tecnici che potrebbero consentirgli di accedere a informazioni riservate senza una specifica necessità operativa.
La piattaforma è funzionante, ma il sistema aziendale presenta carenze che devono essere esaminate e corrette. Non sarebbe sufficiente chiedere al fornitore una dichiarazione generale di conformità del software. Occorrerebbe verificare gli obblighi applicabili, individuare il gestore, completare la procedura, controllare le autorizzazioni e valutare le misure necessarie per assicurare la protezione dei dati personali.
Se nel frattempo fosse già arrivata una segnalazione, sarebbe necessario accertare anche chi l’abbia ricevuta, se siano stati rispettati i termini e quali soggetti abbiano avuto accesso alle informazioni. L’eventuale intervento correttivo dovrebbe preservare la documentazione necessaria e la riservatezza delle persone coinvolte, evitando che la regolarizzazione produca ulteriori criticità.
FAQ sulla conformità della piattaforma whistleblowing
Una piattaforma whistleblowing certificata rende automaticamente l’azienda conforme?
No. Le caratteristiche tecniche e le eventuali certificazioni del software possono contribuire alla valutazione della sua affidabilità, ma non sostituiscono gli obblighi organizzativi e procedurali dell’impresa. Occorre verificare il sistema nel suo complesso, compresi gestore, modalità di segnalazione, documentazione e protezione dei dati personali.
È obbligatorio nominare un gestore delle segnalazioni anche quando si utilizza una piattaforma esterna?
La gestione del canale deve essere affidata a un soggetto che possieda i requisiti previsti dall’articolo 4 del D.Lgs. 24/2023. Può trattarsi di una persona o di un ufficio interno autonomo dedicato oppure di un soggetto esterno. Il semplice contratto di utilizzo del software non equivale necessariamente all’affidamento della gestione delle segnalazioni.
La DPIA è necessaria per una piattaforma whistleblowing?
Sì. L’articolo 13 del D.Lgs. 24/2023 prevede che i soggetti tenuti a istituire i canali effettuino una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 GDPR. La valutazione deve considerare il trattamento concretamente effettuato e non può essere automaticamente sostituita dalla documentazione standard del fornitore.
Quali sanzioni rischia un’azienda che ha installato una piattaforma whistleblowing non conforme?
Nei casi individuati dall’articolo 21 del D.Lgs. 24/2023, l’ANAC può applicare sanzioni amministrative pecuniarie, tra cui quelle da 10.000 a 50.000 euro per le specifiche violazioni relative all’istituzione dei canali, alle procedure e alla mancata verifica e analisi delle segnalazioni. L’applicabilità della sanzione dipende dalla violazione effettivamente accertata. Possono inoltre rilevare eventuali violazioni della disciplina sulla protezione dei dati personali.
Come verificare se una piattaforma whistleblowing già installata è in regola?
È opportuno effettuare una verifica congiunta degli aspetti giuridici, organizzativi e tecnici. L’analisi deve riguardare le funzionalità della piattaforma, le modalità di segnalazione, il soggetto incaricato della gestione, la procedura aziendale, gli obblighi informativi, la documentazione privacy e le misure di riservatezza. Le eventuali carenze devono essere valutate in relazione alla normativa applicabile e alle caratteristiche dell’impresa.
Verifica della piattaforma whistleblowing e assistenza legale alle aziende
Lo Studio Legale Calvello assiste le imprese nella verifica della conformità dei sistemi whistleblowing già adottati e nell’individuazione degli interventi necessari per correggere eventuali irregolarità. Esaminiamo gli obblighi applicabili, la documentazione aziendale, i rapporti con i fornitori, la gestione delle segnalazioni e il coordinamento con il GDPR e, quando pertinente, con il Modello 231 e l’Organismo di Vigilanza.
Se la vostra azienda ha già acquistato una piattaforma whistleblowing ma non ha verificato l’adeguatezza dell’intero sistema, oppure sono emerse criticità organizzative o contestazioni, potete richiedere una consulenza legale allo Studio Legale Calvello per una valutazione della situazione e delle misure da adottare.
