Articolo a cura di: Redazione - Studio Legale Calvello

Quando arriva una segnalazione whistleblowing, il problema per l’azienda non consiste soltanto nel capire se quanto denunciato sia vero. Occorre stabilire subito se la comunicazione rientri nell’ambito del D.Lgs. 24/2023, chi sia legittimato a trattarla, quali verifiche possano essere svolte, quali dati possano essere utilizzati e come preservare la riservatezza delle persone coinvolte. Una gestione improvvisata può creare un secondo problema accanto a quello segnalato: violazioni della riservatezza, trattamenti di dati non corretti, contestazioni sulla procedura, possibili condotte ritorsive o perdita di elementi utili all’istruttoria.

Per questo il whistleblowing aziendale deve essere organizzato prima che arrivi la prima segnalazione e, quando il caso concreto si presenta, la procedura deve essere applicata con metodo ma senza automatismi. Noi consideriamo il canale, il gestore e la piattaforma soltanto una parte del sistema: ciò che conta davvero è la capacità dell’impresa di trasformare una segnalazione in un procedimento interno tracciabile, riservato e coerente con la normativa, mantenendo distinti il ruolo di chi riceve la comunicazione, le verifiche necessarie e le eventuali decisioni aziendali successive.

Gestire una segnalazione whistleblowing significa prima di tutto capire che cosa è arrivato in azienda

Il primo errore è trattare allo stesso modo qualsiasi comunicazione che venga qualificata dal mittente come “whistleblowing”. Il D.Lgs. 24/2023 delimita il proprio ambito di applicazione e non trasforma automaticamente ogni lamentela, conflitto con un superiore o contestazione relativa al rapporto individuale di lavoro in una segnalazione protetta. Prima di avviare l’istruttoria occorre quindi qualificare il contenuto ricevuto, verificare il contesto nel quale le informazioni sono state acquisite e individuare la disciplina applicabile. È una valutazione che incide sull’intero percorso successivo.

Questo passaggio deve essere compiuto senza anticipare il giudizio sulla fondatezza dei fatti. Una segnalazione può apparire poco precisa e richiedere approfondimenti; può contenere elementi rilevanti insieme a questioni personali estranee al perimetro del whistleblowing; può riguardare soggetti che occupano posizioni sensibili nell’organizzazione. Anche una segnalazione anonima deve essere esaminata secondo le regole applicabili e le circostanze concrete, evitando sia di ignorarla automaticamente sia di attribuirle un valore probatorio che ancora non possiede.

Quando la comunicazione è ricevuta attraverso il canale interno, il gestore deve operare con autonomia e con personale specificamente formato. La disciplina impone, tra gli altri adempimenti, l’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione, il mantenimento delle interlocuzioni con il segnalante quando necessarie, il diligente seguito della segnalazione e il riscontro entro il termine previsto dalla legge. Proprio perché i tempi iniziano a decorrere rapidamente, è utile che l’impresa abbia già stabilito ruoli, sostituzioni, modalità di escalation e procedure da applicare quando il caso presenta un conflitto di interessi. Per l’azienda che ha appena ricevuto una comunicazione, abbiamo approfondito separatamente cosa fare subito dopo una segnalazione whistleblowing e le tempistiche previste per la sua gestione.

Un aspetto spesso sottovalutato emerge quando la segnalazione riguarda proprio chi normalmente dovrebbe riceverla o gestirla, oppure un componente del management capace di interferire con l’istruttoria. In questi casi seguire formalmente la procedura senza verificare l’effettiva indipendenza del percorso può essere insufficiente. L’organizzazione deve avere una soluzione per i conflitti di interessi e impedire che le informazioni siano messe a disposizione di persone non autorizzate. Il problema diventa particolarmente delicato quando la segnalazione riguarda il management e occorre individuare chi possa intervenire.

Dalla ricezione all’istruttoria: come organizzare la gestione senza compromettere riservatezza e verifiche

Una volta qualificata la segnalazione, occorre passare dall’ascolto alla verifica. Il gestore deve dare diligente seguito alla comunicazione e può chiedere integrazioni al segnalante quando gli elementi disponibili non consentono di comprendere adeguatamente i fatti. Questo non significa trasformare ogni segnalazione in una complessa investigazione interna. L’ampiezza degli accertamenti dipende dal contenuto della denuncia, dalla sua specificità, dalle persone coinvolte, dalla disponibilità di documenti e dalla natura dell’illecito prospettato.

L’istruttoria deve essere costruita evitando due estremi. Da un lato, archiviare troppo rapidamente una segnalazione perché incompleta può impedire di verificare fatti realmente rilevanti. Dall’altro, avviare controlli indiscriminati su email, dispositivi, documenti e attività dei dipendenti può generare problemi ulteriori sul piano della protezione dei dati e, a seconda delle modalità utilizzate, della disciplina dei controlli nel rapporto di lavoro. La raccolta degli elementi deve quindi essere proporzionata allo scopo dell’accertamento e rispettare le regole applicabili alle diverse fonti informative.

Il whistleblowing comporta infatti un trattamento di dati personali particolarmente delicato. Nella stessa pratica possono essere presenti l’identità del segnalante, informazioni sul soggetto segnalato, dati di testimoni o colleghi, documentazione aziendale e, in alcuni casi, categorie particolari di dati o informazioni relative a condotte potenzialmente illecite. Il D.Lgs. 24/2023 coordina espressamente la gestione delle segnalazioni con la disciplina sulla protezione dei dati personali: l’impresa deve quindi considerare il GDPR nella configurazione del canale, nell’individuazione dei soggetti autorizzati, nei rapporti con eventuali fornitori e nella conservazione della documentazione.

La riservatezza del segnalante non coincide con una generica raccomandazione a “non divulgare” la segnalazione. L’identità della persona segnalante e le informazioni dalle quali essa possa essere ricavata, direttamente o indirettamente, sono sottoposte a una specifica tutela. Di conseguenza, anche la circolazione interna delle informazioni deve essere governata secondo un criterio di effettiva necessità. Non è corretto inoltrare integralmente la segnalazione a dirigenti, HR, amministratori o responsabili di funzione soltanto perché potrebbero avere competenze sulla materia denunciata. Prima occorre stabilire quali informazioni siano realmente necessarie per compiere l’accertamento e chi debba conoscerle.

La stessa cautela vale per la persona segnalata. Tutelare il whistleblower non significa assumere come provati i fatti descritti nella segnalazione. L’azienda deve mantenere distinta la fase di verifica dall’eventuale fase disciplinare, organizzativa o giudiziaria successiva e deve evitare decisioni fondate sulla sola esistenza della denuncia. Quando emergono elementi sufficienti per ulteriori iniziative, occorre valutare quali garanzie e quali regole trovino applicazione nel procedimento che si intende intraprendere.

Una gestione corretta richiede infine documentazione. Devono poter essere ricostruiti, nei limiti consentiti dalla normativa, la ricezione della segnalazione, gli adempimenti effettuati, le interlocuzioni necessarie, le attività istruttorie e le ragioni dell’esito adottato. La tracciabilità serve anche a evitare che, a distanza di mesi, l’impresa non sia più in grado di spiegare perché una determinata verifica sia stata compiuta, perché alcune persone abbiano avuto accesso alle informazioni o perché la segnalazione sia stata archiviata. Nelle organizzazioni che non dispongono di una funzione compliance o di un ufficio legale strutturato, la gestione del whistleblowing nelle PMI richiede proprio di costruire un assetto sostenibile senza rinunciare alle garanzie previste dalla disciplina.

Obblighi, responsabilità e rischi: dove si concentra l’esposizione dell’azienda

La gestione della segnalazione non può essere separata dall’organizzazione complessiva del sistema whistleblowing. Per i soggetti ai quali si applica il D.Lgs. 24/2023, il canale interno deve assicurare la riservatezza dell’identità del segnalante, della persona coinvolta, delle persone comunque menzionate e del contenuto della segnalazione e della relativa documentazione. La gestione deve essere affidata a una persona o a un ufficio interno autonomo e specificamente formato oppure a un soggetto esterno, anch’esso autonomo e dotato delle competenze necessarie. Per molte imprese, soprattutto quando la struttura interna non consente una sufficiente separazione dei ruoli, può quindi essere opportuno valutare un gestore esterno delle segnalazioni whistleblowing.

L’autonomia del gestore assume rilievo concreto quando una segnalazione coinvolge amministratori, dirigenti, responsabili HR o altre figure che normalmente partecipano ai processi decisionali dell’impresa. La procedura dovrebbe prevedere in anticipo che cosa accade in presenza di un conflitto di interessi, senza dover costruire una soluzione quando la segnalazione è già arrivata. Lo stesso problema può presentarsi quando la segnalazione riguarda direttamente il titolare dell’azienda: mantenere il normale flusso informativo potrebbe compromettere proprio quella autonomia e quella riservatezza che il sistema deve preservare.

Un altro punto delicato riguarda il rapporto tra whistleblowing e GDPR. Il D.Lgs. 24/2023 richiede che i trattamenti di dati personali effettuati nella gestione delle segnalazioni siano svolti nel rispetto della normativa sulla protezione dei dati e prevede che i dati manifestamente non utili alla trattazione di una specifica segnalazione non siano raccolti o, se acquisiti accidentalmente, siano cancellati senza indugio. L’azienda deve quindi verificare chi tratta i dati, con quali autorizzazioni, attraverso quali strumenti e per quanto tempo. Se il canale utilizza una piattaforma fornita da un soggetto esterno, occorre anche qualificare correttamente il rapporto privacy e disciplinare, quando ne ricorrono i presupposti, il trattamento ai sensi dell’art. 28 GDPR.

Anche la conservazione non può essere indefinita. Le segnalazioni e la relativa documentazione devono essere mantenute per il tempo necessario alla loro trattazione e comunque non oltre il limite previsto dal D.Lgs. 24/2023, pari a cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e dei principi del GDPR. Questo impone all’impresa di coordinare la procedura whistleblowing con le proprie regole sulla conservazione dei dati, evitando archivi paralleli, copie incontrollate nelle caselle email o documentazione istruttoria accessibile a persone che non devono più utilizzarla.

Particolare attenzione richiedono poi le decisioni assunte nei confronti del segnalante. La normativa vieta le ritorsioni e contempla una nozione ampia di comportamenti potenzialmente rilevanti. Un licenziamento, un demansionamento, un trasferimento, una modifica delle mansioni o un altro provvedimento sfavorevole adottato dopo la segnalazione non è automaticamente illecito per il solo fatto di essere successivo nel tempo, ma l’azienda deve essere in grado di distinguere le proprie legittime decisioni organizzative o disciplinari da condotte determinate dalla segnalazione. Per questo la gestione del whistleblowing deve rimanere coordinata con HR e con gli organi aziendali competenti senza consentire una circolazione indiscriminata delle informazioni riservate.

I rischi non riguardano soltanto le ritorsioni. Il D.Lgs. 24/2023 attribuisce ad ANAC poteri sanzionatori in presenza delle violazioni previste dalla disciplina, tra cui quelle relative all’istituzione dei canali, alle procedure per effettuare e gestire le segnalazioni e alle attività di verifica e analisi. L’obiettivo dell’impresa non dovrebbe quindi essere la mera predisposizione formale di una piattaforma, ma la costruzione di una procedura concretamente utilizzabile. Un canale tecnicamente funzionante non risolve, da solo, il problema di chi debba prendere in carico la segnalazione, come debba condurre l’istruttoria e quali informazioni possano essere trasferite agli organi chiamati ad assumere eventuali decisioni.

La complessità aumenta quando arrivano contemporaneamente più comunicazioni, quando una stessa vicenda genera segnalazioni differenti o quando le accuse coinvolgono più funzioni aziendali. In queste situazioni occorre evitare duplicazioni istruttorie e accessi non necessari ai dati, mantenendo al tempo stesso distinta la posizione dei diversi segnalanti. Abbiamo esaminato specificamente i rischi della gestione contemporanea di più segnalazioni whistleblowing, perché una procedura adeguata deve funzionare anche quando il caso reale è più complesso del singolo flusso previsto sulla carta.

Un caso pratico: la segnalazione contro un dirigente e la necessità di separare gestione, verifica e decisione

Consideriamo il caso realistico e anonimizzato di una società nella quale il canale interno riceve una segnalazione relativa alla condotta di un dirigente. La comunicazione contiene accuse circostanziate, riferimenti a documenti aziendali e informazioni riguardanti altri dipendenti. Il problema iniziale non consiste soltanto nel verificare le accuse: alcune delle persone che, secondo l’organizzazione ordinaria dell’impresa, dovrebbero essere coinvolte negli approfondimenti lavorano direttamente con il dirigente segnalato e dispongono di accesso a una parte della documentazione interessata.

In una situazione di questo tipo l’attività professionale deve partire dalla verifica della procedura esistente, dei soggetti autorizzati a conoscere la segnalazione e delle modalità con cui possono essere acquisiti gli elementi necessari all’istruttoria. L’aspetto che richiede maggiore attenzione è la separazione tra chi gestisce la segnalazione, chi può fornire informazioni utili agli accertamenti e chi sarà eventualmente chiamato ad assumere decisioni sulla base dei fatti verificati. La vicenda può così essere trattata limitando la circolazione delle informazioni, documentando le attività compiute e valutando progressivamente gli approfondimenti necessari, senza considerare le accuse già dimostrate e senza coinvolgere indiscriminatamente l’intera struttura aziendale. È proprio in casi di questo tipo che una gestione esterna del whistleblowing può essere valutata dall’impresa come soluzione organizzativa per mantenere maggiore separazione rispetto alle funzioni direttamente interessate dalla segnalazione.

Domande frequenti sulla gestione delle segnalazioni whistleblowing

Il gestore può archiviare una segnalazione che appare infondata?

Sì, quando al termine delle verifiche consentite non emergono elementi che giustifichino ulteriori approfondimenti oppure quando ricorrono i presupposti previsti dalla procedura applicabile. L’archiviazione non dovrebbe però dipendere da una valutazione sommaria o dalla semplice convinzione che il segnalante non sia attendibile. È opportuno che risultino documentati gli accertamenti effettuati e le ragioni dell’esito. Quando la segnalazione appare strumentale o manifestamente infondata, occorre inoltre evitare di confondere la sua infondatezza con la prova automatica di un comportamento illecito del segnalante.

Chi deve conoscere il contenuto della segnalazione all’interno dell’azienda?

Non esiste una regola secondo cui amministratori, HR, compliance o responsabili delle funzioni interessate debbano ricevere automaticamente l’intero contenuto della segnalazione. La circolazione delle informazioni deve essere limitata in funzione delle attività effettivamente necessarie, preservando la riservatezza tutelata dal D.Lgs. 24/2023 e rispettando la disciplina sul trattamento dei dati personali. Il coinvolgimento di altre funzioni deve quindi essere valutato rispetto al caso concreto e alla fase dell’istruttoria.

Cosa succede se la segnalazione arriva tramite email o a un soggetto diverso dal gestore?

La ricezione attraverso un percorso diverso dal canale predisposto non autorizza l’azienda a ignorare automaticamente la comunicazione. Occorre verificare contenuto, modalità di ricezione e disciplina applicabile, preservando immediatamente la riservatezza delle informazioni. Il D.Lgs. 24/2023 disciplina anche l’ipotesi della segnalazione interna presentata a un soggetto diverso da quello competente, quando il segnalante dichiari espressamente che si tratta di whistleblowing o tale intenzione sia desumibile dalla comunicazione. Abbiamo esaminato separatamente come gestire le segnalazioni ricevute fuori dai canali ufficiali.

È possibile affidare a un professionista esterno la gestione delle segnalazioni?

Sì. Il D.Lgs. 24/2023 consente di affidare la gestione del canale a un soggetto esterno autonomo e con personale specificamente formato. L’esternalizzazione non dovrebbe però ridursi alla disponibilità di una piattaforma informatica: occorre definire concretamente chi riceve le segnalazioni, chi conduce gli approfondimenti, come vengono gestiti i conflitti di interessi, quali informazioni vengono restituite all’azienda e come sono disciplinati riservatezza e trattamento dei dati personali.

Una segnalazione whistleblowing può portare a un procedimento disciplinare?

La segnalazione può far emergere fatti che, dopo adeguata verifica, assumono rilievo disciplinare, ma non dovrebbe essere trattata come prova definitiva della responsabilità della persona segnalata. L’eventuale procedimento successivo deve rispettare le regole che gli sono proprie e deve essere coordinato con gli obblighi di riservatezza derivanti dal whistleblowing. È quindi necessario distinguere l’istruttoria sulla segnalazione dalla successiva decisione dell’azienda su eventuali iniziative disciplinari, organizzative o giudiziarie.

Assistenza alle aziende nella gestione del whistleblowing e delle segnalazioni interne

Quando un’azienda riceve una segnalazione, deve prendere decisioni che possono coinvolgere contemporaneamente il D.Lgs. 24/2023, la protezione dei dati personali, i rapporti di lavoro, le procedure interne e, quando presente, il modello organizzativo 231. La soluzione deve essere costruita sulla struttura dell’impresa, sul contenuto della segnalazione e sui soggetti coinvolti, soprattutto quando emergono conflitti di interessi o sono necessari accertamenti interni.

Lo Studio Legale Calvello assiste le imprese nell’organizzazione del sistema whistleblowing, nella valutazione delle procedure esistenti e nella gestione delle segnalazioni, anche attraverso soluzioni di gestione esterna. Se la vostra azienda deve predisporre o riorganizzare il canale interno, affidare a un soggetto esterno la gestione oppure affrontare una segnalazione già ricevuta, potete richiedere una valutazione sul whistleblowing aziendale e sulla gestione esterna delle segnalazioni. Esamineremo la situazione rappresentata per individuare gli obblighi applicabili e le modalità di intervento coerenti con il caso concreto.