Comunicato ai sensi e per gli effetti del D.Lgs. n. 24/2023 in materia di tutela dei segnalanti violazioni di disposizioni normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità dell’Ente.
In ottemperanza alle prescrizioni della nuova disciplina in materia di tutela dei segnalanti (Whistleblowing), in data 04/12/2023, con propria delibera, il Consiglio di Amministrazione ha approvato la procedura per la ricezione e gestione delle segnalazioni.
Tutte le persone che la norma indica come suscettibili di protezione da eventuali atti ritorsivi, qualora intendano inoltrare una segnalazione, hanno a disposizione i seguenti canali interni di segnalazione:
• PEC all’indirizzo https://whistleblowing.dataservices.it/NOXORSOKEM
• posta ordinaria all’indirizzo
NOXORSOKEM GROUP srl
via Udine 46 – SS 13
33080 Cusano di Zoppola – PN
Si precisa, altresì, che è facoltà del segnalante chiedere al Gestore delle segnalazioni un incontro diretto e personale per rappresentare la propria segnalazione.
Se la segnalazione è effettuata in forma scritta, è necessario che nell’oggetto o nel testo della medesima il segnalante indichi chiaramente che si tratta di una “segnalazione per la quale intende mantenere riservata la propria identità e beneficiare delle tutele previste in caso di ritorsioni subite a seguito della segnalazione”.
In assenza di tale chiara indicazione, la segnalazione potrebbe essere trattata come ordinaria e non come riservata, con la conseguenza che al segnalante potrebbero non essere riconosciute le tutele prescritte dalla norma.
Per la ricezione e gestione delle segnalazioni il Consiglio di Amministrazione ha designato Gianluca Pinna in qualità di legale rappresentante, e Alberto Bonomi in qualità di OdV.
Il Gestore delle segnalazioni è tenuto ad osservare quanto segue:
1) valutare l’ammissibilità della segnalazione in termini di sussistenza dei suoi requisiti essenziali
2) qualora la segnalazione non sia adeguatamente circostanziata, chiedere al segnalante ulteriori elementi ad integrazione
3) mantenere la massima riservatezza sull’identità del segnalante e sui contenuti della segnalazione
4) entro 7 (sette) giorni dalla ricezione, rilasciare al segnalante un avviso di ricevimento
5) mantenere un’interlocuzione con il segnalante
6) dare corretto seguito alla segnalazione ricevuta
7) fornire riscontro al segnalante
Oltre al presente comunicato, la Società rende disponibile sul proprio sito web un’informativa maggiormente articolata e scaricabile, per chiunque fosse interessato.
11/12/2023
Il Presidente CdA
PROCEDURA
Tutela degli autori di segnalazioni di violazioni di disposizioni normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità dell’ente, ai sensi del D.Lgs. n. 24/2023
1.0 Scopo
In ottemperanza alle prescrizioni di cui al D.Lgs. n. 24/2023 (di seguito anche solo “Decreto”), la presente procedura ha lo scopo di definire le modalità operative/attuative per la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’Ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato.
In specie, la procedura definisce le modalità di ricezione e gestione delle segnalazioni e costituisce atto organizzativo dell’Ente, che integra quanto già indicato e previsto nel Modello organizzativo 231 dal medesimo adottato, nonché sottoposto a specifica delibera del suo Organo Amministrativo.
2.0. Campo di applicazione della procedura
La presente procedura non trova applicazione nei seguenti casi:
a) Contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro, ovvero inerenti ai propri rapporti di lavoro con le figure gerarchicamente sovraordinate.
Pertanto, a titolo esemplificativo, restano escluse le segnalazioni riguardanti: vertenze di lavoro e fasi precontenziose; discriminazioni tra colleghi; conflitti interpersonali tra la persona segnalante e un altro lavoratore o con i superiori gerarchici; segnalazioni relative a trattamenti di dati effettuati nel contesto del rapporto individuale di lavoro in assenza di lesioni dell’interesse pubblico o dell’integrità dell’ente privato.
b) Segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al decreto (*) ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al decreto.
(*) In particolare, si tratta di: servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo. Sicurezza dei trasporti. Tutela dell’ambiente.
c) Segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea.
Il legislatore ha individuato alcune tipologie di illeciti da considerare, ne consegue che rilevano solo queste perché una segnalazione, una divulgazione pubblica o una denuncia possano essere valutate ai fini dell’applicabilità della disciplina.
Nella specie, sono oggetto di segnalazione, divulgazione pubblica o denuncia le informazioni sulle violazioni, compresi i fondati sospetti, di normative nazionali e dell’UE che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato commesse nell’ambito dell’organizzazione dell’ente con cui il segnalante o denunciante intrattiene uno di rapporti giuridici qualificati considerati dal legislatore.
Le informazioni sulle violazioni possono riguardare anche le violazioni non ancora commesse che il whistleblower, ragionevolmente, ritiene potrebbero esserlo sulla base di elementi concreti. Tali elementi possono essere anche irregolarità e anomalie (indici sintomatici) che il segnalante ritiene possano dar luogo ad una delle violazioni previste dal Decreto.
3.0. Riferimenti
• Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione.
• D.Lgs. n. 24/2023 di “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.
• Art. 6, comma 2-bis, D. Lgs. n. 231/2001 – “Disciplina della responsabilità delle persone giuridiche, delle società, delle associazioni anche prive di personalità giuridica” -, come modificato dall’art. 24, comma 5, D.Lgs. n. 24/2023.
• D. Lgs. n. 196/2003 – “Codice in materia di protezione dei dati personali” – e s.m.i..
• Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 26 aprile 2016, in materia di protezione dei dati personali.
• Linee guida ANAC “in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” (ANAC, Delibera n. 311 del 12 luglio 2023).
4.0. Definizioni
4.1. Violazioni
Comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in:
– illeciti amministrativi, contabili, civili o penali;
– condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231, o violazioni dei modelli di organizzazione e gestione ivi previsti;
– illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati nell’allegato al decreto ovvero degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nell’allegato al decreto, relativi ai seguenti settori:
1) appalti pubblici;
2) servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo;
3) sicurezza e conformità dei prodotti;
4) sicurezza dei trasporti;
5) tutela dell’ambiente;
6) radioprotezione e sicurezza nucleare;
7) sicurezza degli alimenti e dei mangimi e salute e benessere degli animali;
8) salute pubblica;
9) protezione dei consumatori;
10) tutela della vita privata e protezione dei dati personali;
11) sicurezza delle reti e dei sistemi informativi.
– atti od omissioni che ledono gli interessi finanziari dell’UE (art. 325 TFUE) specificati nei regolamenti, direttive, decisioni, raccomandazioni e pareri dell’UE (Lotta contro la frode): frodi, corruzione e qualsiasi attività illegale connessa alle spese dell’Unione;
– atti od omissioni riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (art. 26, paragrafo 2, TFUE), comprese le violazioni delle norme dell’Unione europea in materia di concorrenza e di aiuti di Stato, di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società.
4.2. Informazioni sulle violazioni
Informazioni sulle violazioni, compresi i fondati sospetti, di normative nazionali e dell’UE che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato commesse nell’ambito dell’organizzazione dell’ente con cui il segnalante o denunciante intrattiene uno di rapporti giuridici qualificati considerati dal legislatore.
Le informazioni sulle violazioni possono riguardare anche le violazioni non ancora commesse che il whistleblower, ragionevolmente, ritiene potrebbero esserlo sulla base di elementi concreti.
Tali elementi possono essere anche irregolarità e anomalie (indici sintomatici) che il segnalante ritiene possano dar luogo ad una delle violazioni previste dal decreto. Il legislatore ha tipizzato le fattispecie di violazioni.
Non sono ricomprese tra le informazioni sulle violazioni segnalabili o denunciabili le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sola base di indiscrezioni o vociferazioni scarsamente attendibili (c.d. voci di corridoio).
4.3. Irregolarità
Non sono più incluse tra le violazioni del diritto nazionale ma possono costituire “elementi concreti” (indici sintomatici), tali da far ritenere al segnalante che potrebbe essere commessa una delle violazioni previste dal Decreto.
4.4. Segnalazione o Segnalare
Comunicazione scritta od orale di informazioni sulle violazioni, di cui si è venuti a conoscenza nell’ambito di un contesto lavorativo, all’interno del quale deve sussistere una relazione qualificata tra segnalante ed ente.
4.4.1. Segnalazione interna
Comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione interna.
4.4.2. Segnalazione esterna
Comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione esterna (ANAC) o anche denuncia all’autorità giudiziaria o contabile.
4.4.3. Divulgazione pubblica o Divulgare pubblicamente
Rendere di pubblico dominio informazioni sulle violazioni tramite la stampa o mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone (es.: social network).
4.5. Persona segnalante (whistleblower)
Persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo.
4.6. Contesto lavorativo
Attività lavorative o professionali, presenti o passate, svolte nell’ambito di un rapporto giuridico, in ragione delle quali, indipendentemente dalla natura di tali attività, una persona acquisisce informazioni sulle violazioni e nel cui ambito potrebbe rischiare di subire ritorsioni in caso di segnalazione, divulgazione pubblica o denuncia all’autorità giudiziaria o contabile.
Alla locuzione “contesto lavorativo” va attribuita un’accezione ampia e da considerare non solo con riferimento ad un rapporto di lavoro in “senso stretto” con l’organizzazione; ossia, vanno considerati anche coloro che hanno instaurato con il soggetto privato altri tipi di rapporti giuridici.
In altri termini, rileva la sussistenza di una relazione qualificata tra il segnalante e il soggetto privato presso il quale opera, relazione attinente ad attività lavorative o professionali presenti ma anche passate.
4.7. Persona coinvolta
Persona fisica o giuridica menzionata nella segnalazione interna o esterna ovvero nella divulgazione pubblica come persona alla quale la violazione è attribuita o come persona comunque implicata nella violazione segnalata o divulgata pubblicamente.
4.8. Ritorsione
Qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto.
A titolo esemplificativo e non esaustivo sono considerate ritorsioni:
a) licenziamento, sospensione o misure equivalenti;
b) retrocessione di grado o mancata promozione;
c) mutamento di funzioni, cambiamento del luogo di lavoro, riduzione dello stipendio, modifica dell’orario di lavoro;
d) sospensione della formazione o qualsiasi restrizione dell’accesso alla stessa;
e) note di demerito o referenze negative;
f) adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
g) coercizione, intimidazione, molestie o ostracismo;
h) discriminazione o comunque trattamento sfavorevole;
i) mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
j) mancato rinnovo o risoluzione anticipata di un contratto di lavoro a termine;
k) danni, anche alla reputazione della persona, in particolare sui social media, o pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
l) inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro;
m) conclusione anticipata o annullamento del contratto di fornitura di beni o servizi;
n) annullamento di una licenza o di un permesso;
o) richiesta di sottoposizione ad accertamenti psichiatrici o medici.
Possono inoltre costituire ritorsioni, ad esempio, anche:
• la pretesa di risultati impossibili da raggiungere nei modi e nei tempi indicati;
• una valutazione della prestazione artatamente negativa;
• la revoca ingiustificata di incarichi;
• un ingiustificato mancato conferimento di incarichi con contestuale attribuzione ad altro soggetto;
• il reiterato rigetto di richieste (ad es. ferie, congedi);
• la sospensione ingiustificata di brevetti, licenze, etc.
4.9. Seguito
Azione intrapresa dal soggetto cui è affidata la gestione del canale di segnalazione per valutare la sussistenza dei fatti segnalati, l’esito delle indagini e le eventuali misure adottate.
4.10. Riscontro
Comunicazione alla persona segnalante di informazioni relative al seguito che viene dato o che si intende dare alla segnalazione.
4.11. Soggetti del settore pubblico
Amministrazioni pubbliche di cui all’articolo 1, co. 2, del D.Lgs. n. 165/2001, inclusi gli enti non economici nazionali, regionali e locali; le autorità amministrative indipendenti di garanzia, vigilanza o regolazione; gli enti pubblici economici; gli organismi di diritto pubblico, come indicati nell’art. 1, lett. e) dell’Allegato I.1 di cui al D.Lgs. n. 36/2023 (Nuovo Codice dei contratti pubblici); i concessionari di pubblico servizio; gli enti di diritto privato in controllo pubblico ai sensi dell’art. 2359 c.c.; le società a controllo pubblico e le società in house.
4.12. Soggetti del settore privato
Soggetti, diversi da quelli rientranti nella definizione di soggetti del settore pubblico, i quali:
1) hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
2) rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato 1 al Decreto, anche se nell’ultimo anno non hanno raggiunto la media di lavoratori subordinati di cui al numero 1) (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza dei trasporti; tutela dell’ambiente);
3) rientrano nell’ambito di applicazione del d.lgs. n. 231/2001, e adottano i modelli di organizzazione e gestione ivi previsti, se nell’ultimo anno hanno raggiunto la media di almeno cinquanta lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato;
4) rientrano nell’ambito di applicazione del d.lgs. n. 231/2001 e adottano i modelli di organizzazione e gestione ivi previsti, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato.
Il primo anno da considerare è quello precedente all’entrata in vigore del Decreto. Inoltre, ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati INPS) al 31/12 dell’anno solare precedente a quello in corso, contenuto nelle visure camerali. Quando l’impresa è di nuova costituzione, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura.
5.0. Persone e altri soggetti cui è applicabile la tutela
La tutela da possibili ritorsioni in seguito all’inoltro di segnalazioni si applica alle seguenti persone:
a) Lavoratori subordinati, inclusi i lavoratori con rapporti di lavoro a tempo parziale, intermittente, tempo determinato, somministrazione, apprendistato, lavoro accessorio, o che svolgono prestazioni occasionali.
b) Lavoratori autonomi, indicati al Capo I della L. n. 81/2017 (Tutela del lavoro autonomo), inclusi i lavoratori con contratti d’opera di cui all’art. 2222 del c.c.
I titolari di un rapporto di collaborazione di cui all’art. 409 del c.p.c.: rapporti di agenzia, di rappresentanza commerciale ed altri rapporti di collaborazione che si concretino in una prestazione di opera continuativa e coordinata, prevalentemente personale, anche se non a carattere subordinato; lavoratori che prestano la loro attività lavorativa per un soggetto del settore privato organizzandola autonomamente (rapporto parasubordinato).
I titolari di un rapporto di collaborazione di cui all’art. 2 del D.Lgs. n. 81/2015: collaborazioni organizzate dal committente che si concretino in prestazioni di lavoro esclusivamente personali e continuative, le cui modalità di esecuzione siano organizzate dal committente. Anche se le modalità di esecuzione delle prestazioni sono realizzate mediante piattaforme digitali.
c) Liberi professionisti e consulenti, che prestano la propria attività presso l’Ente privato e che potrebbero trovarsi in una posizione privilegiata per segnalare le violazioni di cui sono testimoni.
d) Volontari e tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso l’Ente privato e che rischiano, comunque, di subire ritorsioni per aver segnalato violazioni. Le ritorsioni nei confronti di questi soggetti potrebbero concretizzarsi, per esempio, nel non avvalersi più dei loro servizi, nel dare loro referenze di lavoro negative, nel danneggiarne in altro modo la reputazione o le prospettive di carriera.
e) Azionisti, persone fisiche che detengono azioni in uno dei soggetti del settore privato, ove questi ultimi assumano veste societaria. Si tratta di coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella società.
f) Persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche se le funzioni sono esercitate in via di mero fatto. Soggetti collegati in senso ampio all’organizzazione nella quale la violazione si verifica e nella quale esercitano alcune funzioni, anche in assenza di una regolare attribuzione (esercizio di fatto di funzioni), esempio: componenti dei consigli di amministrazione, anche senza incarichi esecutivi.
g) Facilitatori, persone fisiche che assistono il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata. Qualora si tratti di “sindacalista” che assiste il segnalante spendendo la sigla sindacale, il medesimo non riveste il ruolo di facilitatore. In tale ipotesi si applicano le disposizioni in materia di consultazioni dei rappresentanti sindacali e di repressione delle condotte antisindacali di cui alla L. n. 300/1970 (Statuto dei lavoratori).
h) Persone del medesimo contesto lavorativo, del segnalante, denunciante o di chi effettua una divulgazione pubblica, legate a questi da uno stabile legame affettivo o di parentela entro il quarto grado. Il riferimento è alle persone legate da una rete di relazioni originate in ragione del fatto che operano o hanno operato anche in passato nello stesso ambiente di lavoro.
Per quanto riguarda l’interpretazione di “stabile legame affettivo” occorre fare riferimento all’art. 1, co. 36, della L. n. 76/2016 (c.d. legge Cirinnà), secondo cui “due persone maggiorenni unite stabilmente da legami affettivi di coppia e di reciproca assistenza morale e materiale, non vincolate da rapporti di parentela, affinità o adozione, da matrimonio o da un’unione civile” configurano un rapporto di “conviventi di fatto”. Sul punto si è espressa più volte anche la giurisprudenza civile, precisando che perché vi sia convivenza è necessaria la presenza di una situazione interpersonale di natura affettiva con carattere di tendenziale stabilità, con un minimo di durata temporale e che si esplichi “in una comunanza di vita” e di interessi (cfr. ad esempio ordinanza Cass. civ., sez. III, 13 aprile 2018, n. 9178; Cass. sentenza 7128, 21 marzo 2013, Cass. civ. Sez. II, sentenza 21 marzo 2013, n. 7214; Cass. civ. Sez. I, sentenza 8 agosto 2003, n. 11975).
i) Colleghi di lavoro, del segnalante, denunciante o di chi effettua una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo e che hanno con dette persone un rapporto abituale e corrente. Diversamente dalla precedente categoria, deve trattarsi di persone che al momento della segnalazione lavorano nel presente con il segnalante.
j) Enti di proprietà, del segnalante, denunciante o di chi effettua una divulgazione pubblica o per i quali le stesse persone lavorano, nonché enti che operano nel medesimo contesto lavorativo delle predette persone. Gli atti ritorsivi o discriminatori potrebbero essere indirizzati nei confronti di persone giuridiche di cui il segnalante è: proprietario; per cui lavora; o a cui è altrimenti connesso nell’ambito di un contesto lavorativo. Esempi: annullamento della fornitura di beni e/o servizi; inserimento dell’ente in una black list; azioni di boicottaggio, ecc.
6.0. Estensione della tutela del segnalante, denunciante o di chi effettua una divulgazione pubblica
La protezione da eventuali ritorsioni è applicabile anche nelle seguenti situazioni:
1) quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali (es.: durante un colloquio di lavoro);
2) nel corso del periodo di prova;
3) successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto medesimo.
7.0. Elementi e caratteristiche della segnalazione
Al fine di consentirne la corretta gestione, è necessario che la segnalazione sia il più possibile circostanziata.
Pertanto, è necessario che siano chiare:
• le circostanze di tempo e luogo in cui si è verificato il fatto oggetto di segnalazione;
• la descrizione del medesimo fatto;
• le generalità o altri elementi che consentano l’identificazione del soggetto cui attribuire i fatti segnalati.
Inoltre, è utile allegare documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.
Laddove quanto segnalato non sia adeguatamente circostanziato, chi gestisce le segnalazioni può chiedere elementi integrativi al segnalante tramite il canale a ciò dedicato o anche di persona, qualora il segnalante abbia richiesto un incontro diretto.
8.0. Segnalazioni anonime e loro trattamento
Sono quelle dalle quali non è possibile stabilire l’identità del segnalante.
Qualora circostanziate, per l’ANAC sono equiparate alle segnalazioni ordinarie e, pertanto, considerate dalla medesima nei propri procedimenti di vigilanza “ordinari”.
Le segnalazioni anonime ricevute mediante canali interni vanno considerate alla stregua di quelle ordinarie, nonché trattate secondo i criteri fissati dall’organizzazione.
Dette segnalazioni, se ricevute tramite canale interno, vanno registrate e la relativa documentazione conservata per non oltre 5 anni decorrenti dalla data di ricezione delle stesse, al fine di poterle rintracciare qualora il segnalante comunichi all’ANAC di aver subito atti ritorsivi conseguenti alla segnalazione anonima.
9.0. Canale di segnalazione interna
L’Ente deve attivare e predisporre al proprio interno apposito canale di segnalazione. Detto canale deve consentire al segnalante di inoltrare le segnalazioni:
– in forma scritta, anche con modalità informatiche, indicando, comunque, quali strumenti sono stati adottati per garantire la riservatezza richiesta dalla norma;
– in forma orale, alternativamente, attraverso linee telefoniche, con sistemi di messaggistica vocale o incontro diretto (qualora il segnalante lo richieda).
L’Ente, con specifico atto organizzativo (es.: delibera del CdA o di organo equipollente), da considerare integrazione del MOG 231 adottato, definisce le procedure per la ricezione e la gestione delle segnalazioni, sentite le rappresentanze o le organizzazioni sindacali, per acquisire eventuali osservazioni. (Per quest’ultime, ai sensi dell’art. 51 D.Lgs. n. 81/2015, si tratta delle organizzazioni sindacali comparativamente più rappresentative sul piano nazionale, delle rappresentanze sindacali aziendali delle medesime ovvero dalla rappresentanza sindacale unitaria.)
Nell’atto organizzativo è opportuno che siano almeno indicati:
• il ruolo e i compiti dei soggetti che gestiscono le segnalazioni;
• le modalità e i termini di conservazione dei dati, appropriati e proporzionati in relazione alla procedura di segnalazione (la presente) e alle disposizioni di legge.
Ai fini della sua adeguatezza, il canale di segnalazione interna, nelle due forme scritta e orale, deve garantire la riservatezza di: persona segnalante; facilitatore; persona coinvolta o comunque persone menzionati nella segnalazione; contenuto della segnalazione e relativa documentazione.
La gestione delle segnalazioni può essere affidata, alternativamente:
• a persona interna all’ente;
• a ufficio dell’ente con personale appositamente dedicato, anche se non in via esclusiva;
• a soggetto esterno (es.: outsourcing).
In ogni caso, l’affidamento dell’incarico comporta la preliminare valutazione delle caratteristiche indispensabili per lo svolgimento dell’attività, nella specie:
• qualora si tratti di soggetto interno, questi deve essere autorizzato al trattamento dei dati personali da parte dell’ente, pertanto, essere destinatario di una specifica formazione in materia di privacy;
• se si tratta di soggetto esterno, è responsabile del trattamento dei dati in base a specifico accordo stipulato con l’ente.
In entrambe i casi, il soggetto designato deve:
• assicurare indipendenza e imparzialità;
• ricevere un’adeguata formazione professionale sulla disciplina delle segnalazioni.
La scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa dell’Ente, tenuto conto delle specifiche esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Fermo restando, ovviamente, il rispetto dei requisiti previsti dalla norma.
Qualora il gestore versi in un’ipotesi di conflitto di interessi rispetto ad una specifica segnalazione (perché, ad esempio, soggetto segnalato o segnalante), si ritiene che ricorra una delle condizioni per effettuare una segnalazione esterna ad ANAC, non potendo essere assicurato che alla segnalazione sia dato efficace seguito.
Se la segnalazione interna è presentata ad un soggetto diverso da quello individuato e autorizzato dall’Ente (es.: un superiore gerarchico), laddove il segnalante dichiari espressamente di voler beneficiare delle tutele in materia whistleblowing o tale volontà è desumibile dalla segnalazione, la medesima è considerata “segnalazione whistleblowing” e, entro 7 giorni dal suo ricevimento, deve essere trasmessa al soggetto interno competente, dando contestuale notizia della trasmissione alla persona segnalante.
Diversamente, se il segnalante non dichiara espressamente di voler beneficiare delle tutele, o detta volontà non è desumile dalla segnalazione, la stessa è considerata quale “segnalazione ordinaria”, come tale esclusa dai benefici previsti dalla norma.
10.0. Gestione del canale di segnalazione interna
Il gestore della segnalazione deve:
• entro 7 giorni dalla data di ricezione, rilasciare al segnalante un avviso di ricevimento;
• mantenere un’interlocuzione con il segnalante;
• dare corretto seguito alla segnalazione ricevuta;
• fornire riscontro al segnalante.
Ai fini del corretto seguito della segnalazione, rispettando tempistiche ragionevoli e riservatezza dei dati, è necessario valutare la sussistenza dei requisiti essenziali della segnalazione, per considerarne l’ammissibilità e, quindi, accordare al segnalante le protezioni previste.
Esemplificando:
• manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti;
• accertato contenuto generico della segnalazione, tale da non consentire la comprensione dei fatti ovvero segnalazione di illecito corredata da documentazione non appropriata o inconferente.
Se quanto segnalato non è adeguatamente circostanziato, il gestore della segnalazione può chiedere al segnalante ulteriori elementi ad integrazione, sempre attraverso il canale istituito.
Valutata l’ammissibilità della segnalazione come di whistleblowing, il gestore della segnalazione avvia l’istruttoria interna sui fatti o condotte segnalati per valutarne l’effettiva sussistenza.
Per lo svolgimento dell’istruttoria, il gestore della segnalazione può avviare un dialogo con il whistleblower, chiedendo allo stesso chiarimenti, documenti e informazioni ulteriori, sempre tramite il canale a ciò dedicato nelle piattaforme informatiche o anche di persona.
Se necessario, il gestore può anche acquisire atti e documenti da altri uffici dell’Ente, avvalersi del loro supporto, coinvolgere terze persone tramite audizioni e altre richieste, avendo sempre cura che non sia compromessa la tutela della riservatezza del segnalante e del segnalato.
Qualora, a seguito dell’attività svolta, siano ravvisati elementi di manifesta infondatezza della segnalazione, ne sarà disposta l’archiviazione con adeguata motivazione. Laddove, invece, si ravvisi la fondatezza della segnalazione è opportuno rivolgersi immediatamente agli organi preposti interni, ognuno secondo i propri ruoli e competenze.
Non spetta al gestore della segnalazione accertare responsabilità individuali, qualunque natura esse abbiano, né svolgere controlli di legittimità o di merito su atti e/o provvedimenti adottati dall’Ente, a pena di sconfinare nelle competenze di altri soggetti a ciò preposti all’interno di ogni ente ovvero della magistratura, qualora la segnalazione attenga alla possibile commissione di un reato.
All’esito della fase istruttoria, il gestore della segnalazione fornisce riscontro alla stessa, dando conto delle misure previste, adottate o da adottare per darle seguito e dei motivi della scelta operata.
Il riscontro può consistere:
– nella comunicazione di archiviazione della procedura per mancanza di prove sufficienti o altri motivi;
– nell’avvio di un’indagine interna e delle eventuali relative risultanze, nonché dei provvedimenti adottati per affrontare la questione sollevata;
– nel rinvio ad un’autorità competente per ulteriori indagini, nella misura in cui dette informazioni non pregiudichino l’indagine interna né ledano i diritti della persona coinvolta.
Vale precisare che il riscontro potrebbe anche essere meramente interlocutorio, giacché possono essere comunicate le informazioni relative a tutte le attività sopra descritte che si intende intraprendere e lo stato di avanzamento dell’istruttoria. In tale ultimo caso, terminata l’istruttoria, gli esiti dovranno comunque essere comunicati alla persona segnalante.
Il segnalante (whistleblower), entro 3 mesi dalla data dell’avviso di ricezione o, in assenza di tale avviso, entro 3 mesi dalla scadenza del termine di 7 giorni dalla presentazione della segnalazione, deve essere informato dell’esito della sua segnalazione.
A chi è interessato ad effettuare una segnalazione è necessario precisare che deve indicare chiaramente nell’oggetto della medesima che si tratta di una segnalazione per la quale intende mantenere riservata la propria identità e beneficiare delle tutele previste nel caso di eventuali ritorsioni subite in ragione della segnalazione. In assenza di tale chiara indicazione, la segnalazione potrebbe essere trattata come ordinaria.
Al riguardo, nel sito web dell’Ente è opportuno evidenziare quali sono le conseguenze in caso di segnalazione ordinaria e di whistleblowing.
Il gestore del canale di segnalazione deve mettere a disposizione informazioni sull’utilizzo del canale interno e di quello esterno, con particolare attenzione:
a) ai presupposti per effettuare le segnalazioni attraverso tali canali;
b) al/ai soggetto/i cui è affidata la gestione delle segnalazioni;
c) alle procedure da seguire.
Dette informazioni devono essere chiare ed accessibili anche alle persone che, pur non frequentando il luogo di lavoro, sono legittimate ad effettuare segnalazioni di whistleblowing.
In merito, le informazioni vanno esposte nei luoghi di lavoro in punti ben visibili e accessibili a tutti i possibili interessati, nonché poste in apposita sezione del sito web dell’Ente e, altresì, essere oggetto dei corsi di formazione su etica e integrità.
11.0. Canale di segnalazione esterna
È gestito direttamente dall’ANAC e per il suo utilizzo è necessario che ricorra almeno una delle seguenti condizioni:
a) il canale interno, pur essendo obbligatorio non è attivo o, anche se attivato, non è conforme a quanto previsto dal decreto con riferimento ai soggetti e alle modalità di presentazione delle segnalazioni interne che devono essere in grado di garantire la riservatezza dell’identità del segnalante e degli altri soggetti tutelati;
b) la persona segnalante ha già effettuato una segnalazione interna e la stessa non ha avuto seguito. Il riferimento è ai casi in cui il canale interno sia stato utilizzato ma il gestore del canale non ha intrapreso, entro i termini previsti, alcuna attività circa l’ammissibilità della segnalazione, la verifica della sussistenza dei fatti segnalati o la comunicazione dell’esito dell’istruttoria svolta. In merito, è sufficiente che anche solo una delle attività indicate (verifica ammissibilità, svolgimento istruttoria, comunicazione esiti) non sia stata effettuata per poter ritenere integrato il “mancato seguito” e, quindi, per poter accedere legittimamente al canale esterno;
c) la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;
d) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.
Anche le segnalazioni esterne possono essere effettuate in forma scritta tramite la piattaforma informatica oppure in forma orale attraverso linee telefoniche o sistemi di messaggistica vocale ovvero, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.
12.0. Divulgazione pubblica
Con questa modalità le informazioni sulle violazioni sono rese di pubblico dominio a mezzo stampa, mezzi elettronici o comunque attraverso mezzi di diffusione in grado di raggiungere un elevato numero di persone (es.: social network).
Il segnalante che effettua una divulgazione pubblica beneficia della protezione prevista dalla norma se, al momento della divulgazione pubblica, ricorre una delle seguenti condizioni:
a) a una segnalazione interna, cui l’ente non ha dato riscontro nei termini previsti (3 mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro 3 mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione), ha fatto seguito una segnalazione esterna ad ANAC che a sua volta non ha fornito riscontro al segnalante entro termini ragionevoli (3 mesi o, se ricorrono giustificate e motivate ragioni, 6 mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei sette giorni dal ricevimento);
b) la persona ha già effettuato direttamente una segnalazione esterna ad ANAC la quale, tuttavia, non ha dato riscontro al segnalante in merito alle misure previste o adottate per dare seguito alla segnalazione entro termini ragionevoli (3 mesi o, se ricorrono giustificate e motivate ragioni, 6 mesi dalla data di avviso di ricevimento della segnalazione esterna o, in mancanza di detto avviso, dalla scadenza dei 7 giorni dal ricevimento);
c) la persona effettua direttamente una divulgazione pubblica perché ha fondato motivo di ritenere, ragionevolmente, sulla base di circostanze concrete allegate ed informazioni effettivamente acquisibili, ossia non su semplici illazioni, che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse. Si pensi, per esempio, a una situazione di emergenza o al rischio di danno irreversibile, anche all’incolumità fisica di una o più persone, che richiedono che la violazione sia svelata prontamente e abbia un’ampia risonanza per impedirne gli effetti;
d) la persona effettua direttamente una divulgazione pubblica poiché ha fondati motivi di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni oppure possa non avere efficace seguito perché, ad esempio, teme che possano essere occultate o distrutte prove o, ancora, chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa. Si consideri, a titolo esemplificativo, il caso in cui chi riceve la segnalazione di una violazione, accordandosi con la persona coinvolta nella violazione stessa, proceda ad archiviare detta segnalazione in assenza dei presupposti.
Nella divulgazione pubblica, ove il soggetto riveli volontariamente la propria identità, non rileva la tutela della riservatezza, ferme restando tutte le altre forme di protezione previste dal Decreto per il whistleblower.
13.0. Divieto di rinunce e transazioni
Non sono validi gli atti di rinuncia e le transazioni, sia integrali che parziali (es.: in virtù di accordi o altre condizioni contrattuali) aventi ad oggetto il diritto di effettuare segnalazioni, divulgazioni pubbliche o denunce nel rispetto delle previsioni normative.
Analogamente, non è consentito imporre al whistleblower, così come agli altri soggetti tutelati, di privarsi della possibilità di accedere a mezzi di tutela cui hanno diritto: della riservatezza; da eventuali misure ritorsive subite a causa della segnalazione, divulgazione pubblica o denuncia effettuata; alle limitazioni di responsabilità conseguenti alla segnalazione, divulgazione o denuncia al ricorrere delle condizioni previste. Dette tutele non possono costituire oggetto di rinuncia volontaria.
Il segnalante e gli altri soggetti considerati dalla disciplina non devono trovarsi esposti al rischio di dismettere alcuni diritti – in costanza del rapporto di lavoro o anche prima dell’instaurazione dello stesso o successivamente allo scioglimento del rapporto – con il solo scopo di salvaguardare o ottenere l’occupazione, in assenza di una piena consapevolezza circa le norme di legge e i propri diritti o per via di una situazione di squilibrio o “timore”, anche sotto il profilo di eventuali ritorsioni.
Tuttavia, quanto sopra non vale qualora rinunce e transazioni siano sottoscritte in sedi protette (giudiziarie, amministrative sindacali): il segnalante e gli altri soggetti tutelati possono validamente rinunciare ai propri diritti e mezzi di tutela o farne oggetto di transazione, se ciò avviene nelle sedi protette indicate all’art. 2113 c.c. La circostanza che detti atti siano conclusi dinanzi a organismi che, per la loro composizione, assicurano autorevolezza e imparzialità, consente di considerare maggiormente tutelata la posizione del soggetto che rinunzia o transige, anche in termini di maggiore genuinità e spontaneità del consenso.
14.0. Tutela della riservatezza
Nel rispetto dei principi fondamentali in materia di protezione dei dati personali, quali limitazione delle finalità e minimizzazione dei dati, è espressamente sancito che le segnalazioni non possano essere utilizzate oltre quanto necessario per dare alle stesse adeguato seguito.
L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate senza il consenso espresso della stessa persona segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni.
Nell’ambito del procedimento penale, l’identità del segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 c.p.p.
Disposizione che prevede l’obbligo del segreto sugli atti compiuti nelle indagini preliminari “fino a quando l’imputato non ne possa avere conoscenza e, comunque, non oltre la chiusura delle indagini preliminari”.
Nell’ambito del procedimento dinanzi alla Corte dei conti, l’identità della persona segnalante non può essere rivelata fino alla chiusura della fase istruttoria.
Nell’ambito del procedimento disciplinare, l’identità della persona segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.
In due casi espressamente previsti dal decreto, per rivelare l’identità del segnalante, oltre al consenso espresso dello stesso, si richiede anche una comunicazione scritta delle ragioni di tale rivelazione:
• nel procedimento disciplinare laddove il disvelamento dell’identità del segnalante sia indispensabile per la difesa del soggetto a cui viene contestato l’addebito disciplinare;
• nei procedimenti instaurati in seguito a segnalazioni interne o esterne laddove tale rivelazione sia indispensabile anche ai fini della difesa della persona coinvolta.
La tutela dell’identità deve essere garantita anche alla persona fisica segnalata, ovvero alla persona alla quale la violazione è attribuita nella divulgazione pubblica (c.d. persona coinvolta).
Con specifico riferimento alla divulgazione pubblica, la protezione della riservatezza non si applica nel caso in cui la persona segnalante ha intenzionalmente rivelato la sua identità mediante, ad esempio, piattaforme web o social media. Lo stesso vale nell’ipotesi in cui il soggetto si rivolga direttamente ad un giornalista; in tal caso restano ferme le norme sul segreto professionale dei giornalisti, con riferimento alla fonte della notizia.
Qualora chi effettua la divulgazione pubblica non riveli la propria identità (es.: utilizzo di uno pseudonimo o un nickname nel caso di social network) tali divulgazioni sono equiparabili alle segnalazioni anonime. In tale ipotesi, è opportuno che le divulgazioni pubbliche “anonime”, ove possibile, siano registrate/catalogate e conservate da parte dell’ente che ne ha conoscenza, rendendo così possibile un richiamo ad esse da parte del segnalante che intenda disvelare la propria identità ed essere tutelato nel caso in cui subisca ritorsioni a seguito della divulgazione.
A garanzia del rispetto dell’obbligo di riservatezza, il Decreto prevede che in caso di sua violazione ANAC applichi ai titolari del trattamento una sanzione amministrativa pecuniaria.
Il MOG 231 deve prevedere sanzioni disciplinari nei confronti di coloro che si accerta essere responsabili della violazione dell’obbligo di riservatezza nella gestione delle segnalazioni.
15.0. Il trattamento dei dati personali
Titolare del trattamento, ai sensi dell’art. 4 del GDPR 679/2016, è la persona fisica o giuridica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità ed i mezzi del trattamento dei dati personali. Ne consegue che sono titolari del trattamento i soggetti che istituiscono canali di segnalazione interni o l’ANAC per quello esterno.
Per trattamento deve intendersi “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione” (Reg. UE n. 2016/679, art. 4, par. 1, n. 2).
Il titolare del trattamento e il responsabile del trattamento devono adottare particolari cautele al fine di evitare la indebita circolazione di informazioni personali, non solo verso l’esterno, ma anche all’interno degli uffici dell’ente in capo, eventualmente, a soggetti non autorizzati al trattamento di tali dati.
Ciò anche per quanto riguarda la persona segnalata, cui è riconosciuto il diritto alla difesa (es.: essere sentito per acquisire osservazioni scritte o documenti), ma non il diritto di essere sempre informato della segnalazione che lo riguarda.
Nel caso in cui siano chiamati a gestire le segnalazioni soggetti esterni, questi sono responsabili del trattamento in base ad un accordo appositamente stipulato con l’ente e devono offrire garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, nonché assicurare il rispetto della riservatezza, protezione dei dati e segretezza.
Il titolare (ed eventuale contitolare) del trattamento prevede, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento dei dati personali siano attribuiti a persone fisiche espressamente designate, operanti sotto la detta responsabilità.
Il/i soggetto/i autorizzato/i al trattamento dei dati personali, ai sensi dell’art. 4 n.10 del Reg. UE n. 2016/679, opera/operano sotto la direzione del titolare del trattamento eseguendo i compiti affidati. Non godono di apprezzabili margini di autonomia operativa nell’ambito dei trattamenti che sono chiamati a svolgere. Qualora il/i predetto/i non si limita/limitano a trattare i dati secondo le indicazioni del titolare e inizia/iniziano a definire mezzi e finalità propri, sono considerati titolari rispetto a tale ultimo trattamento e possono essere soggetti alle sanzioni amministrative pecuniarie da parte del Garante.
16.0. Principi fondamentali per il trattamento dei dati personali
Titolari e responsabili del trattamento, nonché le persone autorizzate a trattare i dati personali sono tenuti a rispettare i seguenti principi (art. 5 e segg. Reg. UE n. 2016/679):
• Trattare i dati in modo lecito, corretto e trasparente nei confronti dei soggetti interessati (liceità, correttezza e trasparenza).
• Raccogliere i dati solo al fine di gestire e dare seguito alle segnalazioni effettuate da parte dei soggetti tutelati dalla norma (limitazione della finalità).
• Garantire che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (minimizzazione dei dati).
I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati senza indugio. In tale ipotesi, soggetto deputato a valutare la manifesta inutilità dei dati è il titolare del trattamento, in persona di chi è autorizzato a ricevere e trattare le segnalazioni, sulla base di indicazioni impartite dal medesimo titolare.
• Assicurare che i dati siano esatti e, se necessario, aggiornati. Devono adottarsi tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti relativi alla specifica segnalazione che viene gestita (esattezza).
• Conservare i dati in una forma che consenta l’identificazione degli interessati per il tempo necessario al trattamento della specifica segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione (limitazione della conservazione).
• Effettuare il trattamento in modo che sia garantita un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (integrità e riservatezza).
Il ricorso a strumenti di crittografia nell’ambito del canale interno di segnalazione è di regola da ritenersi una misura adeguata a dare attuazione, fin dalla progettazione e per impostazione predefinita, al principio di integrità e riservatezza. Le misure di sicurezza adottate devono, comunque, essere periodicamente riesaminate e aggiornate.
• Definire un modello di gestione delle segnalazioni in conformità ai principi di protezione dei dati personali. In particolare, occorre adottare misure tecniche e organizzative fin dalla progettazione del canale di segnalazione (privacy by design) e garantire che per impostazione predefinita (privacy by default) siano trattati solo i dati personali strettamente necessari in relazione alla specifica segnalazione. Dette misure devono prevedere che non siano resi accessibili, in via automatica senza il tramite del titolare del trattamento o soggetto autorizzato, dati personali a un numero indefinito di soggetti.
• Nella fase di progettazione del canale di segnalazione interno, prima dell’inizio del trattamento, effettuare una valutazione d’impatto sulla protezione dei dati nei casi in cui il trattamento delle segnalazioni può comportare un rischio elevato per i diritti e le libertà delle persone interessate, al fine di individuare ed applicare le necessarie misure tecniche per evitare tale rischio.
• Rendere ex ante ai possibili soggetti interessati (segnalanti, segnalati, persone interessate dalla segnalazione, facilitatori, ecc.) un’informativa sul trattamento dei dati personali, ai sensi degli artt. 13 e 14 del GDPR 679/2016, mediante pubblicazione di documenti informativi tramite, ad esempio: sito web, piattaforma online, informative brevi in occasione di appositi incontri. Non devono invece essere fornite informative ad hoc ai vari soggetti interessati (es.: indirizzate a specifiche categorie di interessati) (*).
Tale informativa – che, per esempio, può essere inclusa nell’atto organizzativo adottato dall’Ente per la gestione delle segnalazioni, pubblicata in apposita sezione del sito web o dell’eventuale applicativo informatico utilizzato per acquisire e gestire le segnalazioni -, deve essere resa nel momento in cui i dati personali sono ottenuti e contenere una serie di indicazioni specifiche. A titolo esemplificativo: identità e dati di contatto del titolare del trattamento, del responsabile del trattamento, ove presente, e della persona autorizzata al trattamento; finalità del trattamento cui sono destinati i dati personali; base giuridica del trattamento; periodo di conservazione dei dati personali.
(*) Anche per evitare elevati flussi informativi dai quali è possibile dedurre il coinvolgimento della persona in una segnalazione vanificando le tutele per la riservatezza approntate dal decreto (v. anche 14, par. 5, lett. b) e d), del Regolamento (UE) 2016/679, che peraltro in taluni casi, che possono sussistere nel contesto di specie, esclude l’obbligo di fornire l’informativa quando i dati non sono raccolti presso l’interessato).
• Assicurare l’aggiornamento del registro delle attività di trattamento (ove previsto), integrandolo con le informazioni connesse a quelle di acquisizione e gestione delle segnalazioni.
Il registro dovrà contenere, ad esempio: nome e dati di contatto del titolare del trattamento e, ove presente, del contitolare del trattamento; descrizione delle categorie di soggetti interessati e delle categorie di dati personali che vengono in rilievo; autorità competenti a cui le segnalazioni, quindi i dati personali in esse contenuti, potrebbero o saranno comunicati.
• Garantire il divieto di tracciamento dei canali di segnalazione.
Nel caso in cui l’accesso ai canali interni o al canale esterno di segnalazione avvenga dalla rete dati interna del soggetto obbligato e sia mediato da dispositivi firewall o proxy, deve essere garantita la non tracciabilità – sia sulla piattaforma informatica che negli apparati di rete eventualmente coinvolti nella trasmissione o monitoraggio delle comunicazioni – del segnalante nel momento in cui viene stabilita la connessione a tali canali. La registrazione e la conservazione (es.: nei log degli apparati firewall), delle informazioni relative alle connessioni ai predetti canali di segnalazione consente la tracciabilità dei soggetti che utilizzano l’applicativo, tra i quali i segnalanti. Ciò, rende inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti.
• Garantire, ove possibile, il tracciamento dell’attività del personale autorizzato, nel rispetto delle garanzie a tutela del segnalante, al fine di evitare l’uso improprio di dati relativi alla segnalazione. Deve essere evitato il tracciamento di qualunque informazione che possa ricondurre all’identità o all’attività del segnalante. Il tracciamento, fatto salvo quanto previsto dall’art. 4 L. n. 300/1970 (utilizzo di impianti audiovisivi e altri strumenti di controllo), può essere effettuato esclusivamente al fine di garantire la correttezza e la sicurezza del trattamento dei dati.
17.0 Violazioni della normativa sulla protezione dei dati personali
Eventuali violazioni della disciplina sulla protezione dei dati personali da parte delle persone autorizzate o dei responsabili del trattamento, comportano la responsabilità in capo al titolare del trattamento o al responsabile del trattamento sotto la cui direzione dette persone hanno operato.
In tali ipotesi, il Garante per la protezione dei dati personali può adottare di provvedimenti correttivi e, nei casi previsti dalla legge, applicare sanzioni amministrative pecuniarie. Tali sanzioni amministrative non si applicano in relazione ai trattamenti svolti in ambito giudiziario; le medesime violazioni possono inoltre rilevare sotto il profilo penale e dar luogo a responsabilità civile.
18.0. Limitazioni ai diritti dell’interessato
• La persona coinvolta o la persona menzionata nella segnalazione, con riferimento ai propri dati personali trattati nell’ambito della segnalazione, non possono esercitare i diritti che normalmente il GDPR riconosce agli interessati (artt. da 15 a 22 GDPR 679/2016), ossia:
– diritto di accesso dell’interessato (art. 15);
– diritto di rettifica (art. 16);
– diritto alla cancellazione (c.d. diritto all’oblio) (art. 17);
– diritto di limitazione del trattamento (art. 18);
– obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento (art. 19);
– diritto alla portabilità dei dati (art. 20);
– diritto di opposizione al trattamento (art. 21);
– processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione (art. 22).
Dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante (vedi art. 2-undecies, co. 1, lett. f) Nuovo Codice Privacy – D.Lgs. 196/2003 aggiornato dal D.Lgs. 101/2018 in recepimento del GDPR UE 679/2016).
Al soggetto segnalato o alla persona menzionata nella segnalazione è preclusa anche la possibilità, laddove ritengano che il trattamento che li riguarda violi suddetti diritti, di rivolgersi al titolare del trattamento e, in assenza di risposta da parte di quest’ultimo, di proporre reclamo al Garante della protezione dei dati personali.
19.0. Condizioni per godere della protezione dalle ritorsioni
In caso di ritorsioni è previsto un regime di protezione la cui applicazione richiede che le segnalazioni effettuate da parte di uno dei soggetti individuati dal legislatore, soddisfino alcune condizioni e requisiti:
a) Il segnalante deve ragionevolmente credere, anche alla luce delle circostanze del caso concreto e dei dati disponibili al momento della segnalazione, che le informazioni sulle violazioni segnalate siano veritiere. Non sono sufficienti semplici supposizioni o voci di corridoio così come notizie di pubblico dominio.
Ciò che rileva è che il segnalante abbia agito in base ad una convinzione ragionevole (es.: un illecito si è verificato o stia per verificarsi). Questa rappresenta una salvaguardia essenziale contro segnalazioni dannose o offensive, e garantisce che coloro che hanno deliberatamente e consapevolmente segnalato informazioni errate, palesemente prive di fondamento o fuorvianti, non godano di protezione.
b) Ai fini della tutela, non rileva la circostanza che il soggetto abbia segnalato pur non essendo certo dell’effettivo accadimento dei fatti segnalati e/o dell’identità dell’autore degli stessi o riportando anche fatti inesatti per via di un errore genuino.
Tenuto conto che spirito della protezione è di incentivare la collaborazione di chi lavora o collabora all’interno dell’ente, al fine di far emergere possibili illeciti, richiedere che i segnalanti dispongano di conoscenze giuridiche sufficienti a determinare le probabilità che un illecito venga commesso equivarrebbe di fatto a vanificare le finalità dell’istituto.
c) Analogamente, chi effettua una segnalazione ha diritto alla protezione se ha agito sulla base di circostanze concrete allegate ed informazioni effettivamente acquisibili tali da far ritenere ragionevolmente che le informazioni sulle violazioni segnalate siano pertinenti in quanto rientranti fra gli illeciti considerati dal legislatore (vedi ambito oggettivo).
d) La segnalazione, inoltre, deve essere effettuata utilizzando il canale deputato e secondo le modalità previste dal Decreto. Nel caso di segnalazioni inviate ad un soggetto diverso da quello competente, quest’ultimo deve trasmetterle senza ritardo al soggetto autorizzato a ricevere e gestire le segnalazioni, dando contestuale notizia della trasmissione alla persona segnalante. Al fine di consentire tale trasmissione tempestiva, il segnalante deve indicare chiaramente nell’oggetto della segnalazione che si tratta di una segnalazione di un whistleblowing (vedi informazioni da inserire sul sito e/o sulla pagina della piattaforma per evitare errori da parte del segnalante).
e) Deve sussistere uno stretto collegamento tra la segnalazione e il comportamento/atto/omissione sfavorevole subito, direttamente o indirettamente, dalla persona segnalante, affinché questi siano considerati una ritorsione e, di conseguenza, il soggetto possa beneficiare di protezione.
Ai fini della tutela, nessuna rilevanza assumono i motivi personali e specifici che hanno indotto le persone a effettuare la segnalazione. La focalizzazione sulle motivazioni potrebbe rappresentare una strategia utilizzata per deflettere l’attenzione dai problemi segnalati e delegittimare, allo stesso tempo, chi segnala.
In assenza del rispetto di tali condizioni generali, la tutela non potrà essere garantita neanche ai soggetti diversi da quello che segnala qualora, in ragione del ruolo assunto nell’ambito del processo di segnalazione e/o del particolare rapporto che li lega al segnalante, subiscano indirettamente ritorsioni.
Fatte salve le specifiche limitazioni di responsabilità previste dal legislatore, la protezione prevista in caso di ritorsioni non trova applicazione in caso di accertamento con sentenza, anche non definitiva di primo grado nei confronti del segnalante della responsabilità penale per i reati di calunnia o diffamazione o comunque per i medesimi reati connessi alla denuncia, ovvero della responsabilità civile, per aver riferito informazioni false riportate intenzionalmente con dolo o colpa grave.
Nei casi di accertamento delle citate responsabilità, al soggetto segnalante o denunciante va inoltre applicata una sanzione disciplinare: è necessario inserire nei codici di comportamento o nel MOG 231 questa specifica fattispecie sanzionabile.
20.0. La protezione dalle ritorsioni
Gli enti e le persone segnalanti possono comunicare all’ANAC le ritorsioni che ritengono di avere subito. In caso di ritorsioni commesse nel contesto lavorativo di un soggetto del settore privato l’ANAC informa l’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza.
Al fine di acquisire elementi istruttori indispensabili all’accertamento delle ritorsioni, l’ANAC può avvalersi della collaborazione dell’Ispettorato nazionale del lavoro, ferma restando l’esclusiva competenza della medesima in ordine alla valutazione degli elementi acquisiti e all’eventuale applicazione delle sanzioni amministrative pecuniarie previste.
Gli atti assunti in violazione dell’art. 17 (ritorsioni) sono nulli. Le persone segnalanti che siano state licenziate a causa della segnalazione, della divulgazione pubblica o della denuncia all’autorità giudiziaria o contabile hanno diritto a essere reintegrate nel posto di lavoro.
L’autorità giudiziaria adita adotta tutte le misure, anche provvisorie, necessarie ad assicurare la tutela alla situazione giuridica soggettiva azionata, ivi compresi il risarcimento del danno, la reintegrazione nel posto di lavoro, l’ordine di cessazione della condotta posta in essere in violazione dell’articolo 17 e la dichiarazione di nullità degli atti adottati in violazione del medesimo articolo.
21.0. Limitazioni alla responsabilità del segnalante
All’insieme delle tutele riconosciute al segnalante vanno ascritte anche talune limitazioni della responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni.
Tali limitazioni sono operanti al ricorrere di determinate condizioni, in assenza delle quali vi sarebbero conseguenze in termini di responsabilità penale, civile, amministrativa:
a) la prima condizione richiede che al momento della rivelazione o diffusione vi siano fondati motivi per ritenere che le informazioni siano necessarie per far scoprire la violazione. La persona, quindi, deve ragionevolmente ritenere, e non in base a semplici illazioni, che quelle informazioni debbano svelarsi perché indispensabili per far emergere la violazione, ad esclusione di quelle superflue, e non per ulteriori e diverse ragioni (es.: pettegolezzi, fini vendicativi, opportunistici o scandalistici);
b) la seconda condizione esige che la segnalazione sia stata effettuata nel rispetto delle condizioni previste dalla norma per beneficiare delle tutele dalle ritorsioni: 1) fondato motivo di ritenere che le informazioni sulle violazioni fossero vere e rientrassero tra le violazioni segnalabili ai sensi del decreto; 2) segnalazioni, interne ed esterne o divulgazioni pubbliche effettuate nel rispetto delle modalità e delle condizioni dettate nel Capo II del decreto (artt. 4-15).
Entrambe le condizioni devono sussistere per escludere la responsabilità; se soddisfatte, le persone che segnalano, denunciano o effettuano una divulgazione pubblica non incorrono in alcun tipo di responsabilità civile, penale, amministrativa o disciplinare.
Costituisce elemento di novità rispetto al passato la circostanza per cui per le limitazioni di responsabilità rileva il profilo dell’accesso “lecito” alle informazioni segnalate o ai documenti contenenti dette informazioni che esonera dalla responsabilità il segnalante.
Qualora l’acquisizione, l’accesso alle informazioni o ai documenti sia stato ottenuto commettendo un reato (es.: accesso abusivo o atto di pirateria informatica), l’esclusione della responsabilità del segnalante non opera ma resta ferma la responsabilità penale, e ogni altra responsabilità anche civile, amministrativa e disciplinare.
Altro aspetto innovativo riguarda la previsione che la scriminante operi non solo con riguardo alla rivelazione e diffusione di informazioni ma anche rispetto a comportamenti, atti od omissioni compiuti da chi segnala, denuncia o divulga pubblicamente, purché collegati alla segnalazione, denuncia o divulgazione pubblica e necessari a rivelare la violazione.
22.0. Integrità dell’Ente
È la condizione di non assoggettabilità dell’Ente a misure o sanzioni interdittive o a risoluzioni contrattuali idonee a comprometterne la stabilità, l’immagine esterna, la continuità operativa
Le segnalazioni possono essere inoltrate solo “a tutela dell’integrità dell’ente”, dovendosi, quindi, intendere per tale non solo la reputazione dell’ente ma anche la sua stabilità e continuità, che potrebbero essere compromesse dalla commissione di reati, avente come conseguenze l’irrogazione di sanzioni pecuniarie e interdittive, la risoluzione di contratti di appalto o convenzioni in corso, l’esclusione dalle gare in corso o per il futuro, procedimenti penali, controversie giudiziarie.
23.0. Giusta causa
Le notizie coperte da segreto d’ufficio, aziendale, professionale, scientifico e industriale possono essere rivelate senza conseguenze per il segnalante per “giusta causa”.
Costituisce “giusta causa” l’interesse all’integrità dell’ente nonché alla prevenzione e repressione delle malversazioni.
In ogni caso:
– deve mantenere il segreto professionale chi sia venuto a conoscenza della presunta condotta illecita, dell’irregolarità o della violazione del Modello organizzativo 231 in ragione di un rapporto di consulenza professionale o di assistenza con l’ente o la persona interessata (es.: membri dell’Organismo di Vigilanza e del Collegio sindacale – salve le eccezioni di legge-, RSPP esterno, Medico Competente, ecc.);
– la rivelazione di notizie o documenti oggetto di segreto aziendale, professionale o d’ufficio può essere effettuata al solo scopo di eliminare l’illecito ed esclusivamente all’interno dei canali di segnalazione specificamente predisposti;
– costituisce violazione dell’obbligo di segreto la rivelazione al di fuori dei canali di comunicazione riservati che, in quanto tale, esorbita dallo scopo di eliminare l’illecito.
Rientrano comunque nell’obbligo di segretezza: le informazioni classificate, il segreto forense e medico, le deliberazioni degli organi giurisdizionali.
24.0. Colpa grave
Ai fini della presente procedura è ritenuta “grave” la colpa di chi con leggerezza grossolana segnala condotte illecite, irregolarità o violazioni del Modello organizzativo 231 basate non su elementi di fatto precisi e concordanti, ma sul “sentito dire” o su impressioni personali e che si rivelano infondate.
Al di fuori di detta ipotesi, l’eventuale infondatezza della segnalazione sarà attribuibile a errore materiale, colpa lieve o carenza di elementi precisi e concordanti.
25.0. Dolo
Ai fini della presente procedura, è ritenuto doloso il comportamento di chi, in malafede o per ragioni di interesse o risentimento personale, inoltra segnalazioni che si rivelano infondate di condotte che egli fa apparire illecite.
26.0. Errore genuino
Le tutele si applicano ugualmente al soggetto che abbia segnalato, effettuato divulgazioni pubbliche o denunce pur non essendo certo dell’effettivo accadimento dei fatti segnalati o denunciati e/o dell’identità dell’autore degli stessi o riportando anche fatti inesatti per via di un errore genuino.
Considerato che spirito della protezione è incentivare la collaborazione negli enti privati, al fine di far emergere possibili illeciti, richiedere che questi dispongano di conoscenze giuridiche sufficienti a determinare le probabilità che un illecito venga commesso equivarrebbe di fatto a vanificare le finalità dell’istituto.
27.0. Misure di prevenzione e contrasto
Per l’efficace attuazione della presente procedura, l’Ente:
• Istituisce i canali di segnalazione interna per l’inoltro di segnalazioni in forma scritta e orale, nonché definisce le modalità per la fissazione di incontri personali e diretti con il segnalante, qualora il medesimo lo richieda.
• Pone su suo sito web un’informativa chiara e completa in merito alle modalità adottate per la ricezione e gestione delle segnalazioni. In modo che tutti i soggetti suscettibili di tutela, anche esterni all’organizzazione, possano averne piena conoscenza.
• Pone la suddetta informativa in modo ben visibile in tutti i luoghi di lavoro.
• Divulga, con opportune attività di informazione/formazione nei confronti del personale e dei collaboratori la normativa in esame, la presente procedura ed i canali di comunicazione per l’inoltro delle segnalazioni.
• Valuta l’idoneità delle misure adottate per tutelare l’identità e la persona del segnalante, contrastando azioni ritorsive nei suoi confronti. Così come misure poste a tutela delle persone coinvolte nella segnalazione, incluso il segnalato.
• Adegua il sistema disciplinare prevedendo sanzioni nei confronti:
– di chi viola le misure di tutela di cui sopra;
– di chi effettua con dolo o colpa grave segnalazioni che si rivelano infondate;
– di chi viola l’obbligo di riservatezza;
– di chi viola il segreto professionale, aziendale e d’ufficio, rivelando condotte illecite, irregolarità o violazioni del Modello organizzativo 231 al di fuori dei canali di comunicazione specificamente predisposti;
– di chi, autorizzato al trattamento dei dati personali, ne viola le norme poste a tutela.
• Applica il codice disciplinare nel caso di scoperta di:
– attuazione di azioni ritorsive nei confronti dei segnalanti;
– diffusione, al di fuori dei canali deputati, di notizie e documenti attinenti alle segnalazioni;
– inerzia della persona designata alla gestione delle segnalazioni nei casi di ricezione.
Segue Allegato 1: Compiti e responsabilità.
Allegato 1: Compiti e responsabilità
Consiglio di Amministrazione:
• Approva con apposita delibera la presente procedura, quale parte integrante del MOG 231 adottato dall’Ente, definendo modalità e funzionamento del canale interno di segnalazione, nel rispetto della disciplina introdotta dal D.Lgs. n. 24/2023.
• Previa adeguata valutazione preliminare di requisiti e caratteristiche, provvede alla nomina del Gestore delle segnalazioni.
• È responsabile dell’efficace attuazione della presente procedura, ne valuta e ne approva le integrazioni nel tempo.
• Provvede all’integrazione e/o modifica dei documenti che compongono il MOG 231 adottato dall’Ente, se del caso, con l’ausilio dell’Organismo di Vigilanza.
• Sovraintende alla divulgazione delle nuove regole presso il personale e tutti gli altri soggetti suscettibili di tutela, assicurando che le informazioni fornite siano esaustive e complete.
• Accerta che siano state sentite le rappresentanze o organizzazioni sindacali, per l’acquisizione di eventuali osservazioni in merito a modalità e funzionamento del canale interno di segnalazione.
• Accerta che in tutta la contrattualistica in uso siano inserite apposite clausole di richiamo alla disciplina in materia di protezione dei segnalanti.
Legale Rappresentante
• Nella sua qualità di titolare del trattamento dati personali in nome e per conto dell’Ente:
1) fin dalla fase di progettazione del canale di segnalazione e nel corso del suo utilizzo assicura il rispetto di quanto indicato nei par. 14, 15, 16, 17 e 18 della presente procedura;
2) con specifico atto, provvede alla nomina del responsabile del trattamento dati, quale gestore delle segnalazioni nominato dall’Organo amministrativo, nonché degli eventuali altri soggetti autorizzati a trattare le segnalazioni, fornendo le necessarie indicazioni per gestire le segnalazioni;
3) è responsabile delle violazioni sulla tutela dei dati personali, laddove tale violazione sia commessa dal responsabile del trattamento e/o dalle persone autorizzate. Fatta salva l’ipotesi che alcuna di tali persone non si sia limitata a trattare i dati in base alle indicazioni del titolare del trattamento e abbiano definito mezzi e finalità propri assumendo quindi la titolarità di tale trattamento;
4) accerta nel continuo il rispetto della presente procedura, specie per quanto attiene ai punti 14,15,16, 17 e 18.
Datore di Lavoro
• Assicura la divulgazione della disciplina sulla protezione dei segnalanti presso il personale dipendente e i collaboratori, se del caso, anche con l’ausilio dell’Organismo di Vigilanza.
• Attiva la procedura disciplinare verso il soggetto o i soggetti coinvolti nella condotta illecita, nell’irregolarità o responsabili della violazione del MOG 231, avvisando l’Organismo di Vigilanza dell’avvenuta attivazione di detta procedura.
• Nel caso in cui la segnalazione risulti infondata per dolo o colpa grave del segnalante, sentito l’Organismo di Vigilanza, applica il Codice disciplinare.
• Nel caso in cui la segnalazione risulti infondata per colpa lieve del segnalante, per errore materiale o per assenza di elementi di fatto precisi e concordanti, archivia la segnalazione, dandone informazione all’Organismo di Vigilanza.
Gestore delle segnalazioni
• Riceve le segnalazioni e ne accerta l’ammissibilità, laddove la segnalazione e/o i documenti alla medesima eventualmente allegati dovessero risultare insufficienti ai fini della valutazione, sempre attraverso il canale di segnalazione, chiede al segnalante ulteriori ragguagli e/o documenti probatori.
• Si attiene in modo rigoroso alle previsioni di cui al par. 10 della presente procedura, le cui violazioni comportano sanzioni disciplinari a suo carico.
• Mantenendo l’assoluta riservatezza sull’identità del segnalante, e comunque operando in modo che la sua identità non sia disvelata, può sentire il segnalato per accogliere le sue ragioni
• Qualora accerti che, di fatto, si è commesso o si stanno commettendo uno o più illeciti, oppure irregolarità non assume in proprio alcun provvedimento, ma informa tempestivamente gli Organi deputati dell’Ente affinché provvedano con immediatezza a far cessare o eliminare la situazione pregiudizievole e, ove l’Ente sia qualificato come “incaricato di pubblico servizio”, informino l’Autorità competente, sentito anche il parere dell’Organismo di Vigilanza.
• In caso verifichi l’effettiva violazione del Modello Organizzativo, ne individua le cause e, a prescindere dalla rilevanza disciplinare delle azioni od omissioni, valuta, sentito l’Organismo di Vigilanza, la necessità di meglio divulgare le disposizioni o le procedure violate o ignorate.
Organismo di Vigilanza
• Accerta che l’Ente abbia provveduto all’aggiornamento formativo di amministratori, personale e collaboratori tutti, nonché all’adeguamento del MOG 231 adottato alla normativa di cui alla presente procedura.
• Su specifica richiesta, e se del caso, assiste il Gestore delle segnalazioni nella valutazione di presunte condotte illecite, irregolarità o violazioni del MOG 231.
• Su specifica richiesta, e se del caso, assiste il Datore di Lavoro qualora si palesi la necessità di avviare un procedimento disciplinare per violazioni della disciplina di cui alla presente procedura.
• Ove richiesto o ritenuto opportuno esegue specifiche verifiche su fatti segnalati di cui sia venuto a conoscenza, avendo libero accesso alla documentazione di riferimento, sempre nella massima osservanza della normativa.
• In riferimento al punto precedente, redige una relazione che in via riservata inoltra al Consiglio di Amministrazione con eventuali raccomandazioni.
• Incontra, ove richiesto dalla particolarità della segnalazione, il Gestore delle segnalazioni, il Legale rappresentante o il Consiglio di Amministrazione nel suo insieme.
• Viene tenuto informato dei provvedimenti assunti da parte del Datore di Lavoro, dal Legale Rappresentante o dal Consiglio di Amministrazione.
• Riferisce al Collegio Sindacale, ove non sia stato informato, circa le segnalate presunte irregolarità attinenti alla gestione amministrativa e finanziaria dell’ente, i rapporti societari, la redazione del Bilancio e adotta le iniziative di competenza.
• Mantiene il segreto circa le segnalazioni poste a sua conoscenza, salvo il dovere di informare il CdA, il Datore di Lavoro o il Legale Rappresentante al fine di rimuovere l’illecito segnalato.
Divieti e sanzioni disciplinari
Il Codice Disciplinare dell’ente viene integrato con il seguente paragrafo:
“È vietata l’adozione di ritorsioni nei confronti delle persone che effettuano segnalazioni di condotte illecite, irregolarità o violazioni del Modello Organizzativo. Sono vietati in particolare il licenziamento, il demansionamento, il trasferimento, l’adozione di sanzioni disciplinari, le pressioni psicologiche, l’esclusione dagli avanzamenti di carriera e qualsiasi altra azione ritorsiva o discriminatoria da parte di chiunque nell’ambito dell’organizzazione dell’ente.
In caso di accertata violazione, l’ente applicherà una sanzione disciplinare proporzionata alla gravità del fatto, e tenuto conto della natura delle funzioni svolte dal responsabile della violazione e delle previsioni del CCNL, dove applicabile.
Nel caso in cui la segnalazione provenga da collaboratori esterni o fornitori o loro dipendenti o collaboratori, è vietato adottare misure ritorsive sul piano contrattuale o richiedere al Datore di lavoro del segnalante interventi ritorsivi o intimidatori su quest’ultimo.
Nel caso che le eventuali azioni ritorsive abbiano come conseguenza sanzioni inflitte da parte dell’Ispettorato del Lavoro o condanne al risarcimento dei danni in favore del segnalante discriminato, l’ente si rivarrà nei confronti dei soggetti responsabili.
Resta salva la facoltà dell’ente di licenziare, sanzionare o assumere altre misure organizzative, se tali misure sono fondate su legittime ragioni estranee alla segnalazione stessa.
L’Ente, interpellato l’Organismo di Vigilanza, valuta l’adozione di sanzioni disciplinari nei confronti di chi:
– viola le misure poste a tutela di chi effettua segnalazioni, nelle forme previste dalla disciplina in materia;
– effettua con dolo o colpa grave segnalazioni che si rivelano infondate;
– senza giusta causa rivela notizie coperte dall’obbligo di riservatezza o le rivela al di fuori degli specifici canali di comunicazione predisposti.
Per quanto non previsto, si rinvia alla Procedura di Tutela degli autori di segnalazioni di violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente, ai sensi del D.Lgs. n. 24/2023.”
Il Regolamento disciplinare 231 rivolto al personale, affisso negli ambienti di lavoro ed eventuali Vademecum divulgativi consegnati ai dipendenti, vengono integrati con le informazioni che la normativa impone.
Il presente Allegato 1 costituisce parte integrante del Codice Disciplinare di cui al MOG 231 adottato dall’Ente.
Il legale rappresentante
11/12/2023
INFORMATIVA SULLA TUTELA DEI DATI PERSONALI
ai sensi dell’Art.13 del regolamento (UE) 2016/679 (GDPR) per i soggetti che segnalano illeciti (whistleblower) e per le persone coinvolte nelle segnalazioni
La presente informativa descrive i trattamenti dei dati personali ai sensi e per gli effetti del D.Lgs. 24/2023 e, per le parti non abrogate, dalla Legge 179/2017, in materia di tutela degli autori di segnalazioni di violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente, nonché di violazioni del Modello organizzativo 231, (c.d. “Whistleblowing”).
1. TITOLARE DEL TRATTAMENTO
Il Titolare del trattamento è NOXORSOKEM GROUP srl nella figura del Presidente e Legale Rappresentante, con sede legale in via Udine 46 – SS 13 – 33080 Cusano di Zoppola – PN. L’elenco aggiornato dei Responsabili e degli Incaricati al trattamento è custodito presso la sede legale del Titolare del trattamento.
2. TIPOLOGIA DI DATI PERSONALI TRATTATI
Qualora venga effettuata una segnalazione, e il Segnalante non richieda di mantenere l’anonimato, NOXORSOKEM GROUP srl raccoglierà e tratterà le seguenti informazioni che comprendono i dati personali del soggetto segnalante e le informazioni contenute nella segnalazione stessa, in particolare:
• il nome e/o i dati di contatto e di identificazione personale del segnalante;
• se del caso, i nomi e altri dati personali delle persone indicate e/o coinvolte nella segnalazione.
La segnalazione non dovrà contenere fatti irrilevanti ai fini della stessa, né categorie particolari di dati personali, di cui all’art.9 del GDPR (di seguito anche “Categorie particolati di dati”, cioè quelli da cui possono eventualmente desumersi, fra l’altro, l’origine razziale ed etnica, le convinzioni filosofiche e religiose, l’adesione a partiti o sindacati, nonché lo stato di salute, la vita sessuale o l’orientamento sessuale), salvo i casi in cui ciò sia inevitabile e necessario ai fini della segnalazione stessa.
I Dati Personali sopra indicati potranno essere integrati e/o aggiornati sulla base di informazioni reperibili pubblicamente, raccolte da soggetti terzi e/o direttamente dal segnalante e/o già nella disponibilità del Titolare, anche al fine di verificare la fondatezza della segnalazione.
3. FINALITÀ E BASE GIURIDICA DEL TRATTAMENTO
I dati personali forniti con la segnalazione ai sensi del D.Lgs. 24/2023 (c.d. “Segnalazione Whistleblowing”), inoltrata con POSTA ELETTRONICA CERTIFICATA e/o posta ordinaria, e/o contenuti nella documentazione allegata alla stessa segnalazione o in quella che verrà raccolta nel corso del procedimento per la sua gestione, formeranno oggetto di trattamento da parte di NOXORSOKEM GROUP srl per:
A. finalità connesse alla gestione e verifica della Segnalazione e per garantire un’adeguata applicazione della Procedura Whistleblowing adottata.
Presupposto per il trattamento è l’adempimento di un obbligo di legge cui è soggetto il Titolare ex art. 6, par. 1, lett. c) del GDPR come previsto dal citato Decreto, che impone al Titolare di dotarsi di un canale interno per ricevere le segnalazioni.
Il conferimento dei Dati personali del Segnalante è facoltativo: sulla base della Procedura Whistleblowing adottata da NOXORSOKEM GROUP srl al Segnalante è riconosciuta Ia facoltà di rimanere anonimo, a condizione che lo richieda espressamente nella sua segnalazione;
B. finalità connesse a esigenze di difesa dei propri diritti nel corso di procedimenti giudiziali, amministrativi o stragiudiziali e nell’ambito di controversie sorte in relazione alla segnalazione effettuata. Inoltre, previa acquisizione di specifico consenso, i dati personali del segnalante potranno essere trattati da NOXORSOKEM GROUP srl per agire in giudizio o avanzare pretese nei confronti delle persone coinvolte nella segnalazione o altri soggetti terzi.
Presupposto per il trattamento è il legittimo interesse di NOXORSOKEM GROUP srl ex art. 6, par. 1, lett. f) del GDPR alla tutela dei propri diritti. In questo caso, non è richiesto al segnalante un nuovo e specifico conferimento, poiché NOXORSOKEM GROUP srl perseguirà detta ulteriore finalità, ove necessario, trattando i Dati personali raccolti per le finalità medesime, ritenute compatibili con la presente informativa (anche in ragione del contesto in cui i Dati personali sono stati raccolti, del rapporto tra segnalante e da NOXORSOKEM GROUP srl, della natura dei dati stessi e delle garanzie adeguate al Ioro trattamento).
Come precisato nel precedente paragrafo, la segnalazione non deve contenere Categorie particolari di dati personali, salvo i casi in cui ciò sia inevitabile e necessario ai fini della segnalazione stessa. In tal caso, il presupposto di liceità del trattamento di tali dati si fonda suII’art.9, secondo paragrafo, lett. b) del GDPR ovvero quando il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, e suII’art.9, secondo paragrafo, lett. F) del GDPR ovvero qualora il trattamento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali.
Il conferimento dei dati mediante la compilazione del modello di segnalazione ha natura facoltativa, ma senza di essi da NOXORSOKEM GROUP srl potrebbe non essere in grado di ricevere e gestire la segnalazione. (parte eventualmente da eliminare se utilizzata PEC).
Al segnalante è espressamente richiesto di fornire soltanto i dati necessari a descrivere i fatti oggetto di segnalazione evitando ogni dato personale non necessario a tal fine.
4. COMUNICAZIONE DEI DATI
Salvo l’espletamento delle indagini eventualmente avviate a seguito della segnalazione, nonché l’adempimento di obblighi derivanti dalla legge, i Dati personali conferiti dal segnalante non saranno oggetto di diffusione.
Per le finalità descritte al precedente paragrafo 3, nei limiti delle rispettive competenze e secondo quanto descritto nella presente informativa per la gestione delle segnalazioni di violazioni (Whistleblowing) e nella Procedura di tutela del segnalante, con particolare riferimento ai limiti sulla conoscibilità dell’identità dello stesso, i dati personali ad esso riferibili saranno trattati in ambito aziendale dai seguenti soggetti, designati e autorizzati al trattamento ai sensi dell’art. 29 del GDPR:
(▪) referente della piattaforma di Whistleblowing, Responsabile del procedimento disciplinare eventualmente aperto a carico del soggetto segnalato (solo previa acquisizione del consenso del segnalante);
(▪) membri dell’Organismo di Vigilanza di NOXORSOKEM GROUP srl, nonché, sempre nei limiti sopra indicati,
(▪) fornitori di servizi di gestione e manutenzione dei sistemi informativi di NOXORSOKEM GROUP srl (es. della Piattaforma informatica per gestione segnalazioni Whistleblowing) in qualità di Responsabili del trattamento ex art. 28 del GDPR.
Inoltre, la segnalazione e i dati personali potranno essere trasmessi, per i profili di rispettiva competenza secondo quanto previsto dalla legge, ad A.N.A.C. (Autorità Nazionale Anticorruzione) all’Autorità Giudiziaria, alla Corte dei Conti ed altre eventuali autorità pubbliche coinvolte, che tratteranno i dati in qualità di Titolari autonomi.
I dati non verranno trasferiti ad un paese terzo o a un’organizzazione internazionale.
5. MODALITÀ DEL TRATTAMENTO DEI DATI
Il trattamento dei dati personali sarà improntato ai principi di correttezza, liceità e trasparenza e avverrà con il supporto di mezzi informatici (piattaforma) o telematici, in modo da garantirne la sicurezza e riservatezza, in conformità alle previsioni di legge applicabili ed alle prescrizioni contenute nella Delibera n. n. 311 del 12 luglio 2023 di A.N.A.C. “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne” (c.d. Whistleblowing), con l’adozione delle necessarie misure di sicurezza, tecniche ed organizzative, volte, tra l’altro, ad evitare il rischio di perdita, accesso non autorizzato, uso illecito e diffusione e ad impedire a soggetti non autorizzati di risalire all’identità del segnalante.
6. PERIODO DI CONSERVAZIONE DEI DATI
I dati personali del segnalante e delle persone coinvolte nella segnalazione saranno trattati per il tempo strettamente necessario alla gestione della segnalazione in tutte le sue fasi, all’adozione dei provvedimenti conseguenti ed all’adempimento degli obblighi di legge connessi, dopodiché i medesimi dati verranno distrutti o resi anonimi. Comunque, la conservazione sarà effettuata non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione: «limitazione della conservazione».
Trascorsi i periodi di conservazione sopra indicati, le segnalazioni potranno essere conservate solo in forma anonimizzata.
I Dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione accidentalmente forniti dal segnalante, saranno immediatamente cancellati.
7. DIRITTI DELLE PARTI (INTERESSATI COINVOLTI NELLE SEGNALAZIONI)
7.1. Diritti del segnalante (Diritto dell’interessato)
Il segnalante potrà esercitare i diritti di cui agli artt. da 15 a 22 del GDPR, tra cui, in sintesi, quelli di:
– ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano;
– ottenere l’accesso ai suoi dati personali ed alle informazioni indicate all’art. 15 del GDPR;
– ottenere la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo o l’integrazione dei dati personali incompleti;
– ottenere la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo;
– ottenere la limitazione del trattamento dei dati personali che lo riguardano;
– essere informato delle eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate in relazione ai dati personali che lo riguardano;
– ricevere o trasmettere ad un altro titolare del trattamento in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano.
L’elenco completo dei predetti diritti è disponibile sul sito del Garante della protezione dei dati personali all’indirizzo www.garanteprivacy.it
Il segnalante potrà in qualsiasi momento esercitare i diritti inviando:
• raccomandata A/R all’indirizzo
NOXORSOKEM GROUP srl
via Udine 46 – SS 13
33080 Cusano di Zoppola – PN
oppure
• e-mail all’indirizzo info@noxorsokem.it
7.2. Diritti della persona coinvolta o menzionata nella segnalazione (Diritto dell’interessato)
Ai sensi e per gli effetti di cui all’art. 2-undecies, comma 1, lett. f) del D.Lgs. 196/2003 aggiornato al D.Lgs. 101/2018 (Limitazioni ai diritti dell’interessato), come modificato dall’art. 24, comma 4, del D.Lgs. 24/2023, ai fini della tutela della riservatezza dell’identità del segnalante, il soggetto segnalato o la persona coinvolta nella segnalazione non possono esercitare i diritti che normalmente il GDPR riconosce agli interessati, ossia quelli indicati negli artt. da 15 a 22, come elencati nel precedente par. 7.1 per il segnalante. Nella specie, quando dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante. Pertanto, alla persona segnalata o coinvolta nella segnalazione è preclusa anche la possibilità, laddove ritengano che il trattamento che li riguarda violi i predetti diritti, di rivolgersi al Titolare del trattamento e, in assenza di risposta da parte di questi, di proporre reclamo al Garante della protezione dei dati personali.
11/12/2023
Il Presidente CdA
