Direttiva 2019/1937

Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione

La direttiva istituisce un quadro minimo comune di tutela per le persone che, in un contesto lavorativo, segnalano violazioni del diritto dell’Unione in settori ritenuti particolarmente sensibili per l’interesse pubblico. L’intervento risponde all’esigenza di superare la frammentazione delle discipline nazionali e di rafforzare l’effettività dell’applicazione del diritto UE, soprattutto in presenza di violazioni spesso difficili da scoprire senza l’apporto di chi opera dall’interno o a stretto contatto con l’organizzazione.

Finalità e logica della direttiva

L’obiettivo primario è migliorare l’emersione, la prevenzione e la repressione delle violazioni, assicurando che i potenziali segnalanti possano rivolgersi a canali sicuri e che non subiscano ritorsioni. La direttiva si fonda su un bilanciamento tra tutela del pubblico interesse, libertà di espressione, riservatezza, diritti della difesa e interessi organizzativi dei datori di lavoro.

Ambito materiale

L’articolo 2 circoscrive la tutela a tre grandi blocchi:

• violazioni in settori coperti dagli atti UE elencati nell’allegato, tra cui appalti pubblici, servizi finanziari, prodotti, trasporti, ambiente, sicurezza nucleare, alimenti e mangimi, salute pubblica, consumatori, privacy e sicurezza informatica;
• violazioni che ledono gli interessi finanziari dell’Unione;
• violazioni del mercato interno, incluse concorrenza e aiuti di Stato, nonché talune violazioni legate all’imposta sulle società e a meccanismi abusivi di vantaggio fiscale.

L’articolo 3 precisa che, se un atto settoriale UE contiene regole specifiche sulla segnalazione, queste prevalgono nella misura in cui disciplinano obbligatoriamente la materia. La direttiva opera dunque come disciplina generale e residuale, ma i riferimenti agli atti dell’allegato sono dinamici e si estendono alle loro modifiche o sostituzioni.

Ambito personale

L’articolo 4 adotta una nozione ampia di persona segnalante. Sono protetti, in sintesi:

• lavoratori, inclusi dipendenti pubblici;
• lavoratori autonomi;
• azionisti e membri di organi di amministrazione, direzione o vigilanza;
• volontari e tirocinanti, retribuiti o meno;
• persone che operano sotto la supervisione di appaltatori, subappaltatori e fornitori;
• ex lavoratori e candidati nelle fasi precontrattuali.

La protezione può estendersi anche a facilitatori, colleghi o familiari esposti a ritorsioni e ai soggetti giuridici collegati alla persona segnalante.

Presupposti della protezione

Per beneficiare della tutela, l’articolo 6 richiede due condizioni cumulative:

• il segnalante deve aver avuto fondati motivi di ritenere vere le informazioni al momento della segnalazione e rientranti nell’ambito della direttiva;
• deve aver effettuato una segnalazione interna, esterna o una divulgazione pubblica.

La direttiva lascia agli Stati membri la scelta se ammettere o meno segnalazioni anonime. Se il segnalante anonimo viene poi identificato e subisce ritorsioni, può comunque ottenere protezione, sempre che sussistano i requisiti sostanziali.

Sequenza dei canali: interno, esterno, divulgazione pubblica

La direttiva privilegia, in linea generale, la segnalazione interna quando la violazione può essere trattata efficacemente all’interno dell’organizzazione e non vi è rischio di ritorsioni. Gli Stati membri devono però garantire anche canali esterni realmente accessibili e, in determinati casi, la protezione della divulgazione pubblica.

Canali interni

Gli articoli 8 e 9 impongono ai soggetti pubblici e privati l’istituzione di canali e procedure interne. I punti essenziali sono:

• obbligo per il settore privato con almeno 50 lavoratori;
• possibilità per gli Stati membri di imporre canali anche sotto tale soglia in base a una valutazione del rischio;
• obbligo per il settore pubblico, con possibile esenzione per i comuni sotto 10.000 abitanti o sotto 50 lavoratori;
• possibilità di canali gestiti internamente o da terzi, purché siano garantite riservatezza e indipendenza.

Le procedure interne devono assicurare:

• ricezione sicura e riservata delle segnalazioni;
• avviso di ricevimento entro 7 giorni;
• persona o servizio imparziale incaricato del seguito;
• seguito diligente;
• riscontro entro 3 mesi dall’avviso di ricevimento, o dalla scadenza dei 7 giorni se l’avviso non è stato inviato;
• informazioni chiare sui canali esterni.

Per le imprese private tra 50 e 249 lavoratori è prevista la possibilità di condividere risorse per ricezione e indagine, senza pregiudicare riservatezza, riscontro e gestione della violazione.

Canali esterni

Gli articoli 11, 12, 13 e 14 richiedono la designazione di autorità competenti dotate di risorse adeguate, canali indipendenti e autonomi, personale formato e informazioni pubbliche facilmente accessibili. Le segnalazioni devono poter essere presentate per iscritto e oralmente, anche mediante incontro diretto su richiesta.

L’autorità competente deve:

• inviare avviso di ricevimento entro 7 giorni, salvo eccezioni;
• dare seguito diligente alla segnalazione;
• fornire riscontro entro 3 mesi, prorogabili a 6 mesi nei casi debitamente giustificati;
• trasmettere, se del caso, le informazioni a istituzioni, organi o organismi UE competenti;
• riesaminare le proprie procedure almeno ogni 3 anni.

Sono ammessi, se previsti dal diritto nazionale, meccanismi per archiviare segnalazioni di lieve entità o ripetute prive di nuovi elementi significativi, nonché per trattare prioritariamente quelle più gravi in caso di alto volume di segnalazioni.

Divulgazioni pubbliche

L’articolo 15 protegge il segnalante che renda pubbliche le informazioni quando:

• abbia già segnalato internamente o esternamente senza ricevere un’azione appropriata entro i termini previsti;
• oppure abbia fondati motivi di ritenere che vi sia un pericolo imminente o palese per l’interesse pubblico, un rischio di danno irreversibile, un rischio di ritorsioni o scarse possibilità di effettivo trattamento della violazione.

La direttiva non si applica alla divulgazione diretta alla stampa effettuata nel rispetto di specifiche norme nazionali in materia di libertà di espressione e informazione.

Riservatezza e protezione dei dati

Gli articoli 16, 17 e 18 attribuiscono un ruolo centrale alla riservatezza dell’identità del segnalante. La regola generale è il divieto di divulgazione senza consenso esplicito; la deroga è possibile solo se imposta dal diritto UE o nazionale in modo necessario e proporzionato, in particolare per indagini o procedimenti giudiziari e per la tutela dei diritti di difesa.

Il trattamento dei dati personali deve avvenire nel rispetto del GDPR, della direttiva (UE) 2016/680 e, per le istituzioni UE, del regolamento (UE) 2018/1725. I dati non utili alla gestione della segnalazione non devono essere raccolti o devono essere cancellati senza indugio.

La documentazione delle segnalazioni deve essere conservata con attenzione alla riservatezza e può avvenire mediante registrazioni, trascrizioni o verbali, con possibilità per il segnalante di verificare, rettificare e approvare il testo.

Divieto di ritorsione e protezione sostanziale

L’articolo 19 vieta ogni forma di ritorsione, diretta o indiretta, e ne elenca numerose tipologie: licenziamento, retrocessione, mancata promozione, trasferimento peggiorativo, sospensione della formazione, note negative, discriminazioni, black list, risoluzione di contratti, annullamento di licenze o permessi, molestie, danni reputazionali e accertamenti psichiatrici o medici.

L’articolo 21 rafforza la protezione sostanziale prevedendo che il segnalante non possa essere ritenuto responsabile per la violazione di clausole di riservatezza o restrizioni alla divulgazione, se la segnalazione era necessaria per rivelare la violazione. Inoltre:

• il segnalante non risponde per l’acquisizione o l’accesso alle informazioni, salvo che tali condotte costituiscano di per sé reato;
• in giudizio opera una presunzione di ritorsione se il segnalante prova segnalazione e danno;
• l’onere di dimostrare la legittimità della misura grava sull’autore della stessa;
• devono essere disponibili rimedi effettivi, misure provvisorie e risarcimento integrale.

Sono espressamente richiamati, tra gli altri, i casi di segreti commerciali: la divulgazione è lecita quando ricorrono le condizioni della direttiva e, in tal caso, opera l’articolo 3, paragrafo 2, della direttiva (UE) 2016/943.

Misure di sostegno e diritti della persona coinvolta

L’articolo 20 prevede per le persone protette l’accesso a:

• informazioni e consulenze gratuite, indipendenti e facilmente accessibili;
• assistenza efficace dinanzi alle autorità competenti;
• patrocinio a spese dello Stato nei procedimenti penali e nei procedimenti civili transfrontalieri, oltre ad eventuali ulteriori forme previste dal diritto nazionale;
• eventuale sostegno finanziario e psicologico, se previsto dagli Stati membri.

L’articolo 22 tutela la persona coinvolta con garanzie di presunzione di innocenza, diritto di difesa, diritto di essere sentita e accesso al fascicolo, oltre alla protezione della sua identità durante le indagini.

Sanzioni e clausole di salvaguardia

L’articolo 23 impone sanzioni effettive, proporzionate e dissuasive contro:

• ostacolo o tentativo di ostacolo alle segnalazioni;
• ritorsioni;
• procedimenti vessatori;
• violazioni della riservatezza.

Devono inoltre essere previste sanzioni per il segnalante che effettui scientemente segnalazioni o divulgazioni pubbliche false, con possibilità di risarcimento dei danni secondo il diritto nazionale.

L’articolo 24 vieta qualsiasi rinuncia preventiva o limitazione dei diritti e dei rimedi previsti dalla direttiva tramite clausole contrattuali, accordi o regimi di lavoro.

Recepimento, periodo transitorio e monitoraggio

L’articolo 26 impone agli Stati membri di recepire la direttiva entro il 17 dicembre 2021. Per i soggetti privati con più di 50 e meno di 250 lavoratori, l’obbligo di canali interni ex articolo 8, paragrafo 3, deve essere recepito entro il 17 dicembre 2023.

L’articolo 27 prevede:

• relazione della Commissione sull’attuazione e applicazione entro il 17 dicembre 2023;
• trasmissione annuale di statistiche nazionali sulle segnalazioni, sulle indagini/procedimenti e sugli importi recuperati;
• relazione di valutazione entro il 17 dicembre 2025, con possibile proposta di estensione ad altri settori;
• pubblicazione delle relazioni in forma accessibile.

Indicazioni operative per i professionisti

Per avvocati e commercialisti, la direttiva implica che imprese ed enti pubblici debbano strutturare presidi interni di compliance, definire canali riservati, procedure di gestione, responsabilità organizzative, policy anti-ritorsione e presidi privacy. In particolare, per i gruppi societari e per le imprese medio-piccole, saranno rilevanti la scelta del modello organizzativo dei canali, la ripartizione delle funzioni tra compliance, HR, legale e internal audit, nonché l’adeguamento dei flussi informativi e documentali. Sul piano contenzioso, assumono rilievo la presunzione di ritorsione, l’inversione dell’onere della prova, la tutela cautelare e la gestione delle interazioni con clausole di riservatezza, segreti commerciali e disciplina privacy.