Parere del Garante n. 1 del 11/01/2023

Parere sullo schema di decreto legislativo in materia di whistleblowing

Il Garante per la protezione dei dati personali, su richiesta della Presidenza del Consiglio dei ministri, ha reso parere sullo schema di decreto legislativo recante attuazione della direttiva (UE) 2019/1937 in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e, per estensione, di disposizioni normative nazionali. Il parere è adottato ai sensi dell’art. 36, par. 4, GDPR e dell’art. 154, comma 5, del Codice privacy.

Contesto normativo e finalità della direttiva

Il provvedimento si inserisce nel processo di recepimento della direttiva whistleblowing, che mira a introdurre uno statuto minimo uniforme di tutela per le persone che segnalano violazioni apprese nel contesto lavorativo. Il Garante richiama la funzione dello strumento, orientata a rafforzare trasparenza e responsabilità e a prevenire la commissione di reati, evidenziando che la disciplina nazionale si innesta su un quadro già esistente nel settore pubblico e privato, anche alla luce del d.lgs. 165/2001, del d.lgs. 231/2001 e della legge 179/2017.

Ambito oggettivo e soggettivo della disciplina

Lo schema di decreto unifica in un testo organico la disciplina delle segnalazioni di violazioni o condotte lesive di specifici beni giuridici conosciute in ambito lavorativo pubblico o privato. L’ambito oggettivo è esteso anche alle violazioni del diritto interno, in conformità alla facoltà prevista dalla direttiva. Sono invece esclusi, tra gli altri, i conflitti o rivendicazioni di carattere personale nei rapporti di lavoro e le segnalazioni relative a sicurezza nazionale o ad appalti connessi a difesa e sicurezza nazionale, salvo i casi riconducibili al diritto derivato dell’Unione.

Sotto il profilo soggettivo, la tutela si estende a un ampio novero di persone: dipendenti, collaboratori, lavoratori subordinati e autonomi, liberi professionisti, volontari, tirocinanti anche non retribuiti, azionisti e soggetti con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche di fatto.

Definizioni e canali di segnalazione

L’art. 2 introduce le definizioni rilevanti, tra cui quelle di violazioni, informazioni sulle violazioni, segnalazioni interne ed esterne, divulgazione pubblica, persona segnalante, facilitatore, persona coinvolta e soggetti del settore pubblico e privato.

Gli artt. 4 e 5 disciplinano i canali interni, che devono assicurare riservatezza dell’identità del segnalante, delle persone coinvolte e del contenuto della segnalazione, anche tramite crittografia. La gestione può essere affidata a un soggetto interno dedicato o a un soggetto esterno, purché vi siano autonomia e specifica formazione. Le segnalazioni possono essere effettuate per iscritto, anche con modalità informatiche, oppure oralmente tramite linea telefonica, sistemi di messaggistica vocale o incontro diretto su richiesta del segnalante. Sono inoltre previsti termini per il riscontro sulla ricezione, verifica e analisi della segnalazione.

Segnalazione esterna presso ANAC e divulgazione pubblica

Gli artt. 6, 7, 8, 9 e 10 disciplinano la segnalazione esterna. Essa è ammessa in caso di assenza o inefficacia dei canali interni, timore di ritorsioni o pericolo per il pubblico interesse. ANAC è titolare del canale esterno, che deve garantire riservatezza anche mediante crittografia e consente presentazioni tramite piattaforma informatica, forma scritta, forma orale o incontro diretto.

ANAC deve fornire riscontro al segnalante e trasmettere alle autorità competenti le segnalazioni che esulano dalle proprie attribuzioni, incluse quelle di enti dell’Unione europea, assicurando anch’esse la riservatezza degli interessati. L’art. 10 prevede che ANAC adotti linee guida, previo parere del Garante, anche per promuovere l’uso di strumenti di crittografia.

L’art. 15 disciplina la divulgazione pubblica come ulteriore modalità di segnalazione, ammettendo anche in tale ipotesi l’accesso alle misure di protezione previste dal decreto, nel rispetto della clausola di salvaguardia per il segreto professionale giornalistico.

Obblighi di riservatezza e tutela degli interessati

L’art. 12 contiene il nucleo delle garanzie di riservatezza. La segnalazione può essere utilizzata solo per darvi seguito e l’identità del segnalante non può essere rivelata, salvo consenso espresso, a soggetti diversi da quelli autorizzati anche ai sensi degli artt. 29 e 32, par. 4, GDPR e dell’art. 2-quaterdecies del Codice. Nel procedimento penale l’identità è coperta dal segreto di cui all’art. 329 c.p.p.; nel procedimento contabile non può essere rivelata fino alla chiusura della fase istruttoria; nel procedimento disciplinare la rivelazione è ammessa solo in presenza di contestazioni fondate su accertamenti distinti e ulteriori rispetto alla segnalazione.

Se la rivelazione dei dati riservati è necessaria per la difesa della persona coinvolta, le ragioni devono essere comunicate per iscritto al segnalante. Anche l’identità delle persone coinvolte o menzionate è protetta fino alla conclusione dei relativi procedimenti. Inoltre, la segnalazione è sottratta sia all’accesso documentale ex artt. 22 e seguenti della legge 241/1990, sia all’accesso civico semplice e generalizzato ex d.lgs. 33/2013.

Trattamento dei dati personali: conformità al GDPR, DPIA e minimizzazione

L’art. 13 disciplina in modo espresso il trattamento dei dati personali, ribadendo la conformità al GDPR, al Codice privacy e al d.lgs. 51/2018. Il decreto individua i ruoli dei soggetti coinvolti nel trattamento, impone la valutazione d’impatto sulla protezione dei dati e prevede l’obbligo di non raccogliere dati personali manifestamente non utili alla gestione della specifica segnalazione, con immediata cancellazione qualora acquisiti accidentalmente.

Il Garante evidenzia anche che i diritti di cui agli artt. 15-22 GDPR sono esercitabili nei limiti dell’art. 2-undecies del Codice, come modificato dallo schema, con conseguente coordinamento con le possibili limitazioni previste per esigenze di tutela degli interessi pubblici e procedimentali.

Conservazione della documentazione

L’art. 14 consente la conservazione delle segnalazioni interne ed esterne e della relativa documentazione per il tempo necessario alla definizione della procedura e, in ogni caso, per non più di cinque anni dalla comunicazione dell’esito finale. La previsione è letta in coerenza con l’obbligo di riservatezza e con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR e al corrispondente principio del d.lgs. 51/2018.

Lo stesso articolo disciplina anche le modalità di documentazione delle segnalazioni effettuate via telefono, messaggistica vocale o incontro diretto.

Misure di protezione, divieto di ritorsione ed esimente

Gli artt. 16, 17, 18, 19, 20 e 22 regolano le misure di protezione. La tutela è subordinata alla buona fede del segnalante, mentre i motivi della segnalazione sono dichiarati irrilevanti. È introdotto un generale divieto di ritorsione, con elencazione non tassativa di condotte ritorsive, comprensive anche di danni reputazionali, in particolare sui social media, e con inversione dell’onere della prova.

Sono previste misure di sostegno mediante enti del Terzo settore iscritti in apposito elenco presso ANAC, oltre alla possibilità per l’autorità giudiziaria o amministrativa di richiedere ad ANAC informazioni e documenti. L’art. 20 prevede un’esimente ampia, che esclude responsabilità penale, civile e amministrativa per chi effettui segnalazione, denuncia o divulgazione pubblica di informazioni coperte da segreto o da tutele specifiche, purché vi fossero fondati motivi per ritenerla necessaria a rivelare la violazione; l’esimente non opera per condotte non strettamente necessarie o non collegate alla segnalazione.

L’art. 22 stabilisce la nullità di rinunce e transazioni relative ai diritti e alle tutele introdotte.

Valutazioni del Garante e conclusione

Il Garante osserva che lo schema recepisce in larga misura le indicazioni già formulate nei lavori preliminari, in particolare su: maggiore determinatezza della nozione di violazione; perfezionamento dell’obbligo di riservatezza e delle linee guida ANAC; migliore disciplina del trattamento dei dati personali; revisione del termine massimo di conservazione; adeguamento dell’art. 2-undecies, comma 1, lett. f), del Codice.

Ritenendo che il testo abbia ormai raggiunto un adeguato livello di conformità alle esigenze di tutela della protezione dei dati personali e non presentando criticità residue, il Garante esprime parere favorevole sullo schema di decreto legislativo.