La nuova Direttiva sul whistleblowing: cosa devono fare ora le aziende

I punti essenziali in breve

• La Direttiva UE sul whistleblowing tutela le persone che segnalano e portano alla luce violazioni di legge commesse dalle aziende o al loro interno.
• Le aziende devono predisporre canali di segnalazione adeguati e adottare misure per proteggere i segnalanti da sanzioni e ritorsioni.
• La Direttiva UE si applica a tutte le aziende e agli enti pubblici con più di 49 dipendenti.
• La Direttiva è entrata ufficialmente in vigore alla fine del 2021. In Germania non è ancora stata recepita nella legislazione nazionale.
• L’UE ha quindi avviato una procedura d’infrazione contro la Germania.
• L’entrata in vigore di una legge tedesca sulla protezione dei whistleblower è prevista a breve.

Cos’è la Direttiva UE sul whistleblowing e da quando si applica?

A differenza dei regolamenti UE, le direttive UE non hanno efficacia giuridica diretta. Per acquisirla, devono prima essere recepite nel diritto nazionale dagli Stati membri. Di norma, le direttive UE fissano un termine vincolante per l’attuazione di tali atti. Entro tale termine, tutti gli Stati membri devono integrare le prescrizioni delle direttive nella propria legislazione nazionale. Lo stesso vale per la Direttiva sul whistleblowing (UE) 2019/1937.

Il Parlamento europeo e il Consiglio europeo hanno adottato la Direttiva sul whistleblowing il 23 ottobre 2019. Il termine per il recepimento è scaduto il 17 dicembre 2021. Finora la Germania e diversi altri Stati non sono riusciti ad approvare una legge corrispondente. Nel gennaio 2022, la Commissione europea ne ha quindi sollecitato l’attuazione e avviato procedure d’infrazione.

È disponibile una bozza di legge nazionale sulla protezione dei whistleblower (HinSchG), la cui entrata in vigore è prevista a breve. Nel frattempo, in caso di controversie i tribunali faranno riferimento alla Direttiva UE, le cui prescrizioni si applicano quindi già oggi nella pratica. Le aziende che non hanno ancora istituito un sistema di whistleblowing adeguato dovrebbero pertanto agire con urgenza.

Qual è lo scopo della nuova Direttiva sui whistleblower?

Con la direttiva UE sulla protezione dei whistleblower, il legislatore europeo riconosce il ruolo fondamentale dei segnalanti nel mantenimento di una società equa e trasparente, nonché il fatto che, per il loro impegno, i whistleblower aziendali sono spesso esposti a ritorsioni. Ciò viene dichiarato esplicitamente già nel primo considerando dell’introduzione alla Direttiva UE sul whistleblowing.

Direttiva UE sul whistleblowing, introduzione, considerando 1

«Le persone che lavorano per un’organizzazione pubblica o privata o sono in contatto con essa nell’ambito della propria attività professionale sono spesso le prime a venire a conoscenza di minacce o danni all’interesse pubblico che si verificano in tale contesto. Segnalando violazioni del diritto dell’Unione lesive dell’interesse pubblico, tali persone agiscono in qualità di whistleblower e svolgono un ruolo decisivo nel portare alla luce e prevenire tali violazioni. Tuttavia, per timore di ritorsioni, i potenziali whistleblower spesso rinunciano a segnalare le proprie preoccupazioni o i propri sospetti. In tale contesto, tanto a livello dell’Unione quanto internazionale, viene sempre più riconosciuta la necessità di una protezione equilibrata ed efficace dei whistleblower.»

La nuova Direttiva mira a proteggere efficacemente i whistleblower dalle ritorsioni in tutta Europa. Chi ha il coraggio di denunciare irregolarità nelle aziende non deve temere declassamenti, mobbing o persino il licenziamento. In base alla Direttiva UE, inoltre, i whistleblower non potranno più essere perseguiti in sede civile, penale o amministrativa per aver rivelato violazioni di legge e irregolarità. Le nuove norme intendono favorire l’emersione delle violazioni del diritto UE vigente. A tal fine, le aziende sono obbligate a istituire sistemi di segnalazione sicuri e riservati.

Quali requisiti impone alle aziende la nuova Direttiva sul whistleblowing?

La nuova Direttiva sui whistleblower obbliga le aziende a istituire un canale interno di segnalazione adeguato. Per raggiungere l’obiettivo primario di tutela, devono essere soddisfatti i seguenti requisiti:

• Il sistema deve preservare la riservatezza dell’identità del whistleblower.
• Il canale di segnalazione deve essere protetto e sicuro.
• I dati personali devono essere trattati in conformità al GDPR.
• Devono essere rispettati i termini prescritti per la gestione e il riscontro al segnalante (conferma di ricezione entro sette giorni al massimo).
• Le aziende devono informare tutti gli stakeholder sulle modalità di segnalazione e sul relativo processo. Le informazioni devono essere facilmente accessibili e comprensibili.

Perché la Direttiva prevede anche canali di segnalazione esterni e cosa comporta per le aziende?

Poiché è sempre possibile che aziende, organizzazioni o istituzioni pubbliche non rispettino, o rispettino solo in modo insufficiente, i requisiti per l’istituzione di canali interni, la Direttiva UE prevede anche canali di segnalazione esterni. Gli Stati membri devono istituirli e dotarli di risorse adeguate. Tali canali potrebbero, ad esempio, essere collocati presso la procura o la polizia.

Buono a sapersi: all’articolo 7, paragrafo 2, la Direttiva UE sul whistleblowing attribuisce esplicitamente priorità ai canali interni rispetto a quelli esterni, purché «sia possibile affrontare efficacemente la violazione a livello interno e il segnalante ritenga che non vi sia rischio di ritorsioni». È quindi nell’interesse delle aziende installare un sistema di segnalazione che funzioni nel modo più efficace possibile secondo le intenzioni del legislatore. In caso contrario, rischiano che le violazioni vengano immediatamente rese note all’esterno e perseguite dagli organi ufficiali, con rischi conseguentemente elevati per la reputazione e l’immagine aziendale.

Quali aziende devono rispettare la Direttiva UE sui whistleblower?

La nuova Direttiva UE si applica alle aziende con almeno 250 dipendenti dal 17 dicembre 2021, almeno in linea di principio, poiché il Bundestag tedesco non ha ancora approvato ed emanato la legge sulla protezione dei whistleblower già predisposta. Attualmente non vi sono quindi né controlli statali né sanzioni contro le aziende che non hanno predisposto canali o attuato le misure richieste. In caso di necessità, tuttavia, i whistleblower potrebbero già far valere i propri diritti in tribunale.

La Direttiva UE concede un periodo transitorio più lungo alle aziende con più di 50 e meno di 250 dipendenti. Queste imprese hanno tempo fino al 17 dicembre 2023 per introdurre canali di segnalazione e misure di whistleblowing. La Direttiva si applica inoltre ai fornitori di servizi finanziari di qualsiasi dimensione, alle istituzioni del settore pubblico e ai comuni con più di 10.000 abitanti.

Quali violazioni devono essere segnalate?

La Direttiva UE sul whistleblowing si concentra innanzitutto sul diritto dell’UE, in particolare sulle violazioni nei seguenti ambiti e delle seguenti norme:

• Appalti pubblici
• Servizi finanziari e assicurazioni
• Riciclaggio di denaro e finanziamento del terrorismo
• Tutela dei consumatori e sicurezza dei prodotti
• Protezione dei dati
• Tutela dell’ambiente
• Diritto della concorrenza e degli aiuti di Stato

Gli Stati membri sono tuttavia liberi di andare oltre il diritto dell’UE nella legislazione nazionale e includere anche violazioni del diritto interno. La legge tedesca sulla protezione dei whistleblower (HinSchG), non ancora approvata, prevede una tutela generale per chi segnala condotte gravemente scorrette la cui scoperta rivesta particolare interesse pubblico.

Come attuare i requisiti e quali canali interni soddisfano la Direttiva UE?

Non esiste un’unica risposta corretta. Molte strade possono portare al successo ed è possibile e consentito predisporre più canali in parallelo. Ciò che conta è che l’identità del segnalante e di eventuali terzi menzionati resti riservata. A tal fine serve un referente centrale e indipendente che gestisca le segnalazioni, ad esempio il responsabile esterno della protezione dei dati. Il sistema dovrebbe inoltre essere disponibile 24 ore su 24, protetto dagli accessi non autorizzati e consentire il dialogo, anche in più lingue a seconda della struttura aziendale.

Canali come la tradizionale cassetta delle lettere o una casella e-mail sono in linea di principio possibili, ma a un esame più attento risultano poco adatti. Chi inserisce qualcosa in una cassetta potrebbe essere osservato; la segnalazione arriva con ritardo e non consente il dialogo. La situazione è simile per una casella e-mail: anche qui l’anonimato è a rischio e lo scambio sicuro di informazioni e documenti è possibile solo in misura limitata. Soluzioni esterne, come un call center gestito da terzi o un mediatore, sono invece alternative piuttosto costose e non integrate nelle strutture aziendali.

Nuviax consiglia quindi di istituire un sistema digitale di whistleblowing. In concreto, collaboriamo con un partner e installiamo un sistema cloud. I vantaggi di questa soluzione:

• Disponibile 24/7 in tutto il mondo per ricevere e gestire le segnalazioni
• Crittografia sicura
• Comunicazione bidirezionale
• Risparmio di tempo e denaro
• Conforme al 100% alla Direttiva UE

Conclusione: cosa dovrebbero fare ora le aziende?

Presto non si potrà più fare a meno di un sistema interno di whistleblowing. Se non l’hanno già fatto, le aziende dovrebbero affrontare il tema e agire il prima possibile, anche nel proprio interesse: i sistemi di segnalazione sono infatti strumenti molto efficaci per individuare tempestivamente violazioni e casi sospetti. È il presupposto per portare alla luce le violazioni in modo proattivo e mantenere il controllo della situazione. In breve: con un sistema professionale di whistleblowing rafforzate la fiducia di tutti gli stakeholder nell’integrità e nella capacità di azione della vostra azienda.