ARPAL UMBRIA

Agenzia politiche attive del lavoro

 

Procedura per la segnalazione degli illeciti e tutela delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali

(in attuazione del D.lgs. n. 24 del 10.03.2023)

 

Approvata con Determinazione del Commissario Straordinario n.1022 del 28.05.2024  

 

 

Sommario

 

PREMESSA

1.      Principali norme e provvedimenti di riferimento. 

2.      I soggetti ai quali si riconosce la tutela. 

3.      L’oggetto della segnalazione, della divulgazione pubblica e della denuncia. 

4.     Gli elementi e le caratteristiche della segnalazione. 

5.     I canali di trasmissione delle segnalazioni 

6.     I canali di segnalazione interna attivi presso l’Agenzia. 

7. La gestione delle segnalazioni interne. 

8.     Il trattamento e la conservazione dei dati.

9.      Il canale di segnalazione esterna.

10.   La divulgazione pubblica.

11.   La denuncia all’autorità giudiziaria e contabile.

12.   Le tutele e le misure di sostegno.

12.1       La tutela della riservatezza dell’identità.

12.2       La tutela da ritorsioni.

12.3.      La tutela relativa a limitazioni di responsabilità.

12.4.      Le misure di sostegno.

13.   Il sistema sanzionatorio.

14.   Attività di informazione, sensibilizzazione e formazione.

15.   Disposizioni finali.

Allegato a) - Trattamento dei dati personali 

 

PREMESSA

Il Decreto Legislativo del 10 marzo 2023, n. 24 ha recepito in Italia la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio raccogliendo in un unico testo normativo l’intera disciplina del whistleblowing, dei canali di segnalazione e delle tutele riconosciute ai segnalanti sia del settore pubblico che privato.

Il whistleblowing è uno strumento attraverso il quale si possono segnalare condotte e illeciti di cui si sia venuti a conoscenza nel proprio contesto lavorativo.

Il whistleblower o segnalante è la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato di cui è venuta a conoscenza nell’ambito del proprio contesto lavorativo.

Il presente documento definisce e descrive le modalità organizzative e procedurali con cui ARPAL Umbria applica le disposizioni di cui al D.lgs. n. 24/2023, anche in conformità alle Linee guida ANAC approvate con Delibera n. 311 del 12 luglio 2023 e sostituisce il documento approvato con Determinazione Direttoriale n. 1585 del 22.12.2022 .

• Decreto legislativo 30 marzo 2001, n. 165, recante norme generali sull'ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche.
• Legge 6 novembre 2012, n. 190 “Disposizioni per la prevenzione e la repressione della corruzione e dell’illegalità nella pubblica amministrazione”.
• Direttiva (Ue) 2019/1937 del Parlamento Europeo e del Consiglio del 23 ottobre 2019 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione.
• Decreto legislativo 10 marzo 2023, n. 24: Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.
• Delibera ANAC n. 301 del 12 luglio 2023: Regolamento per la gestione delle segnalazioni esterne e per l’esercizio del potere sanzionatorio dell’ANAC in attuazione del Decreto legislativo 10 marzo 2023, n. 24.
• Delibera ANAC n. 311 del 12 luglio 2023: Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne.
• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE.
• Decreto legislativo 30 giugno 2003, n. 196, “Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE”.

I soggetti legittimati a effettuare la segnalazione, la divulgazione pubblica o la denuncia all’autorità giudiziaria o contabile che beneficiano delle tutele di cui al D.lgs. n. 24 del 10.03.2023 sono:

• i dipendenti di ARPAL Umbria – di seguito denominata Agenzia;
• i lavoratori autonomi, collaboratori, liberi professionisti e consulenti con qualsiasi tipologia di contratto o incarico che prestano la propria attività presso l’Agenzia;
• i volontari e i tirocinanti, anche a titolo gratuito;
• i titolari di funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza;
• i dipendenti e collaboratori delle imprese fornitrici di beni e servizi e dei concessionari di pubblico servizio, nel caso in cui la segnalazione riguardi fatti che interessino l’Agenzia.

Ai soggetti sopra elencati la tutela si applica non solo se la segnalazione, la divulgazione pubblica o la denuncia avviene in costanza di rapporto giuridico (di lavoro, consulenza, volontariato, etc.), ma anche:

• prima dell’inizio del rapporto giuridico con l’Agenzia, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;
• durante il periodo di prova;
• successivamente allo scioglimento del rapporto giuridico, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto giuridico stesso.

Le misure di tutela si estendono anche ai soggetti diversi dal segnalante che, proprio in ragione del ruolo assunto nell’ambito del processo di segnalazione e/o del particolare rapporto che li lega al segnalante, potrebbero essere destinatari di ritorsioni:

• i facilitatori, vale a dire coloro che forniscono consulenza e assistenza in via riservata al segnalante nel processo di segnalazione, operanti all’interno del medesimo contesto lavorativo. La tutela di riservatezza riguarda sia la loro identità che l’attività in cui l’assistenza si concretizza;
• le persone del medesimo contesto lavorativo della persona segnalante a cui sono legate da uno stabile legame affettivo o di parentela entro il quarto grado;
• i colleghi di lavoro della persona segnalante o che lavorano nel medesimo contesto lavorativo e che hanno con detta persona un rapporto abituale e corrente;
• gli enti di proprietà della persona segnalante o per le quali dette persone lavorano e gli enti che operano nel medesimo contesto lavorativo di tali soggetti.

Sono oggetto di segnalazione, divulgazione pubblica o denuncia all’autorità giudiziaria o contabile le violazioni, o i fondati sospetti di violazioni, di normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica di cui il segnalante sia venuto a conoscenza nel contesto lavorativo dell’Agenzia e che consistono in:

1. illeciti amministrativi, contabili, civili o penali relativi al diritto nazionale;
2. illeciti che rientrano nell’ambito di applicazione della normativa dell’UE indicata nell’Allegato al D.lgs. 24/2023 e delle disposizioni nazionali che ne danno attuazione;
3. atti od omissioni che ledono gli interessi finanziari dell’Unione Europea (art. 325 del Trattato sul funzionamento dell’Unione europea, lotta contro la frode e le attività illegali che ledono gli interessi finanziari dell’UE), come individuati nei regolamenti, direttive, decisioni, raccomandazioni e pareri dell’UE;
4. atti od omissioni riguardanti il mercato interno che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (art. 26, paragrafo 2, del Trattato sul funzionamento dell’Unione europea). Sono ricomprese le violazioni delle norme dell'UE in materia di concorrenza e di aiuti di Stato di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l'oggetto o la finalità della normativa applicabile in materia di imposta sulle società;
5. atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni dell’Unione Europea nei settori indicati nei punti precedenti. In tale ambito vanno ricondotte, ad esempio, le pratiche abusive quali definite dalla giurisprudenza della Corte di Giustizia dell’Unione europea.

Le informazioni, compresi i fondati sospetti, possono riguardare sia le violazioni commesse, sia quelle che il segnalante ritiene che potrebbero essere commesse sulla base di elementi concreti, precisi e concordanti.

Possono essere oggetto di segnalazione, divulgazione pubblica o denuncia anche:

• quegli elementi che riguardino condotte volte ad occultare le violazioni (es. attività di occultamento o distruzione di prove circa la commissione della violazione);
• le mere irregolarità, a condizione però che costituiscano “elementi concreti” (indici sintomatici) tali da far ritenere ragionevolmente al segnalante che potrebbe essere commessa una delle violazioni previste dal D.lgs. 24/2023.

Al momento della segnalazione la persona segnalante deve avere un ragionevole e fondato motivo di ritenere che le informazioni sulle violazioni segnalate siano vere e rientrino nell'ambito oggettivo di cui sopra.

I motivi che hanno indotto la persona a segnalare, divulgare pubblicamente o denunciare sono irrilevanti ai fini della trattazione della segnalazione e della protezione da misure ritorsive.

Non possono essere invece oggetto di segnalazione:

• le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sulla base di indiscrezioni o vociferazioni scarsamente attendibili (cd. voci di corridoio);
• le contestazioni, rivendicazioni o richieste legate a un interesse di carattere personale che attengano esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;
• le segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell'Unione europea o nazionali indicati nella parte II dell'allegato al D.lgs. 24/2023 ovvero da quelli nazionali che costituiscono attuazione degli atti dell'Unione europea indicati nella parte II dell'allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell'allegato al D.lgs. 24/2023;
• le segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell'Unione europea.

Resta ferma l’applicazione delle disposizioni dell’UE e nazionali nelle materie di cui all’art. 1, commi 3 e 4 del D.lgs. 24/2023.

La segnalazione deve essere il più possibile circostanziata e fornire elementi utili per procedere alle dovute verifiche e controlli.

In particolare, devono essere chiare:

• • le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione;
  • la descrizione del fatto;
  • le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.

È utile anche allegare documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.

Le segnalazioni possono essere effettuate, ricorrendone i presupposti, tramite i seguenti canali:

1) canale interno (gestito dall’Amministrazione);

2) canale esterno (gestito da ANAC - Autorità Nazionale Anticorruzione);

3) divulgazione pubblica;

4) denuncia all’Autorità giudiziaria o contabile.

L’Agenzia ha attivato un’apposita piattaforma informatica dedicata alla gestione delle segnalazioni e raggiungibile dalla home page del portale web istituzionale, alla voce “Segnalazione illeciti” all’indirizzo: https://ARPALumbria.segnalazioni.net.

La segnalazione può essere effettuata esclusivamente attraverso la suddetta piattaforma.

La piattaforma garantisce, tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante e degli altri soggetti di cui al punto 2, delle persone coinvolte o menzionate nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Le informazioni inserite nel sistema sono visualizzabili solo da chi invia la segnalazione e dal Responsabile Prevenzione Corruzione e Trasparenza (RPCT) dell’Agenzia, unico soggetto autorizzato a ricevere la segnalazione. Nessun altro soggetto non autorizzato può accedere ai contenuti o sapere che è stata inviata una segnalazione.

I dati del segnalante sono separati dalla segnalazione e soltanto il RPCT ha la facoltà di associare la segnalazione al nome dell’utente che l’ha inviata. Questa azione viene notificata al segnalante in un’apposita area della segnalazione, insieme alla motivazione indicata dal RPCT.

L’accesso alla piattaforma può avvenire nei seguenti modi:

1. con registrazione dell’utente e la creazione di un account attraverso la funzionalità “Accedi all'area di segnalazione” a cui segue l’invio della segnalazione. Per effettuare la registrazione è necessario compilare i campi obbligatori relativi al nome e cognome. Tramite l’account si accede alla piattaforma utilizzando username e password scelto dal segnalante;
2. senza la creazione di un account, con accesso diretto alla funzionalità “Segnala senza registrazione”. I campi relativi al nome e cognome non sono obbligatori, ma nel caso di mancata compilazione la segnalazione è anonima. A ogni segnalazione il sistema attribuisce un codice univoco e una password che devono essere conservati per poter accedere nuovamente alla segnalazione. Il codice e la password se oggetto di smarrimento non possono essere rigenerati.

Il segnalante può scegliere se effettuare la segnalazione in forma scritta oppure in forma orale.

Per la segnalazione scritta è prevista la compilazione di un apposito modulo, completo di tutte le informazioni obbligatorie e il maggior numero possibile di quelle facoltative. È utile anche allegare documenti e file multimediali che possano fornire al RPCT elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.

Per effettuare la segnalazione in forma orale è richiesto l’inserimento nel format della tipologia di illecito e poi è possibile avviare la registrazione.

Il segnalante, prima di inviare la segnalazione, può riascoltare il messaggio audio ed eventualmente eliminarlo. Una volta confermato l’invio, la segnalazione viene gestita dal sistema come normale segnalazione. Il RPCT riceve una segnalazione con allegato un audio distorto, in modo da evitare il riconoscimento della voce del segnalante

Le segnalazioni anonime sono trattate come segnalazioni ordinarie, tuttavia, il segnalante successivamente identificato, che ha comunicato ad ANAC di aver subito ritorsioni può beneficiare della tutela garantita a fronte di misure ritorsive, così come specificato al punto 12.2.

Nella piattaforma informatica è pubblicata l'informativa specifica relativa al trattamento dei dati personali. L’Agenzia sul proprio sito istituzionale fornisce informazioni sull’uso dei canali interni di segnalazione, sugli obblighi informativi relativi al trattamento dei dati personali, mettendo a disposizione il presente documento.

Il RPCT è l’unico soggetto abilitato all’accesso alla piattaforma con credenziali di autenticazione ad uso esclusivo. Nel caso in cui l’incarico di RPCT venga attribuito ad altro soggetto sarà garantita la modifica delle credenziali di accesso.

Una volta inviata la segnalazione, utilizzando una delle modalità sopra indicate, il sistema rilascia alla persona segnalante l’avviso di ricevimento.

Il RPCT procede quindi all’esame preliminare della segnalazione al fine di accertare, da un lato, se esistono i presupposti per accordare le tutele al segnalante e, dall’altro, se la segnalazione contiene elementi meritevoli di essere approfonditi in fase istruttoria.

La segnalazione è considerata inammissibile, con conseguente archiviazione in via diretta, per almeno uno dei seguenti motivi:

1. manifesta infondatezza per l’assenza di elementi di fatto riconducibili alle violazioni tipicizzate nell’art.2, co.1, lett. a del D.lgs. 24/2023 (punto 3 del presente documento) e idonei a giustificare ulteriori accertamenti;
2. presentata da un soggetto non legittimato a effettuare la segnalazione, ai sensi dell’art. 3 del D.lgs. 24/2023 (punto 2 del presente documento);
3. manifesta incompetenza dell’Agenzia;
4. accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti e segnalazione corredata da documentazione non appropriata o inconferente;
5. produzione di sola documentazione senza descrizione esaustiva dei fatti e/o elementi essenziali.

Nei casi in cui alle lettere d) ed e), ove quanto segnalato non sia adeguatamente circostanziato, il RPCT può chiedere al segnalante, sempre tramite piattaforma, elementi integrativi e di chiarimento/precisazione.

Il RPCT, se valuta l’ammissibilità della segnalazione, procede con l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi. In tale fase il RPCT svolge un’attività di verifica e di analisi della segnalazione, compiendo ogni atto istruttorio utile alla più sollecita ed efficace definizione del procedimento, anche mediante l’acquisizione di atti, di documenti, il supporto da parte di altri uffici dell’Agenzia, il coinvolgimento di terze persone, tramite audizioni e altre richieste, avendo sempre cura che non sia compromessa la tutela della riservatezza del segnalante e del segnalato e dei soggetti menzionati nella segnalazione.

All’esito dell’istruttoria, il RPCT fornisce un riscontro alla segnalazione, entro tre mesi dalla data dell'avviso di ricevimento; il riscontro può consistere nella comunicazione dell’archiviazione, nell’avvio di un’inchiesta interna ed eventualmente nelle relative risultanze, nei provvedimenti adottati per affrontare la questione sollevata, nel rinvio a un’autorità competente per ulteriori indagini.

Al momento della conclusione della procedura, il RPCT provvede a scrivere una breve nota sulle motivazioni riguardo all’esito, comunicandola prontamente al segnalante con le stesse modalità utilizzate per l’inoltro della segnalazione.

Il RPCT qualora ritenga fondato il fatto segnalato, in relazione ai profili di illiceità riscontrati, provvede a trasmettere la segnalazione con una relazione di risultanze istruttorie, a uno dei seguenti soggetti: al Dirigente della struttura in cui si è verificato il fatto, all’Ufficio per i procedimenti disciplinari ai sensi dell’art. 55bis del D.lgs. n. 165/2001, all’Autorità giudiziaria o alla Corte dei Conti.

Nell’invio ai diversi destinatari, pur nella consapevolezza degli obblighi di legge vigenti rispetto ai procedimenti penali e a quelli davanti alla Corte dei conti espressamente richiamati al co. 3 e co. 4 dell’art. 12 del D.lgs. 24/2023, avviene specificando che si tratta di una segnalazione whistleblowing, nel cui processo di gestione viene assunta ogni cautela per garantire il rispetto delle disposizioni previste dal decreto legislativo.

I dati e i documenti oggetto della segnalazione vengono trattati nel rispetto della normativa in materia di protezione dei dati personali e in base alle disposizioni contenute nel Disciplinare Privacy di ARPAL Umbria. Il RPCT e gli eventuali soggetti coinvolti nella gestione delle singole segnalazioni, opportunamente autorizzati, sono tenuti al rispetto degli obblighi di riservatezza del whistleblower e dei fatti oggetto di segnalazione; pertanto, sono ritenuti responsabili delle eventuali violazioni dei predetti obblighi.

Le segnalazioni interne, comprese le segnalazioni anonime, e la relativa documentazione, ai sensi dell’art. 14 del D.lgs. 24/2023, sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui all’art. 12 del D.lgs. 24/2023 e del principio di cui agli articoli 5, paragrafo 1, lettera e del Regolamento (UE) 2016/679 e 3, comma 1, lettera e del D.lgs. n. 51/2018.

Nell’allegato a) “Trattamento dei dati personali” al presente documento sono descritti le modalità di trattamento e di gestione dei dati personali e i ruoli dei soggetti coinvolti.

Il segnalante può effettuare una segnalazione esterna all’ANAC se, al momento della presentazione, ricorre una delle seguenti condizioni:

• il canale obbligatorio interno al proprio contesto lavorativo non sia stato attivato o, se attivato, non risulti conforme a quanto previsto dalla normativa;
• la segnalazione interna effettuata utilizzando il canale dedicato non ha avuto seguito;
• chi segnala ha fondati motivi di ritenere che la segnalazione interna possa non avere efficace seguito o determinare il rischio di ritorsione;
• chi segnala ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Il canale di segnalazione esterna adottato da ANAC garantisce, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità del whistleblower, della persona coinvolta e della persona menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Nel sito istituzionale di ANAC, cliccando il link alla pagina dedicata, si accede al servizio “whistleblowing”: https://whistleblowing.anticorruzione.it/#/.

Le modalità e tempistiche nella gestione delle segnalazioni esterne sono illustrate dall’Autorità stessa nell’ambito del proprio canale di segnalazione, ai sensi del D.lgs. 24/2023, dell’apposito “Regolamento per la gestione delle segnalazioni esterne e per l’esercizio del potere sanzionatorio dell’ANAC in attuazione del Decreto Legislativo 10 marzo 2023, n. 24”, adottato con delibera n. 301 del 12 luglio 2023 e delle Linee Guida ANAC approvate con Delibera n. 311 del 12 luglio 2023.

La divulgazione pubblica è un’ulteriore modalità di segnalazione delle informazioni sulle violazioni, rese di pubblico dominio tramite la stampa o mezzi elettronici o comunque attraverso mezzi di diffusione in grado di raggiungere un numero elevato di persone.

La segnalazione effettuata tramite divulgazione pubblica, beneficia di protezione soltanto nel caso in cui la persona che segnala:

1. abbia in precedenza effettuato una segnalazione interna e/o esterna senza alcun riscontro nei termini previsti;
2. abbia fondato motivo di ritenere che la violazione segnalata possa costituire un pericolo imminente o palese per il pubblico interesse;
3. abbia fondato motivo, sulla base di motivazioni ragionevoli e fondate, di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione di specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa.

Il D.lgs. 24/2023 riconosce il diritto di chiunque sia venuto a conoscenza di un fatto illecito di denunciarlo alle autorità giudiziarie o contabili competenti. Qualora il segnalante rivesta la qualifica di pubblico ufficiale o di incaricato di pubblico servizio, tale denuncia, per i reati procedibili d’ufficio, assume carattere obbligatorio.

Il sistema di protezione nei confronti dei soggetti di cui al punto 2, prevede i seguenti tipi di tutela:

1. la tutela della riservatezza del segnalante;
2. la tutela da eventuali misure ritorsive adottate dall’ente in ragione della segnalazione, divulgazione pubblica o denuncia effettuata;
3. le limitazioni della responsabilità rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni che operano al ricorrere di determinate condizioni;
4. la previsione di misure di sostegno da parte di enti del Terzo settore inseriti in un apposito elenco pubblicato da ANAC.

Le rinunce e le transazioni integrali o parziali aventi a oggetto il diritto di effettuare segnalazioni, divulgazioni pubbliche o denunce nel rispetto delle previsioni di legge o le tutele previste dal D.lgs. 24/2023 non sono valide, salvo che siano effettuate nelle sedi protette (giudiziarie, amministrative sindacali).

12.1    La tutela della riservatezza dell’identità

L'identità della persona segnalante e qualsiasi altra informazione da cui si possa evincere direttamente o indirettamente tale identità, non possono essere rivelate senza il consenso espresso della stessa persona segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate al relativo trattamento ai sensi del Regolamento (UE) 2016/679 e del D.lgs. n. 196/2003. La garanzia è estesa al facilitatore, alla persona coinvolta e alle persone menzionate nella segnalazione.

Nel rispetto dei principi fondamentali in materia di protezione dei dati personali, quali quello di limitazione delle finalità e minimizzazione dei dati, le segnalazioni non possono essere utilizzate oltre quanto necessario per dare alle stesse adeguato seguito e fino a conclusione dei procedimenti avviati.

Il RPCT, al momento della trasmissione della segnalazione o delle risultanze istruttorie al Dirigente della struttura in cui si è verificato il fatto, all’Ufficio dei Procedimenti Disciplinari, all’Autorità giudiziaria o alla Corte dei conti, evidenzia che si tratta di una segnalazione pervenuta da un soggetto cui l’ordinamento riconosce la tutela rafforzata della riservatezza ai sensi del D.lgs. 24/2023.

Nell’ambito del procedimento penale, l’identità del segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 c.p.p., mentre nel procedimento dinanzi alla Corte dei conti, l'identità della persona segnalante non può essere rivelata fino alla chiusura della fase istruttoria.

Nell'ambito del procedimento disciplinare, l'identità della persona segnalante non può essere rivelata, ove la contestazione dell'addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell'identità della persona segnalante sia indispensabile per la difesa dell'incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.

In due casi espressamente previsti dal D.lgs. 24/2023 è necessaria una comunicazione scritta delle ragioni della rivelazione dei dati riservati:

-     nel procedimento disciplinare, laddove il disvelamento dell’identità del segnalante sia indispensabile per la difesa del soggetto a cui viene contestato l’addebito disciplinare;

-     nei procedimenti instaurati in seguito a segnalazioni interne o esterne, laddove tale rivelazione sia indispensabile anche ai fini della difesa della persona coinvolta.

La segnalazione e la documentazione ad essa allegata sono sottratti al diritto di accesso agli atti amministrativi previsto dagli artt. 22 e ss. della L. n. 241/1990 e all’accesso civico generalizzato di cui agli artt. 5 e ss. del D.lgs. n. 33/2013;

Al fine di garantire il diritto alla protezione dei dati personali alle persone segnalanti o denuncianti l’acquisizione e gestione delle segnalazioni, divulgazioni pubbliche o denunce, ivi incluse le comunicazioni tra le autorità competenti, deve avvenire in conformità alla normativa in tema di tutela dei dati personali, in particolare al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR) e al D.lgs. n. 196 del 30 giugno 2003.

Qualsiasi scambio e trasmissione di informazioni che comportano un trattamento di dati personali da parte delle istituzioni, organi o organismi dell’UE deve inoltre avvenire in conformità al regolamento UE 2018/1725.

12.2    La tutela da ritorsioni

È previsto, a tutela del whistleblower, il divieto di ritorsione definita come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all'autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto”.

Si tratta, quindi, non solo di atti o provvedimenti, ma anche di comportamenti od omissioni che si verificano nel contesto lavorativo e che arrecano pregiudizio ai soggetti tutelati, includendo anche quelli “solo tentati o minacciati”.

Affinché si possa configurare una ritorsione e, di conseguenza, il soggetto possa beneficiare di protezione, è necessario uno stretto collegamento tra la segnalazione, la divulgazione e la denuncia e il comportamento/atto/omissione sfavorevole subito, direttamente o indirettamente, dalla persona segnalante, denunciante o che effettua la divulgazione pubblica.

Ferme restando le specifiche ipotesi di limitazione di responsabilità, la tutela prevista in caso di ritorsioni non è garantita quando è accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all'autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave. In caso di accertamento delle responsabilità, alla persona segnalante o denunciante è anche irrogata una sanzione disciplinare.

Le presunte ritorsioni, anche solo tentate o minacciate, devono essere comunicate esclusivamente ad ANAC attraverso il modulo della piattaforma informatica disponibile nel sito istituzionale della stessa, che garantisce la riservatezza dell’identità del whistleblower e del contenuto della comunicazione e dell’esposto, nonché della relativa documentazione.

Ad ANAC è affidato il compito di accertare se le ritorsioni siano conseguenti alla segnalazione, denuncia, divulgazione pubblica effettuata. L’onere di provare che tali condotte o atti sono motivati da ragioni estranee alla segnalazione è a carico di colui che li ha posti in essere (inversione dell’onere probatorio). Ciò vale nell’ambito dei procedimenti giudiziari, amministrativi e nelle controversie stragiudiziali. Tale beneficio non opera a favore di soggetti ed enti diversi dal segnalante.

Nel caso in cui l’Autorità accerti la natura ritorsiva di atti, provvedimenti, comportamenti, omissioni adottati, o anche solo tentati o minacciati, posti in essere dai soggetti del settore pubblico e privato, ne consegue la loro nullità e l’applicazione della sanzione amministrativa pecuniaria da 10.000 a 50.000 euro, come meglio specificato al successivo punto 13.

12.3. La tutela relativa a limitazioni di responsabilità

Sono previste limitazioni della responsabilità civile, penale e amministrativa rispetto alla rivelazione e alla diffusione di alcune categorie di informazioni coperte dall’obbligo di segreto d’ufficio, quando queste sono rivelate all’interno di una segnalazione, denuncia o divulgazione pubblica.

Tuttavia, la limitazione di responsabilità opera solo nei casi in cui ricorrano tutte le seguenti condizioni:

1. l’acquisizione delle informazioni sulle violazioni o per l'accesso alle stesse sia avvenuto in modo lecito e non costituisca “di per sé” un reato;
2. al momento della rivelazione o diffusione vi siano fondati motivi per ritenere che le informazioni siano necessarie per far scoprire la violazione;
3. la segnalazione, la divulgazione pubblica o la denuncia sia stata effettuata nel rispetto delle condizioni previste dal D.lgs. 24/2023 per beneficiare della tutela dalle ritorsioni (fondato motivo di ritenere che le informazioni sulle violazioni fossero veritiere e rientrassero tra le violazioni segnalabili ai sensi del Decreto stesso).

Va evidenziato, quindi, che la limitazione opera se le ragioni alla base della rivelazione o diffusione non sono fondate su semplici illazioni, gossip, fini vendicativi, opportunistici o scandalistici. In ogni caso, occorre considerare che non è esclusa la responsabilità per condotte che:

• • non siano collegate alla segnalazione;
  • non siano strettamente necessarie a rivelare la violazione;
  • configurino un’acquisizione di informazioni o l’accesso a documenti in modo illecito.

Ove l’acquisizione si configuri come un reato, si pensi all’accesso abusivo a un sistema informatico o a un atto di pirateria informatica, resta ferma la responsabilità penale e ogni altra responsabilità civile, amministrativa e disciplinare della persona segnalante. Sarà viceversa non punibile, ad esempio, l’estrazione (per copia, fotografia, asporto) di documenti cui si aveva lecitamente accesso.

12.4. Le misure di sostegno

È istituito presso ANAC l’elenco degli enti del Terzo Settore che forniscono alle persone segnalanti misure di sostegno. L’elenco è pubblicato da ANAC sul proprio sito istituzionale. Le misure di sostegno consistono in informazioni, assistenza e consulenze a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni offerta dalle disposizioni normative nazionali e da quelle dell'Unione europea, sui diritti della persona coinvolta, nonché sulle modalità e condizioni di accesso al patrocinio a spese dello Stato.

Ai sensi dell’art. 21 del D.lgs. 24/2023, ANAC applica le seguenti sanzioni amministrative pecuniarie:

1. 1. da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l'obbligo di riservatezza di cui all'articolo 12 del D.lgs. 24/2023 stesso;
   2. da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni ovvero che l'adozione di tali procedure non è conforme a quelle di cui agli articoli 4 e 5 del D.lgs. 24/2023, nonché quando accerta che non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute;
   3. da 500 a 2.500 euro, quando è accertata, anche con sentenza di I grado nel caso di c ui all'articolo 16 co. 3 dello stesso D.lgs. 24/2023, salvo che la persona segnalante sia stata condannata, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile.

L’Agenzia, attraverso il presente documento e le informazioni pubblicate nella sezione dedicata alla segnalazione di illeciti del portale web istituzionale e nella Intranet, mette a disposizione tutte le informazioni relative alle procedure, ai presupposti per effettuare le segnalazioni, interne o esterne, in ordine all’utilizzo del canale interno e alle tutele riconosciute dal D.lgs. 24/2023.

L’Agenzia si riserva di intraprendere iniziative di sensibilizzazione e di formazione nei confronti del proprio personale, al fine di creare un’opportuna consapevolezza circa le finalità e le tutele riconosciute al whistleblower, nonché una cultura di integrità e responsabilità all'interno dell’Agenzia stessa.

Per quanto non espressamente previsto nel presente atto si rinvia al D.lgs. 24/2023 e alle Linee guida ANAC approvate con Delibera n. 311 del 12 luglio 2023.

Il presente documento potrà essere suscettibile di adeguamenti a seguito di modifiche legislative o di emanazione di nuove Linee Guida da parte dell’ANAC o del Garante della Tutela dei Dati Personali.

 

 

Inquadramento dei trattamenti relativi al ricevimento e alla gestione di una segnalazione

Il ricevimento e la gestione delle segnalazioni determinano in capo all’Agenzia un trattamento dei dati personali:

• • di natura comune, di natura particolare (ex “dati sensibili”) e giudiziari (quali condanne penali e reati), eventualmente contenuti nella segnalazione e negli atti e nei documenti a essa allegati;
  • relativi a tutte le persone fisiche - identificate o identificabili - a vario titolo coinvolte nelle vicende segnalate (segnalante, segnalato, facilitatore, eventuali altri terzi), c.d. interessati;
  • necessario per dare attuazione agli obblighi di legge previsti dalla disciplina whistleblowing la cui osservanza è condizione di liceità del trattamento ex art. 6, par. 1, lett. c e parr. 2 e 3, art. 9, par. 2, lett. b e artt. 10 e 88 del GDPR (Parere del Garante privacy);
  • realizzato al solo fine di gestire e dare seguito alle segnalazioni (art. 12, co. 1 del D.lgs. 24/2023);
  • che, in ragione della particolare delicatezza delle informazioni potenzialmente trattate, della vulnerabilità degli interessati nel contesto lavorativo, nonché dello specifico regime di riservatezza dell’identità del segnalante previsto dal D.lgs. 24/2023, presenta rischi specifici per i diritti e le libertà degli interessati (Parere del Garante privacy) e, pertanto, deve essere preceduto da una valutazione d’impatto sulla protezione dei dati, c.d. DPIA (art. 13, co. 6 del D.lgs. 24/2023 e artt. 35 e 36 del GDPR);
  • rispetto al quale, l’esercizio dei diritti degli interessati (es. accesso, rettifica, aggiornamento, cancellazione, limitazione del trattamento, portabilità, opposizione) può essere limitato qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante (art. 13, co. 3 del D.lgs. 24/2023 e art. 2-undecies del Codice privacy).

Il trattamento relativo al ricevimento e alla gestione delle segnalazioni, al pari degli altri trattamenti dei dati personali eseguiti da parte dell’Agenzia, è censito nel registro delle attività di trattamento della medesima Agenzia in conformità all’art. 30 del GDPR.

Ruoli privacy nel canale di segnalazione interna

Il D.lgs. 24/2023 individua i ruoli ai fini della normativa sulla protezione dei dati degli enti che attivano il canale di segnalazione interna e dei soggetti coinvolti nella ricezione e nella gestione delle segnalazioni.

L’Agenzia, attraverso l’attivazione del canale interno, effettua i trattamenti di dati personali relativi al ricevimento e alla gestione delle segnalazioni in qualità di titolare del trattamento (art. 13, co. 4 del D.lgs. 24/2023).

Nel caso in cui l’Agenzia dovesse affidare - tutta o in parte - la gestione del canale di segnalazione a un soggetto esterno alla propria organizzazione, quest’ultimo provvederebbe a trattare i dati in qualità di responsabile del trattamento e, in quanto tale, ai sensi dell’art. 28 del GDPR, l'esecuzione dei trattamenti verrebbe disciplinata da apposito contratto stipulato in forma scritta e recante, tra l’altro le caratteristiche del trattamento affidato al responsabile, con particolare riguardo alla natura, alle finalità e alla durata del trattamento, al tipo di dati personali e alle categorie di interessati; gli obblighi e i diritti del titolare del trattamento e le istruzioni per il trattamento dei dati da parte del responsabile.

Il personale preposto alla ricezione e/o alla gestione della segnalazione, provvede al trattamento dei dati personali in qualità di soggetti autorizzati al trattamento in quanto espressamente autorizzati e previamente istruiti in tal senso dal titolare ovvero dal responsabile ai sensi dell’art. 29, dell’art. 32, par. 4 del GDPR e dell’art. 2-quaterdecies del Codice privacy (art. 12, co. 2 del D.lgs. 24/2023).

Impostazione ed esecuzione dei trattamenti conseguenti alle segnalazioni

L’Agenzia provvede a garantire che l’impostazione dei canali di segnalazione interna e le relative modalità di esecuzione avvengano nel rispetto dei principi di cui all’art. 5 del GDPR e delle relative disposizioni e in particolare:

• • trasparenza (art. 5, par. 1, lett. a) del GDPR: i dati personali sono trattati in modo trasparente nei confronti dell'interessato), in base al quale l’Agenzia in qualità di titolare del trattamento rende ex ante ai possibili interessati un’idonea informativa sul trattamento dei dati personali (art. 13, co. 4 del D.lgs. 24/2023), recante, tra le altre, le informazioni su:
• il titolare del trattamento e i relativi dati di contatto;
• la finalità del trattamento;
• la base giuridica del trattamento;
• le modalità del trattamento;
• l’ambito del trattamento e i soggetti cui sono comunicati i dati (es. responsabili, autorizzati del trattamento);
• il periodo di conservazione dei dati personali.

Tale informativa è fornita in allegato alla procedura whistleblowing, mediante la pubblicazione di documenti informativi in apposita sezione della piattaforma informatica utilizzata per l’acquisizione e gestione delle segnalazioni. Nella fase di acquisizione della segnalazione e nella eventuale successiva istruttoria non devono essere fornite informative specifiche ai soggetti diversi dal segnalante al fine di evitare che l’attivazione di flussi informativi dai quali è possibile dedurre il coinvolgimento della persona in una segnalazione possa vanificare le tutele per la riservatezza previste dal D.lgs. 24/2023;

• • limitazione delle finalità (art. 5, par. 1, lett. b) del GDPR: i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità), in base al quale le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse (art. 12, co. 1 del D.lgs. 24/2023);
  • minimizzazione dei dati (art. 5, par. 1, lett. c) del GDPR: i dati personali sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati), in base al quale non sono raccolti i dati manifestamente non utili alla trattazione di una specifica segnalazione e, in caso di raccolta accidentale, sono prontamente cancellati (art. 13, co. 2 del D.lgs. 24/2023);
  • limitazione della conservazione (art. 5, par. 1, lett. e) del GDPR: i dati personali sono conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati), in base al quale le segnalazioni e la relativa documentazione sono conservate per il tempo necessario alla trattazione della segnalazione e, comunque, non oltre 5 anni dalla comunicazione dell’esito finale della procedura (art. 14, co. 1 del D.lgs. 24/2023);
  • integrità e riservatezza (art. 5, par. 1, lett. f) del GDPR: i dati personali sono trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali), in base al quale l’Agenzia provvede all’individuazione di misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi del trattamento e promuovendo il ricorso a strumenti di crittografia (art. 4, co. 1 e art. 13, co. 6 del D.lgs. 24/2023).

Per definire i modelli di ricevimento e gestione delle segnalazioni, l’Agenzia garantisce, altresì, i principi di:

• • privacy by design e privacy by default (art. 25 del GDPR), che impongono di considerare le garanzie di protezione dei dati personali sin dalla progettazione del canale di segnalazione (privacy by design) e di assicurare che per impostazione predefinita (privacy by default) siano trattati solo i dati personali strettamente necessari in relazione alla specifica segnalazione e che tali dati non siano resi accessibili, in via automatica, a un numero indefinito di soggetti;
  • riservatezza, su cui si basa l’intera disciplina whistleblowing. L’Agenzia provvede a garantire il divieto di tracciamento dei canali di segnalazione. Nel caso in cui l’accesso ai canali interni e al canale esterno di segnalazione avvenga dalla rete dati interna dell’ente e sia mediato da dispositivi firewall o proxy, l’Agenzia garantisce la non tracciabilità - sia sulla piattaforma informatica che negli apparati di rete eventualmente coinvolti nella trasmissione o monitoraggio delle comunicazioni - del segnalante nel momento in cui viene stabilita la connessione a tali canali.