Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione (in G.U.U.E. L 305, 26.11.2019, p. 17–56)

• Direttiva 2019/1937

1. Il 26 novembre 2019 è stata pubblicata nella Gazzetta Ufficiale dell’Unione la direttiva 2019/1937 del Parlamento Europeo e del Consiglio, riguardante la “protezione delle persone che segnalano violazioni del diritto dell’Unione”. Si tratta della normativa che riguarda il c.d. whistleblowing, ossia la condotta di chi, ‘soffiando nel fischietto’, segnala un illecito di cui sia venuto a conoscenza nel proprio contesto lavorativo. La direttiva, che dovrà essere recepita entro due anni, è destinata come si dirà ad incidere in modo rilevante sulla normativa italiana in materia.

2. Come si legge negli amplissimi “considerando” iniziali, obiettivo della direttiva è disciplinare la protezione dei whistleblowers (o “informatori” nella traduzione italiana del testo) all’interno dell’Unione, introducendo norme minime comuni di tutela al fine di dare uniformità a normative nazionali che sono, allo stato attuale, estremamente frammentate ed eterogenee. In questo senso si consideri che, dei 28 Paesi dell’Unione, sono solo 16 quelli che prevedono una normativa specifica, più o meno articolata, in materia. Si tratta poi di normative assai differenziate quanto ad ambito di applicazione e a contenuti, in ogni caso tutte molto recenti, se è vero che di queste ben 10 sono entrate in vigore negli ultimi 5 anni (cfr. i dati contenuti nel Rapporto di Blueprint for Freespeech, Gaps in the System: Whistleblower Laws in the EU, 2018).   

Sempre dalla lettura dei “considerando” si traggono alcune interessanti indicazioni sul ruolo che il legislatore europeo intende attribuire allo strumento del whistleblowing. Partendo dalla constatazione che le informazioni fornite dai whistleblowers sono spesso essenziali per garantire l’emersione di illeciti che sarebbero altrimenti destinati a rimanere ignoti, si afferma che la tutela apprestata nella normativa mira a “rafforzare i principi di trasparenza e responsabilità” (considerando nr. 2) e, in ultima analisi, a realizzare una funzione di prevenzione dei reati. In secondo luogo, e da tutt’altra prospettiva, si osserva che la segnalazione di illeciti di cui si è venuti a conoscenza nel contesto lavorativo deve essere tutelata in quanto manifestazione della libertà di espressione, necessaria anche a garantire la circolazione delle informazioni, nonché ad assicurare la libertà e il pluralismo dei media. In questo senso, la normativa costituisce attuazione dei principi di cui all’art. 11 della Carta dei diritti e dell’art. 10 della CEDU e si pone in linea di continuità con i principi elaborati in materia dalla giurisprudenza della Corte europea dei diritti dell’uomo, nonché con la Raccomandazione sulla protezione degli informatori adottata dal Comitato dei ministri del Consiglio d’Europa il 30 aprile 2014 (considerando nr. 31).

3. Prima di esaminare la direttiva, può essere opportuno ricordare, seppur in estrema sintesi, gli snodi essenziali della disciplina italiana in materia, così da meglio apprezzare le novità introdotte in sede europea. Come noto, la materia del whistleblowing, disciplinata in forma molto embrionale dalla l. 190/2012 (c.d. legge Severino), trova ora una più compiuta regolamentazione nella l. 179/2017, che prevede più articolate tutele per il settore pubblico (art. 54 bis d.lgs. 165/2001) ed introduce una seppur limitata tutela del whistleblower nel settore privato (art. 6 co. 2 bis e ss d.lgs. 231/2001).

Nel settore pubblico, la tutela viene riconosciuta al dipendente della pubblica amminsitrazione che segnali internamente (al Responsabile della prevenzione della corruzione e della trasparenza) o esternamente (ad Anac o all’autorità giudiziaria) condotte illecite nell’interesse dell’integrità della pubblica amministrazione. Le tutele si sostanziano nella garanzia, pur se entro certi limiti, della riservatezza sull’identità del segnalante e nel divieto di atti ritorsivi (che sono da considerare nulli e che possono comportare l’applicazione di una sanzione pecuniaria da parte di Anac). Si prevede inoltre, che la segnalazione, qualora effettuata nel rispetto delle condizioni previste dalla legge, costituisca giusta causa di rivelazione del segreto con conseguente esonero della responsabilità civile per violazione del dovere di fedeltà e lealtà di cui all’art. 2015 c.c. e di responsabilità penale per alcuni specifici reati. La tutela del segnalante viene meno laddove sia accertata (anche solo con sentenza di primo grado) la sua responsabilità penale per calunnia, diffamazione o per altri reati commessi con la denuncia o responsabilità civile per stessi titoli in caso di dolo o colpa grave.

Nel settore privato, la tutela del whistlwblower è assai limitata, riguardando esclusivamente i lavoratori e collaboratori degli enti che abbiano adottato il modello organizzativo ex d. lgs. 231/2001 con riferimento ai soli illeciti rilevanti ai sensi di tale normativa. Anche in questo caso la tutela implica la tutela della riservatezza del segnalante, il divieto di atti ritorsivi (con possibile applicazione di sanzioni disciplinari) e la previsione di una giusta causa di rivelazione di segreti che può esonerare il lavoratore da responsabilità civile e penale. La tutela del lavoratore cessa in caso di segnalazioni infondate effettuate con dolo o colpa grave.

4. Passando ora ad esaminare la direttiva, occorre in primo luogo evidenziare che il suo ambito di operatività (artt. 2 e 3) è limitato, in ossequio al principio di sussidiarietà che regola l'azione legislativa a livello europeo, alle violazioni della normativa comunitaria in una gamma di settori espressamente indicati (tra questi: appalti pubblici, servizi finanziari, sicurezza dei prodotti e dei trasporti, ambiente, alimenti, salute pubblica, privacy, sicurezza delle rete e dei sistemi informatici, concorrenza…). Occorre poi specificare che la normativa ha valore residuale rispetto alle discipline speciali che regolano il whistleblowing in specifici settori (i riferimenti a tali normative sono contenuti nella parte II dell’allegato). Rimane poi escluso dall’ambito di applicazione della direttiva la materia della sicurezza nazionale che resta di esclusiva competenza del legislatore nazionale, così come la protezione del segreto professionale e medico.

Entro l’ambito di operatività così delineato, la direttiva prevede una tutela per il whistleblower senza differenziazione tra settore pubblico e settore privato e ciò costituisce già una prima importante novità rispetto alla nostra disciplina.

5. Nei settori nei quali opera, la direttiva si caratterizza per una definizione estremamente ampia di whistleblower (art. 4), volta ad includere l’insieme dei soggetti, collegati in senso ampio all’organizzazione nella quale si è verificata la violazione, che potrebbero temere ritorsioni in considerazione della situazione di vulnerabilità economica in cui si trovano. Sono infatti compresi in tale definizione i dipendenti, i lavoratori autonomi, i collaboratori esterni, coloro che svolgono tirocini retribuiti o meno, i volontari, coloro il cui rapporto di lavoro è terminato o non è ancora incominciato e tutti i soggetti che lavorano sotto la supervisione e direzione di appaltatori, sub-appaltatori e fornitori. Le misure di protezione si estendono poi anche ai c.d. facilitatori (ossia coloro che prestano assistenza al lavoratore nel processo di segnalazione), ai colleghi e persino ai parenti dei whistleblowers. Dal punto di vista soggettivo, dunque, la direttiva prevede una tutela molto più estesa rispetto a quella contemplata dalla nostra disciplina nazionale.

6. Quanto all’oggetto della segnalazione, la direttiva fa riferimento a “violazioni del diritto dell’Unione” nei settori elencati, senza richiedere espressamente – come invece previsto nella l. 179/2017 – la finalizzazione della segnalazione al perseguimento dell’interesse pubblico.

È vero però che nei considerando iniziali tale requisito è più volte menzionato. Nel considerando numero 1, ad esempio, ci si riferisce al whistleblower come a colui che segnala “violazioni del diritto unionale che ledono il pubblico interesse”. Significativo poi il considerando numero 22, laddove si evidenzia che gli Stati membri possono escludere dalle tutele le segnalazioni che riguardano “vertenze interpersonali che interessano esclusivamente la persona segnalante e vertenze riguardanti conflitti interpersonali tra la persona segnalante e un altro lavoratore”.

Da una lettura complessiva del provvedimento, sembrerebbe dunque desumersi che il perseguimento dell’interesse pubblico sia un requisito implicito del whistleblowing. Se così è, la previsione contenuta nella l. 179/2017, che limita le tutele a chi ha segnalato l’illecito “nell’interesse dell’integrità della pubblica amministrazione” (e “nell’interesse dell’ente” per il settore privato) risulta conforme allo spirito della direttiva. Un’estensione delle tutele a segnalazioni prive di tale requisito sarebbe peraltro tutt’altro che auspicabile in un ordinamento come il nostro caratterizzato da una forte resistenza, anche culturale, all’impiego di tale strumento: per contro, la limitazione ai casi di violazioni che possono pregiudicare il pubblico interesse è indispensabile per evitare un utilizzo ‘egoistico’ del whistleblowing e per farne uno strumento credibile di promozione dell’etica pubblica nei luoghi di lavoro.

7. Secondo quanto previsto nella direttiva, le segnalazioni possono essere effettuate attraverso tre diversi canali di segnalazione: interni, esterni e pubblici.

A norma della direttiva devono dotarsi di canali di segnalazione interni tutti gli enti pubblici, con possibilità di esonero per i comuni con meno di 10.000 abitanti e per gli enti pubblici con meno di 50 dipendenti. Devono poi dotarsi di tali canali anche gli enti privati con più di 50 dipendenti (sussistendo peraltro la possibilità per enti privati con un numero di dipendenti tra 50 e 250 di istituire sistemi di segnalazione comuni).

In questi stessi casi, sia per il settore pubblico, sia per il privato, devono essere istituiti canali di segnalazione esterni, ossia sistemi per il ricevimento e il trattamento delle informazioni affidati ad autorità con caratteri di indipendenza ed autonomia.  

La direttiva non stabilisce un ordine tra i due sistemi di segnalazione, attribuendo al segnalante la libertà di scegliere se rivolgersi al canale interno o esterno, anche se – così si legge nell’art. 7 – “gli Stati membri incoraggiano le segnalazioni mediante canali interni prima di effettuare segnalazioni mediante canali esterni, laddove la violazione possa essere affrontata efficacemente a livello interno e la persona segnalante ritenga che non sussista il rischio di ritorsioni”.

Al fine di garantire la tempestività e quindi l’effettività della tutela, si stabilisce l’obbligo per l’ente di dare un avviso di ricevimento all’interessato entro 7 giorni e di dare una risposta alla segnalazione entro il termine di tre mesi (o sei in casi particolari).

La possibilità di beneficiare delle tutele per chi effettua la segnalazione attraverso la “divulgazione pubblica” (art. 15) è invece subordinata a precise condizioni: che si sia previamente utilizzato il canale interno o esterno, ma non vi sia stata una risposta appropriata; che non siano stati utilizzati i canali interni o esterni per rischio di ritorsione o per inefficacia di quei sistemi (si fa riferimento, esemplificativamente, al rischio di distruzione delle prove o di collusione tra l’autorità preposta a ricevere la segnalazione e l’autore della violazione); che sussista un “pericolo imminente e palese per il pubblico interesse”.

In relazione a questo profilo le novità rispetto alla normativa italiana sono assai numerose. Mentre per quanto riguarda il settore pubblico, la l. 179/2017, prescrivendo la predisposizione di sistemi di segnalazione interni ed esterni per tutte le amministrazioni pubbliche, fornisce una tutela maggiore rispetto a quella prevista nella direttiva, per quanto riguarda il settore privato si impone la necessità di un ripensamento complessivo del nostro sistema. È evidente infatti che la tutela del whistleblower non potrà più essere ‘agganciata’, come è oggi, al sistema del d.lgs 231: la direttiva, infatti, impone la predisposizione di canali di segnalazione interni ed esterni per tutti gli enti privati con più di 50 dipendenti, a prescindere dall’adozione o meno di un modello organizzativo e per qualsiasi violazione del diritto comunitario che si sia riscontrata. Posto peraltro che, a norma dell’art. 25, l’attuazione della direttiva “non può in alcun caso costituire motivo di riduzione del livello di protezione già offerto dagli Stati membri”, sembrerebbe di poter ritenere che la tutela dovrà comunque essere conservata, pur nei limiti di quanto previsto dall’art. 6 d. lgs. 231, per i lavoratori degli enti dotati di modello organizzativo con meno di 50 dipendenti. Da evidenziare ancora su questo punto, che il termine per la predisposizione dei canali interni per gli enti nel settore privato con più di 50 e meno di 250 lavoratori è fissato – in deroga al termine generale di due anni – al 17 dicembre 2023.

Sempre con riferimento al settore privato, la direttiva sancisce la necessità di individuare un canale esterno, ossia un organismo autonomo ed indipendente, in grado di ricevere e di gestire le segnalazioni. Occorrerà dunque porsi il problema di individuare il soggetto in grado di gestire tale incombenza, risultando tutt’altro che pacifica la possibilità di estendere le competenze di Anac al settore privato.

Un’altra novità riguarda poi l’estensione delle tutele, seppur in presenza di determinate condizioni, a colui che effettua la segnalazione tramite public disclosure (“divulgazione pubblica” nella traduzione italiana): si tratta di un profilo di estrema delicatezza, che implicherà un accorto bilanciamento tra i diversi interessi in gioco.

8. Quanto poi al contenuto delle tutele, sembra di poter dire che la direttiva non prevede novità dirompenti rispetto alla disciplina nazionale.

Una prima tutela riguarda la riservatezza dell’identità del segnalante, da conciliare però, evidentemente, con i contrapposti diritti di difesa della persona segnalata. Per quanto riguarda, in particolare, l’ipotesi in cui a seguito della segnalazione sia aperto un procedimento penale, la direttiva cede espressamente il passo alla legislazione processuale nazionale.

Da evidenziare poi che la direttiva non riconosce la tutela alle segnalazioni anonime, non pregiudicando in ogni caso la facoltà degli Stati membri di prenderle in considerazione.

Sempre in relazione al profilo dei dati personali, è rilevante ai nostri fini la disposizione nella quale si afferma che il trattamento di dati personali che discende dalla segnalazione deve essere effettuato nel rispetto della normativa comunitaria in materia (ed il riferimento è, in primis, al regolamento 679/2016): ciò costringerà il legislatore italiano ad interrogarsi, in sede di recepimento della direttiva, su un profilo assai complesso e del tutto ignorato dalla l. 179/2017.

Una seconda tutela è rappresentata dal divieto di qualsiasi atto ritorsivo adottato in conseguenza della segnalazione (art. 19). Con una scelta forse opinabile, il legislatore comunitario non definisce la nozione di atto ritorsivo, ma ne fornisce una lunga esemplificazione, evidentemente non tassativa: oltre agli atti più ‘tradizionali’ (quali licenziamento, trasferimento, demansionamento…), si prende in considerazione l’ipotesi dell’inserimento in ‘liste nere’, della prescrizione di visite psichiatriche, delle offese alla reputazione sui social media. Misure, quelle elencate nella direttiva, che sembrerebbero tutte rientrare nella definizione ampia contenuta nella l. 179/2017, secondo cui sono ritorsive tutte le misure “aventi effetti negativi, diretti o indiretti, sulle condizioni di lavoro”.

Come nella legislazione italiana, al fine di garantire l’effettività della tutela, si stabilisce l’inversione dell’onere della prova, attribuendo a chi ha adottato la misura l’onere di dimostrarne il carattere non ritorsivo.

A fianco del divieto di atti ritorsivi, si prevedono poi alcune misure di sostegno a favore del segnalante, tra cui consulenze gratuite sui propri diritti e sulle procedure necessarie per attivare le tutele, patrocinio a spese dello Stato in relazione a procedimenti, penali e non, derivanti dalla segnalazione e, sempre in relazione a tali procedimenti, non meglio definite “misure di assistenza finanziaria e di sostegno, anche psicologico”.

Ancora, per rinforzare la tutela della riservatezza e il divieto di ritorsioni la direttiva stabilisce l’obbligo per gli Stati membri di prevedere sanzioni proporzionate, dissuasive ed effettive.

Infine, con disposizioni che non brillano per chiarezza (art. 21 co. 2 e 7), si stabilisce che le segnalazioni effettuate nel rispetto delle previsioni della direttiva escludono la responsabilità del whistleblower “per la violazione di eventuali restrizioni alla divulgazione di informazioni”. Allo stesso modo si prevede che l’esclusione della responsabilità “per diffamazione, violazione del diritto d’autore, degli obblighi di segretezza, violazione delle norme in materia di protezione dei dati, divulgazione di segreti commerciali (…)”, con l’unica condizione che vi siano fondati motivi per ritenere “necessaria la segnalazione”. Nella loro estrema vaghezza, tali disposizioni sembrerebbero riferirsi anche alla responsabilità penale con la conseguenza che la segnalazione di illeciti in contesto lavorativo dovrebbe configurarsi come una causa di giustificazione per i reati eventualmente commessi a causa della segnalazione.

Sembrerebbe trattarsi, ad un primo esame, di una causa di giustificazione con dei confini assai più ampi rispetto alla “giusta causa” ora prevista nell’art. 3 della l. 179. La totale assenza di delimitazioni nel testo della direttiva non impedisce certo al legislatore nazionale di definirne i confini, alla luce di un ragionevole bilanciamento dei contrapposti interessi in gioco. La necessità di apporre limiti alla scriminante trova conferma nel considerando 28, laddove si afferma che la direttiva prevede “a determinate condizioni, un esonero limitato della responsabilità, compresa la responsabilità penale”.

Da sottolineare poi che l’esonero della responsabilità non riguarda solo gli illeciti connessi alla segnalazione (come ad esempio la diffamazione o la divulgazione di notizie coperte da segreto), ma anche le condotte poste in essere al fine di acquisire le informazioni oggetto della segnalazione. Per espressa previsione legislativa l’esonero non riguarda però in questo caso la responsabilità penale (che, secondo quanto previsto nell’art. 21 co. 3, “deve continuare ad essere disciplinata dal diritto nazionale”). In questo senso è peraltro già orientata la nostra giurisprudenza, che ha riconosciuto la sussistenza del reato di accesso abusivo ad un sistema informatico nel fatto di chi ha violato il sistema di posta elettronica del collega per procurarsi prove a fondamento della segnalazione (Cass. 35792/2018).

9. Un ultimo aspetto su cui soffermarsi attiene alla considerazione degli interessi del segnalato. Oltre a ribadire la presunzione di innocenza e dunque il diritto del soggetto a difendersi in modo adeguato, la direttiva prescrive che l’identità del segnalato sia tutelata “fintanto che sono in corso indagini” scaturite dalla segnalazione.

Dalla direttiva sembrerebbe poi desumersi che la tutela del segnalante trovi un limite nella colpa. Stabilisce infatti l’art. 6 che la protezione sussiste anche in caso di segnalazioni o divulgazioni rivelatisi poi infondate, qualora il segnalante abbia avuto “fondati motivi di ritenere che le violazioni fossero vere”. Per il caso poi di segnalazioni scientemente false la direttiva stabilisce l’obbligo per gli Stati membri di prevedere sanzioni adeguate, oltre al risarcimento del danno.

Sul punto, si può forse riflettere sulla necessità di adeguamento della nostra legislazione che, nel settore pubblico, prevede la cessazione delle tutele solo a fronte dell’accertamento di responsabilità penale per fatti di reato che sono nella stragrande maggioranza dei casi fatti dolosi o a fronte dell’accertamento della responsabilità civile per fatti commessi con dolo o colpa grave.

***

10. All’esito di questa sintetica e certamente non esaustiva rassegna dei profili sui quali il legislatore nazionale sarà chiamato ad intervenire nel termine fissato per l’attuazione (che come si è detto è di due anni), la sensazione è che sotto il profilo del contenuto delle tutele la nostra legislazione sia già sostanzialmente in linea con lo standard di protezione europeo. Le tutele previste nella direttiva (riservatezza sull’identità del segnalante, divieto di atti ritorsivi ed esonero, entro certi limiti, dalla responsabilità civile e penale per gli illeciti connessi alla segnalazione) nella sostanza si sovrappongono a quelle previste dalla l. 179/2017.

È sul piano invece dell’estensione delle tutele che la nostra disciplina necessiterà di un intervento sostanziale per adeguarsi agli standard europei. Innanzitutto, è evidente la necessità di ripensare il sistema del whistleblowing nel settore privato, che dovrà essere sganciato dal contesto del d. lgs. 231/2001 ed equiparato, quanto ai livelli di tutela, al settore pubblico.

In secondo luogo, occorrerà ampliare la categoria dei soggetti che possono ricevere tutela, che nella direttiva non è limitata al lavoratore inteso nel senso tradizionale del termine, ma ricomprende tutti coloro che sono collegati in senso anche molto ampio al contesto organizzativo nel quale hanno appreso l’informazione, con inclusione anche dei soggetti, diversi dall’informatore, sui quali comunque potrebbero ricadere gli atti ritorsivi.

Un’ultima considerazione riguarda poi la scelta della direttiva di non riconoscere incentivi di alcun tipo al whistleblower, limitandosi alla previsione di misure finalizzate piuttosto a contenere i danni che possono derivare dalla scelta di segnalare l’illecito. La direttiva, dunque, ha preso le distanze da modelli proposti in altri ordinamenti, caratterizzati – si pensi, ad esempio, agli Stati Uniti – dalla presenza di incentivi economici assai significativi.

La scelta del legislatore europeo è certamente condivisibile se si ha riguardo allo scopo della direttiva che è quello, come si è già evidenziato, di individuare uno standard minimo di tutela nello spazio europeo. Ciò detto, posto che – come ovvio – gli Stati membri possono introdurre livelli di tutela più alti, il recepimento della direttiva può rappresentare un’occasione preziosa per riflettere sull’opportunità o meno di un sistema di incentivi, non necessariamente economici, sia per la persona del segnalante, sia per l’ente e per interrogarsi, più in generale, sulla fisionomia che dovrebbe assumere il whistleblowing nel nostro ordinamento per poter divenire uno strumento di promozione dell’etica pubblica e di prevenzione dei fenomeni corruttivi.