La direttiva UE sul whistleblowing: che cosa devono predisporre i datori di lavoro

Che cosa fa la direttiva

La direttiva (UE) 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione è stata adottata il 23 ottobre 2019 ed è entrata in vigore il 16 dicembre 2019. Gli Stati membri avevano tempo fino al 17 dicembre 2021 per recepirla nel diritto nazionale, e fino al 17 dicembre 2023 per l'obbligo dei datori di lavoro privati da 50 a 249 lavoratori di istituire canali interni.

La direttiva fa due cose. Impone alle organizzazioni di offrire modalità sicure per segnalare illeciti e tutela dalle ritorsioni le persone che segnalano. Stabilisce norme minime, quindi le leggi nazionali possono tutelare più persone o coprire più tipi di illeciti.

Chi segnala può seguire tre strade: internamente, alla propria organizzazione; esternamente, a un'autorità competente; oppure, a condizioni rigorose, pubblicamente. Gli Stati membri devono incoraggiare a ricorrere prima alla segnalazione interna quando la violazione può essere affrontata all'interno e il segnalante non ritiene che vi sia un rischio di ritorsioni.

Quali violazioni sono coperte

La direttiva riguarda le segnalazioni di violazioni del diritto dell'UE in questi settori:

• appalti pubblici
• servizi, prodotti e mercati finanziari, e prevenzione del riciclaggio e del finanziamento del terrorismo
• sicurezza e conformità dei prodotti
• sicurezza dei trasporti
• tutela dell'ambiente
• radioprotezione e sicurezza nucleare
• sicurezza degli alimenti e dei mangimi, salute e benessere degli animali
• salute pubblica
• protezione dei consumatori
• tutela della vita privata e protezione dei dati personali, e sicurezza delle reti e dei sistemi informativi
• interessi finanziari dell'UE e mercato interno, comprese le norme in materia di concorrenza, di aiuti di Stato e di imposta sulle società

Secondo la relazione 2024 della Commissione europea sulla direttiva, una larga maggioranza degli Stati membri ha esteso la tutela oltre la direttiva e circa la metà ha aggiunto settori del diritto nazionale, come la corruzione o i reati. Verifichi che cosa copre la legge del suo paese.

Chi è tutelato

La tutela riguarda le persone che vengono a conoscenza di violazioni nel proprio contesto lavorativo, nel settore privato o pubblico. Ne fanno parte almeno:

• i dipendenti, compresi i dipendenti pubblici
• i lavoratori autonomi
• gli azionisti, i membri degli organi di amministrazione e di vigilanza, i volontari e i tirocinanti retribuiti o non retribuiti
• le persone che lavorano per appaltatori, subappaltatori e fornitori
• gli ex dipendenti e i candidati che sono venuti a conoscenza di una violazione durante la selezione

La tutela si estende anche alle persone che assistono il segnalante, ai colleghi e ai parenti che potrebbero subire ritorsioni e alle società di cui il segnalante è proprietario o per cui lavora. Per beneficiarne, il segnalante deve aver avuto fondati motivi di ritenere, al momento della segnalazione, che le informazioni fossero vere e rientrassero nell'ambito di applicazione della direttiva. Chi ha segnalato in forma anonima e viene identificato in seguito mantiene la stessa tutela.

Chi deve istituire un canale interno

• Settore privato: ogni datore di lavoro con 50 o più lavoratori.
• Alcuni settori regolamentati, come i servizi finanziari e la prevenzione del riciclaggio: ogni datore di lavoro soggetto alle pertinenti norme UE, indipendentemente dalle dimensioni.
• Settore pubblico: ogni ente pubblico, compresi i soggetti di sua proprietà o sotto il suo controllo. Gli Stati membri possono esentare i comuni con meno di 10.000 abitanti o con meno di 50 lavoratori e gli altri enti pubblici con meno di 50 lavoratori.
• Datori di lavoro privati più piccoli: solo se la legge nazionale lo impone dopo una valutazione del rischio, ad esempio per i rischi per l'ambiente o per la salute pubblica.

I datori di lavoro privati da 50 a 249 lavoratori possono condividere le risorse per il ricevimento delle segnalazioni e per le relative indagini, ma ciascuno mantiene i propri obblighi di riservatezza, riscontro e seguito. Il canale può essere gestito da una persona o da un ufficio designato all'interno dell'organizzazione, oppure da un fornitore esterno che soddisfi gli stessi requisiti.

Che cosa deve fare il canale interno

Le procedure di segnalazione interna devono prevedere:

1. un canale sicuro che tuteli l'identità del segnalante e di chiunque sia citato nella segnalazione, senza accesso per il personale non autorizzato
2. un avviso di ricevimento al segnalante entro sette giorni
3. una persona o un ufficio imparziale che dia seguito alle segnalazioni, mantenga i contatti con il segnalante e, se necessario, chieda ulteriori informazioni
4. un seguito diligente, anche per le segnalazioni anonime se la legge nazionale lo prevede
5. un riscontro al segnalante entro un termine ragionevole, al più tardi tre mesi dopo l'avviso di ricevimento o, se non è stato inviato alcun avviso, tre mesi dopo la scadenza dei sette giorni
6. informazioni chiare e facilmente reperibili su come effettuare una segnalazione esterna alle autorità competenti

Il canale deve accettare segnalazioni per iscritto, oralmente o in entrambi i modi. Se un canale accetta segnalazioni orali, deve essere possibile effettuarle per telefono o tramite un altro sistema di messaggistica vocale. La direttiva prevede inoltre un incontro di persona, entro un termine ragionevole, quando il segnalante lo richiede, e le leggi nazionali divergono sull'obbligo di offrirlo in ogni canale, quindi verifichi quella applicabile nel suo caso.

Le tappe di una segnalazione

• Giorno 0: la segnalazione arriva attraverso il canale.
• Entro il giorno 7: il segnalante riceve un avviso di ricevimento.
• Entro tre mesi dall'avviso di ricevimento: il segnalante viene informato di ciò che è stato fatto o è previsto, e del perché.
• Per tutto il tempo: la segnalazione viene registrata, l'accesso è limitato e l'identità del segnalante resta protetta.

Segnalazioni anonime

La direttiva lascia a ciascuno Stato membro la decisione se le organizzazioni debbano accettare le segnalazioni anonime e darvi seguito. Secondo la relazione 2024 della Commissione, circa la metà delle leggi nazionali disciplina le segnalazioni anonime, e la maggior parte di queste impone di accettarle e di darvi seguito, alle autorità competenti oppure a ogni organizzazione dotata di un canale. Quando devono essere accettate, vengono trattate come qualsiasi altra segnalazione.

Accettare segnalazioni anonime serve solo se il segnalante può restare in contatto senza rivelare chi è. Pianifichi come invierà l'avviso di ricevimento per una segnalazione anonima, come porrà domande di approfondimento e come fornirà il riscontro.

Riservatezza, protezione dei dati e registrazioni

Senza il consenso esplicito del segnalante, la sua identità non deve essere rivelata a persone diverse dal personale autorizzato a ricevere le segnalazioni o a darvi seguito. Lo stesso vale per qualsiasi informazione da cui si possa risalire alla sua identità. Le eccezioni sono ammesse solo quando lo impone il diritto dell'UE o nazionale, ad esempio in un'indagine o in un procedimento giudiziario, e di norma il segnalante deve esserne informato prima.

I dati personali sono trattati secondo il GDPR, e i dati manifestamente non pertinenti per una segnalazione non devono essere raccolti o, se raccolti, devono essere cancellati senza indugio. Ogni segnalazione deve essere registrata e conservata non oltre il tempo necessario e proporzionato. Le segnalazioni orali e gli incontri possono essere documentati con una registrazione o con un verbale accurato, con il consenso del segnalante, al quale va data la possibilità di verificarne il contenuto, rettificarlo e firmarlo.

Tutela contro le ritorsioni

È vietata qualsiasi forma di ritorsione, comprese le minacce e i tentativi. La direttiva fornisce alcuni esempi:

• licenziamento, sospensione, retrocessione o mancata promozione
• cambiamenti di mansioni, luogo di lavoro, retribuzione od orario di lavoro, e mancato accesso alla formazione
• valutazioni o referenze negative e misure disciplinari
• coercizione, intimidazione, molestie, ostracismo e discriminazione
• mancata conversione o mancato rinnovo di un contratto a termine, o sua risoluzione anticipata
• danni alla reputazione, anche sui social media, perdite economiche e inserimento in liste nere di settore
• annullamento di contratti di fornitura di beni o servizi, revoca di licenze o permessi, e sottoposizione ad accertamenti psichiatrici o medici

Se un segnalante subisce un danno e dimostra di aver effettuato una segnalazione, si presume che il danno sia una ritorsione, e spetta al datore di lavoro dimostrare che aveva altri motivi debitamente giustificati. Accordi e policy non possono limitare questi diritti. Gli Stati membri stabiliscono sanzioni per chiunque ostacoli le segnalazioni, compia ritorsioni, intenti procedimenti vessatori o violi la riservatezza, e per i segnalanti che riferiscono consapevolmente informazioni false.

A che punto sono le leggi nazionali

Il recepimento è stato lento. Alla scadenza del 17 dicembre 2021 solo tre Stati membri avevano recepito integralmente la direttiva; otto li hanno seguiti nel 2022 e tredici nel 2023, secondo la relazione 2024 della Commissione. La stessa relazione ha rilevato che tutti gli Stati membri avevano recepito le disposizioni principali, ma che alcuni ambiti chiave richiedevano ancora interventi, come l'ambito di applicazione, le condizioni per la tutela e la tutela contro le ritorsioni, comprese le sanzioni.

Le leggi nazionali differiscono nei dettagli: se le segnalazioni anonime debbano essere accettate, quali settori del diritto nazionale siano coperti, come debba funzionare la segnalazione orale e quale autorità riceva le segnalazioni esterne. Segua le norme del paese in cui ha sede ciascuna delle sue società.

Fuori dall'UE: la Macedonia del Nord e la regione

La direttiva non si applica direttamente fuori dall'UE, ma molti paesi hanno proprie leggi sulla tutela dei segnalanti. La Macedonia del Nord ha adottato la sua legge sulla protezione dei segnalanti nel 2015. Secondo una panoramica dello studio legale CMS, le società con dieci o più dipendenti devono adottare regole interne per le segnalazioni e nominare una persona incaricata di riceverle.

È stata elaborata una nuova legge per allineare la Macedonia del Nord alla direttiva. La relazione 2026 della Commissione europea sullo Stato di diritto afferma che la bozza ha completato la consultazione all'interno del governo nel marzo 2026, senza un calendario chiaro per l'adozione da parte del Parlamento. Anche gli altri paesi della regione hanno norme proprie, quindi le verifichi per ciascuna società, e ricordi che le controllate nei paesi UE seguono la legge del rispettivo Stato membro.

Una checklist per istituire il suo canale

1. Conti i lavoratori di ciascuna società e verifichi le soglie previste dalla rispettiva legge nazionale.
2. Nomini una persona o un ufficio imparziale per gestire le segnalazioni, con un sostituto, e li formi sulla riservatezza.
3. Decida come si potrà segnalare, per iscritto, per telefono o in un incontro, e se deve accettare segnalazioni anonime.
4. Pubblichi istruzioni chiare per la segnalazione interna e per la segnalazione alle autorità competenti.
5. Predisponga una routine che invii l'avviso di ricevimento di ogni segnalazione entro sette giorni e fornisca un riscontro entro tre mesi.
6. Limiti l'accesso alle segnalazioni, protegga le identità e tenga traccia di ogni passaggio.
7. Fissi per le segnalazioni chiuse un periodo di conservazione coerente con la direttiva e con la sua legge nazionale.
8. Informi i responsabili che le ritorsioni sono vietate e riveda periodicamente la procedura.

Come può aiutare Office Hero

HR Hero, l'app HR di Office Hero, include un canale di whistleblowing costruito attorno alla direttiva. Offre una pagina pubblica di segnalazione su Office Hero Connect che non richiede un account, un modulo interno per il personale, una casella dei casi per i gestori designati e un promemoria ai gestori assegnati a una segnalazione quando questa supera i sette giorni senza avviso di ricevimento. Il contenuto delle segnalazioni è cifrato e ogni caso ha un registro a catena di hash.

Ne conosca anche i limiti: le segnalazioni si fanno per iscritto, senza linea telefonica né registrazione vocale, i segnalanti non possono allegare file, nessuno viene avvisato quando arriva una nuova segnalazione e il termine di tre mesi per il riscontro si controlla con il filtro del tempo trascorso della casella, non con un promemoria. La pagina sul canale di whistleblowing spiega come funziona.