Con il d.lgs.24/2023, l’Italia ha finalmente recepito la direttiva UE 2019/1937 sul whistleblowing, volta a tutelare coloro che segnalano le violazioni di disposizioni normative nazionali o dell’UE che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i sono venuti a conoscenza nell’ambito di un contesto lavorativo.
I soggetti tutelati dalla normativa sono i c.d. “whistleblower” ovvero le persone fisiche che operano nel contesto lavorativo pubblico o privato in qualità di dipendenti o collaboratori, lavoratori subordinati e autonomi, liberi professionisti, volontari, tirocinanti, azionisti e amministratori che segnalano violazioni, nonché i c.d. facilitatori, ossia coloro che prestano assistenza al lavoratore nel processo di segnalazione, i colleghi e persino i parenti dei segnalatori.
Ai fini della concreta entrata in vigore della norma il legislatore italiano ha previsto una tempistica in due fasi secondo cui: le società che hanno impiegato nell’ultimo anno una media superiore ai 249 lavoratori (inclusi subordinati, con contratti di lavoro a tempo indeterminato o determinato) dovranno adeguarsi entro il 15 luglio 2023, le altre invece a far data dal 17 dicembre.
Non pochi i dubbi interpretativi e le lacune pratiche da colmare per le quali il legislatore ha rinviato alla pubblicazione di linee guida predisposte ad hoc dall’Autorità Nazionale Anticorruzione con lo scopo di fornire indicazioni per la presentazione e la gestione delle “segnalazioni esterne”, ossia le comunicazioni delle informazioni sulle violazioni previste dal d.lgs. 24/2023 presentate dai soggetti tutelati tramite il canale attivato presso l’Autorità stessa.
A tale fine l’Autorità Nazionale Anticorruzione (ANAC) ha reso disponibile sul proprio sito internet in consultazione, lo “Schema di Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – procedure per la presentazione e gestione delle segnalazioni esterne” a cui potranno essere presentati dei contributi entro e non oltre le ore 24:00 del 15 giugno 2023 .
E’ stato inoltre specificato che, per la definizione delle linee guida, ai sensi dell’art.10 del D.lgs. 24/2023 si dovrà tenere conto del parere del Garante per la protezione dei dati personali.

L’architettura portante della nuova disciplina, che sarà dunque arricchita dalle citate linee guida prevede 3 diversi canali di segnalazione: quello interno alla società (gestito da un ufficio o persona preposta), quello esterno gestito dall’ANAC ed un terzo canale di segnalazione pubblica (attraverso i media o i social).
Con riferimento al canale c.d. interno, la norma prevede l’istituzione di tale canale obbligatoriamente per le società che:
A) hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
B) seppur nell’ultimo anno non abbiano raggiunto la media di almeno 50 lavoratori, rientrano nell’ambito di applicazioni degli atti dell’Unione di cui all’allegato parti I B e II del d.lgs. 24/2023 (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente) oppure adottano modelli di organizzazione, gestione e controllo ai sensi del d.lgs. 231/2001.
La nuova disciplina prevede, inoltre, specifici obblighi formativi ed informativi in capo alle società tenute all’istituzione di un canale interno di segnalazione. Queste dovranno, infatti, sia predisporre un’informativa ad hoc da pubblicarsi sul sito aziendale ed affiggersi nei luoghi di lavoro, che contenga indicazioni chiare su procedure, presupposti e modalità di effettuazione delle segnalazioni sia interne che esterne, che assicurare procedure in grado si tutelare la riservatezza dell’identità del segnalante, del contenuto della segnalazione e della relativa documentazione, da garantirsi anche mediante il ricorso a strumenti di crittografia.
La persona o l’ufficio interno incaricato entro 7 giorni dalla ricezione delle segnalazioni, deve rilasciare al segnalante un avviso di ricevimento, dando alle stesse diligente seguito. Tanto che, ove il soggetto incaricato riscontri l’esistenza di un’effettiva violazione, deve darne notizia al datore di lavoro che, valutata la fondatezza della stessa, dovrà avviare un procedimento disciplinare interno secondo i crismi dettati dallo Statuto dei Lavoratori.
Importanti, inoltre, le implicazioni della disciplina del whistleblowing in materia sia di data protection. Oltre al necessario rispetto dell’obbligo di riservatezza, è stabilito che le informazioni sulle violazioni non possano essere utilizzate oltre quanto necessario e, soprattutto, che l’identità del segnalante non possa essere rivelata o divulgata, senza il suo consenso espresso, a persone diverse rispetto a quelle competenti a ricevere o a dare seguito alla segnalazione.
Ogni trattamento dei dati personali connesso alla gestione dei canali di segnalazione, inoltre, deve essere eseguito a norma del GDPR. Pertanto le società che attivano i canali di segnalazione sono qualificate  quali “titolari del trattamento” e, dunque, avranno la responsabilità di eseguire una Valutazione di Impatto sulla Protezione dei Dati Personali, istruire ed autorizzare al trattamento i dipendenti chiamati a gestire il canale di segnalazione, con apposita nomina, nonché designare come “responsabili del trattamento” eventuali fornitori esterni che trattano dati personali per loro conto, il tutto tenendo conto del necessario rispetto del principio di minimizzazione dei dati personali e della corretta data retention.
Da evidenziare anche il duplice ruolo attribuito all’ANAC che, oltre ad essere il soggetto deputato al ricevimento delle c.d. “segnalazioni esterne”, avrà anche il compito di comminare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro qualora accerti violazioni delle disposizioni previste dalla normativa. In particolare sarà verificato che siano stati correttamente istituiti i canali di segnalazione, che siano state adottate procedure per l’effettuazione e la gestione delle stesse  in maniera conforme al decreto;  che sia  stata svolta l’attività di verifica e analisi delle segnalazioni ricevute dagli uffici competenti, che non siano state commesse ritorsioni nei confronti dei segnalatori e che non sia stato violato l’obbligo di riservatezza.