Whistleblowing

WHISTLEBLOWING: ATTO ORGANIZZATIVO PER LA GESTIONE DELLE SEGNALAZIONI

1. SCOPO
Scopo del presente Atto Organizzativo è disciplinare per l’organizzazione Castel Monastero S.r.l. la pratica del “whistleblowing”, inteso come sistema di segnalazione o di denuncia di illeciti normato dalla Direttiva europea del 23 ottobre 2019 n. 193.
Il sistema prevede la segnalazione di violazioni o minacce presunte a diritti sanciti nell’Unione Europea, attuata dai lavoratori (“whistleblowers” = informatori o loro facilitatori) che forniscono agli Enti interni, all’Organizzazione preposti alla vigilanza, o alle Autorità di controllo esterne, informazioni circostanziate su fatti veri (o fondatamente reali), di cui sono venuti a conoscenza in occasione del proprio rapporto di lavoro, utili ad attivare un accertamento. Tale pratica è corredata da misure di protezione per l’informatore.
In attuazione della Direttiva (UE) 2019/1937, è stato emanato il D. Lgs. del 10 marzo 2023, n. 24 riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e alle normative nazionali.
Le disposizioni non riguardano contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale del segnalante o della persona che ha sporto denuncia nei confronti dell’Autorità giudiziaria o contabile, né le segnalazioni già normate da atti dell’Unione Europea o nazionali.

2. DEFINIZIONI
“Segnalazioni”: sono definite come le informazioni, compresi i fondati sospetti, su violazioni già commesse o non ancora commesse (ma che, sulla base di elementi concreti, potrebbero esserlo), nonché su condotte volte ad occultarle (es. occultamento o distruzione di prove).
Si deve poi trattare di comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza nel contesto lavorativo pubblico o privato.
Nell’ambito dei soggetti pubblici e privati le segnalazioni possono essere fatte da:
lavoratori dipendenti e autonomi
collaboratori, liberi professionisti, consulenti
volontari, tirocinanti
azionisti e persone con funzione di direzione, amministrazione e controllo.
Di rilievo è l’esistenza di una relazione qualificata tra il segnalante e il soggetto pubblico o privato nel quale il primo opera, relazione che riguarda attività lavorative o professionali presenti o anche passate.
“Segnalazione interna”: la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione interna all’Organizzazione.
“Segnalazione esterna”: la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite i canali di segnalazione esterna (piattaforma, messaggistica vocale, linee telefoniche dedicate) all’Autorità Nazionale Anticorruzione (ANAC).
“Violazioni”: comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in:
• illeciti amministrativi, contabili, civili o penali;
• condotte illecite rilevanti ai sensi del D. Lgs. 8 giugno 2001, n. 231, o violazioni dei Modelli di Organizzazione e Gestione;
• illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati nell’allegato al D. Lgs. 10 marzo 2023, n.24 ovvero che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato alla Direttiva (UE) 2019/1937, relativi ad appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
• atti od omissioni che ledono gli interessi finanziari dell’Unione;
• atti od omissioni riguardanti il mercato interno in particolari violazioni di norme in materia di concorrenza o di fiscalità.
“Segnalante”: la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo.
“Facilitatore”: una persona fisica che assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata.
“Persona coinvolta”: la persona fisica o giuridica menzionata nella segnalazione interna o esterna ovvero nella divulgazione pubblica come persona alla quale la violazione è attribuita o come persona comunque implicata nella violazione segnalata o divulgata pubblicamente.
“Ritorsione”: qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto, da intendersi come danno ingiustificato.

3. APPLICABILITA'
Il decreto è entrato in vigore il 30 marzo 2023 e le disposizioni previste sono efficaci dal 15 luglio 2023.
• Il decreto si applica ai soggetti del settore pubblico e del settore privato. Con particolare riferimento a quest’ultimo settore, la normativa estende le protezioni alle Organizzazioni segnalanti che hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati o, anche sotto tale limite, agli Enti che si occupano dei cd. “Settori sensibili” (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente) e a quelli che adottano Modelli di Organizzazione e Gestione ai sensi del D.Lgs. 231/2001.
• Solo per i soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, fino a duecento quarantanove, è fatto obbligo di istituire un canale interno di segnalazione a decorrere dal 17 dicembre 2023.
Nell’azienda
La protezione dei segnalanti operanti nel settore privato, prevista dal D.Lgs. 24/2023, impone l’obbligo di predisporre canali di segnalazione a carico di quegli Enti che soddisfano almeno una delle seguenti condizioni:
• hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato;
• si occupano di alcuni specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• adottano i Modelli di Organizzazione e Gestione di cui al D.Lgs. 231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato.
Cosa si può segnalare
Comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’Amministrazione pubblica o dell’Ente privato e che consistono in:
• illeciti amministrativi, contabili, civili o penali;
• condotte illecite rilevanti ai sensi del D.Lgs.231/2001, o violazioni dei Modelli di Organizzazione e Gestione ivi previsti;
• illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
• atti od omissioni che ledono gli interessi finanziari dell’Unione;
• atti od omissioni riguardanti il mercato interno;
• atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione.
È compito della società quello di:
o assicurare ai propri dipendenti un’adeguata formazione sulla normativa whistleblowing e sul concetto di “segnalazione” (anche attraverso esempi concreti), sul corretto utilizzo del canale e sulle sanzioni in caso di violazioni;
o informare (anche attraverso il sito internet) dell’esistenza del canale;
o conservare in modo adeguato la documentazione inerente alla segnalazione;
Inoltre, la società dovrà sempre e comunque tutelare la riservatezza delle segnalazioni e in ogni caso, dovrà adempiere agli obblighi informativi (pubblicazione sul sito internet, condivisione di una circolare, affissione in bacheca aziendale, etc.) e formativi nei confronti del proprio personale.

4. RIFERIMENTI
Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione
Decreto Legislativo 10 marzo 2023, n. 24 Attuazione della Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 _ Regolamento Generale sulla protezione dei dati aggiornato alle rettifiche pubblicate sulla GUUE n. 127 del 23 maggio 2018.
Confindustria _ Nuova disciplina “Whistleblowing” Guida operativa per gli Enti privati_ottobre 2023
ANAC Autorità Nazionale Anticorruzione _ Regolamento per la gestione delle segnalazioni esterne e per l’esercizio del potere sanzionatorio dell’ANAC in attuazione del D. Lgs. 10 marzo 2023, n. 24 _ Delibera n. 301 del 12 luglio 2023

5. RESPONSABILITA'
Management aziendale Sentite le Rappresentanze o le Organizzazioni Sindacali di cui all’art. 51 del D.Lgs. 81/2015 ha la responsabilità di attivare propri canali di segnalazione che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione nonché del contenuto della segnalazione e della relativa documentazione. Il Management aziendale provvede a garantire adeguata informazione formazione circa i contenuti del D.Lgs.10 marzo 2023, n. 24 e alla diffusione del presente Atto Organizzativo.
Gestore della segnalazione Persona/gruppo di persone adeguatamente formata o ufficio interno autonomo incaricato e con personale specificamente formato per la gestione del canale di segnalazione o soggetto esterno autonomo e dotato di personale specificamente incaricato allo scopo. Provvede alla gestione delle segnalazioni.
Consulente --
RL --
Responsabili di funzione Provvede a dare adeguata informazione circa i contenuti del presente Atto Organizzativo ai propri collaboratori.

6. MODALITA' OPERATIVE
6.1 Presupposti per procedere alla segnalazione interna e relative condizioni di ammissibilità
Nell’ambito dei soggetti pubblici e privati le segnalazioni possono essere fatte da:
• lavoratori dipendenti e autonomi
• collaboratori, liberi professionisti, consulenti
• volontari, tirocinanti
• azionisti e persone con funzione di direzione, amministrazione e controllo.
È importante notare che la segnalazione di tali reati o violazioni deve avvenire in buona fede e in conformità con le procedure stabilite. Inoltre, nel contesto del D.Lgs. 231/01, la segnalazione di un reato può essere rilevante per l'Organizzazione nell’ambito della responsabilità amministrativa delle persone giuridiche e delle società. In questo caso, la segnalazione di violazioni interne potrebbe essere fondamentale per dimostrare che l'Organizzazione ha adottato misure adeguate a prevenire e contrastare tali comportamenti, evitando potenziali responsabilità giuridiche. Si specifica che, qualora l’azienda decidesse di dotarsi del modello 231, è indispensabile che la segnalazione sia condivisa con l’Organismo di Vigilanza e che detto organo sia coinvolto e reso edotto di ogni successiva fase di indagine e analisi della segnalazione.
Le segnalazioni devono essere il più possibile circostanziate, per consentire la valutazione dei fatti da parte dei soggetti competenti a ricevere e gestire le segnalazioni.
È necessario che risultino chiari i seguenti elementi essenziali della segnalazione, anche ai fini del vaglio di ammissibilità:
• i dati identificativi della persona segnalante (nome, cognome, luogo e data di nascita), nonché un recapito a cui comunicare i successivi aggiornamenti;
• le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione e, quindi, una descrizione dei fatti oggetto della segnalazione, specificando i dettagli relativi alle notizie circostanziali e ove presenti anche le modalità con cui si è venuti a conoscenza dei fatti oggetto della segnalazione;
• le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.
È utile che alla segnalazione vengano allegati documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti.
In accordo con quanto previsto dalle Linee Guida di Confindustra (Ottobre 2023, p. 17) la segnalazione anonima deve avere un contenuto puntuale, circostanziato e supportato da idonea documentazione, affinché sia considerata come segnalazione ordinaria e valida.
L’Organizzazione ha nominato un “Gestore segnalazioni – whistleblowing” presso la sede legale aziendale, località Monastero D’Ombrone 19, 53019, Castelnuovo Berardenga (SI), raggiungibile tramite comunicazione scritta inviata su piattaforma online* a cui possono essere inviate segnalazioni relative ad informazioni, compresi i fondati sospetti, su violazioni già commesse o non ancora commesse (ma che, sulla base di elementi concreti, potrebbero esserlo), nonché su condotte volte ad occultarle.
(*) ANAC, recependo il parere del Garante Privacy, evidenzia che, ai fini della istituzione del canale interno di segnalazione, “La posta elettronica ordinaria e la PEC si ritiene siano strumenti non adeguati a garantire la riservatezza”.
L’Organizzazione ha predisposto sia il canale scritto - informatico - che quello orale (incontro fissato entro un termine ragionevole su richiesta della persona segnalante), dovendo mettere entrambi a disposizione del segnalante.
Tra gli argomenti che possono essere oggetto di segnalazioni si indicano a titolo meramente esemplificativo e non esaustivo:
Frode finanziaria: Qualsiasi attività fraudolenta che coinvolga l'azienda, ad esempio falsificazione di documenti, appropriazione indebita di fondi, manipolazione dei bilanci, ecc.
Corruzione: Offerte, pagamenti, regali o altre pratiche illegali per ottenere benefici o favori impropri.
Violazioni delle normative sulla salute e sicurezza sul lavoro: Mancato rispetto delle norme di sicurezza e salute sul luogo di lavoro, esposizione a rischi non adeguatamente gestiti, mancanza di formazione o di attrezzature adeguate.
Violenza sul lavoro: Comportamenti inappropriati, molestie, discriminazione o abusi sul luogo di lavoro.
Violazione della privacy e gestione impropria dei dati: Accesso non autorizzato ai dati personali, mancata protezione delle informazioni sensibili, o qualsiasi altra violazione della normativa sulla protezione dei dati.
Violazioni ambientali: Attività aziendali che causano danni all'ambiente, inosservanza delle normative ambientali, inquinamento, smaltimento improprio dei rifiuti, ecc.
Evasione fiscale: Pratiche illecite volte ad evitare il pagamento delle imposte o ad eludere le leggi fiscali.
Violazioni dei diritti umani: Coinvolgimento dell'azienda in attività che violano i diritti umani, come il lavoro minorile, la tratta di esseri umani, sfruttamento, ecc.
6.2 Modalità operabili dall’Organizzazione per l’utilizzo del canale interno/esterno di segnalazione (casi previsti da decreto)
Per i SOGGETTI DEL SETTORE PRIVATO che
1) non hanno raggiunto la media di 50 lavoratori su base annua e hanno adottato il MOG 231, le segnalazioni possono riguardare condotte illecite o violazione del modello 231 ed essere effettuate attraverso il canale interno.
2) hanno impiegato la media di almeno 50 lavoratori e hanno adottato il MOG 231, le segnalazioni possono:
• avere a oggetto condotte illecite o violazione del modello 231 ed essere effettuate solo attraverso canale interno;
• avere a oggetto violazioni del diritto UE ed essere effettuate attraverso canale interno, esterno, divulgazione pubblica o denuncia
3) hanno impiegato la media almeno di 50 lavoratori e non hanno il Modello 231 oppure rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’Allegato (servizi, prodotti e mercati finanziari, prevenzione del riciclaggio, del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente) anche se non hanno raggiunto la media di 50 lavoratori subordinati, le segnalazioni possono riguardare violazioni del diritto UE ed essere effettuate attraverso canale interno, esterno, divulgazione pubblica o denuncia.
6.3 Procedura per la gestione della segnalazione
Le segnalazioni interne avvengono di prassi tramite piattaforma informatica opportunamente configurata per motivi di riservatezza e sicurezza delle identità del segnalante e dei contenuti della comunicazione, raggiungibile al link https://whistleblowing.dataservices.it/CASTELMONASTERO .
La scelta tra piattaforma on-line e modalità analogica/cartacea è una valutazione rimessa alla singola impresa, in funzione di diverse considerazioni riconducibili al contesto, alla dimensione aziendale (vedi parg. 6.2), alla funzionalità rispetto allo scopo e al livello di sicurezza e riservatezza garantito dalle soluzioni adottate.
Avendo scelto di utilizzare una piattaforma informatica, sebbene il Decreto e le LG ANAC non individuino particolari adempimenti da effettuare in fase di ricezione, la Direzione aziendale ha provveduto a far configurare in maniera adeguata tale piattaforma per motivi di riservatezza e sicurezza dei dati trasmessi e a garantire un’adeguata formazione al soggetto/all’ufficio a cui è affidata la gestione delle segnalazioni.
Segnalazioni pervenute per via “anomala”
Le segnalazioni eventualmente pervenute tramite canali differenti rispetto al Canale Interno predisposto ai sensi dell’art. 4 del D.lgs. n. 24/2023 verranno processate nel merito e la Società riconoscerà, in ogni caso, le tutele previste dal Decreto in favore dell’autore della segnalazione, sia per quanto afferisce al rispetto dei diritti alla privacy ed alla riservatezza, sia per quanto riguarda i divieti di discriminazione e di azioni ritorsive in suo danno. Ad ogni modo, qualora le segnalazioni formalizzate tramite canali non regolamentati dovessero pervenire a soggetti diversi rispetto al responsabile del canale interno, questi sono chiamati a condividerne il contenuto con il medesimo Responsabile entro sette giorni e, successivamente, a cancellare senza ritardo ogni dato sensibile raccolto tramite il canale non convenzionale e rimasto nella loro disponibilità. Sarà premura del Responsabile del canale interno accertare che i dati transitati siano poi conservati in conformità con quanto previsto dal D.lgs. 24/2023, dal D.lgs. 193/2003 e dal GDPR.
6.4 Soggetto a cui è affidata la gestione delle segnalazioni, poteri e obblighi
La Gestione della segnalazione: è affidata ad un gruppo di persone dedicate e con personale formato. In particolare, la gestione della segnalazione è affidata a:
• funzione di Responsabile Amministrativo (Director of Finance and Administration);
• funzione di Amministratore Unico.
Si noti che, qualora uno tra i soggetti responsabili che sono chiamati alla gestione della segnalazione dovesse rilevare un proprio conflitto di interesse, in quanto risulti essere in qualsivoglia misura coinvolto dall’oggetto della segnalazione (soggetto segnalato, responsabile di un ufficio coinvolto dalla condotta segnalata, in rapporto stretto con la persona segnalante, etc.), lo stesso ha l’obbligo di astenersi dal prendere parte alle attività di valutazione della segnalazione stessa e all’intero iter di cui alla presente procedura.
Le attività a cui è tenuto chi gestisce le segnalazioni
Chi gestisce le segnalazioni:
1. rilascia al segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione solo per informarlo dell’avvenuta corretta ricezione.; l’Avviso di ricevimento: attesta corretta ricezione, non l’esecuzione di attività istruttoria nel merito.
2. garantisce corretto seguito alle segnalazioni ricevute: procedibilità, ammissibilità della segnalazione e istruttoria; ciò implica una valutazione su:
- rispetto dei presupposti oggettivi/soggettivi (procedibilità)
- sussistenza dei requisiti essenziali (ammissibilità)
- adeguata istruttoria (richiesta di informazioni, accesso ai documenti, etc.) per valutare la fondatezza dei fatti segnalati (fumus di fondatezza, verosimile (probabile) esistenza del fatto illecito segnalato).
Se quanto segnalato non è adeguatamente circostanziato, chi gestisce può chiedere elementi integrativi al segnalante tramite il canale a ciò dedicato, o anche di persona, ove il segnalante abbia richiesto un incontro diretto.
3. fornisce un riscontro al segnalante.
4. Procede alla redazione di un report finale, che viene trasmesso all’organo amministrativo affinché questo assuma ogni necessaria determinazione. Il report conclusivo deve contenere:
- una descrizione sintetica dei fatti segnalati;
- una indicazione della documentazione raccolta ed esaminata con riferimento alla segnalazione;
- una sintesi delle attività di indagine effettuate e le rispettive risultanze
- ogni ulteriore allegato documentale;
- le conclusioni tratte dal responsabile con riguardo alla ammissibilità o meno della segnalazione e gli inerenti profili di responsabilità.
Ricezione della segnalazione
Il gestore rilascia al segnalante l’avviso di ricevimento inoltrandolo al recapito indicato dal segnalante nella segnalazione. In assenza di tale indicazione è possibile considerare la segnalazione come non gestibile ai sensi della disciplina whistleblowing (lasciando traccia di tale motivazione) ed eventualmente trattarla come segnalazione ordinaria.
Nel caso di ricezione di segnalazioni anonime, anche alla luce delle indicazioni dell’ANAC, le stesse, qualora risultino puntuali, circostanziate e supportate da idonea documentazione, possono essere equiparate dall’impresa alle segnalazioni ordinarie e possono essere trattate in conformità ai regolamenti interni, laddove eventualmente implementati.
In ogni caso, le segnalazioni anonime vengono registrate dal gestore della segnalazione e la documentazione ricevuta viene conservata. Infatti, il Decreto prevede che laddove il segnalante anonimo venga successivamente identificato e abbia subito ritorsioni, allo stesso debbano essere garantite le tutele previste per il whistleblower.
Procedibilità della segnalazione
Per poter dare corso al procedimento, il gestore della segnalazione, per prima cosa, verifica la sussistenza dei presupposti oggettivi e soggettivi: i) che il segnalante sia un soggetto legittimato a effettuare la segnalazione e ii) che l’oggetto della segnalazione rientri nell’ambito di applicazione della disciplina.
Nel caso in cui la segnalazione riguardi una materia esclusa dall’ambito oggettivo di applicazione, la stessa potrà essere trattata come ordinaria e, quindi, gestita secondo le eventuali procedure già in precedenza adottate dall’ente per tali violazioni dandone comunicazione al segnalante.
Ammissibilità della segnalazione
Verificata la procedibilità, si valuta l’ammissibilità come segnalazione whistleblowing.
Al riguardo, devono risultare chiare:
• le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione e, quindi, una descrizione dei fatti oggetto della segnalazione, che contenga i dettagli relativi alle notizie circostanziali e, ove presenti, anche le modalità attraverso cui il segnalante è venuto a conoscenza dei fatti;
• le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati (segnalato).
La segnalazione può, quindi, essere ritenuta inammissibile per:
• mancanza dei dati che costituiscono gli elementi essenziali della segnalazione;
• manifesta infondatezza degli elementi di fatto riconducibili alle violazioni tipizzate dal legislatore;
• esposizione di fatti di contenuto generico tali da non consentirne la comprensione agli uffici o alla persona preposti;
• produzione di sola documentazione senza la segnalazione vera e propria di violazioni.
Nel caso in cui la segnalazione risulti improcedibile o inammissibile, il gestore della segnalazione procede all'archiviazione, garantendo comunque la tracciabilità delle motivazioni a supporto.
Istruttoria e accertamento della segnalazione
Il gestore delle segnalazioni assicura che siano effettuate tutte le opportune verifiche sui fatti segnalati, garantendo tempestività e rispetto dei principi di obiettività, competenza e diligenza professionale.
L’obiettivo della fase di accertamento è procedere con verifiche, analisi e valutazioni specifiche circa la fondatezza o meno dei fatti segnalati, a titolo esemplificativo:
• direttamente acquisendo gli elementi informativi necessari alle valutazioni attraverso l’analisi della documentazione/informazioni ricevute;
• attraverso il coinvolgimento di altre strutture aziendali o anche di soggetti specializzati esterni (es. IT specialist) in considerazione delle specifiche competenze tecniche e professionali richieste;
• audizione di eventuali soggetti interni/esterni, ecc.
Una volta completata l’attività di accertamento, il gestore può:
1. archiviare la segnalazione perché infondata, motivandone le ragioni;
2. dichiarare fondata la segnalazione e rivolgersi agli organi/funzioni interne competenti per i relativi seguiti (es. il Management aziendale, Direzione amministrativa, …).
Al gestore della segnalazione non compete alcuna valutazione in ordine alle responsabilità individuali e agli eventuali successivi provvedimenti o procedimenti conseguenti. Pertanto, all’esito dell’iter di valutazione della segnalazione, il Responsabile procede alla redazione di un report che riassume le attività svolte, le informazioni raccolte e le conclusioni tratte, che trasmette senza ritardo all’organo amministrativo per ogni inerente valutazione sulle azioni rimediali/disciplinari da eventualmente intraprendere.
Riscontro al segnalante
Deve essere fornito un riscontro al segnalante entro il termine di tre mesi dalla data dell'avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.
E’ opportuno specificare che non è necessario concludere l’attività di accertamento entro i tre mesi, considerando che possono presentarsi fattispecie che richiedono, ai fini delle verifiche, un tempo maggiore.
Il riscontro potrà essere definitivo o intermedio.
Il gestore della segnalazione può comunicare al segnalante:
• l’avvenuta archiviazione della segnalazione, motivandone le ragioni;
• l’avvenuto accertamento della fondatezza della segnalazione e la sua trasmissione agli organi interni competenti;
• l’attività svolta fino a questo momento e/o l’attività che intende svolgere.
In tale ultimo, caso è consigliabile comunicare alla persona segnalante anche il successivo esito finale dell’istruttoria della segnalazione (archiviazione o accertamento della fondatezza della segnalazione con trasmissione agli organi competenti), in linea con le LG ANAC.

7. I NECESSARI ADEGUAMENTI PRESCRITTI PER IL TRATTAMENTO DEI DATI PERSONALI
Protezione della riservatezza dei segnalanti
• L'identità del segnalante non può essere rivelata a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni.
• La protezione riguarda non solo il nominativo del segnalante, ma anche tutti gli elementi della segnalazione dai quali si possa ricavare, anche indirettamente, l’identificazione del segnalante.
• La protezione della riservatezza è estesa all’identità delle persone coinvolte e delle persone menzionate nella segnalazione fino alla conclusione dei procedimenti avviati in ragione della segnalazione, nel rispetto delle medesime garanzie previste in favore della persona segnalante.
Protezione dei dati personali
• Il trattamento di dati personali relativi al ricevimento e alla gestione delle segnalazioni è effettuato dai soggetti del settore pubblico e privato, in qualità di Titolari del trattamento, nel rispetto dei princìpi europei e nazionali in materia di protezione di dati personali, fornendo idonee informazioni alle persone segnalanti e alle persone coinvolte nelle segnalazioni, nonché adottando misure appropriate a tutela dei diritti e delle libertà degli interessati.
• Inoltre, i diritti di cui agli articoli da 15 a 22 del Regolamento (UE) 2016/679 possono essere esercitati nei limiti di quanto previsto dall’articolo 2-undecies del decreto legislativo 30 giugno 2003, n. 196.
• Le segnalazioni interne ed esterne e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre 5 anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui alla normativa europea e nazionale in materia di protezione di dati personali.

8. PRESUPPOSTI PER RICORRERE ALLA SEGNALAZIONE ESTERNA
I segnalanti possono utilizzare il canale esterno (ANAC) quando:
• non è prevista, nell’ambito del contesto lavorativo, l’attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto richiesto dalla legge;
• la persona segnalante ha già effettuato una segnalazione interna e la stessa non ha avuto seguito;
• la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione potrebbe determinare un rischio di ritorsione;
• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.
I segnalanti possono effettuare direttamente una divulgazione pubblica (tramite stampa o mezzi elettronici o mezzi di diffusione in grado di raggiungere un numero elevato di persone) quando:
• la persona segnalante ha previamente effettuato una segnalazione interna ed esterna ovvero ha effettuato direttamente una segnalazione esterna e non è stato dato riscontro entro i termini stabiliti in merito alle misure previste o adottate per dare seguito alle segnalazioni;
• la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse;
• la persona segnalante ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l'autore della violazione o coinvolto nella violazione stessa.
• La segnalazione è sottratta all’accesso agli atti amministrativi e al diritto di accesso civico generalizzato.
Le segnalazioni ad ANAC possono essere effettuate tramite il portale dei servizi al link https://whistleblowing.anticorruzione.it
Il portale ANAC tramite l’apposito applicativo rilascia al segnalante un codice identificativo univoco, “key code”, che dovrà essere utilizzato per le comunicazioni in modo spersonalizzato e per essere costantemente informati sullo stato di lavorazione della segnalazione inviata.

9. IL DIVIETO DI ATTI RITORSIVI
È previsto il divieto di atti ritorsivi (per “ritorsione” si intende quanto definito al parag. 2).
Esempi di comportamenti ritorsivi sono:
• il licenziamento, la sospensione o misure equivalenti;
• la retrocessione di grado o la mancata promozione;
• il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell'orario di lavoro;
• la sospensione della formazione o qualsiasi restrizione dell'accesso alla stessa;
• le note di merito negative o le referenze negative;
• l'adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
• la coercizione, l'intimidazione, le molestie o l'ostracismo;
• la discriminazione o comunque il trattamento sfavorevole;
• la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
• il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
• i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
• l'inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un'occupazione nel settore o nell'industria in futuro;
• la conclusione anticipata o l'annullamento del contratto di fornitura di beni o servizi;
• l'annullamento di una licenza o di un permesso;
• la richiesta di sottoposizione ad accertamenti psichiatrici o medici.
Il segnalante può comunicare all’ANAC le ritorsioni che ritiene di avere subito. Se commesse nel contesto privato, ANAC informa l’Ispettorato Nazionale del Lavoro.
Gli atti di ritorsione assunti in violazione della predetta normativa sono nulli.
Competenza ad accertare la ritorsione
La gestione delle comunicazioni di ritorsioni nel settore pubblico e nel settore privato compete ad ANAC che può avvalersi, per quanto di rispettiva competenza, della collaborazione dell'Ispettorato della funzione pubblica e dell'Ispettorato Nazionale del Lavoro.
La dichiarazione di nullità degli atti ritorsivi spetta all’Autorità giudiziaria.
Estensione della protezione ad altri soggetti
È prevista l’estensione della protezione anche ai seguenti soggetti:
• al facilitatore (persona fisica che assiste il segnalante nel processo di segnalazione e operante all’interno del medesimo contesto lavorativo);
• alle persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado;
• ai colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;
• agli Enti di proprietà della persona segnalante o per i quali le stesse persone lavorano nonché agli Enti che operano nel medesimo contesto lavorativo delle predette persone.
Perdita delle tutele
Presupposti per la protezione
Le tutele sono concesse quando:
• il segnalante, al momento della segnalazione, aveva il fondato motivo di ritenere (no voci di corridoio o supposizioni) che le informazioni sulle violazioni fossero vere e rientrassero nell’ambito di applicazione oggettivo della normativa;
• è stata rispettata la disciplina/procedura di utilizzo dei diversi canali.
Le tutele non sono garantite quando è accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave; in tali casi alla persona segnalante o denunciante può essere irrogata una sanzione disciplinare.

10. AGGIORNAMENTO DEL MOG 231
Nel caso l’organizzazione si volesse dotare di Modello Organizzativo in base al D.Lgs.231/01 è necessario procedere all’aggiornamento del MOG a) con l’indicazione dei canali di segnalazione interna adottati dall’ente; b) con il riferimento al divieto di commissione di qualsiasi atto di ritorsione; c) con il rispetto dei doveri di riservatezza nel trattamento delle informazioni relativamente alla gestione delle segnalazioni; d) integrando il sistema disciplinare prevedendo sanzioni nei confronti dei responsabili delle violazioni per le quali l’ANAC applica sanzioni amministrative pecuniarie.

11. FORMAZIONE E INFORMAZIONE
L’Organizzazione, al fine di garantire una gestione consapevole, accurata e professionale delle segnalazioni si fa carico di:
• oneri formativi: il gruppo identificato a cui è demandata la gestione del canale di segnalazione riceve una specifica formazione relativa alla gestione del canale e alla normativa di riferimento;
• oneri informativi: il gruppo identificato cui è demandata la gestione del canale di segnalazione mette a disposizione della persona segnalante, informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne od esterne.

12. TRATTAMENTO DEI DATI PERSONALI
L’Organizzazione ha previsto che ogni trattamento dei dati personali sia effettuato a norma del Reg. (UE) 2016/679, del D.Lgs. 30 giugno 2003, n. 196 e del D.Lgs. 18 maggio 2018, n. 51.
Le tipologie di dati trattati sono di natura comune, di natura particolare (“dati sensibili”) e giudiziari (es. condanne penali e reati) eventualmente contenuti nella segnalazione e nei documenti ad essi collegati.
Gli interessati sono i soggetti cui si riferiscono i dati personali oggetto di segnalazione (Segnalante, Facilitatore, Segnalato, persone a vario titolo coinvolte nella segnalazione ad es. eventuali testimoni del fatto segnalato). Tutti questi soggetti godono delle tutele e dei diritti previsti dalla disciplina della protezione dei dati personali anche se con differenze.
Si richiamano a questo proposito i Principi generali di protezione dei dati tenuti in particolare considerazione ai fini del presente Atto organizzativo (art. 5 e 25 GDPR) in particolare: limitazione della finalità, pertinenza e minimizzazione; esattezza e aggiornamento dei dati; limitazione della conservazione (non oltre i 5 anni dalla comunicazione dell’esito della procedura); sicurezza (garanzia contro i rischi di violazioni di confidenzialità, disponibilità e integrità dei dati) sulla base della valutazione di impatto (DPIA) (le misure di sicurezza adottate devono essere comunque periodicamente esaminate); trasparenza (prevedendo l’obbligo di rendere un’informativa completa ai soggetti interessati ai sensi degli artt 13 e 14 del GDPR oltre all’obbligo di pubblicare); protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita (by design e by default) di informazioni circa il canale, le procedure e i presupposti per effettuare le segnalazioni interne o esterne (art. 25 GDPR); responsabilità del trattamento (art. 24 GDPR Accountability, è onere del titolare del trattamento verificare, garantire ed essere in grado di dimostrare la corrispondenza del sistema implementato, specie in termini di correttezza, sicurezza, chiarezza espositiva, con i requisiti di protezione imposti dal GDPR); tutela della riservatezza del segnalante (la riservatezza dell’identità è garantita dalla pseudonimizzazione), del segnalato e degli altri soggetti coinvolti.
Sul Titolare del trattamento ricade la responsabilità di ricevere e gestire le segnalazioni.
L’Organizzazione ritiene la DPIA (Data Protection Impact Assessment) preliminare necessaria (in riferimento agli artt. 13.6 D.Lgs n.24/2023 e 35 GDPR) in quanto precondizione per l’adozione delle misure di sicurezza tecniche e organizzative adeguate (criteri che definiscono il rischio elevato sono la natura vulnerabile del Segnalante, la delicatezza delle informazioni artt. 9 e 10 GDPR).
Si prevede il divieto di tracciamento dei canali di segnalazione sia sulla piattaforma sia negli apparati di rete eventualmente utilizzati (no conservazione dei LOG del segnalante), mentre è necessario tracciare le attività di coloro che gestiscono le segnalazioni come misura di salvaguardia degli obblighi dovuti, con i limiti dello Statuto dei Lavoratori.
Si dispone che l’accesso alla piattaforma dedicata avvenga attraverso autenticazione a più fattori come ulteriore misura di irrobustimento delle misure di protezione.
La mappatura delle attività di trattamento e aggiornamento del registro delle attività di trattamento deve essere effettuata in modo dinamico seguendo le variazioni intervenute.
Il regime sanzionatorio direttamente previsto per violazioni al D.Lgs. Whistleblowing si aggiunge alle sanzioni previste in materia di Privacy e richiamate dal Garante attraverso Ordinanze precedenti al Decreto (es. assenza di informativa, mancato aggiornamento Registro attività di trattamento, mancata regolazione del rapporto con il fornitore del servizio e tra questo e i subfornitori, mancata effettuazione DPIA, inadeguatezza delle misure di sicurezza come crittografia, modalità di gestione delle credenziali inidonea ecc…)

13. CONDIVISIONE DEL CANALE DI SEGNALAZIONE
Nel caso in cui l’impresa oggetto della specifica procedura decida di affidare a uno stesso soggetto (esterno) la gestione delle segnalazioni, viene garantito contrattualmente che ciascun Ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità. Pertanto, vengono adottate misure tecniche e organizzative per garantire che ciascun Ente abbia accesso solo alle segnalazioni di propria competenza.
A tal fine, per la condivisione del canale di segnalazione, è necessario stipulare accordi/convezioni tra gli Enti, nei quali sono definiti i termini della gestione delle segnalazioni, che deve comunque avvenire senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata.