Introduzione al Whistleblowing
In un mondo aziendale sempre più complesso e globalizzato, la trasparenza e l’integrità sono più cruciali che mai. Uno dei modi per mantenere elevati standard etici è attraverso il whistleblowing, o segnalazione di irregolarità. Ma cosa si intende per whistleblowing? E come si collega alla compliance al GDPR e al ruolo del DPO (Data Protection Officer)? Questo vademecum intende fornire una guida pratica per chi si trova a dover segnalare comportamenti scorretti o illegali in azienda.
Cosa Si Intende per Whistleblowing?
Il Whistleblowing in Italia
Il whistleblowing è l’atto di segnalare violazioni di leggi, regolamenti o codici di condotta all’interno di un’organizzazione. Questo può includere, ma non è limitato a, la denuncia di frodi, corruzione, discriminazione e altre irregolarità. Le segnalazioni possono essere fatte in modo anonimo e sono spesso protette da leggi che impediscono ritorsioni nei confronti del segnalatore.
Il 15 marzo 2023, con la pubblicazione sulla Gazzetta Ufficiale, l’Italia ha ufficializzato l’adozione del Whistleblowing con Decreto Legislativo 24/2023. Questo decreto ha implementato la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, che riguarda la tutela di coloro che denunciano violazioni del diritto dell’Unione o delle leggi nazionali.
Quando e Cosa Segnalare
Esistono vari tipi di violazioni che possono e dovrebbero essere segnalate:
- Violazioni Legali: Se l’azienda non rispetta leggi e regolamenti, sia nazionali che europei, va segnalato. Ad esempio, mancate procedure di compliance al GDPR riguardanti la protezione dei dati personali.
- Irregolarità Contabili e Amministrative: Se noti che i bilanci sono manipolati o che ci sono frodi fiscali, dovresti denunciarle.
- Questioni Etiche: Oltre alle leggi, ogni azienda ha un codice etico che deve essere rispettato. Violazioni come discriminazioni, molestie o altre forme di comportamento non etico vanno segnalate.
Il ruolo del DPO
Il DPO (Data Protection Officer) gioca un ruolo chiave nel garantire la compliance al GDPR.
Per inquadrare i ruoli, consideriamo prima l’ente che crea il sistema di segnalazione come il “Titolare del trattamento” dei dati. Le persone coinvolte, sia che siano i segnalatori o quelli segnalati, sono i “soggetti interessati” le cui informazioni personali saranno gestite. Altri partecipanti, come fornitori terzi di piattaforme di segnalazione, sono definiti come “Responsabili” ai sensi dell’art. 28 del GDPR. Con questi ultimi, il Titolare dovrà stipulare accordi che specificano i limiti e le modalità di accesso e utilizzo dei dati.
Il DPO ha il compito di assicurare che l’ente adempia a tutti gli obblighi previsti dal GDPR. Questo include, ad esempio, l’obbligo di informare i soggetti interessati sui trattamenti dei loro dati, come delineato dall’articolo 13 del GDPR. Inoltre, il DPO deve verificare che tutti i “Responsabili” identificati offrano garanzie sufficienti per la sicurezza dei dati e la tutela dei diritti degli interessati.
Un punto cruciale è che qualsiasi canale di segnalazione, progettato per garantire l’anonimato del segnalatore, deve essere in linea con gli articoli 24, 25 e 32 del GDPR. In sostanza, la protezione dei dati deve essere integrata nel sistema fin dalla sua progettazione.
Come/Dove Fare la Segnalazione
Cosa NON Dovresti Segnalare
Per segnalare efficacemente violazioni, è fondamentale conoscere i canali disponibili. Le imprese private con almeno 50 dipendenti, quelle con Modelli di organizzazione ai sensi del D.Lgs. n. 231/2001, e vari soggetti del settore pubblico e privato sono obbligati ad avere canali di segnalazione interna. I segnalanti possono rivolgersi all’ANAC (Autorità Nazionale Anticorruzione) nelle seguenti circostanze:
- Se il canale interno non esiste o non è conforme alla legge.
- Se una segnalazione interna precedente è stata ignorata.
- Se c’è il timore di ritorsioni o di inazione nell’affrontare la segnalazione.
In casi di urgenza o grave rischio per l’interesse pubblico, la divulgazione pubblica è anche una possibilità.
Non tutto ciò che potrebbe sembrare una violazione è appropriato per il whistleblowing. Ad esempio:
Questioni Personali: Problemi personali con colleghi o superiori che non violano leggi o codici etici dell’azienda non sono di competenza del whistleblowing.
Aspetti Coperti da Altre Norme: Alcune violazioni, come quelle inerenti alla sicurezza nazionale, potrebbero avere canali di segnalazione specifici e non essere adatte per un intervento di whistleblowing generico.
Considerazioni Finali: Proteggi Te Stesso e Gli Altri
Il whistleblowing è uno strumento potente per mantenere l’integrità e la trasparenza in un’organizzazione. Tuttavia, è fondamentale che le segnalazioni siano fatte in modo responsabile e informato. Conoscere cosa si intende per whistleblowing, capire il ruolo del DPO e essere a conoscenza dei requisiti di compliance al GDPR ti aiuterà a fare segnalazioni efficaci che possono portare a cambiamenti reali.
Il whistleblowing è più di un diritto; è un dovere per chi cerca di fare la cosa giusta in un mondo che spesso sembra incentrato a fare esattamente il contrario.