Protezione dei segnalanti in Croazia: vigilanza del Difensore civico, sanzioni fino a 30.000 € e il rigido termine di 30 giorni

Il quadro normativo croato: la Legge NN 46/22 e il contesto bilingue istriano

Con l'entrata in vigore della nuova Legge sulla protezione dei segnalanti di irregolarità (Zakon o zaštiti prijavitelja nepravilnosti, pubblicata nella Gazzetta Ufficiale della Repubblica di Croazia - Narodne novine, n. 46/22), la Croazia ha recepito la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio. Il legislatore croato ha tuttavia introdotto disposizioni applicative particolarmente stringenti, superando in molti aspetti i requisiti minimi unionali. Ai sensi dell'articolo 13 della legge, tutti i datori di lavoro del settore privato che impiegano 50 o più dipendenti sono obbligati a istituire un canale interno sicuro per la segnalazione e ad adottare un apposito regolamento generale che disciplini la procedura di segnalazione interna.

Nelle aree a statuto bilingue, come la Regione Istriana (Istarska županija) e i comuni con presenza storica della comunità nazionale italiana autoctona (tra cui Pola, Rovigno, Umago, Parenzo, Buie e Cittanova), le imprese e gli enti pubblici devono garantire che le informazioni sulle procedure di segnalazione e i relativi canali siano accessibili anche in lingua italiana. L'obbligo di istituzione del canale prescinde dal numero di dipendenti per tutti gli intermediari finanziari, gli istituti di credito, le società di investimento, le compagnie di assicurazione e i soggetti sottoposti alla normativa antiriciclaggio (SPNFT).

Le aziende in Croazia devono dotarsi di un canale di segnalazione tecnicamente autonomo e conforme agli standard europei, in grado di garantire l'assoluta riservatezza dell'identità del segnalante ed evitare qualsiasi accesso non autorizzato.

Il ruolo centrale dell'Ufficio del Difensore civico (Pučka pravobraniteljica)

La Legge NN 46/22 ha designato l'Ufficio del Difensore civico della Repubblica di Croazia (Pučka pravobraniteljica) quale autorità centrale competente per la ricezione e la gestione delle segnalazioni esterne. Il Difensore civico opera come istituzione costituzionale indipendente, dotata di ampi poteri ispettivi, istruttori e sanzionatori.

Un lavoratore o collaboratore aziendale ha pieno titolo per rivolgersi direttamente al Difensore civico qualora il datore di lavoro non abbia istituito il canale interno, se il canale interno non sia operativo o se sussistano fondati motivi per ritenere che la segnalazione interna possa comportare il rischio di ritorsioni o non sortire alcun effetto investigativo. Nel corso del 2026, il Difensore civico ha intensificato le verifiche d'ufficio e i controlli sulla corretta attuazione della legge in tutto il territorio croato.

Qualora il Difensore civico rilevi violazioni dei diritti del segnalante o gravi irregolarità nella condotta datoriale, emette raccomandazioni e avvertimenti formali; inoltre, nei casi di illeciti amministrativi o indizi di reato, presenta formale atto d'accusa (optužni prijedlog) dinanzi ai tribunali per i reati minori o trasmette gli atti alla Procura di Stato (DORH).

Nomina, funzioni e garanzie per la persona di fiducia (povjerljiva osoba)

In base all'articolo 14 della legge, il datore di lavoro è tenuto a nominare una persona di fiducia (povjerljiva osoba) e il suo sostituto. La procedura di nomina non è rimessa alla sola discrezionalità manageriale: la designazione avviene su proposta del consiglio di fabbrica (radničko vijeće), del fiduciario sindacale con funzioni vicarie o su richiesta scritta di almeno il 20% dei lavoratori dell'impresa. Soltanto qualora i lavoratori o i loro rappresentanti non formulino alcuna proposta entro i termini di legge, il datore di lavoro può procedere alla nomina diretta, previo consenso scritto dell'interessato.

La persona di fiducia conduce in piena autonomia l'intero procedimento interno: riceve le segnalazioni, ne valuta la fondatezza entro i termini perentori, propone al datore di lavoro le azioni correttive necessarie, tutela il segnalante da eventuali pregiudizi e mantiene costante il flusso informativo con il segnalante stesso. La legge vieta categoricamente al datore di lavoro di impartire istruzioni, interferire o condizionare l'operato della persona di fiducia.

Un errore critico e assai diffuso nelle imprese croate consiste nell'affidare tale incarico al responsabile delle risorse umane (HR) o al direttore dell'ufficio legale aziendale. Tale coincidenza genera un palese conflitto di interessi. L'utilizzo di un software per la gestione delle segnalazioni crea un perimetro digitale inviolabile in cui la persona di fiducia opera in totale isolamento da qualsiasi interferenza gerarchica o amministrativa IT.

Il termine peculiare di 30 giorni nel diritto croato rispetto agli standard UE

Un aspetto di fondamentale rilievo che distingue la legislazione croata dalla direttiva generale e dalle normative di altri paesi dell'Unione Europea riguarda il termine massimo concesso per informare il segnalante sugli esiti dell'istruttoria. Ai sensi dell'articolo 18 della Legge NN 46/22:

1. Conferma di ricezione entro 7 giorni: La persona di fiducia è obbligata a inviare al segnalante una ricevuta scritta di avvenuta ricezione entro sette (7) giorni lavorativi dalla data di ricezione della segnalazione, salvo esplicita contraria richiesta del segnalante o qualora l'invio della ricevuta comprometta la riservatezza.

2. Riscontro sostanziale ed esito entro il termine ordinario di 30 giorni: La persona di fiducia deve esaminare la segnalazione e informare per iscritto il segnalante sulle misure adottate e sull'esito della procedura entro e non oltre trenta (30) giorni dalla ricezione della segnalazione. Solamente in casi di eccezionale complessità tecnica o finanziaria tale termine può essere prorogato fino a un massimo di 90 giorni, a condizione che al segnalante venga fornita una dettagliata motivazione scritta prima della scadenza dei primi 30 giorni.

Il mancato rispetto del termine di 30 giorni senza valida e tempestiva giustificazione costituisce un grave illecito e conferisce al segnalante la facoltà immediata di attivare il canale esterno del Difensore civico o di procedere alla divulgazione pubblica, conservando l'integrale tutela da ogni ritorsione. Per un approfondimento sui diritti garantiti, si rimanda alla guida su protezione dei segnalanti e tutele legali.

Perché la casella di posta elettronica ordinaria (segnalazioni@azienda.hr) è illegale

Ancora oggi numerose aziende in Croazia ritengono erroneamente sufficiente attivare una semplice casella di posta elettronica, come segnalazioni@azienda.hr o whistleblowing@azienda.hr. Gli orientamenti ufficiali del Difensore civico e dell'Agenzia per la protezione dei dati personali della Croazia (AZOP) sanciscono inequivocabilmente che la posta elettronica convenzionale è inidonea a soddisfare i presidi di legge.

Nelle reti aziendali ordinarie, gli amministratori di sistema, il personale dell'assistenza IT e i fornitori del servizio mail hanno libero accesso a messaggi, indirizzi IP, intestazioni tecniche e file allegati. In una siffatta architettura, la segretezza dell'identità del segnalante è del tutto compromessa e il rischio di rappresaglie o fughe di notizie all'interno dell'organigramma aziendale diviene elevatissimo.

In aggiunta, le e-mail possono essere modificate, archiviate selettivamente o eliminate senza lasciare alcuna traccia immutabile. Durante i controlli ispettivi, il Difensore civico e i giudici esigono la prova tecnica che:

• Nessun membro del reparto IT o della direzione possa accedere ai dati identificativi del segnalante.
• Sia presente un registro digitale di audit (audit trail) crittograficamente immodificabile.
• Tutte le comunicazioni siano protette da cifratura asimmetrica end-to-end.
• Il rispetto dei termini perentori di 7 e 30 giorni sia certificato mediante marcatura temporale qualificata.

Divieto di ritorsioni e inversione dell'onere probatorio (Articoli 33, 34 e 35)

La Legge sulla protezione dei segnalanti sancisce un divieto categorico e assoluto di qualsivoglia misura ritorsiva a danno di chi abbia effettuato una segnalazione. La nozione di ritorsione include non solo il licenziamento o la risoluzione contrattuale, ma anche la mancata proroga di un contratto a tempo determinato, la retrocessione, il demansionamento, il blocco degli scatti di carriera, la decurtazione salariale o la revoca di premi, il mutamento arbitrario della sede di lavoro o dell'orario, l'inflizione di sanzioni disciplinari, le molestie morali e il mobbing aziendale.

L'elemento determinante della tutela è l'inversione dell'onere della prova ai sensi dell'articolo 35 della legge. In tutti i procedimenti giudiziari o giuslavoristici, laddove il lavoratore dimostri di aver inoltrato una segnalazione e di aver successivamente subito un trattamento deteriore, la legge presume automaticamente che tale trattamento costituisca un atto ritorsivo illegittimo. Grava interamente sul datore di lavoro l'onere di provare, con elementi oggettivi e documentali inoppugnabili, che il provvedimento sfavorevole è dipeso esclusivamente da ragioni aziendali estranee e antecedenti alla segnalazione.

In difetto di una traccia digitale probatoria indipendente che attesti come gli organi decisionali non fossero a conoscenza della segnalazione o dell'identità dell'autore, i tribunali croati dichiarano l'illegittimità e la nullità del licenziamento, disponendo la reintegrazione immediata sul posto di lavoro e condannando il datore di lavoro al risarcimento integrale del danno patrimoniale e non patrimoniale.

Quadro sanzionatorio e multe pecuniarie fino a 30.000 € (Articolo 37)

L'articolo 37 della Legge NN 46/22 elenca le fattispecie di infrazione e stabilisce sanzioni pecuniarie particolarmente severe per gli enti datoriali e i rispettivi dirigenti:

• Sanzione da 3.980 a 30.000 EUR: Applicabile alla persona giuridica che ostacoli o tenti di ostacolare la segnalazione, attui ritorsioni nei confronti del segnalante o ne riveli l'identità senza autorizzazione.
• Sanzione da 1.320 a 6.630 EUR: A carico della persona fisica responsabile all'interno dell'ente (amministratore delegato, membro del consiglio di amministrazione o dirigente).
• Sanzione da 1.320 a 3.980 EUR: Per la persona giuridica che ometta di istituire il canale interno o non provveda alla regolare nomina della persona di fiducia e del suo sostituto.
• Sanzione per la persona di fiducia: Da 390 a 1.320 EUR nel caso in cui la persona di fiducia violi la riservatezza o ometta di rispettare i termini procedurali di 7 e 30 giorni.
• Responsabilità per segnalazioni deliberatamente false: Chiunque inoltri con dolo informazioni mendaci o calunniose è punito con una sanzione da 390 a 2.650 EUR, ferme restando le responsabilità penali e civili per calunnia.

Oltre all'impatto economico diretto delle sanzioni pecuniarie, le sentenze di condanna comportano gravi ripercussioni reputazionali sul mercato del lavoro e possono pregiudicare la partecipazione delle imprese agli appalti pubblici nazionali ed europei.

Giurisprudenza dei tribunali croati e provvedimenti cautelari d'urgenza

I tribunali comunali e di contea in Croazia (općinski i županijski sudovi) applicano rigorosamente le tutele del segnalante mediante la concessione di misure cautelari d'urgenza (privremene mjere). Qualora il segnalante comprovi di aver subito un licenziamento o un demansionamento in concomitanza temporale con la segnalazione, il giudice può ordinare in via cautelare la sospensione immediata degli effetti del provvedimento e la reintegrazione temporanea con erogazione della retribuzione sino alla sentenza definitiva.

Inoltre, il legislatore croato ha stabilito l'esenzione totale del segnalante dal pagamento delle spese di contributo unificato e delle tasse giudiziarie nelle cause inerenti alla protezione da ritorsioni. Ciò incentiva i dipendenti ad adire la giustizia ordinaria, costringendo i datori di lavoro non conformi a sostenere elevatissimi costi legali e perizie d'ufficio.

Standard di Digital Forensics e conservazione delle prove digitali

Nelle controversie complesse riguardanti reati societari, corruzione negli appalti o illeciti fiscali, la corretta custodia delle prove digitali è un presupposto essenziale per la tenuta del procedimento giudiziario. Documenti allegati, messaggi o file multimediali raccolti senza adeguate garanzie informatiche possono essere eccepiti come inammissibili in sede giudiziaria.

La piattaforma UNOVOX integra avanzate tecnologie di conservazione forense, calcolando l'impronta crittografica (hash SHA-256) di ogni file inserito nel sistema e associandovi una marcatura temporale certificata. Ciò assicura la piena validità probatoria degli elementi raccolti e protegge l'azienda da contestazioni di manomissione o alterazione documentale.

Conformità al Regolamento GDPR e indicazioni dell'autorità AZOP

La gestione delle segnalazioni comporta un trattamento di categorie particolari di dati personali sottoposto alla massima vigilanza dell'autorità croata per la protezione dei dati (AZOP) e al Regolamento generale sulla protezione dei dati (GDPR). Il titolare del trattamento deve applicare scrupolosamente i principi di minimizzazione, proporzionalità ed esattezza.

Riguardo ai diritti dell'interessato segnalato (articoli 14 e 15 del GDPR), la legge croata consente la limitazione o la sospensione temporanea del diritto di accesso e di informativa qualora tali diritti possano pregiudicare l'identità del segnalante o compromettere la riuscita delle indagini interne. Le aziende sono tenute a redigere una dettagliata Valutazione d'Impatto sulla Protezione dei Dati (DPIA) prima della messa in produzione del canale.

Gruppi societari multinazionali e controllate in Croazia e Istria

Molte imprese operanti in Istria fanno capo a capogruppo situate in Italia, Austria o altri Stati dell'Unione Europea. Sotto il profilo della conformità normativa, le direttive unionali e la prassi croata consentono la condivisione delle risorse per il canale di segnalazione unicamente alle società controllate del settore privato che contino tra i 50 e i 249 dipendenti.

Per le filiali o le imprese con 250 o più dipendenti sul territorio croato, sussiste l'obbligo inderogabile di mantenere un canale interno locale, autonomo, con persone di fiducia designate in loco e con la piena capacità di gestire le comunicazioni in lingua croata e, nelle zone bilingui, in lingua italiana. Una deviazione verso canali unici centralizzati esteri integra una violazione sanzionabile dell'articolo 13 della legge.

Tabella comparativa: UNOVOX vs. soluzioni inadeguate nella prassi croata

La seguente matrice illustra il confronto tra la piattaforma certificata UNOVOX e le modalità tradizionali prive di conformità:

Checklist operativa in 10 punti per le imprese in Croazia e Istria

Per assicurare la piena conformità legale e prevenire contestazioni da parte del Difensore civico e dei tribunali, si raccomanda l'attuazione dei seguenti 10 passaggi operativi:

1. Verifica dell'organico aziendale: Computo esatto di tutti i lavoratori subordinati, a tempo determinato, interinali, lavoratori autonomi e tirocinanti per stabilire la soglia di 50 addetti.
2. Consultazione sindacale e nomina: Coinvolgimento del consiglio di fabbrica o del personale e adozione della delibera di nomina della persona di fiducia e del sostituto.
3. Adozione del software certificato: Implementazione di una piattaforma tecnologica dotata di crittografia end-to-end e certificata ISO 27001.
4. Redazione del Regolamento interno: Elaborazione e adozione formale dell'atto generale sulle procedure di segnalazione e tutela del segnalante.
5. Diffusione e trasparenza bilingue: Pubblicazione della policy e dei recapiti dedicati sul portale intranet e negli spazi informativi aziendali, anche in lingua italiana nelle aree bilingui.
6. Garanzia di molteplicità di canali: Possibilità di inoltrare la segnalazione in forma scritta, orale tramite linea registrata o incontro personale.
7. Registro sicuro delle segnalazioni: Istituzione di un archivio informatico sicuro con obbligo di custodia degli atti per almeno 5 anni dalla conclusione del procedimento.
8. Presidio rigoroso delle scadenze: Automazione della ricevuta entro 7 giorni e dell'esito dell'indagine entro 30 giorni.
9. Formazione del management: Addestramento dei quadri dirigenti sulla presunzione legale di colpa in materia di ritorsioni e sul divieto di discriminazione.
10. Redazione della DPIA ai sensi del GDPR: Conduzione della valutazione d'impatto sulla protezione dei dati per i flussi gestiti nel sistema whistleblowing.