Documentazione del canale whistleblowing : Procedura interna, DPIA, verbale sindacale e registro a norma

Il quadro sistematico della documentazione obbligatoria

Il Decreto Legislativo 10 marzo 2023, n. 24, ha introdotto un regime probatorio ad assetto invertito in cui la correttezza formale e la trasparenza procedurale costituiscono il presupposto indefettibile per la validità dell'intero sistema di prevenzione aziendale. Nel diritto del lavoro e societario italiano, la compliance non ammette accordi verbali o prassi tacite : ogni fase del canale deve essere disciplinata da documenti scritti, dotati di data certa e deliberati dagli organi competenti.

L'architettura documentale deve soddisfare tre distinti plessi normativi convergenti :

• La disciplina anticorruzione e whistleblowing (D.Lgs. 24/2023 e Delibera ANAC n. 311/2023) : Regolamentazione delle modalità di invio, gestione, istruttoria, riscontro e protezione contro le ritorsioni ;
• La normativa di protezione dei dati personali (Regolamento UE 2016/679 e D.Lgs. 196/2003) : Riservatezza per impostazione predefinita, informativa trasparente, analisi dei rischi e limitazione della conservazione temporale ;
• Il diritto sindacale e del lavoro (Legge n. 300/1970 - Statuto dei Lavoratori) : Rispetto delle prerogative di informazione e consultazione delle rappresentanze dei lavoratori sui sistemi di controllo e sulle policy interne.

La Procedura aziendale interna (Regolamento Whistleblowing)

Il documento cardine del sistema è la Procedura Whistleblowing dell'ente, formalmente approvata dall'organo di amministrazione (Consiglio di Amministrazione, Amministratore Unico o vertice amministrativo nell'ente pubblico). L'articolo 5 del decreto precisa che le informazioni sui canali devono essere chiare, complete e facilmente accessibili.

Contenuto minimo inderogabile del regolamento

La procedura aziendale deve disciplinare espressamente i seguenti profili analitici :

• Ambito soggettivo dei segnalanti : Esplicitazione dei soggetti legittimati (dipendenti subordinati, somministrati, lavoratori autonomi, collaboratori a progetto, liberi professionisti, tirocinanti, azionisti, consiglieri di amministrazione e controllo, nonché candidati e soggetti in periodo di prova) ;
• Ambito oggettivo delle violazioni : Elencazione tassativa degli illeciti europei, nazionali o delle violazioni del Modello 231 denunciabili, specificando con chiarezza l'esclusione di dispute retributive o controversie individuali di lavoro ;
• Identificazione del Gestore : Designazione dell'organo responsabile dell'istruttoria (Responsabile Prevenzione Corruzione, Comitato Etico, Organismo di Vigilanza o Ombudsman esterno), con precisazione del profilo di indipendenza funzionale ;
• Canale alternativo per conflitto d'interessi : Individuazione formale del soggetto alternativo a cui trasmettere la segnalazione qualora il gestore ordinario sia la persona segnalata, si trovi in situazione di subordinazione gerarchica o manifesti un interesse diretto nella vicenda ;
• Scadenziario dei termini istruttori : Obbligo di emissione dell'avviso di ricevimento entro 7 giorni solari di calendario e del riscontro motivato entro 3 mesi dalla ricezione dell'avviso ;
• Informativa sui canali esterni : Indicazione analitica delle quattro condizioni previste dall'art. 6 per adire direttamente il canale esterno gestito dall'ANAC e dei presupposti restrittivi dell'art. 15 per la divulgazione pubblica a mezzo stampa.

Modalità di pubblicazione e accessibilità universale

L'articolo 5, comma 1, lettera e), pone un obbligo stringente : la procedura deve essere pubblicata non soltanto sulla rete intranet aziendale riservata ai dipendenti, ma anche sul sito internet istituzionale dell'ente, in una sezione dedicata e chiaramente visibile nella home page. Questa prescrizione è fondamentale per consentire la consultazione del regolamento a soggetti esterni (fornitori, consulenti e candidati a posizioni lavorative) che non dispongono delle credenziali di accesso alla rete aziendale interna.

Il verbale di consultazione sindacale preventiva (Art. 4, comma 1)

L'articolo 4, comma 1, del D.Lgs. 24/2023 stabilisce che l'attivazione del canale interno di segnalazione è preceduta dalla consultazione delle rappresentanze sindacali aziendali (RSA) o della rappresentanza sindacale unitaria (RSU), ovvero, in mancanza, delle organizzazioni sindacali comparativamente più rappresentative a livello nazionale.

Iter procedurale e formalizzazione del verbale

La consultazione sindacale non richiede l'obbligatorio raggiungimento di un accordo cogente, ma postula un confronto preventivo effettivo e documentato :

• Convocazione formale : Invio alle RSA/RSU di una memoria esplicativa contenente la bozza di regolamento whistleblowing, le caratteristiche tecniche della piattaforma prescelta e le modalità di tutela della riservatezza dei dipendenti ;
• Svolgimento dell'incontro : Riunione tra la direzione del personale, i legali dell'ente e i delegati sindacali per illustrare le garanzie a presidio dell'inversione dell'onere della prova e i canali alternativi di conferimento orale ;
• Redazione del verbale congiunto : Formalizzazione di un verbale di consultazione sottoscritto dalle parti, in cui si dà atto dell'avvenuta informativa e si annotano eventuali osservazioni o proposte migliorative avanzate dalla delegazione dei lavoratori.

Conseguenze dell'omessa consultazione

L'ente che attivi la piattaforma senza aver preventivamente convocato le organizzazioni sindacali incorre in un vizio procedurale rilevante. Tale omissione espone il datore di lavoro alla sanzione amministrativa pecuniaria dell'ANAC ex articolo 21 per mancata conformità del canale interno, nonché a ricorsi per condotta antisindacale promossi dalle associazioni di categoria ai sensi dell'articolo 28 dello Statuto dei Lavoratori.

La Valutazione di Impatto sulla Protezione dei Dati (DPIA ex art. 35 GDPR)

La gestione di un canale di whistleblowing comporta il trattamento di dati personali ad alto rischio : vengono raccolte informazioni su presunti reati, violazioni etiche e condotte negligenti, suscettibili di produrre conseguenze devastanti sulla sfera professionale, morale e patrimoniale delle persone coinvolte. Il Garante per la Protezione dei Dati Personali (Provvedimento n. 471/2023) ha ribadito che la DPIA (Data Protection Impact Assessment) è un adempimento obbligatorio preventivo.

Contenuti strutturali della DPIA

La valutazione d'impatto redatta dal Titolare con il supporto del Responsabile della Protezione dei Dati (DPO) deve esaminare :

• Descrizione sistematica dei trattamenti : Mappatura dei flussi informativi dall'inoltro della segnalazione alla sua chiusura, compresi i flussi di dati verso fornitori di hosting cloud e legali esterni ;
• Valutazione di necessità e proporzionalità : Giustificazione delle categorie di dati raccolti, verifica del blocco all'acquisizione di categorie particolari di dati (dati biometrici, sanitari o giudiziari non pertinenti) e criteri di minimizzazione ;
• Analisi dei rischi per i diritti e le libertà : Valutazione del pericolo di violazione della riservatezza, identificazione accidentale del segnalante, accessi non autorizzati da parte degli amministratori di sistema dell'azienda e attacchi informatici ai server ;
• Misure tecniche e organizzative di mitigazione : Protocolli di crittografia asimmetrica a riposo e in transito, segregazione degli accessi tramite autenticazione a più fattori (MFA), separazione logica dei database e procedure di cancellazione automatica a norma.

Atti di nomina e contratti di trattamento dati (Artt. 28 e 29 GDPR)

Nessun soggetto può accedere legittimamente alle segnalazioni o ai documenti istruttori senza essere stato formalmente investito dei relativi poteri e vincolato da obblighi giuridici precisi :

Nomina del Gestore quale Soggetto Designato (Art. 2-quaterdecies Codice Privacy)

L'organo amministrativo dell'ente deve rilasciare un atto formale di autorizzazione al trattamento dei dati a beneficio dei componenti dell'ufficio gestore o della persona fisica incaricata. L'atto di designazione deve contenere :

• Istruzioni operative dettagliate sulle modalità di ricezione e catalogazione ;
• Il richiamo espresso al dovere inderogabile di segreto d'ufficio e alla tutela dell'identità ex art. 12 D.Lgs. 24/2023 ;
• Il divieto assoluto di comunicare i nominativi ad altri uffici aziendali (compresa la direzione generale o l'organo disciplinare) senza consenso scritto del segnalante ;
• Le sanzioni disciplinari interne e le responsabilità penali previste per la rivelazione indebita di notizie riservate.

Nomina del Fornitore Tecnologico a Responsabile del Trattamento (Art. 28 GDPR)

Se l'azienda adotta una piattaforma software in modalità SaaS (Software as a Service) fornita da un operatore specializzato terzo (come UNOVOX), la legge impone la stipula di un apposito Accordo di Trattamento Dati (Data Processing Agreement - DPA) ai sensi dell'art. 28 del GDPR. Il contratto deve vincolare il fornitore a :

• Trattare i dati unicamente su istruzione documentata del Titolare ;
• Garantire che il personale tecnico abilitato sia vincolato alla riservatezza ;
• Mantenere i server fisici all'interno dello Spazio Economico Europeo (SEE), escludendo trasferimenti verso paesi terzi privi di decisione di adeguatezza ;
• Assicurare l'architettura crittografica zero-knowledge, in modo che il fornitore del software non possa mai accedere in chiaro al contenuto delle segnalazioni ;
• Supportare il Titolare nella gestione delle violazioni dei dati personali (Data Breach) entro i termini perentori di legge (72 ore).

L'Informativa sul trattamento dei dati personali (Artt. 13 e 14 GDPR)

La trasparenza informativa deve essere articolata su un modello scalabile che tuteli simultaneamente il segnalante, la persona segnalata e i terzi coinvolti :

Il modello a doppio livello (Layering informativo)

La prassi raccomandata dalle autorità di vigilanza prevede due livelli di comunicazione :

• Informativa di primo livello (Short Notice) : Sintesi collocata immediatamente prima del pulsante di invio della segnalazione sul portale web, che riassume le finalità del trattamento, i tempi di conservazione (5 anni), i diritti dell'utente e il contatto del DPO ;
• Informativa di secondo livello (Extended Notice) : Documento esaustivo accessibile tramite link permanente, che descrive dettagliatamente le basi giuridiche (adempimento di obbligo legale ex art. 6 c. 1 lett. c GDPR), le categorie di dati, i soggetti autorizzati e le modalità di tutela giurisdizionale davanti al Garante.

La limitazione dei diritti dell'incolpato ex art. 2-undecies Codice Privacy

Un aspetto procedurale di fondamentale rilievo riguarda la tutela contro le manovre difensive strumentali della persona segnalata (incolpata). L'articolo 23 del GDPR e l'articolo 2-undecies, comma 1, lettera f), del Codice Privacy italiano stabiliscono che l'esercizio dei diritti di accesso (art. 15 GDPR), rettifica (art. 16 GDPR) o cancellazione (art. 17 GDPR) da parte della persona segnalata è precluso o differito qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell'identità del segnalante.

L'incolpato non può presentare un'istanza privacy al Titolare per farsi consegnare la copia della segnalazione recante il nome del collega che lo accusa : tale richiesta deve essere rigettata per espresso divieto di legge.

Il Registro delle attività di trattamento (Art. 30 GDPR)

Il Titolare del trattamento deve integrare il proprio Registro dei Trattamenti con una scheda interamente dedicata alla procedura whistleblowing, riportando in modo formale :

Il Registro delle segnalazioni e la conservazione documentale a 5 anni (Art. 14)

L'articolo 14 del D.Lgs. 24/2023 disciplina rigorosamente la tenuta dell'archivio delle segnalazioni. L'ente deve istituire un Registro delle Segnalazioni che tracci la catena di custodia di ciascun dossier :

Elementi obbligatori da annotare nel registro

Per ogni segnalazione ricevuta, il gestore deve registrare :

• Codice identificativo univoco progressivo (ticket alfanumerico generato dal sistema) ;
• Data e ora esatta di ricezione telematica ;
• Canale utilizzato (piattaforma informatica scritta, canale vocale registrato o colloquio in presenza) ;
• Oggetto sintetico della violazione asseverata ;
• Data di trasmissione dell'avviso di ricevimento (entro 7 giorni) ;
• Sintesi degli atti istruttori compiuti (audizioni, verifiche documentali o perizie tecniche) ;
• Data e contenuto del riscontro finale comunicato al segnalante (entro 3 mesi) ;
• Esito finale del procedimento (archiviazione motivata, avvio di procedimento disciplinare, trasmissione alla Procura della Repubblica o ad ANAC).

Requisiti di sicurezza WORM e log di accesso

Il registro delle segnalazioni non può essere gestito su fogli di calcolo modificabili (come file Excel non protetti) che consentano la cancellazione o la retrodatazione arbitraria delle righe. La conformità esige sistemi di archiviazione informatica con tecnologia WORM (Write Once, Read Many) o registri di log immodificabili assistiti da marca temporale qualificata a norma eIDAS, in grado di attestare la certezza della data di inserimento e l'integrità del fascicolo in caso di perizia giudiziale o accertamento ANAC.

Distruzione dei documenti decorsi i 5 anni

Allo scadere esatto del termine quinquennale calcolato dalla data di chiusura formale della pratica, l'ente deve procedere alla definitiva distruzione dei file digitali e cartacei mediante sovrascrittura crittografica certificata o distruzione fisica a norma DIN 66399, redigendo apposito verbale di avvenuto purging dei dati.

Matrice riepilogativa della documentazione aziendale obbligatoria

La tabella seguente offre un quadro sinottico dell'inventario documentale che ciascun ente obbligato deve custodire :

Check-list operativa di audit documentale per Collegio Sindacale e OdV

I componenti dell'Organismo di Vigilanza 231, i membri del Collegio Sindacale e i responsabili dell'Internal Audit devono verificare periodicamente la sussistenza della documentazione attraverso il seguente test :

• Delibera dell'organo amministrativo : Accertarsi che il Consiglio di Amministrazione abbia formalmente approvato la policy aziendale con menzione espressa dei canali interni, esterni e dei termini di 7 giorni e 3 mesi ;
• Tracciabilità sindacale : Verificare la presenza agli atti del verbale di consultazione sottoscritto dalle RSA/RSU o dalle federazioni sindacali territoriali ;
• Fascicolo DPIA completo : Verificare che la valutazione d'impatto privacy sia stata firmata dal Titolare e corredata del parere obbligatorio del DPO ;
• Nomine a norma GDPR : Controllare che tutti gli operatori abilitati alla piattaforma abbiano sottoscritto l'impegno di riservatezza e che il fornitore cloud sia nominato Responsabile ex art. 28 ;
• Verifica di visibilità sul sito web : Controllare che il link alla procedura e al portale sia visibile sul sito internet pubblico senza necessità di credenziali aziendali ;
• Verifica dell'integrità del registro : Accertarsi che il registro delle segnalazioni utilizzi sistemi informatici con tracciamento degli accessi e che le segnalazioni chiuse da oltre 5 anni siano state correttamente rimosse.

Domande frequenti (FAQ)