Legge ZZPri in Slovenia: controlli della KPK, sanzioni fino a 100.000 € e tutela del fiduciario nelle aree bilingui

Il quadro normativo sloveno: la legge ZZPri e il contesto bilingue del Litorale

Con l'approvazione del Zakon o zaščiti prijaviteljev (ZZPri, pubblicato nella Gazzetta Ufficiale della Repubblica di Slovenia - Uradni list RS, n. 16/23), la Slovenia ha completato la trasposizione della Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio. La disciplina nazionale stabilisce un apparato di garanzie particolarmente stringente, imponendo a tutte le entità del settore privato che impiegano 50 o più dipendenti l'obbligo di attivare un canale interno di segnalazione e di approvare un regolamento interno che disciplini l'intera procedura di gestione e protezione dei segnalanti.

Nei territori comunali del Litorale sloveno a statuto bilingue (Capodistria / Koper, Isola / Izola, Pirano / Piran e Ancarano / Ankaran), dove vige la parificazione costituzionale tra la lingua slovena e la lingua italiana a tutela della comunità nazionale autoctona, le aziende e gli enti pubblici sono tenuti ad assicurare la piena accessibilità delle informative e dei sistemi di segnalazione anche in lingua italiana. L'obbligo di istituire il canale prescinde dalla soglia dimensionale dei 50 addetti per i soggetti che operano nei servizi finanziari, bancari, assicurativi, nell'ambito della prevenzione del riciclaggio di denaro e finanziamento del terrorismo (PPDFT) e nella sicurezza dei trasporti.

Al fine di garantire la piena conformità legale, le imprese in Slovenia devono implementare un canale per le segnalazioni certificato e tecnicamente isolato, capace di blindare la riservatezza ed escludere qualsiasi intrusione indebita da parte della gerarchia aziendale.

Poteri della Commissione per la prevenzione della corruzione (KPK) e ispezioni sul lavoro

L'autorità centrale indipendente preposta alla ricezione delle segnalazioni esterne e alla vigilanza sistemica sull'applicazione della legge ZZPri è la Commissione per la prevenzione della corruzione (Komisija za preprečevanje korupcije - KPK). La KPK esercita incisivi poteri di accertamento ispettivo, di indagine amministrativa e di irrogazione diretta delle sanzioni per gli illeciti previsti dalla normativa.

Qualora un dipendente riscontri che il datore di lavoro non ha attivato il canale interno, che il canale non risulta conforme ai requisiti di riservatezza, ovvero qualora tema fondatamente di subire rappresaglie o ritenga che l'illecito coinvolga i vertici societari, può attivare immediatamente la procedura di segnalazione esterna presso la KPK. Nel corso del 2026, la KPK opera in stretta sinergia ispettiva con l'Ispettorato del lavoro della Repubblica di Slovenia (IRSD) e con il Garante per l'accesso alle informazioni e protezione dati (Informacijski pooblaščenec - IP RS).

Se la KPK accerta la commissione di un illecito amministrativo ai sensi della ZZPri, emette un'ordinanza ingiunzione con sanzioni pecuniarie di estrema gravità; nei casi in cui emergano elementi di reato a sfondo corruttivo o finanziario, trasmette immediatamente gli atti alla Procura speciale o alla Polizia nazionale.

Nomina, prerogative e indipendenza assoluta del fiduciario (zaupnik)

In ossequio all'articolo 9 della legge ZZPri, il datore di lavoro deve procedere alla formale designazione del fiduciario (zaupnik) e del suo sostituto. Il fiduciario rappresenta l'organo operativo cardine del sistema interno: accoglie le comunicazioni, ne valuta la fondatezza e l'ammissibilità, mantiene il canale di dialogo protetto con il segnalante, conduce l'istruttoria interna, propone al management le misure idonee all'eliminazione delle irregolarità accertate e vigila affinché non si verifichino ritorsioni.

Il dettato normativo prescrive esplicitamente che il fiduciario eserciti le sue mansioni in piena indipendenza, autonomia e senza ricevere direttive o condizionamenti da parte degli organi esecutivi o del consiglio di amministrazione dell'impresa. Nella prassi imprenditoriale slovena costituisce un errore grave e foriero di sanzioni affidare l'incarico di fiduciario al responsabile delle risorse umane (HR) o al capo dell'ufficio affari legali. Tali figure si trovano in una situazione intrinseca di conflitto di interessi, trovandosi a dover decidere su licenziamenti disciplinari per conto dell'azienda e, contemporaneamente, tutelare il lavoratore segnalante.

L'adozione di un software di gestione segnalazioni indipendente fornisce al fiduciario uno spazio operativo protetto e crittografato, totalmente separato dai server di posta aziendale e inaccessibile agli amministratori IT interni.

I termini procedurali inderogabili: 7 giorni e massimo 3 mesi

La legge ZZPri fissa con precisione i termini tassativi che il fiduciario deve rispettare nell'ambito della gestione di ciascuna pratica:

1. Rilascio della ricevuta entro 7 giorni: Il fiduciario deve trasmettere al segnalante una formale attestazione scritta di avvenuta ricezione entro e non oltre sette (7) giorni dalla ricezione della segnalazione, ad eccezione del caso in cui il segnalante vi abbia rinunciato espressamente o qualora il rilascio della ricevuta possa esporre a rischio la sua riservatezza.

2. Informativa sull'esito entro 3 mesi: Il fiduciario è tenuto a comunicare al segnalante le informazioni di riscontro sostanziale in merito alle misure intraprese o previste (ad esempio, archiviazione per manifesta infondatezza, avvio di audit interno, trasmissione all'autorità giudiziaria) entro un termine ragionevole che non può superare i tre (3) mesi dalla conferma di ricezione o dalla scadenza del termine dei 7 giorni.

Qualora il termine di 3 mesi venga superato senza una motivazione legittima, il segnalante è autorizzato ex lege a rivolgersi direttamente alla KPK tramite il canale esterno ovvero a procedere con la divulgazione pubblica, conservando l'integrale immunità legale e la tutela contro le ritorsioni. Per un esame sistematico dei diritti e delle procedure si consiglia la consultazione del testo di approfondimento su conformità alla legge ZZPri in Slovenia.

L'illegittimità dell'uso della posta elettronica ordinaria (segnalazioni@impresa.si)

Molte aziende ritengono sbrigativamente di poter soddisfare le prescrizioni della legge ZZPri creando una casella di posta elettronica aziendale generica, come segnalazioni@azienda.si o whistleblowing@azienda.si. Le linee guida congiunte della KPK e dell'Informacijski pooblaščenec (IP RS) condannano espressamente tale modalità, considerandola non conforme ai requisiti inderogabili di sicurezza e riservatezza.

Nelle architetture informatiche tradizionali, gli amministratori di sistema, i tecnici delle reti e i gestori del cloud hanno facoltà tecnica di accedere ai messaggi transitati sui server mail, ai metadati, ai log di connessione e agli indirizzi IP originari. In un siffatto contesto, l'anonimato e la riservatezza del segnalante risultano totalmente privi di garanzie concrete, con un rischio esponenziale di ritorsioni ambientali.

Inoltre, i messaggi di posta elettronica possono essere manomessi o cancellati, rendendo impossibile la certificazione temporale delle comunicazioni. Nel corso delle verifiche ispettive, la KPK esige la prova documentale che:

• Nessun amministratore IT o membro del vertice aziendale possa visualizzare l'identità del segnalante.
• Il sistema mantenga una traccia di controllo digitale (audit trail) non suscettibile di alterazione retroattiva.
• Tutte le comunicazioni siano protette mediante robusta crittografia end-to-end.
• I termini di 7 giorni per la ricevuta e di 3 mesi per l'esito siano tracciati mediante registri automatici.

Divieto di misure ritorsive e presunzione legale a favore del lavoratore (Articolo 22 ZZPri)

La legge ZZPri stabilisce il divieto tassativo e assoluto di adottare qualunque misura ritorsiva nei confronti del segnalante, dei suoi facilitatori, dei colleghi solidali e del fiduciario. La definizione legale di misura ritorsiva abbraccia ogni condotta o omissione lesiva: licenziamento ordinario o per giusta causa, mancata conversione del contratto a tempo determinato, demansionamento, trasferimento coattivo di sede, modifica penalizzante degli orari di lavoro, diniego di premi di produttività o aumenti retributivi, sanzioni disciplinari, isolamento professionale e mobbing sistematico.

Il pilastro dell'efficacia difensiva risiede nell'inversione dell'onere della prova ai sensi dell'articolo 22 della ZZPri. In qualunque vertenza giuslavoristica o contenzioso giudiziario, qualora il lavoratore comprovi di aver inoltrato una segnalazione conforme alla legge e di aver successivamente patito un provvedimento peggiorativo, la legge stabilisce la presunzione assoluta che il provvedimento costituisca una rappresaglia ritorsiva. Spetta per intero al datore di lavoro l'onere probatorio di dimostrare che la misura sfavorevole è dipesa in via esclusiva da ragioni gestionali, produttive o disciplinari oggettive, assolutamente scollegate dalla segnalazione.

In assenza di un fascicolo digitale certificato che comprovi che i soggetti firmatari del provvedimento ignoravano l'identità del segnalante, i tribunali del lavoro della Slovenia dichiarano la nullità radicale dell'atto datoriale, ordinando il reintegro e condannando l'impresa alla corresponsione di tutte le retribuzioni arretrate comprensive di interessi legali e risarcimento del danno biologico e morale.

Quadro sanzionatorio: sanzioni fino a 100.000 € ed effetti accessori (Articolo 26 ZZPri)

L'articolo 26 della legge ZZPri contempla un impianto sanzionatorio tra i più severi d'Europa, graduando le sanzioni pecuniarie in base alla gravità della violazione e alla dimensione dell'impresa:

• Sanzione pecuniaria da 5.000 a 100.000 EUR per le grandi imprese: Nei casi di attuazione di ritorsioni contro il segnalante, tentativi di impedire la segnalazione o violazione dolosa o colposa del segreto sull'identità.
• Sanzione da 4.000 a 60.000 EUR per le medie imprese: Per le medesime fattispecie di violazione commesse da società di medie dimensioni.
• Sanzione da 3.000 a 20.000 EUR per le piccole e microimprese: In caso di ritorsioni o mancata tutela della riservatezza.
• Sanzione da 3.000 a 10.000 EUR per la persona fisica responsabile: Applicabile personalmente all'amministratore delegato, al membro del cda o al dirigente che abbia deliberato la ritorsione.
• Sanzione da 2.000 a 20.000 EUR per omessa attivazione del canale: Qualora l'azienda non abbia istituito il canale interno o non abbia nominato il fiduciario nei termini prescritti.
• Responsabilità per segnalazioni deliberatamente mendaci: Chiunque inoltri consapevolmente denunce infondate è passibile di una sanzione da 400 a 4.000 EUR, oltre alle sanzioni penali per calunnia.

Oltre al pagamento delle multe, le ordinanze sanzionatorie della KPK comportano la pubblicazione nei registri degli illeciti, compromettendo irrimediabilmente la reputazione aziendale e determinando l'esclusione automatica dalle gare d'appalto pubblico in territorio sloveno e comunitario.

Rendicontazione annuale statistica obbligatoria alla KPK (Articolo 11 ZZPri)

Un obbligo di grande rilevanza che impegna tutti i datori di lavoro soggetti alla legge ZZPri è la presentazione della relazione statistica annuale alla KPK entro il 1° marzo di ogni anno (articolo 11). Entro tale data, l'azienda deve trasmettere alla Commissione i dati aggregati relativi al numero delle segnalazioni pervenute nell'anno solare precedente, le aree tematiche degli illeciti denunciati, le misure riparatorie adottate e gli eventuali casi di ritorsione censiti.

La relazione deve essere redatta rigorosamente in forma anonima e aggregata, senza indicazione di dati personali identificativi. L'omessa trasmissione del rendiconto annuale o la comunicazione di dati mendaci integra un autonomo illecito sanzionabile a carico della direzione aziendale. La piattaforma UNOVOX genera in via automatizzata il prospetto statistico nel formato conforme agli standard della KPK, semplificando la conformità annuale.

Giurisprudenza dei tribunali del lavoro e provvedimenti d'urgenza in Slovenia

I Tribunali del lavoro e delle questioni sociali della Repubblica di Slovenia (Delovno in socialno sodišče) offrono una tutela rapida ed efficace ai segnalanti mediante l'adozione di provvedimenti cautelari provvisori (začasne odredbe). Qualora il lavoratore dimostri la probabile fondatezza della ritorsione, il giudice del lavoro sospende provvisoriamente l'efficacia del licenziamento o del trasferimento, ordinando al datore di lavoro il mantenimento del trattamento economico in attesa della sentenza sul merito.

La legislazione slovena riconosce al segnalante il diritto al patrocinio a spese dello Stato nei giudizi di tutela da ritorsioni, eliminando le barriere economiche che in passato scoraggiavano i lavoratori dal difendere i propri diritti dinanzi ai tribunali. Le aziende prive di una gestione impeccabile dei processi di segnalazione si espongono a giudizi complessi e a pesanti condanne risarcitorie.

Digital Forensics e standard probatori della prova digitale

Nei casi in cui la segnalazione abbia ad oggetto corruzione negli appalti, sottrazione di fondi societari o frodi fiscali, l'acquisizione delle prove digitali deve avvenire nel pieno rispetto dei criteri di integrità forense. Qualora i dati informatici o i file allegati vengano gestiti senza cautele, la difesa dell'incolpato può agevolmente eccepirne l'inutilizzabilità in sede giudiziaria penale o civile.

Il sistema UNOVOX provvede a calcolare automaticamente il checksum crittografico (hash SHA-256) di ogni messaggio o documento allegato e ad apporre una marca temporale qualificata. In tal modo, il fiduciario e i consulenti legali dell'impresa possono contare su elementi probatori intatti e non suscettibili di confutazione tecnica.

Protezione dei dati personali secondo il GDPR e indicazioni dell'IP RS

Il trattamento dei dati personali all'interno dei canali di segnalazione deve soddisfare i requisiti della normativa europea (GDPR) e delle linee guida dell'Informacijski pooblaščenec (IP RS). Il titolare del trattamento deve applicare scrupolosamente il principio di minimizzazione e limitazione delle finalità.

Con riferimento ai diritti della persona segnalata (articoli 14 e 15 del GDPR), la legge ZZPri consente espressamente di comprimere o differire temporalmente il diritto di accesso alle informazioni personali qualora tale comunicazione possa rivelare l'identità del segnalante o compromettere la genuinità dell'accertamento. Le organizzazioni devono predisporre una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) prima della messa in opera del canale.

Regole per i gruppi multinazionali con controllate in Slovenia

Per quanto attiene ai gruppi multinazionali che controllano società o stabilimenti operanti in Slovenia, la Commissione europea e la KPK hanno statuito che la condivisione delle risorse relative al canale interno di segnalazione è ammessa unicamente tra società appartenenti al settore privato che abbiano un organico compreso tra i 50 e i 249 dipendenti.

Tutte le entità con 250 o più dipendenti sul territorio della Repubblica di Slovenia sono tenute a predisporre un canale interno locale, autonomo, presidiato da un fiduciario residente e in grado di dialogare pienamente sia in lingua slovena che, nelle zone bilingui del Litorale, in lingua italiana. L'obbligo di veicolare tutte le denunce verso la sede madre all'estero integra una palese violazione della legge slovena.

Tabella comparativa: UNOVOX vs. canali non conformi nella prassi aziendale slovena

Il seguente prospetto evidenzia le differenze sostanziali tra l'architettura sicura di UNOVOX e i canali rudimentali diffusi nella prassi:

Checklist di conformità in 10 punti per le imprese in Slovenia

Per conformarsi in maniera ineccepibile alle prescrizioni della legge ZZPri e scongiurare l'applicazione delle sanzioni pecuniarie della KPK, le imprese devono completare i seguenti 10 passaggi operativi:

1. Verifica dell'obbligo e calcolo dell'organico: Conteggio accurato dei lavoratori subordinati, a progetto, tirocinanti e personale interinale per la verifica della soglia di 50 addetti.
2. Nomina formale del fiduciario: Designazione scritta di una persona competente e priva di conflitti di interesse, unitamente al suo sostituto.
3. Adozione della piattaforma software certificata: Implementazione di un sistema conforme a ISO 27001 e GDPR con crittografia end-to-end.
4. Approvazione del regolamento interno: Redazione e adozione del regolamento aziendale sulle procedure di segnalazione e tutela contro le ritorsioni.
5. Informativa aziendale bilingue: Diffusione del regolamento su intranet e pubblicazione dei recapiti del fiduciario sul sito web, in lingua slovena e italiana nelle zone bilingui.
6. Istituzione di canali multimodali: Garanzia di ricezione in forma scritta digitale, tramite linea telefonica dedicata e colloquio diretto su richiesta.
7. Tenuta del registro protetto delle segnalazioni: Istituzione di un archivio informatico sicuro con custodia delle pratiche per almeno 5 anni dalla conclusione.
8. Automazione e rispetto delle scadenze: Presidio rigoroso del rilascio della ricevuta entro 7 giorni e dell'esito entro 3 mesi.
9. Formazione dei quadri direttivi: Addestramento del management sul divieto tassativo di ritorsioni e sul principio dell'inversione dell'onere della prova.
10. Relazione annuale KPK e DPIA: Esecuzione della valutazione d'impatto sui dati e invio della rendicontazione statistica alla KPK entro il 1° marzo.