Whistleblowing – INPS – Circolare n. 64 del 13 luglio 2023 – Decreto Legislativo 10 marzo 2023, n. 24, recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” – Disposizioni attuative

Decreto Legislativo 10 marzo 2023, n. 24, recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” – Disposizioni attuative

SOMMARIO: Con la presente circolare si forniscono disposizioni per la tutela del dipendente o collaboratore dell’Istituto che segnali illeciti (c.d. whistleblowing), in attuazione del nuovo dettato normativo di cui al D.lgs n. 24/2023. Le indicazioni della presente circolare sostituiscono quelle già fornite con le circolari n. 54 del 26 marzo 2018 e n. 127 del 6 novembre 2020.

INDICE

1. Premessa

2. Quadro normativo

3. Oggetto delle segnalazioni

4. Procedura per la segnalazione di illecito

4.1 Canale di segnalazione interna

4.2 Canale di segnalazione esterna

5. Gestione riservata delle segnalazioni

6. Procedura per la segnalazione di misure ritorsive

7. Segnalazione da parte di collaboratori dell’Istituto

8. Pubblicazioni

1. Premessa

Il D.lgs 10 marzo 2023, n. 24, recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”, entrato in vigore il 30 marzo 2023, abroga l’articolo 54-bis del D.lgs 30 marzo 2001, n. 165, e l’articolo 6, commi 2-ter e 2-quater, del D.lgs 8 giugno 2001, n. 231, che disciplinano la tutela del dipendente sia pubblico che privato che segnala illeciti, nonché l’articolo 3 della legge 30 novembre 2017, n. 179, in tema di obbligo di segreto d’ufficio, aziendale, professionale, scientifico e industriale.

Tale decreto introduce nell’ordinamento italiano – con effetto dal 15 luglio 2023 – disposizioni a tutela dei soggetti, del settore sia pubblico che privato, che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’Autorità giudiziaria o contabile, al fine di garantire la riservatezza dell’identità della persona che compie la segnalazione, della persona coinvolta e di quella menzionata nella segnalazione, oltre al contenuto della segnalazione stessa e della relativa documentazione (c.d. whistleblowing).

Tanto premesso, con la presente circolare si illustra il nuovo quadro normativo delineato dal citato decreto legislativo e si forniscono le modalità attraverso le quali i dipendenti e i collaboratori dell’Istituto possono segnalare le violazioni di cui sono venuti a conoscenza nell’ambito del proprio contesto lavorativo.

2. Quadro normativo

L’articolo 1, comma 1, del D.lgs n. 24/2023 disciplina “la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato”.

Le disposizioni previste dal citato decreto legislativo si applicano ai sensi dell’articolo 3 ai soggetti del settore privato e pubblico, in particolare per quest’ultimi:

– ai dipendenti delle Amministrazioni pubbliche di cui all’articolo 1, comma 2, e all’articolo 3 del D.lgs n. 165/2001;

– ai dipendenti delle Autorità amministrative indipendenti di garanzia, vigilanza o regolazione;

– ai dipendenti degli enti pubblici economici, degli enti di diritto privato sottoposti a controllo pubblico ai sensi dell’articolo 2359 del codice civile, delle società in house, degli organismi di diritto pubblico o dei concessionari di pubblico servizio;

– ai lavoratori o ai collaboratori che svolgono la propria attività lavorativa presso soggetti del settore pubblico che forniscono beni o servizi o che realizzano opere in favore di terzi;

– ai liberi professionisti e ai consulenti che prestano la propria attività presso soggetti del settore pubblico;

– ai volontari e ai tirocinanti, retribuiti e non retribuiti, che prestano la propria attività presso soggetti del settore pubblico;

– agli azionisti e alle persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso oggetti del settore pubblico.

Ai soggetti sopra indicati si applicano le tutele previste dal D.lgs n. 24/2023 nel caso in cui effettuino segnalazioni interne o esterne, denunce all’Autorità giudiziaria o contabile o divulgazioni pubbliche delle informazioni su violazioni di cui siano venuti a conoscenza nell’ambito del proprio contesto lavorativo. Ai sensi dell’articolo 3, comma 4, del suddetto decreto legislativo, tali tutele si applicano anche qualora la segnalazione, la denuncia o la divulgazione pubblica avvenga nei seguenti casi:

1. quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;

2. durante il periodo di prova;

3. successivamente allo scioglimento del rapporto giuridico, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.

Inoltre, ai sensi del successivo comma 5 del medesimo articolo, le tutele sono estese anche:

a) al facilitatore, ossia la persona fisica che, ai sensi della lettera h) del comma 1 dell’articolo 2 del D.lgs n. 24/2023 “assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata”;

b) alle persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia all’Autorità giudiziaria o contabile o di colui che ha effettuato una divulgazione pubblica e che sono legate a essi da uno stabile legame affettivo o di parentela entro il quarto grado;

c) ai colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all’Autorità giudiziaria o contabile o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;

d) agli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all’Autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.

Le misure di protezione previste dall’articolo 16 del citato decreto legislativo si applicano ai dipendenti pubblici e ai soggetti in precedenza indicati, quando ricorrono le seguenti condizioni:

a. al momento della segnalazione o della denuncia all’Autorità giudiziaria o contabile o della divulgazione pubblica, la persona segnalante o denunciante aveva fondato motivo di ritenere che le informazioni sulle violazioni segnalate, divulgate pubblicamente o denunciate fossero vere e rientrassero nell’ambito oggettivo delineato dal citato articolo 1 del decreto legislativo in esame;

b. la segnalazione o divulgazione pubblica è stata effettuata sulla base di quanto previsto dal Capo II del medesimo decreto legislativo.

Inoltre, il successivo comma 2 del menzionato articolo 16 dispone che: “I motivi che hanno indotto la persona a segnalare o denunciare o divulgare pubblicamente sono irrilevanti ai fini della sua protezione”.

Le misure di protezione non sono garantite “quando è accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave, […] e alla persona segnalante o denunciante è irrogata una sanzione disciplinare”, salvo i casi di limitazione della responsabilità di cui all’articolo 20 del D.lgs n. 24/2023 (art. 16, comma 3).

Mentre le condizioni per la protezione della persona segnalante si applicano “anche nei casi di segnalazione o denuncia all’autorità giudiziaria o contabile o divulgazione pubblica anonime, se la persona segnalante è stata successivamente identificata e ha subito ritorsioni, nonché nei casi di segnalazione presentata alle istituzioni, agli organi e agli organismi competenti dell’Unione europea” (art. 16, comma 4).

Inoltre, il segnalante che effettua una divulgazione pubblica beneficia della protezione prevista dal decreto legislativo in esame se, al momento della divulgazione pubblica, ricorra una delle condizioni previste dall’articolo 15, comma 1, lettere a), b) e c), del medesimo decreto.

L’identità del segnalante e qualsiasi altra informazione “da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni” (art. 12, comma 2).

Nell’ambito del procedimento penale detta identità “è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 del codice di procedura penale” (art. 12, comma 3); mentre nell’ambito del procedimento dinanzi alla Corte dei Conti “non può essere rivelata fino alla chiusura della fase istruttoria” (art. 12, comma 4). Nell’ambito del procedimento disciplinare l’identità del segnalante “non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza di consenso del segnalante alla rivelazione della sua identità” (art. 12, comma 5).

Infine, la segnalazione è sottratta all’accesso previsto dagli articoli 22 e seguenti della legge 7 agosto 1990, n. 241, nonché dagli articoli 5 e seguenti del D.lgs 14 marzo 2013, n. 33 (art. 12, comma 8).

3. Oggetto delle segnalazioni

La segnalazione deve riguardare:

– violazioni, ossia “comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica e che consistono in illeciti amministrativi, civili e penali” (art. 2, comma 1, lettera a);

– informazioni sulle violazioni, ossia “informazioni, compresi i fondati sospetti, riguardanti violazioni commesse o che, sulla base di elementi concreti, potrebbero essere commesse nell’organizzazione con cui la persona segnalante o colui che sporge denuncia all’autorità giudiziaria o contabile intrattiene un rapporto giuridico […], nonché gli elementi riguardanti condotte volte ad occultare tali violazioni” (art. 2, comma 1, lettera b).

Le disposizioni previste dal D.lgs n. 24/2023 non si applicano (art. 1, comma 2):

“a) alle contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate;

b) alle segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al presente decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al presente decreto;

c) alle segnalazioni di violazioni in materia di sicurezza nazionale, nonché’ di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea”.

4. Procedura per la segnalazione di illecito

4.1 Canale di segnalazione interna

Il dipendente dell’Istituto che intende segnalare le violazioni di cui sia venuto a conoscenza in ragione del proprio rapporto di servizio con l’Istituto può rappresentare la violazione al Responsabile della prevenzione della corruzione e della trasparenza (RPCT) mediante l’apposita procedura informatica accessibile dalla homepage della rete intranet seguendo il percorso “Funzioni centrali” > “Direzione centrale Supporto agli Organi e Internal Audit” > sezione “Anticorruzione/trasparenza” > “Whistleblower”.

La procedura informatizzata consente, in sintesi, di:

– inserire in modo semplice ma dettagliato una segnalazione di illecito da parte di un dipendente dell’Istituto;

– rilasciare avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;

– trasmettere la segnalazione al RPCT, che la gestisce secondo le proprie competenze coinvolgendo, ove ritenuto necessario, il Responsabile dell’Ufficio Ispettorato e il Responsabile dell’Ufficio dei procedimenti disciplinari e della responsabilità amministrativa;

– garantire l’anonimato del segnalante in tutte le fasi della gestione della segnalazione. Tutte le informazioni tese all’individuazione del segnalante, inclusa la matricola, sono, infatti, crittografate. Sono fatti salvi gli obblighi di legge e di regolamenti cui non è opponibile il diritto all’anonimato;

– accertare, in presenza degli obblighi di legge e dei regolamenti, l’identità del segnalante.

Detta possibilità è riservata, in via esclusiva, al RPCT;

– rendere noto al segnalante lo stato di lavorazione della segnalazione.

Nella predetta pagina “Whistleblower” è disponibile il Manuale Utente che dettaglia le funzionalità della procedura telematica.

4.2 Canale di segnalazione esterna

Il dipendente dell’Istituto può effettuare una segnalazione all’Autorità Nazionale Anticorruzione (ANAC) se, al momento della sua presentazione, ricorra una delle seguenti condizioni:

– ha già effettuato una segnalazione interna e la stessa non ha avuto seguito;

– ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione;

– ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

5. Gestione riservata delle segnalazioni

Il RPCT svolge una prima istruttoria sui fatti segnalati, avvalendosi di un minimo numero indispensabile di dipendenti, comunque nominativamente individuati.

Nel caso si ravvisino elementi di non manifesta infondatezza del fatto, l’RPCT potrà inoltrare la segnalazione a soggetti terzi, per approfondimenti istruttori o per l’adozione dei provvedimenti di competenza, come indicato al precedente paragrafo 4.1.

Nei casi in cui il RPCT decida di inoltrare la segnalazione al di fuori della procedura informatica ai seguenti soggetti:

– il dirigente della Struttura in cui si è verificato il fatto o della Struttura sovraordinata, solo laddove non vi siano ipotesi di reato;

– al Responsabile dell’Ufficio Ispettorato;

– al Responsabile dell’Ufficio dei procedimenti disciplinari e della responsabilità amministrativa, la segnalazione e l’eventuale documentazione verrà trasmessa espungendo tutti i riferimenti dai quali sia possibile risalire all’identità del segnalante.

I dipendenti dell’Istituto – dirigenti e non – che vengono coinvolti dal RPCT nella gestione della segnalazione sono, comunque, tenuti alla cura dell’anonimato del segnalante e alla trattazione della segnalazione:

– in osservanza dei criteri di riservatezza;

– nel pieno rispetto delle misure di sicurezza, custodendo e controllando i dati oggetto di trattamento in modo da evitare rischi, anche accidentali, di distruzione, perdita, di accesso non autorizzato o di trattamento non consentito.

Ogni trattamento dei dati personali è effettuato a norma del regolamento (UE) 2016/679 e del decreto legislativo 30 giugno 2003, n. 196, c.d. Codice in materia di protezione dei dati personali, così come modificato dal decreto legislativo 10 agosto 2018, n. 101 (di seguito, “Codice”) e dalla legge 3 dicembre 2021, n. 205.

In ogni caso tutti i dipendenti dell’Istituto interessati dalla gestione delle segnalazioni si intendono, per tali attività, “Persone autorizzate” al trattamento dei dati personali, che agiscono sotto l’autorità diretta del titolare INPS, ai sensi degli articoli 29 e 4, n. 10, del regolamento (UE) 2016/679 e dell’articolo 2-quaterdecies del D.lgs n. 196/2003.

Le “Persone autorizzate” devono attenersi al rispetto sia delle norme sopra indicate che delle istruzioni e linee guida indicate nella circolare n. 123 del 18 giugno 2015 (in corso di revisione, le cui disposizioni, specificamente contenute nell’Allegato n. 2, debitamente attualizzate alla luce della vigente normativa in materia di tutela di protezioni dei dati personali, si intendono nella loro sostanza confermate), nonché di quelle più specifiche, connesse ai particolari trattamenti, eventualmente di volta in volta fornite dal RPCT all’atto del loro coinvolgimento.

Il RPCT provvede a fornire riscontro al segnalante in merito agli esiti della segnalazione entro tre mesi dalla data dell’avviso di ricevimento o nel successivo termine di proroga, fissato qualora siano necessarie ulteriori e motivate attività di accertamento. Di tale proroga sarà data notizia al segnalante.

In ogni caso di segnalazione di cui alla presente circolare, l’INPS garantisce, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza, previsti dalla normativa in materia.

I trattamenti di dati personali, comprese le comunicazioni alle Autorità competenti, sono effettuati dall’INPS nel rigoroso rispetto delle disposizioni di cui all’articolo 12 del D.lgs n. 24/2023.

6. Procedura per la segnalazione di misure ritorsive

Il dipendente segnalante è tutelato da qualsiasi ritorsione ossia “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto” (art. 2, comma 1, lettera m), del D.lgs n. 24/2023).

Per individuare le fattispecie che costituiscono ritorsioni si rinvia all’elenco di cui all’articolo 17, comma 4, del D.lgs n. 24/2023.

L’eventuale adozione di misure ritenute ritorsive può essere comunicata all’ANAC dal segnalante medesimo ai sensi dell’articolo 19 del medesimo decreto legislativo.

7. Segnalazione da parte di collaboratori dell’Istituto

Come evidenziato al paragrafo 2 della presente circolare, ai sensi dell’articolo 3, comma 3, lettere d), e), f), e g), del D.lgs n. 24/2023, le tutele previste dal decreto stesso si applicano ai lavoratori e collaboratori delle imprese fornitrici di beni o servizi e che realizzano opere in favore dell’Istituto, ma anche ai lavoratori autonomi, ai liberi professionisti, ai consulenti, ai volontari e ai tirocinanti che prestano la loro attività nell’Istituto, nel caso in cui questi soggetti segnalino violazioni di cui siano venuti a conoscenza in ragione del loro rapporto con l’Istituto.

Fermo restando quanto sopra, l’INPS garantisce le modalità di gestione riservata delle segnalazioni di cui al precedente paragrafo 6 effettuate da parte dei predetti soggetti, le quali dovranno essere inoltrate al RPCT tramite il “Modulo segnalazioni whistleblowing”, debitamente compilato e sottoscritto, da inviarsi alla casella di posta elettronica whistleblowing@inps.it. Il modulo è pubblicato nella sottosezione di primo livello “Altri contenuti” > “Prevenzione della corruzione” della sezione “Amministrazione Trasparente” del portale internet istituzionale, ed è editabile on line.

Si specifica che l’utilizzo della predetta casella è consentito altresì ai soggetti di cui ai punti 1 e 3 del paragrafo 2 della presente circolare.

Infine, si precisa che nel caso in cui la segnalazione pervenga a un soggetto diverso dal RPCT, la stessa dovrà essere trasmessa, entro sette giorni dal suo ricevimento, al RPCT medesimo, dando contestuale notizia della trasmissione al segnalante.

8. Pubblicazioni

La presente circolare, nonché l’indirizzo di posta elettronica e il “Modulo segnalazioni whistleblowing”, sono pubblicati nella rete intranet e sul portale web dell’Istituto, come già precisato ai paragrafi 4.1 e 7.

Nel rammentare, infine, che i Codici di comportamento sanciscono, a carico di tutti i dipendenti e collaboratori, l’obbligo di segnalazione degli illeciti, si evidenzia che le misure di protezione previste dal D.lgs n. 24/2023 si applicano “anche nei casi di segnalazione o denuncia all’autorità giudiziaria o contabile o divulgazione pubblica anonime, se la persona segnalante è stata successivamente identificata e ha subito ritorsioni”.

La presente circolare deve essere portata a conoscenza di tutto il personale con le consuete modalità.