Nuove Linee-guida ANAC sul whistleblowing: i canali di segnalazione nei gruppi societari
Nuove Linee-guida ANAC sul whistleblowing: i canali di segnalazione nei gruppi societari
Sono in consultazione fino al 9 dicembre le nuove L.G. ANAC in tema di canali interni di segnalazione che andranno ad integrare quelle del luglio 2023.
Mi soffermo, brevemente, sulle indicazioni relative alla strutturazione dei canali di segnalazione nell’ambito dei gruppi di imprese, tema sostanzialmente assente nelle precedenti L.G. (mentre, sullo stesso tema, si è soffermata Confindustria nella sua “Guida operativa per enti privati”, in tema di WB, ottobre 2023).
ANAC ribadisce che, per i gruppi con imprese fino a 249 dipendenti, è ammessa la condivisione del canale interno ai sensi dell’art. 4, comma 4, del d.lg. n. 24/2023:
Tale condivisione si può realizzare mediante l’istituzione di una piattaforma unica, ma ramificata a livello di gruppo: un unico punto di accesso che consente alla persona segnalante di scegliere da un elenco la società presso cui effettuare la segnalazione. Ciò permette di condividere le risorse economiche per acquistare/mantenere un’unica infrastruttura che si ramifica in tanti sotto canali autonomi quante sono le società del gruppo. Mediante tale infrastruttura, ogni società del gruppo assolve all’obbligo di dotarsi di un proprio canale interno, ferma restando la necessità di ciascuna società di nominare un gestore.
Attraverso la piattaforma unica, il segnalante individua la società alla quale intende effettuare la segnalazione:
1) se si rivolge alla capogruppo, quest’ultima si occuperà di ricevere e gestire la segnalazione, potendo pure avvalersi del supporto della società del gruppo cui si riferisce la segnalazione, previa informativa al segnalante e nel rispetto degli obblighi di riservatezza;
2) se sceglie, invece, di rivolgersi ad una società del gruppo, la segnalazione arriverà alla stessa attraverso il sotto-canale autonomo. La società, ricevuta la segnalazione, potrà avvalersi della capacità investigativa della capogruppo, previa informativa al segnalante.
Se il gruppo opta per la condivisione del canale interno, ciascuna società deve dare conto di tale scelta nella procedura o nel Modello 231.
Le società del gruppo, in quanto contitolari del trattamento, devono definire, ai sensi dell’art. 26 del GDPR, in appositi accordi interni, le responsabilità in merito all’osservanza degli obblighi derivanti dal Regolamento stesso.
Per quanto concerne i gruppi di grandi dimensioni, la condivisione del canale interno di segnalazione e della relativa gestione non è consentita.
L’ANAC ritiene che tali gruppi possano esternalizzare il servizio di ricezione e gestione della segnalazione ad un soggetto terzo, che può essere esterno al gruppo oppure può essere individuato nella capogruppo.
L’esternalizzazione può avere ad oggetto solo la fornitura dell’infrastruttura per la ricezione delle segnalazioni oppure anche il servizio di gestione delle segnalazioni.
L’esternalizzazione richiede la stipula di un apposito contratto di affidamento che disciplina in dettaglio le modalità di acquisizione e gestione delle segnalazioni; il soggetto terzo, sia laddove gestisca per conto di una delle società del gruppo il sistema di segnalazione come soggetto esterno, sia nel caso in cui svolga solo il ruolo di fornitore esterno dell’infrastruttura, può trattare dati personali in qualità di responsabile del trattamento ex art. 28 del GDPR.
L’esternalizzazione consente al segnalante di scegliere, tramite un’unica piattaforma informatica, ramificata in tanti sotto-canali quante sono le società del gruppo, la società alla quale intende effettuare la segnalazione:
1) se sceglie di rivolgersi al soggetto terzo, quest’ultimo provvederà alla ricezione e alla gestione della segnalazione secondo quanto stabilito dal contratto di affidamento;
2) se sceglie di rivolgersi alla propria società, soltanto tale società potrà gestire la segnalazione, senza avvalersi dell’ausilio del soggetto terzo, in quanto quest’ultimo svolgerà solo il ruolo di fornitore esterno della piattaforma.
In ogni caso, ciascuna società del gruppo dovrà disciplinare formalmente il processo di gestione delle segnalazioni.
Nel caso di esternalizzazione della fornitura dell’infrastruttura e del servizio di gestione delle segnalazioni, di tale disciplina dovrà darsi conto nel contratto di affidamento stipulato con il soggetto terzo (direi allegando la relativa procedura al contratto).
Un’ulteriore questione affrontata attiene al ruolo di ANAC nel caso in cui il gruppo in questione sia costituito da imprese con sedi in diversi Stati. Ebbene:
- se il segnalante sceglie di rivolgersi alla capogruppo (condivisione) o ad un soggetto terzo (esternalizzazione) che abbia sede all’estero, ANAC non potrà svolgere alcuna attività di vigilanza sulla procedura da questi seguita;
- se, invece, il segnalante sceglie di rivolgersi alla società del gruppo con sede in Italia, ANAC potrà vigilare sul singolo canale che fa capo alla società, che costituisce un’articolazione della piattaforma centralizzata; nel caso in cui il segnalante scelga di rivolgersi alla società del gruppo, ma le indagini siano svolte dalla capogruppo (condivisione) con sede all’estero, ANAC potrà vigilare solo sul rispetto degli adempimenti relativi alle interlocuzioni con il segnalante parte della società con sede in Italia.
- definitiva, sembra porsi una questione, affatto secondaria, di un forum shopping con riguardo all’enforcement delle sanzioni WB nelle ipotesi in cui la gestione sia demandata ad un soggetto estero.
- residua, a mio avviso, la possibilità di una contestazione all’organo amministrativo italiano per tutto ciò che riguarda la correttezza del disegno del sistema di gestione del WB (canali e procedura in primis.)
