Whistleblowing: il segnalato deve essere informato subito? Riservatezza, prove e diritto di difesa nel D.Lgs. 24/2023

Una delle domande più delicate nella gestione delle segnalazioni whistleblowing riguarda il ruolo della persona segnalata, cioè il soggetto a cui viene attribuita, direttamente o indirettamente, una presunta condotta illecita.

Quando arriva una segnalazione interna, l’azienda deve informare subito il segnalato? Oppure può attendere la prima fase di verifica per evitare rischi di inquinamento delle prove, ritorsioni o compromissione della riservatezza del segnalante?

La risposta corretta è: no, il segnalato non deve essere necessariamente informato subito dell’esistenza della segnalazione. Tuttavia, questa conclusione va spiegata con attenzione, perché la normativa non contiene una formula secca del tipo “è vietato avvisare il segnalato”. Il principio si ricava dal sistema complessivo del D.Lgs. 24/2023, in particolare dagli articoli 12, 13 e 15.

Il tema è importante perché tocca tre esigenze diverse: la tutela del segnalante, la corretta conservazione degli elementi istruttori e il diritto di difesa della persona coinvolta.

La gestione della segnalazione non è una comunicazione automatica al segnalato

Nel whistleblowing, la segnalazione non deve essere trattata come una normale contestazione disciplinare immediata. La segnalazione è prima di tutto un’informazione riservata, ricevuta attraverso un canale protetto, che deve essere valutata da soggetti autorizzati e competenti.

Il D.Lgs. 24/2023, art. 12, comma 1, stabilisce che:

“Le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse.”

Questo passaggio è fondamentale. La segnalazione non può essere diffusa internamente, comunicata a soggetti non autorizzati o utilizzata oltre il perimetro necessario alla gestione istruttoria. L’obiettivo della norma è impedire che il contenuto della segnalazione venga trattato in modo improprio o che l’informazione circoli all’interno dell’organizzazione senza una reale necessità.

Da questo deriva un principio operativo molto chiaro: il fatto che una persona sia menzionata in una segnalazione non comporta automaticamente il diritto di esserne informata nella fase iniziale. Prima occorre verificare se e quando tale comunicazione sia necessaria, proporzionata e compatibile con la tutela della riservatezza.

La riservatezza del segnalante è il cuore della normativa whistleblowing

Il punto centrale della disciplina è la protezione dell’identità della persona segnalante. L’art. 12, comma 2, prevede che:

“L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni”.

Questo significa che non è protetto solo il nome del segnalante, ma anche qualsiasi informazione che possa permettere di identificarlo indirettamente. In molte realtà aziendali, soprattutto in organizzazioni piccole o in reparti con pochi dipendenti, anche la semplice descrizione del fatto, del periodo, del luogo o del ruolo lavorativo può rendere intuibile chi ha effettuato la segnalazione.

Per questo motivo, informare immediatamente il segnalato può diventare rischioso. Non perché il segnalato non abbia diritti, ma perché in una fase iniziale l’organizzazione deve evitare che la comunicazione produca effetti contrari alla finalità della legge.

Ad esempio, se una segnalazione riguarda un comportamento illecito avvenuto in un ufficio composto da tre persone, comunicare subito al presunto autore che è stata presentata una segnalazione potrebbe consentirgli di individuare facilmente il segnalante. Questo potrebbe esporre quest’ultimo a pressioni, isolamento, demansionamento, minacce o altre forme di ritorsione.

Il segnalato è tutelato, ma non deve essere avvisato automaticamente

Un errore frequente è pensare che la normativa protegga solo il segnalante. In realtà, il D.Lgs. 24/2023 tutela anche la persona coinvolta e le persone menzionate nella segnalazione.

L’art. 12, comma 7, stabilisce infatti che l’identità delle persone coinvolte e delle persone menzionate nella segnalazione deve essere tutelata fino alla conclusione dei procedimenti avviati in ragione della segnalazione, nel rispetto delle medesime garanzie previste in favore del segnalante.

Questo punto è molto importante perché conferma che anche il segnalato non deve essere esposto inutilmente. La segnalazione non equivale a una condanna, né a un accertamento definitivo. È un atto che avvia una verifica.

Di conseguenza, l’organizzazione deve evitare due errori opposti: da un lato, non deve ignorare i diritti della persona segnalata; dall’altro, non deve trasformare l’arrivo della segnalazione in una comunicazione immediata che possa compromettere la riservatezza, le verifiche interne o la conservazione degli elementi probatori.

La persona coinvolta può essere sentita, ma nei tempi corretti

Il D.Lgs. 24/2023 disciplina anche il possibile coinvolgimento della persona segnalata. L’art. 12, comma 9, prevede che:

“la persona coinvolta può essere sentita, ovvero, su sua richiesta, è sentita, anche mediante procedimento cartolare attraverso l’acquisizione di osservazioni scritte e documenti.”

Questa previsione è spesso interpretata in modo errato. La norma non dice che il segnalato debba essere informato immediatamente al momento della ricezione della segnalazione. Dice invece che, nell’ambito delle procedure di segnalazione, la persona coinvolta può essere sentita e, se lo richiede, deve essere sentita anche mediante osservazioni scritte e documenti.

Il verbo utilizzato è significativo: “può essere sentita”. Questo conferma che esiste una fase di valutazione istruttoria nella quale i soggetti incaricati della gestione della segnalazione devono decidere se, quando e con quali modalità coinvolgere la persona segnalata.

In pratica, il coinvolgimento del segnalato deve avvenire quando è utile, necessario e compatibile con la tutela della riservatezza e con l’efficacia dell’istruttoria.

Il rischio di inquinamento delle prove

La normativa whistleblowing riconosce espressamente che in alcune situazioni può esistere il rischio che le prove vengano occultate o distrutte.

Il riferimento più diretto si trova nell’art. 15, comma 1, lettera c, dedicato alle divulgazioni pubbliche. La norma prevede una forma di protezione per il segnalante quando questi ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito, ad esempio nei casi in cui:

“possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa.”

È vero che questo articolo riguarda la divulgazione pubblica e non disciplina direttamente la fase interna di comunicazione al segnalato. Tuttavia, è un passaggio molto utile perché dimostra che il legislatore riconosce espressamente l’esistenza di situazioni in cui l’anticipata conoscenza della segnalazione può compromettere la conservazione delle prove o l’efficace seguito della procedura.

Questo principio può essere richiamato anche nella costruzione delle procedure interne, soprattutto quando si stabilisce che il coinvolgimento della persona segnalata deve essere valutato caso per caso.

Privacy: i diritti del segnalato possono essere limitati o differiti

Un altro aspetto fondamentale riguarda la protezione dei dati personali. Anche la persona segnalata è un interessato ai sensi della normativa privacy. In linea generale, potrebbe quindi avere diritti di accesso, rettifica, opposizione o limitazione.

Tuttavia, il D.Lgs. 24/2023 prevede una disciplina specifica. L’art. 13, comma 3, stabilisce che i diritti previsti dagli articoli da 15 a 22 del GDPR possono essere esercitati nei limiti dell’art. 2-undecies del D.Lgs. 196/2003, cioè del Codice Privacy.

Questo richiamo è molto importante perché l’art. 2-undecies consente di limitare, ritardare o escludere l’esercizio dei diritti dell’interessato quando da tale esercizio possa derivare un pregiudizio effettivo e concreto, tra cui la compromissione della riservatezza dell’identità della persona che segnala violazioni.

In termini pratici, questo significa che il segnalato non può usare automaticamente i diritti privacy per ottenere informazioni che potrebbero rivelare l’identità del segnalante o compromettere l’attività istruttoria.

Anche in questo caso, però, la limitazione non deve essere arbitraria. Deve essere necessaria, proporzionata e motivata. L’azienda deve quindi essere in grado di dimostrare perché, in quella specifica fase, determinate informazioni non possono essere comunicate.

Il diritto di difesa resta garantito

Dire che il segnalato non deve essere informato subito non significa negare il suo diritto di difesa. La normativa prevede infatti un bilanciamento.

L’art. 12, comma 5, disciplina il caso del procedimento disciplinare. La norma stabilisce che, se la contestazione disciplinare si fonda su accertamenti distinti e ulteriori rispetto alla segnalazione, l’identità del segnalante non può essere rivelata. Se invece la contestazione si fonda, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante è indispensabile per la difesa dell’incolpato, la segnalazione può essere utilizzata solo con il consenso espresso del segnalante alla rivelazione della propria identità.

Questo passaggio chiarisce bene la logica della norma. Il diritto di difesa della persona coinvolta deve essere rispettato, ma non cancella automaticamente la tutela dell’identità del segnalante.

In altre parole, la procedura deve essere strutturata in modo progressivo: prima si riceve e si valuta la segnalazione, poi si svolgono le verifiche necessarie, quindi si decide se e come coinvolgere la persona segnalata, soprattutto se si passa a una fase disciplinare o a un procedimento formale.

Come dovrebbe comportarsi correttamente un’azienda

Dal punto di vista operativo, una procedura whistleblowing ben costruita dovrebbe prevedere che, alla ricezione della segnalazione, il gestore del canale effettui una prima valutazione di ammissibilità e rilevanza.

In questa fase, l’accesso alla segnalazione deve essere limitato ai soli soggetti autorizzati. Non devono essere informati responsabili, colleghi, superiori gerarchici o persone potenzialmente coinvolte se non vi è una reale necessità istruttoria.

Successivamente, il gestore può raccogliere documenti, verificare elementi oggettivi, controllare log, consultare fonti interne o acquisire informazioni senza rivelare inutilmente l’esistenza della segnalazione.

Solo quando il coinvolgimento della persona segnalata diventa necessario, questa potrà essere sentita, nel rispetto della riservatezza del segnalante e delle altre persone coinvolte. Il confronto potrà avvenire anche in forma scritta, acquisendo osservazioni e documenti.

Questa impostazione consente di proteggere sia il segnalante sia il segnalato, evitando che la procedura diventi uno strumento di esposizione, conflitto interno o pressione indebita.

Formula utile da inserire in una procedura whistleblowing

Una formulazione corretta da inserire in una procedura aziendale potrebbe essere la seguente:

In fase istruttoria, la persona coinvolta dalla segnalazione non viene necessariamente informata immediatamente dell’esistenza della segnalazione, qualora tale comunicazione possa compromettere la riservatezza dell’identità della persona segnalante, l’efficace svolgimento delle verifiche, la conservazione degli elementi probatori o la prevenzione di condotte ritorsive. L’eventuale coinvolgimento della persona segnalata avviene secondo criteri di necessità, proporzionalità e riservatezza, nel rispetto degli artt. 12 e 13 del D.Lgs. 24/2023 e dei limiti di cui all’art. 2-undecies del D.Lgs. 196/2003.

Questa formula evita di affermare in modo assoluto che il segnalato “non deve mai essere informato”. Al contrario, chiarisce che l’informazione può essere differita o limitata quando ciò sia necessario per proteggere la procedura, il segnalante e gli elementi istruttori.

Conclusione

Nel sistema whistleblowing introdotto dal D.Lgs. 24/2023, la persona segnalata non deve essere automaticamente informata nella fase iniziale della segnalazione. La gestione deve avvenire secondo criteri di riservatezza, necessità e proporzionalità.

La base normativa si trova soprattutto nell’art. 12, che disciplina l’obbligo di riservatezza, nell’art. 13, che richiama i limiti privacy dell’art. 2-undecies del Codice Privacy, e nell’art. 15, che riconosce il rischio di ritorsioni, occultamento o distruzione delle prove.

Il punto centrale è il bilanciamento: proteggere il segnalante, evitare l’inquinamento dell’istruttoria, tutelare la persona segnalata e garantire il diritto di difesa quando la procedura evolve verso una contestazione formale.

Per questo motivo, ogni organizzazione dovrebbe dotarsi di una procedura chiara, tracciabile e conforme, capace di distinguere la fase iniziale di verifica dalla fase successiva di eventuale coinvolgimento della persona segnalata. Una gestione improvvisata può esporre l’azienda a rischi legali, privacy e organizzativi, mentre un canale strutturato consente di trattare ogni segnalazione in modo sicuro, riservato e conforme alla normativa vigente.

Nota interpretativa

Le considerazioni contenute nel presente articolo hanno finalità informative e di approfondimento operativo e non intendono sostituire il parere di un professionista legale, di un DPO o del soggetto incaricato della gestione del canale di segnalazione. La disciplina del whistleblowing richiede infatti una valutazione caso per caso, tenendo conto della natura della segnalazione, del contesto aziendale, dei soggetti coinvolti, dei rischi per la riservatezza del segnalante, dell’eventuale necessità di preservare elementi istruttori e del diritto di difesa della persona coinvolta.

L’interpretazione proposta si fonda su una lettura coordinata degli artt. 12, 13 e 15 del D.Lgs. 24/2023, nonché sul richiamo all’art. 2-undecies del D.Lgs. 196/2003 in materia di possibile limitazione o differimento dei diritti privacy quando il loro esercizio possa arrecare un pregiudizio effettivo e concreto alla tutela della riservatezza del segnalante o al corretto svolgimento delle verifiche.

Ciò non esclude che, in specifiche circostanze, il coinvolgimento della persona segnalata possa risultare opportuno, necessario o imposto dall’evoluzione del procedimento, soprattutto quando si passi da una fase preliminare di verifica a una fase disciplinare, contenziosa o comunque formale. Per tale motivo, ogni organizzazione dovrebbe adottare procedure interne chiare, documentate e proporzionate, prevedendo che le decisioni relative all’eventuale informazione o audizione della persona coinvolta siano motivate, tracciate e valutate con il supporto delle figure competenti.

In sintesi, il principio non è quello di escludere in modo assoluto il coinvolgimento del segnalato, ma di evitare automatismi che possano compromettere la riservatezza, l’efficacia dell’istruttoria o la tutela delle persone coinvolte. La corretta gestione della segnalazione richiede sempre un bilanciamento tra protezione del segnalante, garanzie della persona segnalata, conservazione degli elementi probatori e rispetto della normativa applicabile.