Whistleblowing: la Direttiva 2019/1937, il D.Lgs. 24/2023 e la scommessa europea sul segnalante

Il silenzio che costa più della verità

C'è una domanda che ogni ordinamento giuridico serio ha dovuto porsi, prima o poi, negli ultimi vent'anni: cosa succede a chi vede l'illecito da dentro e decide di parlarne? La risposta, per gran parte del Novecento, è stata desolante ovunque in Europa — inclusa la mia Svezia, che pure vanta la più antica tradizione di trasparenza istituzionale al mondo. Chi segnalava un illecito dall'interno di un'azienda o di un ente pubblico rischiava, nella pratica quotidiana anche quando la legge non lo diceva esplicitamente, il licenziamento, l'isolamento professionale, la carriera stroncata. Il messaggio implicito era chiaro: la lealtà all'organizzazione veniva prima della verità. E il prezzo di questa gerarchia rovesciata di valori lo ha pagato, in ultima istanza, sempre la collettività — gli investitori truffati, i risparmiatori raggirati, i cittadini esposti a rischi ambientali o sanitari che qualcuno, dentro, sapeva e non ha potuto dire.

La Direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione, nasce esattamente da questa presa di coscienza tardiva. Non è stata una norma calata dall'alto per astratto afflato garantista: è stata la risposta, arrivata con anni di ritardo, a una sequenza di scandali che hanno mostrato — con la brutalità dei fatti, non con la teoria — quanto costasse, in termini di soldi pubblici e fiducia collettiva, non avere un sistema europeo armonizzato di protezione del segnalante.

Pensiamo a LuxLeaks, il caso esploso nel 2014 grazie ai documenti trafugati da un dipendente di PricewaterhouseCoopers in Lussemburgo, Antoine Deltour, che rivelò gli accordi fiscali riservati (i cosiddetti "tax ruling") tra centinaia di multinazionali e il Granducato — accordi che permettevano una elusione fiscale legale ma eticamente devastante, proprio mentre l'allora presidente della Commissione Europea, Jean-Claude Juncker, era stato per anni primo ministro lussemburghese. Deltour fu processato in Lussemburgo per violazione del segreto commerciale prima di essere, anni dopo, prosciolto in appello. Il paradosso era servito su un piatto d'argento: chi aveva rivelato un meccanismo che sottraeva miliardi di gettito fiscale agli altri Stati membri rischiava il carcere, mentre chi aveva progettato quel meccanismo continuava indisturbato la propria attività professionale.

Pensiamo ai Panama Papers, nel 2016 — undici milioni di documenti dello studio legale panamense Mossack Fonseca, filtrati da una fonte rimasta anonima nota come "John Doe", che svelarono l'architettura globale dell'elusione e dell'evasione fiscale attraverso società offshore, coinvolgendo capi di Stato, politici, sportivi, criminali. Senza quella fuga di notizie — resa possibile da chi, dentro quello studio o vicino ad esso, aveva accesso ai documenti e ha scelto di condividerli — l'opinione pubblica mondiale non avrebbe mai avuto contezza della scala del fenomeno.

Pensiamo a Cambridge Analytica, nel 2018: fu un ex dipendente, Christopher Wylie, a rivelare al Guardian e al New York Times come i dati di decine di milioni di utenti Facebook fossero stati raccolti senza consenso adeguato e utilizzati per costruire profilazioni psicografiche a fini di manipolazione elettorale, dalla Brexit alle elezioni presidenziali americane del 2016. Senza quella testimonianza dall'interno, il meccanismo sarebbe rimasto nell'ombra — e la fiducia collettiva nelle piattaforme digitali avrebbe continuato a poggiare su un'illusione.

E pensiamo, perché tocca da vicino il cuore del sistema finanziario europeo, al caso Danske Bank: tra il 2007 e il 2015, la filiale estone della maggiore banca danese ha veicolato circa 200 miliardi di euro di flussi sospetti, in gran parte provenienti da Russia e paesi dell'ex Unione Sovietica, in quello che resta uno dei più grandi scandali di riciclaggio di denaro nella storia europea. Fu un informatore interno, Howard Wilkinson, a portare alla luce l'irregolarità già nel 2013 — anni prima che lo scandalo esplodesse pubblicamente nel 2018. Wilkinson raccontò, davanti al Parlamento Europeo, di aver segnalato ripetutamente ai vertici della banca senza ottenere alcuna reazione adeguata, e di aver pagato quella scelta con conseguenze professionali pesanti. Il caso Danske Bank, da solo, ha probabilmente fatto più per convincere Bruxelles della necessità di una direttiva whistleblowing di qualunque position paper accademico.

Prima del 2019, la protezione del whistleblower in Europa era un mosaico frammentato e largamente insufficiente. Solo dieci Stati membri disponevano di una legislazione organica di protezione del segnalante (tra questi, significativamente, i paesi nordici e il Regno Unito, allora ancora membro). Gli altri diciassette — Italia inclusa, fino a quel momento — avevano al più norme settoriali, sparse, spesso limitate all'ambito pubblico o a specifiche materie come l'antiriciclaggio, senza un impianto sistematico di tutela contro la ritorsione. Questo gap normativo produceva un effetto perverso e ben documentato dagli studi della Commissione Europea: chi lavorava per una multinazionale con sede in un paese a bassa protezione sapeva, semplicemente, che segnalare un illecito significava mettere a rischio la propria carriera senza alcuna rete di salvataggio legale. Il calcolo razionale, per troppe persone, era tacere. E il costo di quel silenzio collettivo — in frodi non scoperte, in danni ambientali non fermati, in riciclaggio non intercettato — si stima, secondo le valutazioni d'impatto della Commissione che hanno preceduto la Direttiva, in decine di miliardi di euro l'anno solo per l'Unione Europea.

Il recepimento italiano: il D.Lgs. 24/2023 e i suoi tempi

L'Italia ha recepito la Direttiva 2019/1937 con il Decreto Legislativo 10 marzo 2023, n. 24, pubblicato in Gazzetta Ufficiale il 15 marzo 2023 — con un ritardo di oltre un anno rispetto al termine di recepimento fissato dalla Direttiva stessa al 17 dicembre 2021, ritardo che è valso all'Italia una procedura di infrazione (n. 2022/0018) aperta dalla Commissione Europea, poi chiusa una volta intervenuto il decreto. Il testo è entrato in vigore in modo scaglionato, secondo una logica dimensionale che merita di essere spiegata con precisione, perché è la prima cosa che ogni imprenditore e ogni consulente del lavoro deve avere chiara in mente.

Dal 15 luglio 2023 l'obbligo di dotarsi di un canale di segnalazione interna, conforme ai requisiti del decreto, è scattato per i soggetti del settore pubblico e per i soggetti del settore privato che, nell'ultimo anno, hanno impiegato una media di almeno 250 lavoratori subordinati, a tempo determinato o indeterminato. Dal 17 dicembre 2023, invece, l'obbligo si è esteso ai soggetti privati che hanno impiegato una media, nell'ultimo anno, tra i 50 e i 249 lavoratori subordinati. Sono soggetti obbligati anche i soggetti privati sotto la soglia dei 50 dipendenti, indipendentemente dal numero di lavoratori, se rientrano nell'ambito di applicazione di specifici atti dell'Unione elencati nell'allegato al decreto — in particolare in materia di servizi finanziari, sicurezza dei trasporti, tutela dell'ambiente — o se adottano modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001. Questo secondo profilo, spesso sottovalutato dai consulenti meno aggiornati, significa che moltissime PMI italiane con un Modello 231 già adottato per ragioni di responsabilità amministrativa dell'ente si sono ritrovate obbligate al whistleblowing anche ben al di sotto della soglia dei 50 dipendenti.

L'ambito soggettivo del decreto è disegnato in modo volutamente ampio, molto più ampio della categoria classica del "dipendente". Rientrano tra i soggetti tutelati: i lavoratori subordinati, pubblici e privati; i lavoratori autonomi, i titolari di un rapporto di collaborazione che presti la propria attività presso l'ente; i liberi professionisti e i consulenti che collaborano con il soggetto segnalato; i volontari e i tirocinanti, retribuiti e non retribuiti; gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche quando tali funzioni siano esercitate in via di mero fatto. E — punto che ha una rilevanza pratica enorme e spesso trascurata — le tutele si estendono anche a chi ha già cessato il rapporto di lavoro, se la segnalazione riguarda informazioni acquisite nel corso del rapporto ormai concluso, e a chi il rapporto di lavoro non l'ha ancora nemmeno iniziato, quando le informazioni sulla violazione siano state acquisite durante il processo di selezione o in altre fasi precontrattuali. Il legislatore ha compreso che la vulnerabilità del segnalante non nasce solo dal rapporto di lavoro in corso, ma anche dalla speranza di ottenerne uno, o dal timore di perdere referenze future.

L'ambito oggettivo delle violazioni segnalabili è altrettanto esteso. Si tratta, in primo luogo, di violazioni di disposizioni normative nazionali o dell'Unione Europea che ledono l'interesse pubblico o l'integrità dell'ente pubblico o privato: illeciti amministrativi, contabili, civili o penali che non riguardino contestazioni, rivendicazioni o richieste legate a un interesse di carattere personale del segnalante (quest'ultima esclusione, sull'interesse strettamente personale, serve a distinguere il whistleblowing dalla comune vertenza di lavoro). In secondo luogo, si tratta di violazioni che rientrano nell'ambito di applicazione degli atti dell'Unione Europea elencati nell'Allegato al decreto, tra cui, in particolare: gli appalti pubblici; i servizi finanziari, prodotti e mercati finanziari, e la prevenzione del riciclaggio di denaro e del finanziamento del terrorismo; la sicurezza e conformità dei prodotti; la sicurezza dei trasporti; la tutela dell'ambiente; la radioprotezione e la sicurezza nucleare; la sicurezza degli alimenti e dei mangimi, la salute e il benessere degli animali; la sanità pubblica; la protezione dei consumatori; la tutela della vita privata e la protezione dei dati personali, e la sicurezza delle reti e dei sistemi informativi. In terzo luogo, rientrano gli atti od omissioni che ledono gli interessi finanziari dell'Unione, e quelli relativi al mercato interno, incluse le violazioni delle regole di concorrenza e degli aiuti di Stato, e le violazioni riguardanti l'imposta sulle società, quando siano volte a ottenere un vantaggio fiscale che vanifichi l'oggetto o la finalità della normativa applicabile.

I canali di segnalazione: interno, esterno, divulgazione pubblica

Il cuore operativo del sistema è la triplice architettura dei canali di segnalazione, costruita secondo una logica di gradualità precisa che il decreto italiano ha recepito fedelmente dalla Direttiva.

Il canale interno è il primo livello, quello che ogni soggetto obbligato deve istituire. Il decreto impone che la segnalazione possa avvenire in forma scritta — anche tramite piattaforme informatiche — oppure in forma orale, attraverso linee telefoniche o sistemi di messaggistica vocale, e, su richiesta del segnalante, anche mediante un incontro diretto fissato entro un termine ragionevole. La gestione del canale deve essere affidata a una persona o a un ufficio interno autonomo e dotato di personale specificamente formato per la gestione del canale, oppure a un soggetto esterno, anch'esso autonomo e con personale specificamente formato. Il requisito dell'autonomia è cruciale: chi gestisce le segnalazioni non può essere sotto la diretta influenza gerarchica di chi potrebbe essere il destinatario delle segnalazioni stesse. Il gestore del canale deve garantire la riservatezza dell'identità del segnalante, della persona coinvolta e del contenuto della segnalazione, oltre che della documentazione allegata, e deve rilasciare avviso di ricevimento della segnalazione entro sette giorni, fornendo riscontro entro tre mesi.

Il canale esterno entra in gioco come seconda linea di difesa, quando il canale interno non è disponibile o non ha funzionato — perché non è stato attivato, perché la segnalazione non ha avuto seguito nei termini previsti, o perché il segnalante ha fondato motivo di ritenere che, utilizzando il canale interno, la segnalazione non avrebbe avuto efficace seguito, oppure che potrebbe comportare il rischio di ritorsione. In Italia, l'autorità di riferimento per il canale esterno è l'ANAC — l'Autorità Nazionale Anticorruzione — che ha adottato, con delibera n. 311 del 12 luglio 2023, le linee guida operative sulle modalità di presentazione e gestione delle segnalazioni esterne, comprensive delle indicazioni tecniche sulla piattaforma informatica dedicata. L'ANAC riceve, gestisce, dà seguito alle segnalazioni esterne, e ha il potere di irrogare le sanzioni amministrative previste dal decreto per le violazioni della disciplina whistleblowing — un ruolo che la colloca al centro dell'intero impianto di enforcement italiano.

La divulgazione pubblica — la comunicazione della violazione attraverso la stampa, i mezzi di informazione, i social media — resta, nel disegno del decreto, l'extrema ratio, ammessa solo in ipotesi tassative: quando il segnalante ha prima effettuato una segnalazione interna ed esterna, o direttamente una segnalazione esterna, senza ricevere riscontro nei termini; quando ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per l'interesse pubblico; oppure quando ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsione o possa non avere efficace seguito per circostanze specifiche del caso concreto, ad esempio perché prove potrebbero essere occultate o distrutte, o perché l'autorità potrebbe essere collusa con l'autore della violazione. Questa gerarchia — interno, poi esterno, poi pubblico — riflette un bilanciamento preciso: proteggere l'interesse pubblico alla scoperta dell'illecito senza trasformare ogni dipendente scontento in un editorialista improvvisato, e senza esporre reputazioni a danni irreparabili prima che i canali istituzionali abbiano avuto una ragionevole possibilità di funzionare.

Le tutele contro la ritorsione: il cuore della protezione

Se i canali sono l'architettura, le tutele contro la ritorsione sono la ragione stessa per cui la Direttiva e il decreto esistono. L'art. 17 del D.Lgs. 24/2023 elenca, in modo non tassativo ma con un catalogo molto ampio, le condotte ritorsive vietate: il licenziamento, la sospensione o misure equivalenti; la retrocessione di grado o la mancata promozione; il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell'orario di lavoro; la sospensione della formazione o qualsiasi restrizione all'accesso alla stessa; note di merito negative o referenze negative; l'adozione di misure disciplinari o l'irrogazione di sanzioni, anche pecuniarie; la coercizione, l'intimidazione, le molestie o l'ostracismo; la discriminazione o comunque il trattamento sfavorevole; la mancata conversione di un contratto di lavoro a termine in contratto a tempo indeterminato, quando il lavoratore avesse una legittima aspettativa di tale conversione; il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro autonomo; l'annullamento di una licenza o di un permesso; la richiesta di sottoporsi ad accertamenti psichiatrici o medici. È un catalogo che mostra quanto il legislatore europeo, e di riflesso quello italiano, abbia compreso che la ritorsione raramente assume la forma brutale e riconoscibile del licenziamento in tronco: più spesso è sottile, diffusa, capace di rendere la vita professionale del segnalante progressivamente impossibile senza mai lasciare un atto formalmente impugnabile.

Il meccanismo probatorio che rende queste tutele effettive, e non solo dichiarazioni di principio, è l'inversione dell'onere della prova prevista dall'art. 17, comma 4: quando il segnalante dimostra di aver effettuato una segnalazione, una divulgazione pubblica o una denuncia nelle forme previste dal decreto, e di aver successivamente subito un trattamento sfavorevole sul luogo di lavoro, si presume che tale trattamento sia stato posto in essere in ritorsione alla segnalazione. Spetta al soggetto che ha adottato il trattamento sfavorevole dimostrare che tale misura è stata motivata da ragioni estranee alla segnalazione stessa. È un ribaltamento significativo rispetto alla regola generale dell'onere della prova nel diritto del lavoro italiano, e costituisce probabilmente lo strumento tecnico più potente dell'intero impianto: senza di esso, il segnalante — quasi sempre nella posizione di parte più debole rispetto al datore di lavoro — dovrebbe provare un nesso causale psicologico (la ritorsione come motivo del provvedimento) che nella pratica è quasi impossibile da dimostrare con certezza.

Sul piano sanzionatorio, l'ANAC può irrogare, ai sensi dell'art. 21 del decreto, sanzioni amministrative pecuniarie da 10.000 a 50.000 euro nei confronti di chi commette ritorsioni, di chi ostacola o tenta di ostacolare una segnalazione, di chi viola l'obbligo di riservatezza sull'identità del segnalante. La stessa forbice sanzionatoria — da 10.000 a 50.000 euro — si applica anche quando venga accertato che la segnalazione non ha avuto seguito perché non sono stati istituiti canali di segnalazione conformi al decreto, o perché non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni. Un aspetto meno noto, ma di forte impatto deterrente, è che l'ANAC può inoltre irrogare una sanzione da 500 a 2.500 euro a carico del segnalante, nel caso accerti, con provvedimento anche non definitivo, la responsabilità penale per calunnia o diffamazione, o comunque la responsabilità civile dello stesso per lo stesso titolo, nei casi di dolo o colpa grave del segnalante nell'effettuare la segnalazione. Questo secondo fronte sanzionatorio — meno enfatizzato nella comunicazione pubblica sulla riforma, ma normativamente presente — serve a marcare il confine tra whistleblowing genuino e segnalazione strumentale o calunniosa.

Riservatezza e anonimato: la protezione che non basta mai del tutto

Un equivoco frequente, anche tra addetti ai lavori, è confondere whistleblowing e anonimato assoluto. Il decreto consente espressamente ai soggetti obbligati di attivare canali che permettono anche la segnalazione anonima, e prevede che, qualora un segnalante anonimo venga successivamente identificato e subisca ritorsioni, le tutele previste dal decreto si applichino integralmente anche a lui. Ma la protezione più solida, quella dell'inversione dell'onere della prova e delle sanzioni per ritorsione, presuppone in concreto che il segnalante sia identificabile almeno agli occhi del gestore del canale — perché è proprio la tracciabilità della segnalazione a un soggetto determinato a rendere applicabile il collegamento causale con l'eventuale trattamento sfavorevole successivo.

La riservatezza dell'identità del segnalante, in ogni caso, non equivale a divulgazione pubblica: whistleblowing non è sinonimo di esposizione mediatica. Il decreto impone che l'identità del segnalante, e qualsiasi altra informazione da cui possa essere direttamente o indirettamente desunta, non possano essere rivelate, senza il consenso espresso della persona segnalante, a persone diverse da quelle competenti a ricevere o a seguire le segnalazioni. Anche nell'ambito del procedimento disciplinare eventualmente instaurato nei confronti del segnalato, l'identità del segnalante non può essere rivelata, se la contestazione disciplinare è fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa; qualora invece la contestazione sia fondata, in tutto o in parte, sulla segnalazione, e la conoscenza dell'identità del segnalante sia indispensabile per la difesa del segnalato, la segnalazione potrà essere utilizzata solo con il consenso del segnalante alla rivelazione della propria identità.

Qui però si annida il problema pratico più spinoso, quello che ogni consulente del lavoro onesto ammette in privato: nelle organizzazioni piccole, con pochi dipendenti e ruoli molto specifici, la riservatezza formale dell'identità del segnalante è spesso una finzione. Se in un ufficio di dodici persone qualcuno segnala un'irregolarità contabile che solo tre persone potevano conoscere, il cerchio dei sospettati si restringe da solo, indipendentemente da ogni misura tecnica di anonimizzazione. La legge può imporre il silenzio formale sull'identità, ma non può cancellare il ragionamento deduttivo dei colleghi. È uno dei limiti strutturali dell'intero impianto, che nessuna piattaforma informatica, per quanto sofisticata, può risolvere da sola quando la dimensione organizzativa è ridotta.

Gli obblighi organizzativi delle imprese: dal Modello 231 al software dedicato

Per le imprese soggette, l'adeguamento al D.Lgs. 24/2023 comporta un impegno organizzativo che va ben oltre l'adozione formale di un documento. Le società che dispongono già di un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001 hanno tipicamente integrato la procedura di whistleblowing all'interno del Modello stesso, come parte integrante e non come allegato separato: è una scelta tecnica sensata, perché consente di ricondurre la gestione delle segnalazioni alla competenza dell'Organismo di Vigilanza già esistente, sfruttandone l'indipendenza strutturale e l'esperienza nella gestione di informazioni sensibili relative a possibili illeciti. Per le imprese prive di Modello 231, invece, l'adempimento richiede la costruzione ex novo di una procedura, l'individuazione di un gestore autonomo del canale — interno o esterno — e soprattutto la sua formazione specifica, che il decreto richiede espressamente e che l'ANAC ha più volte richiamato come elemento sostanziale, non meramente formale, di conformità.

Sul piano tecnologico, il mercato ha risposto con l'offerta di piattaforme dedicate di whistleblowing management, che garantiscono crittografia end-to-end delle comunicazioni, mascheramento dell'indirizzo IP del segnalante, canalizzazione cifrata dei documenti allegati, e tracciabilità dei tempi di gestione (i sette giorni per l'avviso di ricevimento, i tre mesi per il riscontro) in modo automatizzato e verificabile. Sono strumenti che, se correttamente configurati, offrono una garanzia tecnica di anonimato ben superiore a quella di una casella di posta elettronica dedicata o di una cassetta fisica in ufficio — soluzioni ancora sorprendentemente diffuse tra le PMI italiane meno consapevoli, e sostanzialmente inadeguate a garantire davvero la riservatezza richiesta dalla norma.

Il rapporto con GDPR, CS3D e Modello 231

Il whistleblowing non vive isolato: si intreccia strettamente con altre normative di compliance, generando talvolta tensioni pratiche di non facile soluzione. Con il GDPR, la tensione più evidente riguarda il trattamento dei dati personali del segnalato: la gestione di una segnalazione comporta necessariamente il trattamento di dati che possono riguardare anche categorie particolari (dati giudiziari, ad esempio, se la segnalazione riguarda un possibile reato). Il Garante per la Protezione dei Dati Personali ha più volte richiamato l'attenzione sulla necessità di una base giuridica adeguata per tale trattamento — che il decreto stesso individua nell'adempimento di un obbligo legale del titolare del trattamento — e sulla necessità di conservare i dati per il tempo strettamente necessario, e non oltre cinque anni dalla comunicazione dell'esito finale della segnalazione, come previsto dall'art. 14 del decreto. La difficoltà pratica sta nel bilanciare due diritti fondamentali che tirano in direzioni opposte: la riservatezza del segnalante, da un lato, e il diritto di difesa del segnalato, che ai sensi dell'art. 24 della Costituzione e dell'art. 6 della Convenzione Europea dei Diritti dell'Uomo ha diritto a conoscere gli elementi a proprio carico per potersi difendere efficacemente. Il decreto tenta la mediazione con le regole già descritte sul procedimento disciplinare, ma il bilanciamento resta, nei casi concreti, delicato e spesso rimesso alla sensibilità del gestore del canale.

La Direttiva (UE) 2024/1760 sulla due diligence di sostenibilità delle imprese — la CS3D, Corporate Sustainability Due Diligence Directive — introduce un ulteriore livello di collegamento: tra gli strumenti che le imprese soggette devono predisporre per identificare e rimediare agli impatti negativi sui diritti umani e sull'ambiente lungo la catena di fornitura, rientrano proprio meccanismi di segnalazione e reclamo accessibili anche a soggetti esterni alla catena di fornitura diretta — lavoratori di fornitori, comunità locali, organizzazioni sindacali e della società civile. Il whistleblowing, nato per proteggere l'insider dell'organizzazione, si estende così concettualmente a uno strumento di rilevazione delle violazioni lungo l'intera filiera produttiva, in una logica di responsabilità estesa che il diritto societario europeo sta costruendo pezzo dopo pezzo.

Il collegamento con il Modello 231 merita un'ultima puntualizzazione, di rilievo pratico notevole per chi opera in materia di responsabilità amministrativa degli enti: sebbene il D.Lgs. 24/2023 non modifichi direttamente il D.Lgs. 231/2001, l'assenza di un sistema di whistleblowing adeguato, o la sua palese inefficacia, può essere valutata negativamente dal giudice penale in sede di verifica dell'idoneità del Modello organizzativo ai fini dell'esonero da responsabilità amministrativa dell'ente ai sensi dell'art. 6 del D.Lgs. 231/2001. Un Modello che sulla carta prevede tutti i presidi di legge, ma che in concreto non ha mai ricevuto una segnalazione in anni di attività — o che ha sistematicamente ignorato le segnalazioni ricevute — rischia di essere giudicato un Modello meramente cartaceo, privo di quella effettività che la giurisprudenza penale richiede per riconoscere l'esonero da responsabilità.

Segnalante genuino e segnalante vessatorio: il confine sottile

Uno dei problemi applicativi più delicati, che i primi anni di vigenza del decreto hanno iniziato a portare alla luce, è la distinzione tra il whistleblower genuino e quello che nella prassi si definisce, con un termine forse un po' brutale ma efficace, "segnalante vessatorio": la persona che utilizza lo strumento della segnalazione non per portare alla luce un illecito reale, ma per colpire un collega sgradito, vendicarsi di un provvedimento disciplinare subito, o semplicemente disturbare l'organizzazione con segnalazioni pretestuose e ripetute. Il decreto, come già ricordato, esclude espressamente dalla tutela le segnalazioni effettuate con dolo o colpa grave, e consente all'ANAC di sanzionare il segnalante responsabile di calunnia o diffamazione accertata. Ma la distinzione, sul piano applicativo concreto, non è affatto semplice: chi gestisce il canale interno deve valutare, con equilibrio e senza pregiudizi di parte, se la segnalazione ricevuta abbia un fondamento oggettivo minimo, senza tuttavia scoraggiare, con un atteggiamento troppo sospettoso, segnalazioni che potrebbero rivelarsi fondate ma che all'apparenza sembrano deboli o imprecise.

Nei primi anni di applicazione del decreto, tra il 2023 e il 2025, l'ANAC ha iniziato a costruire una prassi interpretativa attraverso le proprie delibere e i primi provvedimenti sanzionatori, concentrandosi soprattutto sui casi più eclatanti di mancata istituzione dei canali interni da parte di enti pubblici e società obbligate, e su alcuni casi di violazione palese della riservatezza dell'identità del segnalante da parte di dirigenti che avevano informalmente rivelato, a colleghi o superiori, chi avesse effettuato la segnalazione. È un corpus giurisprudenziale ancora giovane, che si sta formando gradualmente, e che (da verificare nel dettaglio caso per caso) sembra orientato a una interpretazione rigorosa degli obblighi organizzativi a carico degli enti, e più cauta nel qualificare come vessatorie le segnalazioni la cui buona fede non sia palesemente smentita da elementi oggettivi.

Lo sguardo da Stoccolma: l'Offentlighetsprincipen e il Visselblåsarlagen

Guardare questa materia con gli occhi svedesi significa partire da un punto di osservazione privilegiato, perché la Svezia non ha dovuto inventare da zero una cultura della trasparenza quando ha recepito la Direttiva: l'ha semplicemente aggiornata. Il principio di pubblicità degli atti pubblici — l'Offentlighetsprincipen — risale in Svezia al 1766, alla Tryckfrihetsförordningen, la legge sulla libertà di stampa che è tra le prime costituzioni scritte al mondo a garantire l'accesso pubblico ai documenti amministrativi. Da due secoli e mezzo, in Svezia, qualsiasi cittadino può chiedere di consultare un documento ufficiale detenuto da un'autorità pubblica, senza dover motivare la richiesta né dichiarare il proprio interesse, salvo le eccezioni tassative previste dalla legge sul segreto (Offentlighets- och sekretesslagen). È una tradizione che ha plasmato, nei secoli, un rapporto tra cittadino e potere pubblico radicalmente diverso da quello mediterraneo: il sospetto di default non è verso chi rivela, ma verso chi occulta.

In questo contesto culturale, il recepimento svedese della Direttiva Whistleblowing — la Lag om skydd för personer som rapporterar om missförhållanden, comunemente nota come Visselblåsarlagen, entrata in vigore il 17 dicembre 2021, puntualmente nei tempi richiesti da Bruxelles, a differenza dell'Italia — è stato accolto senza le resistenze culturali che altrove hanno rallentato l'attuazione. Il modello svedese è spesso citato dagli studiosi comparatisti come un caso di equilibrio riuscito tra protezione del segnalante e tutela del segnalato: l'autorità di controllo, l'Arbetsmiljöverket (l'Ispettorato del Lavoro svedese) affiancata dalla Diskrimineringsombudsmannen per i profili di discriminazione, ha adottato un approccio pragmatico all'enforcement, privilegiando la moral suasion e l'assistenza tecnica alle imprese nella fase di prima applicazione, riservando le sanzioni ai casi di violazione palese e reiterata.

Il confronto con l'ANAC italiana è istruttivo, e non necessariamente a sfavore dell'Italia: l'ANAC ha una storia più giovane come autorità whistleblowing, essendo stata investita di questa competenza solo con la L. 179/2017 e poi confermata dal D.Lgs. 24/2023, ma porta con sé — a differenza dell'omologa svedese — una missione anticorruzione preesistente che le conferisce un radicamento culturale specifico nel contrasto ai fenomeni corruttivi tipici della pubblica amministrazione italiana. Dove il modello svedese scommette sulla cultura diffusa della trasparenza come primo argine, il modello italiano scommette sulla forza dissuasiva della sanzione e sul ruolo di un'autorità specializzata con poteri incisivi. Sono due strade diverse per arrivare, si spera, allo stesso risultato: un ambiente organizzativo in cui chi vede l'illecito non ha più ragione di tacere.

Tabella: obblighi whistleblowing per dimensione d'impresa

Dimensione impresa	Canale obbligatorio	Termine di adeguamento	Sanzioni per inadempimento (ANAC)
Settore pubblico e privato >249 dipendenti	Canale interno conforme (scritto/orale/incontro diretto); gestore autonomo e formato	15 luglio 2023	Da 10.000 a 50.000 euro per mancata istituzione o violazione riservatezza
Settore privato 50-249 dipendenti	Canale interno conforme; possibile condivisione risorse tra più soggetti del gruppo per le imprese fino a 249 dipendenti	17 dicembre 2023	Da 10.000 a 50.000 euro per mancata istituzione o violazione riservatezza
Sotto 50 dipendenti, settori Allegato (finanza, ambiente, trasporti)	Canale interno obbligatorio indipendentemente dal numero di dipendenti	15 luglio 2023 (data generale di efficacia del decreto)	Da 10.000 a 50.000 euro; possibile rilievo anche ai fini D.Lgs. 231/2001
Sotto 50 dipendenti con Modello 231 adottato	Canale integrato nel Modello 231 esistente, gestito preferibilmente dall'Organismo di Vigilanza	15 luglio 2023	Da 10.000 a 50.000 euro; rischio di inidoneità del Modello 231 in sede penale
Ritorsione accertata (qualsiasi dimensione)	Non applicabile — violazione sostanziale della tutela	Nessun termine: obbligo permanente	Da 10.000 a 50.000 euro a carico del responsabile della ritorsione
Segnalazione calunniosa accertata (dolo/colpa grave)	Non applicabile	Nessun termine	Da 500 a 2.500 euro a carico del segnalante in mala fede

La scommessa che vale il rischio

Se dovessi indicare il punto in cui questa materia rivela la propria vera natura, non lo cercherei negli articoli del decreto, ma nel momento — sempre concreto, sempre personale — in cui una persona con un lavoro, una famiglia, un mutuo da pagare, decide se aprire quella email al canale interno o lasciarla nella bozza. È in quel momento che si misura se un sistema normativo funziona davvero, o se resta lettera morta stampata in Gazzetta Ufficiale. La Direttiva 2019/1937 e il D.Lgs. 24/2023 non possono garantire il coraggio — nessuna legge può farlo. Possono però abbassare drasticamente il prezzo di quel coraggio: rendere meno probabile che chi parla perda il lavoro, meno probabile che resti solo, meno probabile che la sua carriera si fermi lì. E possono, con l'inversione dell'onere della prova e le sanzioni ANAC, rendere quel prezzo sufficientemente alto da dissuadere l'organizzazione dal vendicarsi.

Dalla mia prospettiva svedese, cresciuta dentro una cultura che considera la trasparenza un diritto acquisito da due secoli e mezzo, trovo che l'Europa abbia fatto, con questa Direttiva, una scommessa tanto semplice quanto radicale nella sua logica economica: costa meno, a lungo termine, proteggere chi parla che vivere in un sistema dove nessuno può farlo in sicurezza. Danske Bank, LuxLeaks, Panama Papers, Cambridge Analytica — ognuno di questi scandali, moltiplicato per gli anni in cui è rimasto sepolto prima di esplodere, rappresenta un costo collettivo enormemente superiore a quello che sarebbe servito per ascoltare, credere e proteggere chi lo sapeva già da dentro. L'Italia arriva a questa scommessa con un ritardo storico e una cultura organizzativa che fatica ancora a distinguere lealtà da omertà. Ma la struttura normativa, con il D.Lgs. 24/2023, è ormai quella giusta. Resta da costruire, un'organizzazione alla volta, la fiducia che la rende reale.

Il whistleblower non è un traditore. È, quasi sempre, l'ultima linea di difesa prima che lo scandalo esploda sui giornali — l'ultimo momento in cui l'illecito può essere fermato con un costo contenuto, prima che diventi una crisi sistemica che travolge investitori, lavoratori, risparmiatori e, non da ultimo, la reputazione della stessa organizzazione che avrebbe potuto ascoltarlo per tempo. La Direttiva europea, e il decreto italiano che l'ha recepita con ritardo ma con impianto solido, hanno fatto una scommessa che alla mia Svezia — abituata da due secoli e mezzo a considerare la trasparenza non un rischio ma una garanzia — sembra quasi ovvia: proteggere chi parla costa meno, sempre, di tutto quello che si nasconde quando nessuno può farlo in sicurezza.

— Astrid, Stockholm