Direttiva UE 2019/1937: guida completa

La Direttiva (UE) 2019/1937, adottata il 23 ottobre 2019, è il quadro europeo di protezione del whistleblower. Impone a tutti gli Stati membri di garantire ai segnalanti un canale interno ed esterno, riservatezza, protezione dalle ritorsioni e termini di risposta certi. In Italia è trasposta dal D.Lgs. 24/2023.

Vuoi la trasposizione italiana in dettaglio? Vedi la nostra guida al D.Lgs. 24/2023: obblighi, scadenze, sanzioni ANAC (fino a 50.000 € per violazione, cumulabili).

1. Ambito di applicazione

La Direttiva protegge chi segnala violazioni del diritto dell'Unione in vari settori: appalti pubblici, servizi e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei prodotti, sicurezza dei trasporti, protezione dell'ambiente, salute pubblica, protezione dei consumatori, tutela della privacy e dei dati personali, sicurezza delle reti e dei sistemi informativi, interessi finanziari dell'Unione. Gli Stati membri possono estendere l'ambito; l'Italia ha esteso a tutte le violazioni di disposizioni nazionali che attuano specifici settori del diritto UE e ad alcune violazioni puramente interne.

2. Chi è il segnalante

L'art. 4 estende la tutela ben oltre i dipendenti in senso stretto. Sono protetti: dipendenti, ex dipendenti, candidati, lavoratori autonomi, fornitori, subappaltatori, azionisti, componenti di organi amministrativi e di controllo, volontari, tirocinanti, e i facilitatori che assistono il segnalante.

3. I tre canali

• Canale interno (art. 8-9): obbligatorio per datori di lavoro con 50+ dipendenti e per tutta la pubblica amministrazione. Confidenziale, accessibile, gestito da personale impartiale.
• Canale esterno (art. 10-14): gestito da autorità nazionali (in Italia ANAC). Il segnalante può scegliere il canale esterno senza passare prima dall'interno.
• Divulgazione pubblica (art. 15): tutelata solo a condizioni stringenti, tipicamente dopo che il canale interno ed esterno non hanno prodotto risposte, o in caso di pericolo imminente.

4. Obblighi procedurali per il canale interno

• Ricevuta della segnalazione: entro 7 giorni (art. 9(1)(b)).
• Riscontro sostanziale al segnalante: entro 3 mesi (art. 9(1)(f)); prorogabile a 6 mesi in casi di particolare complessità.
• Riservatezza dell'identità del segnalante e dei terzi menzionati (art. 16).
• Protezione da ritorsioni (art. 19) con inversione dell'onere della prova (art. 21(5)).
• Conservazione documentale per dimostrare la conformità (art. 18).

5. Sanzioni nazionali a confronto

6. La trasposizione italiana: D.Lgs. 24/2023

Il Decreto Legislativo 10 marzo 2023, n. 24 ha trasposto la Direttiva in Italia. In vigore dal 17 dicembre 2023 per i datori di lavoro privati con 50-249 dipendenti; dal 15 luglio 2023 per i più grandi. L'autorità esterna è ANAC (Autorità Nazionale Anticorruzione). Le sanzioni vanno da 10.000 a 50.000 € per violazione, cumulabili. Le segnalazioni anonime sono ammesse; la tutela dalle ritorsioni si attiva quando il segnalante viene successivamente identificato.

7. Cosa fare adesso

Se l'azienda ha 50+ dipendenti e non ha ancora istituito un canale interno conforme, le priorità sono:

1. Adottare la politica di whistleblowing (modello disponibile qui).
2. Designare un soggetto interno impartiale per la gestione delle segnalazioni.
3. Implementare un canale tecnico (web + telefonia) accessibile a dipendenti, fornitori, azionisti.
4. Concludere il DPIA e l'inserimento nel Registro dei trattamenti (art. 30 GDPR).
5. Formare i case handler.

Domande frequenti

Cos'è la Direttiva europea 2019/1937?

La Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell'Unione obbliga datori di lavoro con 50+ dipendenti e tutte le pubbliche amministrazioni a istituire un canale interno di segnalazione, accusare ricevuta entro 7 giorni, dare riscontro entro 3 mesi e proteggere il segnalante dalle ritorsioni. È in vigore in tutti i 27 Stati membri dal 17 dicembre 2023.

Da quando è in vigore la Direttiva UE whistleblowing?

Adottata il 23 ottobre 2019, con termine di trasposizione 17 dicembre 2021 per gli Stati membri. L'obbligo si è esteso ai datori di lavoro con 50-249 dipendenti il 17 dicembre 2023. Diversi Stati membri hanno trasposto in ritardo e sono stati oggetto di procedure di infrazione della Commissione europea.

Chi è obbligato dalla Direttiva 2019/1937?

Persone giuridiche di diritto privato con 50+ dipendenti e tutte le persone giuridiche di diritto pubblico (indipendentemente dalle dimensioni, fatta eccezione per i comuni inferiori a 10.000 abitanti in alcune trasposizioni). La soglia di 50 dipendenti si calcola per persona giuridica, non per gruppo.

Quali sono le sanzioni in caso di inadempienza?

Le sanzioni variano a seconda della trasposizione nazionale. Il massimale più alto è in Spagna (Ley 2/2023) con 1.000.000 €. In Francia (Loi Sapin 2) fino a 60.000 €, in Germania (HinSchG) fino a 500.000 € (entità giuridica) e 50.000 € (persona fisica), in Italia (D.Lgs. 24/2023) da 10.000 a 50.000 € per violazione.

Le segnalazioni anonime sono ammesse?

La Direttiva (art. 6(2)) lascia la questione agli Stati membri. La maggior parte degli Stati: Italia, Germania, Francia, Spagna, Paesi Bassi, Irlanda: ammette le segnalazioni anonime. In Italia il D.Lgs. 24/2023 le ammette esplicitamente; la tutela dalle ritorsioni si applica al segnalante che venga successivamente identificato.

Differenze tra segnalazione interna, esterna e divulgazione pubblica?

Interna: al canale riservato del datore di lavoro: raccomandata come prima opzione. Esterna: direttamente all'autorità nazionale competente (in Italia ANAC). Divulgazione pubblica (es. media): tutelata solo a condizioni stringenti (mancata azione dopo segnalazione interna ed esterna, o pericolo imminente).

Quali termini impone la Direttiva 2019/1937?

Ricevuta: entro 7 giorni. Riscontro sostanziale al segnalante sulle azioni intraprese: entro 3 mesi dalla ricevuta. Conservazione dei documenti: per la durata necessaria e proporzionata, in Italia ANAC interpreta come almeno 5 anni dalla chiusura.