L'architettura dei sistemi di segnalazione interna nelle organizzazioni pubbliche e private affronta un cambio di passo. Con la delibera n. 478, pubblicata lo scorso 11 dicembre e priva di regime transitorio, l'Autorità nazionale anticorruzione ha aggiornato le linee guida sui canali interni di segnalazione previsti dal D.Lgs. 24/2023, attuativo della Direttiva (UE) 2019/1937, stabilendo criteri di idoneità tecnica più stringenti rispetto al passato.
L'elemento di maggiore discontinuità per le imprese risiede nella definitiva bocciatura della posta elettronica ordinaria e della PEC quali strumenti idonei alla ricezione delle segnalazioni.
Perché e-mail e PEC non sono più a norma
Il giudizio dell'Autorità affonda le radici in motivazioni di natura eminentemente tecnica: né la posta elettronica standard né la PEC sono in grado di garantire gli elevati standard di riservatezza dell'identità della persona segnalante prescritti dal D.Lgs. 24/2023, anche in presenza di misure organizzative di mitigazione.
Di conseguenza, gli enti e le società che continuano ad adottare caselle di posta elettronica o PEC come canale esclusivo incorrono in una formale violazione di legge, a prescindere dalle misure di tutela adottate o dalla buona fede riposta nella configurazione del presidio.
Le nuove indicazioni orientano la scelta aziendale verso piattaforme informatiche dedicate e cifrate, dotate di requisiti specifici volti a inibire, tra l'altro, il tracciamento degli accessi condotti dalla rete informatica aziendale.
Autonomia del gestore, sanzioni e gruppi societari
- Indipendenza del gestore: ribadita la necessaria autonomia decisionale e operativa del soggetto incaricato di gestire i flussi informativi, che deve poter agire senza condizionamenti da parte dei vertici aziendali.
- Formazione obbligatoria: sancito l'obbligo di percorsi formativi specifici per le figure responsabili della lavorazione delle segnalazioni.
- Profili sanzionatori: per le violazioni più gravi, quali l'omessa istituzione dei canali, l'ostacolo alle segnalazioni o la violazione dell'obbligo di riservatezza, sono previste sanzioni amministrative pecuniarie fino a 50.000 euro.
- Gruppi di imprese: introdotte indicazioni di dettaglio per la gestione delle segnalazioni all'interno dei gruppi societari, superando le incertezze applicative della prima fase di attuazione.
A supporto del quadro regolatorio, la guida operativa di Confindustria pubblicata lo scorso maggio ha tradotto i precetti dell'Autorità in una lista di riscontro pratica: dalla configurazione tecnica dei canali all'atto organizzativo interno, sino al coordinamento con la disciplina sulla protezione dei dati personali.
Chi ha l'obbligo di adeguarsi
La disciplina sulle segnalazioni interne e le relative direttive dell'Autorità non riguardano indistintamente qualsiasi attività economica, né si limitano ai soli grandi gruppi industriali. L'obbligo di istituire un canale interno conforme sussiste per le seguenti categorie:
- Soggetti del settore pubblico: tutte le pubbliche amministrazioni, le autorità indipendenti, le aziende speciali, gli enti pubblici economici e le società a controllo pubblico, indipendentemente dal numero di dipendenti.
- Soggetti privati sopra soglia: le organizzazioni private che hanno impiegato, nell'ultimo anno, una media di almeno cinquanta lavoratori dipendenti a tempo indeterminato o determinato.
- Imprese con Modello di Organizzazione, Gestione e Controllo: tutte le società private che hanno adottato un Modello ai sensi del D.Lgs. 231/2001, anche con meno di cinquanta dipendenti.
- Imprese operanti in settori regolamentati: le realtà attive nei servizi e mercati finanziari, creditizi, nella prevenzione del riciclaggio o nella sicurezza dei trasporti, vincolate a prescindere dalla dimensione organica.
Per tutte le entità rientranti in questo perimetro, incluse le PMI dotate di Modello o con oltre cinquanta addetti, il mancato abbandono di e-mail e PEC a favore di strumenti informatici idonei espone l'organizzazione a contestazioni sia da parte dell'Autorità nazionale anticorruzione sia da parte del Garante per la protezione dei dati personali.