Riservatezza e tutela legale, spiegate

Due tutele diverse, spesso confuse

"Riservatezza" e "tutela legale" vengono trattate come se fossero un'unica cosa, ma la Direttiva le considera due garanzie separate, in due articoli diversi, che svolgono due compiti diversi: l'art. 16 controlla chi è autorizzato a conoscere l'identità di chi segnala; l'art. 21 controlla se l'atto di segnalare possa essere usato contro di lui in un procedimento legale. Un canale — o un'azienda — può fare bene l'una e male l'altra.

L'obbligo di riservatezza: chi è autorizzato a sapere

L'art. 16(1) è diretto: l'identità di chi segnala non può essere divulgata a nessuno al di fuori del personale autorizzato competente a ricevere le segnalazioni o a darvi seguito, senza il consenso esplicito di chi segnala. Non "mantenuta ragionevolmente privata" — limitata, per default, a una categoria specifica e nominata di persone.

I segreti commerciali portano con sé una propria versione dello stesso obbligo: l'art. 16(4) richiede che un'autorità competente che riceve una segnalazione contenente segreti commerciali non li usi né li divulghi oltre quanto necessario per un seguito adeguato. La riservatezza non riguarda solo il nome di chi segnala — si estende al materiale sensibile che la segnalazione stessa può contenere.

Quando la riservatezza può essere revocata — e cosa deve succedere prima

L'art. 16(2) consente la divulgazione dell'identità di chi segnala quando si tratti di un obbligo necessario e proporzionato ai sensi del diritto dell'Unione o nazionale — nel contesto di un'indagine da parte di un'autorità nazionale, o di un procedimento giudiziario. Non è una scappatoia che un'azienda può invocare a piacimento; è specificamente legata a un procedimento legale già in corso. Anche in quel caso, l'art. 16(3) richiede garanzie adeguate, e chi segnala dovrebbe essere informato per iscritto prima che la divulgazione avvenga — a meno che informarlo in anticipo non comprometta l'indagine o il procedimento di cui fa parte.

Lo scudo di responsabilità: la segnalazione in sé non può essere usata contro di voi

Separatamente dalla riservatezza, l'art. 21 protegge chi segnala da una categoria di conseguenza legale che precede interamente la Direttiva: essere citato in giudizio o perseguito per l'atto stesso di segnalare. Due tutele specifiche:

• Acquisire o accedere alle informazioni. L'art. 21(3) protegge chi segnala dalla responsabilità per come è entrato in possesso delle informazioni che ha segnalato o divulgato — a condizione che ottenerle non abbia costituito di per sé un reato distinto e autonomo. Leggere un documento che non vi è stato inviato ma a cui avevate un accesso legittimo non viene sanzionato solo perché ha portato a una segnalazione; introdursi abusivamente in un sistema per ottenerlo sarebbe una questione completamente diversa, esclusa da questa tutela.
• Essere citati in giudizio a causa della segnalazione stessa. L'art. 21(7) protegge chi segnala dalla responsabilità in procedimenti legali per diffamazione, violazione del diritto d'autore, violazione del segreto, violazione delle norme sulla protezione dei dati, divulgazione di segreti commerciali, o richieste di risarcimento ai sensi del diritto del lavoro privato, pubblico o collettivo — laddove tali procedimenti siano promossi a causa della segnalazione. Chi segnala può far valere di aver effettuato una segnalazione protetta per chiedere il rigetto immediato di un simile procedimento.

Entrambe le tutele condividono la stessa condizione preliminare del resto delle protezioni della Direttiva: chi segnala deve avere fondati motivi di ritenere che le informazioni fossero vere e che segnalarle fosse necessario per rivelare la violazione (art. 6, par. 1) — non certezza, ma una convinzione genuina e ragionevole, non un'ipotesi o un'affermazione deliberatamente falsa.

Cosa non copre lo scudo

L'art. 21(4) traccia un confine chiaro: la responsabilità per atti od omissioni non collegati alla segnalazione o alla divulgazione pubblica in sé è disciplinata dal diritto ordinario, come sempre. Lo scudo protegge la segnalazione — non immunizza retroattivamente una condotta scorretta non collegata solo perché la stessa persona ha anche sollevato una segnalazione in un certo momento.

Base giuridica

• Art. 16(1), Direttiva (UE) 2019/1937 — identità limitata al personale autorizzato, senza il consenso esplicito di chi segnala.
• Art. 16(2)–(3) — l'eccezione ristretta per indagini o procedimenti giudiziari, e le garanzie e l'obbligo di preavviso che l'accompagnano.
• Art. 16(4) — l'obbligo parallelo relativo ai segreti commerciali contenuti in una segnalazione.
• Art. 6(1) — la condizione preliminare dei "fondati motivi di ritenere", comune a tutte le tutele della Direttiva.
• Art. 21(3) — l'esenzione dalla responsabilità per aver acquisito o avuto accesso alle informazioni segnalate.
• Art. 21(4) — il limite: atti od omissioni non collegati restano disciplinati dal diritto ordinario.
• Art. 21(7) — l'esenzione dalla responsabilità nei procedimenti legali promossi a causa della segnalazione stessa (diffamazione, diritto d'autore, segreto, protezione dei dati, segreti commerciali, diritto del lavoro).