Cosa richiede davvero un canale conforme

Prima del termine, c'è un requisito di progettazione

Gran parte di ciò che si discute sul lato procedurale della Direttiva è il termine di 7 giorni/3 mesi — vedere il termine di 7 giorni/3 mesi per il riscontro, spiegato. Sono l'art. 9(1)(b) e (f). Ma l'art. 9(1) si apre con un requisito che precede tutto questo: il canale in sé deve essere costruito in un modo specifico. Un canale che rispetta perfettamente ogni scadenza ma non è mai stato progettato in modo sicuro fin dall'inizio non ha davvero soddisfatto l'art. 9 — ha solo avuto fortuna finora.

Il canale deve essere sicuro per progettazione, non sicuro per caso

L'art. 9(1)(a) richiede che i canali di segnalazione siano "progettati, predisposti e gestiti in modo sicuro da garantire che la riservatezza dell'identità della persona segnalante e di qualsiasi terzo menzionato nella segnalazione sia protetta". È un requisito sulla costruzione del canale, non solo sui suoi risultati — un'azienda non può indicare il fatto che non si sia ancora verificata alcuna fuga di notizie come prova che questo requisito sia soddisfatto. Deve essere vero il modo in cui il canale è stato costruito, prima ancora che arrivi una qualsiasi segnalazione.

Nella pratica, è esattamente qui che una casella di posta condivisa o un sistema di ticketing generico tendono a fallire — non esiste alcun elenco di accessi enumerabile. Chiunque abbia le credenziali condivise, o sia inserito in una regola di inoltro che nessuno ricorda di aver impostato, può leggere ogni caso; dopo sei mesi, spesso non è affatto chiaro chi abbia effettivamente accesso. L'accesso di un canale costruito appositamente è un insieme definito di account nominali e autenticati del personale, all'interno dell'account della vostra stessa azienda — non un alias email che ha accumulato inoltri per anni. Vedere «Email e PEC sono un canale whistleblowing conforme?» per come si presenta davvero questa lacuna una volta che una segnalazione è attiva.

Scritta, orale o entrambe, e spesso decide il diritto nazionale

L'art. 9(2) consente al canale di accettare segnalazioni in forma scritta, orale o in entrambe le forme. Quando riceve segnalazioni orali, queste devono essere possibili "tramite linea telefonica o altri sistemi di messaggistica vocale" e, se chi segnala lo richiede, in un incontro fisico entro un termine ragionevole. La Direttiva da sola, quindi, non rende non conforme un canale solo testuale.

Il diritto nazionale spesso va oltre, e l'Italia è tra i Paesi più rigorosi: le Linee guida ANAC (par. 2.2) precisano che gli enti devono garantire sia la forma scritta sia quella orale. Anche la Wbk olandese richiede canali scritti e orali e un incontro su richiesta. La Germania va nella direzione opposta: secondo la relazione al disegno di legge dell'HinSchG basta una delle due forme, ma un incontro di persona va comunque garantito su richiesta. Verificate le regole del vostro Paese prima di scegliere un canale solo scritto. E anche dove è facoltativo, un canale orale conta nella pratica: alcune persone non metteranno mai per iscritto una preoccupazione. Vedere segnalazioni vocali e anonimizzazione, spiegate in modo semplice per come funziona il canale vocale di Provoxis.

Configurare il canale è di per sé un passaggio di consultazione, non unilaterale

L'art. 8(1) richiede agli Stati membri di garantire che i canali interni siano predisposti "previa consultazione e d'intesa con le parti sociali, laddove previsto dal diritto nazionale" — in termini semplici, un datore di lavoro in genere non può semplicemente decidere unilateralmente come funzionerà il canale e implementarlo. Quale organismo debba essere esattamente consultato, e quanto peso abbia davvero, è lasciato al recepimento di ciascuno Stato membro — vedere, ad esempio, il requisito di codeterminazione del consiglio aziendale in Germania o il requisito di consultazione del CSE in Francia per come si presenta concretamente in ciascun Paese (guide nazionali disponibili in inglese finché non saranno tradotte). Il requisito di consultare qualcuno non è comunque una particolarità nazionale — è la base stessa della Direttiva; solo il meccanismo varia da Paese a Paese.

Gestirlo voi stessi o affidarlo a terzi — entrambe le opzioni sono ammesse

L'art. 8(5) consente esplicitamente di gestire il canale sia internamente, tramite una persona o un ufficio designato a tale scopo, sia esternamente, tramite un fornitore terzo — a condizione che le stesse garanzie dell'art. 9 si applichino in entrambi i casi. Esternalizzare il canale non abbassa l'asticella; sposta solo chi è responsabile di raggiungerla.

Anche il settore pubblico è coperto

L'art. 8(9) estende lo stesso obbligo agli enti giuridici del settore pubblico, non solo alle aziende private — con un'opzione incorporata per gli Stati membri: possono esentare dal requisito i comuni con meno di 10.000 abitanti, o meno di 50 lavoratori, e possono consentire a più comuni di condividere un canale. Dove la guida di un Paese menziona una soglia o un'esenzione per il settore pubblico — ad esempio quella francese — è questa disposizione applicata a livello nazionale, non una regola nazionale scollegata.

Base giuridica

• Art. 9(1)(a), Direttiva (UE) 2019/1937 — il requisito di progettazione sicura a tutela della riservatezza dell'identità di chi segnala.
• Art. 9(2) — segnalazione scritta, orale o entrambe; quella orale per telefono o messaggistica vocale, e un incontro fisico su richiesta.
• Art. 8(1) — la predisposizione del canale previa consultazione delle parti sociali, laddove previsto dal diritto nazionale.
• Art. 8(5) — la scelta tra gestire il canale internamente o tramite un fornitore terzo.
• Art. 8(9) — l'obbligo per il settore pubblico, e l'opzione per gli Stati membri di esentare i piccoli comuni.