Il ruolo del DPO nella compliance al D.Lgs. 24/2023
Il D.Lgs. 24/2023, attuativo della Direttiva (UE) 2019/1937, ha introdotto significative innovazioni in materia di whistleblowing, stabilendo regole a tutela non solo del segnalante, ma anche di tutte le persone a lui collegate (facilitatori, colleghi, familiari, ecc.).
L’Autorità Nazionale Anticorruzione (ANAC) è l’ente preposto ai controlli e ha emanato, con la Delibera n. 311 del 12 luglio 2023, le Linee Guida sulla gestione dei canali di segnalazione, sulle procedure e sulla conservazione dei dati.
Lo schema di Linee Guida è stato sottoposto al Garante per la protezione dei dati personali, che ha espresso parere favorevole in merito alla conformità con i principi del Regolamento (UE) 2016/679 (GDPR).
Il whistleblowing era già previsto nel Modello di organizzazione, gestione e controllo ex D.Lgs. 231/2001, ma il nuovo decreto amplia la portata del sistema, introducendo specifici requisiti di sicurezza, riservatezza e protezione dei dati personali.
Proprio per tutte le novità introdotte, non è l’Organismo di Vigilanza (OdV) a dover progettare o istituire autonomamente il canale interno di segnalazione: tale competenza spetta all’Ente, che deve tuttavia coinvolgere il Data Protection Officer (DPO) sin dalla fase di progettazione, in applicazione del principio di privacy by design previsto dal GDPR.
L’OdV potrà essere eventualmente coinvolto nella fase di gestione del canale di segnalazione.
La tutela dell’identità del segnalante è uno degli aspetti più delicati della disciplina e si collega direttamente ai principi di liceità, minimizzazione e sicurezza previsti dal GDPR.
Per questo motivo, il Data Protection Officer (DPO) deve essere coinvolto sin dalla fase di progettazione del sistema whistleblowing, contribuendo a:
- valutare le misure tecniche e organizzative di sicurezza del canale;
- redigere o verificare la DPIA (Valutazione d’Impatto sulla protezione dei dati);
- garantire la corretta gestione dei dati dei segnalanti e dei segnalati;
- fornire formazione e supporto al personale designato alla gestione delle segnalazioni.
Nel settore pubblico, il soggetto delegato alla gestione delle segnalazioni è il RPCT (Responsabile della Prevenzione della Corruzione e della Trasparenza), che opera in raccordo con il DPO.
Nel settore privato, invece, il soggetto competente può essere individuato liberamente, purché dotato di adeguata autonomia e formazione in materia di privacy e tutela del segnalante.
Sono obbligati a istituire un canale interno:
- tutti gli enti pubblici e le società a controllo pubblico;
- tutte le aziende private con almeno 50 dipendenti;
- le aziende che hanno adottato un Modello 231, anche sotto i 50 dipendenti;
- le imprese operanti in settori regolamentati (bancario, finanziario, assicurativo, sanitario, ambientale, ecc.).
Il DPO – o, in sua assenza, il consulente privacy – deve quindi essere coinvolto nelle valutazioni preliminari e nelle decisioni strategiche relative all’organizzazione e alla gestione del canale di segnalazione, contribuendo a garantire la conformità sia alla normativa whistleblowing sia al GDPR.