Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
Sì, un unico sistema di whistleblowing può coprire diversi paesi UE, a condizione che ogni entità giuridica con 50 o più lavoratori disponga di un proprio canale di segnalazione interno e che il processo segua la legge nazionale di ogni paese. È consentita un’unica piattaforma. Non è invece consentita un’unica casella di posta indifferenziata per l’intero gruppo.
Il punto critico è che l’UE ha stabilito solo uno standard minimo. Ogni Stato membro ha poi emanato la propria legge, quindi lo stesso gruppo può trovarsi di fronte a regole diverse in materia di anonimato, autorità esterne, conservazione dei dati e sanzioni in ogni paese in cui impiega personale. Questa guida spiega la regola per singola entità, confronta le leggi nazionali di Germania, Spagna, Francia e Italia e definisce un piano in sette fasi per l’implementazione di un unico sistema a livello transfrontaliero.
ogni entità
Un’unica piattaforma, un canale di segnalazione separato per ogni entità giuridica. Trusty mantiene separate le segnalazioni, i gestori dei casi e i diritti di accesso di ogni controllata, offre il modulo di segnalazione in più lingue e ospita tutti i dati in data center certificati ISO/IEC 27001 in Germania. Il Suo primo canale è pronto in meno di cinque minuti.
Le aziende con 50 o più dipendenti possono attivare il software di whistleblowing di Trusty in pochi minuti, a partire da 49 € al mese.
Perché il whistleblowing è più difficile per i datori di lavoro multi-paese?
Il whistleblowing è più complesso per i datori di lavoro multi-paese perché l’UE ha fissato uno standard minimo e ciascuno dei 27 Stati membri ha costruito la propria legge su tale base. La Direttiva (UE) 2019/1937 stabilisce i doveri fondamentali: un canale interno sicuro in ogni entità giuridica con 50 o più lavoratori, un avviso di ricevimento per ogni segnalazione entro sette giorni, un riscontro entro tre mesi e la protezione contro le ritorsioni.
Quasi tutto il resto è demandato alla legge nazionale. Ogni paese decide se la protezione si estende alle violazioni del diritto nazionale oltre che a quello dell’UE, se le segnalazioni anonime debbano essere accettate, quale autorità riceva le segnalazioni esterne, per quanto tempo vengano conservati i dati e l’entità delle sanzioni. Diversi paesi hanno recepito la direttiva in ritardo, quindi molte di queste regole sono entrate in vigore solo nel 2023.
Un gruppo con entità in tre paesi ha quindi tre serie di regole, tre autorità esterne e solitamente tre lingue da gestire. I segnalanti possono anche rivolgersi direttamente a un’autorità nazionale invece di usare il Suo canale; pertanto, un canale difficile da trovare o che non ispira fiducia spinge le segnalazioni all’esterno dell’azienda.
Un gruppo aziendale può utilizzare un unico canale di whistleblowing centrale?
Un gruppo può gestire un canale centrale, ma non può fare affidamento solo su quello. In due dichiarazioni datate 2 e 29 giugno 2021, la Commissione europea ha affermato che ogni controllata deve avere il proprio canale distinto e che i segnalanti possono scegliere tra la via locale e quella centrale.
Il ragionamento della Commissione è che l’obbligo di cui all’articolo 8, paragrafo 3, della direttiva si applica a ciascuna entità giuridica, non al gruppo nel suo complesso, e che una società capogruppo non può essere considerata un terzo a cui le controllate esternalizzano il servizio. La regola dipende quindi dalle dimensioni di ogni entità giuridica:
Dimensione dell'entità | Cosa comporta la posizione della Commissione |
|---|---|
Meno di 50 lavoratori | Nessun obbligo generale di avere un canale, salvo diversa disposizione di norme di settore o della legge nazionale |
Da 50 a 249 lavoratori | Deve avere un canale, ma può condividere risorse con altre entità per ricevere e indagare le segnalazioni, purché il canale locale resti disponibile |
250 o più lavoratori | Deve avere un proprio sistema di segnalazione che funzioni in modo indipendente da qualsiasi sistema centrale |
Per le entità da 50 a 249 lavoratori, la Commissione ha posto tre condizioni per l’utilizzo delle risorse della capogruppo:
• Il canale locale resta attivo. Il canale di segnalazione della controllata deve rimanere in vigore e disponibile.
• Il segnalante viene informato e acconsente. Il segnalante deve essere informato e dare il proprio consenso prima che chiunque a livello di gruppo acceda alla segnalazione. Un segnalante che rifiuta può ritirare la segnalazione e rivolgersi invece all’autorità competente.
• I doveri chiave restano locali. La riservatezza, il riscontro al segnalante e qualsiasi rimedio o sanzione rimangono responsabilità della controllata.
In che modo le leggi nazionali hanno applicato la posizione della Commissione?
Le dichiarazioni della Commissione non sono giuridicamente vincolanti e le leggi nazionali hanno adottato linee diverse:
• Spagna consente alla capogruppo di approvare una policy generale per l’intero gruppo, e il sistema interno di segnalazione può essere unico per tutte le società del gruppo (articolo 11 della Ley 2/2023).
• Germania consente a un’altra società del gruppo di agire come terzo indipendente che riceve le segnalazioni per conto delle controllate, secondo la relazione illustrativa della HinSchG. Ogni controllata resta responsabile di porre rimedio alla violazione.
• Francia consente alle società dello stesso gruppo di condividere una procedura di segnalazione, ma solo previa decisione concorde dell’organo competente di ciascuna società. Alcuni professionisti interpretano il decreto nel senso che ciò valga solo per le società con meno di 250 dipendenti.
• Italia consente ai soggetti fino a 249 lavoratori di condividere un canale interno, anche tra società collegate dello stesso gruppo, ma non detta regole specifiche per i gruppi multinazionali.
• Irlanda segue in genere l’interpretazione della Commissione, quindi un canale centrale di gruppo da solo non basta.
Cosa significa questo in pratica?
In pratica, utilizzi un’unica piattaforma e assegni a ogni entità giuridica la propria pagina di segnalazione, i propri gestori dei casi e i propri diritti di accesso. Questa configurazione soddisfa sia l’interpretazione restrittiva che quella flessibile, evitando di dover riprogettare il sistema in caso di modifica di una norma nazionale o qualora un’autorità di vigilanza adotti la posizione della Commissione.
La compliance di gruppo mantiene comunque un ruolo. Può gestire la policy, formare i gestori dei casi e supportare indagini complesse, purché una segnalazione raggiunga il livello di gruppo solo con il consenso del segnalante e la controllata mantenga la responsabilità del riscontro e del follow-up.
Quali sono le differenze tra le leggi sul whistleblowing nei vari paesi UE?
Le leggi UE sul whistleblowing differiscono principalmente su cinque punti: cosa può essere segnalato, se le segnalazioni anonime debbano essere accettate, quale autorità riceva le segnalazioni esterne, per quanto tempo vengano conservati i dati e l’entità delle sanzioni. Variano anche le regole sui canali a livello di gruppo e sul coinvolgimento dei rappresentanti dei lavoratori.
Aspetto | Germania | Spagna | Francia | Italia |
|---|---|---|---|---|
Legge | Hinweisgeberschutzgesetz (HinSchG) | Ley 2/2023 | Legge Sapin II, modificata dalla legge Waserman | Decreto Legislativo 24/2023 |
In vigore da | 2 luglio 2023 (17 dicembre 2023 per 50-249 lavoratori) | 13 marzo 2023 (canali da attivare entro il 13 giugno 2023, o il 1° dicembre 2023 per 50-249 lavoratori) | 1° settembre 2022 | 15 luglio 2023 (17 dicembre 2023 per 50-249 lavoratori) |
Ambito oltre il diritto UE | Reati e alcuni illeciti amministrativi | Illeciti penali e amministrativi gravi e molto gravi | Reati, illeciti e minacce o danni all'interesse generale | Per le aziende con un Modello 231, i reati rilevanti ai sensi del D.Lgs. 231/2001 |
Segnalazioni anonime | Devono essere trattate; nessun obbligo di offrire un canale anonimo | Devono essere accettate | Possono essere accettate; nessun obbligo generale | Possono essere gestite; la protezione si applica se il segnalante viene successivamente identificato |
Autorità esterna | Ufficio federale di giustizia, oltre a BaFin e all'Ufficio federale dei cartelli nei rispettivi ambiti | Autorità indipendente per la protezione dei segnalanti (AIPI) e autorità regionali | Autorità di settore indicate per decreto, oppure il Défenseur des droits | ANAC |
Conservazione dei dati | 3 anni dalla chiusura del caso | Non oltre 10 anni | Solo per il tempo strettamente necessario | Non oltre 5 anni dall'esito finale |
Canale a livello di gruppo | Un'altra società del gruppo può fungere da terza parte | È consentito un sistema unico per il gruppo | Procedura condivisa con l'accordo di ciascuna società | Condivisione consentita per entità fino a 249 lavoratori |
Rappresentanti dei lavoratori | Possono applicarsi i diritti di codecisione del consiglio di fabbrica (Betriebsrat) | Consultazione dei rappresentanti dei lavoratori | Consultazione del CSE | Consultazione dei sindacati |
Sanzioni massime | 50.000 €, o fino a 500.000 € per le aziende | 1.000.000 € per le aziende | 15.000 € e 1 anno di reclusione per ostacolo a una segnalazione | 50.000 € (sanzioni amministrative ANAC) |
In Germania, le sanzioni per le aziende possono raggiungere i 500.000 € perché la HinSchG applica il moltiplicatore di dieci volte previsto dal § 30 della legge tedesca sugli illeciti amministrativi (OWiG). In Italia, le inadempienze possono esporre l’azienda anche a responsabilità ai sensi del D.Lgs. 231/2001.
Verifichi il testo aggiornato di ogni legge, o consulti un legale locale, prima di finalizzare la configurazione. Le norme nazionali sono ancora oggetto di modifiche.
con marcatura temporale e tracciamento
Applica la regola nazionale più restrittiva a tutto il gruppo. Trusty accetta segnalazioni scritte anonime e messaggi vocali con voce alterata, con una casella di posta bidirezionale per il follow-up. Ogni segnalazione riceve una marca temporale qualificata eIDAS e un registro di controllo a prova di manomissione, e sono incluse policy pronte all’uso e formazione per i dipendenti. Oppure prenoti una demo.
Cosa deve fare un sistema di whistleblowing multi-paese?
Un sistema di whistleblowing multi-paese deve mantenere separate le entità, essere disponibile in ogni lingua locale e applicare la regola più restrittiva tra quelle vigenti. Sette funzionalità sono fondamentali:
• Separazione delle entità. Ogni entità giuridica ha la propria pagina di segnalazione e il proprio team di gestione dei casi, e i gestori di un’entità non possono vedere i casi di un’altra.
• Lingue locali. Il modulo, la policy e i riscontri sono disponibili nella lingua del personale di ciascuna entità, con traduzioni verificate dei termini giuridici.
• Segnalazione scritta e orale. La direttiva consente segnalazioni scritte od orali e prevede un incontro diretto su richiesta. La Germania richiede entrambe le modalità, quindi le offra ovunque.
• Segnalazione anonima con follow-up. La Spagna impone di accettare le segnalazioni anonime, quindi le gestisca ovunque e mantenga un modo per rispondere senza rivelare l’identità del segnalante.
• Monitoraggio delle scadenze. Ogni segnalazione richiede un avviso di ricevimento entro sette giorni e un riscontro entro tre mesi, in ogni entità.
• Informazioni locali. Ogni pagina di segnalazione indica l’autorità nazionale competente per le segnalazioni esterne.
• Un unico registro di controllo. La compliance di gruppo può verificare il rispetto delle scadenze in ogni entità senza aprire i singoli casi.
Anche la conservazione richiede pianificazione, poiché i limiti variano dai tre anni in Germania fino ai dieci anni in Spagna. Definisca nella Sua policy un calendario di cancellazione per ogni entità.
Anche la posizione dei dati è importante. Le segnalazioni contengono spesso dati personali sensibili, quindi ospitarle all’interno dell’UE o dello SEE evita questioni relative al trasferimento internazionale dei dati ai sensi del GDPR per ogni entità.
Come implementare un unico sistema di whistleblowing in più paesi?
L’implementazione di un unico sistema di whistleblowing in più paesi avviene in sette fasi, partendo dalla mappatura delle entità giuridiche e terminando con una revisione annuale.
1. Mappare le entità. Elenchi ogni entità giuridica UE, il relativo paese e il numero di dipendenti, contrassegnando quelle con 50 o più lavoratori. Il conteggio va fatto per entità giuridica, non per gruppo, verificando le norme di settore, poiché le entità in settori come i servizi finanziari sono coperte indipendentemente dalle loro dimensioni.
2. Stabilire la base di riferimento. Prenda il requisito più restrittivo su ogni punto e lo applichi a tutto il gruppo. Ad esempio, accetti segnalazioni anonime ovunque perché la Spagna lo richiede, e offra la segnalazione orale perché la Germania lo richiede.
3. Scrivere una policy centrale con allegati nazionali. Mantenga il processo identico e inserisca l’ambito locale, l’autorità e il periodo di conservazione in un breve allegato per ogni paese.
4. Nominare i gestori dei casi per entità. Designi una persona o un team imparziale per ogni entità, privo di conflitti di interesse e con il tempo necessario per rispettare le scadenze. Decida quali entità tra 50 e 249 lavoratori condivideranno le risorse.
5. Consultare i rappresentanti dei lavoratori. Coinvolga i comitati aziendali, il CSE o i sindacati dove la legge nazionale lo richiede, prima della messa in funzione.
6. Configurare e tradurre il canale. Crei una pagina di segnalazione per ogni entità nella sua lingua locale, con i dettagli corretti dell’autorità competente.
7. Formare, avviare e verificare. Spieghi a tutto il personale come segnalare, formi i gestori dei casi, quindi verifichi ogni anno le scadenze e i volumi dei casi.
La maggior parte del tempo viene assorbita dalle fasi 4 e 5. Con il software giusto, la configurazione tecnica nella fase 6 richiede pochi minuti.
Quale sistema di whistleblowing funziona per i datori di lavoro multi-paese?
Trusty è un software di whistleblowing progettato in base alla direttiva UE sul whistleblowing e gestisce diverse entità e lingue su un’unica piattaforma. Un canale interno è pronto in meno di cinque minuti.
Esigenza multi-paese | Come la copre Trusty |
|---|---|
Un canale distinto per ogni entità giuridica | Separazione tra entità e accesso basato sui ruoli integrati nella piattaforma |
Lingue locali | Modulo di segnalazione e interfaccia in più lingue |
Segnalazioni anonime con follow-up | Casella anonima bidirezionale apribile con un codice di accesso |
Segnalazione orale senza call center | Messaggi vocali nel browser con alterazione della voce; è possibile aggiungere una hotline telefonica |
Prove per ogni autorità | Marca temporale qualificata eIDAS su ogni segnalazione e registro di controllo a prova di manomissione |
Residenza dei dati nell'UE | Hosting in data center certificati ISO/IEC 27001 in Germania |
Implementazione più rapida | Policy di compliance pronte all'uso e formazione per i dipendenti incluse |
Provi Trusty gratuitamente per 7 giorni su trusty.report, oppure prenoti una breve demo per vedere una configurazione multi-entità.
Domande frequenti sul whistleblowing multi-paese
Sì. Un'unica piattaforma può servire l'intero gruppo, a condizione che ogni entità giuridica con 50 o più lavoratori abbia il proprio canale di segnalazione al suo interno e che il processo rispetti la legge nazionale di ciascun paese.
Sì, se ha 50 o più lavoratori. La posizione della Commissione europea è che ogni controllata di questo tipo necessiti di un canale distinto. Le controllate con 50-249 lavoratori possono condividere risorse per ricevere e indagare le segnalazioni, ma il proprio canale deve restare disponibile.
Si conta per entità giuridica. Un gruppo con 300 lavoratori distribuiti su entità di meno di 50 ciascuna può non avere un obbligo generale, mentre una singola entità con 50 lavoratori sì. Possono applicarsi norme di settore anche sotto questa soglia, ad esempio nei servizi finanziari.
Sì. Un'entità giuridica UE con 50 o più lavoratori deve rispettare la legge del proprio paese, indipendentemente da dove ha sede la capogruppo.
In base alla direttiva, ogni entità deve confermare la ricezione di una segnalazione entro sette giorni e fornire un riscontro al segnalante entro tre mesi dalla conferma. Queste scadenze si applicano in ogni paese, qualunque sia la struttura del gruppo.
Dipende dall'aspetto considerato. La Spagna è la più severa su anonimato e sanzioni, con l'obbligo di accettare segnalazioni anonime e multe fino a 1.000.000 € per le aziende. La Francia ha uno degli ambiti di applicazione più ampi, e la Germania richiede sia la segnalazione scritta che quella orale.
La direttiva richiede informazioni chiare e facilmente accessibili, quindi il canale e la policy vanno offerti in una lingua comprensibile a ciascun gruppo di lavoratori. In pratica significa la lingua locale di ogni paese in cui si ha un'entità.
Può aiutare, ma il canale della controllata deve restare disponibile. Secondo la Commissione, il segnalante dovrebbe essere informato e dare il proprio consenso prima che la segnalazione venga trasmessa a livello di gruppo. Se rifiuta, può ritirare la segnalazione e rivolgersi all'autorità competente.
Fonti
• Direttiva (UE) 2019/1937, EUR-Lex
• Hinweisgeberschutzgesetz (HinSchG), Ministero Federale della Giustizia tedesco
• Ley 2/2023, Boletín Oficial del Estado
• What the Whistleblowing Directive means for reporting channels in corporate groups, Osborne Clarke
• Group-wide whistleblowing system: not enough for the EU Commission, Oppenhoff
• Pas de lanceur d’alerte dans les groupes, KPMG Avocats
• Whistleblower protection and reporting channels in Italy, CMS
• Key provisions of the new whistleblowing regime, Matheson
• Trusty, informazioni sul prodotto
Questo articolo fornisce informazioni generali e non costituisce consulenza legale.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.