Poiché tutte le segnalazioni devono essere documentate e devono essere intraprese azioni di follow-up, ciascuna segnalazione deve essere facilmente accessibile ai Compliance Officer per gestire le fasi successive. Di conseguenza, un sistema di segnalazione dovrebbe essere intuitivo e semplice da utilizzare.

Ancora più importante, al segnalante deve essere garantita la riservatezza della sua identità.

Per questo motivo, i sistemi di whistleblowing digitali che si sono dimostrati sicuri e affidabili sono particolarmente consigliati per le piccole e grandi aziende e per le istituzioni pubbliche. Un sistema certificato per la protezione dei dati e di sicurezza informatica garantisce che i dati non siano accessibili nemmeno al provider. Per motivi di legge sulla protezione dei dati, occorre prestare attenzione anche all’ubicazione dei server del provider.

Le aziende internazionali dovrebbero anche garantire che le segnalazioni possano essere presentate indipendentemente dal luogo e dall’ora, al fine dare la possibilità ai dipendenti internazionali di avere pieno accesso al sistema.

Si consiglia alle organizzazioni private e pubbliche di dotarsi di un sistema di whistleblowing il prima possibile, poiché l’implementazione può richiedere da poche settimane fino a un paio di mesi, a seconda delle dimensioni e della complessità della struttura organizzativa.

Il segnalante deve essere informato entro un periodo di tempo determinato sulle azioni di follow-up pianificate o intraprese e sui relativi motivi.

Le azioni risolutive potrebbero essere:

§ Il riferimento ad altri canali o procedure di segnalazione che riguardano esclusivamente i diritti individuali del segnalante;

§ Il completamento della procedura per mancanza di prove o altri motivi;

§ L’avvio di indagini interne, eventualmente con indicazione dei risultati e delle eventuali misure per rimediare al problema;

§ Il rinvio a un’autorità competente per ulteriori indagini nella misura in cui queste informazioni non influiscano sulla ricerca interna o sull’indagine e non ledano i diritti della persona interessata dalla segnalazione.

Il segnalante dovrebbe essere regolarmente informato circa lo stato di avanzamento e dei risultati dell’indagine.

Sì, secondo la Direttiva UE sul Whistleblowing, il personale che gestisce le segnalazioni dovrebbe ricevere un training adeguato e avere familiarità con le normative applicabili sulla protezione dei dati. Queste competenze sono necessarie per elaborare le segnalazioni in modo efficiente, per comunicare con il segnalante, anche se sceglie di rimanere anonimo, e per gestire le opportune azioni di follow-up.

Secondo la Direttiva, non dovrebbe essere possibile fare affidamento a obblighi legali o contrattuali (come clausole nei contratti o accordi di riservatezza o di non divulgazione) per:

§ escludere la possibilità di segnalazione;
§ rifiutare la protezione dei segnalanti;
§ prevedere sanzioni per la segnalazione o la divulgazione di informazioni sulle violazioni

quando la divulgazione delle informazioni coperte da queste clausole e accordi è necessaria per scoprire la violazione.

In questo caso, i whistleblower non devono essere responsabili ai sensi del diritto civile, penale o amministrativo o in relazione al loro venire meno agli obblighi di riservatezza di cui sopra.

Secondo la Direttiva i segnalanti “laddove abbiano acquisito od ottenuto accesso in modo lecito alle informazioni segnalate o ai documenti contenenti tali informazioni, […] dovrebbero godere di immunità dalla responsabilità. Ciò dovrebbe applicarsi sia nei casi in cui le persone segnalanti rivelano il contenuto di documenti cui hanno lecitamente accesso, sia nei casi in cui fanno copie di tali documenti o li rimuovono dai locali dell’organizzazione presso cui lavorano, in violazione di clausole contrattuali o di altro tipo che stipulano che i documenti in questione sono di proprietà dell’organizzazione. Le persone segnalanti dovrebbero godere di immunità dalla responsabilità anche nei casi in cui l’acquisizione delle informazioni o dei documenti in questione o l’accesso
agli stessi solleva una questione di responsabilità civile, amministrativa o lavorativa.“

O ancora: “Se le persone segnalanti hanno acquisito od ottenuto l’accesso alle informazioni o ai documenti in questione commettendo un reato, come un accesso abusivo o un atto di pirateria informatica, la loro responsabilità penale dovrebbe restare disciplinata dal diritto nazionale applicabile, fatta salva la protezione accordata ai sensi dell’articolo 21, paragrafo 7, della presente direttiva. Analogamente, qualsiasi altra eventuale responsabilità delle persone segnalanti derivante da atti od omissioni che non sono collegati alla segnalazione o non sono necessari per rivelare una violazione ai sensi della presente direttiva dovrebbe restare disciplinata dal diritto dell’Unione o nazionale applicabile”.

Le notifiche contro le violazioni del diritto dell’UE riguardano aree come gli appalti pubblici, i servizi finanziari, il riciclaggio di denaro, la sicurezza dei prodotti e dei trasporti, la sicurezza nucleare, la salute pubblica, la protezione ambientale e la protezione dei consumatori e dei dati.