Autore: Camilla Schiocchet

Il 17 dicembre è il termine ultimo per adeguarsi alla normativa, e dato che qualche mese fa avevamo introdotto il tema whistleblowing focalizzando l’attenzione sui necessari adempimenti in materia di protezione dei dati, ripercorriamo brevemente insieme i punti salienti del D.lgs. n. 24/2023 (“Decreto“),  anche alla luce dei recenti contributi di ANAC  e Confindustria in tale ambito.

Ambito di applicazione soggettivo

I soggetti destinatari della normativa whistleblowing sono quelli elencati agli artt. 2 e 3 del Decreto. Per il settore pubblico si annoverano le amministrazioni pubbliche, le autorità amministrative indipendenti, gli enti pubblici economici, i concessionari di pubblico servizio, le imprese a controllo pubblico e le imprese in house, anche se quotate. Per il settore privato invece, come già accennato nel precedente articolo, rientrano le aziende che:

• hanno impiegato in media nell’ultimo anno, almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• si occupano di specifici settori (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente), anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• le imprese che adottano il modello di organizzazione e gestione previsto al D.lgs.231/2001, anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato.

In merito al computo della media annua dei lavoratori impiegati nel settore privato, le linee guida ANAC (“LG ANAC“) hanno precisato che bisognerà fare riferimento all’ultimo anno solare precedente a quello in corso, salvo per le imprese di nuova costituzione per le quali si farà riferimento all’anno 2023. Confindustria, tuttavia, ha ribadito in più occasioni (da ultimo anche nel manuale operativo) che la norma di riferimento per il computo dei lavoratori è l’art. 27 D.lgs. 81/2015 secondo il quale “ è necessario tenere conto del numero medio mensile di lavoratori a tempo determinato, compresi i dirigenti, impiegati negli ultimi due anni, sulla base dell’effettiva durata dei loro rapporti di lavoro“, adeguando in questo caso la durata da due anni, come prevede la norma citata, a un anno come invece prescritto dall’art. 2 comma 1, lett. q) n.1) del Decreto.

Ambito di applicazione oggettivo

Ai sensi dell’art. 1 del Decreto, oggetto di segnalazione sono tutte le violazioni di disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i soggetti segnalanti siano venuti a conoscenza in un contesto lavorativo pubblico o privato. Per maggiori dettagli sulle diverse tipologie di violazione si rimanda all’elencazione presente nelle LG ANAC.

Sono escluse dall’ambito di applicazione della normativa le segnalazioni:

• aventi ad oggetto le contestazioni a carattere personale del segnalante (quali ad esempio conflitti inerenti il rapporto di lavoro individuale, possibili discriminazioni, conflitti interpersonali tra colleghi o superiori ecc.);
• in materia di sicurezza e difesa nazionale;
• aventi ad oggetto violazioni già regolamentate  in via obbligatoria in alcuni settori speciali (servizi finanziari, prevenzione, riciclaggio, terrorismo, sicurezza nei trasporti, tutela dell’ambiente. Si rimanda alle LG ANAC sul punto.

Resta ferma la normativa in materia di informazioni classificate,  segreto medico e forense, segretezza delle deliberazioni degli organi giurisdizionali (art. 1, comma 3 del Decreto) e quella relativa alle norme di procedura penale sull’obbligo di segretezza delle indagini, disposizioni sull’autonomia e indipendenza della magistratura, difesa della nazione e di ordine e sicurezza pubblica, nonché di esercizio del diritto dei lavoratori di consultare i propri rappresentanti o i sindacati (art. 1, comma 4 del Decreto).

La segnalazione

Oggetto di segnalazione sono tutte quelle informazioni inerenti a fatti, atti o omissioni commessi o ancora da commettere cui il soggetto segnalante (whistleblower) viene a conoscenza nel contesto di lavoro, sia esso pubblico o privato. L’accezione “contesto di lavoro”  non deve essere però interpretata in senso restrittivo. La stessa normativa estende la tutela dei soggetti segnalanti anche ai seguenti soggetti:

• collaboratori, liberi professionisti, consulenti, tirocinanti
• azionisti (sul punto le LG ANAC chiariscono che rientrano in questa categoria “coloro che siano venuti a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella impresa”)
• persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Il rapporto di lavoro può essere già terminato al momento della segnalazione, non essere ancora iniziato (come ad esempio nella fase preselettiva di nuovo personale) oppure trovarsi nel cosiddetto “periodo di prova”.

Circa il suo contenuto, il manuale operativo di Confindustria precisa che le informazioni contenute nella segnalazione devono essere il più possibile dettagliate. Dovranno quindi contenere le generalità del segnalante, le circostanze di tempo e luogo in cui si è verificato il fatto e ogni altra informazione utile ad individuare il soggetto che ha commesso l’illecito. Più circostanziate sono le informazioni, più è alta la probabilità di superare il vaglio di ammissibilità per la presa in carico e successiva lavorazione della segnalazione da parte del gestore.

Tipologie di segnalazioni

La normativa whistleblowing disciplina tre diversi canali di segnalazione:

• un canale di segnalazione intern0 all’ente pubblico o privato;
• un canale di segnalazione esterno alla struttura pubblica o privata e gestito dall’ANAC nei casi soli casi previsti dalla normativa;
• la divulgazione pubblica.

Resta ferma la competenza dell’autorità giudiziaria in tutte le ipotesi in cui è richiesto o è possibile adire al suo intervento.

Il Decreto non prevede espressamente una priorità di utilizzo “tassativa” dei diversi canali di segnalazione. Tuttavia, le LG ANAC precisano che il canale di segnalazione interna deve essere quello da prediligere, ove presente. Infine, le LG specificano quali siano i presupposti per l’attivazione del canale di segnalazione esterna (residuale) e le condizioni necessarie per l’utilizzo della divulgazione pubblica.

Le sanzioni

Il regime sanzionatorio contemplato dal Decreto, già affrontato nel precedente scritto in materia di whistleblowing, prevede sanzioni da 10.000 a 50.000 euro, al verificarsi delle seguenti ipotesi:

• mancata istituzione dei canali di segnalazione;
• mancata adozione delle procedure per effettuare e gestire le segnalazioni;
• adozione di procedure non conformi a quelle fissate dal Decreto;
• mancato svolgimento dell’attività di verifica e dell’analisi delle segnalazioni ricevute;
• comportamenti ritorsivi;
• ostacoli alla segnalazione o tentativi di ostacolarla;
• violazione dell’obbligo di riservatezza circa l’identità del segnalante (si veda nostro articolo “GDPR e la nuova normativa Whistleblowing“).

Brevi cenni conclusivi

Con questo breve scritto, lo Studio Legale Princivalle Apruzzi Danielli ha voluto solo anticipare a grandi linee la normativa whistleblowing, con l’obbiettivo di approfondire ulteriori tematiche inerenti o anche solo connesse con tale materia, grazie alla pubblicazione di periodici contributi sul tema.

Stay tuned!

Oramai non si fa altro che parlare di intelligenza artificiale e di come un utilizzo consapevole di tale strumento possa migliorare e far progredire la nostra società, completamente proiettata verso un futuro sempre più digitalizzato.

Di recente gli esperti del settore hanno iniziato ad interrogarsi su come l’intelligenza artificiale debba essere disciplinata rispetto alla normativa privacy e alla tutela dei dati personali che inevitabilmente vengono trattati durante il suo utilizzo, soprattutto quando l’uso delle applicazioni ad essa connessa venga sfruttata da soggetti minori che non avrebbero la capacità giuridica (o limitata capacità) di farne uso in base alla legge nazionale e a quella europea.

Vediamo il perché.

Il contesto normativo

Quando si parla di minori è necessario partire dalla definizione contenuta nell’art. 2 del codice civile relativa alla cosiddetta capacità di agire, ovvero l’idoneità di un soggetto di porre in essere atti negoziali che producono effetti nella propria sfera giuridica e che si acquista con la maggiore età; il minore con età compresa tra 14 e 18 anni ha una capacità giuridica attenuata, mentre il minore di 14 anni non ha alcuna capacità giuridica.

In materia di data protection, la prima parte del Considerando (38) del Regolamento europeo 2016/679 (GDPR) precisa che “i minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali.”

L’art. 8 GDPR contiene, infatti, specifici requisiti relativi al consenso dei minori rispetto al trattamento dei loro dati personali. Senza parlare di vera e propria capacità di agire, il Regolamento ha previsto che, nel caso in cui vi sia un’offerta diretta di servizi della società dell’informazione a soggetti minori, il trattamento dei dati è lecito, previo loro consenso, se questi hanno almeno 16 anni. In caso contrario sarà necessario che il consenso venga prestato o autorizzato dal titolare la responsabilità genitoriale (comma 1).

Allo stato attuale, come è facilmente intuibile, non è previsto un metodo univoco per verificare il consenso del minore, senza rischiare, da un lato, di introdurre sistemi di verifica eccessivamente burocratici, dall’altro, viceversa, aumentando il rischio di falsificazioni da parte dei minori stessi.

L’intervento dell’autorità di controllo italiana

Ed è proprio in un contesto come questo, di continua ascesa dell’era digitale, che il Garante della privacy ha concentrato maggiormente i suoi interventi. Nel 2022 l’Autorità di controllo italiana ha infatti emesso più di 400 provvedimenti collegiali, anche in considerazione del fatto che il  sistema socio-economico italiano è sempre più fondato sul trattamento dei dati personali e come tale necessita di essere adeguatamente guidato, istruito e alle volte addirittura sanzionato.

Da ciò deriva una maggiore attenzione da parte del Garante, anche e soprattutto, per la tutela dei minori che entrano a contatto con le grandi piattaforme, con le applicazioni che utilizzano l’intelligenza artificiale generativa, come ad esempio ChatGPT  (la famosa chatbot creata dalla società statunitense OpenAI), con il metaverso e le relative problematiche connesse allo sviluppo degli algoritmi.

Intelligenza artificiale e tutela dei minori: parla il Garante

Particolarmente significativi sono stati gli interventi del Garante sugli applicativi che utilizzano l’intelligenza artificiale: il più noto (provvedimento n. 112 del 30.03.2023) che ha portato alla sospensione provvisoria di ChatGPT di proprietà della software house americana Open AI, ha però permesso di indirizzarne lo sviluppo in una direzione più compatibile con la tutela dei diritti fondamentali delle persone, specialmente se minori.

Con il provvedimento cautelare d’urgenza, il Garante privacy ha evidenziato, per quanto qui di interesse, che:

• il servizio di ChatGPT (secondo quanto indicato dagli stessi termini di servizio pubblicati sul sito della società sviluppatrice) è riservato esclusivamente alle persone che abbiano compiuto almeno 13 anni, ma manca qualunque sistema che permetta al titolare del trattamento di verificare l’effettiva età degli utenti;
• l’assenza di tali strumenti di verifica dell’età effettiva degli utenti espone i soggetti minori di anni 13 al rischio di ricevere risposte dall’intelligenza artificiale dell’applicazione che siano del tutto inidonee rispetto al grado di sviluppo e alla autoconsapevolezza di detti soggetti.

Di risposta, OpenAI si è dimostrata da subito sensibile al rispetto della normativa in materia di data protection, anche rispetto a quella garantita ai soggetti minori. Nei mesi a seguire ha infatti implementato il sistema di verifica dell’età dell’utente al momento di accesso alla piattaforma online di ChatGPT sino ad introdurre un vero e proprio sistema di age verification.

All’atto della registrazione dell’utente, la piattaforma ha quindi inserito la richiesta della data di nascita prevedendo un blocco alla registrazione per gli utenti minori di 13 anni e prevedendo, in caso di utenti maggiori di tredici anni, ma sempre minorenni, che debbano confermare di avere il consenso dei genitori all’uso del servizio.

Considerazioni finali

Recentemente, il Governo ha emanato il D.L. Caivano n. 123 del 15.09.2023 recante “Misure urgenti di contrasto al disagio giovanile, alla povertà educativa e alla criminalità minorile, nonché per la sicurezza dei minori in ambito digitale”, introducendo una serie di norme in materia di parental control (artt. da 13 a 15 del decreto legge).

In particolare, il controllo parentale prevede la possibilità di limitare e controllare, da parte dei genitori o di coloro che esercitano la responsabilità genitoriale, l’accesso ai contenuti e/o alla rete da parte dei minori, mediante la scelta degli spazi digitali e dei tempi di utilizzo.

L’intento del legislatore, di pari passo con l’autorità garante della privacy, sembrerebbe proprio quello di costruire un articolato sistema di protezione che tenga in seria considerazione anche  le categorie deboli di soggetti, come i minori, che potrebbero essere più facilmente colpite dal mondo digitale se non adeguatamente tutelate.