Whistleblowing en Italie : qu'est-ce qui a changé après le 15 juillet ?

Qu'est-ce que le "whistleblowing" ?

Le terme "whistleblowing" fait référence à la divulgation spontanée par une personne, appelée "dénonciateur", d'une infraction ou d'une irrégularité commise au sein de l'entité, dont elle a été témoin dans l'exercice de ses fonctions. Le dénonciateur est souvent un employé, mais il peut également s'agir d'un tiers, par exemple un fournisseur ou un client.
La dénonciation est dite "interne" lorsque le rapport est fait par un employé de l'entreprise par l'intermédiaire des canaux de communication internes de l'entreprise. L'objectif de ces outils est de fournir une voie de communication à tous ceux qui ont connaissance d'actes répréhensibles ou contraires à l'éthique au sein de l'organisation.

Lorsque la dénonciation est faite publiquement, par exemple auprès des autorités judiciaires ou de la presse, on parle de dénonciation "externe". Cette forme est souvent choisie par les personnes qui n'ont pas suffisamment confiance en leur organisation ou qui considèrent que les systèmes et/ou procédures internes de gestion des dossiers ne sont pas adéquats.
Quelle que soit la méthode utilisée, pour être considérée comme une dénonciation à toutes fins utiles, la dénonciation doit porter sur des infractions couvertes par le droit national ou européen. Toutefois, les politiques et procédures de chaque entreprise peuvent élargir le spectre des cas.

De toute évidence, il convient de garder à l'esprit que la dénonciation concerne les violations d'une loi ou d'un règlement, la menace d'un intérêt public, comme dans les cas de corruption et de fraude, et/ou des situations graves et spécifiques de danger pour la santé et la sécurité publiques, et doit être distinguée de toute "plainte", qui est généralement liée à une question d'intérêt personnel.

Quand les nouveaux règlements entreront-ils en vigueur et quels types d'entreprises seront concernés ?
Les dispositions du décret législatif 24/2023 sont entrées en vigueur le 15 juillet 2023.
Rappelons que la loi prévoit l'obligation de mettre en place un canal de signalement interne pour les entreprises qui :

a.    Ont employé en moyenne 50 salariés au cours de l'année écoulée ;
b.    Opèrent dans les secteurs dits sensibles (services, produits et marchés financiers et prévention du blanchiment d'argent ou du financement du terrorisme, sécurité des transports et protection de l'environnement), même si elles n'ont pas employé en moyenne 50 personnes au cours de l'année écoulée ;
c.    Adoptent des modèles d'organisation et de gestion conformément au décret législatif 231/2001, même s'ils n'ont pas atteint une moyenne de 50 employés au cours de l'année écoulée.
L'obligation d'établir un canal d'information interne entre en vigueur :
-    À partir du 15 juillet 2023 en général (entreprises d'au moins 250 salariés et entrant dans le champ d'application des points b et c ci-dessus) ;
-    À partir du 17 décembre 2023 pour les entités privées qui ont employé, au cours de la dernière année, une moyenne d'au moins 50 et d'au plus 249 salariés sous contrat de travail à durée indéterminée ou déterminée.

Champ d'application objectif

Conformément à l'article 1 du décret législatif n° 24/2023, le décret régit la protection des personnes qui signalent des violations du droit national ou de l'Union européenne portant atteinte à l'intérêt public ou à l'intégrité de l'administration publique ou d'une entité privée, dont elles ont eu connaissance dans le cadre d'un emploi public ou privé.

Un certain nombre d'exclusions sont également prévues à l'article 1 :
a.    Les contestations, réclamations ou demandes liées à un intérêt personnel du déclarant ou de la personne déposant une plainte auprès des autorités judiciaires ou comptables, qui se rapportent exclusivement à son travail individuel ou à sa relation d'emploi public, ou à son travail ou à sa relation d'emploi public avec des personnes hiérarchiquement supérieures ;
b.    Les signalements d'infractions lorsqu'elles sont déjà réglementées de manière obligatoire par les actes de l'Union européenne ou les actes nationaux indiqués dans la partie II de l'annexe du décret ou par des actes nationaux qui constituent la mise en œuvre des actes de l'Union européenne indiqués dans la partie II de l'annexe de la directive 2019/1037, bien qu'ils ne soient pas indiqués dans la partie II de l'annexe du décret ;
c.    Les rapports sur les atteintes à la sécurité nationale, ainsi que sur les marchés publics liés à la défense ou à la sécurité nationale, à moins que ces aspects ne soient couverts par le droit dérivé pertinent de l'UE.

D'autres exclusions du champ d'application sont prévues aux troisième et quatrième paragraphe de l'article 1, qui ne comprennent pas les informations classifiées, le secret médico-légal et médical, et le secret des délibérations des tribunaux.

Que faut-il mettre à l'ordre du jour ?

Nous résumons ci-dessous la "to-do list" pour les entreprises concernées par le décret législatif 24/2023 :
-    L’activation d'un canal de signalement interne qui garantit la confidentialité de l'identité de l'auteur du signalement, du contenu du signalement et de la documentation pertinente ;
-    La rédaction d’une procédure pour la gestion du canal de signalement ;
-    La désignation et la formation de la personne interne chargée de gérer le canal de signalement ;
-    L’élaboration et la diffusion d'une procédure pour tous les rapporteurs potentiels sur les conditions préalables et les modalités d'activation du canal de signalement ;
-    L’information et, sur demande, la consultation de RSU/RSA ou des syndicats comparativement les plus représentatifs au niveau national avant d'activer le canal de signalement ;
-    L’intégration des codes disciplinaires internes en fonction des infractions commises par la personne dénoncée, par le dénonciateur dans le cas de fausses dénonciations et par toute personne qui viole les obligations de confidentialité.

Quelles sont les principales sanctions ?

L'article 21 du décret législatif 24/2023 prévoit un cadre de sanctions qui complète les autres conséquences, de nature civile, professionnelle, administrative ou pénale, que peuvent encourir les personnes responsables des violations constatées, en introduisant des sanctions allant de 10 000 à 50 000 euros, dont l'application est déléguée à l'ANAC, aussi bien en cas de représailles qu'en cas d'obstruction ou de tentative d'obstruction au signalement ou de violation des obligations de confidentialité prévues à l'article 12.

L'ANAC peut également imposer des sanctions du même montant lorsqu'elle constate que les canaux de signalement n'ont pas été mis en place, que les procédures d'établissement et de traitement des rapports n'ont pas été adoptées, ou que l'adoption de ces procédures n'est pas conforme à la loi, ainsi que lorsqu'elle constate que la vérification et l'analyse des rapports reçus n'ont pas été effectuées.