Leggi sul Whistleblowing per Paese: Germania, Francia, Spagna e Portogallo

La direttiva UE sul whistleblowing fissa una base comune, ma la legge che si applica davvero alla vostra azienda è la norma nazionale che il vostro paese ha usato per recepirla — e queste norme differiscono per scadenze, soglie e sanzioni. Il HinSchG tedesco, la Loi Waserman francese, la Ley 2/2023 spagnola e la Lei n.º 93/2021 portoghese recepiscono tutte la direttiva (UE) 2019/1937, ma un team di compliance che opera in più di uno di questi paesi non può applicare un'unica politica generica assumendo che soddisfi tutte e quattro.

Punti chiave

• Le quattro leggi condividono la stessa base europea: canale di segnalazione interno per le entità con 50 o più dipendenti, riservatezza dell'identità del segnalante e divieto di ritorsioni.
• Scadenze e importi delle sanzioni differiscono da paese a paese — il Portogallo sanziona l'assenza di canale interno con multe fino a 125.000 € per un'azienda; la Spagna sanziona l'assenza totale di canale con multe fino a 1.000.000 €.
• Il HinSchG tedesco (in vigore dal 2 luglio 2023) e la Loi Waserman francese (in vigore dal 1° settembre 2022) vanno entrambi oltre il minimo europeo su aspetti specifici — la Germania sulle segnalazioni anonime, la Francia su chi conta come "lanceur d'alerte" protetto.
• La Spagna ha creato un'autorità dedicata, l'Autoridad Independiente de Protección del Informante (A.A.I.), mentre il Portogallo applica la legge tramite il Mecanismo Nacional Anticorrupção (MENAC).
• Un gruppo attivo in più di questi paesi ha bisogno di un unico canale che adatti il proprio flusso per giurisdizione, non di quattro sistemi separati.

Cosa richiede la direttiva ovunque

La direttiva (UE) 2019/1937 ha fissato per gli Stati membri un termine di recepimento al 17 dicembre 2021, con un ulteriore periodo di transizione fino al 17 dicembre 2023 per le entità private con 50-249 dipendenti per istituire il canale interno. Ogni legge nazionale eredita tre obblighi di base: confermare la ricezione di una segnalazione entro 7 giorni, fornire un riscontro al segnalante entro 3 mesi (prorogabile a 6 nei casi complessi), e proteggere l'identità del segnalante da chiunque sia estraneo alla gestione del caso. I quattro paesi divergono su quanto rigorosamente ciò venga applicato, su cosa conti come segnalazione valida e su quanto siano severe le sanzioni per il mancato rispetto.

Germania: il HinSchG — ambito ampio, sanzioni scaglionate

L'Hinweisgeberschutzgesetz (HinSchG) è entrato in vigore il 2 luglio 2023. Richiede un ufficio interno di ricezione delle segnalazioni ("interne Meldestelle") per ogni datore di lavoro privato con 50 o più dipendenti, con le aziende di 50-249 dipendenti che hanno avuto tempo fino al 17 dicembre 2023 per conformarsi. Un tratto distintivo della legge tedesca è che i canali interni devono poter ricevere segnalazioni anonime, anche se i datori di lavoro non sono obbligati a sollecitarle attivamente. Ritorsioni o ostacoli a una segnalazione possono essere sanzionati con una multa fino a 50.000 € per un responsabile individuale ai sensi del § 40 HinSchG, e ai sensi del § 30 dell'OWiG questa multa base può moltiplicarsi fino a dieci volte — fino a 500.000 € — quando l'autore è un'azienda. Una sanzione separata, fino a 20.000 €, per la semplice assenza di un canale è entrata in vigore il 1° dicembre 2023, terminato il periodo transitorio iniziale.

Francia: la Loi Waserman — la cerchia dei protetti si è ampliata molto

La legge n. 2022-401 del 21 marzo 2022, nota come Loi Waserman, è entrata in vigore il 1° settembre 2022 insieme al suo decreto attuativo del 3 ottobre 2022. Modifica il precedente quadro Sapin II invece di sostituirlo interamente. Il cambiamento più rilevante: un segnalante non deve più agire in modo "désintéressé" (senza interesse personale) per essere protetto — ora basta la buona fede. La legge estende inoltre la protezione ai "facilitateurs" (colleghi, sindacati o associazioni che aiutano un segnalante) e alle persone giuridiche collegate al segnalante. La soglia di 50 dipendenti si applica alle aziende e agli enti pubblici e comuni con più di 10.000 abitanti. Le sanzioni colpiscono l'ostacolo, non l'assenza di canale: ostacolare una segnalazione è punito con fino a 1 anno di reclusione e 15.000 € di multa ai sensi dell'articolo 13 della Sapin II modificata, e un'azione giudiziaria abusiva o dilatoria ("bâillon") contro un segnalante può ora comportare una sanzione civile fino a 60.000 €.

Spagna: la Ley 2/2023 — le sanzioni più alte e un'autorità dedicata

La Ley 2/2023, de 20 de febrero, è entrata in vigore il 13 marzo 2023 e ha creato, caso raro tra i quattro paesi, un regolatore autonomo: l'Autoridad Independiente de Protección del Informante, A.A.I., che gestisce il canale esterno e ha potere sanzionatorio, inclusa la possibilità di escludere un'azienda non conforme dagli appalti pubblici. Il regime sanzionatorio spagnolo è il più severo del gruppo: le entità prive di qualsiasi canale interno, o che commettono altre infrazioni "muy graves", rischiano multe tra 600.001 € e 1.000.000 €. La soglia di 50 dipendenti replica il minimo europeo, e le aziende con 50-249 dipendenti hanno beneficiato dello stesso periodo transitorio valido in tutta l'UE.

Portogallo: la Lei n.º 93/2021 — il quadro sanzionatorio più dettagliato

La Lei n.º 93/2021, de 20 de dezembro, è entrata in vigore il 18 giugno 2022. Si applica alle entità private con 50 o più dipendenti e agli enti pubblici indipendentemente dalle dimensioni, e fissa gli stessi termini di 7 giorni per la conferma e 3 mesi per la risoluzione previsti dalla base europea. L'articolo 27 della legge classifica le infrazioni in due livelli con fasce sanzionatorie precise: le infrazioni "molto gravi" — che includono l'ostacolo a una segnalazione, le ritorsioni, la violazione della riservatezza o l'assenza totale di canale esterno — comportano multe da 1.000 € a 25.000 € per una persona fisica o da 10.000 € a 250.000 € per una persona giuridica; le infrazioni "gravi", che includono semplicemente l'assenza di canale interno, comportano multe da 500 € a 12.500 € per una persona fisica o da 1.000 € a 125.000 € per una persona giuridica. Negligenza e tentativo dimezzano entrambi il limite massimo della sanzione applicabile. Il controllo spetta al Mecanismo Nacional Anticorrupção (MENAC).

Come Vaelo vi aiuta a conformarvi in tutte e quattro le giurisdizioni

Gestire sistemi di segnalazione separati per paese è il modo più comune in cui un team di compliance multi-paese spreca budget pur restando con delle lacune — una sede applica una politica che soddisfa il HinSchG ma non copre la protezione dei facilitateurs prevista dalla Loi Waserman, oppure il canale di una controllata spagnola non instrada le segnalazioni come si aspetta l'AAI. Vaelo è costruita come un unico canale che si adatta per giurisdizione: ogni unità di business è configurata con i termini di conferma e risoluzione, le regole di conservazione e i percorsi di escalation corrispondenti al recepimento del proprio paese, mentre il vostro team di compliance mantiene un'unica dashboard invece di quattro strumenti scollegati. Se avete già mappato gli obblighi a livello europeo, la nostra panoramica sulla direttiva UE sul whistleblowing copre la base su cui poggiano tutte queste leggi nazionali.

Domande frequenti

Tutti i paesi UE applicano le stesse regole per i segnalanti? No. Condividono la stessa base fissata dalla direttiva (UE) 2019/1937 — soglia di 50 dipendenti, conferma entro 7 giorni e finestra di risoluzione di 3 mesi — ma le leggi nazionali divergono molto su importi delle sanzioni, su chi è protetto e su quale autorità vigila.

Quale paese ha le sanzioni più alte per il mancato rispetto? La Ley 2/2023 spagnola fissa la fascia più alta delle quattro: da 600.001 € a 1.000.000 € per le entità prive di qualsiasi canale o che commettono altre infrazioni "muy graves".

Un'azienda con meno di 50 dipendenti deve conformarsi? In genere no, secondo nessuna delle quattro leggi, a meno che non operi in un settore regolamentato (ad esempio i servizi finanziari) dove norme settoriali europee specifiche possono abbassare o eliminare la soglia occupazionale.

Un unico canale di segnalazione può soddisfare i quattro paesi contemporaneamente? Sì, a condizione che il canale sia configurato per giurisdizione — rispecchiando le scadenze, le regole di conservazione e le integrazioni con l'autorità di ciascun paese — invece di applicare una politica generica a tutte le controllate.

La direttiva richiede la segnalazione anonima ovunque? No. La direttiva UE lascia questa scelta agli Stati membri. Il HinSchG tedesco richiede esplicitamente canali capaci di ricevere segnalazioni anonime; le altre tre leggi di questo confronto richiedono la riservatezza dell'identità ma non impongono universalmente che i canali accettino segnalazioni completamente anonime.