Am 15. März 2023 wurde im Amtsblatt das gesetzesvertretende Dekret Nr. 24 vom 10. März 2023 über den Schutz von sogenannten "Whistleblowern" veröffentlicht. Als Whistleblower gelten die Aktionäre eines Unternehmens, leitende Angestellte, Mitarbeiter, Lieferanten, Berater, Praktikanten, Selbstständige, die Verstöße gegen EU- und nationales Recht melden, von denen sie während ihrer Arbeit Kenntnis erlangt haben.

Unternehmen müssen bestimmte Prozeduren und Mittel zwingend einführen und anwenden. Jene Unternehmen, die im letzten Jahr durchschnittlich zwischen 50 und 249 angestellte Mitarbeiter mit unbefristeten oder befristeten Arbeitsverträgen beschäftigt haben, sind verpflichtet, die Vorschriften des Dekrets innerhalb 17. Dezember 2023 umzusetzen.

Für jene Unternehmen mit durchschnittlich mehr als 249 angestellte Mitarbeiter war die Frist für die Anpassung bereits der 15. Juli 2023.

Welche Verpflichtungen bestehen für Unternehmen?

Um eine ordnungsgemäße Bearbeitung der gemeldeten Verstöße gemäß Dekret zu gewährleisten, müssen die Unternehmen:

• interner Kommunikationskanäle für die Meldungen erschaffen (z. B. E-Mail, spezielle Telefonnummer usw.);
• einen Mitarbeiter oder eine Abteilung beauftragen, die für die Verwaltung dieser eigens erschaffenen Kommunikationskanäle zuständig ist und diese ernannten Mitarbeiter schulen; alternativ kann die Verwaltung der Kommunikationskanäle einem Externen übertragen werden, der über speziell geschultem Personal verfügt;
• ein spezifisches Verfahren einführen, das die verschiedenen Phasen und die Verantwortlichkeiten der involvierten Personen regelt;.
• das gesamte Personal im Unternehmen über jene Verstöße informieren, die gemeldet werden können, zum Thema sensibilisieren und schulen.

Welche Verstöße können Whistleblower melden?

Die Verstöße, die von den Whistleblowern gemeldet werden können und die im Rahmen des Dekrets relevant sind, betreffen z. B. Verwaltungs-, Rechnungslegungs-, zivil- oder strafrechtliche Verstöße, rechtswidrige Handlungen, die im Rahmen des Gesetzesdekrets 231/2001 relevant sind, Verstöße, die in den Anwendungsbereich von Bestimmungen der Europäischen Union oder der Mitgliedstaaten fallen, die sich auf das öffentliche Auftragswesen, Dienstleistungen, Finanzprodukte und -märkte sowie die Verhinderung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit und Compliance, Transportsicherheit, Umweltschutz und andere im Dekret aufgeführte rechtswidrige Handlungen beziehen.

Die Einführung und Umsetzung der obligatorischen Verfahren hat zur Folge, dass auch die bereits bestehenden Dokumente im Bereich Datenschutz angepasst werden müssen.

Es drohen hohe Verwaltungsstrafen jenen Unternehmen, die den Verpflichtungen nicht fristgemäß nachkommen.