Whistleblowing: la riservatezza del segnalante è un obbligo sanzionato, la prova sta in sei luoghi

Uno scenario tipico, non un caso nostro. Un’impresa metalmeccanica di duecento dipendenti riceve una segnalazione interna: un responsabile d’area avrebbe falsificato controlli di collaudo. Tre mesi dopo la persona segnalante viene convocata dal proprio superiore, che le cita quasi testualmente una frase della segnalazione. Nessuno l’ha diffusa apposta: il canale è su una piattaforma esterna, l’elenco di chi vi accede sta nel contratto col fornitore, chi è autorizzato a trattare i dati sta in un atto separato dell’ufficio legale — due elenchi mai incrociati. Quando l’ANAC chiede chi ha letto quel nome, l’azienda scopre di non poterlo dimostrare con un solo documento.

Il decreto che manca dai nostri articoli, e chi ci rientra

Il decreto legislativo 10 marzo 2023, n. 24 — Gazzetta Ufficiale n. 63 del 15 marzo 2023, codice redazionale 23G00032, attuazione della direttiva (UE) 2019/1937 — non compare finora in nessun nostro articolo: è protezione dei dati allo stato puro, l’oggetto della tutela è l’identità di una persona. Sono «soggetti del settore privato», per l’art. 2, comma 1, lettera q), le imprese che «hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato» (numero 1) — media annuale, non conteggio puntuale: si dimostra con i cedolini, non con un’anagrafica. Vi rientrano, sotto soglia, anche le imprese richiamate dalle parti I.B e II dell’allegato (numero 2), rinvio che non descriviamo. Il numero 3 è il punto che quasi nessuno collega: rientrano anche le imprese che, a prescindere dalla dimensione, «rientrano nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231, e adottano modelli di organizzazione e gestione ivi previsti». Una società di venti persone con un modello 231 per vincere una gara — prassi comune fra i fornitori — ha per ciò l’obbligo del canale, spesso senza saperlo.

La riservatezza è un obbligo scritto, non una promessa

L’art. 4, comma 1 impone ai soggetti privati, «sentite le rappresentanze o le organizzazioni sindacali di cui all’articolo 51 del decreto legislativo n. 81 del 2015», di attivare canali «che garantiscano […] la riservatezza dell’identita’ della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonche’ del contenuto della segnalazione» — copre anche la persona coinvolta e il contenuto, non solo chi segnala. La gestione, comma 2, spetta a un ufficio interno dedicato oppure «a un soggetto esterno, anch’esso autonomo e con personale specificamente formato».

Il cuore della tutela è l’art. 12, comma 2: l’identità della persona segnalante «e qualsiasi altra informazione da cui puo’ evincersi, direttamente o indirettamente, tale identita’» non può essere rivelata, senza consenso espresso, a persone diverse da quelle «espressamente autorizzate a trattare tali dati ai sensi degli articoli 29 e 32, paragrafo 4, del regolamento (UE) 2016/679 e dell’articolo 2-quaterdecies del codice» sulla protezione dei dati: serve un elenco nominativo, non un ufficio genericamente designato.

Il comma 5: se la contestazione disciplinare «sia fondata […] sulla segnalazione e la conoscenza dell’identita’ della persona segnalante sia indispensabile per la difesa dell’incolpato», serve il consenso espresso della persona segnalante; se è fondata «su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa», l’identità resta protetta. O l’ufficio disciplinare costruisce accertamenti autonomi, o rischia di non poter usare la prova che ha in mano.

Una scadenza che si sposta, non una data fissa

L’art. 13, comma 2 impone la minimizzazione: «I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente.» L’art. 14, comma 1 fissa un termine mobile: segnalazioni e documentazione «sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione». Non cinque anni dalla segnalazione: cinque anni dalla comunicazione dell’esito finale. Chi non ha registrato quella data non sa quando deve cancellare.

Le sanzioni, e il punto che quasi tutti sbagliano

Le sanzioni le applica l’ANAC: l’art. 21, comma 1 fissa «da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni […] o che e’ stato violato l’obbligo di riservatezza di cui all’articolo 12», la stessa forbice quando «non sono stati istituiti canali di segnalazione […] nonche’ quando accerta che non e’ stata svolta l’attivita’ di verifica e analisi delle segnalazioni ricevute». Il punto che quasi tutti sbagliano: la violazione della sola riservatezza basta da sé, senza una ritorsione accertata.

Per le imprese dentro solo per il modello 231 (numero 3) l’obbligo non si esaurisce nel canale: l’art. 21, comma 2 impone di prevedere «nel sistema disciplinare adottato ai sensi dell’articolo 6, comma 2, lettera e), del decreto n. 231 del 2001, sanzioni nei confronti di coloro che accertano essere responsabili degli illeciti di cui al comma 1» — un altro documento, in un altro raccoglitore, coerente con tutti gli altri.

Il dato che nessun sistema aziendale contiene per intero

La prova che l’impresa ha rispettato tutto questo sta spezzata in almeno sei luoghi che non si parlano: la piattaforma del canale, spesso di un fornitore esterno (art. 4, comma 2), col registro di chi apre quale segnalazione e quando — visibile solo se il contratto lo garantisce; gli atti di autorizzazione al trattamento ex artt. 29 e 2-quaterdecies (art. 12, comma 2), l’elenco di chi può leggere un’identità, in ufficio privacy o legale, non sulla piattaforma; il modello 231 e il sistema disciplinare, con le sanzioni interne dell’art. 21, comma 2, presso l’organismo di vigilanza; la valutazione d’impatto e le informative dell’art. 13, per i «fornitori esterni che trattano dati personali per loro conto», presso DPO o consulente privacy; il verbale del confronto sindacale ex art. 51 del d.lgs. 81/2015 (art. 4, comma 1), presso relazioni industriali; e il fascicolo disciplinare, dove l’art. 12, comma 5 decide se la segnalazione è usabile solo con consenso espresso, presso HR e legale.

Nessuno dei sei contiene la data della comunicazione dell’esito finale da cui l’art. 14 fa decorrere i cinque anni, né il registro che lega una persona espressamente autorizzata a una segnalazione specifica in un istante preciso — il dato che l’ANAC chiederebbe per primo in caso di violazione dell’art. 12.

Se domani l’ANAC vi chiedesse di dimostrare, con un documento datato, chi ha letto il nome di una persona segnalante e in quale istante — non se lo sapete, se potete provarlo — in quanti di questi sei luoghi dovreste entrare?

Vedi il servizio · Parlane con un tecnico

Quello che non sappiamo

Non facciamo consulenza legale. Le soglie le abbiamo lette per intero nell’art. 2, comma 1, lettera q), e nell’art. 3: le parti I.B e II dell’allegato richiamate dal numero 2 non le abbiamo aperte — un rinvio da verificare caso per caso. L’ANAC ha adottato linee guida sul whistleblowing: la delibera n. 311 del 12 luglio 2023 sul canale esterno, modificata dalla n. 479 del 26 novembre 2025, e la n. 478 del 26 novembre 2025 sui canali interni. Ne abbiamo verificato titolo, numero e data su anticorruzione.it, non il testo integrale, e non abbiamo aperto il parere reso dal Garante privacy sulle linee guida. Non abbiamo verificato provvedimenti sanzionatori specifici del Garante. Lo scenario in apertura è un modello tipico, dichiarato come tale.

I due assi, applicati al whistleblowing

Adempiere. Il fascicolo che il d.lgs. 24/2023 pretende diventa un controllo sui documenti e sui sistemi del cliente: per ciascuno dei sei luoghi elencati sopra, quale dato lo dimostra, dove sta, chi lo ha aggiornato. Non un registro per identificare chi ha segnalato: il contrario — dimostra con traccia datata che solo le persone espressamente autorizzate hanno visto quel nome, pronto per un’ispezione ANAC o del Garante.

Decidere. Lo stesso impianto tiene insieme i sei luoghi in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi e medie imprese private. Sempre on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure su cloud dedicato, con VPN dedicata e data center residente in Italia, sempre con gestione condivisa: chi protegge l’identità di chi segnala non deve anche presidiare in casa propria chi amministra un’intelligenza artificiale. È il metodo con cui costruiamo la piattaforma, non un modulo aggiuntivo da procedura.

Dalla prima sessione, senza costi, esce l’elenco datato di ciò che risulta per il vostro canale whistleblowing: chi è autorizzato, dove sta scritto, quando è stato aggiornato — comprese le caselle vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.