Segnalazioni whistleblowing: dove può finire il testo, e chi paga se il canale non è conforme
7 min di lettura
Chi siede nell’organo di indirizzo di un’impresa che ha affidato il canale di segnalazione a un fornitore ha preso una decisione che non ha trasferito: se quel canale non è conforme, la sanzione da 10.000 a 50.000 euro resta sua. Le Linee guida ANAC n. 1/2025 lo scrivono senza attenuanti — l’organo di indirizzo «risponde della sanzione in solido con i suoi singoli componenti».
Che cosa avete in mano dal giorno zero
Una segnalazione contiene tre cose: il nome di chi accusa, il nome di chi è accusato e fatti che nessuno ha verificato. È il materiale più riservato che un’organizzazione tratti, e il d.lgs. 10 marzo 2023, n. 24 impone di trattarlo comunque, a orologio acceso: l’art. 5, comma 1 obbliga a rilasciare «avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione» e a fornire «riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento». L’art. 12, comma 7 estende la tutela all’accusato «fino alla conclusione dei procedimenti avviati in ragione della segnalazione», mentre i fatti sono ancora solo affermati.
Il tetto d’uso che nessun contratto standard rispetta
L’art. 12, comma 1 è una riga sola e decide tutto: «Le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse.» Non è una regola di riservatezza, è una regola di finalità: qualunque impiego che non serva a dare seguito a quella specifica segnalazione è fuori — statistiche interne, miglioramento di un servizio, addestramento di un modello, prova di un assistente sui casi veri.
Le Linee guida n. 1/2025, approvate con delibera ANAC n. 478 del 26 novembre 2025, aggiungono un requisito tecnico prima che giuridico: il gestore accede all’identità solo se strettamente necessario ai fini istruttori, e «Il sistema di gestione dovrà registrare l’accesso all’identità da parte del gestore e le ragioni addotte dal gestore». Un registro degli accessi con motivazione dentro il sistema: non un elenco di autorizzati nel raccoglitore del legale, e non un log che nessuno ha deciso chi può leggere.
Il punto esatto in cui il materiale esce
Le segnalazioni orali sono il passaggio più esposto. L’art. 14, comma 2 prevede che, con linea telefonica o messaggistica vocale registrata, la segnalazione sia documentata «previo consenso della persona segnalante […] mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante trascrizione integrale»; il comma 4 estende la regola all’incontro diretto. Qualcuno deve trascrivere quella voce: se la trascrizione passa da un servizio in cloud, la voce della persona segnalante ha lasciato il perimetro prima che il gestore la ascolti.
ANAC prescrive poi che il gestore, quando coinvolge terzi nelle verifiche, non trasmetta la segnalazione ma «solo gli esiti delle verifiche eventualmente condotte e, se del caso, estratti accuratamente anonimizzati della segnalazione». Anonimizzare con cura è il compito che oggi si affiderebbe a un assistente generalista: e per farlo il testo integrale, nomi compresi, deve entrargli dentro.
ANAC considera l’uso della posta elettronica «di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante», perché i sistemi di posta «generano, raccolgono e conservano, in modo preventivo e generalizzato, i log relativi all’invio e alla ricezione dei messaggi». Il passo successivo è nostro: un servizio esterno che registra ogni richiesta col testo dentro non sta meglio.
Il fornitore non si porta via la responsabilità
ANAC ammette che l’infrastruttura sia fornita da un terzo, «con soluzione cloud oppure on-premise», con nomina a responsabile del trattamento ai sensi dell’art. 28 del regolamento (UE) 2016/679. La responsabilità però non si sposta: risponde il committente se la scelta è caduta su un soggetto inidoneo, e «Lo stesso discorso trova applicazione anche al caso in cui il soggetto terzo abbia sede all’estero: in tale ipotesi, infatti, ANAC può vigilare sull’operato del committente con sede in Italia». L’art. 21, comma 1 prevede da 10.000 a 50.000 euro per ritorsioni, ostacolo alla segnalazione o violazione della riservatezza, la stessa forbice per canali non istituiti o procedure non conformi agli artt. 4 e 5, da 500 a 2.500 euro nel caso dell’art. 16, comma 3. Chi ha già ricostruito la catena di subappalto sotto un fornitore sa dove finisce la domanda su chi tocca i dati.
Da gennaio 2026 su quel canale arriva anche questo
Il decreto è stato modificato di recente. Il d.lgs. 30 dicembre 2025, n. 211 — attuazione della direttiva (UE) 2024/1226 sulle violazioni delle misure restrittive dell’Unione, in Gazzetta Ufficiale n. 6 del 9 gennaio 2026 — con l’art. 7, comma 1 ha aggiunto all’art. 1, comma 1 del d.lgs. 24/2023 un periodo: «Il presente decreto disciplina altresi’ la protezione delle persone che segnalano violazioni delle misure restrittive dell’Unione europea di cui al capo I-bis, del titolo I, del libro II del codice penale, nonche’ dell’articolo 12, comma 1-bis, del decreto legislativo 25 luglio 1998, n. 286.» L’art. 1 è vigente in questa versione dal 24 gennaio 2026.
Per chi lavora su duplice uso, difesa, spedizioni e pagamenti verso destinazioni sotto sanzione cambia la natura del traffico sul canale: la segnalazione su una spedizione fatta passare da un intermediario rientra ora nel whistleblowing, con lo stesso orologio. Se quel testo esce non produce una contestazione disciplinare: produce un procedimento penale su un’intera filiera.
Perché qui un sistema chiuso non è una preferenza
I quattro vincoli vengono da questo caso, non da un principio. Il materiale include il nome di un accusato che nessuno ha verificato. La legge impone di lavorarlo entro sette giorni e tre mesi: qualcuno lo leggerà in fretta e cercherà uno strumento che lo aiuti. L’art. 12, comma 1 vieta ogni uso ulteriore, e un servizio generalista non può dimostrare che non ce ne sia stato. Il sistema deve registrare chi ha visto l’identità, e perché.
Un modello che gira dentro il perimetro — pesi aperti, su macchine che governate voi — li tiene insieme tutti e quattro: il testo non attraversa confini, il registro degli accessi è vostro, l’uso ulteriore non è vietato da una clausola, è impossibile, perché a valle non esiste un secondo scopo. Le due modalità restano quelle: on-premise, su macchine autonome che non richiedono integrazione profonda nella vostra rete, oppure cloud dedicato con VPN dedicata e data center in Italia presidiato da noi, sempre con gestione condivisa — chi gestisce un canale di segnalazione non deve anche avere in casa chi amministra modelli di IA.
Quello che non sappiamo
Non facciamo consulenza legale. Abbiamo letto il testo vigente del d.lgs. 24/2023 su Normattiva e le Linee guida n. 1/2025 nel PDF adottato con la delibera n. 478: accanto a quel testo ANAC pubblica anche lo schema posto in consultazione il 7 novembre 2024, che non abbiamo usato. Non abbiamo aperto per intero la delibera n. 311 del 12 luglio 2023 né la n. 479 del 26 novembre 2025 che la modifica. ANAC rinvia in nota allo standard ISO 37008 sulle indagini interne: il catalogo ISO ci ha risposto 403 e non ne abbiamo verificato titolo, edizione e stato. Non abbiamo esaminato il rinvio all’art. 12, comma 1-bis del d.lgs. 286/1998, né cercato sanzioni già applicate.
I due assi, applicati a questo caso
Adempiere. Gli obblighi del decreto diventano controlli sui vostri sistemi: i sette giorni e i tre mesi sulle date reali, il registro degli accessi all’identità con la motivazione che ANAC pretende, la data dell’esito finale da cui decorrono i cinque anni dell’art. 14. Non un parere in un archivio: una traccia datata da mettere davanti a un’ispezione.
Decidere. Lo stesso impianto tiene insieme i dati sparsi dell’organizzazione — gestionali, archivi documentali, controllo accessi, log — in un modello operativo unico, su cui agenti di IA eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. La conformità è la porta d’ingresso; l’impianto con cui si decide è quello che resta.
Dalla prima sessione, senza costi, esce l’elenco datato di ciò che risulta per il vostro canale: chi lo gestisce, dove stanno i dati, quale sistema registra gli accessi all’identità e con quale motivazione — comprese le caselle vuote. Resta a voi anche se non proseguiamo. Parlatene con un nostro tecnico.