Parere del Garante n. 581 del 09/10/2025

Parere ANAC su whistleblowing: canali interni e canale esterno

Il Garante per la protezione dei dati personali esprime parere sugli schemi predisposti da ANAC relativi alle "Linee guida in materia di whistleblowing sui canali interni di segnalazione" e alla delibera di modifica e integrazione della Delibera ANAC n. 311 del 12 luglio 2023 sulle segnalazioni esterne. Il parere è reso ai sensi dell’art. 10, comma 1, del d.lgs. 10 marzo 2023, n. 24, nonché degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679.

Quadro normativo di riferimento

Il Garante ricostruisce il sistema del d.lgs. 24/2023, che attua la direttiva (UE) 2019/1937 e disciplina la protezione delle persone che segnalano violazioni del diritto dell’Unione o delle disposizioni nazionali. Vengono richiamate le regole su:

• ambito soggettivo di applicazione;
• obbligo di attivare canali interni riservati, anche con strumenti di crittografia;
• possibilità di affidare la gestione a soggetti interni o esterni;
• segnalazioni scritte, orali e incontro diretto;
• condivisione dei canali tra comuni e tra soggetti privati di minori dimensioni;
• ruolo del RPCT nelle amministrazioni pubbliche;
• segnalazione esterna ad ANAC;
• divieto di accesso civico e documentale alle segnalazioni;
• tutela dell’identità del segnalante e degli altri interessati;
• limitazione di responsabilità, regime sanzionatorio, norme transitorie e abrogazioni.

Natura dei trattamenti e base giuridica

Il Garante qualifica i trattamenti connessi al whistleblowing come trattamenti di dati personali, anche particolari o relativi a condanne penali e reati, riferiti sia al segnalante sia alle persone coinvolte o menzionate. Tali trattamenti sono ritenuti necessari per adempiere obblighi di legge e compiti di interesse pubblico, con conseguente base giuridica negli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e g), 10 e 88 GDPR, oltre che negli artt. 2-ter e 2-sexies del Codice privacy.

Principi privacy e responsabilità dei titolari

Il Garante ribadisce che gli enti pubblici e privati obbligati a istituire i canali interni sono titolari del trattamento e devono rispettare i principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione, integrità e riservatezza di cui all’art. 5 GDPR. Devono inoltre progettare il sistema secondo i principi di data protection by design e by default (art. 25 GDPR) e adottare misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR, tenendo conto anche del parere del RPD, ove presente.

Valutazione d’impatto e sicurezza delle piattaforme

Uno dei punti centrali del parere riguarda la scelta degli strumenti tecnologici per la ricezione e gestione delle segnalazioni. Il Garante valorizza l’uso di piattaforme informatiche e strumenti di crittografia, ma precisa che il sistema deve essere affidabile e che l’idoneità delle misure di sicurezza va valutata in sede di DPIA ex art. 35 GDPR. Questo vale anche quando il fornitore della piattaforma o della gestione operi quale responsabile del trattamento ex art. 28 GDPR.

Viene inoltre richiesto che:

• l’accesso ai canali interni sia non tracciabile quando avviene dalla rete interna del datore di lavoro;
• siano adottate contromisure tecniche e organizzative contro la risalita indiretta all’identità del segnalante;
• le scelte tecniche siano coerenti con i principi di progettazione e impostazione predefinita.

Riservatezza e canali alternativi

Il Garante insiste sulla necessità che le segnalazioni siano trasmesse tramite i canali appositamente istituiti, che offrono maggiori garanzie di sicurezza. Se una segnalazione è inviata per errore mediante canali alternativi, deve comunque essere assicurata la riservatezza dell’identità del segnalante e la protezione dei dati di tutti gli interessati.

Quanto ai canali tradizionali, è richiesto che sia garantita la riservatezza mediante protocollazione riservata, ad esempio attraverso il meccanismo delle due buste chiuse. In relazione all’uso della posta elettronica ordinaria o certificata, il Garante osserva che tale soluzione non è di per sé idonea a garantire la riservatezza, salvo l’adozione di specifiche misure di mitigazione del rischio individuate in DPIA.

Segnalazioni non rientranti nel decreto

Lo schema di linee guida tiene conto anche del caso in cui una segnalazione non presenti i requisiti per essere considerata rilevante ai fini del whistleblowing. In tale evenienza, il Garante ritiene comunque necessario tutelare la riservatezza del segnalante, in ragione della ragionevole aspettativa di riservatezza di chi abbia erroneamente ritenuto di poter beneficiare del regime protettivo previsto dal decreto.

Conservazione e cancellazione dei dati

Il parere conferma il termine massimo di conservazione previsto dall’art. 14 del d.lgs. 24/2023: la documentazione relativa alle segnalazioni deve essere cancellata non oltre cinque anni dalla data di comunicazione dell’esito finale della procedura. Restano conservabili, nei termini di legge, gli atti e i documenti relativi ai procedimenti avviati o alle iniziative assunte dal datore di lavoro che abbiano origine, in tutto o in parte, dalla segnalazione, purché non contengano, di regola, riferimenti puntuali al segnalante.

Ruolo dei gestori, formazione e accessi selettivi

Gli schemi sono considerati coerenti con l’esigenza di distinguere i ruoli privacy tra titolari, responsabili e contitolari. Il Garante precisa che:

• in caso di esternalizzazione della piattaforma o della gestione, il fornitore tratta i dati come responsabile del trattamento ex art. 28 GDPR;
• nei gruppi societari, la capogruppo può assumere il ruolo di responsabile del trattamento quando incaricata della gestione del canale;
• nelle ipotesi di condivisione tra più enti, occorre un accordo interno ex art. 26 GDPR e misure tecniche che limitino l’accesso alle sole segnalazioni di competenza.

Inoltre, i soggetti addetti alla gestione devono ricevere formazione specifica anche in materia di protezione dei dati personali.

Coordinamento con le linee guida sul canale esterno

Il Garante verifica anche il coordinamento tra le nuove linee guida sui canali interni e le linee guida sul canale esterno. In particolare, chiede che sia chiarito che i soggetti devono utilizzare i canali appositamente istituiti e che, anche per le segnalazioni esterne, la riservatezza deve essere garantita con misure adeguate. Lo schema di modifica della delibera ANAC n. 311/2023 viene ritenuto idoneo a recepire tali esigenze, anche con riguardo alle procedure di trasmissione delle segnalazioni da e verso ANAC e alle misure di autenticazione e sicurezza, compreso l’uso di OTP per ridurre i rischi di furto di identità digitale.

Conclusione del parere

Il Garante esprime parere nei termini illustrati in motivazione, sostanzialmente favorevole ma accompagnato da importanti precisazioni e richieste di aggiornamento testuale e tecnico. Il fulcro del parere è assicurare che il sistema whistleblowing sia effettivo, sicuro e coerente con la disciplina privacy, salvaguardando la riservatezza del segnalante, del segnalato e degli altri interessati, senza comprimere il diritto di difesa e le esigenze di accertamento degli illeciti.