Parere del Garante n. 304 del 06/07/2023

Parere favorevole sullo schema di Linee guida ANAC in materia di whistleblowing

Il Garante per la protezione dei dati personali esprime, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, parere favorevole sullo schema di Linee guida predisposto da ANAC per le procedure di presentazione e gestione delle segnalazioni esterne ai sensi del d.lgs. 10 marzo 2023, n. 24. Il provvedimento si colloca nel quadro dell’attuazione della direttiva (UE) 2019/1937 e sostituisce le precedenti linee guida adottate per il regime dell’art. 54-bis del d.lgs. 165/2001.

Quadro normativo di riferimento

Il Garante richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003, la direttiva (UE) 2019/1937 e il d.lgs. 24/2023, sottolineando che il nuovo sistema tutela le persone che segnalano violazioni del diritto dell’Unione o delle disposizioni normative nazionali che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato.

Vengono richiamate, in particolare, le disposizioni del decreto su:

• ambito soggettivo di applicazione (art. 3);
• canali interni e garanzie di riservatezza (art. 4);
• condizioni per la segnalazione esterna ad ANAC (art. 6);
• canali esterni e loro sicurezza (art. 7);
• compiti di ANAC e delle autorità competenti (art. 8);
• tutela dell’identità del segnalante e della riservatezza degli interessati, anche con riferimento al personale autorizzato e all’esclusione dall’accesso documentale e civico (art. 12);
• discipline specifiche su trattamento dati, conservazione, divulgazione pubblica, tutele, responsabilità e sanzioni (artt. 13-21).

Base giuridica dei trattamenti e ruoli dei titolari

Il Garante afferma che i trattamenti di dati personali effettuati da ANAC, dalle autorità amministrative competenti e dai soggetti pubblici e privati obbligati ad attivare i canali interni sono necessari per adempiere obblighi di legge e compiti di interesse pubblico. La base giuridica viene individuata negli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e g), 10 e 88 del GDPR, nonché negli artt. 2-ter e 2-sexies del Codice.

Il Garante precisa che tali soggetti, in qualità di titolari del trattamento, devono comunque rispettare i principi generali del GDPR e adottare misure tecniche e organizzative adeguate ai rischi del contesto, con particolare attenzione alla protezione dei dati fin dalla progettazione e per impostazione predefinita.

Ambito oggettivo delle segnalazioni e casi esclusi

Lo schema di linee guida è ritenuto coerente nella parte in cui delimita con precisione le segnalazioni ammissibili. Il Garante valorizza l’indicazione secondo cui possono essere segnalate solo violazioni già commesse o che il segnalante ritiene ragionevolmente possano essere commesse sulla base di elementi concreti.

È apprezzata anche la puntualizzazione delle ipotesi escluse, che comprendono in particolare:

• vertenze di lavoro, anche in fase precontenziosa;
• conflitti interpersonali tra colleghi o con i superiori;
• discriminazioni tra colleghi;
• segnalazioni su trattamenti di dati nel contesto del rapporto di lavoro, in assenza di lesione dell’interesse pubblico o dell’integrità dell’amministrazione o dell’ente privato.

Tale delimitazione è ritenuta essenziale per evitare trattamenti di dati personali non riconducibili alla disciplina di settore e quindi privi di adeguato fondamento normativo.

Canali di segnalazione e riservatezza

Il Garante richiama la necessità che i segnalanti utilizzino i canali appositamente istituiti, che offrono maggiori garanzie di sicurezza e riservatezza. Evidenzia che l’uso della posta elettronica ordinaria o certificata non è di per sé sufficiente a garantire il livello richiesto di protezione, mentre per i canali tradizionali occorre predisporre strumenti idonei a preservare la riservatezza, come la protocollazione riservata e il meccanismo delle due buste chiuse.

È inoltre chiarito che anche le segnalazioni prive di dati anagrafici possono non essere anonime in senso tecnico, se il segnalante è identificabile per elementi di contesto.

Informativa, limitazioni dei diritti e rapporti con il segnalato

Il parere ribadisce che i titolari del trattamento devono rendere un’informativa ex ante ai potenziali interessati, attraverso documenti informativi generali pubblicati, ad esempio, sul sito web o sulla piattaforma informatica, oppure mediante informative brevi quando si usano canali diversi. Non è invece necessario fornire informative individuali ai soggetti direttamente menzionati in una segnalazione.

Il Garante richiama inoltre la limitazione dei diritti dell’interessato prevista dall’art. 13, comma 3, del d.lgs. 24/2023 e dall’art. 2-undecies del Codice, nonché i casi in cui il segnalato può venire a conoscenza dell’esistenza della segnalazione ai sensi dell’art. 12, comma 5, del decreto: contestazione fondata in tutto o in parte sulla segnalazione, necessità dell’identità per la difesa, o consenso espresso del segnalante.

Misure tecniche e organizzative, DPIA e conservazione

Il Garante considera corretto il richiamo alla necessità di adottare misure tecniche e organizzative adeguate, periodicamente riesaminate e aggiornate, per proteggere i dati da accessi non autorizzati, perdita, distruzione o danno accidentale.

In un contesto caratterizzato da elevati rischi, il ricorso alla crittografia è ritenuto, di regola, misura adeguata sia per i canali interni sia per il canale esterno. Viene inoltre richiesto che, in caso di accesso ai canali dalla rete interna del soggetto obbligato, sia garantita la non tracciabilità del segnalante anche a livello di apparati di rete. È anche valorizzato il tracciamento delle operazioni del personale autorizzato, nel rispetto delle regole sui controlli a distanza.

Il parere richiama infine l’obbligo di definire il modello di gestione delle segnalazioni sulla base di una valutazione d’impatto sulla protezione dei dati, come previsto dall’art. 13, comma 6, del decreto.

Canale esterno ANAC, gestione operativa e trasmissione alle autorità competenti

Lo schema viene considerato adeguato anche nella parte dedicata alla piattaforma informatica di ANAC e alle modalità di gestione delle segnalazioni esterne. Il Garante approva le previsioni sulla ricezione anche tramite canale telefonico o incontro diretto, sulla trasmissione delle segnalazioni pervenute per errore ad un soggetto diverso da ANAC e sull’invio alle autorità competenti quando la materia non rientra nella competenza di ANAC.

È ritenuta opportuna la previsione di autenticazione informatica a più fattori per gli utenti autorizzati, nonché la disciplina della cancellazione delle parti della segnalazione manifestamente irrilevanti e delle modalità con cui fornire l’informativa nei casi di segnalazione telefonica o in presenza.

Conclusione

Il Garante rileva che le indicazioni fornite con urgenza nel corso dell’istruttoria sono state recepite nello schema di linee guida e, per tale ragione, dichiara di non dover formulare ulteriori osservazioni. Il parere finale è favorevole.