Nella gestione di una segnalazione whistleblowing non basta tacere il nome di chi segnala: la riservatezza è violata anche quando le informazioni condivise durante l'istruttoria permettono di risalire, direttamente o indirettamente, alla sua identità. È il principio affermato dall'Autorità Nazionale Anticorruzione con la delibera n. 344 del 9 settembre 2026, che ha sanzionato con 15.000 euro ciascuno i tre componenti dell'organo interno di gestione delle segnalazioni di una società privata.
La decisione riguarda tutte le organizzazioni tenute ad attivare un canale interno ai sensi del D.Lgs. 10 marzo 2023, n. 24: enti pubblici, imprese con almeno 50 dipendenti e società dotate di modello organizzativo 231. Il messaggio è rivolto soprattutto a chi gestisce in concreto le segnalazioni.
Il caso esaminato da ANAC
Un dipendente di una società privata segnala, tramite la piattaforma interna crittografata e in forma anonima, presunte irregolarità su un contratto con un cliente. Secondo il segnalante, il suo superiore aveva chiesto al gruppo di lavoro di modificare il contratto per consentire al cliente di fatturare tutte le attività entro il 2024, benché la conclusione fosse prevista nei primi mesi del 2025. Le possibili violazioni riguardavano norme fiscali e contabili e il modello organizzativo 231 della società.
Alla segnalazione erano allegati scambi di e-mail tra cinque persone, tra cui lo stesso segnalante e il segnalato. Usando una funzione della piattaforma, il segnalante aveva anche escluso dalla gestione un componente dell'organo, ritenuto in potenziale conflitto di interessi.
Durante l'audizione del 17 dicembre 2024 il segnalante scopre che la sua identità è già nota: prima dell'avvio formale, il presidente dell'organo di gestione gli si rivolge parlando della "sua" segnalazione. Il licenziamento è stato successivamente dichiarato nullo, perché ritorsivo, con una sentenza non ancora definitiva.
Cosa ha deciso ANAC
ANAC ha sanzionato le persone fisiche che hanno gestito la segnalazione, non la società: 15.000 euro a ciascuno dei tre componenti dell'organo di gestione, per un totale di 45.000 euro. Il procedimento esaminava due profili distinti, con esito opposto.
La sanzione per violazione della riservatezza va da 10.000 a 50.000 euro. Nel quantificarla, ANAC ha considerato:
- la gravità della violazione, che ha potuto favorire atti ritorsivi contro il segnalante;
- la colpa e non il dolo dei gestori, come attenuante;
- il periodo dei fatti, anteriore alle Linee guida ANAC sui canali interni (delibera n. 478 del 26 novembre 2025), come ulteriore attenuante;
- l'inerzia dopo la violazione: informati dal segnalante del timore di ritorsioni, i gestori non hanno verificato se la sua identità fosse stata scoperta;
- il ruolo di vertice dei gestori, che rendeva inadeguata una sanzione nel minimo.
Sulla mancata gestione, invece, ANAC ha chiarito che il suo controllo riguarda l'effettivo svolgimento delle verifiche, non la correttezza delle conclusioni nel merito, salvo valutazioni palesemente irragionevoli. Nel caso esaminato le verifiche erano state fatte, anche sul contratto dell'anno precedente indicato dal segnalante in audizione.
Contro la delibera è ammesso ricorso al TAR Lazio entro 60 giorni.
Il principio: conta anche l'identificazione indiretta
La riservatezza è violata quando le informazioni fornite sono idonee a rivelare l'identità del segnalante, anche se il nome non viene mai pronunciato. Lo prevede espressamente l'art. 12, comma 2, del D.Lgs. 24/2023:
L'identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni […].
ANAC ne trae tre conseguenze operative.
- Basta l'idoneità a identificare. L'espressione "può evincersi" sposta la valutazione sull'attitudine delle informazioni a far riconoscere il segnalante. L'illecito sussiste anche senza prova che un terzo lo abbia effettivamente identificato.
- Si valuta il contesto. Come parametro, ANAC richiama il considerando 26 del GDPR: occorre considerare tutti i mezzi di cui un terzo può ragionevolmente avvalersi per identificare una persona. Le informazioni fornite vanno quindi incrociate con ciò che gli interlocutori già sanno.
- Due rischi da prevenire. Il primo è l'isolamento della persona (single out): in un gruppo ristretto, pochi dettagli bastano a indicare una sola persona possibile. Il secondo è la deduzione (inference): chi riceve le informazioni ricostruisce l'identità per ragionamento logico.
Nel caso concreto, agli intervistati era stato comunicato che esisteva una segnalazione whistleblowing, che riguardava un contratto e un cliente precisi e che i loro nomi comparivano nei documenti allegati. Unite a ciò che il gruppo di lavoro già sapeva, queste informazioni portavano a un solo nome. Il segnalante era il collega con minore anzianità, aveva un ruolo marginale nel progetto e aveva avuto contrasti noti con il proprio superiore, cioè il segnalato.
ANAC ha comunque ritenuto provata anche l'identificazione effettiva, sulla base di più indizi: l'esclusione del segnalante dalle attività sul contratto subito dopo le audizioni, la frase del presidente dell'organo di gestione, la contestazione disciplinare e il licenziamento.
Perché "circoscrivere" l'indagine non ha protetto il segnalante
I gestori sostenevano di aver tutelato il segnalante limitando domande e richieste documentali allo stretto necessario. Per ANAC, con un solo contratto e pochi soggetti coinvolti, questa scelta ha prodotto l'effetto opposto: un'indagine stretta su un gruppo ristretto rende il segnalante facilmente riconoscibile. Il canale interno era conforme e crittografato, cioè garantiva la riservatezza by design; la gestione imprudente l'ha vanificata nei fatti.
La delibera individua in particolare questi comportamenti non diligenti:
- sentire per primo il segnalato, interrogandolo su quel contratto specifico nell'ambito di una segnalazione whistleblowing;
- coinvolgere il superiore gerarchico del segnalato, senza un reale apporto all'accertamento e pur essendo a conoscenza dei contrasti tra segnalante e segnalato;
- affidarsi alla sola richiesta di riserbo agli intervistati: l'obbligo dei gestori è non fornire, in partenza, informazioni da cui si può dedurre l'identità;
- richiamare le prassi consolidate di gestione di altre segnalazioni interne, senza adattarle al caso concreto.
Le strategie di de-identificazione indicate da ANAC
ANAC afferma che in casi come questo occorre allargare, almeno in apparenza, il perimetro degli accertamenti. La delibera indica due tecniche:
- il "falso target": estendere le verifiche a una rosa più ampia di pratiche o di persone, così che gli intervistati non possano isolare l'oggetto reale;
- la "mimetizzazione": inserire le verifiche in un'attività di compliance auditing, programmata o straordinaria, senza far emergere l'esistenza di una segnalazione.
Prima di avviare l'istruttoria, i gestori devono valutare la posizione del segnalante e del segnalato, la composizione del gruppo di lavoro, il rischio che gli intervistati si scambino informazioni e la possibile circolazione impropria delle notizie. Secondo ANAC, nelle organizzazioni molto strutturate queste strategie sono più facili da attuare che nelle realtà piccole o con ruoli molto specifici, dove anche un riferimento a una riunione o a una funzione può bastare a identificare qualcuno.
Motivi personali, fondatezza e anonimato non escludono la tutela
La delibera chiarisce tre punti utili a chiunque valuti se un segnalante sia protetto dal D.Lgs. 24/2023.
I motivi personali sono irrilevanti. La difesa dei gestori sosteneva che la segnalazione nascesse da un disagio lavorativo e da una mancata promozione. ANAC distingue il motivo della segnalazione (perché si segnala) dal suo oggetto (cosa si segnala). Il motivo, anche egoistico, non conta: lo stabiliscono l'art. 16, comma 2, del decreto e il considerando 32 della Direttiva (UE) 2019/1937. Resta esclusa dalla tutela solo la segnalazione che riguarda esclusivamente il proprio rapporto di lavoro o i rapporti con i superiori (art. 1, comma 2, lett. a). Qui l'oggetto erano presunte irregolarità contrattuali, contabili e fiscali.
La fondatezza della segnalazione non condiziona la tutela. Al momento della segnalazione è sufficiente avere fondati motivi per ritenere vere le informazioni (art. 16, comma 1). Non serve la prova dell'illecito: la segnalazione serve proprio ad avviare le verifiche. Nel caso esaminato, l'archiviazione come infondata non ha tolto al dipendente la qualifica di whistleblower.
La segnalazione anonima è tutelata quando il segnalante viene identificato. Il dipendente aveva segnalato in forma anonima. Una volta identificato, aveva diritto alla piena protezione della riservatezza della propria identità.
Gli altri rilievi sulla gestione: tracciabilità e trasparenza
Pur archiviando il profilo della mancata gestione, ANAC ha segnalato alcune carenze "a fini di prevenzione e di orientamento". Non hanno comportato sanzioni, ma indicano cosa un organo di gestione deve evitare.
- Interviste non verbalizzate. Per ANAC è lesivo del principio di accountability: il gestore deve poter documentare che cosa ha fatto e come.
- Composizione dell'organo poco trasparente. Il segnalante non era stato informato che, in quel periodo, partecipava alla gestione anche una persona in affiancamento a un componente.
- Esito incompleto. La comunicazione finale al segnalante non citava le verifiche svolte sul contratto dell'anno precedente, attribuite dai gestori a una dimenticanza.
- Contatti informali. Un componente aveva sentito da solo, in modo informale, un'ulteriore persona, informando gli altri con una breve e-mail. ANAC giudica questa modalità opaca.
Ritorsione e licenziamento: due piani distinti
La delibera n. 344 sanziona la violazione della riservatezza, non la ritorsione. Per le presunte misure ritorsive ANAC ha avviato un procedimento separato, sospeso fino a quando non diventerà definitiva la sentenza del giudice del lavoro.
Il giudice ha già dichiarato nullo il licenziamento perché ritorsivo e ordinato la reintegrazione del dipendente, con una pronuncia non ancora passata in giudicato. ANAC ha richiamato la contestazione disciplinare, il licenziamento e la sentenza solo come indizi dell'avvenuta identificazione del segnalante, precisando che non hanno valore vincolante per le proprie valutazioni.
I due piani restano quindi separati: ANAC vigila sul rispetto delle garanzie previste dal D.Lgs. 24/2023, mentre gli effetti del licenziamento sul rapporto di lavoro spettano al giudice.
Cosa fare in pratica: indicazioni per enti e imprese
La delibera conferma che la riservatezza riguarda l'intero ciclo di gestione della segnalazione, non solo il canale. Da essa si ricavano alcune verifiche concrete per chi gestisce segnalazioni.
Prima di avviare l'istruttoria
- Valutare il rischio di identificazione: dimensione del gruppo coinvolto, ruoli, rapporti noti tra segnalante e segnalato, informazioni già in possesso degli interlocutori.
- Scegliere una strategia di de-identificazione adeguata (falso target, verifiche inserite in un'attività di audit) e documentarne le ragioni.
- Stabilire l'ordine delle audizioni e chi è davvero necessario sentire, escludendo chi non apporta elementi utili all'accertamento.
- Evitare di aprire con il segnalato quando questo, da solo, può rivelare l'oggetto e l'origine della segnalazione.
Durante le verifiche
- Non rivelare l'esistenza di una segnalazione whistleblowing, il suo oggetto o la presenza di documenti allegati quando ciò rende riconoscibile il segnalante.
- Non affidare la tutela alla sola richiesta di riserbo rivolta agli intervistati.
- Verbalizzare ogni audizione e svolgere le attività in forma collegiale, quando l'organo è collegiale.
- Intervenire subito se il segnalante teme ritorsioni: verificare se la sua identità è stata scoperta.
A livello organizzativo
- Affidare la gestione a persone formate in materia di whistleblowing e protezione dei dati personali, come richiesto dalle Linee guida ANAC n. 478/2025.
- Aggiornare la procedura interna con regole specifiche sulla de-identificazione, distinte da quelle per le segnalazioni ordinarie.
- Comunicare con chiarezza al segnalante chi gestisce la segnalazione e fornire un esito completo.
Un canale crittografato è necessario ma non sufficiente: la tutela si perde nel modo in cui vengono condotte le verifiche.
Le responsabilità sono personali: la sanzione colpisce i singoli gestori.
_
📣 Il vostro canale di segnalazione è davvero sicuro?
La delibera n. 344/2026 dimostra che un canale conforme non basta: la riservatezza si perde nel modo in cui vengono condotte le verifiche. e-cons affianca enti pubblici e imprese nel verificare l'intero processo di gestione delle segnalazioni, dal punto di vista della protezione dei dati personali.
