Normativa Whistleblowing e segnalazione: nuovo parere Garante privacy

Indice

• Nuovo parere del Garante Privacy su Linee Guida ANAC
• Cos’è il Whistleblowing
• Normativa in Italia
• Il parere del Garante della Privacy
• I punti chiave del Parere

Con il provvedimento n. 581 del 9 ottobre 2025, il Garante Privacy ha pubblicato un parere dettagliato sugli schemi di Linee guida ANAC. Questi riguardano sia i canali interni di segnalazione di illeciti sia l’aggiornamento delle Linee guida sui canali esterni.

L’obiettivo principale del parere emesso dal Garante per la Protezione dei Dati Personali è quello di garantire che venga tutelata la riservatezza dell’identità del segnalante, prevenire ritorsioni e bilanciare le esigenze di riservatezza con quelle di accertamento degli illeciti e del diritto di difesa. Il software per la segnalazione degli illeciti si conferma un vero baluardo per la tutela dei diritti, ma pubblici e privati devono elevare standard tecnici e organizzativi per essere all’altezza.

Noi di E-lane IT Solutions abbiamo sviluppato un software per la segnalazione degli illeciti nella Pubblica amministrazione e nelle aziende private.

Prima di entrare nel dettaglio, però, ricordiamo cos’è e quando è stato introdotto in Italia.

Che cos’è il whistleblowing

E’ uno strumento di compliance aziendale che permette alle figure legate all’azienda di segnalare uno o più comportamenti irregolari o illeciti in modo riservato e protetto.

Di fatto è l’atto compiuto da una persona (solitamente un dipendente o chi opera nel contesto lavorativo pubblico o privato) che segnala informazioni sulle violazioni relative a atti o comportamenti non etici, illegali o pericolose, come condotte illecite, illeciti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica.

Per approfondire, ti invitiamo a leggere Guida al Whistleblowing

Normativa in Italia

Introdotto dalla Legge 190/2012 per la prevenzione della corruzione nella PA, il sistema è stato esteso al privato con la Legge 179/2017 e potenziato dal D.lgs. 24/2023 (pubblicato il 10 marzo 2023), che recepisce la Direttiva UE 2019/1937 che offre disposizioni riguardanti la protezione delle persone che segnalano violazioni di diritto dell’Unione.

Permette di effettuare una segnalazione interna (canale interno), esterna (es. ANAC, autorità giudiziaria o contabile) o pubblica, valorizzando il RPCT e tutelando il whistleblower con riservatezza, protezione da ritorsioni e tutela degli autori di segnalazioni. 

I whistleblower favoriscono la trasparenza, la responsabilità contribuendo alla prevenzione della corruzione.

Il parere del Garante Privacy sulle linee guida ANAC sul whistleblowing

Nel proprio parere, il Garante evidenzia come le Linee guida emanate da ANAC incidano direttamente sul trattamento e sulla tutela dei dati personali nell’ambito dei sistemi di segnalazione.

Il quadro normativo di riferimento, e in particolare il d.lgs. 24/2023, stabilisce l’obbligo di assicurare la piena riservatezza dell’identità della persona segnalante, dei soggetti coinvolti e delle informazioni contenute nella segnalazione lungo l’intero iter procedurale.

Valuta positivamente l’impostazione generale, riconoscendo:

• Ricostruzione corretta dell’impianto normativo.
• Compatibilità con obblighi privacy.
• Misure tecniche concrete.

 Il parere richiama inoltre diversi profili tecnici previsti dal decreto, ponendo l’accento sulle responsabilità in capo agli enti e sulla necessità di strutturare in modo puntuale ruoli organizzativi, procedure di gestione e adeguate misure di sicurezza a protezione dei dati.

I principali punti di attenzione evidenziati dal Garante

Le Linee guida ANAC, integrate dal parere del Garante per la protezione dei dati personali, definiscono un quadro chiaro per la gestione dei canali di whistleblowing, ponendo al centro sicurezza, riservatezza e accountability, in coerenza con il d.lgs. 24/2023 e il GDPR.

1. Sicurezza dei canali di segnalazione

Il Garante evidenzia che l’utilizzo della posta elettronica ordinaria o PEC come canale per effettuare la segnalazione comporta rischi elevati di tracciabilità del segnalante, dovuti a:

• metadati di invio e ricezione,
• log di rete e di sistema,
• possibile identificazione tramite indirizzi IP.

Per questo motivo, l’email è considerata inadeguata come canale principale e può essere utilizzata solo previa adozione di specifiche misure di mitigazione da documentare nella DPIA.

Anche le segnalazioni cartacee richiedono cautele rafforzate, tra cui:

• utilizzo della doppia busta,
• protocollazione riservata,
• valutazione dell’integrazione in sistemi documentali conformi alle regole AgID.

2. Piattaforme informatiche: la soluzione preferenziale in materia di whistleblowing 

Le piattaforme digitali dedicate rappresentano il canale privilegiato per la gestione delle segnalazioni, in quanto consentono di implementare misure di privacy by design e by default, tra cui:

• cifratura dei dati (a riposo e in transito),
• anonimato o pseudonimizzazione del segnalante,
• assenza di log identificativi,
• accessi segregati e profilati,
• possibilità di dialogo riservato con il whistleblower.

Tali strumenti devono essere affidabili, adeguatamente progettati e valutati nell’ambito della valutazione di impatto.

E-lane ha realizzato una piattaforma digitale che permette la presentazione e gestione delle segnalazioni da parte di pubbliche amministrazioni e le società private.

Italiawhistleblowing.it è un sistema conforme alle normative (art. 6 del Decreto Legislativo 8 giugno 2001, n. 231 – Legge 231) e GDPR, un ambiente di segnalazione sicuro per il segnalante nel processo di segnalazione.

• Usufuibile in modalità Saas.
• Percorso guidato online intuitivo.
• Piattaforma gestita da un soggetto specializzato.
• Riservatezza garantita anche qualora il Segnalante scelga di indicare le proprie generalità.
• Accessibile e multidispositivo.

3. DPIA obbligatoria 

Il Garante ribadisce che i trattamenti connessi alle segnalazioni rientrano tra quelli che richiedono obbligatoriamente una valutazione di impatto sulla protezione dei dati (DPIA).

La DPIA deve:

• essere svolta prima dell’attivazione del canale,
• analizzare rischi e misure di sicurezza,
• coinvolgere eventuali fornitori di piattaforme (senza delega di responsabilità),
• documentare le scelte organizzative e tecniche del titolare.

4. Conservazione dei dati: limiti chiari e stringenti

Le Linee guida confermano i limiti temporali già previsti dal d.lgs. 24/2023:

• massimo 5 anni dalla comunicazione dell’esito finale della procedura,
• conservazione solo degli atti strettamente necessari,
• cancellazione della segnalazione e della documentazione correlata allo scadere dei termini.

Questa limitazione è essenziale per evitare la conservazione ingiustificata di dati particolarmente sensibili.

5. Condivisione del canale tra enti: condizioni e cautele

Il decreto consente ad alcuni enti (ad esempio piccoli comuni o imprese sotto i 249 dipendenti) di condividere il canale di segnalazione interna. Tuttavia, il Garante chiarisce che ciò è possibile solo adottando misure rafforzate, quali:

• accordi conformi all’art. 26 GDPR,
• segmentazione rigorosa degli accessi,
• impossibilità per un ente di accedere alle segnalazioni di un altro.

6. Ruoli, autorizzazioni e formazione del personale

Un sistema di whistleblowing efficace richiede una governance chiara e documentata. In particolare:

• solo personale autorizzato e formato può trattare i dati,
• i ruoli e le responsabilità devono essere formalizzati,
• in caso di esternalizzazione, il fornitore va nominato responsabile del trattamento ex art. 28 GDPR,
• nei gruppi societari, la capogruppo opera come responsabile, non come contitolare.

Queste misure rafforzano il rispetto del principio di accountability.

7. Ambito di applicazione: PA e settore privato

Le indicazioni del Garante non si limitano alla pubblica amministrazione, ma costituiscono un riferimento operativo anche per i datori di lavoro privati. Tra le misure raccomandate:

• evitare la tracciabilità del segnalante anche su rete interna,
• adottare procedure formalizzate di gestione,
• garantire l’accesso ai dati solo a soggetti legittimati,
• consentire segnalazioni anonime o identificate.

Il Garante sottolinea inoltre che la riservatezza del segnalante può estendersi anche a segnalazioni non pienamente qualificabili come whistleblowing, in presenza di un’aspettativa di tutela.

Un sistema più solido grazie alla collaborazione istituzionale

Il coordinamento tra ANAC e Garante punta a costruire un ecosistema di segnalazione più sicuro, coerente e affidabile, capace di bilanciare:

• efficacia dei canali,
• tutela della riservatezza,
• correttezza del trattamento dei dati personali.

La sfida per enti pubblici e imprese è tradurre questi principi in procedure operative concrete, investendo in tecnologia, formazione e governance.

FAQ