Come funziona il whistleblowing e chi protegge la mia privacy?

Scopri le regole sul whistleblowing, le tutele per l’identità del segnalante e come la normativa privacy protegge i tuoi dati personali in azienda.

Molti lavoratori si chiedono come denunciare irregolarità in azienda senza rischiare ritorsioni. La risposta sta in un sistema chiamato whistleblowing. Ma come funziona il whistleblowing e chi protegge la mia privacy. Questa domanda è al centro di una normativa che oggi tocca quasi tutte le medie e grandi imprese italiane. Il sistema non serve solo a far emergere illeciti, ma a garantire che chi segnala non sia identificabile e che i suoi dati personali siano trattati con la massima sicurezza. Il bilanciamento tra l’esigenza di legalità e la protezione della riservatezza è garantito dal GDPR e dalle linee guida delle autorità. In un mondo in cui la trasparenza è fondamentale, il legislatore ha creato un percorso sicuro affinché la voce di chi denuncia un’ingiustizia non si trasformi in una condanna personale o professionale, assicurando che ogni informazione sensibile sia custodita con strumenti tecnologici all’avanguardia e procedure legali rigorose.

Quali aziende devono attivare i canali per le segnalazioni?

L’obbligo di dotarsi di un sistema per raccogliere le denunce dei dipendenti non riguarda più solo gli uffici pubblici, ma si è esteso progressivamente a una fetta enorme del settore privato. La disciplina attuale trova il suo fondamento nel Decreto Legislativo numero 24 del 2023, che ha dato attuazione a una specifica direttiva europea (Dir. UE 2019/1937). Questo provvedimento ha stabilito tempi diversi per l’adeguamento a seconda della grandezza dell’impresa. Le società con più di 249 dipendenti hanno dovuto attivarsi già dall’estate del 2023, mentre per le realtà più piccole, che impiegano almeno 50 lavoratori, la scadenza è scattata a fine anno (d.lgs. n. 24/2023).

Esistono però delle eccezioni importanti. Anche se un’azienda ha meno di 50 dipendenti, deve comunque attivare il canale se opera in settori sensibili, come quello dei mercati finanziari, della prevenzione del riciclaggio o della sicurezza dei trasporti. Lo stesso vale per chi ha adottato un modello organizzativo particolare per prevenire gli illeciti aziendali (D. Lgs. n. 231/2001). Lo scopo della norma è creare una rete di protezione diffusa che permetta di segnalare violazioni del diritto nazionale o europeo senza timore. Per farlo, ogni titolare del trattamento deve scegliere un canale interno che garantisca la massima riservatezza, spesso affidandone la gestione a software specifici o a personale interno appositamente formato e vincolato al segreto.

Come viene garantita la riservatezza di chi fa una segnalazione?

Il pilastro su cui poggia l’intera disciplina del whistleblowing è la protezione dell’identità del segnalante. La legge impone che chi riceve la denuncia debba fare di tutto per non rivelare il nome di chi ha parlato. Questa protezione non riguarda solo il segnalante in senso stretto, ma si estende anche ai cosiddetti facilitatori, cioè i colleghi o i familiari che aiutano a presentare la denuncia, e persino ai soggetti menzionati nella segnalazione. L’Autorità Nazionale Anticorruzione (ANAC) ha pubblicato delle linee guida molto precise per spiegare agli enti come gestire questi flussi informativi.

L’uso di una piattaforma informatica è la scelta consigliata dalle autorità, a patto che sia progettata secondo i principi della privacy by design. Questo significa che il sistema deve essere costruito fin dall’inizio per proteggere i dati. Per raggiungere questo obiettivo:

• le comunicazioni tra il segnalante e l’azienda devono essere protette da strumenti di crittografia;

• i dati identificativi non devono essere tracciabili tramite gli indirizzi IP dei computer aziendali;

• solo il personale autorizzato e specificamente formato può accedere ai documenti;

• ogni operazione compiuta sul sistema deve lasciare una traccia (file di log) per motivi di indagine, ma senza rivelare l’identità di chi naviga nell’applicativo (Linee Guida ANAC 2023).

Il segnalato può sapere il nome di chi lo ha denunciato?

Questa è una delle preoccupazioni maggiori per chi teme ritorsioni. Di norma, la risposta è no. Il diritto di accesso ai dati previsto dal regolamento europeo (GDPR) subisce una forte limitazione in questo ambito. Chi viene denunciato, ovvero il segnalato, non ha il diritto di bussare alla porta dell’azienda e chiedere “chi è stato a parlare?”. L’identità del segnalante non può essere rivelata se non in casi rarissimi e documentati (art. 2-undecies cod. privacy).

Esistono solo tre situazioni eccezionali in cui l’anonimato cade:

• se il segnalante dà il suo consenso espresso a farsi conoscere;

• se la conoscenza dell’identità è assolutamente indispensabile per la difesa del segnalato in un procedimento disciplinare;

• se l’autorità giudiziaria ordina la rivelazione del nome per procedere con le indagini su un presunto illecito (d.lgs. n. 24/2023).

In tutti gli altri casi, l’azienda ha l’obbligo giuridico di mantenere il segreto. Se un lavoratore segnala in malafede, dichiarando il falso solo per danneggiare un collega, la protezione cade e il segnalato potrà agire per difendersi e chiedere il risarcimento dei danni. Tuttavia, finché non viene provata la malafede, il segreto resta la regola d’oro (Parere WP29 1/2006).

Per quanto tempo vengono conservati i documenti della denuncia?

I dati raccolti durante una segnalazione non possono restare per sempre negli archivi aziendali. La normativa stabilisce un termine massimo di conservazione pari a cinque anni a decorrere dalla data in cui viene comunicato l’esito finale della procedura (art. 14 d.lgs. n. 24/2023). Questo termine serve a garantire che le informazioni siano disponibili per eventuali verifiche giudiziarie, ma impedisce che la denuncia diventi una macchia indelebile nel fascicolo di un dipendente.

Inoltre, il trattamento deve rispettare il principio di minimizzazione dei dati (art. 5 GDPR). Questo significa che l’azienda deve raccogliere solo le informazioni utili a verificare l’illecito. Se un dipendente invia accidentalmente dati personali che non c’entrano nulla con la segnalazione (ad esempio dettagli sulla vita privata di un collega), l’azienda ha l’obbligo di cancellarli immediatamente. Non si possono tenere file “per ogni evenienza” se non sono strettamente necessari all’indagine in corso. La gestione del tempo è fondamentale: una conservazione troppo lunga o una raccolta eccessiva espongono l’impresa a sanzioni pesanti da parte del Garante Privacy.

Cosa succede se l’azienda non protegge i dati del segnalante?

Le conseguenze per chi gestisce male la privacy nel whistleblowing sono sia amministrative che pecuniarie. Il Garante Privacy ha già colpito diverse realtà italiane che non avevano adottato misure di sicurezza adeguate. Ad esempio, un aeroporto è stato sanzionato con 40 mila euro perché il suo sistema permetteva di tracciare l’username di chi inseriva le segnalazioni (Provv. n. 235/2021). In un altro caso, un’azienda sanitaria ha ricevuto una multa analoga perché conservava gli indirizzi IP dei computer dei segnalanti, rendendoli facilmente identificabili dall’ufficio tecnico (Provv. n. 134/2022).

Questi esempi mostrano che non basta avere una piattaforma per le denunce, ma bisogna assicurarsi che questa sia configurata correttamente. L’azienda rischia sanzioni se:

• non informa preventivamente i lavoratori sul trattamento dei dati;

• non nomina i fornitori del software come responsabili del trattamento (art. 28 GDPR);

• non redige una valutazione d’impatto sulla protezione dei dati (DPIA);

• dimentica di annotare queste attività nel proprio registro dei trattamenti.

Il Garante ha chiarito che il whistleblowing è un’attività ad alto rischio per i diritti delle persone, proprio per la delicatezza delle informazioni trattate e per il pericolo di ritorsioni (art. 35 GDPR).

Perché è obbligatoria la valutazione d’impatto (DPIA)?

Il trattamento dei dati legati alle segnalazioni di illeciti è considerato per legge un’operazione pericolosa. Per questo motivo, prima di iniziare a raccogliere le denunce, ogni azienda ha l’obbligo di redigere una valutazione d’impatto sulla protezione dei dati (art. 35 GDPR). Si tratta di un documento tecnico che analizza i rischi per i dipendenti e descrive le contromisure adottate per proteggere l’identità di chi parla.

Molti datori di lavoro commettono l’errore di pensare che, trattando pochi dati, la valutazione non serva. Il Garante Privacy ha però spiegato che la pericolosità non dipende dal numero di segnalazioni, ma dalla natura delle informazioni. Una sola denuncia mal gestita può distruggere la carriera di un segnalante o rovinare la reputazione di un innocente. Pertanto, la DPIA è uno strumento di prevenzione indispensabile per dimostrare che l’azienda agisce secondo il principio di responsabilizzazione (accountability). In questo documento devono essere indicati i tempi di conservazione, le modalità di accesso ai file e le istruzioni fornite al personale che gestisce il canale.

Cosa sono le segnalazioni esterne e come funziona l’ANAC?

Se un lavoratore teme che l’azienda non sia neutrale o se ha paura di ritorsioni immediate, può decidere di non usare il canale interno e rivolgersi direttamente a un soggetto esterno. In Italia, questo soggetto è l’Autorità Nazionale Anticorruzione (ANAC). Il segnalante può inviare la sua denuncia tramite una piattaforma digitale gestita dall’autorità oppure richiedere un incontro di persona o una telefonata (d.lgs. n. 24/2023).

L’ANAC opera come un titolare del trattamento autonomo e garantisce lo stesso livello di riservatezza del canale aziendale. Le segnalazioni esterne sono ammesse solo in casi specifici, come quando il canale interno è assente, non funziona correttamente o se il lavoratore ha fondato motivo di ritenere che la segnalazione interna possa compromettere l’interesse pubblico (Linee Guida ANAC 2023). Anche in questo caso, il trattamento dei dati deve seguire le regole del GDPR. Se l’ANAC riceve una segnalazione che riguarda un illecito civile o amministrativo, deve gestire i dati personali nel rispetto dei principi di integrità e trasparenza, assicurando che le informazioni siano trasmesse ad altre autorità solo quando strettamente necessario per l’indagine.

Il ruolo dei fornitori di software nella protezione dei dati

Molte aziende preferiscono acquistare servizi da società esterne specializzate per gestire il canale di whistleblowing. Questo non esenta il datore di lavoro dalle sue responsabilità, ma aggiunge un nuovo attore nel panorama della privacy: il responsabile del trattamento (art. 28 GDPR). La società che fornisce il software deve offrire garanzie tecniche elevate, come sistemi di cifratura avanzati e procedure di cancellazione automatica dei dati alla scadenza dei termini.

L’azienda cliente deve nominare formalmente il fornitore e impartirgli istruzioni scritte molto rigide. Un errore comune è quello di lasciare al fornitore il controllo totale delle chiavi di accesso. Se il fornitore del software subisce un attacco informatico e i nomi dei segnalanti diventano pubblici, l’azienda ne risponde se non ha vigilato correttamente o se non ha scelto un partner affidabile. La trasparenza deve riguardare l’intero percorso del dato: da quando viene digitato sulla tastiera del dipendente a quando viene archiviato nel server protetto. Una gestione attenta di questi passaggi garantisce che il whistleblowing rimanga uno strumento di giustizia e non diventi un pericolo per la riservatezza.