Introduzione

La tutela dell’identità del whistleblower non si esaurisce nella predisposizione di un canale di segnalazione sicuro, ma deve essere assicurata in ogni fase della successiva attività istruttoria, attraverso modalità di accertamento che non espongano il segnalante al rischio di essere identificato.
È questo il principio di particolare rilievo affermato dall’Autorità Nazionale Anticorruzione con la delibera n. 344 del 9 settembre 2026, pubblicata il 6 ottobre, con la quale è stata irrogata una sanzione amministrativa di 15.000 euro a ciascuno dei tre componenti dell’organo incaricato della gestione delle segnalazioni whistleblowing di una società privata, per violazione dell’obbligo di riservatezza previsto dall’art. 12 del d.lgs. 24/2023.

La decisione chiarisce che la violazione dell’obbligo di riservatezza può configurarsi anche in assenza di una comunicazione esplicita del nominativo del segnalante, essendo sufficiente la divulgazione di informazioni dalle quali la sua identità possa essere desunta, direttamente o indirettamente.
L’attenzione dell’Autorità si concentra, dunque, non soltanto sulla sicurezza degli strumenti utilizzati per ricevere le segnalazioni, ma anche sulle modalità concrete di svolgimento delle verifiche, evidenziando come la stessa attività istruttoria possa diventare fonte di esposizione del segnalante, qualora non sia accompagnata da adeguate cautele.

La vicenda esaminata da ANAC

Il procedimento trae origine da una segnalazione interna presentata da un dipendente di una società privata, avente ad oggetto presunte condotte illecite riconducibili alla gestione di una specifica attività contrattuale. A seguito della segnalazione, i componenti dell’organo deputato alla gestione del canale interno avevano avviato le attività di verifica, procedendo, tra l’altro, all’audizione di alcuni dipendenti coinvolti nel progetto interessato.

Le criticità sono emerse proprio in relazione alle modalità con le quali erano stati condotti gli accertamenti.
In particolare, l’istruttoria aveva interessato una cerchia ristretta di soggetti, ai quali erano state rivolte domande strettamente riferibili alla vicenda segnalata. La specificità dei quesiti, unitamente alle informazioni già note ai partecipanti al progetto, aveva creato le condizioni per ricostruire l’identità del segnalante. Elementi quali il ruolo ricoperto, l’anzianità professionale, la partecipazione a determinate attività e la conoscenza di circostanze specifiche, pur non costituendo singolarmente dati identificativi, potevano infatti assumere tale valenza se considerati congiuntamente.

Nel caso concreto, ANAC ha inoltre valorizzato alcuni elementi successivi alla segnalazione, tra cui l’estromissione del dipendente da attività lavorative e l’adozione di provvedimenti disciplinari, ritenendoli significativi ai fini dell’accertamento dell’avvenuta identificazione del whistleblower. La vicenda era culminata in un licenziamento già riconosciuto come ritorsivo e dichiarato nullo in sede giurisdizionale, con sentenza non ancora definitiva.
La questione sottoposta all’Autorità riguardava, pertanto, non l’assenza di attività istruttoria, ma l’idoneità delle modalità prescelte per il suo svolgimento a compromettere la riservatezza del segnalante.

La posizione di ANAC: l’identificabilità indiretta integra la violazione dell’obbligo di riservatezza

Nell’esaminare la vicenda, ANAC muove dalla considerazione che la gestione di una segnalazione whistleblowing è, per sua natura, differente da quella di una segnalazione ordinaria. L’attività di accertamento deve infatti contemperare l’esigenza di verificare la fondatezza dei fatti rappresentati con quella di preservare la riservatezza dell’identità del segnalante, della persona coinvolta, degli altri soggetti menzionati e del contenuto della segnalazione.
In questa prospettiva, assume particolare rilievo la formulazione dell’art. 12, comma 2, del d.lgs. 24/2023, che estende la tutela, oltre che all’identità della persona segnalante, a qualsiasi altra informazione dalla quale essa possa essere ricavata, direttamente o indirettamente.

Secondo ANAC, la disposizione non richiede, ai fini della configurabilità della violazione, che il segnalante sia stato effettivamente identificato da soggetti terzi. È sufficiente che le informazioni comunicate siano astrattamente idonee a consentirne l’identificazione.
L’accertamento deve dunque riguardare la capacità identificativa delle informazioni divulgate, valutata anche alla luce del contesto nel quale vengono rese disponibili e delle ulteriori conoscenze possedute dai loro destinatari.
In altri termini, l’adempimento dell’obbligo di dare seguito alla segnalazione non esonera il gestore dal distinto obbligo di garantirne la riservatezza.

Le implicazioni per i gestori delle segnalazioni e per gli RPCT

Sebbene la vicenda riguardi una società privata, i principi affermati da ANAC assumono immediata rilevanza per tutti i soggetti tenuti ad assicurare la gestione dei canali interni di segnalazione, tra cui i RPCT.
La pronuncia richiama pertanto l’attenzione su un aspetto che dovrebbe trovare specifica considerazione nelle procedure interne: la preventiva individuazione delle cautele da adottare nello svolgimento degli accertamenti, per evitare che le attività di verifica rendano riconoscibile il segnalante.

Il rischio di identificazione indiretta può risultare particolarmente elevato nelle amministrazioni di dimensioni contenute, negli uffici caratterizzati da un numero limitato di addetti o quando la segnalazione riguardi procedimenti e attività ai quali abbiano partecipato soltanto pochi dipendenti.
In tali contesti, anche il riferimento a un determinato procedimento amministrativo, a una specifica interlocuzione o a circostanze conosciute soltanto da alcuni soggetti può consentire di individuare la fonte della segnalazione, pur in assenza di qualsiasi comunicazione nominativa.
Ne consegue l’esigenza di una valutazione preventiva non soltanto delle informazioni da acquisire, ma anche delle modalità attraverso le quali procedere alla loro acquisizione.

Le cautele da adottare nella gestione dell’istruttoria

Le indicazioni contenute nella delibera suggeriscono, in primo luogo, di programmare le attività istruttorie considerando il rischio di identificazione del segnalante, prima ancora di procedere all’acquisizione di documenti o all’audizione delle persone informate sui fatti.

In particolare, risulta opportuno:

• Valutare preventivamente il rischio di identificazione indiretta, considerando il contenuto della segnalazione, le caratteristiche dell’organizzazione, il numero dei soggetti coinvolti e le informazioni di cui questi ultimi potrebbero già disporre.
• Limitare la comunicazione dei contenuti della segnalazione alle informazioni strettamente necessarie per lo svolgimento degli accertamenti, evitando la riproduzione integrale del documento o la diffusione di dettagli non indispensabili.
• Predisporre con particolare attenzione le richieste istruttorie e le domande da rivolgere ai soggetti interessati, evitando riferimenti eccessivamente circostanziati che possano ricondurre immediatamente all’autore della segnalazione.
• Considerare l’effetto combinato delle informazioni, verificando se elementi apparentemente neutri, quali ufficio di appartenenza, funzione ricoperta, attività svolte o conoscenza di specifici episodi, possano consentire l’identificazione del segnalante.
• Circoscrivere l’accesso alle informazioni ai soggetti competenti e debitamente autorizzati, assicurando che anche gli eventuali collaboratori del RPCT operino nel rispetto degli obblighi di riservatezza.
• Documentare le valutazioni e le cautele adottate, così da rendere verificabile la correttezza delle modalità di conduzione dell’istruttoria.

Un passaggio di particolare interesse della delibera riguarda, inoltre, le possibili strategie di de-identificazione suggerite dall’Autorità.
ANAC evidenzia l’utilità, ove compatibile con le caratteristiche del caso concreto, di impostare gli accertamenti in maniera tale da non renderne immediatamente riconoscibile l’origine. Tra le soluzioni prospettate figurano l’estensione delle verifiche a una pluralità di pratiche o soggetti, così da evitare che l’indagine risulti circoscritta a un unico possibile segnalante, oppure l’inserimento degli accertamenti nell’ambito di una più ampia attività di audit o di controllo interno.

Si tratta di accorgimenti finalizzati a evitare che le persone coinvolte nell’istruttoria possano ricostruire, attraverso il contenuto e le modalità delle verifiche, l’identità di chi ha segnalato.
Tali strategie devono essere naturalmente valutate in relazione alle circostanze concrete, nel rispetto dei principi di necessità, proporzionalità e minimizzazione dei dati trattati.

Il ruolo dell’atto organizzativo interno sul whistleblowing

In questo quadro assume particolare rilievo anche l’atto organizzativo interno in materia di whistleblowing, richiamato dalle Linee guida ANAC n. 1/2025, approvate con delibera n. 478/2025, quale strumento attraverso il quale gli enti definiscono, tra l’altro, i compiti e i poteri del gestore, le modalità di ricevimento e il processo di gestione delle segnalazioni.
La delibera n. 344/2026 offre, pertanto, un’ulteriore occasione per verificare l’adeguatezza delle procedure adottate, con particolare riferimento alle modalità di svolgimento dell’istruttoria e alle misure necessarie per prevenire il rischio di identificazione, anche indiretta, del segnalante.

L’obiettivo è assicurare che la tutela della riservatezza trovi concreta attuazione nelle regole organizzative e nelle modalità di conduzione degli accertamenti, senza essere rimessa esclusivamente alla prudenza del singolo gestore.

La sicurezza del canale non esaurisce gli obblighi di tutela

Un ulteriore profilo di interesse della decisione riguarda il rapporto tra misure tecnologiche e garanzie organizzative.
Nella vicenda esaminata, gli strumenti informatici utilizzati per la ricezione della segnalazione assicuravano adeguate condizioni di riservatezza. Le criticità si erano manifestate soltanto nella fase successiva, a seguito delle modalità adottate per lo svolgimento delle verifiche. Il caso dimostra, pertanto, come l’adozione di una piattaforma informatica sicura non sia, di per sé, sufficiente a garantire il rispetto degli obblighi previsti dal d.lgs. 24/2023.

La protezione dell’identità del whistleblower richiede che le garanzie tecnologiche siano accompagnate da procedure adeguate e da una specifica preparazione dei soggetti incaricati della gestione delle segnalazioni, con particolare attenzione alle tecniche di conduzione degli accertamenti.

Conclusioni

La delibera n. 344/2026 ribadisce che la riservatezza del whistleblower costituisce un obbligo destinato a operare lungo l’intero procedimento di gestione della segnalazione e non soltanto nella fase della sua ricezione.
L’elemento di maggiore interesse della pronuncia risiede nell’aver ricondotto la valutazione della violazione dell’art. 12 del d.lgs. 24/2023 alla potenziale identificabilità del segnalante, anche quando questa derivi dalla combinazione di informazioni comunicate nel corso degli accertamenti.

La pronuncia conferma, inoltre, che l’efficacia dell’istruttoria e la tutela della riservatezza non costituiscono esigenze alternative, ma obblighi che devono essere assicurati contestualmente.
Per i gestori delle segnalazioni, e in particolare per gli RPCT delle amministrazioni pubbliche, ciò comporta la necessità di definire preventivamente modalità di accertamento che consentano di verificare i fatti segnalati senza compromettere le garanzie riconosciute al whistleblower.