Documento - 15/10/2026

Whistleblowing: ANAC sanziona singoli componenti dell'organo di gestione per violazione della riservatezza del segnalante

Delibera ANAC n. 344 del 9.9.2026: la tutela dell’identità del segnalante deve essere garantita anche durante le attività istruttorie e non solo attraverso la sicurezza della piattaforma. Sanzioni individuali per ciascun componente dell'organo di gestione

1. Il provvedimento dell’Autorità Nazionale Anticorruzione

Con la delibera n. 344 del 9 settembre 2026, l’Autorità Nazionale Anticorruzione (ANAC) ha irrogato una sanzione amministrativa pecuniaria di 15.000 euro a ciascuno dei tre componenti dell’organo incaricato della gestione delle segnalazioni whistleblowing di una società privata, accertando la violazione dell’obbligo di riservatezza dell’identità della persona segnalante.

Il provvedimento ha assunto particolare rilievo per le imprese, poiché ha chiarito che la protezione dell’identità del segnalante non si esaurisce nell’adozione di piattaforme informatiche sicure o di sistemi di crittografia, ma deve essere garantita durante tutte le fasi di gestione della segnalazione, comprese le attività di verifica, le audizioni e gli accertamenti interni.

L’Autorità ha inoltre precisato che la violazione dell’obbligo di riservatezza può configurarsi anche quando l’identità del segnalante non sia stata espressamente comunicata a terzi, essendo sufficiente la divulgazione di informazioni dalle quali tale identità possa essere desunta, direttamente o indirettamente.

La decisione ha pertanto evidenziato la necessità di considerare la riservatezza non soltanto come requisito tecnico del sistema di segnalazione, ma anche come obbligo organizzativo e comportamentale gravante personalmente sui soggetti incaricati della relativa gestione.

2. La vicenda oggetto del procedimento

Il procedimento ha riguardato una segnalazione presentata da un dipendente attraverso il canale interno di una società privata.

La segnalazione aveva ad oggetto presunte condotte illecite connesse alla gestione di un progetto contrattuale e, in particolare, possibili irregolarità relative alla documentazione contrattuale e alla contabilizzazione delle attività.

La società disponeva di una piattaforma informatica dedicata alle segnalazioni whistleblowing, dotata di strumenti di protezione e crittografia.

La segnalazione era stata presa in carico dall’organo competente, che aveva avviato attività di verifica e approfondimento, comprendenti interlocuzioni con diversi soggetti aziendali.

Nel corso di tali accertamenti, tuttavia, i gestori avevano formulato domande particolarmente circostanziate, riferite a elementi specifici della vicenda segnalata.

Secondo la ricostruzione dell’ANAC, tali modalità istruttorie avevano reso possibile l’individuazione della persona segnalante da parte di soggetti che, per il ruolo ricoperto e per la conoscenza del contesto aziendale, erano in grado di collegare le informazioni ricevute a un determinato dipendente.

La protezione assicurata dalla piattaforma informatica era stata quindi compromessa dalle modalità concretamente adottate nella successiva fase di verifica.

La vicenda aveva inoltre registrato conseguenze sul rapporto di lavoro del segnalante, successivamente escluso da alcune attività connesse al progetto, destinatario di iniziative disciplinari e infine licenziato.

Il licenziamento era stato riconosciuto come ritorsivo e dichiarato nullo in sede giudiziaria, con sentenza non ancora definitiva al momento del provvedimento dell’Autorità.

È opportuno precisare che la decisione dell’ANAC aveva riguardato specificamente la violazione dell’obbligo di riservatezza da parte dei gestori, mentre la qualificazione del licenziamento come ritorsivo era intervenuta nell’ambito del distinto procedimento giurisdizionale.

3. Le contestazioni formulate dall’ANAC

Il procedimento sanzionatorio aveva preso in esame due distinti profili di possibile violazione del decreto legislativo 10 marzo 2023, n. 24, recante attuazione della direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali.

3.1. Il presunto mancato svolgimento delle attività di verifica

La prima contestazione aveva riguardato l’eventuale mancato svolgimento delle attività di verifica e analisi della segnalazione ricevuta.

Il riferimento normativo era costituito dall’articolo 21 (Sanzioni), comma 1, lettera b), del d.lgs. n. 24/2023, che prevede sanzioni amministrative pecuniarie da 10.000 a 50.000 euro, tra l’altro, quando sia accertato il mancato svolgimento delle attività di verifica e analisi delle segnalazioni ricevute.

L’Autorità aveva tuttavia accertato che i componenti dell’organo di gestione avevano effettivamente svolto attività istruttorie, acquisito informazioni ed esaminato i fatti oggetto della segnalazione.

La contestazione era stata pertanto archiviata.

Tale conclusione ha confermato la necessità di distinguere l’effettivo svolgimento delle attività istruttorie dalla valutazione del loro esito.

L’obbligo di dare seguito alla segnalazione non comporta infatti, di per sé, l’obbligo di confermare la fondatezza delle circostanze denunciate.

3.2. La violazione dell’obbligo di riservatezza

La seconda contestazione aveva riguardato la violazione dell’obbligo di riservatezza previsto dall’articolo 12 (Obbligo di riservatezza), comma 2, del d.lgs. n. 24/2023.

La disposizione stabilisce che l’identità della persona segnalante e qualsiasi altra informazione dalla quale possa evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della persona stessa, a soggetti diversi da quelli competenti a ricevere o dare seguito alle segnalazioni, espressamente autorizzati al trattamento dei dati personali.

La violazione è sanzionata dall’articolo 21 (Sanzioni), comma 1, lettera a), del medesimo decreto, che prevede una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro.

Diversamente dalla prima contestazione, l’ANAC aveva ritenuto accertata la violazione dell’obbligo di riservatezza, irrogando una sanzione individuale di 15.000 euro a ciascuno dei tre componenti dell’organo di gestione.

4. Il principio centrale: è sufficiente l’identificabilità indiretta del segnalante

L’aspetto di maggiore interesse del provvedimento è rappresentato dall’interpretazione dell’articolo 12, comma 2, del d.lgs. n. 24/2023.

Secondo l’Autorità, la disposizione non vieta soltanto la comunicazione esplicita del nominativo del segnalante, ma anche la divulgazione di informazioni che consentano a terzi di risalire alla sua identità.

L’espressione normativa «può evincersi, direttamente o indirettamente» attribuisce rilievo alla stessa capacità identificativa delle informazioni divulgate.

Ne consegue che l’effettiva identificazione del segnalante non costituisce un presupposto necessario per l’integrazione della violazione.

È sufficiente che le informazioni comunicate siano concretamente idonee, in relazione al contesto conoscitivo dei destinatari, a rendere riconoscibile la persona che ha effettuato la segnalazione.

La valutazione deve pertanto considerare non soltanto il contenuto delle informazioni, ma anche le conoscenze già possedute dai soggetti che le ricevono.

Un riferimento apparentemente generico a un progetto, a una riunione, a una determinata operazione contabile o a un episodio aziendale può infatti consentire l’identificazione del segnalante quando il numero delle persone a conoscenza dei fatti sia particolarmente ristretto.

Nel caso esaminato, l’ANAC aveva ritenuto che le domande formulate durante le audizioni avessero reso riconoscibile la provenienza della segnalazione.

Il principio assume particolare rilevanza nelle organizzazioni caratterizzate da gruppi di lavoro di dimensioni limitate, responsabilità individuali ben definite o processi decisionali ai quali partecipano pochi soggetti.

In tali contesti, anche informazioni prive di dati identificativi espliciti possono risultare sufficienti a individuare la persona segnalante.

5. Il rapporto con il GDPR: identificabilità, minimizzazione e sicurezza del trattamento

Il provvedimento presenta significativi collegamenti con la disciplina europea in materia di protezione dei dati personali.

L’articolo 4 (Definizioni), paragrafo 1, punto 1), del Regolamento (UE) 2016/679 (GDPR) definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile.

La nozione di identificabilità comprende anche l’individuazione indiretta della persona attraverso elementi che, considerati singolarmente o congiuntamente, consentano di distinguerla da altre.

Il considerando 26 del GDPR precisa che, per stabilire se una persona sia identificabile, occorre considerare tutti i mezzi ragionevolmente utilizzabili dal titolare del trattamento o da terzi.

La protezione dell’identità del segnalante deve quindi essere valutata anche alla luce del contesto organizzativo nel quale le informazioni vengono comunicate.

Assumono particolare rilievo:

• Articolo 5 (Principi applicabili al trattamento di dati personali), paragrafo 1, lettera c), GDPR – Minimizzazione dei dati: le informazioni trattate devono essere adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità perseguite.
• Articolo 5, paragrafo 1, lettera f), GDPR – Integrità e riservatezza: i dati personali devono essere trattati in maniera da garantirne un’adeguata sicurezza.
• Articolo 24 (Responsabilità del titolare del trattamento), paragrafo 1, GDPR: il titolare deve mettere in atto misure tecniche e organizzative adeguate e poter dimostrare la conformità del trattamento.
• Articolo 25 (Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita), paragrafi 1 e 2, GDPR: le garanzie di protezione devono essere incorporate nella progettazione e nell’esecuzione dei trattamenti.
• Articolo 32 (Sicurezza del trattamento), paragrafo 1, GDPR: il titolare e il responsabile devono adottare misure tecniche e organizzative adeguate al rischio.

L’articolo 12, comma 2, del d.lgs. n. 24/2023 richiama inoltre espressamente gli articoli 29 e 32, paragrafo 4, del GDPR, nonché l’articolo 2-quaterdecies del d.lgs. n. 196/2003, relativi al trattamento dei dati da parte delle persone autorizzate.

Da tale quadro emerge che l’utilizzo di una piattaforma informatica sicura costituisce soltanto una componente delle misure necessarie.

La tutela della riservatezza deve estendersi alle procedure, alle istruzioni impartite ai gestori, alla conduzione delle verifiche e alle modalità di circolazione delle informazioni all’interno dell’organizzazione.

La sicurezza tecnologica del canale di segnalazione non può compensare modalità istruttorie che espongano il segnalante al rischio di identificazione.

6. Le modalità di conduzione delle indagini interne

La decisione dell’ANAC ha evidenziato l’esigenza di adottare specifiche precauzioni durante le attività istruttorie.

L’organo incaricato della gestione delle segnalazioni deve infatti conciliare due esigenze entrambe rilevanti: accertare i fatti segnalati e impedire che le modalità degli accertamenti compromettano la riservatezza delle persone coinvolte.

Il problema si pone soprattutto quando la verifica richieda audizioni di dipendenti, responsabili di funzione, dirigenti o soggetti direttamente interessati ai fatti.

Domande eccessivamente specifiche possono consentire agli intervistati di comprendere non soltanto quale vicenda sia oggetto dell’indagine, ma anche chi abbia potuto segnalarla.

Per prevenire tale rischio, l’ANAC ha richiamato l’opportunità di adottare strategie di de-identificazione delle attività istruttorie.

Tra queste rientrano:

a) Ampliamento dell’oggetto delle verifiche

Le attività di controllo possono essere estese a una pluralità di operazioni, pratiche o progetti, evitando di concentrare immediatamente gli accertamenti sull’unico episodio oggetto della segnalazione.

b) Diversificazione dei soggetti coinvolti

Le audizioni possono riguardare una platea più ampia di persone, purché tale scelta sia giustificata dalle esigenze istruttorie e rispetti il principio di minimizzazione.

c) Inserimento delle verifiche in attività di compliance

Quando effettivamente coerente con le procedure aziendali, l’accertamento può essere condotto nell’ambito di verifiche di conformità, controlli interni o audit programmati o straordinari.

d) Formulazione di quesiti non identificativi

Le domande devono essere predisposte evitando riferimenti superflui a circostanze conosciute soltanto dal segnalante o da un numero ristretto di soggetti.

e) Valutazione preventiva del rischio di identificazione

Prima di ciascuna audizione dovrebbe essere valutato se le informazioni da comunicare, considerate insieme alle conoscenze del destinatario, possano consentire di individuare il segnalante.

Tali tecniche non devono tuttavia tradursi in attività ingannevoli indiscriminate, raccolte di dati non necessarie o verifiche sproporzionate.

La loro applicazione richiede una valutazione caso per caso, nel rispetto dei principi di necessità, proporzionalità e minimizzazione dei dati personali.

7. La responsabilità personale dei componenti dell’organo di gestione

Un ulteriore elemento significativo del provvedimento riguarda l’individuazione dei destinatari delle sanzioni.

L’ANAC ha irrogato una sanzione di 15.000 euro a ciascuno dei tre componenti dell’organo incaricato della gestione delle segnalazioni.

Non si è trattato, pertanto, di un’unica sanzione complessiva applicata alla società, ma di tre distinte sanzioni personali.

La decisione richiama i principi generali della responsabilità amministrativa stabiliti dalla legge 24 novembre 1981, n. 689.

In particolare:

• Articolo 3 (Elemento soggettivo): nelle violazioni amministrative ciascuno risponde della propria azione od omissione, cosciente e volontaria, sia essa dolosa o colposa.
• Articolo 5 (Concorso di persone): quando più persone concorrono in una violazione amministrativa, ciascuna soggiace alla sanzione prevista, salvo diversa disposizione di legge.
• Articolo 11 (Criteri per l’applicazione delle sanzioni amministrative pecuniarie): la determinazione della sanzione tiene conto della gravità della violazione, dell’opera svolta dall’agente per eliminare o attenuarne le conseguenze, della personalità dell’autore e delle sue condizioni economiche.

Il provvedimento ha quindi evidenziato che l’affidamento della gestione delle segnalazioni a un organo collegiale non determina automaticamente una responsabilità esclusivamente collettiva o imputabile alla sola organizzazione.

I singoli componenti possono essere chiamati a rispondere personalmente delle violazioni alle quali abbiano concorso.

Ne discende la necessità di definire chiaramente competenze, attribuzioni e modalità decisionali dell’organo di gestione, assicurando la tracciabilità delle attività e delle responsabilità individuali.

La formazione specialistica dei componenti assume, in questo contesto, un’importanza particolare.

8. Il coordinamento con i Modelli organizzativi 231 e con le funzioni aziendali di controllo

La decisione presenta conseguenze anche per le imprese che abbiano adottato Modelli di organizzazione, gestione e controllo ai sensi del decreto legislativo 8 giugno 2001, n. 231.

L’articolo 6 (Soggetti in posizione apicale e modelli di organizzazione dell’ente), comma 2-bis, del d.lgs. n. 231/2001 prevede che i modelli organizzativi contemplino, ai sensi del d.lgs. n. 24/2023, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare.

La gestione del whistleblowing costituisce pertanto una componente del sistema di controllo interno e di prevenzione dei rischi aziendali.

Le imprese devono prestare attenzione non soltanto alla corretta istituzione del canale di segnalazione, ma anche all’effettiva capacità dei soggetti incaricati di gestire le segnalazioni nel rispetto delle garanzie normative.

In particolare, assumono rilievo:

• l’individuazione di soggetti autonomi e specificamente formati;
• la definizione dei rapporti tra organo di gestione delle segnalazioni, Organismo di Vigilanza, funzione legale, risorse umane e funzioni di compliance;
• la prevenzione dei conflitti di interesse;
• la regolamentazione delle attività istruttorie;
• la protezione delle informazioni relative ai segnalanti;
• la tracciabilità degli accessi e delle comunicazioni;
• la verifica periodica dell’efficacia delle procedure adottate.

Occorre inoltre evitare che la circolazione delle informazioni tra le diverse funzioni aziendali comporti un ampliamento ingiustificato del numero dei soggetti in grado di identificare il segnalante.

L’eventuale coinvolgimento dell’Organismo di Vigilanza o di altre funzioni di controllo deve essere disciplinato in modo da rispettare i requisiti di riservatezza e le competenze attribuite dalla normativa.

9. Le indicazioni operative per le imprese

Alla luce del provvedimento, le imprese sono chiamate a verificare l’adeguatezza complessiva dei propri sistemi di gestione delle segnalazioni.

L’analisi non dovrebbe limitarsi alla presenza di un canale informatico conforme ai requisiti di sicurezza, ma estendersi alle modalità concrete di svolgimento delle attività successive alla ricezione della segnalazione.

In particolare, risulta opportuno:

1. Riesaminare le procedure whistleblowing

Verificare che le procedure interne disciplinino espressamente la tutela dell’identità del segnalante durante tutte le fasi dell’istruttoria, comprese audizioni, richieste documentali e interlocuzioni con le funzioni aziendali.

2. Aggiornare le istruzioni ai gestori

Predisporre istruzioni operative specifiche sulle informazioni comunicabili, sulle modalità di formulazione delle domande e sulle precauzioni da adottare per evitare identificazioni indirette.

3. Introdurre una valutazione preventiva del rischio di identificazione

Prima delle attività istruttorie più delicate, valutare la possibilità che i soggetti coinvolti possano risalire all’identità del segnalante attraverso il contenuto delle informazioni ricevute.

4. Rafforzare la formazione specialistica

Prevedere percorsi formativi dedicati ai componenti dell’organo di gestione, con particolare attenzione alle tecniche di conduzione delle audizioni e alla protezione delle informazioni identificative.

5. Verificare le autorizzazioni al trattamento dei dati personali

Accertare che i soggetti incaricati della gestione delle segnalazioni siano formalmente autorizzati al trattamento e abbiano ricevuto istruzioni adeguate, ai sensi del GDPR e della normativa nazionale.

6. Coordinare le procedure con il sistema di controllo interno

Assicurare la coerenza tra disciplina whistleblowing, Modello 231, procedure disciplinari, policy privacy e attività delle funzioni di audit e compliance.

7. Documentare le attività svolte

Conservare evidenza delle verifiche effettuate, delle decisioni assunte e delle misure adottate per tutelare la riservatezza, nel rispetto dei limiti di conservazione e delle garanzie previste dalla normativa.

8. Prevenire e monitorare eventuali ritorsioni

Prevedere adeguate modalità di gestione delle informazioni relative a possibili condotte ritorsive, tenendo conto delle competenze dei diversi organi aziendali e delle garanzie previste per le persone coinvolte.

10. Considerazioni conclusive

La delibera ANAC n. 344 del 9 settembre 2026 ha fornito un importante chiarimento sull’estensione degli obblighi di riservatezza previsti dalla disciplina del whistleblowing.

Il provvedimento ha evidenziato che la tutela del segnalante deve essere assicurata lungo l’intero processo di gestione della segnalazione e che il rispetto degli obblighi normativi non può essere valutato esclusivamente sulla base delle caratteristiche tecniche della piattaforma utilizzata.

La riservatezza deve essere garantita anche attraverso le modalità concrete con cui vengono condotte le indagini interne.

La possibilità di identificare indirettamente il segnalante, attraverso informazioni comunicate nel corso delle verifiche, può infatti determinare una violazione dell’articolo 12 del d.lgs. n. 24/2023 anche in assenza della comunicazione esplicita del suo nominativo.

La decisione ha inoltre richiamato l’attenzione sulla responsabilità personale dei soggetti incaricati della gestione delle segnalazioni, evidenziando la necessità di adeguate competenze professionali, procedure operative e misure organizzative.

Per le imprese, il provvedimento rappresenta pertanto un’occasione per riesaminare i propri sistemi di whistleblowing secondo una prospettiva integrata, che tenga conto della disciplina delle segnalazioni, della protezione dei dati personali e dei presidi di controllo previsti dai Modelli organizzativi 231.

L’effettività del sistema non dipende soltanto dalla possibilità di effettuare una segnalazione in condizioni di sicurezza, ma anche dalla capacità dell’organizzazione di gestirla senza compromettere le garanzie riconosciute dalla legge.

RIFERIMENTI NORMATIVI E DOCUMENTALI

1. Autorità Nazionale Anticorruzione

Delibera n. 344 del 9 settembre 2026 – Procedimento sanzionatorio per violazione degli obblighi previsti dal d.lgs. n. 24/2023.

link

2. Decreto legislativo 10 marzo 2023, n. 24

Attuazione della direttiva (UE) 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.

Principali disposizioni richiamate:

• Articolo 4 – Canali di segnalazione interna.
• Articolo 5 – Gestione del canale di segnalazione interna.
• Articolo 12 – Obbligo di riservatezza.
• Articolo 17 – Divieto di ritorsione.
• Articolo 21 – Sanzioni.

link

3. Direttiva (UE) 2019/1937

Protezione delle persone che segnalano violazioni del diritto dell’Unione.

link

4. Regolamento (UE) 2016/679 – GDPR

• Articolo 4 – Definizioni.
• Articolo 5 – Principi applicabili al trattamento di dati personali.
• Articolo 24 – Responsabilità del titolare del trattamento.
• Articolo 25 – Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita.
• Articolo 29 – Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento.
• Articolo 32 – Sicurezza del trattamento.
• Considerando 26 – Identificabilità delle persone fisiche.

link

5. Decreto legislativo 30 giugno 2003, n. 196

Codice privacy; in particolare art. 2-quaterdecies.

link

6. Decreto legislativo 8 giugno 2001, n. 231

Responsabilità amministrativa degli enti; art. 6, comma 2-bis.

Articolo 6 – Soggetti in posizione apicale e modelli di organizzazione dell’ente, con particolare riferimento al comma 2-bis.

link

7. Legge 24 novembre 1981, n. 689

Principi in materia di sanzioni amministrative; artt. 3, 5 e 11.

• Articolo 3 – Elemento soggettivo.
• Articolo 5 – Concorso di persone.
• Articolo 11 – Criteri per l’applicazione delle sanzioni amministrative pecuniarie.

link

8. Linee guida ANAC

8.1. ANAC - Delibera n. 311 del 12 luglio 2023 – Linee guida in materia di protezione delle persone che segnalano violazioni, come modificate dalla delibera n. 479 del 26 novembre 2025.

link

8.2 ANAC – Delibera n. 478 del 26 novembre 2025 – Linee guida in materia di whistleblowing sui canali interni di segnalazione. e documentazione whistleblowing

Portale istituzionale per linee guida, delibere e indicazioni applicative, comprese le successive modifiche del 2025.

link