La delibera ANAC n. 344/2026 ridefinisce l’obbligo di riservatezza nei canali interni: non basta evitare di dire il nome, occorre gestire l’istruttoria in modo da non consentire identificazioni indirette.
Cosa ha deciso l’ANAC
Con delibera n. 344 del 9 settembre 2026, l’Autorità Nazionale Anticorruzione ha concluso un procedimento sanzionatorio nei confronti di tre componenti dell’organo di gestione di un canale interno whistleblowing: ha archiviato la contestazione relativa alla mancata verifica della segnalazione, ha irrogato a ciascuno una sanzione di 15.000 euro per violazione dell’art. 12 del decreto legislativo 24/2023 concernente il divieto di rivelazione dell’identità del segnalante. Il caso riguarda un dipendente che aveva segnalato modifiche fittizie a un contratto con cliente e, durante l’audizione, aveva appreso dai gestori che la sua identità era già nota. La sentenza del giudice del lavoro aveva successivamente dichiarato il licenziamento nullo per ritorsività.
L’Autorità ha ritenuto che l’organo, convocando i soli componenti del ristretto team di lavoro interessato e comunicando loro l’oggetto specifico della segnalazione, aveva messo a disposizione un insieme di informazioni sufficiente a consentire l’identificazione indiretta del segnalante, anche in assenza di rivelazione diretta del nome. La violazione è stata qualificata come colposa, non dolosa, considerato che i fatti erano anteriori alle Linee guida ANAC di novembre 2025.
I criteri di identificabilità indiretta
L’innovazione centrale della delibera consiste nell’applicazione del Considerando 26 del Regolamento (UE) 2016/679 ai fini dell’interpretazione dell’art. 12 del decreto legislativo 24/2023. L’Autorità ha utilizzato le categorie del “single out” — l’isolamento univoco di un individuo entro un insieme noto — e dell'”inferenza”, ossia la possibilità di ricavare l’identità dalla combinazione di informazioni apparentemente neutre. Nel caso di specie, la comunicazione dell’oggetto della segnalazione ai cinque componenti del team, sommata ai dati di contesto già in possesso di tutti (minore anzianità del segnalante, ruolo marginale, estraneità alle richieste contestate, pregressi conflitti con il superiore segnalato), ha operato come discriminante univoca.
L’Autorità ha precisato che l’art. 12 protegge non il nome ma la riconducibilità, e che la violazione si consuma a monte della comunicazione quando l’insieme dei dati veicolati crea oggettivamente il rischio astratto di identificazione. Ha inoltre provato, mediante indizi, anche l’identificazione concreta: l’esclusione successiva del segnalante dalle attività contrattuali, l’esordio del presidente dell’organo nell’audizione (“abbiamo ricevuto la tua segnalazione”), la sequenza ravvicinata fra audizione e atti ritorsivi.
La distinzione fra motivo e interesse personale
L’Autorità ha respinto l’eccezione secondo cui la segnalazione fosse strumentale a un conflitto lavorativo non risarcibile dal decreto. Ha operato una distinzione cruciale tra il “motivo” (perché è stata fatta, irrilevante per il Considerando 32 della Direttiva UE 2019/1937) e l'”interesse personale” (cosa è stato segnalato, rilevante solo se verte su rivendicazioni del rapporto di lavoro). Nel caso di specie, l’oggetto era la falsificazione contrattuale, non il conflitto con il superiore — il quale era stato veicolato attraverso un canale distinto. Un segnalante in tensione con il proprio capo che denunci una violazione oggettiva rimane tutela, purchè l’oggetto della denuncia sia la violazione e non il conflitto.
Il richiamo giurisprudenziale al TAR Lazio (sentenza n. 7507/2026) e al Tribunale di Catania (sentenza n. 1391/2026) chiarisce che la coesistenza di un interesse personale con la segnalazione non la esclude, purché non sia esclusivamente strumentale. Applicare l’esclusione ogni volta che il segnalante sia in conflitto con l’organizzazione produce un vuoto sistematico della tutela.
Cosa devono fare le imprese
La gestione della segnalazione va censita nel registro delle attività di trattamento come trattamento autonomo di dati personali, con valutazione della necessità di una valutazione d’impatto ex art. 35 del Regolamento (UE) 2016/679. I gestori devono essere designati formalmente quali persone autorizzate ai sensi dell’art. 12, comma 2, del decreto legislativo 24/2023, con istruzioni scritte specifiche. La procedura istruttoria interna deve disciplinare una valutazione preliminare del rischio di disvelamento: numerosità del team, posizione del segnalante, attriti noti, prevedibilità di inferenze. Tale valutazione va verbalizzata per provare che la scelta è stata ponderata.
La strategia ordinaria deve essere la de-identificazione: ampliamento del perimetro apparente delle verifiche, inserimento in un audit programmato, formulazione di domande che non rivelino l’oggetto puntuale della segnalazione. Le audizioni vanno verbalizzate integralmente con sottoscrizione dell’intervistato, indicazione dei presenti, oggetti delle domande e documenti esibiti. Ove l’organo sia collegiale, le audizioni si svolgono in composizione collegiale; i colloqui informali condotti da un singolo componente non sono dimostrabili e alimentano opacità. Deve esistere una funzionalità di esclusione di componenti per conflitto d’interessi, accompagnata dalla trasparenza sulla composizione effettiva dell’organo. In presenza di segnalazioni di ritorsione ricevute dal segnalante, l’organo ha obbligo di attivazione immediata, non di sola rassicurazione.
Il perimetro del sindacato dell’Autorità
L’Autorità ha escluso di potere sindacare il merito delle valutazioni istruttorie svolte dall’organo, applicando il principio di stretta legalità sanzionatoria: verifica l’an (se le verifiche sono state svolte), non il quomodo valutativo (se sono state svolte bene) o la fondatezza delle conclusioni sulla violazione sottesa. Il rispetto documentato delle scansioni dell’art. 5 del decreto legislativo 24/2023 — avviso di ricevimento, avvio tempestivo, riscontro entro tre mesi — costituisce “indice sintomatico” del corretto adempimento, e dunque la prima linea difensiva. L’Autorità ha tuttavia rilevato, pur senza sanzionarle, una serie di carenze procedurali: scarsa trasparenza sulla composizione dell’organo, omessa verbalizzazione delle interviste, omessa menzione nell’esito di verifiche pur effettuate.
Il rilievo sulla verbalizzazione si ancora al principio di accountability: non basta agire correttamente, occorre poterlo dimostrare. L’assenza di verbali ha reso decisiva la registrazione audio prodotta dal segnalante, a danno degli stessi gestori. L’Autorità ha infine precisato che la conformità tecnologica del canale (crittografia, anonimato) non assorbe la correttezza della condotta umana a valle: il “by design” della piattaforma non deve essere pregiudicato dal “by default” dell’istruttoria.
Le questioni rimaste aperte
Il provvedimento lascia aperte almeno quattro questioni destinate a precisarsi nella prassi successiva. La prima riguarda il bilanciamento fra il dovere di de-identificazione (estensione del perimetro delle verifiche) e il principio di minimizzazione del Regolamento (UE) 2016/679: il provvedimento indica una direzione ma non fornisce criteri per misurare fino a quando l’estensione resti proporzionata. La seconda riguarda l’accertamento dell’attitudine astratta a consentire l’identificazione quando manchino indizi di disvelamento effettivo: il criterio dei “mezzi ragionevolmente disponibili” fornisce un punto di partenza, ma richiederà precisazioni per contesti organizzativi ampi. La terza riguarda l’imputazione della responsabilità: la sanzione è stata irrogata individualmente ai gestori, senza coinvolgimento dell’ente, il che solleva interrogativi sulla garanzia organizzativa dell’adeguatezza della procedura e sull’esposizione personale di chi la applica. La quarta riguarda il valore attenuante riconosciuto all’anteriorità dei fatti rispetto alle Linee guida di novembre 2025: tale riconoscimento segna una soglia temporale oltre cui il livello di diligenza esigibile è destinato a innalzarsi.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
