Una casella email non è un canale di segnalazione.

«Abbiamo già una mail dedicata alle segnalazioni.» È l’obiezione più frequente, ed è ragionevole: costa zero, esiste già, tutti sanno usarla. Il problema non è che sia vietata — il D.Lgs. 24/2023 non impone alcuna tecnologia e non nomina mai il software. Il problema è che con una casella di posta non si riesce a dimostrare quello che la norma chiede, e l’onere di dimostrarlo è di chi ha scelto lo strumento.

Che cosa chiede la norma al canale

I requisiti stanno in tre articoli. Vale la pena leggerli nell’ordine, perché sono cumulativi.

Art. 4, comma 1. I canali devono garantire, «anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione».

Da questa riga si ricavano quattro oggetti distinti da proteggere, non uno: l’identità di chi segnala, l’identità di chi è segnalato, l’identità di chiunque sia nominato per caso nel testo, e il contenuto con gli allegati. La crittografia è indicata come strumento possibile, non come obbligo assoluto: la formula è «anche tramite». Ma se non si usa quella, bisogna spiegare che cos’altro produce lo stesso risultato.

Art. 12. L’identità del segnalante e ogni informazione da cui possa ricavarsi «non possono essere rivelate senza il consenso espresso» della persona, salvo che a soggetti autorizzati al trattamento. Nel procedimento disciplinare, se la contestazione si fonda sulla segnalazione e la conoscenza dell’identità è indispensabile alla difesa, serve comunque il consenso espresso, e al segnalante va data comunicazione scritta delle ragioni.

Art. 14. Le segnalazioni e la relativa documentazione sono conservate «per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni» dalla comunicazione dell’esito finale.

Messi insieme: riservatezza di quattro categorie di soggetti e del contenuto, accesso limitato ai soli autorizzati, tracciabilità di chi ha fatto cosa (senza la quale l’autorizzazione è una dichiarazione), conservazione entro un limite massimo con cancellazione a valle.

Perché l’email fallisce, requisito per requisito

La riga sulla tracciabilità è quella che pesa di più, ed è controintuitiva. Un canale non serve solo a ricevere: serve a provare di aver gestito. L’avviso di ricevimento entro sette giorni e il riscontro entro tre mesi previsti dall’art. 5 sono obblighi di risultato con una data certa; in un procedimento, la difesa dell’ente consiste esattamente nel produrre quelle date. Una casella di posta può contenere la prova, ma in una forma che l’ente stesso può alterare, e quindi debole.

Il problema GDPR: i metadati e chi accede

Qui serve una precisazione preliminare, perché il tema viene spesso raccontato male: il Garante per la protezione dei dati personali non ha adottato un provvedimento che vieti l’uso della posta elettronica come canale di whistleblowing. Quello che esiste sono due atti di portata generale che, applicati a questo caso, rendono la posizione difficile da difendere.

Il documento di indirizzo sui metadati di posta elettronica, adottato con provvedimento del 6 giugno 2024, che aggiorna quello del 21 dicembre 2023. Il Garante osserva che i programmi e servizi di gestione della posta raccolgono per impostazione predefinita metadati — mittente, destinatario, orari, oggetto, dimensione, indirizzi IP dei server — e che questi «sono registrati automaticamente dai sistemi di posta elettronica, indipendentemente dalla percezione e dalla volontà dell’utilizzatore». L’indicazione operativa è che la conservazione dei metadati necessaria ad assicurare il funzionamento delle infrastrutture non dovrebbe superare i 21 giorni; una conservazione più ampia richiede l’esperimento delle garanzie dell’art. 4, comma 1 della legge 300/1970, cioè accordo sindacale o autorizzazione dell’Ispettorato del lavoro.

La conseguenza per il whistleblowing è secca: una parte dei dati che rivelano l’identità del segnalante viene generata e conservata da un sistema che il gestore del canale non controlla, e il termine con cui viene conservata risponde a una logica diversa da quella dell’art. 14 del decreto.

Il provvedimento sugli amministratori di sistema, del 27 novembre 2008. Impone la designazione individuale degli amministratori, un elenco aggiornato delle persone fisiche che rivestono quel ruolo, la verifica almeno annuale del loro operato e la registrazione degli accessi logici con caratteristiche di «completezza, inalterabilità e possibilità di verifica della loro integrità», conservati per un periodo non inferiore a sei mesi. In una casella condivisa in un tenant aziendale, quelle figure esistono e accedono; se il canale è la casella, sono soggetti che di fatto possono conoscere l’identità del segnalante senza essere autorizzati a farlo ai sensi dell’art. 12.

Nel registro dei trattamenti questo si traduce in una voce difficile da compilare in modo coerente: finalità e base giuridica sono quelle del D.Lgs. 24/2023, il termine di conservazione è quello dell’art. 14, ma le categorie di autorizzati includono, di fatto, chiunque amministri il sistema di posta. La contraddizione è visibile a chiunque legga il registro con attenzione, a partire dal DPO.

Il caso della PEC: sembra più solida, è peggio

È la variante che propongono le organizzazioni più strutturate: «usiamo la PEC, così abbiamo valore legale». Il ragionamento è corretto sul piano probatorio e sbagliato su quello della riservatezza, perché i due obiettivi sono in contrasto.

La posta elettronica certificata esiste per certificare chi ha inviato che cosa e quando, con opponibilità ai terzi. Applicata a una segnalazione, produce esattamente il risultato che la norma vuole evitare: l’identità del segnalante non solo è nota, ma è certificata da un terzo. Le ricevute di accettazione e di avvenuta consegna, inoltre, sono generate e conservate dai gestori secondo la disciplina della PEC, quindi fuori dal perimetro di controllo dell’ente e su tempi che non coincidono con quelli dell’art. 14.

Una PEC può avere senso come canale aggiuntivo per chi sceglie consapevolmente di segnalare in forma palese e vuole una prova dell’invio. Come canale unico è la soluzione peggiore fra quelle basate sulla posta.

Il requisito che quasi tutti dimenticano: la segnalazione orale

L’art. 4, comma 3 stabilisce che le segnalazioni sono effettuate «in forma scritta, anche con modalità informatiche, oppure in forma orale». Le segnalazioni orali avvengono attraverso linee telefoniche o sistemi di messaggistica vocale oppure, su richiesta della persona segnalante, mediante un incontro diretto fissato entro un termine ragionevole.

L’art. 14, commi 2, 3 e 4 disciplina come vanno documentate: registrazione previa autorizzazione della persona, oppure trascrizione integrale, oppure resoconto dettagliato o verbale, che il segnalante può verificare, rettificare e sottoscrivere.

Una casella di posta non copre questo requisito in nessun modo. Un ente il cui unico canale è un indirizzo email non ha semplicemente uno strumento debole: ha un canale che manca di una delle modalità previste dalla legge. È una non conformità all’art. 4, e quindi rientra fra le condotte sanzionate dall’art. 21.

Che cosa serve invece

Non è un elenco di funzionalità commerciali: sono i requisiti sopra, tradotti in scelte tecniche.

1. Cifratura del contenuto, così che il testo e gli allegati non siano leggibili da chi amministra il sistema ma solo da chi è autorizzato a gestire. È lo strumento che l’art. 4, comma 1 cita esplicitamente.
2. Separazione dei ruoli, con l’identità del segnalante tenuta distinta dal resto della segnalazione e accessibile solo a chi ha titolo. È la stessa logica che ANAC applica al proprio canale esterno, dove i dati identificativi sono segregati in una sezione apposita e affidati a un «custode dell’identità».
3. Log immutabile delle azioni: chi ha aperto, quando, che cosa ha fatto. Serve al segnalante come garanzia e all’ente come difesa.
4. Dialogo con il segnalante anonimo. Senza questo, l’obbligo dell’art. 5 di mantenere le interlocuzioni e di chiedere integrazioni è inapplicabile a chi non si è identificato, e le segnalazioni anonime restano inutilizzabili anche quando sono fondate.
5. Cancellazione a termine, dimostrabile. Il limite dei cinque anni dell’art. 14 è un massimo: serve un meccanismo che cancelli e che lasci prova di aver cancellato.
6. Un canale per le segnalazioni orali, con la documentazione prevista dall’art. 14, commi da 2 a 4.

Un’email dedicata non ti mette fuori norma. Ti mette in difficoltà a dimostrarlo

Vale la pena essere precisi, perché su questo punto il marketing del settore esagera. Nel D.Lgs. 24/2023 non c’è nessuna disposizione che vieti la posta elettronica, non esiste un elenco di tecnologie ammesse, e ANAC non ha dichiarato illegittimo l’uso di un indirizzo email. Un’organizzazione che ha una casella dedicata, una procedura scritta, un gestore designato e formato e un registro delle segnalazioni tenuto con diligenza è in una posizione molto migliore di una che non ha nulla.

Il punto è un altro, ed è probatorio. In una verifica ANAC o in un contenzioso per ritorsione, la domanda non è «avevate un canale?» ma «dimostrate che l’identità è rimasta riservata, che avete risposto nei termini, che solo le persone autorizzate hanno avuto accesso e che avete conservato e poi cancellato correttamente». Con una casella di posta quelle prove o non esistono, o esistono in una forma che l’ente ha potuto modificare, e nel dubbio la debolezza probatoria pesa su chi doveva organizzare il presidio.

C’è anche un effetto che non riguarda le sanzioni. Chi valuta se segnalare fa una stima molto rapida del rischio personale, e la stima peggiora quando il canale è uno strumento che la persona sa di non poter controllare. Un canale che nessuno usa non produce contenzioso, ma non produce nemmeno informazione: e l’informazione è l’unica ragione per cui questa disciplina esiste.

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 4, 5, 12, 14 e 21; provvedimenti del Garante per la protezione dei dati personali del 6 giugno 2024 (metadati di posta elettronica) e del 27 novembre 2008 (amministratori di sistema); art. 4 della legge 300/1970. Si segnala un limite: il documento di indirizzo del Garante sui metadati ha portata generale e non riguarda specificamente i canali di whistleblowing; l’applicazione a questo contesto è una lettura, non una presa di posizione dell’Autorità. Non risultano, alla data di pubblicazione, provvedimenti sanzionatori pubblicati che dichiarino non conforme un canale di segnalazione basato sulla posta elettronica. Per la valutazione di un assetto concreto rivolgiti a un legale.