Whistleblowing e GDPR: come si trattano i dati.

In molte organizzazioni il progetto whistleblowing si ferma sulla scrivania del DPO. Non per ostilità: perché il canale di segnalazione è uno dei trattamenti più delicati che un’azienda gestisca — dati che, se escono, espongono una persona a una ritorsione — e chi deve dare l’ok vuole vedere una struttura, non una brochure. Questa guida mette in fila che cosa dice il D.Lgs. 24/2023 sul trattamento dei dati, e dove invece la norma tace.

Titolare, responsabile, autorizzati

L’impianto sta nell’art. 13 del decreto, che al comma 1 rinvia integralmente al GDPR, al Codice privacy e al D.Lgs. 51/2018.

Titolare è l’ente che istituisce il canale: il comma 4 individua come titolari i soggetti indicati dall’art. 4, cioè gli enti pubblici e privati obbligati. Non c’è spazio per costruzioni creative: non è titolare il gestore, non lo è il fornitore, non lo è la capogruppo.

Responsabile del trattamento è chi tratta per conto del titolare, sulla base di un contratto ex art. 28 GDPR. Le Linee guida ANAC ne individuano due figure distinte, e la distinzione conta:

• il fornitore dell’infrastruttura — chi mette a disposizione la piattaforma, in cloud o on premise;
• il gestore esterno del canale, quando l’ente si avvale della facoltà dell’art. 4, comma 2 di affidare la gestione a un terzo.

Sono ruoli diversi con contratti diversi, anche quando il fornitore è lo stesso. Confonderli produce un contratto che non copre quello che serve.

C’è poi un avvertimento che ANAC riprende dal GDPR e che vale la pena leggere: se i responsabili «non si limitino a trattare i dati in base alle indicazioni del titolare e inizino a definire mezzi e finalità propri, sono considerati titolari rispetto a tale ultimo trattamento», con la conseguente esposizione alle sanzioni del Garante. Un fornitore che usa i dati delle segnalazioni per finalità sue — statistiche commerciali, addestramento di modelli, benchmark — non è un responsabile diligente: è un titolare abusivo.

Autorizzati sono le persone fisiche designate che operano sotto l’autorità del titolare o del responsabile, ai sensi dell’art. 2-quaterdecies del Codice privacy e degli artt. 29 e 32, par. 4 del GDPR. Nel whistleblowing questa designazione non è un formalismo: l’art. 12, comma 2 vieta di rivelare l’identità del segnalante «salvo che a soggetti autorizzati al trattamento». Chi non ha la designazione non può conoscerla, e questo include figure che normalmente accedono a tutto, come gli amministratori di sistema.

La base giuridica: quello che il decreto dice e quello che non dice

Qui serve onestà, perché molte informative in circolazione affermano con sicurezza cose che nel decreto non ci sono.

Il D.Lgs. 24/2023 non indica espressamente la base giuridica del trattamento. L’art. 13 rinvia al GDPR e detta regole specifiche su minimizzazione, limiti ai diritti, titolarità, contitolarità e valutazione d’impatto, ma non scrive «la base giuridica è l’art. 6, paragrafo 1, lettera ...». Nemmeno le Linee guida ANAC lo fanno: si limitano a richiedere che l’informativa indichi «la base giuridica del trattamento» fra gli elementi obbligatori.

La lettura prevalente, che è una lettura e non una presa di posizione dell’Autorità, è questa: per gli enti obbligati a istituire il canale la base è l’adempimento di un obbligo legale, e per i soggetti pubblici l’esecuzione di un compito di interesse pubblico; per i dati appartenenti a categorie particolari, che in una segnalazione compaiono spesso senza che nessuno li abbia chiesti, occorre individuare una condizione dell’art. 9 del GDPR. Per gli enti non obbligati che attivano un canale volontariamente il ragionamento cambia, perché l’obbligo legale non c’è.

Che cosa farne, in pratica: la scelta della base giuridica va motivata nel registro dei trattamenti e nell’informativa, e la motivazione va conservata. Chi la dà per scontata non ha una risposta da dare quando gliela chiedono.

L’informativa: a chi, quando, e il caso del segnalato

Le Linee guida ANAC danno un’indicazione operativa precisa e controintuitiva. L’informativa va resa ex ante ai possibili interessati — segnalanti, segnalati, persone comunque coinvolte, facilitatori — con la pubblicazione di documenti informativi: sito web, piattaforma, informative brevi al momento dell’uso degli altri canali.

E poi: «nella fase di acquisizione della segnalazione e della eventuale successiva istruttoria non devono invece essere fornite informative ad hoc ai vari soggetti interessati diversi dal segnalante». La ragione è evidente e ANAC la esplicita in nota: un’informativa mirata al segnalato lo avviserebbe dell’esistenza di una segnalazione a suo carico, vanificando le tutele di riservatezza.

Il segnalato riceve un’informativa ad hoc solo quando all’esito dell’istruttoria si avvia un procedimento nei suoi confronti. Fino a quel momento la sua posizione è coperta dall’informativa generale pubblicata ex ante.

È il punto che più frequentemente viene sbagliato in buona fede, perché l’istinto del compliance officer è di informare tutti. Qui informare tutti significa violare l’art. 12.

Il conflitto fra accesso del segnalato e riservatezza

È la domanda tecnicamente più interessante di tutta la materia: il segnalato è un interessato, ha diritti, e uno di questi — l’accesso dell’art. 15 GDPR — comprende in linea di principio le informazioni sull’origine dei dati. Come si concilia con l’anonimato del segnalante?

Il decreto risolve con un rinvio. Art. 13, comma 3: i diritti degli articoli da 15 a 22 del GDPR «possono essere esercitati nei limiti di quanto previsto dall’articolo 2-undecies del decreto legislativo 30 giugno 2003, n. 196».

L’art. 2-undecies del Codice privacy elenca gli interessi in presenza dei quali quei diritti non possono essere esercitati, e fra questi compare espressamente la riservatezza dell’identità della persona che segnala violazioni. Il comma 3 aggiunge il meccanismo: l’esercizio dei diritti può essere ritardato, limitato o escluso con comunicazione motivata all’interessato, con misure necessarie e proporzionate.

Tradotto in procedura: una richiesta di accesso del segnalato non si ignora e non si accoglie per intero. Si riscontra, motivando la limitazione con il richiamo all’art. 2-undecies e all’art. 13, comma 3 del decreto, e si valuta caso per caso che cosa è comunque ostensibile: la limitazione copre ciò che rivelerebbe l’identità, non automaticamente tutto il fascicolo.

Resta poi ferma la regola specifica dell’art. 12, comma 5 per il procedimento disciplinare. Se la contestazione si fonda su accertamenti distinti e ulteriori rispetto alla segnalazione, l’identità resta coperta. Se invece la contestazione si fonda sulla segnalazione e la conoscenza dell’identità è indispensabile alla difesa dell’incolpato, quell’identità può essere rivelata solo con il consenso espresso del segnalante, al quale va data comunicazione scritta delle ragioni (comma 6). Se il consenso non arriva, l’organizzazione si trova a dover scegliere fra rinunciare a quella contestazione e violare la norma: il decreto non offre una terza via, ed è bene che la procedura lo dica prima che il caso si presenti.

Minimizzazione: la regola più violata

L’art. 13, comma 2 è secco: «I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente».

ANAC ne dà però una lettura restrittiva che conviene conoscere, perché corregge un eccesso opposto: il principio «debba essere interpretato in modo restrittivo limitando l’applicabilità della previsione ai soli casi sia palese la assoluta irrilevanza» delle parti che contengono dati personali rispetto alla vicenda segnalata. La valutazione spetta al titolare, per il tramite degli autorizzati.

In pratica: non si può sfoltire una segnalazione perché sembra ridondante. Si cancella solo ciò che è palesemente e assolutamente irrilevante — il nome di un collega citato per inciso in una circostanza estranea, un dato sanitario comparso senza ragione. Il resto resta, anche se scomodo.

Conservazione e cancellazione

L’art. 14, comma 1: conservazione «per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni» dalla data della comunicazione dell’esito finale.

Due cose che il DPO verificherà. La prima: cinque anni sono un tetto, e la parte che viene prima — «per il tempo necessario» — è il vero criterio; una conservazione uniforme a cinque anni per tutto va motivata. La seconda: il termine decorre dalla comunicazione dell’esito finale, quindi il sistema deve tracciare quella data. Il dettaglio operativo sta nella guida sul registro delle segnalazioni.

DPIA: quando serve e quando va fatta

Sul «quando serve» il decreto è più esplicito del GDPR. L’art. 13, comma 6 richiede che i soggetti obbligati definiscano il proprio modello di ricevimento e gestione delle segnalazioni individuando misure tecniche e organizzative adeguate sulla base di una valutazione d’impatto sulla protezione dei dati. Non è una facoltà subordinata a una soglia di rischio: è il presupposto del modello.

Sul «quando va fatta» sono le Linee guida ANAC a chiudere il punto: nella fase di progettazione del canale e dunque prima dell’inizio del trattamento. Una DPIA redatta dopo l’attivazione è una ricostruzione, non una valutazione d’impatto, e si vede.

Elementi che in questo contesto la DPIA deve affrontare, perché sono i rischi specifici del trattamento: la possibilità che l’identità del segnalante emerga da metadati o log; l’accesso degli amministratori di sistema; la gestione del conflitto di interessi del gestore; la separazione fra identità e contenuto; la cancellazione a termine su tutti gli archivi, backup compresi.

Il contratto con il fornitore e il divieto di tracciamento

Il contratto ex art. 28 GDPR con chi fornisce la piattaforma non è un allegato di rito. Gli elementi che in questo contesto pesano di più:

1. Istruzioni documentate e divieto di trattamenti per finalità proprie del fornitore.
2. Sub-responsabili: chi sono, dove stanno, come vengono autorizzati. In un servizio cloud sono spesso più di uno.
3. Misure di sicurezza dell’art. 32, con la crittografia che ANAC considera «di regola» misura adeguata in questo contesto, fin dalla progettazione e per impostazione predefinita.
4. Cancellazione o restituzione dei dati al termine del servizio, con evidenza.
5. Audit: il diritto del titolare di verificare, e le modalità con cui il fornitore lo consente.

C’è poi una prescrizione tecnica che compare nelle Linee guida ANAC e che quasi nessun capitolato riporta: il divieto di tracciamento dei canali di segnalazione. Se l’accesso al canale avviene dalla rete interna dell’ente ed è mediato da firewall o proxy, deve essere garantita la non tracciabilità del segnalante nel momento in cui stabilisce la connessione, sia sulla piattaforma sia sugli apparati di rete coinvolti. La ragione è che i log di quegli apparati «rendono inefficaci le altre misure adottate per tutelare la riservatezza». È una verifica che riguarda l’IT interno, non il fornitore, e che quasi nessuno fa.

Trasferimenti extra UE e localizzazione dei server

Il decreto non impone che i server stiano in Italia o nell’Unione europea, e chi sostiene il contrario sta vendendo qualcosa. Si applicano le regole generali del capo V del GDPR: un trasferimento verso un paese terzo richiede una decisione di adeguatezza della Commissione, oppure garanzie adeguate come le clausole contrattuali tipo, accompagnate da una valutazione del contesto giuridico di destinazione.

Sul caso più frequente, gli Stati Uniti: esiste la decisione di adeguatezza (UE) 2023/1795 del 10 luglio 2023 relativa all’EU-US Data Privacy Framework, che copre i trasferimenti verso soggetti certificati. Il Tribunale dell’Unione europea, con sentenza del 3 settembre 2025 nella causa promossa da un deputato francese, ha respinto il ricorso di annullamento contro quella decisione; la pronuncia è impugnabile davanti alla Corte di giustizia. L’esito di eventuali ulteriori gradi di giudizio non è determinabile, e la storia recente — Safe Harbor annullato nel 2015, Privacy Shield nel 2020 — suggerisce che l’assetto vada monitorato invece che dato per acquisito.

Ecco perché la domanda «dove stanno i dati» non è un dettaglio tecnico: da quella risposta dipende se il vostro trattamento poggia su una decisione di adeguatezza che è stata contestata in giudizio, oppure su un percorso che quel rischio non lo corre. In entrambi i casi la risposta va scritta nella DPIA e nel registro, non lasciata implicita.

Le domande che fa un DPO

1. Chi è titolare e chi responsabile, e ci sono i contratti ex art. 28 per entrambe le figure (fornitore e gestore esterno)?
2. La DPIA è stata fatta prima dell’attivazione del canale, e affronta metadati, amministratori di sistema e cancellazione sui backup?
3. L’informativa generale è pubblicata ex ante e copre segnalanti, segnalati, coinvolti e facilitatori?
4. Esiste una procedura per le richieste di accesso del segnalato, con il richiamo all’art. 2-undecies e una motivazione tipo?
5. Chi sono gli autorizzati, sono designati per iscritto, e gli amministratori di sistema sono esclusi dall’accesso al contenuto?
6. Il registro dei trattamenti è aggiornato con questa finalità, la base giuridica motivata e il termine di conservazione?
7. La connessione al canale è non tracciabile dagli apparati di rete interni?
8. Dove stanno i dati, chi sono i sub-responsabili e su che cosa poggia un eventuale trasferimento extra UE?

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 4, 12, 13 e 14; D.Lgs. 196/2003, artt. 2-undecies e 2-quaterdecies; Regolamento (UE) 2016/679; Linee guida ANAC di cui alle delibere n. 311 del 12 luglio 2023 e n. 478 del 26 novembre 2025; decisione di esecuzione (UE) 2023/1795. Limiti dichiarati: il decreto non individua espressamente la base giuridica del trattamento e non esiste, alla data di pubblicazione, un provvedimento del Garante dedicato specificamente ai canali di whistleblowing che la fissi; la qualificazione proposta è una lettura. La stabilità della decisione di adeguatezza sugli Stati Uniti dipende da un contenzioso ancora aperto e il suo esito non è determinabile. Per la valutazione di un assetto concreto rivolgiti a un legale o al tuo DPO.