a cura di Maurizio Ferri
Quindicimila euro a testa. È il conto che l’ANAC, con la delibera n. 344 del 9 settembre 2026, ha presentato ai tre componenti dell’organo che in una società privata gestiva le segnalazioni whistleblowing. Non alla società: a loro, personalmente. L’addebito è la violazione dell’obbligo di riservatezza sull’identità del segnalante, previsto dall’art. 12 del d.lgs. 24/2023.
Il caso merita attenzione per una ragione precisa. Il segnalante aveva fatto tutto come si deve: piattaforma crittografata, che l’Autorità ha giudicato pienamente a norma, e segnalazione anonima. Eppure nel giro di una settimana la sua identità era nota a mezzo ufficio. Nessuna falla informatica. A tradirlo è stato il modo in cui è stata condotta l’istruttoria.
C’è poi un dettaglio che fa riflettere. Sull’altra contestazione, la mancata gestione della segnalazione, l’ANAC ha archiviato. I gestori, insomma, avevano lavorato. Lo avevano fatto nel modo sbagliato.
La vicenda
Dicembre 2024. Un dipendente, il più junior di un piccolo team, si accorge che il suo superiore ha chiesto di ritoccare un contratto con un cliente. Le date vanno sistemate «per forma», così che il cliente possa fatturare tutto entro l’anno, anche se le attività si sarebbero chiuse nei primi mesi del 2025. Il 9 dicembre lo segnala sulla piattaforma aziendale, in forma anonima, allegando le e-mail del gruppo di lavoro. Chiede anche di escludere dalla gestione un componente dell’organo, secondo lui in conflitto di interessi. Richiesta accolta.
Il giorno dopo arriva la presa in carico. Dall’11 al 17 dicembre l’organo sente le cinque persone che compaiono nelle e-mail: il segnalato per primo, il segnalante per ultimo. Strada facendo si aggiunge il superiore gerarchico del segnalato.
Il 17 dicembre, a mezzogiorno, tocca al segnalante. Gli altri due membri non si sono ancora collegati quando il presidente esordisce: «abbiamo ricevuto la tua segnalazione». Alle 15.41 dello stesso giorno al dipendente arriva un invito dall’ufficio giuslavoristico, oggetto «comunicazione». Alle 15.55 scopre da una notifica automatica che il contratto è stato «sanato». Nessuno glielo aveva detto.
Due giorni dopo scrive all’organo che teme una ritorsione. La risposta è rassicurante: la segnalazione è anonima, nessun rischio. Quello stesso 19 dicembre gli consegnano una contestazione disciplinare per il mancato rispetto delle regole sullo smart working. Il 20 gennaio 2025 l’organo chiude la pratica: segnalazione non fondata, il contratto allegato era solo una bozza. Il 27 gennaio arriva il licenziamento per giusta causa, retrodatato al 19 dicembre.
Un giudice, con sentenza non ancora definitiva, ha poi dichiarato nullo il licenziamento perché ritorsivo e ha ordinato la reintegrazione. Il procedimento ANAC sulle ritorsioni resta sospeso in attesa del giudicato. La delibera di cui parliamo riguarda solo riservatezza e gestione della segnalazione.
Che cosa dice la norma, e come la legge l’ANAC
L’art. 12 punisce il rischio, non il danno
La norma vieta di rivelare l’identità del segnalante «e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità». L’ANAC prende quel «può» alla lettera. Per integrare la violazione basta che le informazioni messe in circolo siano idonee a far risalire al segnalante. Che qualcuno poi lo identifichi davvero è un di più.
Il metro di giudizio arriva dal GDPR, Considerando 26: contano tutti i mezzi di cui un terzo può ragionevolmente servirsi. Entrano così in gioco due concetti ben noti a chi lavora sulla privacy, richiamati anche dal Garante nel provvedimento n. 402 del 2022. C’è il single out, quando il contesto restringe il campo fino a isolare una sola persona. E c’è l’inference, quando incrociando quello che già si sa con quello che viene detto si arriva al nome.
Qui gli ingredienti c’erano tutti. Gli intervistati sapevano che il segnalante era il più junior, che sul contratto aveva un ruolo di contorno (doveva solo passare le consegne a due colleghi), che non aveva avuto parte nelle modifiche e che con il segnalato i rapporti erano tesi da tempo. A completare il quadro ci ha pensato l’organo stesso, spiegando a ciascuno che c’era una segnalazione whistleblowing, che riguardava quel cliente e quel contratto, che negli allegati comparivano i loro nomi. La registrazione dell’audizione lo documenta minuto per minuto. A produrla è stato il segnalante, perché verbali non ce n’erano.
L’Autorità va oltre e ritiene provata, per indizi, anche l’identificazione effettiva: l’esclusione immediata del dipendente dal lavoro sul contratto, la frase d’esordio del presidente, la contestazione disciplinare arrivata dieci giorni dopo la segnalazione. Cade anche la difesa più sottile, quella che distingueva tra la conoscenza
«formale» dell’identità, mai acquisita, e una semplice deduzione logica. Se il gestore intuisce chi ha segnalato, l’obbligo di riservatezza vale per intero.
Chi paga, e perché proprio 15.000 euro
L’art. 21, comma 1, lett. a) fissa la sanzione tra 10.000 e 50.000 euro. Ne rispondono le persone fisiche che hanno commesso la violazione, secondo le regole generali della legge 689 del 1981: ognuno risponde della propria condotta, dolosa o colposa, e se più persone concorrono ciascuna subisce la sanzione per intero.
Una precisazione aiuta a evitare un equivoco frequente. Titolare del trattamento dei dati della segnalazione è l’ente. I gestori non sono «responsabili» nel senso dell’art. 28 GDPR, ma persone espressamente autorizzate al trattamento, come prevedono gli artt. 29 e 32 GDPR e l’art. 2-quaterdecies del Codice privacy, richiamati dallo stesso art. 12. È proprio quell’autorizzazione a farne i custodi diretti dell’identità del segnalante. Quando la compromettono, pagano di tasca propria.
Sulla misura, l’ANAC ha applicato i criteri dell’art. 11 della legge 689. A favore dei gestori hanno pesato la colpa, e non il dolo, e la data dei fatti, anteriori alle Linee guida n. 478 del 2025 sui canali interni, quando le regole applicative erano ancora da assestare. Contro, la gravità delle conseguenze, visto che la violazione ha spianato la strada agli atti ritorsivi, e l’inerzia successiva: avvertiti dal segnalante di una possibile ritorsione, i gestori non hanno verificato nulla. Ha contato anche il profilo degli interessati, tutti in posizioni di vertice. Per loro, osserva l’Autorità, una sanzione al minimo non sarebbe stata davvero afflittiva. Nessuna graduazione fra i tre, che si erano difesi congiuntamente.
La mancata gestione: archiviata, non assolta
Sull’altra contestazione (art. 21, comma 1, lett. b) l’ANAC dà ragione alla difesa. La norma colpisce chi non svolge le attività di verifica e analisi, non chi arriva a conclusioni discutibili. Allargarla fino a sindacare il merito dell’istruttoria vorrebbe dire applicare un’analogia in malam partem, vietata in materia sanzionatoria. Salvo valutazioni palesemente irragionevoli, l’Autorità non si mette al posto del gestore.
E gli adempimenti dell’art. 5 c’erano: avviso di ricevimento in un giorno, audizioni, dialogo con il segnalante, riscontro entro tre mesi. Questo non ha impedito all’ANAC di mettere nero su bianco, «ai fini di prevenzione e di orientamento», una serie di scivoloni. Le interviste non sono state verbalizzate, e il principio di accountability è rimasto sulla carta. L’esito comunicato al segnalante taceva sulle verifiche fatte sul contratto 2023, che lui stesso aveva portato all’attenzione in audizione: un’«innocua dimenticanza», secondo la difesa. Una persona è stata sentita in modo informale da un solo componente, senza traccia di cosa si siano detti. E sulla composizione effettiva dell’organo, dopo l’esclusione chiesta dal segnalante, è mancata trasparenza.
I motivi del segnalante non contano
La difesa aveva giocato anche la carta del movente. Il dipendente, scontento per una promozione mancata, avrebbe usato il canale whistleblowing per regolare i conti. L’ANAC risponde distinguendo il motivo della segnalazione, cioè perché si segnala, irrilevante per l’art. 16, comma 2, dal suo oggetto, cioè che cosa si segnala. L’esclusione dell’art. 1, comma 2, lett. a) scatta quando la segnalazione riguarda il proprio rapporto di lavoro. Qui si parlava di irregolarità contabili e fiscali su un contratto. Che dietro ci fosse anche un interesse personale non toglie nulla alla tutela, come ricordano il TAR Lazio (n. 7507/2026) e il Tribunale di Catania (n. 1391/2026).
Il gestore, prima linea della riservatezza
Se la delibera manda un messaggio forte e chiaro, è questo: la tutela del segnalante si gioca sulle persone prima che sui software. L’ANAC lo dice con un’immagine che resta in mente. Le garanzie costruite by design nel canale non possono essere vanificate by default da gestori imprudenti.
L’art. 4 del decreto vuole che la gestione sia affidata a una persona o a un ufficio interno autonomo, dedicato, con personale specificamente formato, oppure a un soggetto esterno con le stesse caratteristiche. Le Linee guida n. 478/2025 completano il ritratto. Servono competenze giuridiche e in materia di protezione dei dati, sensibilità etica e sui temi dell’integrità, una formazione mirata su whistleblowing e privacy. E serve conoscere l’organizzazione, non solo l’organigramma ma il modo in cui le cose funzionano davvero.
Sulla carta, l’organo di questa vicenda aveva le carte in regola, e l’ANAC lo riconosce: ruoli di peso, materie coerenti con l’incarico. Il problema è venuto fuori nell’uso di quelle competenze. Conoscere l’azienda doveva servire a capire che, in un team di cinque, ogni domanda mirata equivaleva a fare un nome. È servito, invece, a sapere esattamente chi convocare.
Gestire una segnalazione whistleblowing, scrive l’Autorità, è cosa «ontologicamente» diversa dal gestire una segnalazione qualsiasi. Bisogna accertare i fatti e, nello stesso momento, tenere al riparo il segnalante, il segnalato, le persone menzionate e il contenuto. Le prassi maturate su altre segnalazioni etiche, che la difesa rivendicava con orgoglio, non bastano: ogni caso va pesato sul suo contesto. La diligenza che l’art. 5 chiede ha tre facce. Perizia, cioè conoscere le regole. Prudenza, cioè vedere i rischi e scansarli. Adeguatezza, cioè mezzi proporzionati allo scopo.
Resta un nodo organizzativo che la delibera lascia intuire senza scioglierlo. Autonomia, terzietà e indipendenza non si dichiarano, si costruiscono. Un gestore che siede ai piani alti, dentro le stesse linee gerarchiche che la segnalazione mette in discussione, farà fatica a essere percepito come terzo. A volte anche a esserlo. Dove si colloca, a chi riferisce, come si astiene quando c’è un conflitto di interessi, chi lo sostituisce: sono scelte da fare prima che arrivi la segnalazione scomoda, non mentre la si gestisce.
Conclusioni e suggerimenti utili
Davanti a una segnalazione, l’istinto è stringere il campo: parlare solo con chi sa, chiedere solo quello che serve. Sembra la scelta più riservata. In un gruppo piccolo è l’esatto contrario, e la delibera 344 lo spiega meglio di qualsiasi manuale.
Il primo consiglio, allora, è fermarsi prima di convocare chiunque. Chi conosce i fatti? Chi, per esclusione, resta come unico possibile autore? Che cosa sanno gli intervistati del segnalante, del suo ruolo, dei suoi rapporti con il segnalato? Questa analisi del rischio va fatta, e va messa per iscritto.
Se il rischio è alto, il perimetro va allargato, almeno in apparenza. L’ANAC indica due strade. Il «falso target», con verifiche estese a più pratiche o a più persone. Oppure la «mimetizzazione» dell’accertamento dentro un’attività di audit di compliance, programmata o straordinaria. Nelle realtà strutturate è più facile farlo. E proprio per questo, c’è da scommetterci, verrà preteso di più.
In audizione certe frasi non vanno mai pronunciate. «Abbiamo ricevuto una segnalazione», «negli allegati c’è anche il tuo nome», «la segnalazione riguarda quel contratto»: sono esattamente le parole che l’Autorità ha giudicato sufficienti a identificare il segnalante. Conta anche l’ordine degli incontri. Sentire per primo il segnalato, su un contratto preciso, vuol dire dargli gli elementi per fare due più due. E chi non porta nulla all’istruttoria, come in questo caso il superiore del segnalato, non va coinvolto. Ogni persona in più è una possibile fuga di notizie in più.
Chiedere agli intervistati di mantenere il riserbo è una cortesia, non una tutela. Le informazioni che possono svelare l’identità semplicemente non vanno date. Per l’ANAC la protezione si costruisce a monte, non scaricando la responsabilità su chi ascolta.
Poi ci sono le carte. Senza verbali, l’unica prova di come si è svolta l’audizione è stata la registrazione del segnalante, e ha pesato tutta contro i gestori. Va documentato ogni passaggio: chi è stato sentito, da chi, con quali domande, con quale esito. La comunicazione finale deve dare conto di tutto ciò che è stato verificato, integrazioni orali comprese.
L’ultimo punto è forse il più umano. Quando un segnalante scrive di temere una ritorsione, non si può rispondere «la segnalazione è anonima, stai tranquillo». Serve una verifica, tracciata, e un’informativa all’OdV. Qui è mancata, e l’Autorità lo ha messo sul piatto della bilancia.
Per OdV e gestori il messaggio, in fondo, è uno solo. La qualità di chi maneggia le segnalazioni è il primo presidio di compliance dell’ente: competenza giuridica e in materia di privacy, sensibilità deontologica, autonomia e indipendenza vere, nessun conflitto di interessi, conoscenza dell’organizzazione. Con le Linee guida 478 ormai in vigore, l’attenuante del quadro incerto non sarà più spendibile. Chi sbaglia oggi deve aspettarsi un conto più salato.
Fonte: Delibera ANAC n. 344 del 9 settembre 2026 (Fasc. UWHIB 20250120-3860), depositata il 16 settembre 2026. Il provvedimento è impugnabile davanti al TAR Lazio entro 60 giorni.
L’autore
Maurizio Ferri ricopre e ha ricoperto il ruolo di Organismo di Vigilanza ex d.lgs. 231/2001 in aziende pubbliche e private, e quello di gestore delle segnalazioni whistleblowing. È componente di Organismi Indipendenti di Valutazione (OIV). Esperto di sistemi di controllo interno, ha conseguito un master di secondo livello all’Università di Pisa. È giornalista pubblicista.
