La Delibera ANAC n. 344 del 9 settembre 2026 chiarisce che la protezione dell’identità del segnalante deve essere garantita durante tutte le fasi dell’istruttoria, anche quando la segnalazione è presentata attraverso una piattaforma informatica sicura.
La riservatezza nel whistleblowing non può essere assicurata esclusivamente attraverso strumenti tecnologici e procedure formalmente conformi alla normativa. È necessario che anche le attività di verifica e analisi delle segnalazioni siano organizzate in modo da impedire l’identificazione, diretta o indiretta, del segnalante.
È questo uno dei principali elementi che emergono dalla Delibera ANAC n. 344 del 9 settembre 2026, con la quale l’Autorità Nazionale Anticorruzione ha sanzionato tre componenti dell’organo incaricato della gestione delle segnalazioni interne di una società privata.
Il provvedimento, adottato in applicazione del D.Lgs. n. 24/2023, offre indicazioni rilevanti per imprese, enti pubblici, responsabili delle funzioni Compliance, Internal Audit e HR, nonché per gli Organismi di Vigilanza e gli altri soggetti coinvolti nei sistemi di segnalazione degli illeciti.
Il caso esaminato da ANAC: una segnalazione anonima e il rischio di identificazione
La vicenda trae origine da una segnalazione presentata il 9 dicembre 2024 da un dipendente di una società privata attraverso il canale interno di whistleblowing.
La segnalazione, inizialmente anonima, riguardava presunte irregolarità relative alla predisposizione di un contratto con una società cliente, potenzialmente rilevanti rispetto alla normativa fiscale e contabile e alle disposizioni del modello organizzativo adottato ai sensi del D.Lgs. n. 231/2001.
L’organo incaricato della gestione avviava le verifiche, convocando i componenti del gruppo di lavoro coinvolto nella predisposizione del contratto.
Nel corso delle audizioni, tuttavia, venivano comunicate informazioni particolarmente specifiche sull’oggetto della segnalazione, sul contratto interessato e sui soggetti coinvolti.
Secondo ANAC, queste modalità istruttorie avevano reso identificabile il segnalante, nonostante il suo nominativo non fosse stato espressamente comunicato ai soggetti intervistati.
La circostanza assume particolare rilevanza perché il canale informatico utilizzato dalla società era stato ritenuto conforme ai requisiti normativi di riservatezza.
La criticità non riguardava quindi la sicurezza della piattaforma, ma le modalità concrete di gestione della segnalazione.
Riservatezza nel whistleblowing: cosa prevede l’articolo 12 del D.Lgs. 24/2023
L’articolo 12 del D.Lgs. n. 24/2023 stabilisce che l’identità della persona segnalante e qualsiasi altra informazione dalla quale possa evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della persona segnalante, a persone diverse da quelle competenti e autorizzate a ricevere o gestire le segnalazioni.
ANAC chiarisce che la violazione dell’obbligo di riservatezza non richiede necessariamente la comunicazione esplicita del nominativo.
Può essere sufficiente la diffusione di informazioni che, considerate insieme agli elementi già conosciuti dai destinatari, rendano possibile risalire all’identità del segnalante.
In questo contesto, l’Autorità richiama anche il Considerando 26 del Regolamento (UE) 2016/679 – GDPR, secondo il quale l’identificabilità di una persona deve essere valutata considerando tutti i mezzi di cui un soggetto terzo possa ragionevolmente avvalersi.
La valutazione deve quindi riguardare non soltanto i dati comunicati, ma anche il contesto organizzativo nel quale vengono utilizzati.
L’obbligo di riservatezza deve essere valutato anche rispetto alla possibilità concreta che più informazioni, apparentemente non identificative, possano essere combinate tra loro.
Le criticità individuate da ANAC nella gestione delle segnalazioni
Nel caso esaminato, l’Autorità ha concentrato la propria attenzione su alcune modalità operative adottate durante l’istruttoria.
L’organo di gestione aveva infatti:
- convocato un numero ristretto di soggetti direttamente coinvolti nel contratto oggetto della segnalazione;
- formulato domande riferite a una specifica attività contrattuale;
- comunicato elementi dai quali era possibile comprendere l’esistenza e l’oggetto della segnalazione;
- coinvolto anche un superiore gerarchico del soggetto segnalato, senza un’adeguata giustificazione istruttoria.
Secondo ANAC, il complesso di queste circostanze aveva creato un rischio prevedibile di identificazione del segnalante.
L’Autorità evidenzia inoltre che richiedere ai soggetti intervistati di mantenere riservate le informazioni ricevute non è sufficiente, quando quelle stesse informazioni permettono già di ricostruire l’identità della persona che ha effettuato la segnalazione.
La tutela deve essere garantita prima della comunicazione delle informazioni, attraverso una valutazione preventiva dei rischi.
Le sanzioni: 15.000 euro per ciascun componente dell’organo di gestione
All’esito dell’istruttoria, ANAC ha accertato la violazione dell’articolo 12 del D.Lgs. n. 24/2023, ravvisando una condotta colposa dei tre componenti dell’organo incaricato della gestione della segnalazione.
L’Autorità ha conseguentemente disposto, ai sensi dell’articolo 21, comma 1, lettera a), del decreto, tre sanzioni amministrative pecuniarie di 15.000 euro ciascuna, per un importo complessivo di 45.000 euro.
Diversamente, è stato archiviato il procedimento relativo alla presunta mancata attività di verifica e analisi della segnalazione, previsto dall’articolo 21, comma 1, lettera b).
ANAC ha infatti riconosciuto che l’organo di gestione aveva effettivamente svolto attività istruttorie, pur rilevando alcune carenze procedurali.
Fra queste, il provvedimento richiama la mancata verbalizzazione delle interviste, l’incompletezza della comunicazione degli esiti al segnalante e alcune modalità non sufficientemente trasparenti di coinvolgimento dei soggetti ascoltati.
La Delibera distingue quindi chiaramente l’effettivo svolgimento delle verifiche dal rispetto dell’autonomo obbligo di riservatezza.
Nella vicenda viene inoltre richiamata una pronuncia giurisdizionale che ha riconosciuto il carattere ritorsivo del licenziamento disciplinare del segnalante. La sentenza, alla data della Delibera, non era ancora definitiva e il relativo procedimento sanzionatorio ANAC era distinto da quello concluso con il provvedimento n. 344/2026.
Le indicazioni operative per la riservatezza nel whistleblowing
La decisione offre importanti indicazioni per la revisione delle procedure interne di gestione delle segnalazioni, anche alla luce delle Linee guida ANAC sui canali interni di segnalazione, approvate con Delibera n. 478 del 26 novembre 2025.
1. Valutare il rischio di identificazione indiretta
Prima di avviare audizioni o richiedere documentazione, il gestore dovrebbe valutare se le informazioni necessarie all’accertamento possano consentire ai soggetti coinvolti di identificare il segnalante.
2. Adottare strategie di de-identificazione
ANAC richiama la possibilità di ampliare il perimetro apparente degli accertamenti, ad esempio inserendo le verifiche in un’attività più ampia di compliance auditing.
L’obiettivo è evitare che le attività istruttorie risultino immediatamente riconducibili a una singola segnalazione e a una specifica persona.
3. Documentare le attività istruttorie
La verbalizzazione delle audizioni e la conservazione delle evidenze assumono rilievo ai fini dell’accountability, consentendo di dimostrare le modalità attraverso le quali è stata gestita la segnalazione.
4. Garantire competenze specialistiche ai gestori
Le attività di gestione richiedono competenze giuridiche, conoscenza delle procedure organizzative, capacità di valutazione dei conflitti di interesse e preparazione in materia di protezione dei dati personali.
Le Linee guida ANAC del 2025 sottolineano l’importanza di affidare la gestione a soggetti specificamente formati, dotati di competenze adeguate e di una buona conoscenza dell’organizzazione.
5. Integrare whistleblowing, compliance e controlli interni
Le procedure di segnalazione devono essere coordinate con il sistema complessivo di governance aziendale, assicurando un adeguato equilibrio tra necessità istruttorie e tutela delle persone coinvolte.
Il rispetto della disciplina richiede inoltre un’attenta considerazione delle indicazioni ANAC sulla tutela della riservatezza e sulla protezione dei dati personali.
Whistleblowing e governance: dalla conformità formale alla tutela effettiva
La Delibera ANAC n. 344/2026 conferma che l’efficacia di un sistema di whistleblowing non può essere valutata esclusivamente sulla base della presenza di un canale di segnalazione conforme.
La riservatezza nel whistleblowing richiede procedure organizzative adeguate, gestori qualificati e comportamenti coerenti con le finalità di protezione previste dalla normativa.
Per le imprese e gli enti, il provvedimento rappresenta quindi un’occasione per riesaminare le procedure interne, le modalità di svolgimento delle verifiche e i presidi di controllo adottati.
L’indicazione che emerge dalla decisione è particolarmente significativa: la tutela del segnalante non dipende soltanto dallo strumento utilizzato per ricevere la segnalazione, ma soprattutto dalla capacità dell’organizzazione di gestirla correttamente.
Si tratta di un principio che interessa direttamente la qualità della governance, l’efficacia dei controlli interni e la responsabilità delle funzioni aziendali coinvolte.
Formazione e aggiornamento professionale
L’evoluzione della normativa e degli orientamenti delle Autorità rende sempre più importante l’aggiornamento delle competenze delle funzioni coinvolte nella gestione delle segnalazioni e dei sistemi di controllo.
Proponiamo iniziative formative dedicate alla Compliance, alla responsabilità degli enti, ai controlli interni e alla governance dei rischi, con approfondimenti normativi e operativi rivolti a imprese, professionisti e amministrazioni pubbliche.
