Parlare di whistleblowing e sanzioni significa parlare di una doppia esposizione che quasi nessuna organizzazione ha messo a fuoco per intero. Da un lato c’è l’ANAC, che vigila sull’attuazione del d.lgs. 24/2023 e ha poteri sanzionatori propri. Dall’altro c’è il Garante per la protezione dei dati personali, perché una segnalazione è per definizione un trattamento di dati personali particolarmente delicato: riguarda il segnalante, il segnalato e i terzi coinvolti, e tocca dati che possono avere natura giudiziaria.
La conseguenza pratica è che un canale di segnalazione attivato male espone due volte. E, nella nostra esperienza, il canale attivato male è la regola: la piattaforma è stata acquistata, il link è sull’intranet, l’adempimento risulta fatto. È quando si va a guardare come funziona che il quadro cambia.
Chi è obbligato, e chi scopre di esserlo
Il decreto impone i canali interni a tutte le amministrazioni pubbliche e, nel settore privato, ai soggetti che hanno impiegato nell’ultimo anno una media di almeno cinquanta lavoratori subordinati, oltre ai soggetti che operano in settori regolati e a quelli che adottano modelli di organizzazione e gestione ai sensi del d.lgs. 231/2001, per i quali la soglia dimensionale non è determinante.
La verifica della soglia è il primo punto su cui vediamo errori: si guarda l’organico attuale invece della media dell’ultimo anno, oppure non si considerano le società del gruppo che hanno obblighi autonomi. È un calcolo che conviene documentare, perché in caso di contestazione sarà l’organizzazione a doverlo dimostrare.
Le sanzioni ANAC
Qui i numeri sono precisi. L’Autorità nazionale anticorruzione può applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni, che qualcuno ha ostacolato o tentato di ostacolare la segnalazione, o che è stato violato l’obbligo di riservatezza.
La stessa forbice, da 10.000 a 50.000 euro, si applica quando si accerta che i canali di segnalazione non sono stati istituiti, oppure che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni, o che quelle adottate non sono conformi alla legge, o ancora che l’attività di verifica e analisi delle segnalazioni ricevute non è stata svolta.
Vale la pena rileggere quell’elenco, perché è più ampio di come viene di solito percepito. Non sanziona solo chi il canale non lo ha: sanziona anche chi lo ha, ma con procedure non conformi, e chi lo ha ma non istruisce le segnalazioni che arrivano. Un canale che raccoglie e non risponde è, ai fini della norma, un canale che non funziona.
Una sanzione più contenuta, da 500 a 2.500 euro, è prevista a carico del segnalante nel caso in cui venga accertata la perdita delle tutele, salvo che sia intervenuta condanna per diffamazione o calunnia.
Le linee guida ANAC, aggiornate
Il quadro regolatorio si è mosso di recente: con la delibera n. 478 del 26 novembre 2025 l’ANAC ha adottato le linee guida sui canali interni di segnalazione, mentre le linee guida sul canale esterno, adottate con delibera n. 311 del 12 luglio 2023, sono state modificate con la delibera n. 479 del 26 novembre 2025.
Chi ha impostato la propria procedura nel 2023 e non l’ha più toccata dovrebbe, quantomeno, verificarne l’allineamento: le procedure adottate e mai riviste sono esattamente la fattispecie che la norma descrive come non conforme.
Il versante privacy, che è quello meno presidiato
L’obbligo di riservatezza sull’identità del segnalante non è un principio etico: è una regola la cui violazione è sanzionata dall’ANAC e, sul piano del trattamento dei dati, dal Garante.
I punti critici sono ricorrenti. La piattaforma è fornita da un terzo, che tratta dati per conto dell’organizzazione e va nominato responsabile del trattamento con un contratto che regga: sui difetti tipici di quella catena abbiamo scritto parlando della nomina del responsabile ex art. 28. La segnalazione va conservata per il tempo necessario e non oltre, con un criterio scritto: il tema è quello dei tempi di conservazione dei dati personali. Il trattamento va censito nel registro delle attività di trattamento, dove nella maggior parte dei casi manca del tutto. E, per la natura dei dati e la posizione degli interessati, va valutata la necessità di una valutazione d’impatto sulla protezione dei dati.
C’è poi un aspetto che tocca il vertice dell’organizzazione: chi gestisce le segnalazioni deve essere autonomo e non trovarsi in conflitto di interessi. Affidare il canale alla stessa funzione che potrebbe essere oggetto di segnalazione è un vizio strutturale, e non si corregge con una dichiarazione.
Il sommerso
L’esposizione più concreta, in molte organizzazioni, non è la sanzione: è la segnalazione già arrivata e gestita informalmente, magari via email al responsabile del personale, prima ancora che il canale fosse attivo. Quel materiale esiste, è conservato da qualche parte e contiene dati che non avrebbero dovuto circolare così. È il punto da cui conviene partire, perché è il più difficile da sistemare a posteriori.
Lo studio assiste aziende, enti pubblici e Ordini professionali in tutta Italia, con sede a Napoli, in materia di protezione dei dati personali, compliance privacy e incarichi di DPO esterno, e segue anche la formazione del personale coinvolto nella gestione delle segnalazioni. Per le questioni di diritto amministrativo connesse al rapporto con le autorità di vigilanza è disponibile il sito dello studio legale dell’avv. Elio Errichiello.
Ci scriva dalla pagina contatti se vuole che guardiamo la sua procedura e il contratto con il fornitore della piattaforma: un esame preliminare della documentazione dice in poche righe dove si è esposti e su quale dei due fronti.
Avv. Elio Errichiello
