Approvate le Linee Guida sui canali interni di segnalazione: cosa cambia per il whistleblowing
Il Garante per la protezione dei dati personali ha espresso un nuovo parere su due proposte di delibera dell’ANAC relative al whistleblowing:
l’approvazione delle Linee guida sui canali interni di segnalazione;
l’aggiornamento delle Linee guida sulle segnalazioni esterne, già adottate nel 2023.
L’obiettivo dichiarato è rendere la gestione delle segnalazioni – interne ed esterne – più uniforme, efficace e coerente con il quadro normativo delineato dal D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937.
Centralità della tutela dei dati personali
Le nuove Linee guida tengono conto delle interlocuzioni intercorse con l’Ufficio del Garante e pongono un forte accento sulla tutela della riservatezza:
dell’identità del segnalante;
del contenuto della segnalazione;
dei dati delle persone coinvolte a vario titolo.
Il Garante richiama diversi punti di attenzione critici, tra cui:
i rischi legati all’uso della posta elettronica come canale di segnalazione;
la necessità di una valutazione di impatto sulla protezione dei dati (DPIA), anche con il supporto dei fornitori tecnologici;
la definizione chiara dei tempi di conservazione delle segnalazioni;
la possibilità di condividere il canale di segnalazione tra più enti solo adottando misure tecniche e organizzative che impediscano accessi non autorizzati.
In continuità con i precedenti orientamenti, il Garante ribadisce l’importanza di adottare misure di sicurezza progettate secondo i principi del privacy by design e by default, con particolare attenzione ai metadati tecnici.
Le Linee guida ANAC come riferimento operativo
Le Linee guida sui canali interni forniscono indicazioni concrete che i datori di lavoro pubblici e privati possono adottare nella progettazione e gestione dei propri sistemi di whistleblowing.
In particolare, viene sottolineata la necessità di:
impedire la tracciabilità del segnalante, anche quando accede ai canali dalla rete interna dell’organizzazione;
definire ruoli e responsabilità chiare nel trattamento dei dati;
adottare misure coerenti con il principio di accountability.
Queste indicazioni rappresentano oggi il riferimento per PA e grandi organizzazioni nella scelta di un canale interno realmente conforme al D.Lgs. 24/2023.
OpenBlow: una risposta già conforme alle indicazioni del Garante
In questo scenario, OpenBlow risponde già pienamente alle richieste formulate dal Garante, anticipando molte delle prescrizioni tecniche e organizzative oggi ritenute essenziali.
Separazione tra identità e contenuto della segnalazione
Uno dei requisiti chiave indicati dal Garante è la separazione tecnica tra l’identità del segnalante e il contenuto della segnalazione.
OpenBlow adotta da tempo un’architettura che prevede:
archiviazione separata di identità, testo e allegati;
assenza di correlazioni tecniche tra le informazioni;
accessi consentiti solo a soggetti autorizzati.
Questo approccio tutela l’identità del segnalante anche in caso di audit o controlli interni.
Nessun metadato identificativo
OpenBlow non acquisisce né registra:
indirizzi IP;
user-agent;
fingerprint del dispositivo;
altri metadati tecnici potenzialmente identificativi.
Il sistema di logging è neutro, conforme ai pareri n. 142/2023 e 240/2023 del Garante, e progettato per garantire una protezione concreta, non solo dichiarata.
A ciò si aggiungono:
una DPIA già strutturata;
sistemi di cifratura avanzata;
gestione dei ruoli secondo il principio del least privilege;
un’architettura che impedisce ai fornitori tecnici di accedere ai contenuti delle segnalazioni.
Un quadro normativo maturo, ma non privo di criticità
Con l’adozione delle nuove Linee guida, il quadro applicativo del whistleblowing può dirsi più maturo, ma non privo di criticità sistemiche.
Nel settore privato, infatti, l’ambito oggettivo delle segnalazioni resta limitato:
alle violazioni del diritto dell’Unione europea;
alle violazioni del modello di organizzazione e gestione ex D.Lgs. 231/2001, ove adottato.
Diversamente, nel settore pubblico la tutela si estende anche alle violazioni del diritto interno. Questa differenza incide non solo sull’effettività del whistleblowing, ma anche sulla governance privacy degli enti.
Un ulteriore elemento di rilievo riguarda l’evoluzione interpretativa del canale esterno ANAC, ora fruibile – in via sussidiaria – anche da soggetti operanti in enti privati con meno di 50 dipendenti, se ricorrono le condizioni previste dall’art. 6 del decreto. Tuttavia, alcune ambiguità restano, in particolare per le segnalazioni relative al D.Lgs. 231/2001.
Il ruolo strategico del Responsabile della Protezione dei Dati
In questo contesto, il RPD/DPO assume un ruolo sempre più strategico.
Pur non potendo essere destinatario delle segnalazioni né coinvolto nella loro gestione operativa, è chiamato a:
vigilare sulla coerenza complessiva del sistema di whistleblowing;
segnalare criticità e rischi di non conformità;
supportare l’ente nelle scelte organizzative e tecnologiche, soprattutto nei casi in cui il canale interno non sia formalmente obbligatorio.
Il nuovo parere del Garante Privacy rafforza dunque un principio chiave: il whistleblowing non è solo un adempimento normativo, ma un sistema complesso di tutela dei diritti e dei dati personali.
Soluzioni come OpenBlow, progettate sin dall’origine secondo i principi del privacy by design, rappresentano oggi una risposta concreta e affidabile per affrontare le sfide poste dalle nuove Linee guida ANAC e dal D.Lgs. 24/2023.
