a cura di Rossella Ceccarini
Con la Delibera n. 344 del 9 settembre 2026, depositata il 16 settembre, l’ANAC ha affermato che la tutela della riservatezza nel whistleblowing non dipende soltanto dalla presenza di un canale interno tecnicamente adeguato, ma anche dalle modalità concrete con cui la segnalazione viene istruita e gestita.
Il caso trae origine da una segnalazione interna presentata il 9 dicembre 2024 in forma anonima da un dipendente, relativa a presunte modifiche “fittizie” ad un contratto con una società cliente, che sarebbero state richieste dal suo superiore per consentire la fatturazione entro il 2024. Lo stesso segnalante aveva chiesto di escludere dalla gestione un componente dell’organo per potenziale conflitto di interessi. Nei giorni successivi l’organo di gestione ha sentito i soggetti del ristretto team di lavoro interessato dal contratto, iniziando dal segnalato e coinvolgendo anche il suo superiore gerarchico. Il segnalante è stato ascoltato per ultimo e, prima dell’avvio formale dell’audizione, il Presidente gli si è rivolto con la frase “abbiamo ricevuto la tua segnalazione”, passaggio che la delibera considera particolarmente significativo nella ricostruzione dei fatti. In via preliminare, l’ANAC ha riconosciuto al dipendente la qualifica di whistleblower, respingendo la tesi difensiva secondo cui la segnalazione sarebbe stata determinata da un mero disagio lavorativo o da finalità personali. La delibera distingue, infatti, tra il motivo soggettivo della segnalazione ed il suo oggetto: nel caso concreto rilevavano presunte violazioni contrattuali, contabili ed etiche emerse nel contesto lavorativo, e non rivendicazioni attinenti al rapporto di lavoro. L’Autorità ha, inoltre, precisato che la fondatezza in concreto della segnalazione non incide sul riconoscimento della qualifica e che la tutela della riservatezza opera anche quando la segnalazione sia stata inizialmente anonima, se il segnalante viene poi identificato nel corso della gestione. Quanto agli altri profili procedurali, la contestazione relativa alla mancata gestione della segnalazione è stata archiviata, poiché ANAC ha accertato che le attività di verifica ed analisi erano state effettivamente svolte. L’Autorità ha, però, rilevato alcune carenze nella gestione, prive di conseguenze sanzionatorie su questo punto: la mancata verbalizzazione delle interviste, l’incompletezza dell’esito comunicato al segnalante, la scarsa trasparenza sulla concreta composizione dell’organo di gestione ed il coinvolgimento informale di un soggetto da parte di un solo componente. Sono rimasti, inoltre, fuori dalla decisione finale il procedimento sulle ritorsioni, avviato ma sospeso, l’esposto sul presunto ostacolo alla segnalazione, archiviato, e la questione della presunta inidoneità del canale interno, per la quale l’Autorità non ha ravvisato i presupposti per procedere.
Il cuore del provvedimento riguarda la violazione dell’art. 12 d.lgs. n. 24/2023. L’ANAC ha valorizzato il fatto che la tutela copre non solo l’identità del segnalante in senso stretto, ma anche qualsiasi informazione dalla quale essa possa evincersi, direttamente o indirettamente. Da qui la distinzione tra identificabilità potenziale ed identificazione effettiva. Sotto il primo profilo, l’Autorità ritiene sufficiente che le informazioni diffuse siano idonee, in astratto, a consentire l’individuazione del segnalante. Nel caso concreto, ai soggetti intervistati erano state fornite tre informazioni decisive: l’esistenza di una segnalazione whistleblowing, il fatto che essa riguardasse uno specifico contratto ed uno specifico cliente e la circostanza che negli allegati comparissero i nominativi dei soggetti coinvolti. Tali elementi si inserivano in un contesto già noto al ristretto gruppo di lavoro, nel quale il segnalante era il componente con minore seniority, aveva un ruolo marginale, non era stato parte delle modifiche contestate e aveva già avuto contrasti con il proprio superiore. Richiamando il Considerando 26 del GDPR, l’ANAC considera rilevanti tutti i mezzi di cui un terzo può ragionevolmente avvalersi per risalire ad una persona e ravvisa quindi il rischio di single out e di inference, cioè di isolamento del soggetto e di deduzione della sua identità attraverso la combinazione di dati e circostanze. La delibera ha aggiunto che, accanto alla mera identificabilità potenziale, vi erano anche elementi idonei a dimostrare l’identificazione effettiva del segnalante. A questo fine ANAC ha valorizzato l’esclusione del segnalante dalle attività sul contratto dopo l’avvio dell’istruttoria, la frase pronunciata dal Presidente dell’organo, che dimostra come la sua identità fosse stata ormai ricostruita, e la successiva contestazione disciplinare culminata nel licenziamento, considerati come riscontri indiziari coerenti con il disvelamento dell’identità. L’Autorità ha sottolineato, inoltre, che il canale interno era conforme sotto il profilo tecnico, ma che le garanzie assicurate by design non devono essere compromesse by default da condotte imprudenti dei gestori. Su questo terreno l’ANAC ha ravvisato l’elemento soggettivo della colpa. Secondo la delibera, i gestori non hanno agito con la perizia, la prudenza e l’adeguatezza richieste dalla funzione loro affidata. In presenza di una segnalazione riferita ad un solo contratto e ad un numero ristretto di soggetti, l’istruttoria non avrebbe dovuto essere condotta in modo così circoscritto, perché ciò esponeva prevedibilmente il segnalante al rischio di essere individuato. Non è stato ritenuto sufficiente neppure l’invito rivolto agli intervistati a mantenere il riserbo, poiché il problema stava già nella messa in circolazione di informazioni che non avrebbero dovuto essere fornite in quel modo. Alla luce di questo percorso logico-giuridico, ANAC ha accertato la violazione dell’art. 12 e ha irrogato a ciascuno dei tre componenti dell’organo di gestione una sanzione amministrativa pecuniaria di 15.000 euro. Nel determinare il quantum, l’Autorità ha tenuto conto della particolare gravità della violazione, del carattere colposo e non doloso della condotta, del fatto che i fatti si collocassero in un periodo anteriore all’adozione delle Linee guida ANAC n. 478 del 2025, della mancata attivazione dei gestori per verificare o attenuare le conseguenze del possibile disvelamento e dell’esigenza che la sanzione fosse effettiva, anche in ragione del ruolo di responsabilità rivestito dai destinatari. L’ANAC ha, infine, precisato che non sono emersi differenti gradi di responsabilità tra i tre soggetti coinvolti.
Advisora