Chi può fare una segnalazione whistleblowing? L’ANAC fa chiarezza con il parere del 6 maggio 2026
Il 6 maggio 2026 l’Autorità Nazionale Anticorruzione ha adottato un parere che risponde a tre quesiti concreti sull’applicazione del d.lgs. n. 24/2023 in materia di whistleblowing. Un documento utile per chi, nelle pubbliche amministrazioni e nelle imprese private, gestisce quotidianamente i canali interni di segnalazione.
Chi è la “persona segnalante”
Il punto di partenza è la definizione contenuta nell’art. 2, co. 1, lett. g) del decreto: è segnalante la persona fisica che riferisce informazioni sulle violazioni acquisite nel proprio contesto lavorativo. Una formula volutamente ampia, che va ben oltre il classico dipendente a tempo indeterminato.
Rientrano nell’ambito soggettivo del whistleblowing, come già chiarito nelle Linee guida ANAC n. 311/2023:
- lavoratori subordinati del settore pubblico e privato
- lavoratori autonomi, liberi professionisti e consulenti
- azionisti e soggetti con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza
- volontari e tirocinanti (retribuiti o meno)
- lavoratori in periodo di prova
- soggetti il cui rapporto non è ancora iniziato (se la violazione è appresa nella fase precontrattuale o di selezione)
- soggetti il cui rapporto è già cessato (se la violazione era stata appresa durante il rapporto)
Il requisito imprescindibile rimane uno: le informazioni oggetto della segnalazione devono essere state acquisite nell’ambito del contesto lavorativo. Ciò che conta, precisa l’ANAC, è l’esistenza di una relazione qualificata tra il segnalante e l’ente nel quale opera, non la natura formale del rapporto giuridico.
I tre quesiti e le risposte dell’ANAC
1. Qual è la base giuridica per il trattamento dei dati personali?
Su questo punto l’ANAC declina la propria competenza: la questione rientra nelle attribuzioni del Garante per la protezione dei dati personali. Tuttavia, l’Autorità coglie l’occasione per ribadire un principio centrale della normativa: il trattamento dei dati deve ispirarsi alla massima cautela.
La tutela della riservatezza riguarda non solo l’identità del segnalante, ma anche quella della persona coinvolta nella segnalazione e del cosiddetto facilitatore. In concreto, questo significa che i dati identificativi vanno oscurati ogni volta che il contenuto della segnalazione viene condiviso per ragioni istruttorie, e che — come recita testualmente l’art. 13, co. 2 del decreto — i dati personali “manifestamente non utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente”.
2. Cosa succede se la piattaforma informatica non consente di verificare l’identità del segnalante?
Questo è probabilmente il quesito più interessante sul piano operativo. L’ente chiedeva, in sostanza, se fosse lecito trattare la segnalazione come whistleblowing senza poter accertare che chi la presenta soddisfi i requisiti soggettivi dell’art. 3.
La risposta dell’ANAC è netta: la riservatezza prevale sulla verifica dell’identità. Il decreto e le Linee guida privilegiano le piattaforme digitali proprio perché consentono di adottare misure di sicurezza più stringenti — cifratura dei dati a riposo, interlocuzione riservata con il segnalante — ma non impongono affatto che il gestore conosca il nominativo di chi segnala. Al contrario, la norma prevede che il gestore possa accedere all’identità del segnalante solo quando strettamente necessario a fini istruttori, previa richiesta al “custode dell’identità” (ove previsto), con registrazione dell’accesso e delle relative motivazioni (cfr. LLGG ANAC n. 478/2025, § 3.5).
In altri termini, l’impossibilità tecnica di verificare il nominativo non blocca la trattazione della segnalazione: essa va gestita come whistleblowing, poiché la protezione dell’identità del segnalante è il fulcro stesso dell’istituto.
È però fondamentale non equivocare il significato di questo principio. La prevalenza della riservatezza non significa che la piattaforma possa fare a meno dell’identificazione del segnalante. Se il sistema non raccogliesse affatto l’identità di chi segnala, le segnalazioni sarebbero di fatto anonime: categoria che il d.lgs. n. 24/2023 disciplina separatamente e in modo distinto, lasciando agli enti la facoltà di trattarle o meno come segnalazioni ordinarie.
Il modello corretto è un altro: il segnalante si identifica al sistema (idealmente tramite un meccanismo di autenticazione forte), ma la sua identità viene immediatamente disaccoppiata dal contenuto della segnalazione e custodita separatamente, in forma cifrata, in modo che il gestore non vi acceda per impostazione predefinita. È questa architettura — e non la semplice assenza di dati identificativi — che realizza concretamente la tutela della riservatezza prevista dalla norma.
Un caso a parte è quello delle segnalazioni anonime: i soggetti pubblici e privati possono scegliere di trattarle come segnalazioni ordinarie, purché tale scelta sia disciplinata nei propri regolamenti interni.
3. Come gestire le segnalazioni di chi è estraneo al contesto lavorativo?
Il terzo quesito riguarda le segnalazioni provenienti da soggetti che non hanno (o non hanno mai avuto) alcun rapporto con l’ente. In questi casi mancano i presupposti soggettivi per qualificare la segnalazione come whistleblowing.
Ma questo non significa ignorarla. Il gestore può — e l’ANAC incoraggia questa scelta — trasmettere la segnalazione all’ufficio competente dell’ente affinché venga trattata come segnalazione ordinaria, secondo le procedure interne, informandone contestualmente l’autore.
Gli enti possono inoltre valutare di mantenere riservata l’identità anche in questi casi, a tutela di chi ha comunque scelto di segnalare. La logica è chiara: anche le segnalazioni che non integrano formalmente un whistleblowing possono far emergere violazioni rilevanti e meritano di essere valorizzate.
Cosa cambia nella pratica
Il parere non introduce novità normative, ma offre indicazioni operative preziose per i Responsabili della Prevenzione della Corruzione e della Trasparenza e per tutti i gestori del settore privato. I punti di attenzione sono tre:
Riservatezza prima di tutto. I sistemi di gestione delle segnalazioni devono essere configurati in modo da garantire la cifratura dei dati e la riservatezza del segnalante anche nei confronti del gestore, salvo casi istruttori eccezionali debitamente registrati.
La piattaforma non è un filtro soggettivo. Non è compito dello strumento informatico selezionare “chi ha diritto” a segnalare. Il controllo dei requisiti soggettivi, se necessario, avviene a posteriori e nel rispetto della privacy.
Le segnalazioni “fuori perimetro” non vanno cestinate. Anche chi segnala senza averne titolo ai sensi del d.lgs. 24/2023 merita una risposta e, potenzialmente, tutela. Gli atti organizzativi interni devono disciplinare il relativo procedimento.
Wb33 e la conformità al Parere ANAC del 6 maggio 2026
Le indicazioni contenute nel parere trovano una risposta concreta nell’architettura di Wb33, la soluzione web based per la gestione del whistleblowing conforme al d.lgs. n. 24/2023 e aggiornata alle Linee guida ANAC n. 478/2025. Di seguito una lettura del parere in chiave applicativa, verificando punto per punto l’aderenza della soluzione.
Identificazione forte senza esporre l’identità al gestore
Il nodo centrale del secondo quesito — riservatezza sì, ma non assenza di identificazione — è risolto da Wb33 attraverso un meccanismo strutturale. L’accesso alla piattaforma avviene tramite SPID (autenticazione pubblica con valore legale) oppure tramite registrazione con verifica OTP (One Time Password). In entrambi i casi l’identità del segnalante è accertata al momento dell’invio, eliminando il rischio che la segnalazione sia, in realtà, anonima.
Immediatamente dopo l’invio, però, scatta il disaccoppiamento: i dati del segnalante vengono separati da quelli della segnalazione e conservati in forma crittografata su server distinti. Il RPCT accede immediatamente solo al contenuto della segnalazione, non all’identità di chi l’ha presentata. Questa architettura realizza esattamente ciò che il parere ANAC indica come corretto: la riservatezza non coincide con l’anonimato, ma con la custodia separata e protetta dell’identità.
Accesso all’identità riservato al RPCT, sempre tracciato
Il parere ANAC, richiamando le LLGG n. 478/2025 (§ 3.5), chiarisce che il gestore può conoscere l’identità del segnalante solo nei casi strettamente necessari a fini istruttori, con registrazione dell’accesso. In Wb33 questo principio è implementato in modo rigoroso: il RPCT è l’unico soggetto abilitato all’accesso ai dati del segnalante, e solo su sua specifica richiesta, sempre registrata dal sistema.
Dialogo con il segnalante senza conoscerne l’identità
Uno degli aspetti pratici più delicati riguarda la necessità del gestore di chiedere integrazioni al segnalante nel corso dell’istruttoria, senza per questo dover accedere alla sua identità. Wb33 lo consente in modo nativo: il sistema “recapita” le richieste del RPCT al segnalante e inoltra al RPCT le relative risposte, mantenendo in ogni fase la separazione tra identità e contenuto della segnalazione. Il segnalante, dal canto suo, può verificare in ogni momento lo stato di avanzamento del procedimento, in linea con il diritto all’informazione previsto dalla normativa.
Riservatezza integrale per tutta la durata del procedimento
Il parere ribadisce che la tutela della riservatezza riguarda non solo il segnalante, ma anche la persona coinvolta nella segnalazione e il facilitatore. Wb33 estende questo principio all’intero ciclo di vita della segnalazione: dalla presentazione alla chiusura definitiva, non è mai necessario procedere a stampe, invii via email o altre operazioni che esporrebbero i dati a canali non protetti. Gli eventuali invii a soggetti interni ed esterni avvengono con le modalità e le cautele di riservatezza previste dalla norma.
✓ Conformità di Wb33 al Parere ANAC del 6 maggio 2026
- Identificazione accertata (SPID o OTP) → nessuna segnalazione anonima “di fatto”
- Disaccoppiamento immediato identità/segnalazione con crittografia e server distinti
- Accesso all’identità riservato al solo RPCT, su richiesta specifica, sempre tracciata (cfr. LLGG 478/2025 § 3.5)
- Tracciatura completa di tutti gli accessi alla segnalazione
- Dialogo RPCT–segnalante mediato dal sistema, senza che il gestore conosca l’identità
- Riservatezza end-to-end: nessuna stampa, nessuna email fuori sistema per tutta la durata del procedimento
Conclusione
Con questo parere l’ANAC conferma un approccio inclusivo e garantista alla normativa whistleblowing, in linea con lo spirito della Direttiva europea 2019/1937 da cui il decreto trae origine. La tutela del segnalante non è un adempimento burocratico: è la condizione necessaria perché il sistema funzioni. E funziona solo se chi decide di parlare sa che la propria identità è al sicuro — non perché non è stata raccolta, ma perché è custodita in modo che nessuno vi acceda senza necessità e senza lasciare traccia.
Per ulteriori informazioni potete rivolgervi al nostro Helpdesk dedicato.
Helpdesk
Mail: assistenzawb@pa33.it
tel: 0621127620