ANAC ha approvato l’aggiornamento delle linee guida sul whistleblowing con la Delibera n. 478 del 26 novembre 2025, che ha tenuto conto di una consultazione pubblica avviata con soggetti istituzionali, rappresentanze d’impresa e organizzazioni del terzo settore.
Tali osservazioni sono confluite nel testo, unitamente alle indicazioni del Garante Privacy. Le nuove linee guida hanno chiarito alcuni aspetti relativi ai canali di segnalazione e alle modalità operative di raccolta delle stesse, dando preferenza al canale telematico ad hoc.
Indice degli argomenti
Whistleblowing e linee guida ANAC: quadro normativo e capisaldi
Il contesto normativo delle linee guida è il D.Lgs. 10 marzo 2023, n. 24 con cui il legislatore ha recepito la Direttiva (UE) 2019/1937 in materia di whistleblowing, prevedendo, sia per la PA che per i privati, l’implementazione di un canale per la segnalazione degli illeciti commessi all’interno dell’ente. I capisaldi della normativa sono:
- L’attivazione di canali di segnalazione che garantiscano, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.
- L’obbligo di implementare i Modelli Organizzativi ex D.Lgs 231/2001, con la previsione di canali di segnalazione interna.
- La previsione di un apposito ufficio autonomo e/o di una persona adeguatamente formata per la gestione delle segnalazioni, con la possibilità di demandare il compito ad un soggetto esterno.
- La previsione di specifiche misure di protezione a tutela dell’anonimato di chi segnala, con alcune eccezioni che riguardano, per esempio, il diritto di difesa dell’incolpato nell’ambito del procedimento disciplinare.
- La codificazione di una procedura relativa alla raccolta delle segnalazioni e della valutazione delle stesse, nonché in ordine all’esito dell’istruttoria.
- Un sistema di sanzioni pecuniarie in caso di violazione della normativa de quo.
- La competenza dell’ANAC per l’istituzione di un canale di segnalazione esterna e per dettare apposite linee guida.
Ed appunto, l’Autorità Anticorruzione, ai sensi dell’art. 10 D.Lgs. 24/2023, rendeva la Delibera n. 311 del 12 luglio 2023 recante “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne”.
Cosa cambia con l’aggiornamento delle linee guida ANAC
Il paragrafo 3.1, nella parte dedicata all’istituzione dei canali di segnalazione, è stato così modificato:
“Il ricorso alla posta elettronica (ordinaria o certificata) deve essere considerato di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante, se non accompagnato da specifiche contromisure opportunamente giustificate quali misure di mitigazione del rischio individuate in sede di definizione della valutazione di impatto del trattamento sulla protezione dei dati”.
Come è facilmente desumibile, la tutela dell’anonimato è il vero nocciolo della questione. Difatti, se un potenziale informatore sa di poter essere rintracciato, sarà disincentivato dal presentare la segnalazione per paura di subire ritorsioni.
Canali di segnalazione: perché la PEC non basta
Ed è per questo motivo che le linee guida suggeriscono fortemente (vd. locuzione “è opportuno”) l’implementazione degli strumenti previsti per la raccolta e successiva gestione delle segnalazioni nell’atto organizzativo dell’Ente o nel MOG 231.
L’Ente potrebbe, con determinati accorgimenti, prevedere la PEC o la PEO, ma si tratta di una soluzione in potenziale conflitto con la tutela della segretezza della segnalazione.
Piattaforma conforme GDPR e doppio cieco
La soluzione ottimale è quella di implementare una piattaforma informatica conforme al GDPR, meglio se esternalizzata, con una serie di requisiti tecnico/operativi finalizzati al mantenimento del c.d. doppio cieco, con la gestione su due canali differenti della segnalazione e del nominativo del segnalante.
Modalità cartacea come “extrema ratio”
Appare anacronistica, a tal proposito, la possibilità di raccolta con modalità cartacee, anche se è sconsigliata dalla stessa ANAC che così dice:
“possibile che la segnalazione venga inserita in due buste chiuse: la prima con i dati identificativi del segnalante; la seconda con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” al gestore della segnalazione. La segnalazione è poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore. Si precisa, tuttavia, che per gli enti sottoposti al rispetto del codice dell’amministrazione digitale, la soluzione prospettata dovrebbe costituire un’estrema ratio, in quanto gli stessi dovrebbero prediligere l’utilizzo di soluzioni alternative, in conformità a quanto previsto nel codice”.
Gestione esterna e requisiti: linee guida ANAC per i privati
D’altro canto, la modifica al 3.1, nella parte dedicata ai soggetti esterni cui va affidata la gestione delle segnalazioni del settore privato (a es. internal audit, ODV 231 e comitato etico), precisa che, se più enti affidano ad uno stesso soggetto la gestione delle segnalazioni, il canale di comunicazione deve essere sempre esclusivo ed autonomo per ciascuna azienda mediante l’accesso selettivo.
Da qui l’importanza della scelta del partner tecnologico a supporto dell’intero processo che, oltre a dover possedere i requisiti di affidabilità tecnica previsti dal GDPR, dovrà recepire il contenuto della normativa di settore e delle linee guida ANAC.
Va detto che l’obbligo di mantenere i canali distinti e separati per le segnalazioni era già previsto per le amministrazioni che si avvalevano di unico gestore esterno; pertanto ANAC ha uniformato il regolamento nella predetta direzione.
Il ruolo del gestore e l’accesso limitato alle segnalazioni del proprio ente
ANAC ha, altresì, ritenuto di valorizzare l’importanza del gestore della segnalazione quando dice che “resta fermo, infatti, l’obbligo per ciascuna amministrazione/ente di nominare un proprio gestore della segnalazione. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun gestore abbia accesso solo alle segnalazioni relative al proprio ente, anche tenuto conto della attribuzione della relativa responsabilità”.
A scanso di equivoci, occorre precisare che le segnalazioni possono essere fatte sia per iscritto che oralmente. È necessario che gli Enti adottino adeguate misure organizzative e/o regolamentari finalizzate ad agevolare il contatto fra il segnalante e l’organo a ciò preposto, sufficientemente formato ed indipendente.
Va detto che le nuove linee guida, oltre a confermare un obbligo informativo relativo all’istituzione del canale ai sindacati (la cui omissione è sanzionata), aggiungono ai requisiti di autonomia ed indipendenza del gestore delle segnalazioni anche quello del possesso di adeguate competenze.
A titolo esemplificativo ma non esaustivo, tali competenze dovrebbero abbracciare il campo del diritto, la normativa di settore e privacy, la conoscenza dell’amministrazione o dell’Ente e dei loro processi decisionali.
Infine, il gestore va sostituito prima dell’insorgenza di un potenziale conflitto di interessi, anche se tale procedura non è sempre possibile se l’ente è di ridotte dimensioni. Ed è per questo motivo che le linee guida consentono il passaggio della segnalazione al canale esterno istituito dall’ANAC.
Procedura e tempi del whistleblowing secondo ANAC
L’aspetto procedimentale rappresenta un necessario corollario di efficacia della normativa; pertanto, le nuove linee guida specificano la già dettagliata scansione temporale prevista dalla legge.
Il procedimento si avvia con l’avviso di ricevimento da rilasciare entro sette giorni dalla segnalazione. Dopodiché l’organo preposto effettua una valutazione preliminare tesa a valutare la verosimiglianza del narrato, soprattutto dal punto di vista di una necessaria specificità dei fatti denunciati.
Superato il vaglio dell’ammissibilità, si avvia l’istruttoria, ovvero una vera propria investigazione interna che può concludersi o nell’archiviazione o nella trasmissione dei risultati a chi di competenza (es. procedimento disciplinare, denuncia presso l’AG, ecc.).
Il riscontro al segnalante dovrà avvenire entro tre mesi (fatti salvi i casi di verifiche particolarmente complesse) e, secondo un principio di minimizzazione del trattamento, dovrà limitarsi alla comunicazione all’informatore dell’avvenuta archiviazione ovvero della trasmissione agli organi competenti della segnalazione, in quanto la notizia è ritenuta fondata.
Tutele del segnalante e garanzie difensive
Da una sommaria analisi delle modifiche delle linee guida, emerge l’implementazione di ulteriori tutele in favore di chi intenda segnalare un illecito all’interno di un’organizzazione, al fine di limitare possibili condizionamenti e/o ritorsioni a suo carico.
In ogni caso, se da un lato l’intenzione della normativa di stampo euro unitario è quella di far emergere potenziali condotte illecite — con particolare riguardo a quelle corruttive — è necessario che non si perdano mai di vista le garanzie difensive a tutela delle persone segnalate. Ed è per questo che viene imposto all’organo accertatore affinché si limiti alla mera trasmissione per il seguito e si astenga dalla «valutazione in ordine alle responsabilità individuali e all’adozione di provvedimenti o procedimenti conseguenti all’istruttoria svolta.
