Le tutele del segnalato nel whistleblowing sono oggi uno dei punti più delicati del d.lgs. 24/2023: la protezione dell’identità del segnalante tende a prevalere su accesso agli atti, contraddittorio e diritti GDPR. Il risultato è un bilanciamento non sempre chiaro, che può aprire spazi di abuso e comprimere diritti fondamentali del segnalato.
Indice degli argomenti
Diritto alla riservatezza: le modifiche introdotte dal D.lgs. 24/2023
Proviamo allora ad approfondire il rapporto tra il diritto alla riservatezza del segnalante e gli altri diritti del segnalato, in particolare quello di difesa e quello alla protezione dei dati personali, che si estrinseca anche nel diritto di accesso ai propri dati.
Le recenti modiche introdotte dal D.lgs. 24/2023 hanno, infatti, ribaltato la regola generale che governa l’attività amministrativa, secondo cui ai soggetti interessati deve essere garantito l’accesso agli atti quando titolari di una situazione giuridica meritevole di tutela. Inoltre, analogamente, il Codice privacy ha introdotto specifiche limitazioni ai diritti esercitabili ex art. 15 e seguenti GDPR.
Nell’attuale disciplina, la protezione dell’identità del segnalante assume carattere prioritario, prevalendo persino sul diritto di accesso del segnalato, che costituisce una forma di estrinsecazione del diritto di difesa. La ratio del Decreto è favorire l’emersione di fenomeni di maladministration nei contesti lavorativi pubblici e privati, obiettivo certamente condivisibile. Tuttavia, non sfugge all’interprete come la normativa presenti anche molti punti oscuri e vuoti di disciplina, che si prestano ad un uso abusivo dello strumento e comportano il rischio di eccessiva compromissione di diritti fondamentali, tutelati a livello costituzionale.
Le tutele del segnalato nel whistleblowing: quadro e ratio
In via preliminare, si segnala come la Direttiva UE 1937/2019 avesse fissato alcuni principi fondamentali in tema di tutela del segnalato già nella fase istruttoria, che i legislatori nazionali avrebbero dovuto recepire, quali la presunzione di innocenza del segnalato in sede di verifica e accertamento, il diritto di difesa del segnalato, e la tutela dell’identità del segnalato nel corso delle indagini. Tuttavia, a nostro avviso, il legislatore nazionale ha recepito solo parzialmente queste garanzie in favore del segnalato.
Direttiva UE 2019/1937 e recepimento italiano: cosa manca
Nel prosieguo, analizzeremo i profili normativi che suscitano maggiori perplessità per il loro impatto sul diritto di difesa, nonché gli spazi interpretativi che consentono di ricercare un bilanciamento corretto e conforme ai principi costituzionali tra gli interessi in gioco.
Quali violazioni rientrano nel whistleblowing e dove nasce l’abuso
Quali sono le violazioni che rientrano nella disciplina “whistleblowing”?
Un primo aspetto che potrebbe prestarsi ad un uso abusivo dello strumento è il suo ambito applicativo. Sul punto, è bene ricordare che l’ambito oggettivo è stato tipizzato dal legislatore agli artt.1 e 2 del d. lgs. 24/2023: sono considerate segnalazioni whistleblowing solo quelle riguardanti violazioni, compresi i fondati sospetti, di normative nazionali e dell’UE che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, commesse nell’ambito dell’organizzazione.
Ambito oggettivo tipizzato: violazioni e interessi protetti
Si intendono per “violazioni” comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in: illeciti amministrativi, contabili, civili o penali; condotte illecite rilevanti ai sensi del d. lgs. 231/2001, o violazioni dei modelli di organizzazione e gestione ivi previsti, illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali relativi a determinati settori; atti od omissioni che ledono gli interessi finanziari dell’Unione europea; atti od omissioni riguardanti il mercato interno; atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni del decreto.
Sono escluse, invece, le contestazioni, le rivendicazioni o le richieste legate ad un interesse di carattere personale del segnalante, o comunque quando attengono esclusivamente a propri rapporti individuali di lavoro o di impiego pubblico, ovvero siano inerenti ai rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate, comprese le discriminazioni tra colleghi.
Fino a poco tempo fa l’interpretazione era quella di escludere i benefici previsti della normativa in favore dell’autore di una segnalazione priva dei requisiti oggettivi e soggettivi previsti dal Decreto, come chiarito anche dalla Cassazione Civile[1].
Segnalazioni fuori perimetro: la svolta delle Linee guida ANAC 2025
Ad oggi, le nuove Linee Guida ANAC[2] e il relativo parere del Garante[3] hanno mutato il paradigma di riferimento. L’Anac ha, infatti, affermato che è una scelta discrezionale del gestore quella di trattare anche le segnalazioni prive dei requisiti richiesti dalla normativa come fossero segnalazioni whistleblowing, puntualizzando che “gli enti potranno comunque valutare, per una maggiore tutela della persona segnalante, di mantenerne riservata l’identità”[4].
Sul tema si è espresso anche il Garante. Tale Autorità, da un lato, ha ribadito il principio secondo cui deve essere garantito il bilanciamento tra l’esigenza di riservatezza della segnalazione, la necessità di accertamento degli illeciti e il diritto di difesa e di contraddittorio del segnalato. Dall’altro, però, sembra adottare un atteggiamento più rigoroso e, ancora una volta, nel totale interesse del segnalante, specificando che non si tratta di una mera facoltà, ma di un vero e proprio dovere quello di assicurare la riservatezza del segnalante anche in caso di segnalazione priva dei requisiti necessari, “in ragione della ragionevole aspettativa di riservatezza e tutela della persona che abbia erroneamente assunto di poter beneficiare delle garanzie approntate da detta normativa”.
Accesso agli atti e tutela del segnalante: effetti sul diritto di difesa
Il principio cardine delle tutele riconosciute al segnalante è garantire che la sua identità, e qualsiasi altra informazione, da cui potrebbe evincersi direttamente o indirettamente l’identità dello stesso, non possono essere rivelate, senza il suo consenso, a persone diverse da quelle che ricevono o danno seguito alla segnalazione[5].
Il suddetto principio viene poi completato dall’obbligo di sottrarre la segnalazione “all’accesso previsto dagli articoli 22 e seguenti della legge 7 agosto 1990, n. 241 (accesso agli atti amministrativi), nonché dagli articoli 5 e seguenti del decreto legislativo 14 marzo 2013, n. 33 (accesso civico generalizzato)”[6].
Divieti di ostensione e accesso civico: cosa resta escluso
In altre parole, come chiarito dall’ANAC, il divieto di rivelare l’identità del segnalante si riferisce a qualsiasi informazione o elemento della segnalazione, inclusa la documentazione allegata, dal cui disvelamento si possa dedurre, direttamente o indirettamente, l’identità del segnalante[7].
Analoghe limitazioni al diritto di accesso ai dati personali, ex art. 15 GDPR, sono sancite al fine di garantire la segretezza dell’identità del segnalante.
I principi relativi alla tutela del segnalante costituiscono, come è evidente, un’ipotesi derogatoria rispetto alla disciplina generale in tema di ostensibilità degli atti ed all’accesso ai dati personali, imponendo la massima cautela nel trattamento delle segnalazioni per evitare un’eccessiva compressione del diritto di accesso del segnalato, che è propedeutico al diritto di difesa.[8] Occorre, quindi, un corretto bilanciamento tra gli interessi in gioco, attraverso l’impiego di misure che garantiscano un’adeguata proporzionalità. Come garantirlo?
Accesso selettivo: anonimizzazione e oscuramento come bilanciamento
A nostro avviso, una prima soluzione è stata offerta dall’ANAC stessa, con il supporto dell’Autorità Garante per la Protezione dei Dati Personali. L’Autorità, infatti, ammette la facoltà di oscurare i dati personali relativi al segnalante e a tutti gli altri soggetti la cui identità in base al Decreto deve rimanere riservata, “qualora, per ragioni istruttorie, anche altri soggetti debbano essere messi a conoscenza del contenuto della segnalazione e/o della documentazione ad essa allegata”[9].
L’oscuramento dei dati personali, come strumento a tutela dell’identità del segnalante, è menzionato anche dal Garante che, nel dare parere favorevole al precedente schema di Linee Guida dell’ANAC, fa riferimento ad accorgimenti per anonimizzare la segnalazione e la documentazione allegata al fine di evitare che dalle informazioni e dai fatti ivi descritti sia possibile risalire all’identità del segnalante”[10].
Alla luce di quanto affermato dall’ANAC e dal Garante, sembra quindi potersi riconoscere la possibilità di un accesso “selettivo”, attraverso l’anonimizzazione della documentazione dalla quale emergono dati personali. A nostro avviso, oscurare i dati personali dei soggetti coinvolti, anche nella segnalazione, nonché tutte le informazioni dalle quali anche indirettamente sarebbe ricavabile l’identità del segnalante, appare la soluzione migliore per evitare un’eccessiva limitazione del diritto di difesa del segnalato.
Diritto di accesso ai dati ex GDPR e limiti temporanei
In secondo luogo, per quanto attiene alle richieste di accesso ai sensi del GDPR, il comma 3 dell’art. 2-undecies del Codice Privacy prevede che, nei casi in cui operi la limitazione, i diritti dell’interessato possano essere esercitati tramite il Garante per la protezione dei dati personali. Il Garante, una volta ricevuta la richiesta, è tenuto a svolgere le verifiche necessarie o un riesame, informando l’interessato dell’esito e del suo diritto di proporre ricorso giurisdizionale. Le Linee Guida ANAC, in conformità a tale indicazione, precisano che la limitazione dei diritti riconosciuti dal GDPR opera solo “per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata” e deve essere giustificata da esigenze concrete di tutela della riservatezza e cessare quando tali esigenze vengono meno. Si tratta di una soluzione che, pur limitando l’immediatezza dei diritti, ne preserva la sostanza, assicurando un controllo esterno da parte dell’Autorità Garante.
Come bilanciare le tutele del segnalato nel whistleblowing senza violare la riservatezza
In terzo luogo, si consideri che la giurisprudenza amministrativa ha chiarito che il diritto di accesso agli atti, se il procedimento è ancora in corso e non vi è un addebito formalizzato, può essere differito fino alla conclusione dell’attività ispettiva, per non interferire con l’azione amministrativa.
Differimento dell’accesso in istruttoria e eccezioni per l’interesse concreto
Tuttavia, lo stesso orientamento ammette eccezioni: qualora il segnalato dimostri un interesse concreto e meritevole di tutela, l’accesso può essere consentito anche in fase istruttoria. In tal modo, i giudici hanno aperto alla possibilità di bilanciare la riservatezza con il diritto di difesa, riconoscendo che quest’ultimo non può essere in alcun modo sacrificato.
Dopo l’archiviazione: reputazione e azioni civili o penali
Tale principio sembra applicabile anche quando la procedura si è chiusa con una archiviazione. in questi casi, il segnalato potrebbe infatti avere titolo per agire in sede civile o penale contro l’autore della segnalazione, prospettando profili diffamatori o calunniosi (non va trascurato l’impatto reputazionale che una segnalazione, anche se archiviata, può avere, specie in contesti aziendali dove più soggetti hanno avuto visibilità sul contenuto).
Procedimento disciplinare: quando le garanzie diventano più robuste
Infine, si consideri che, ove l’istruttoria porti all’avvio di un procedimento disciplinare, si applicano le maggiori tutele previste dal diritto del lavoro, che comportano anche l’obbligo di una contestazione tempestiva ed un diritto di difesa, seppur con i bilanciamenti per garantire la tutela del segnalante.
Diritto di essere sentito: contraddittorio e informazioni minime al segnalato
Facendo un passo in più consideriamo che la normativa italiana, attraverso un particolare parallelismo con il procedimento penale, ha previsto che, in fase istruttoria, sia ammessa l’audizione del segnalato[11].
Audizione e procedimento cartolare: la discrezionalità del gestore
Come chiarito da Anac, il segnalato può essere sentito, anche previa sua specifica richiesta, oppure può essere instaurato un procedimento cartolare con lo stesso mediante acquisizione di osservazioni scritte o documenti dal medesimo prodotti[12]. Tale facoltà è stata concessa apparentemente in attuazione del diritto di difesa del segnalato. Tuttavia, le stesse Linee Guida precisano poi come non sia obbligatorio comunicare l’esistenza del procedimento al segnalato[13].
Come potersi difendere quindi, se non si ha diritto di aver contezza del procedimento, delle contestazioni, degli elementi di prova? Secondo le nuove Linee Guida, viene riconosciuta la totale discrezionalità dell’azienda, che rimane, quindi, priva di indicazioni, anche generali, che possano guidarla nella scelta se comunicare o meno l’esistenza del procedimento al segnalato.
Il parallelismo con le indagini preliminari: quali garanzie importare
Sempre per riprendere il parallelismo rispetto al procedimento penale e, in particolare, alla fase delle indagini preliminari, si consideri che, in quel caso l’invito (a presentarsi innanzi al Pubblico Ministero) deve contenere la sommaria enunciazione del fatto quale risulta dalle indagini fino a quel momento compiute e può contenere l’indicazione degli elementi e delle fonti di prova, mentre la stessa previsione non è prevista in tema whistleblowing.
Deve tuttavia ritenersi, secondo la nostra interpretazione, che tali garanzie siano dovute anche nell’ambito del whistleblowing, per evitare il paradosso che la disciplina sia più restrittiva rispetto alle garanzie previste nel procedimento penale: non è, infatti, concepibile che un soggetto possa essere sentito in chiave difensiva, senza conoscere preventivamente gli addebiti e gli elementi su cui si fondano.
Conferma dell’esistenza del trattamento dati: il possibile varco ex art. 15 GDPR
Inoltre, si sottolinea come, in base all’art. 15 GDPR, l’interessato potrebbe limitarsi a chiedere non tanto l’accesso ai dati, ma la conferma dell’esistenza di un trattamento di dati personali (e quindi della segnalazione). Difficilmente tale richiesta potrà essere rifiutata dall’azienda, non sovvenendoci ipotesi in cui la comunicazione dell’esistenza della segnalazione (e non del suo contenuto o del suo autore) possa compromettere la segretezza dell’identità del segnalante. L’interessato/segnalato avrà quindi sempre modo di presentare istanze “esplorative”.
Segnalazioni anonime: impatto sulle tutele del segnalato nel whistleblowing
Anche il tema delle segnalazioni anonime nel contesto del whistleblowing rappresenta un aspetto particolarmente controverso e dibattuto della disciplina italiana in quanto si presta a essere strumento per abusi della disciplina. Chi non ha coraggio di assumersi la paternità di una denuncia, nonostante le enormi tutele che la legge accorda al segnalante, potrebbe essere in mala fede e agire per fini futili e ritorsivi.
Dalla scelta del 2012 alla Direttiva: perché l’anonimato cambia tutto
E infatti il legislatore del 2012, attraverso l’introduzione dell’art. 54 bis nel D.lgs. 165/2001, aveva deciso di escludere espressamente le segnalazioni anonime. Si riteneva, infatti, essenziale l’identificabilità del segnalante per garantire la tutela e la responsabilità del sistema.
Con la Direttiva UE 2019/1937 il legislatore europeo ha riconosciuto invece agli Stati Membri la facoltà di ammettere le segnalazioni anonime e, dunque, di estendere le tutele anche in caso di anonimato[14].
Numerosi contributi dottrinali[15] avevano già esposto le criticità di fronte alla possibile estensione delle tutele anche in caso di anonimato del whistleblower, in quanto se non identificabile l’autore, non sarebbe verificabile la sussistenza dei requisiti richiesti dalla normativa per differenziare le segnalazioni ordinarie da quelle whistleblowing. Altri autori sostenevano, poi, l’evidente problematica connessa all’applicazione del principio di proporzionalità, quale bilanciamento in concreto fra i contrapposti interessi.
Regole del d.lgs. 24/2023: tolleranza, registrazione e gestione come ordinario
Il D.lgs. n. 24 del 2023 ha introdotto una disciplina più articolata, secondo la quale le segnalazioni anonime sono tollerate. Tuttavia, il legislatore nazionale non ha imposto l’obbligo di canali di segnalazione anonimi e ha tuttavia previsto che le misure di protezione del segnalante si applicano solo se il segnalante anonimo viene successivamente identificato, dichiarando di aver subito ritorsioni successive[16].
A questo si aggiunge che il Decreto ha previsto che l’Anac sanzioni gli enti che omettono di attivare la procedura di verifica delle segnalazioni ricevute; ciò implica che non è possibile ignorare a priori un esposto anonimo[17]. Come ribadito dall’Autorità nelle nuove Linee Guida, le segnalazioni anonime devono essere registrate e conservate, qualora il segnalante dovesse comunicare ad ANAC di aver subito misure ritorsive. Tuttavia, se puntuali, circostanziate e supportate da idonea documentazione vengono gestite, seppur come una segnalazione ordinaria e non come una segnalazione whistleblowing.
Quindi, come dovrebbero essere gestite le segnalazioni ordinarie, in cui rientrano quelle anonime? Recentemente, l’ANAC, in risposta ai quesiti sollevati da numerosi operatori, ha chiarito la totale libertà dei singoli enti di definire le concrete modalità di gestione delle segnalazioni ordinarie, da inserire nei regolamenti interni[18].
Mala fede e responsabilità: quando il segnalante perde le tutele
Prima di tali indicazioni, si poteva sostenere che le segnalazioni anonime non beneficiassero delle tutele del Decreto finché non fosse emersa l’identità del segnalante. Secondo tale interpretazione, tali segnalazioni non erano sottratte al diritto di accesso agli atti e, pertanto, non poteva essere negata la loro visione al soggetto segnalato.
Ad oggi, alla luce dei recenti interventi di ANAC e del Garante, appare più complesso sostenere questa tesi. Secondo una interpretazione analogica di quanto previsto per la segnalazione priva dei requisiti della normativa, anche in caso di segnalazione anonima dovrebbe essere garantita la tutela dell’identità del segnalante.
A parere di chi scrive, l’ulteriore rafforzamento del regime a tutela del segnalante lascia un evidente vuoto normativo rispetto alla tutela del segnalato, nonostante sia stato riconosciuto principio ispiratore della materia dal legislatore europeo.
Buona fede come presupposto: fondato motivo e perimetro oggettivo
Si consideri, inoltre, che estendere le tutele alle segnalazioni anonime comporterebbe, infatti, criticità rilevanti, soprattutto nei casi di mala fede del segnalante. Ai sensi dell’articolo 16, comma 1, del Decreto, la protezione accordata al whistleblower presuppone che, al momento della segnalazione, egli avesse fondato motivo di ritenere che le informazioni comunicate fossero veritiere e rientranti nell’ambito oggettivo della disciplina e che, quindi, fosse in buona fede.
Diffamazione, calunnia e responsabilità civile: la soglia della condanna
Qualora il segnalante abbia agito in mala fede, l’articolo 16 del Decreto stabilisce invece che, se viene condannato – anche con sentenza di primo grado – per diffamazione (art. 595 c.p.) o calunnia (art. 368 c.p.)[19], perde le tutele previste e può subire sanzioni disciplinari. Gli enti, quindi, dovranno prevedere nei propri modelli organizzativi sistemi disciplinari proporzionati e graduati, conformemente alla norma. La ratio è evidente: impedire che il diritto di segnalare diventi uno strumento per infangare la reputazione altrui.
Tuttavia, questa previsione solleva alcuni interrogativi in merito alla sua applicabilità pratica, proprio per i profili visti nel presente articolo: come è possibile difendersi da segnalanti in mala fede, se non si conosce l’esistenza del procedimento, non si ha accesso agli atti e addirittura si può essere denunciati con segnalazione anonima?
Conclusioni: i vuoti della disciplina e le linee interpretative auspicabili
In conclusione, si ritiene che la disciplina italiana, pur ispirata ai principi europei, lasci aperti alcuni interrogativi e che siano auspicabili linee interpretative chiare e controlli rigorosi in merito ai temi sopra enunciati, per bilanciare tutti i diritti fondamentali in gioco.
Note
[1] Cassazione Civile, Sez. Lavoro, 27 giugno 2024, n. 17715:il segnalante era stato licenziato e ritenendo di aver subito una misura ritorsiva, invocava la reintegrazione prevista dal Decreto. La Corte aveva negato la richiesta poiché non qualificabile come whistleblowing: infatti la dirigente aveva formalizzato la segnalazione con l’unico intento di gettare discredito sui colleghi e quindi non c’era spazio per invocare le tutele previste dalla legge.
[2] Linee guida in materia di whistleblowing sui canali interni di segnalazione, approvate con Delibera n° 478 del 26 novembre 2025.
[3] Parere sugli schemi di “Linee guida in materia di whistleblowing sui canali interni di segnalazione” e di delibera di modifica e integrazione della Delibera ANAC recante le “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” – 9 ottobre 2025.
[4] Linee Guida ANAC 2025, pag. 23.
[5] Articolo 12, comma 2, D.lgs. 24/2023.
[6] Articolo 12, comma 8, D.lgs. 24/2023.
[7] Linee Guida ANAC, pag. 51.
[8] TAR Lazio (Roma), Sez. II bis, 3 novembre 2020, n. 11327. “ogni qualvolta siano assenti i descritti presupposti sostanziali e formali, ovvero, rispettivamente, la finalità della segnalazione all'”interesse dell’integrità della pubblica amministrazione” (e, più in generale, fenomeni c.d. di “maladministration”) e la riserva della segnalazione esclusivamente ai soggetti ivi indicati, non opererà la sottrazione all’accesso previsto dagli articoli 22 e seguenti della L. 7 agosto 1990, n. 241”.
[9] Linee Guida ANAC, pag. 52.
[10] Parere sullo schema di “Linee guida in materia di tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza in ragione di un rapporto di lavoro, ai sensi dell’art. 54-bis del d.lgs. 165/2001 (c.d. whistleblowing)” – 4 dicembre 2019.
[11] Articolo 12, comma 9, D.lgs. 24/2023.
[12] Linee Guida ANAC, pag. 55.
[13] Linee Guida ANAC, pag. 55. “La normativa non riconosce però al segnalato il diritto di essere sempre informato della segnalazione che lo riguarda; tale diritto, infatti, è garantito nell’ambito del procedimento eventualmente avviato nei suoi confronti a seguito della conclusione dell’attività di verifica e di analisi della segnalazione e nel caso in cui tale procedimento sia fondato in tutto o in parte sulla segnalazione”.
[14] Articolo 6, par. 2, “Gli stati membri possono decidere che le segnalazioni anonime siano trattate conformemente alla presente direttiva”.
[15] V. M. Donini, La tutela del whistleblower tra resistenze culturali e criticità legislative, in Dir. e Proc. Pen., n.4/2021, 772.
[16] Articolo 16, comma 4, D.lgs. 24/2023.
[17] Articolo 21, comma 1, lett. b) “da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni ovvero che l’adozione di tali procedure non è conforme a quelle di cui agli articoli 4 e 5, nonché quando accerta che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute;”.
[18] Linee Guida ANAC 2025 (Relazione Illustrativa), pag. 49.
[19] Le tutele previste dal Decreto sono escluse anche nei casi di accertamento della responsabilità civile per gli stessi fatti.
