Le nuove Linee Guida ANAC sui canali interni di segnalazione (e l’aggiornamento di quelle generali del 2023) completano e razionalizzano il quadro applicativo del D.lgs. 24/2023 in materia di whistleblowing, incidendo in modo significativo sull’organizzazione dei presìdi di sicurezza informativa e sulla gestione del rischio.

Secondo una lettura critica e sistemica delle Linee Guida, alla luce degli snodi interpretativi, le Linee Guida ANAC 2025 chiedono di interpretare il whistleblowing non come un adempimento settoriale, ma come una vera e propria infrastruttura trasversale di sicurezza organizzativa e di governance del rischio.

Le Linee Guida ANAC 2025 in materia di whistleblowing

Con le Delibere n. 478 e 479 del 26 novembre 2025, rispettivamente, ANAC ha varato le Linee Guida in materia di whistleblowing sui canali interni di segnalazione e modificato e integrato le Linee Guida del 2023 relative alle segnalazioni esterne ma di portata generale su tale strumento.

Con questi atti, l’Autorità ha completato il quadro applicativo delineato dal D.lgs. 24/2023, adottato in attuazione della Direttiva UE 2019/1937.

Ecco i principali snodi interpretativi e applicativi che emergono dal testo e dalla Relazione illustrativa, da interpretare anche alla luce delle interazioni con la disciplina in materia di protezione dei dati personali.

Le due Linee Guida

L’insieme delle due Linee Guida assolve a una funzione essenzialmente sistematica: non introduce nuovi obblighi quanto chiarisce e coordina – in vari casi innovandone l’articolazione – profili già previsti dalla normativa primaria e dalle Linee Guida del 2023.

Esse si configurano, pertanto, come uno strumento interpretativo di raccordo, volto a stabilizzare l’assetto complessivo del sistema di segnalazione, con particolare riferimento ai rapporti tra canale interno, canale esterno e divulgazione pubblica, ai requisiti organizzativi dei soggetti coinvolti, nonché alle modalità di trattamento dei dati personali.

La consultazione pubblica

L’emanazione delle Linee Guida sui canali interni è stata preceduta da una consultazione pubblica (con 47 partecipanti e oltre 230 osservazioni), dalla quale ANAC ha tratto numerosi spunti, anche dello scrivente, confluiti nella versione definitiva del testo, confermando l’utilità di un approccio regolatorio improntato all’ascolto e al confronto con gli operatori.

Tre approfondimenti per la bozza messa in consultazione

Sulla base di alcune delle questioni rappresentate, ANAC ha provveduto a corredare la bozza messa in consultazione con tre approfondimenti sull’applicazione del whistleblowing in ordine a:

• modello organizzativo 231;
• i gruppi societari;
• enti del terzo settore (Ets).

La funzione delle Linee Guida e il metodo adottato

Un primo profilo di rilievo concerne l’approccio metodologico seguito dall’Autorità.

Muovendo dalle risultanze della consultazione pubblica, ANAC ha evitato di tradurre le istanze emerse in un apparato prescrittivo rigido, confermando un modello regolatorio fondato sui principi di autonomiaorganizzativa, accountability e proporzionalità.

Le Linee Guida non impongono soluzioni standardizzate, ma individuano criteri di riferimento entro i quali gli enti sono chiamati a esercitare le proprie scelte organizzative in modo responsabile.

In tale prospettiva, il canale interno di segnalazione rappresenta un presidio strutturale di governance.

La sua progettazione è ricondotta alla sfera delle scelte organizzative sensibili, analogamente ad altri sistemi di controllo e sicurezza interna, con conseguente rilievo anche sul piano della gestione del rischio e della qualità complessiva dei modelli organizzativi.

L’accesso al canale esterno e il superamento di letture restrittive

Per il settore privato, la disciplina in materia di whistleblowing circoscrive l’ambito oggettivo delle segnalazioni alle violazioni del diritto dell’Unione europea e, ove adottato, alle violazioni del modello di organizzazione e gestione di cui al D.lgs. 231/2001; diversamente, per il settore pubblico, la tutela si estende anche alle violazioni del diritto interno, incluse quelle di natura amministrativa, contabile, civile o penale.

In tale quadro, assume particolare rilievo l’evoluzione interpretativa intervenuta nelle Linee guida ANAC del 2023 con riferimento ai soggetti legittimati ad avvalersi del canale di segnalazione esterna gestito dall’Autorità.

Chi può ricorrere al canale esterno

A seguito anche degli esiti della consultazione pubblica, ANAC ha chiarito che possono ricorrere al canale esterno, al ricorrere delle condizioni previste dalla legge, anche le persone che operano presso soggetti del settore privato con un organico medio inferiore a cinquanta dipendenti, non obbligati all’adozione di un modello organizzativo ai sensi del D.lgs. 231/2001 e non rientranti nei settori sensibili individuati dall’Allegato al D.lgs. n. 24/2023.

Ne consegue che il canale di whistleblowing esterno risulta oggi accessibile, in via sussidiaria e condizionata, anche a coloro che operano in organizzazioni private di minori dimensioni, qualora ricorrano le situazioni tipizzate dal legislatore, quali l’impossibilità di effettuare una segnalazione interna efficace, il fondato timore di ritorsioni ovvero la sussistenza di un rischio imminente o manifesto per l’interesse pubblico.

Tale ricostruzione appare coerente con la funzione attribuita al canale esterno dalla Direttiva UE 2019/1937, quale strumento di tutela effettiva attivabile in presenza di specifiche condizioni di rischio.

In tale contesto, può osservarsi come, nella fase immediatamente successiva all’adozione delle Linee guida del 2023, le indicazioni allora vigenti potrebbero aver orientato – in senso prudenziale – le condotte dei potenziali segnalanti operanti presso enti di ridotte dimensioni.

Al contempo, il quadro sinottico dei canali di segnalazione riportato nelle Linee guida aggiornate (p. 47), riferito agli enti dotati di modello 231 a prescindere dalla consistenza dell’organico, continua a rappresentare l’assetto ordinario dei flussi informativi, senza tuttavia evidenziare graficamente le ipotesi sussidiarie di ricorso al canale esterno previste dall’art. 6 del decreto. Tali ipotesi restano pertanto affidate alla disciplina normativa e a una lettura sistematica dell’intero impianto regolatorio.

Il gestore del canale: autonomia formale e sostanziale

Sul piano organizzativo, le Linee Guida dedicano ampio spazio alla figura del gestore del canale di segnalazione, ribadendo che i requisiti di autonomia, indipendenza e riservatezza costituiscono condizioni imprescindibili per la legittimità e l’efficacia del sistema.

Pur non vincolando la scelta a un soggetto predeterminato – quale l’Organismo di Vigilanza ex D.lgs. 231/2001, la funzione di internal audit o un consulente esterno -, l’ANAC chiarisce che la mera attribuzione formale dell’incarico non è sufficiente.

Si richiede che l’autonomia sia effettiva e sostanziale. Infatti un gestore privo di reale indipendenza compromette l’intero meccanismo di tutela previsto dalla normativa. In sintesi:

• il gestore del canale interno deve essere autonomo (in termini di indipendenza e imparzialità), senza supervisione da parte degli organi di indirizzo;
• l’intera istruttoria è di sua esclusiva competenza, con trasmissioni verso altri soggetti solo successivamente e per competenze specifiche;
• l’ente deve strutturarne l’assetto (requisiti, assenza conflitti, sostituto, formazione) in modo da garantire effettivamente l’autonomia.

Dati identificativi del segnalante

Inoltre si prevede espressamente che il gestore possa venire a conoscenza dei dati identificativi del segnalante, solo nei casi in cui ciò sia necessario ai fini istruttori, rafforzando il principio di riservatezza come cardine del sistema.

In definitiva, la figura del gestore appare come il vero ‘garante interno’ della credibilità del sistema.

Profili tecnologici e responsabilità del titolare

Con riferimento agli strumenti tecnologici, le Linee Guida raccomandano l’adozione di piattaforme dedicate, idonee a garantire la segregazione degli accessi, la tracciabilità delle operazioni e la riservatezza delle informazioni trattate.

In via residuale, resta ammesso l’utilizzo di strumenti tradizionali quali la posta elettronica certificata o l’email, purché l’ente proceda a una valutazione consapevole dei rischi, eventualmente mediante una valutazione d’impatto sulla protezione dei dati (DPIA), ai sensi del Regolamento (UE) 2016/679.

In questo ambito, le Linee Guida operano una chiara allocazione delle responsabilità: la scelta dello strumento ricade integralmente sull’ente, che deve essere in grado di dimostrare l’adeguatezza delle misure adottate.

Ne deriva un rafforzamento dell’approccio basato sul risk management, in coerenza con l’impianto del GDPR.

Inoltre si precisa che le segnalazioni possono essere sia scritte che orali; non sono alternative, quindi entrambe le modalità devono essere garantite.

I gruppi di imprese e la gestione accentrata del canale di segnalazione

Le Linee Guida ANAC chiariscono in modo puntuale la disciplina applicabile ai gruppi societari, distinguendo nettamente tale scenario dall’istituto della condivisione del canale interno di cui all’art. 4, co. 4, D.lgs. 24/2023 – prevedendola per i soggetti privati fino a 249 lavoratori e agli enti pubblici di ridotte dimensioni.

Nei gruppi di imprese, infatti, la condivisione è ammessa soltanto se ciascuna società del gruppo, considerata singolarmente, rientra nella soglia dei 249 lavoratori; diversamente, non è consentita e occorre ricorrere ad altri modelli organizzativi.

In tale quadro, ANAC precisa che l’eventuale accentramento del canale a livello di gruppo non può mai tradursi in una riduzione delle garanzie sostanziali riconosciute alla persona segnalante.

Il canale interno

Ogni società deve mantenere un proprio canale interno, eventualmente collocato all’interno di una piattaforma unica, ma articolata in sottocanali autonomi. E deve garantire una rigorosa segregazione degli accessi, così che ciascun gestore possa trattare esclusivamente le segnalazioni relative alla società di appartenenza.

È inoltre necessario il mantenimento di autonomia e piena responsabilità di ciascuna entità nell’istruttoria.

Economie di scala ed efficienza operativa

Sul piano dei ruoli privacy, le Linee Guida ribadiscono che, nei gruppi di imprese, non trova applicazione la disciplina della contitolarità prevista dall’art. 26 GDPR per i soli casi di condivisione legalmente consentita.

Nei gruppi, infatti, la capogruppo può operare esclusivamente quale responsabile del trattamento ai sensi dell’art. 28 GDPR, quando fornisce l’infrastruttura o supporto istruttorio alle società controllate.

Ogni società rimane titolare del trattamento per il proprio canale e conserva la piena responsabilità decisionale sul seguito da dare alle segnalazioni.

Ne deriva un modello che consente economie di scala e un’elevata efficienza operativa, ma che richiede particolare attenzione nella progettazione dei flussi informativi, nella definizione contrattuale dei rapporti tra le società del gruppo e la capogruppo-responsabile, nonché nella documentazione delle scelte adottate.

La piattaforma informatica ad hoc

L’utilizzo di una piattaforma informatica dedicata costituisce, secondo ANAC e in coerenza con il parere del Garante, lo standard tecnico preferibile per assicurare adeguati livelli di sicurezza, tracciabilità e riservatezza.

Coinvolgimento sindacale ed enti del terzo settore

In uno dei tre approfondimenti contenuti nella versione finale delle Linee Guida sul canale interno, tenendo conto delle osservazioni formulate anche da alcuni ETS, ANAC adotta una versione che specifica in maniera meno netta l’azione di tali Enti.

Si eliminano le previsioni secondo cui:

• gli ETS non possono effettuare un vero e proprio trattamento di dati personali e laddove entrino involontariamente in contatto con tali dati sono tenuti a non utilizzarli per scopi diversi rispetto allo svolgimento della propria attività di sostegno e a non registrarli in archivi cartacei o informatici, procedendo quindi alla loro tempestiva cancellazione;
• che bisogna distinguere le attività svolte dagli ETS dell’esame vero e proprio della segnalazione che, invece, compete al gestore.

In sostanza, ANAC ritiene di non dover assumere una posizione specifica sugli aspetti privacy della attività degli Ets (“esulano dalla specifica competenza di ANAC”) e, inoltre, non ritiene pertinente in sede di consultazione il suggerimento di rivedere il testo della Convenzione ANAC-Ets per aspetti privacy.

Questione demandata ad altra autorità competente

Pertanto si rimanda alla loro autonomia il puntuale rispetto delle previsioni sul whistleblowing – evitando (come pure sottolineato dallo stesso testo dell’ANAC) che il loro apporto arrivi ad essere anche quello di facilitatori.

Resta dunque aperta, anche sul piano applicativo, la questione del coordinamento tra ANAC e Garante per la protezione dei dati personali rispetto ai compiti effettivamente svolti dagli ETS (nel senso, sembra di capire, che per gli aspetti privacy dovrà pensarci il Garante).

Semplificazioni procedurali e trattamento dei dati

Sul piano procedurale, le Linee Guida introducono alcune semplificazioni coerenti con il principio di minimizzazione dei dati personali.

In particolare, nel caso delle segnalazioni cartacee effettuate mediante il sistema delle “due + una buste”, viene eliminata la previsione di allegare la copia del documento di identità.

Pertanto talune procedure che prevedono la richiesta della copia del documento di identità nelle segnalazioni cartacee, sono oggi superate dalle indicazioni ANAC 2025, che ne hanno eliminato l’obbligo per ragioni di minimizzazione e sicurezza.

Gli enti che ancora prevedono tale allegazione dovranno adeguare le proprie procedure alla luce delle nuove indicazioni.

Con riferimento alle segnalazioni orali, si recepisce l’indicazione di poter prevedere l’incontro anche in un luogo esterno alla sede dell’ente, ferma restando la conferma dell’obbligo di sottoscrizione del verbale, quale garanzia di correttezza procedurale e di adeguata documentazione della segnalazione.

Relazione illustrativa, valenza a fini di approfondimento

Unitamente all’analisi delle Linee Guida, risulta di particolare utilità la lettura della Relazione illustrativa, che dà conto delle valutazioni svolte da ANAC sulle osservazioni formulate in sede di consultazione pubblica.

L’interesse è duplice: da un lato, le osservazioni testimoniano un’esigenza diffusa di chiarimento su numerosi aspetti applicativi; dall’altro, le risposte fornite – anche in relazione alle proposte non accolte – consentono di orientare la prassi degli enti.

Tra le questioni trattate vi è quella di un possibile coinvolgimento concorrente di ANAC e dell’Autorità garante per la protezione dei dati personali su medesime fattispecie, con riferimento al rischio di una duplicazione sanzionatoria.

ANAC esclude la violazione del principio del Ne bis in idem, ritenendo che le fattispecie tutelate siano diverse.

Aldilà della questione della (enorme) differenza nella portata degli strumenti sanzionatori ad avviso dello scrivente la questione non appare del tutto priva di zone di contatto, soprattutto nei casi in cui le carenze strutturali del canale di segnalazione incidano simultaneamente sulla tutela della riservatezza e sulla protezione dei dati personali.

Trattamento documentale delle segnalazioni per le PA

Un altro aspetto proposto in sede di consultazione è quello del trattamento documentale delle segnalazioni per le Pubbliche Amministrazioni assoggettate al Codice dell’Amministrazione Digitale: l’ANAC non ritiene di esprimersi inquadrando la questione come richiesta di consulenza.

In materia, comunque, si può osservare che il D.lgs. 24/2023 non disciplina il profilo documentale delle segnalazioni, ma impone modalità di gestione incompatibili con il protocollo ordinario.

Spetta alle amministrazioni individuare soluzioni organizzative che consentano di coordinare la gestione delle segnalazioni con il DPR 445/2000 (TU sulla documentazione amministrativa).

Trattate tutte le segnalazioni in modo uniforme

A tal fine, potrebbe essere valutata la qualificazione del trattamento documentale delle segnalazioni whistleblowing come registrazione particolare ai sensi dell’art. 53, comma 5, del medesimo decreto, definita in sede organizzativa per assicurare la coerenza con il quadro del DPR 445/2000.

Se si conviene con tale ipotesi, tutte le segnalazioni whistleblowing dovrebbero essere trattate in modo uniforme, così da garantire omogeneità procedurale e un pari livello di protezione.

Cancellazione e anonimizzazione dei dati allo scadere dei termini di conservazione

ANAC esprime l’avviso che l’anonimizzazione non possa supplire all’obbligo di cancellazione espressamente previsto dal legislatore, richiamando una distinzione concettuale tra l’eliminazione del dato personale e la sua trasformazione tecnica.

Questa impostazione pone una questione di carattere più generale, che trascende il perimetro del whistleblowing e investe il rapporto tra obblighi legali di cancellazione e gestione della conoscenza all’interno delle organizzazioni.

La cancellazione risponde a una prescrizione giuridica puntuale. Invece l’anonimizzazione si colloca su un piano diverso, quale tecnica di trattamento che presuppone l’assenza di riferimenti personali e l’impossibilità di re-identificazione.

La distinzione tra i due momenti

In questa prospettiva, il problema non sembra tanto quello di individuare un’alternativa alla cancellazione, quanto piuttosto di comprendere se, e a quali condizioni, una volta adempiuto l’obbligo di eliminazione dei dati personali, possa residuare uno spazio per la conservazione di informazioni prive di carattere personale, ottenute attraverso processi di anonimizzazione effettivi e irreversibili, concepiti come fase logicamente e temporalmente successiva.

La distinzione tra i due momenti appare rilevante al fine di evitare sovrapposizioni concettuali e di preservare la coerenza sistematica tra obblighi normativi e ulteriori esigenze organizzative di analisi e valutazione.

Whistleblowing come indicatore della solidità dei modelli di governance e di gestione del rischi

Nel complesso, le Linee Guida di recente emanate consentono di ritenere conclusa la fase di costruzione normativa del whistleblowing nell’ordinamento italiano.

Il sistema risulta oggi completo sotto il profilo regolatorio e interpretativo. La questione centrale si sposta, pertanto, sul piano dell’attuazione concreta e della qualità organizzativa delle soluzioni adottate.

Il whistleblowing emerge sempre più come un indicatore della solidità dei modelli di governance e di gestione del rischio, piuttosto che come un mero obbligo di compliance.

In questa prospettiva, la credibilità del sistema – più ancora della sua conformità formale – rappresenta il vero banco di prova dell’efficacia della disciplina nei prossimi anni.

La valorizzazione del whistleblowing

Al termine di questa analisi, un’ultima considerazione merita la questione della valorizzazione dello strumento di whistleblowing. Sulla formazione presso i luoghi di lavoro, recependo spunti emersi in consultazione, l’ANAC “raccomanda di sensibilizzare sull’importanza del whistleblowing come strumento di protezione del bene comune e della promozione dei diritti fondamentali di libertà di espressione e di informazione, principi posti a base dei sistemi democratici”.

Ma una campagna informativa pubblica aiuterebbe a accrescere l’effettività del whistleblowing come uno degli strumenti per la gestione dei rischi presso le organizzazioni pubbliche e private.