Articolo a cura di: Redazione - Studio Legale Calvello

Quando l’identità di chi ha effettuato una segnalazione whistleblowing viene rivelata senza le condizioni previste dalla legge, l’azienda può trovarsi ad affrontare una violazione degli obblighi di riservatezza, contestazioni dell’ANAC, possibili responsabilità in materia di protezione dei dati personali e richieste di risarcimento. Il problema può nascere da un errore del gestore delle segnalazioni, dalla circolazione incontrollata di documenti, dall’accesso alla piattaforma da parte di persone non autorizzate oppure dalla comunicazione del nome del segnalante al soggetto coinvolto nei fatti denunciati.

La questione richiede particolare attenzione perché la tutela dell’identità del whistleblower costituisce un obbligo specifico previsto dal D.Lgs. 24/2023. Quando la riservatezza viene compromessa, occorre ricostruire immediatamente l’accaduto, verificare chi abbia avuto accesso alle informazioni e valutare le conseguenze giuridiche dell’episodio. Come Studio Legale, assistiamo le imprese nell’esame delle responsabilità, nella gestione delle contestazioni e nell’individuazione delle misure necessarie per contenere gli effetti della violazione.

Identità del segnalante rivelata: quando si verifica una violazione della riservatezza

L’articolo 12 del D.Lgs. 24/2023 stabilisce che l’identità della persona segnalante e qualsiasi altra informazione dalla quale possa evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della persona stessa, a soggetti diversi da quelli competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzati a trattare tali dati. La protezione riguarda quindi il nome del whistleblower, ma anche gli elementi che consentono di identificarlo attraverso il contenuto della segnalazione o le circostanze descritte.

Una violazione può verificarsi, ad esempio, quando il responsabile HR riceve una segnalazione che non avrebbe dovuto conoscere, quando il gestore inoltra una comunicazione contenente il nominativo del dipendente a un dirigente non autorizzato oppure quando la documentazione dell’indagine interna viene condivisa senza oscurare i dati identificativi. Situazioni analoghe possono derivare da permessi informatici configurati in modo errato, archivi documentali accessibili a un numero eccessivo di persone o comunicazioni effettuate durante riunioni aziendali.

Il problema non riguarda esclusivamente la divulgazione intenzionale. Anche una comunicazione accidentale può integrare una violazione dell’obbligo di riservatezza, ferma restando la necessità di accertare le circostanze concrete e le responsabilità dei soggetti coinvolti. Per l’impresa è quindi insufficiente verificare se qualcuno abbia deliberatamente comunicato il nome del segnalante: occorre stabilire se le informazioni siano state rese accessibili a persone prive di una legittima competenza nella gestione della segnalazione.

Particolarmente delicata è l’identificazione indiretta. In un’azienda con pochi dipendenti, una segnalazione relativa a un episodio conosciuto soltanto da due persone potrebbe consentire al soggetto segnalato di individuare facilmente chi abbia riferito i fatti. Anche il riferimento a un reparto, a una mansione, a un turno di lavoro o a un documento riservato può rendere riconoscibile il whistleblower. Questo non significa che ogni possibilità astratta di identificazione costituisca automaticamente una violazione imputabile all’azienda, ma impone di valutare quali informazioni siano effettivamente necessarie per svolgere l’istruttoria e a chi possano essere comunicate.

La riservatezza deve essere preservata durante l’intero procedimento, dalla ricezione della segnalazione alle eventuali verifiche successive. Il gestore deve poter acquisire le informazioni necessarie senza consentire una circolazione indiscriminata dell’identità del segnalante. Anche quando l’istruttoria richiede il coinvolgimento di altre funzioni aziendali, la comunicazione delle informazioni deve rispettare i limiti previsti dalla normativa.

Per questa ragione, una corretta procedura whistleblowing aziendale deve disciplinare concretamente le autorizzazioni, le modalità di comunicazione e le cautele da adottare durante gli accertamenti. La semplice disponibilità di una piattaforma informatica non è sufficiente quando le persone incaricate della gestione non rispettano le regole di accesso e riservatezza.

Quando è consentito rivelare l’identità del whistleblower e quali limiti deve rispettare l’azienda

La tutela dell’identità del segnalante non comporta un divieto assoluto di comunicazione in qualsiasi circostanza. Il D.Lgs. 24/2023 disciplina specificamente le condizioni alle quali determinate informazioni possono essere utilizzate o rivelate, distinguendo la gestione ordinaria della segnalazione dalle esigenze che possono emergere nei procedimenti disciplinari, penali e dinanzi alla Corte dei conti.

Nel procedimento disciplinare aziendale assume particolare rilievo l’articolo 12, comma 5. Quando la contestazione disciplinare è fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa, l’identità della persona segnalante non può essere rivelata. Se invece la contestazione è fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante è indispensabile per la difesa dell’incolpato, la segnalazione può essere utilizzata ai fini del procedimento disciplinare soltanto in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità.

La distinzione ha conseguenze operative rilevanti. Se un dipendente segnala una possibile irregolarità contabile e l’azienda acquisisce successivamente documenti, registrazioni e altri elementi autonomi che consentono di accertare i fatti, l’eventuale procedimento disciplinare potrà fondarsi su tali risultanze senza rendere necessariamente conoscibile l’identità del whistleblower. Diversa è la situazione nella quale la contestazione dipenda direttamente dalle dichiarazioni del segnalante e la conoscenza della sua identità sia indispensabile per consentire all’incolpato di difendersi.

In quest’ultima ipotesi, l’impresa non può considerare il diritto di difesa come un’autorizzazione automatica a comunicare il nominativo. Deve verificare i presupposti normativi e acquisire il consenso espresso richiesto dalla legge. Se tale consenso manca, occorre valutare le conseguenze sull’utilizzabilità della segnalazione nel procedimento disciplinare, senza procedere unilateralmente alla divulgazione.

L’articolo 12, comma 6, prevede inoltre che venga dato avviso alla persona segnalante, mediante comunicazione scritta, delle ragioni della rivelazione dei dati riservati nelle ipotesi contemplate dai commi 5 e 3, secondo periodo, della stessa disposizione. Anche questo adempimento deve essere considerato nella gestione delle informazioni e nella documentazione delle decisioni assunte.

Nei procedimenti penali e dinanzi alla Corte dei conti operano specifiche disposizioni richiamate dall’articolo 12 del D.Lgs. 24/2023. Non sarebbe quindi corretto applicare indistintamente le regole del procedimento disciplinare aziendale a ogni richiesta proveniente dall’autorità giudiziaria o da altri soggetti istituzionali. La comunicazione dell’identità deve essere valutata alla luce della disciplina applicabile al procedimento concreto.

Un ulteriore aspetto riguarda i rapporti tra il gestore delle segnalazioni, l’Organismo di Vigilanza e gli organi societari. La presenza di un Modello organizzativo 231 non attribuisce automaticamente a tutti i componenti dell’OdV, agli amministratori o ai dirigenti il diritto di conoscere l’identità del whistleblower. Occorre verificare chi sia formalmente competente a ricevere e gestire le segnalazioni, quali autorizzazioni siano state attribuite e quali informazioni possano essere trasmesse nell’ambito dei flussi previsti dal sistema di controllo aziendale.

Quando la segnalazione riguarda direttamente un amministratore, un dirigente o il soggetto normalmente incaricato della gestione, la questione diventa ancora più delicata. L’impresa deve evitare che le informazioni identificative raggiungano persone coinvolte nei fatti segnalati attraverso comunicazioni interne, richieste documentali o attività istruttorie non adeguatamente presidiate. Il tema si collega alla corretta gestione delle segnalazioni whistleblowing che coinvolgono il management aziendale, per le quali possono rendersi necessarie specifiche misure organizzative.

La riservatezza del segnalante deve infine essere coordinata con il GDPR. L’identità del whistleblower costituisce un dato personale e il suo trattamento deve rispettare i principi di liceità, minimizzazione, integrità e riservatezza. Una comunicazione non autorizzata può quindi richiedere una valutazione distinta sotto il profilo della normativa whistleblowing e della protezione dei dati personali, senza che la violazione dell’una determini automaticamente tutte le conseguenze sanzionatorie previste dall’altra.

Responsabilità dell’azienda, sanzioni ANAC e violazioni GDPR: quali conseguenze possono derivare dalla divulgazione

Quando l’identità del segnalante viene comunicata a persone non autorizzate, l’impresa deve distinguere le responsabilità derivanti dalla violazione del D.Lgs. 24/2023 da quelle eventualmente riconducibili alla normativa sulla protezione dei dati personali. I due ambiti possono sovrapporsi, ma prevedono presupposti, procedimenti e conseguenze differenti. La gravità dell’episodio dipende dalle modalità della divulgazione, dalle persone che hanno ricevuto le informazioni, dalle misure di sicurezza adottate e dagli effetti concretamente prodotti.

L’articolo 21 del D.Lgs. 24/2023 attribuisce all’ANAC il potere di applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando accerta, tra le altre violazioni previste dalla disposizione, che è stato violato l’obbligo di riservatezza di cui all’articolo 12. La sanzione non discende automaticamente dalla semplice affermazione del segnalante secondo cui la propria identità sarebbe stata scoperta. Occorre accertare i fatti, individuare la condotta contestata e verificare la sussistenza dei presupposti della responsabilità amministrativa.

Per l’azienda diventa quindi determinante ricostruire come sia avvenuta la divulgazione. Se il nominativo è stato comunicato dal gestore della segnalazione, occorre verificare il contenuto dell’incarico, le autorizzazioni attribuite e le istruzioni ricevute. Se l’identità è stata conosciuta attraverso una piattaforma informatica, devono essere esaminati i profili di accesso, i registri delle operazioni e le eventuali anomalie tecniche. Quando la divulgazione deriva da una comunicazione interna, assume rilievo l’individuazione dei destinatari e delle ragioni per le quali le informazioni sono state trasmesse.

La presenza di un gestore esterno non esclude automaticamente le responsabilità dell’impresa. L’affidamento del servizio a un professionista o a un soggetto specializzato richiede una corretta definizione dei compiti e delle responsabilità, comprese quelle relative al trattamento dei dati personali. La posizione del gestore e quella dell’azienda devono essere esaminate separatamente, considerando la condotta concretamente tenuta e gli obblighi applicabili.

Sotto il profilo del GDPR, la divulgazione non autorizzata dell’identità del whistleblower può costituire una violazione dei dati personali, ossia un data breach, ai sensi dell’articolo 4, punto 12, del Regolamento (UE) 2016/679. In tale situazione il titolare del trattamento deve valutare il rischio per i diritti e le libertà delle persone fisiche e stabilire se ricorrano i presupposti per la notifica al Garante per la protezione dei dati personali prevista dall’articolo 33.

La notifica deve essere effettuata, quando dovuta, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione. Se il data breach presenta un rischio elevato per i diritti e le libertà della persona interessata, deve essere valutato anche l’obbligo di comunicazione previsto dall’articolo 34 del GDPR, tenendo conto delle eccezioni stabilite dalla stessa disposizione. Non ogni divulgazione comporta automaticamente entrambi gli adempimenti, ma ogni violazione dei dati personali deve essere valutata e documentata secondo le regole applicabili.

Quando emerge una possibile compromissione dell’identità del segnalante, è quindi necessario verificare tempestivamente se ricorrano gli obblighi descritti nella nostra guida dedicata a quando notificare un data breach al Garante Privacy. La valutazione deve considerare anche le possibili conseguenze professionali e personali per il whistleblower, soprattutto quando la divulgazione lo esponga a pressioni, discriminazioni o comportamenti ritorsivi.

Un ulteriore profilo riguarda le richieste di risarcimento. Il segnalante che ritenga di aver subito un danno a causa della divulgazione della propria identità può avanzare pretese nei confronti dei soggetti ritenuti responsabili. La fondatezza della richiesta dipende dalla disciplina applicabile, dall’accertamento della condotta illecita, dall’esistenza di un danno risarcibile e dal necessario collegamento causale. In materia di protezione dei dati personali rileva anche l’articolo 82 del GDPR, che disciplina il diritto al risarcimento dei danni materiali e immateriali derivanti da una violazione del Regolamento.

La situazione può aggravarsi quando, dopo la divulgazione, il dipendente subisce un licenziamento, un demansionamento, un trasferimento ingiustificato o altre misure potenzialmente ritorsive. In tali circostanze devono essere valutate anche le specifiche tutele previste dal D.Lgs. 24/2023, senza confondere la violazione della riservatezza con l’eventuale distinta condotta ritorsiva.

La gestione dell’incidente richiede pertanto un intervento organizzato. Occorre limitare immediatamente l’ulteriore diffusione delle informazioni, preservare la documentazione utile alla ricostruzione dei fatti e verificare gli obblighi di comunicazione eventualmente applicabili. L’azienda deve inoltre accertare se le procedure interne siano state rispettate e se siano necessarie modifiche alle autorizzazioni, alle misure di sicurezza o all’organizzazione del servizio whistleblowing.

Quando l’impresa ha adottato un Modello 231, l’episodio può richiedere anche una verifica del sistema disciplinare, delle procedure di gestione delle segnalazioni e dei flussi informativi verso l’Organismo di Vigilanza. La violazione della riservatezza non determina, di per sé, la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001, che richiede specifici presupposti. Può però rendere opportuno un controllo sull’effettiva applicazione delle misure organizzative previste dal modello.

Caso pratico: il responsabile aziendale scopre chi ha effettuato la segnalazione whistleblowing

Consideriamo una società con circa 120 dipendenti che utilizza una piattaforma whistleblowing affidata a un gestore interno. Un lavoratore segnala presunte irregolarità nella gestione degli acquisti, indicando operazioni riconducibili al proprio responsabile di reparto. Durante l’istruttoria, il gestore trasmette al direttore operativo una relazione contenente il nominativo del segnalante, senza che quest’ultimo sia competente a ricevere tale informazione.

Il direttore operativo comunica successivamente al responsabile coinvolto nei fatti che la segnalazione proviene da un determinato dipendente. Quest’ultimo viene a conoscenza della divulgazione e contesta all’azienda la violazione della riservatezza, dichiarando di temere conseguenze sul rapporto di lavoro.

In una situazione simile, l’impresa deve anzitutto accertare chi abbia avuto accesso all’identità del segnalante, quali comunicazioni siano state effettuate e se esistessero condizioni giuridiche che consentissero la divulgazione. La circostanza che le informazioni siano circolate tra soggetti appartenenti alla stessa organizzazione non rende automaticamente lecita la comunicazione.

La società deve quindi valutare la possibile violazione dell’articolo 12 del D.Lgs. 24/2023, gli eventuali profili di responsabilità del gestore e dei destinatari delle informazioni, nonché la sussistenza di un data breach ai sensi del GDPR. È opportuno verificare anche che il segnalante non subisca trattamenti pregiudizievoli collegati alla segnalazione e che l’istruttoria possa proseguire nel rispetto delle garanzie previste dalla legge.

Il caso mostra perché la gestione di una segnalazione whistleblowing dopo la sua ricezione richieda competenze giuridiche e organizzative specifiche. Un errore nella circolazione delle informazioni può creare un problema autonomo rispetto alla fondatezza dei fatti originariamente segnalati.

FAQ: domande frequenti sulla divulgazione dell’identità del segnalante whistleblowing

Quali sanzioni rischia l’azienda se viene rivelata l’identità del whistleblower?

L’articolo 21 del D.Lgs. 24/2023 prevede sanzioni amministrative pecuniarie da 10.000 a 50.000 euro per la violazione dell’obbligo di riservatezza stabilito dall’articolo 12. L’applicazione della sanzione richiede l’accertamento della violazione e delle relative responsabilità. Possono emergere anche conseguenze in materia di protezione dei dati personali e richieste di risarcimento, da valutare separatamente.

Il datore di lavoro può conoscere il nome di chi ha effettuato una segnalazione whistleblowing?

Il datore di lavoro o l’amministratore della società non hanno automaticamente diritto a conoscere l’identità del segnalante. L’accesso alle informazioni identificative deve rispettare l’articolo 12 del D.Lgs. 24/2023 e le competenze attribuite ai soggetti autorizzati alla gestione delle segnalazioni. La posizione gerarchica ricoperta nell’organizzazione non costituisce, da sola, una giustificazione per la divulgazione.

Se il gestore whistleblowing rivela per errore l’identità del segnalante, chi risponde?

Occorre accertare le modalità della divulgazione, le responsabilità del gestore e gli obblighi organizzativi dell’impresa. L’errore di un dipendente incaricato o di un gestore esterno non comporta automaticamente l’esclusione della responsabilità aziendale. Devono essere verificati anche gli incarichi conferiti, le istruzioni impartite e le misure adottate per impedire accessi o comunicazioni non autorizzati.

La divulgazione dell’identità del segnalante deve essere notificata al Garante Privacy?

Quando la divulgazione costituisce una violazione dei dati personali, il titolare del trattamento deve effettuare la valutazione prevista dagli articoli 33 e 34 del GDPR. La notifica al Garante è necessaria, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Se ricorrono i presupposti di legge, può essere necessaria anche la comunicazione all’interessato. La valutazione deve essere documentata.

Il segnalante può chiedere un risarcimento se la sua identità viene rivelata?

Il whistleblower può avanzare una richiesta risarcitoria quando ritenga di aver subito un danno riconducibile alla divulgazione illecita della propria identità. Il riconoscimento del risarcimento richiede la verifica dei presupposti giuridici applicabili, dell’esistenza del danno e del collegamento causale con la condotta contestata. La sola violazione di una disposizione del GDPR non determina automaticamente il diritto a una somma di denaro.

Identità del whistleblower rivelata: assistenza legale alle aziende dello Studio Legale Calvello

Quando emerge una possibile violazione della riservatezza del segnalante, intervenire tempestivamente consente all’impresa di ricostruire i fatti, valutare le responsabilità e adottare le misure appropriate prima che la circolazione delle informazioni produca ulteriori conseguenze.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste aziende, amministratori e responsabili della compliance nella gestione delle problematiche relative al whistleblowing, alla protezione dei dati personali e al coordinamento con il Modello organizzativo 231.

Esaminiamo le circostanze della divulgazione, le procedure adottate, gli incarichi conferiti ai gestori delle segnalazioni e gli eventuali profili di responsabilità. Forniamo assistenza nella valutazione degli obblighi GDPR, nei rapporti con le autorità competenti, nella gestione delle contestazioni e nella revisione delle misure organizzative, quando necessaria.

Se l’identità di un segnalante whistleblowing è stata rivelata nella vostra azienda, è opportuno verificare senza ritardo le conseguenze giuridiche dell’accaduto. Per sottoporre il caso alla nostra attenzione e richiedere una valutazione professionale, potete utilizzare la pagina dedicata alla consulenza legale in materia di privacy, whistleblowing e compliance aziendale.