Articolo a cura di: Redazione - Studio Legale Calvello
Per quanto tempo un’azienda deve conservare le segnalazioni whistleblowing e quando è obbligata a cancellarle? Il D.Lgs. 24/2023 stabilisce un limite massimo di cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione, ma impone anche di conservare la documentazione soltanto per il tempo necessario al trattamento della segnalazione stessa. Per le imprese questo significa dover gestire correttamente le scadenze, proteggere i dati personali contenuti nei fascicoli e verificare che anche piattaforme informatiche, archivi e fornitori esterni rispettino le regole applicabili. Una conservazione eccessiva, così come una cancellazione prematura, può esporre la società a contestazioni e compromettere la possibilità di ricostruire le attività svolte. Quando le procedure aziendali non prevedono criteri precisi, oppure sono presenti segnalazioni archiviate da anni, può essere necessario un intervento di verifica e adeguamento legale e organizzativo.
Quanto tempo devono essere conservate le segnalazioni whistleblowing e quando decorrono i cinque anni
La conservazione delle segnalazioni whistleblowing è disciplinata dall’articolo 14 del D.Lgs. 24/2023, che stabilisce due criteri da applicare congiuntamente: la documentazione deve essere conservata per il tempo necessario al trattamento della segnalazione e, comunque, non oltre cinque anni dalla data della comunicazione dell’esito finale della procedura. Il termine quinquennale rappresenta quindi un limite massimo ordinario, non un periodo minimo durante il quale ogni segnalazione debba necessariamente rimanere archiviata.
La distinzione ha conseguenze concrete. Un’impresa che abbia concluso rapidamente l’esame di una segnalazione non può considerare automaticamente legittima la conservazione integrale del fascicolo per altri cinque anni. Deve valutare quali documenti siano ancora necessari, per quali finalità e per quanto tempo, nel rispetto del principio di limitazione della conservazione previsto dall’articolo 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679. La presenza di un termine massimo stabilito dalla normativa sul whistleblowing non elimina gli obblighi di minimizzazione e proporzionalità del trattamento.
Un problema ricorrente riguarda la decorrenza del termine di conservazione. Il legislatore non lo collega alla data in cui la segnalazione viene ricevuta, né automaticamente alla conclusione delle prime verifiche interne, ma alla comunicazione dell’esito finale della procedura. Occorre quindi distinguere la ricezione della segnalazione, l’avvio delle verifiche, l’eventuale svolgimento dell’istruttoria e la conclusione del procedimento. Anche il riscontro previsto dall’articolo 5 del D.Lgs. 24/2023, da fornire ordinariamente entro tre mesi nei termini stabiliti dalla norma, non coincide necessariamente con la comunicazione dell’esito finale.
Per evitare errori, la procedura aziendale dovrebbe consentire di individuare e documentare la data dalla quale decorre il termine quinquennale. Non è sufficiente che il gestore abbia contrassegnato una pratica come conclusa all’interno della piattaforma: occorre verificare che la registrazione corrisponda effettivamente alla fase procedimentale prevista dalla legge. Se la società non conserva traccia della comunicazione dell’esito finale, può incontrare difficoltà nel dimostrare la correttezza del periodo di conservazione applicato.
La disciplina riguarda la segnalazione e la relativa documentazione, comprese le informazioni acquisite durante il seguito dato alla stessa. Possono quindi rientrare nel fascicolo, secondo le modalità concretamente utilizzate, documenti allegati, comunicazioni con il segnalante, verbali, registrazioni consentite dalla normativa e atti delle verifiche interne. Non tutti questi elementi devono necessariamente essere conservati per un periodo identico: la loro permanenza deve essere valutata in relazione alla funzione svolta e alla necessità di documentare la gestione della segnalazione.
Particolare attenzione meritano le segnalazioni archiviate perché infondate, non sufficientemente circostanziate o estranee all’ambito applicativo della disciplina. L’azienda deve distinguere le diverse situazioni, verificare quali informazioni siano state effettivamente raccolte e stabilire se sussistano ancora ragioni legittime per conservarle. I dati personali manifestamente non utili al trattamento di una specifica segnalazione, secondo l’articolo 13, comma 2, del D.Lgs. 24/2023, non devono essere raccolti oppure, se acquisiti accidentalmente, devono essere cancellati immediatamente.
La necessità di conservare documentazione per un eventuale procedimento giudiziario richiede una valutazione separata. Se dalla segnalazione deriva un contenzioso o un’indagine che impone o giustifica ulteriori trattamenti, occorre individuare le disposizioni applicabili, le specifiche finalità e i relativi presupposti giuridici. Non è corretto presumere che la semplice possibilità astratta di una futura controversia autorizzi una conservazione indiscriminata oltre il limite previsto per la procedura whistleblowing. La documentazione eventualmente necessaria per finalità giudiziarie deve essere gestita secondo un’autonoma e documentata valutazione giuridica.
Cancellazione delle segnalazioni whistleblowing: GDPR, archivi aziendali e piattaforme informatiche
La cancellazione delle segnalazioni whistleblowing non consiste soltanto nell’eliminazione di una pratica dalla schermata del software utilizzato dall’azienda. Il trattamento può coinvolgere diversi ambienti informatici e documentali, nei quali rimangono copie, allegati, comunicazioni, registrazioni e dati identificativi delle persone coinvolte. Una procedura conforme deve quindi individuare dove si trovano effettivamente le informazioni e stabilire come impedirne la conservazione oltre i termini consentiti.
Il GDPR impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate e di poter dimostrare il rispetto delle disposizioni applicabili. Nel whistleblowing, questo obbligo assume particolare rilievo perché la documentazione può contenere informazioni riservate sul segnalante, sulla persona coinvolta, sui dipendenti e su soggetti terzi. La conservazione ingiustificata aumenta il periodo durante il quale tali informazioni rimangono esposte a possibili accessi non autorizzati, errori di gestione o utilizzi incompatibili con le finalità originarie.
Un primo controllo riguarda la piattaforma whistleblowing. L’impresa deve verificare se il sistema consenta di configurare i tempi di conservazione, distinguere le pratiche aperte da quelle concluse e procedere alla cancellazione dei dati quando non sono più necessari. Occorre accertare anche se l’eliminazione operata dall’interfaccia produca una cancellazione effettiva oppure una semplice disattivazione della visibilità, lasciando le informazioni disponibili negli archivi del fornitore.
La presenza di backup e copie di sicurezza richiede una disciplina specifica. Non sempre è tecnicamente possibile eliminare immediatamente un singolo documento da ogni backup senza compromettere l’integrità del sistema. In questi casi devono essere valutati tempi di rotazione, limitazioni degli accessi, procedure di ripristino e misure che impediscano la reintroduzione incontrollata di dati già cancellati dagli archivi operativi. Le scelte tecniche devono essere coerenti con il principio di limitazione della conservazione e con gli obblighi di sicurezza previsti dall’articolo 32 GDPR.
Quando la gestione delle segnalazioni è affidata a un soggetto esterno, occorre verificare anche il rapporto contrattuale e la qualificazione privacy del fornitore. Se quest’ultimo tratta dati personali per conto dell’impresa, il contratto previsto dall’articolo 28 GDPR deve disciplinare, tra gli altri aspetti, le istruzioni del titolare e la cancellazione o restituzione dei dati al termine della prestazione, salvo gli obblighi di conservazione previsti dalla legge. L’affidamento del servizio a una società specializzata non esonera automaticamente l’impresa dalle responsabilità che le competono quale titolare del trattamento.
Il problema si presenta frequentemente quando l’azienda decide di cambiare piattaforma whistleblowing o sostituire il gestore esterno delle segnalazioni. Prima del trasferimento dell’archivio occorre verificare quali fascicoli debbano essere mantenuti, quali informazioni possano essere cancellate e come assicurare la continuità della gestione senza moltiplicare inutilmente le copie. Anche la cessazione del contratto con il precedente fornitore deve prevedere modalità verificabili di restituzione, cancellazione e gestione delle eventuali copie residue.
La documentazione cartacea richiede controlli altrettanto precisi. Segnalazioni ricevute per iscritto, verbali di incontri e allegati stampati devono essere custoditi in condizioni di riservatezza e distrutti con modalità adeguate quando viene meno la legittima necessità di conservarli. La presenza di un archivio digitale non giustifica il mantenimento parallelo e indefinito di fascicoli cartacei, soprattutto quando questi ultimi contengono dati identificativi o informazioni particolarmente delicate.
La procedura aziendale di conservazione e cancellazione dovrebbe coordinarsi con il registro delle attività di trattamento, con le informative privacy pertinenti e con le istruzioni impartite alle persone autorizzate. È opportuno che siano chiaramente attribuite le responsabilità operative, definiti i criteri di verifica periodica e documentate le attività di eliminazione. Il DPO, quando nominato, svolge le funzioni di consulenza e sorveglianza previste dall’articolo 39 GDPR, mentre le decisioni sul trattamento e l’attuazione delle misure competono ai soggetti individuati dalla normativa e dall’organizzazione aziendale.
Per le imprese che hanno adottato un Modello organizzativo ai sensi del D.Lgs. 231/2001, le regole di conservazione devono essere coerenti anche con le procedure whistleblowing e con i flussi informativi eventualmente previsti verso l’Organismo di Vigilanza. Tale coordinamento non comporta che l’OdV debba ricevere o conservare indiscriminatamente ogni documento della segnalazione. Occorre definire quali informazioni siano necessarie allo svolgimento delle sue funzioni, rispettando le competenze del gestore e gli obblighi di riservatezza.
Quando l’impresa non ha mai verificato le impostazioni della piattaforma, conserva segnalazioni concluse da molti anni oppure non dispone di una procedura documentata per la cancellazione, può essere opportuno effettuare una verifica mirata. L’intervento deve partire dall’analisi dell’archivio esistente e dei rapporti con i fornitori, per individuare eventuali conservazioni eccedenti, carenze contrattuali e misure correttive compatibili con gli obblighi normativi. Il controllo può essere inserito nell’ambito di un più ampio adeguamento GDPR aziendale, mantenendo però una valutazione specifica delle particolari esigenze di riservatezza proprie delle segnalazioni whistleblowing.
Obblighi dell’azienda, responsabilità e rischi nella conservazione delle segnalazioni whistleblowing
La corretta conservazione delle segnalazioni whistleblowing richiede un sistema di responsabilità e controlli che non può esaurirsi nell’acquisto di una piattaforma informatica. L’impresa deve poter dimostrare di avere individuato i termini applicabili, disciplinato l’accesso alla documentazione e predisposto modalità di cancellazione coerenti con il D.Lgs. 24/2023 e con il GDPR. La responsabilità della conformità del trattamento rimane in capo al titolare, secondo il principio di accountability previsto dall’articolo 5, paragrafo 2, del Regolamento (UE) 2016/679.
Una delle criticità più frequenti riguarda la mancanza di una procedura documentata per la conservazione e la cancellazione delle segnalazioni. Può accadere che l’azienda abbia adottato un canale interno, nominato un gestore e predisposto l’informativa privacy, senza però stabilire chi debba verificare periodicamente le pratiche concluse, autorizzare la cancellazione o controllare le impostazioni del software. In queste condizioni, i fascicoli rischiano di rimanere disponibili per un tempo superiore a quello consentito, anche quando non esiste più alcuna necessità di conservarli.
Il controllo deve riguardare anzitutto la corrispondenza tra quanto dichiarato nell’informativa privacy e quanto avviene concretamente negli archivi. Se l’azienda comunica un determinato periodo di conservazione, ma il fornitore mantiene i dati oltre tale termine senza un valido presupposto, si determina una possibile difformità rispetto agli obblighi di trasparenza e limitazione della conservazione. La verifica deve comprendere anche il registro delle attività di trattamento, le istruzioni impartite agli autorizzati e gli accordi con gli eventuali responsabili del trattamento.
Un secondo profilo riguarda la cancellazione anticipata delle segnalazioni whistleblowing. Eliminare un fascicolo senza avere valutato lo stato della procedura può compromettere la possibilità di dimostrare come la segnalazione sia stata ricevuta, esaminata e gestita. La distruzione di documentazione ancora necessaria può incidere sulle verifiche interne, sui controlli successivi e sull’eventuale esercizio dei diritti in sede giudiziaria. L’impresa deve quindi evitare sia la conservazione indiscriminata sia l’eliminazione automatica di documenti ancora necessari per finalità legittime.
La richiesta di cancellazione presentata dal segnalante o dalla persona coinvolta richiede una valutazione giuridica specifica. Il diritto alla cancellazione previsto dall’articolo 17 GDPR non opera in modo assoluto e deve essere coordinato con gli obblighi normativi e con le limitazioni eventualmente applicabili. Non è quindi corretto cancellare immediatamente ogni informazione soltanto perché un interessato ne faccia richiesta, né respingere automaticamente l’istanza richiamando il termine quinquennale. Occorre verificare i presupposti della richiesta, la necessità del trattamento e le eventuali limitazioni dei diritti previste dalla normativa, compreso l’articolo 2-undecies del Codice Privacy quando applicabile.
Particolare attenzione deve essere riservata alla riservatezza dell’identità del segnalante. Il mantenimento di informazioni identificative oltre il periodo necessario può aumentare il rischio di accessi impropri o divulgazioni non autorizzate. Le misure di sicurezza devono pertanto accompagnare l’intero ciclo di vita della segnalazione, dalla ricezione alla cancellazione, limitando l’accesso ai soggetti effettivamente autorizzati e assicurando che le operazioni sugli archivi siano effettuate secondo procedure controllate.
Le irregolarità nella conservazione possono assumere rilievo sotto diversi profili. Il D.Lgs. 24/2023 prevede specifiche sanzioni amministrative nei casi individuati dall’articolo 21, mentre le violazioni della disciplina sul trattamento dei dati personali possono essere valutate secondo il sistema di responsabilità e sanzioni del GDPR. Non ogni errore nella gestione di un archivio determina automaticamente una sanzione: occorre accertare la disposizione violata, la condotta concretamente tenuta e gli altri presupposti richiesti dalla normativa applicabile.
In presenza di una richiesta di informazioni o di un’ispezione del Garante per la protezione dei dati personali, l’azienda potrebbe dover documentare le ragioni della conservazione, le misure di sicurezza adottate e le modalità con cui vengono rispettati i termini di cancellazione. La semplice dichiarazione che il software elimina automaticamente i dati non è necessariamente sufficiente, soprattutto quando non siano disponibili verifiche sulle impostazioni, sui backup o sulle attività effettivamente svolte dal fornitore. Per comprendere come affrontare un controllo dell’Autorità è possibile consultare il nostro approfondimento sull’ispezione del Garante Privacy in azienda.
Quando il sistema whistleblowing è integrato nel Modello 231, le verifiche devono considerare anche le procedure organizzative e i rapporti con l’Organismo di Vigilanza. La presenza dell’OdV non trasferisce automaticamente a quest’ultimo la responsabilità della conservazione dei dati personali. È necessario individuare con precisione le rispettive funzioni, evitando duplicazioni documentali non necessarie e assicurando che le informazioni trasmesse siano pertinenti alle attività di vigilanza.
Un audit sulla conservazione delle segnalazioni whistleblowing dovrebbe quindi esaminare la documentazione aziendale, le modalità di gestione delle pratiche concluse, i rapporti con il gestore esterno e le funzionalità della piattaforma. Quando emergono anomalie, gli interventi correttivi devono essere proporzionati alle irregolarità riscontrate e accompagnati da una verifica delle ragioni che le hanno determinate. Per le imprese prive di competenze interne dedicate, l’assistenza di un professionista esperto in privacy e whistleblowing può consentire di affrontare con maggiore precisione le questioni giuridiche e organizzative connesse alla gestione degli archivi.
Un caso pratico: segnalazioni archiviate da anni e cancellazione non prevista dalla piattaforma
Consideriamo una società con circa 180 dipendenti che utilizza da alcuni anni una piattaforma whistleblowing affidata a un fornitore esterno. Durante una verifica interna, il responsabile compliance scopre che il sistema conserva integralmente tutte le segnalazioni ricevute, comprese quelle concluse da tempo, senza un meccanismo di cancellazione programmata. Alcuni fascicoli contengono documenti relativi a dipendenti, comunicazioni riservate e informazioni acquisite durante precedenti verifiche aziendali.
La società non può risolvere il problema ordinando la cancellazione immediata e indiscriminata dell’intero archivio. Deve innanzitutto ricostruire lo stato delle singole procedure, individuare le date delle comunicazioni degli esiti finali e verificare quali documenti siano ancora necessari. Occorre poi controllare il contratto con il fornitore, le impostazioni della piattaforma e l’eventuale presenza di copie nei sistemi di backup.
Per le segnalazioni il cui periodo di conservazione risulta esaurito e per le quali non sussistono ulteriori presupposti giuridici di trattamento, l’impresa deve organizzare la cancellazione con modalità adeguate. Per i fascicoli ancora necessari occorre invece documentare le ragioni della conservazione e stabilire le relative scadenze. L’intervento comprende anche l’aggiornamento della procedura interna e la definizione di controlli periodici, affinché il problema non si ripresenti.
Il caso mostra perché una verifica legale della conservazione whistleblowing debba considerare contemporaneamente la normativa applicabile, l’effettivo contenuto degli archivi e il funzionamento dei sistemi informatici. La presenza di un software dedicato non sostituisce la valutazione delle responsabilità aziendali e delle condizioni che rendono legittima la permanenza dei dati.
Domande frequenti sulla conservazione e cancellazione delle segnalazioni whistleblowing
Le segnalazioni whistleblowing devono essere conservate obbligatoriamente per cinque anni?
No. L’articolo 14 del D.Lgs. 24/2023 prevede che siano conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura. I cinque anni costituiscono un limite massimo ordinario, non un periodo minimo obbligatorio.
Quando iniziano a decorrere i cinque anni per la cancellazione?
Il termine decorre dalla data della comunicazione dell’esito finale della procedura di segnalazione, non automaticamente dalla ricezione della segnalazione. L’azienda deve poter ricostruire tale data attraverso una documentazione attendibile.
Una segnalazione infondata può essere cancellata prima dei cinque anni?
Sì, quando la conservazione non è più necessaria e non sussistono altri presupposti giuridici che giustifichino il trattamento. Occorre distinguere i dati manifestamente non utili, che devono essere cancellati immediatamente se raccolti accidentalmente, dalla documentazione necessaria a dimostrare la corretta gestione della procedura.
Chi risponde se la piattaforma whistleblowing non cancella i dati?
Le responsabilità dipendono dai ruoli concretamente assunti dai soggetti coinvolti. L’impresa, quale titolare del trattamento, deve verificare la conformità delle operazioni svolte per suo conto. Il fornitore eventualmente nominato responsabile del trattamento è tenuto a rispettare gli obblighi applicabili e le istruzioni legittimamente impartite, secondo quanto previsto dal GDPR e dal contratto.
È possibile conservare le segnalazioni oltre cinque anni in caso di contenzioso?
L’eventuale necessità di utilizzare determinati documenti per finalità giudiziarie richiede una valutazione autonoma dei presupposti normativi e delle concrete esigenze di conservazione. Non è ammessa una proroga generalizzata del termine previsto per la procedura whistleblowing sulla base della semplice possibilità di controversie future.
Assistenza legale per verificare e adeguare la conservazione delle segnalazioni whistleblowing
Una procedura whistleblowing correttamente istituita deve prevedere anche regole verificabili per la conservazione e la cancellazione della documentazione. Quando l’azienda mantiene segnalazioni concluse da anni, utilizza una piattaforma priva di scadenze configurate oppure non ha disciplinato i rapporti con il gestore esterno, è opportuno verificare la conformità del sistema prima che emergano contestazioni.
Come Studio Legale Calvello, assistiamo le imprese nella valutazione degli obblighi derivanti dal D.Lgs. 24/2023 e dal GDPR, nella revisione delle procedure whistleblowing e nel coordinamento con gli eventuali presidi di compliance e con il Modello 231. Esaminiamo le criticità giuridiche e organizzative della conservazione dei dati, individuando gli interventi appropriati rispetto alla situazione concreta dell’azienda.
Per richiedere una valutazione della procedura di conservazione e cancellazione delle segnalazioni whistleblowing, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.
