Articolo a cura di: Redazione - Studio Legale Calvello

L’informativa privacy whistleblowing è uno dei documenti che un’azienda deve predisporre quando gestisce segnalazioni di illeciti attraverso un canale interno. Deve spiegare come vengono trattati i dati personali del segnalante, della persona segnalata e degli altri soggetti coinvolti, senza compromettere la riservatezza delle informazioni. Un documento generico, copiato dalla normale informativa destinata ai dipendenti o fornito automaticamente dalla piattaforma informatica, potrebbe non descrivere correttamente il trattamento effettivamente svolto.

Il problema riguarda soprattutto le imprese che hanno già attivato un sistema di segnalazione, ma non hanno verificato la coerenza tra informativa, procedura interna, incarichi privacy e modalità operative del gestore. Un’informativa assente, incompleta o non aggiornata può esporre l’azienda a contestazioni in materia di protezione dei dati personali. Noi riteniamo quindi necessario verificare il documento insieme all’organizzazione concreta del canale, soprattutto quando la gestione è affidata a un soggetto esterno o coinvolge più società.

Perché l’informativa privacy whistleblowing è obbligatoria e quando quella aziendale non basta

Il trattamento dei dati personali nell’ambito delle segnalazioni whistleblowing è disciplinato dal Regolamento (UE) 2016/679 (GDPR) e dal D.Lgs. 10 marzo 2023, n. 24. L’articolo 13 di quest’ultimo decreto richiede ai soggetti che ricevono e gestiscono le segnalazioni, in qualità di titolari del trattamento, di fornire idonee informazioni alle persone segnalanti e alle persone coinvolte, secondo gli articoli 13 e 14 del GDPR. La disciplina deve essere applicata tenendo conto delle particolari esigenze di riservatezza previste per il whistleblowing.

L’informativa deve riguardare il trattamento effettivamente svolto. Quando un dipendente utilizza il canale interno per denunciare una presunta irregolarità, l’azienda può acquisire informazioni sulla sua identità, sui rapporti professionali, sulle persone coinvolte e su fatti che potrebbero avere rilevanza disciplinare o penale. Possono essere raccolti documenti, comunicazioni e ulteriori elementi durante gli accertamenti. Non si tratta quindi necessariamente degli stessi dati e delle stesse finalità descritti nell’informativa ordinaria relativa alla gestione del rapporto di lavoro.

Per questa ragione, la normale informativa privacy dei dipendenti non può essere considerata automaticamente sufficiente. È possibile organizzare la documentazione attraverso informative distinte oppure mediante un sistema informativo articolato, purché tutte le informazioni richieste siano effettivamente disponibili, comprensibili e coerenti con le caratteristiche del trattamento. Per approfondire gli obblighi generali relativi a questi documenti, abbiamo esaminato anche quali informazioni devono contenere le informative privacy aziendali.

Un ulteriore aspetto riguarda i destinatari dell’informativa. Il sistema whistleblowing può essere utilizzato, nei limiti previsti dalla normativa, da lavoratori subordinati, collaboratori, professionisti, consulenti e altri soggetti che intrattengono rapporti con l’organizzazione. L’azienda deve quindi verificare che le informazioni sul trattamento siano accessibili alle persone legittimate a effettuare segnalazioni, comprese quelle che non utilizzano quotidianamente gli strumenti informatici aziendali.

La questione è più delicata per la persona segnalata e per gli altri soggetti menzionati. L’obbligo di informazione previsto dall’articolo 14 GDPR deve essere coordinato con la protezione dell’identità del segnalante, con la riservatezza delle indagini e con le eventuali limitazioni previste dalla legge. Non è corretto presumere che la persona segnalata debba ricevere immediatamente ogni informazione relativa alla segnalazione, né che possa essere esclusa in ogni circostanza dagli obblighi di trasparenza. Occorre valutare le informazioni comunicabili, i tempi e le condizioni applicabili al caso concreto.

L’informativa costituisce dunque una componente specifica del sistema di conformità. La sua predisposizione deve essere coordinata con la procedura whistleblowing aziendale, che disciplina operativamente la ricezione e la gestione delle segnalazioni, senza confondere le due funzioni documentali.

Cosa deve contenere l’informativa whistleblowing secondo gli articoli 13 e 14 del GDPR

Il contenuto dell’informativa deve essere costruito sulla base degli articoli 12, 13 e 14 del GDPR, tenendo conto delle disposizioni speciali del D.Lgs. 24/2023. Il documento deve innanzitutto identificare il titolare del trattamento, indicando i relativi dati di contatto e quelli del Responsabile della protezione dei dati (DPO o RPD), quando designato. Se il canale è gestito da un professionista esterno oppure da una struttura condivisa tra più società, occorre verificare i ruoli effettivi dei soggetti coinvolti e rappresentarli correttamente.

Devono essere descritte le finalità del trattamento e le relative basi giuridiche. Nell’ambito delle segnalazioni disciplinate dal D.Lgs. 24/2023, il trattamento necessario alla ricezione e alla gestione delle segnalazioni trova ordinariamente fondamento nell’adempimento degli obblighi previsti dalla normativa applicabile, secondo l’articolo 6, paragrafo 1, lettera c), del GDPR. Se vengono trattate categorie particolari di dati o informazioni relative a condanne penali e reati, devono essere individuate anche le condizioni giuridiche specificamente applicabili ai sensi degli articoli 9 e 10 del Regolamento.

È importante distinguere tale base giuridica dal consenso eventualmente richiesto per specifiche operazioni previste dalla disciplina whistleblowing, come determinate ipotesi di rivelazione dell’identità del segnalante. La gestione ordinaria delle segnalazioni non deve essere presentata come un trattamento generalmente subordinato al consenso del dipendente. Una formulazione errata può creare incertezza sulla liceità del trattamento e sui diritti effettivamente esercitabili.

L’informativa deve poi descrivere le categorie di dati trattati, quando richiesto, e i soggetti ai quali le informazioni possono essere comunicate. Possono essere coinvolti il personale autorizzato alla gestione del canale, professionisti incaricati di specifici accertamenti, fornitori tecnologici e, nei casi previsti, autorità competenti. L’indicazione dei destinatari non autorizza però una circolazione indiscriminata delle informazioni all’interno dell’impresa: l’accesso ai dati deve restare limitato ai soggetti che ne hanno effettiva necessità per le attività consentite.

Particolare attenzione merita il periodo di conservazione. L’articolo 14 del D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza. L’informativa deve rappresentare correttamente questa disciplina, senza limitarsi a indicare formule generiche come “i dati saranno conservati per il tempo necessario”. Devono essere considerate anche la cancellazione dei dati manifestamente non utili e le eventuali ulteriori esigenze di conservazione fondate su distinti presupposti giuridici.

Il documento deve inoltre informare gli interessati sui diritti previsti dal GDPR, sulle modalità per esercitarli e sulla possibilità di proporre reclamo al Garante per la protezione dei dati personali. È necessario precisare che, nell’ambito del whistleblowing, l’esercizio dei diritti di cui agli articoli da 15 a 22 del GDPR può incontrare le limitazioni previste dall’articolo 2-undecies del Codice Privacy, richiamato dall’articolo 13, comma 3, del D.Lgs. 24/2023. Tali limitazioni devono essere applicate nei presupposti stabiliti dalla legge e non costituiscono un’esclusione generalizzata dei diritti della persona segnalata.

Quando il trattamento comporta trasferimenti di dati personali verso Paesi terzi, devono essere fornite anche le informazioni richieste dal GDPR sulle relative condizioni e garanzie. Questo controllo assume rilievo quando il canale utilizza piattaforme cloud, fornitori tecnologici o servizi di assistenza con accesso ai dati dall’estero. La sola indicazione del nome commerciale del software non permette di comprendere necessariamente dove siano trattate le informazioni e quali soggetti possano accedervi.

La corretta redazione richiede infine di verificare come e quando l’informativa viene effettivamente resa disponibile. Pubblicarla in una sezione poco accessibile del sito aziendale, senza un collegamento chiaro dal canale di segnalazione, può rendere difficile dimostrare l’effettiva trasparenza del trattamento. Le modalità informative devono essere compatibili con l’accessibilità del canale e con la necessità di non compromettere la riservatezza delle persone coinvolte.

Responsabilità dell’azienda, riservatezza e controlli sulla conformità dell’informativa whistleblowing

La predisposizione dell’informativa privacy whistleblowing rientra negli obblighi del titolare del trattamento, che deve assicurare la conformità delle operazioni svolte attraverso il canale di segnalazione. La responsabilità non viene meno quando l’impresa acquista una piattaforma informatica, incarica un consulente esterno o affida la gestione delle segnalazioni a un professionista. Occorre verificare chi determina finalità e mezzi del trattamento, quali soggetti accedono alle informazioni e quali misure impediscono che i dati siano utilizzati per finalità incompatibili con quelle previste dalla legge.

Un primo controllo riguarda il rapporto tra informativa, procedura whistleblowing e organizzazione effettiva del canale. Se il documento indica che le segnalazioni vengono ricevute esclusivamente da un gestore esterno, ma nella pratica sono accessibili anche al responsabile HR o ad altri dirigenti, esiste una discrepanza che deve essere esaminata. Lo stesso problema si presenta quando l’informativa non identifica correttamente il titolare del trattamento, omette categorie di destinatari o descrive modalità di conservazione diverse da quelle realmente adottate.

Particolare attenzione richiede la distinzione tra titolare, responsabile del trattamento e persone autorizzate. L’articolo 13, comma 6, del D.Lgs. 24/2023 prevede che i soggetti esterni che trattano dati personali per conto del titolare nell’ambito della gestione delle segnalazioni siano designati responsabili del trattamento ai sensi dell’articolo 28 GDPR, quando ricorrono i relativi presupposti. La qualificazione deve dipendere dalle funzioni effettivamente esercitate e non dalla semplice denominazione utilizzata nel contratto. Per comprendere le differenze tra questi ruoli è possibile consultare il nostro approfondimento su titolare, responsabile e autorizzato al trattamento dei dati personali.

La presenza di un DPO interno o esterno non trasferisce automaticamente al Responsabile della protezione dei dati la responsabilità della redazione o dell’aggiornamento dell’informativa. Il DPO svolge funzioni di consulenza e sorveglianza sull’osservanza della normativa, secondo gli articoli 38 e 39 GDPR. Può quindi essere coinvolto nella verifica della documentazione e nell’individuazione delle criticità, mentre le decisioni sul trattamento e la relativa responsabilità restano in capo al titolare. Quando l’azienda dispone di un DPO, è opportuno verificare che il sistema whistleblowing sia compreso nelle attività di controllo pertinenti al suo incarico.

Un secondo profilo riguarda la riservatezza dell’identità del segnalante. L’articolo 12 del D.Lgs. 24/2023 stabilisce specifiche garanzie per impedire che l’identità della persona segnalante, e qualsiasi altra informazione dalla quale possa essere ricavata direttamente o indirettamente, venga rivelata a soggetti diversi da quelli competenti a ricevere o dare seguito alle segnalazioni ed espressamente autorizzati. L’informativa deve essere coerente con queste garanzie, senza promettere un anonimato assoluto quando la segnalazione è nominativa e senza presentare la riservatezza come un divieto di comunicazione privo di eccezioni.

La distinzione assume particolare rilievo quando la segnalazione determina accertamenti interni o un procedimento disciplinare. In determinate circostanze, il D.Lgs. 24/2023 subordina la rivelazione dell’identità del segnalante al suo consenso espresso e richiede specifiche comunicazioni sulle ragioni della divulgazione. Le regole cambiano in relazione al procedimento e alle condizioni previste dalla legge. Per questo motivo, un’informativa che affermi genericamente che i dati del segnalante possono essere comunicati alla direzione aziendale per esigenze disciplinari rischia di rappresentare in modo inesatto il regime di protezione applicabile.

Anche i diritti della persona segnalata devono essere gestiti con attenzione. Una richiesta di accesso ai dati personali non comporta automaticamente il diritto di conoscere l’identità del segnalante o di ottenere l’intero fascicolo dell’indagine. Le limitazioni previste dall’articolo 2-undecies del D.Lgs. 196/2003 devono essere valutate secondo i presupposti normativi, evitando sia comunicazioni che possano compromettere la riservatezza sia rifiuti generalizzati privi di adeguata motivazione.

Il controllo di conformità deve estendersi ai sistemi informatici utilizzati. Se il canale è ospitato su una piattaforma esterna, occorre verificare i contratti con il fornitore, le autorizzazioni di accesso, le modalità di cancellazione e l’eventuale coinvolgimento di sub-responsabili. L’informativa deve rappresentare correttamente le categorie di destinatari e gli eventuali trasferimenti internazionali, mentre la documentazione contrattuale e tecnica deve dimostrare che il trattamento è organizzato secondo i requisiti applicabili.

Quando le segnalazioni sono gestite nell’ambito di un Modello organizzativo 231, è necessario coordinare l’informativa con le procedure del sistema di controllo e con gli eventuali flussi verso l’Organismo di Vigilanza. L’esistenza dell’OdV non giustifica automaticamente l’accesso indiscriminato a tutte le informazioni identificative raccolte attraverso il canale. Le comunicazioni devono essere disciplinate in funzione delle competenze effettive, delle finalità consentite e degli obblighi di riservatezza.

Le carenze documentali possono assumere rilievo in occasione di un reclamo, di una richiesta di informazioni o di un controllo del Garante per la protezione dei dati personali. La violazione degli obblighi di trasparenza può comportare le conseguenze previste dal GDPR, in relazione alla natura della violazione e alle circostanze concrete. Non ogni errore formale determina automaticamente una sanzione, ma l’azienda deve poter dimostrare di avere individuato correttamente i trattamenti, informato gli interessati e adottato misure organizzative coerenti. Abbiamo approfondito il tema della verifica documentale anche nell’articolo dedicato a come prevenire contestazioni privacy attraverso una corretta documentazione aziendale.

Quando emergono incongruenze, l’intervento non dovrebbe limitarsi alla sostituzione del testo pubblicato sulla piattaforma. Occorre verificare se siano necessari aggiornamenti del registro delle attività di trattamento, delle istruzioni agli autorizzati, dei contratti con i responsabili esterni e delle procedure interne. L’eventuale necessità di una valutazione d’impatto deve essere esaminata secondo i criteri degli articoli 35 e 36 GDPR, considerando le caratteristiche effettive del trattamento e i rischi per i diritti e le libertà delle persone fisiche.

Esempio pratico: informativa whistleblowing incompleta in un’azienda con gestore esterno

Consideriamo una società manifatturiera con 180 dipendenti che ha attivato una piattaforma whistleblowing affidando la gestione delle segnalazioni a un professionista esterno. L’azienda pubblica nella piattaforma un’informativa standard fornita dal produttore del software, senza adattarla alla propria organizzazione. Il documento indica genericamente che i dati sono trattati per la gestione delle segnalazioni, ma non rappresenta correttamente i soggetti coinvolti, i destinatari delle informazioni e le modalità effettive di conservazione.

Durante una verifica interna emerge che alcuni responsabili aziendali possono accedere a informazioni sulle segnalazioni attraverso comunicazioni non disciplinate dalla procedura. Si scopre anche che il contratto con il fornitore della piattaforma non è stato coordinato con gli obblighi previsti dall’articolo 28 GDPR e che l’informativa non chiarisce adeguatamente le limitazioni applicabili ai diritti delle persone coinvolte.

In una situazione di questo tipo, la semplice pubblicazione di una nuova informativa non risolve tutte le criticità. È necessario ricostruire il trattamento effettivo, verificare gli accessi, chiarire i ruoli privacy, adeguare i rapporti contrattuali e aggiornare la documentazione. Occorre anche valutare se le informazioni precedentemente fornite agli interessati fossero insufficienti e quali misure correttive siano appropriate.

Il caso mostra perché l’informativa debba essere predisposta sulla base delle modalità concrete di funzionamento del canale e non utilizzando automaticamente un modello standard. Una verifica preventiva consente di individuare incongruenze documentali e organizzative prima che emergano durante una contestazione o un controllo.

FAQ: le domande più frequenti sull’informativa privacy whistleblowing

L’informativa privacy whistleblowing è obbligatoria per tutte le aziende?

Le aziende soggette agli obblighi del D.Lgs. 24/2023 devono rispettare anche le disposizioni sulla protezione dei dati personali trattati attraverso il sistema di segnalazione. L’articolo 13 del decreto richiama espressamente gli obblighi informativi previsti dagli articoli 13 e 14 GDPR. L’informativa deve essere adeguata alle caratteristiche del trattamento e alle persone interessate. Anche le organizzazioni che adottano volontariamente sistemi di segnalazione devono verificare gli obblighi GDPR applicabili ai trattamenti effettivamente svolti.

È sufficiente utilizzare l’informativa fornita dalla piattaforma whistleblowing?

Non necessariamente. Il modello predisposto dal fornitore può costituire una base di lavoro, ma deve essere verificato rispetto all’organizzazione aziendale, ai soggetti che gestiscono le segnalazioni, alle finalità e basi giuridiche del trattamento, ai destinatari dei dati e ai tempi di conservazione. La responsabilità di fornire un’informativa conforme rimane in capo al titolare del trattamento, anche quando il software e la relativa documentazione sono forniti da un soggetto esterno.

La persona segnalata deve ricevere un’informativa privacy?

Gli obblighi informativi previsti dall’articolo 14 GDPR riguardano anche i dati personali acquisiti indirettamente, ma devono essere coordinati con le disposizioni speciali sulla riservatezza del whistleblowing. La comunicazione delle informazioni, i relativi tempi e le eventuali limitazioni devono essere valutati secondo la normativa applicabile, evitando che l’adempimento possa compromettere la protezione dell’identità del segnalante o gli altri interessi tutelati dalla legge.

Chi deve predisporre e aggiornare l’informativa privacy whistleblowing?

La responsabilità dell’adempimento appartiene al titolare del trattamento. La redazione può essere affidata a un professionista competente in materia di GDPR e whistleblowing, mentre il DPO, quando designato, può svolgere le proprie funzioni di consulenza e sorveglianza. L’informativa deve essere riesaminata quando cambiano elementi rilevanti del trattamento, come il gestore delle segnalazioni, i destinatari dei dati, la piattaforma utilizzata o le modalità di conservazione.

Quali rischi corre l’azienda se l’informativa whistleblowing è assente o incompleta?

La mancata osservanza degli obblighi di informazione e trasparenza può comportare contestazioni e l’applicazione delle misure previste dal GDPR, comprese eventuali sanzioni amministrative nei casi e secondo i criteri stabiliti dalla normativa. La gravità della violazione dipende dalle circostanze concrete. Un’informativa incompleta può anche rendere più difficile dimostrare la corretta organizzazione del trattamento durante una verifica del Garante. Per questo motivo è opportuno intervenire sulle carenze documentali e sulle eventuali irregolarità operative che ne sono all’origine.

Informativa privacy whistleblowing: consulenza legale per la verifica e l’adeguamento aziendale

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella predisposizione, revisione e verifica dell’informativa privacy whistleblowing, valutandone la conformità al GDPR e al D.Lgs. 24/2023. Ci occupiamo del coordinamento con la documentazione privacy aziendale, delle responsabilità dei soggetti coinvolti nel trattamento e dei rapporti con gestori esterni, fornitori tecnologici e Organismi di Vigilanza.

Quando l’informativa è assente, non aggiornata o non coerente con il funzionamento del canale, possiamo esaminare le criticità e individuare gli interventi giuridici e organizzativi necessari, anche nell’ambito di un servizio continuativo di assistenza in materia di privacy e compliance aziendale.

Per richiedere una verifica dell’informativa whistleblowing o una consulenza sulla conformità del sistema di segnalazione aziendale, è possibile contattare il nostro Studio attraverso la pagina dedicata alla consulenza legale in materia di privacy, GDPR e compliance aziendale.