Articolo a cura di: Redazione - Studio Legale Calvello

Ricevere una segnalazione whistleblowing anonima pone l’azienda davanti a una decisione delicata: verificare i fatti denunciati senza conoscere l’identità di chi li riferisce, evitando sia di ignorare possibili illeciti sia di avviare accertamenti sproporzionati o lesivi dei diritti delle persone coinvolte. L’assenza del nome del segnalante non rende automaticamente irrilevante la comunicazione, ma neppure impone di considerare attendibile qualsiasi accusa.

La gestione richiede una valutazione del contenuto, della sua attendibilità e della possibilità concreta di svolgere verifiche. Occorre distinguere gli obblighi previsti dal D.Lgs. 24/2023 dalle scelte organizzative adottate dall’impresa, tenendo conto della disciplina sulla protezione dei dati personali e, quando presente, del Modello organizzativo 231. Nei casi che coinvolgono amministratori, dirigenti o possibili reati aziendali, può essere opportuno affidare la valutazione a un professionista esterno, per assicurare indipendenza e correttezza dell’istruttoria.

Segnalazione whistleblowing anonima: quando l’azienda deve prenderla in considerazione

Una segnalazione è anonima quando non consente di identificare il soggetto che comunica i fatti. Può arrivare attraverso una piattaforma whistleblowing, una comunicazione scritta priva di firma o altri strumenti utilizzati nell’organizzazione aziendale. La prima questione non riguarda necessariamente l’identità del segnalante, ma la natura delle informazioni ricevute e la loro concreta verificabilità.

Il D.Lgs. 24/2023 disciplina la protezione delle persone che segnalano determinate violazioni conosciute nell’ambito del contesto lavorativo. Le segnalazioni anonime presentano una particolarità: la normativa non stabilisce un obbligo generalizzato di trattare qualsiasi comunicazione anonima secondo tutte le modalità previste per le segnalazioni nominative. Occorre considerare la disciplina applicabile, le indicazioni dell’ANAC e le procedure adottate dall’organizzazione. Il decreto prevede espressamente, all’art. 16, comma 4, che le misure di protezione si applichino anche al segnalante anonimo successivamente identificato che abbia subito ritorsioni.

Per l’impresa sarebbe quindi imprudente adottare una regola automatica secondo cui ogni comunicazione priva di firma deve essere cestinata. Una denuncia anonima che descrive pagamenti irregolari, alterazioni contabili, violazioni delle procedure aziendali o condotte potenzialmente illecite può contenere elementi sufficientemente precisi da giustificare un approfondimento. Diversa è la situazione di una comunicazione composta esclusivamente da accuse generiche, giudizi personali o affermazioni impossibili da verificare.

La specificità dei fatti costituisce uno dei principali criteri di valutazione. È necessario verificare se la segnalazione indica comportamenti determinati, persone coinvolte, periodi temporali, documenti, operazioni o circostanze suscettibili di riscontro. L’assenza di allegati non comporta necessariamente l’inattendibilità della comunicazione: informazioni precise possono essere controllate anche attraverso documentazione già disponibile presso l’azienda. Al contrario, la presenza di documenti non dimostra automaticamente la fondatezza delle accuse.

Un ulteriore passaggio consiste nel verificare se i fatti rientrano nell’ambito del whistleblowing oppure riguardano controversie personali, rivendicazioni individuali o questioni estranee alla disciplina. La qualificazione deve dipendere dal contenuto effettivo della comunicazione, non dall’etichetta utilizzata da chi l’ha trasmessa. Una segnalazione che non rientra nel D.Lgs. 24/2023 può comunque richiedere attenzione in base ad altre disposizioni o agli obblighi organizzativi dell’impresa.

Particolare cautela è necessaria quando la denuncia riguarda possibili violazioni del Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001. La presenza di informazioni su condotte rilevanti ai fini della responsabilità dell’ente può richiedere l’attivazione dei controlli previsti dal modello e il coinvolgimento dell’Organismo di Vigilanza, secondo le rispettive competenze. L’azienda deve evitare che una segnalazione potenzialmente rilevante rimanga priva di esame soltanto perché l’autore non è identificabile.

La distinzione tra comunicazioni anonime e segnalazioni provenienti da soggetti identificabili deve essere considerata anche nell’organizzazione del sistema interno. Per una trattazione degli obblighi generali e delle caratteristiche dei canali aziendali rinviamo alla nostra guida al whistleblowing aziendale. Nel caso della segnalazione anonima, il problema operativo è stabilire se esistano elementi sufficienti per procedere e quale livello di approfondimento sia proporzionato ai fatti denunciati.

Come verificare una segnalazione anonima: valutazione preliminare, riservatezza e indagine interna

Quando una comunicazione anonima presenta elementi concreti, il primo intervento consiste nel preservarne il contenuto e limitarne la conoscenza ai soggetti competenti. La segnalazione non dovrebbe circolare liberamente tra amministratori, dirigenti o responsabili di funzione, soprattutto quando alcune di queste persone potrebbero essere direttamente coinvolte nei fatti denunciati. Una diffusione non necessaria può compromettere la riservatezza, pregiudicare gli accertamenti e arrecare danni alle persone accusate.

Il soggetto incaricato deve esaminare la comunicazione, individuare le circostanze verificabili e stabilire se vi siano ragioni per avviare ulteriori approfondimenti. È opportuno documentare la data di ricezione, il canale utilizzato, il contenuto essenziale e le valutazioni effettuate, applicando le misure di sicurezza previste. Anche quando si decide di non procedere, una motivazione documentata può consentire all’azienda di ricostruire successivamente le ragioni della scelta.

Se la segnalazione è stata trasmessa attraverso una piattaforma che permette comunicazioni bidirezionali senza identificare l’autore, il gestore può richiedere chiarimenti, precisazioni o documenti integrativi. Questa possibilità è particolarmente utile quando la denuncia contiene elementi potenzialmente rilevanti ma incompleti. Se invece non esiste alcun recapito o sistema di interlocuzione, l’azienda dovrà valutare la comunicazione sulla base delle informazioni disponibili, senza presumere che l’impossibilità di contattare il segnalante giustifichi automaticamente l’archiviazione.

Qualora venga avviata un’indagine interna su una segnalazione anonima, gli accertamenti devono essere proporzionati alla gravità e alla credibilità dei fatti. Possono riguardare documenti contabili, contratti, autorizzazioni, procedure, operazioni aziendali o dichiarazioni di persone informate. L’acquisizione di email, registrazioni, log informatici e informazioni relative ai dipendenti richiede particolare attenzione alla normativa privacy e, quando applicabile, all’art. 4 dello Statuto dei lavoratori. La presenza di una segnalazione non attribuisce al datore di lavoro un potere illimitato di controllo.

Occorre distinguere la verifica della fondatezza delle accuse dall’individuazione dell’autore anonimo. L’obiettivo dell’istruttoria deve essere l’accertamento dei fatti segnalati, non la ricerca indiscriminata dell’identità di chi ha trasmesso la comunicazione. Tentativi di identificazione mediante indirizzi IP, metadati, registri di accesso o altri strumenti tecnologici possono comportare ulteriori problemi di liceità, proporzionalità e riservatezza. L’eventuale conoscenza successiva dell’identità del segnalante impone anche di valutare l’applicazione delle tutele previste dal D.Lgs. 24/2023.

La gestione dei dati personali contenuti nella segnalazione richiede il rispetto dei principi del GDPR, tra cui limitazione delle finalità, minimizzazione, integrità e riservatezza. Una denuncia può contenere informazioni relative a dipendenti, amministratori, clienti o fornitori, comprese accuse particolarmente delicate. L’accesso deve essere circoscritto alle persone autorizzate e la conservazione deve rispettare la disciplina applicabile, senza mantenere indiscriminatamente documenti non pertinenti. Quando necessario, il DPO può essere coinvolto per le valutazioni di propria competenza, senza confondere la sua funzione di consulenza e sorveglianza con quella del gestore della segnalazione.

La posizione della persona segnalata merita un’attenzione autonoma. Una denuncia anonima non costituisce, da sola, prova della responsabilità del soggetto accusato. Prima di assumere eventuali provvedimenti disciplinari occorre verificare i fatti, rispettare le garanzie applicabili e distinguere le informazioni ricevute dagli elementi effettivamente accertati. Anche la scelta di ascoltare la persona coinvolta deve essere valutata in relazione allo stato dell’istruttoria, evitando comunicazioni premature che possano compromettere gli accertamenti.

Quando la segnalazione riguarda un amministratore, il responsabile HR, il gestore del canale o un altro soggetto che potrebbe influenzare le verifiche, il problema assume una dimensione organizzativa ulteriore. È necessario individuare un soggetto competente e privo di conflitti di interessi, eventualmente ricorrendo a un professionista esterno. La gestione delle accuse che coinvolgono i vertici richiede infatti cautele specifiche, approfondite nel nostro articolo dedicato alle segnalazioni whistleblowing contro il management.

Il coinvolgimento dell’Organismo di Vigilanza, ove istituito, deve rispettare le competenze definite dal Modello 231 e dalla procedura whistleblowing. Non è corretto presumere che l’OdV sia automaticamente il gestore di tutte le segnalazioni anonime. Quando emergono possibili violazioni del modello o fatti rilevanti per la prevenzione dei reati presupposto, occorre invece assicurare che le informazioni necessarie raggiungano i soggetti competenti attraverso flussi riservati e documentabili.

Obblighi, responsabilità e rischi per l’azienda nella gestione delle segnalazioni anonime

La gestione di una segnalazione whistleblowing anonima richiede particolare attenzione quando le informazioni ricevute riguardano possibili illeciti, violazioni delle procedure interne o comportamenti che possono esporre la società a responsabilità. Il rischio per l’impresa non deriva automaticamente dalla ricezione della denuncia, ma può dipendere dalle irregolarità effettivamente commesse e dalle modalità con cui vengono affrontate. Ignorare informazioni circostanziate, consentire interferenze nelle verifiche o divulgare indebitamente il contenuto della comunicazione può aggravare una situazione già delicata.

Occorre anzitutto distinguere gli obblighi previsti dal D.Lgs. 24/2023 dalle regole organizzative che l’azienda ha autonomamente adottato. Le segnalazioni anonime non sono equiparate in ogni circostanza a quelle provenienti da soggetti identificati. La loro gestione deve essere valutata considerando la normativa applicabile, le indicazioni dell’ANAC, le caratteristiche della comunicazione e quanto previsto dalla procedura interna. Quando l’impresa ha stabilito di prendere in carico anche le segnalazioni anonime, è necessario rispettare le modalità organizzative adottate, verificandone la coerenza con la disciplina vigente.

Un aspetto particolarmente delicato riguarda le comunicazioni che descrivono possibili reati o violazioni del Modello organizzativo 231. Se una segnalazione anonima contiene informazioni specifiche su condotte potenzialmente rilevanti ai sensi del D.Lgs. 231/2001, l’azienda deve valutare l’attivazione dei controlli previsti dal proprio sistema organizzativo. L’Organismo di Vigilanza, quando istituito, può essere coinvolto secondo le competenze attribuitegli dal modello e dalle procedure interne. Non ogni illecito denunciato comporta automaticamente una responsabilità amministrativa dell’ente: occorre verificare l’eventuale sussistenza di un reato presupposto, il collegamento con l’interesse o il vantaggio della società e gli ulteriori requisiti previsti dalla legge.

La mancata gestione di una segnalazione anonima non determina, di per sé, l’applicazione automatica delle sanzioni previste dalla normativa whistleblowing. Le conseguenze dipendono dalla specifica violazione contestata e dai relativi presupposti. L’art. 21 del D.Lgs. 24/2023 disciplina le sanzioni amministrative pecuniarie applicabili dall’ANAC in determinate ipotesi, tra cui l’assenza dei canali richiesti, la mancata adozione delle procedure, il mancato svolgimento delle attività di verifica e analisi delle segnalazioni nei casi previsti, nonché le violazioni della riservatezza e le condotte ritorsive. È quindi necessario evitare di confondere la mancata istruttoria di una qualsiasi denuncia anonima con una violazione automaticamente sanzionabile.

La responsabilità dell’azienda può emergere anche sotto il profilo della protezione dei dati personali. La documentazione raccolta durante le verifiche può contenere informazioni riservate, dati relativi a dipendenti o amministratori e, in determinate circostanze, categorie particolari di dati o informazioni relative a reati. La loro gestione deve rispettare il Regolamento (UE) 2016/679 e le disposizioni applicabili del D.Lgs. 24/2023. L’accesso indiscriminato al fascicolo, la comunicazione non autorizzata delle accuse o la conservazione ingiustificata delle informazioni possono determinare violazioni autonome rispetto ai fatti denunciati.

Quando la segnalazione riguarda un dipendente, occorre prestare attenzione anche alle conseguenze lavoristiche. Un provvedimento disciplinare non può fondarsi sulla semplice convinzione che la denuncia anonima sia attendibile. Sono necessari accertamenti adeguati e il rispetto delle garanzie previste dalla disciplina applicabile, compreso l’art. 7 dello Statuto dei lavoratori quando pertinente. L’azienda deve evitare che informazioni non verificate diventino il presupposto di decisioni suscettibili di contestazione.

La situazione richiede ulteriori cautele quando le accuse coinvolgono amministratori o dirigenti che potrebbero esercitare un’influenza sulle verifiche. In questi casi, l’indipendenza del soggetto incaricato dell’istruttoria assume particolare rilievo. La procedura dovrebbe prevedere modalità di gestione dei conflitti di interessi e consentire, quando necessario, il ricorso a un professionista esterno. Per le situazioni nelle quali la denuncia viene utilizzata strumentalmente contro l’impresa o contro singoli soggetti, abbiamo dedicato un approfondimento all’abuso delle segnalazioni anonime e alle possibili forme di tutela dell’azienda.

La conclusione dell’istruttoria deve essere documentata in modo proporzionato. Se emergono elementi che confermano le irregolarità, occorre individuare le misure consentite dall’ordinamento e dalle procedure aziendali. Se invece le verifiche non consentono di accertare i fatti, l’archiviazione deve distinguere chiaramente tra accuse risultate infondate e situazioni nelle quali non è stato possibile raggiungere un riscontro sufficiente. Questa distinzione evita di attribuire alla segnalazione o alle verifiche un valore probatorio che non possiedono.

Un caso pratico: denuncia anonima contro un dirigente per irregolarità nei pagamenti

Consideriamo una società di medie dimensioni che riceve attraverso la propria piattaforma whistleblowing una segnalazione anonima contro il responsabile acquisti. La comunicazione riferisce che alcuni fornitori avrebbero ottenuto condizioni economiche ingiustificatamente favorevoli in cambio di utilità personali riconosciute al dirigente. Il segnalante non indica la propria identità, ma specifica i nominativi dei fornitori, alcune operazioni e il periodo nel quale si sarebbero verificati i fatti.

La società non dispone di elementi sufficienti per considerare provate le accuse, ma la comunicazione contiene circostanze verificabili. Il gestore valuta quindi l’opportunità di avviare un approfondimento riservato, esaminando la documentazione contrattuale, le autorizzazioni e le procedure di acquisto, senza informare indiscriminatamente le persone coinvolte. Poiché il dirigente segnalato intrattiene rapporti diretti con alcuni responsabili aziendali, viene valutato anche il possibile conflitto di interessi di chi dovrebbe svolgere gli accertamenti.

Durante le verifiche emergono alcune anomalie documentali, che richiedono ulteriori approfondimenti ma non dimostrano ancora l’esistenza di condotte illecite. La società coinvolge un professionista esterno e, secondo quanto previsto dal proprio Modello 231, assicura i necessari flussi informativi verso l’Organismo di Vigilanza. Le informazioni personali vengono trattate con accessi limitati e le attività sono documentate.

Il caso mostra perché l’anonimato non dovrebbe essere utilizzato come unico criterio per decidere se esaminare una denuncia. La scelta deve dipendere dal contenuto della comunicazione, dalla possibilità di effettuare verifiche proporzionate e dagli obblighi concretamente applicabili. Anche qualora le accuse non trovassero conferma, l’azienda dovrebbe poter ricostruire le valutazioni effettuate e le ragioni dell’eventuale archiviazione.

Domande frequenti sulla gestione delle segnalazioni whistleblowing anonime

L’azienda è obbligata a gestire una segnalazione whistleblowing anonima?

Il D.Lgs. 24/2023 non prevede un obbligo generalizzato di trattare qualsiasi comunicazione anonima come una segnalazione nominativa. Occorre verificare le disposizioni applicabili, le indicazioni dell’ANAC e quanto stabilito dalla procedura aziendale. Una segnalazione anonima circostanziata può comunque richiedere verifiche, soprattutto quando descrive possibili illeciti o violazioni del Modello 231. L’assenza dell’identità del segnalante non dovrebbe costituire, da sola, il motivo dell’archiviazione.

Una segnalazione anonima senza prove può essere archiviata?

Sì, quando mancano elementi sufficienti per svolgere accertamenti utili e non è possibile acquisire ulteriori informazioni. L’assenza di documenti allegati, però, non giustifica automaticamente l’archiviazione: fatti specifici possono essere verificati attraverso documentazione aziendale o altre fonti legittimamente accessibili. La decisione dovrebbe essere motivata e documentata, distinguendo l’impossibilità di verificare le accuse dall’accertamento della loro infondatezza.

Il gestore può cercare di identificare chi ha inviato una denuncia anonima?

La gestione della segnalazione deve concentrarsi sull’accertamento dei fatti denunciati. La ricerca dell’identità del segnalante non costituisce una finalità automaticamente legittima dell’istruttoria. L’utilizzo di indirizzi IP, metadati, registri informatici o altri strumenti di identificazione richiede una specifica valutazione giuridica e deve rispettare la normativa sulla protezione dei dati personali. Se il segnalante anonimo viene successivamente identificato e subisce ritorsioni, possono trovare applicazione le tutele previste dall’art. 16, comma 4, del D.Lgs. 24/2023.

Una segnalazione anonima può giustificare il licenziamento di un dipendente?

La sola denuncia anonima non dimostra la responsabilità del dipendente. Eventuali provvedimenti disciplinari devono fondarsi su fatti adeguatamente accertati e rispettare le disposizioni applicabili, comprese le garanzie procedimentali previste dallo Statuto dei lavoratori. L’azienda deve distinguere le accuse ricevute dagli elementi raccolti durante le verifiche, evitando decisioni basate esclusivamente su dichiarazioni non riscontrate.

Quando conviene affidare la gestione di una segnalazione anonima a un avvocato esterno?

L’assistenza di un professionista esterno può essere particolarmente opportuna quando la segnalazione coinvolge amministratori o dirigenti, denuncia possibili reati aziendali, presenta profili di responsabilità ai sensi del D.Lgs. 231/2001 oppure richiede accertamenti che possono incidere sui diritti dei dipendenti. Un avvocato può supportare l’impresa nella qualificazione giuridica dei fatti, nella definizione delle verifiche consentite e nella valutazione delle misure da adottare, mantenendo distinte le competenze del gestore whistleblowing, dell’Organismo di Vigilanza e degli altri organi aziendali.

Assistenza legale alle aziende nella gestione delle segnalazioni whistleblowing anonime

Una segnalazione anonima che denuncia irregolarità aziendali richiede decisioni proporzionate, riservate e giuridicamente sostenibili. La valutazione diventa particolarmente delicata quando le accuse coinvolgono i vertici societari, possono determinare conseguenze disciplinari oppure riguardano condotte rilevanti ai fini del D.Lgs. 231/2001.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione delle segnalazioni whistleblowing, nell’organizzazione delle verifiche interne e nella gestione dei profili di responsabilità connessi alla normativa applicabile. Interveniamo anche nel coordinamento tra procedure whistleblowing, protezione dei dati personali e Modello organizzativo 231, valutando le esigenze specifiche dell’organizzazione.

Se la vostra azienda ha ricevuto una segnalazione whistleblowing anonima e deve decidere come procedere, potete richiedere una valutazione legale riservata attraverso la nostra pagina dedicata alla consulenza in materia di whistleblowing, privacy e compliance aziendale.