Articolo a cura di: Redazione - Studio Legale Calvello

Una segnalazione anonima può porre l’azienda davanti a un problema molto concreto: il segnalante non è identificabile, ma i fatti descritti possono essere precisi, documentati e potenzialmente rilevanti. L’assenza del nome non consente quindi, da sola, né di ignorare il contenuto ricevuto né di attribuirgli automaticamente lo stesso trattamento di una segnalazione nominativa. Occorre capire che cosa è stato segnalato, attraverso quale canale, quanto sono circostanziati i fatti e quali verifiche possono essere svolte senza compromettere la riservatezza delle persone coinvolte.

Per le imprese il punto delicato è proprio questo: distinguere la disciplina prevista dal D.Lgs. 24/2023 dalle regole organizzative adottate per trattare le segnalazioni anonime e, nello stesso tempo, coordinare whistleblowing, protezione dei dati personali, eventuali accertamenti interni e tutela della persona segnalata. Una gestione improvvisata può creare problemi ulteriori rispetto a quelli contenuti nella segnalazione.

Una segnalazione anonima è valida? Cosa cambia quando non conosciamo il segnalante

Nel whistleblowing è necessario distinguere anonimato e riservatezza. Una segnalazione riservata proviene da una persona la cui identità è conosciuta dal gestore, ma deve essere protetta secondo le garanzie previste dal D.Lgs. 24/2023. Nella segnalazione realmente anonima, invece, l’identità dell’autore non è disponibile al soggetto che la riceve. Le due situazioni non coincidono e questa differenza incide concretamente sulla gestione dell’istruttoria, sulle possibilità di interlocuzione con il segnalante e sull’applicazione delle specifiche tutele previste dalla disciplina whistleblowing.

L’errore più frequente consiste nel ragionare in termini assoluti: considerare ogni segnalazione anonima irrilevante perché manca il nominativo oppure, all’opposto, trattarla automaticamente come se fosse una segnalazione nominativa completa. Per l’azienda è invece necessario esaminare il contenuto ricevuto e verificare se consenta di individuare fatti determinati e suscettibili di accertamento. Una comunicazione che indichi persone coinvolte, condotte, periodi, reparti, operazioni o documenti verificabili presenta caratteristiche molto diverse da un messaggio composto esclusivamente da accuse generiche.

Le segnalazioni anonime circostanziate non dovrebbero quindi essere scartate per il solo fatto che non sia possibile identificare immediatamente chi le ha trasmesse. La disciplina richiede, tra l’altro, di tenere conto dell’ipotesi in cui l’autore di una segnalazione o denuncia inizialmente anonima venga successivamente identificato e comunichi di avere subito ritorsioni. È anche per questa ragione che la corretta registrazione e conservazione della segnalazione assume rilievo organizzativo e giuridico.

Questo non significa che qualsiasi lettera, email o messaggio anonimo debba necessariamente determinare l’apertura di un’indagine aziendale. La decisione dipende dalla consistenza delle informazioni disponibili e dalla possibilità di effettuare verifiche proporzionate. Se, ad esempio, la segnalazione indica che un responsabile avrebbe autorizzato determinate operazioni irregolari in un periodo preciso e richiama documenti aziendali identificabili, il gestore dispone di elementi sui quali impostare un primo riscontro. Se il messaggio si limita ad affermare che un dirigente “commette illeciti” senza indicare fatti, circostanze o elementi verificabili, l’attività istruttoria incontra limiti molto più evidenti.

Per questo, quando riceviamo una segnalazione anonima, il primo passaggio non dovrebbe essere chiedersi semplicemente se sia “valida”, ma stabilire che cosa contiene, se rientra nell’ambito della procedura whistleblowing e quali elementi oggettivi possono essere verificati. La valutazione deve essere documentabile e coerente con la procedura adottata dall’impresa, evitando sia automatismi nell’archiviazione sia iniziative investigative sproporzionate rispetto agli elementi disponibili.

La questione si collega direttamente alla struttura del sistema interno. Un’azienda che abbia già definito criteri per la ricezione, classificazione, registrazione e istruttoria delle segnalazioni si trova in una posizione organizzativa molto diversa da quella di un’impresa che debba decidere caso per caso senza una procedura sufficientemente chiara. Per un quadro più generale della gestione del canale interno è utile il nostro approfondimento sul whistleblowing in azienda e sulla gestione delle segnalazioni.

Come gestire una segnalazione anonima: dalla ricezione alle prime verifiche

Quando arriva una segnalazione anonima, occorre innanzitutto preservarne il contenuto e limitare la conoscibilità delle informazioni alle persone autorizzate a gestirla. Il fatto che non sia conosciuta l’identità del segnalante non elimina infatti gli altri problemi di riservatezza: la segnalazione può contenere dati personali della persona coinvolta, dei dipendenti, di clienti o fornitori, informazioni aziendali riservate e documenti che non devono circolare indiscriminatamente all’interno dell’organizzazione.

Il gestore deve poi effettuare una prima qualificazione del contenuto. Occorre verificare se i fatti descritti possano rientrare nell’ambito materiale della disciplina whistleblowing oppure se si tratti, ad esempio, di una lamentela personale, di una contestazione estranea al D.Lgs. 24/2023 o di una comunicazione che deve essere trattata attraverso un diverso procedimento aziendale. La circostanza che una comunicazione sia stata inserita nel canale whistleblowing non determina automaticamente la sua qualificazione giuridica.

Un secondo controllo riguarda il grado di precisione della segnalazione. Date, nominativi, funzioni aziendali, contratti, ordini, fatture, operazioni informatiche, procedure interne, documenti allegati e indicazioni sulle modalità con cui si sarebbero verificati i fatti possono consentire verifiche indipendenti dall’identità del segnalante. È proprio questa possibilità di riscontro oggettivo che deve orientare le prime attività, senza partire dal presupposto che l’accusa sia vera e senza trasformare la segnalazione stessa nella prova del fatto contestato.

Quando la piattaforma utilizzata consente di mantenere un’interlocuzione protetta con il segnalante anonimo, può essere possibile richiedere precisazioni o documentazione ulteriore senza conoscerne l’identità. Questo aspetto può diventare determinante quando la segnalazione appare seria ma presenta lacune che impediscono di individuare con precisione le operazioni da verificare. Se invece il messaggio anonimo è arrivato attraverso un canale che non permette alcuna comunicazione successiva, l’azienda dovrà decidere sulla base degli elementi già disponibili.

Particolare attenzione richiedono le segnalazioni ricevute tramite posta elettronica ordinaria o attraverso strumenti diversi dal canale predisposto. Il problema non riguarda soltanto la successiva gestione del documento. I sistemi di posta elettronica possono generare e conservare metadati e log che rendono possibile risalire, direttamente o indirettamente, all’autore della comunicazione. Questo aspetto deve essere considerato nella configurazione tecnica e organizzativa del sistema e nella scelta degli strumenti utilizzati per ricevere le segnalazioni.

L’azienda deve quindi evitare iniziative volte a “scoprire chi è stato” quando non siano giuridicamente giustificate e necessarie alla gestione del caso. L’attenzione deve rimanere sui fatti segnalati e sugli accertamenti che possono essere svolti attraverso fonti autonome: documentazione amministrativa, procedure, autorizzazioni, sistemi informativi, registrazioni legittimamente disponibili e informazioni detenute dall’organizzazione. Anche la posizione della persona segnalata deve essere tutelata, evitando una diffusione interna dell’accusa prima che siano stati effettuati i riscontri necessari. La disciplina whistleblowing deve infatti convivere con la protezione dei dati e con le esigenze di accertamento e difesa delle persone coinvolte.

La stessa cautela è necessaria quando la segnalazione riguarda fatti potenzialmente idonei a determinare conseguenze disciplinari. Una segnalazione anonima non dovrebbe essere confusa con l’accertamento dei fatti che descrive: può costituire il punto di partenza delle verifiche, mentre eventuali iniziative successive devono poggiare sugli elementi acquisiti e sulla disciplina applicabile al rapporto di lavoro. Se l’impresa ha appena ricevuto una comunicazione e deve stabilire quali attività compiere nell’immediato, abbiamo affrontato separatamente cosa fare subito dopo aver ricevuto una segnalazione whistleblowing.

La gestione deve infine lasciare una traccia coerente delle decisioni assunte: ricezione, qualificazione, valutazione preliminare, eventuali richieste di integrazione, verifiche svolte, ragioni dell’archiviazione oppure prosecuzione dell’istruttoria. Questo consente di ricostruire il percorso seguito senza moltiplicare copie e accessi alla documentazione e prepara il passaggio successivo: stabilire quali accertamenti siano proporzionati, chi possa svolgerli e come coordinare l’indagine con gli obblighi di riservatezza e protezione dei dati.

Quali verifiche può svolgere l’azienda e quali rischi deve evitare

Superata la valutazione preliminare, il problema diventa stabilire quanto approfondire la segnalazione anonima e con quali modalità. Non esiste una risposta identica per ogni caso. Una segnalazione che descrive un fatto specifico, individua le persone coinvolte e indica documenti verificabili può giustificare accertamenti più approfonditi rispetto a una comunicazione vaga o basata esclusivamente su valutazioni personali. Il criterio deve rimanere quello della proporzionalità: verificare ciò che è necessario per comprendere se i fatti abbiano un riscontro, senza trasformare l’istruttoria in un controllo indiscriminato su dipendenti, dirigenti o sistemi aziendali.

Le verifiche possono riguardare, a seconda del contenuto della segnalazione, documenti amministrativi e contabili, procedure autorizzative, contratti, comunicazioni aziendali, registrazioni presenti nei sistemi informativi o altri elementi già legittimamente nella disponibilità dell’impresa. La possibilità tecnica di accedere a un dato, però, non significa automaticamente che quell’accesso sia consentito per qualsiasi finalità. Quando l’indagine coinvolge email, dispositivi aziendali, log informatici o informazioni riferibili ai lavoratori, occorre coordinare le esigenze istruttorie con la normativa sulla protezione dei dati personali e con le ulteriori disposizioni applicabili ai controlli nell’ambito del rapporto di lavoro.

È altrettanto importante separare la segnalazione dalla prova dei fatti segnalati. L’anonimato non rende necessariamente irrilevante l’informazione ricevuta, ma l’accusa contenuta nel messaggio non dovrebbe essere assunta come fatto accertato. Se dalla segnalazione emergono elementi che possono essere verificati autonomamente, sono i riscontri acquisiti durante l’istruttoria a dover orientare le successive decisioni dell’azienda. Questa distinzione diventa particolarmente delicata quando dall’accertamento potrebbero derivare contestazioni disciplinari, iniziative nei confronti di amministratori o dirigenti, modifiche organizzative oppure la necessità di coinvolgere altri organi aziendali.

La circolazione delle informazioni deve essere limitata a quanto effettivamente necessario. Inoltrare integralmente una segnalazione a più responsabili, condividere indiscriminatamente gli allegati o discutere dell’identità presunta del segnalante può ampliare inutilmente il numero dei soggetti che conoscono il caso. Anche una segnalazione anonima può contenere numerosi dati personali e informazioni dalle quali sia possibile ricostruire indirettamente l’identità di chi l’ha presentata. Per questo la gestione del whistleblowing deve essere coordinata con il GDPR, definendo autorizzazioni, accessi, tempi di conservazione e modalità di trattamento coerenti con le finalità dell’istruttoria.

Un ulteriore problema nasce quando la segnalazione riguarda proprio il soggetto normalmente incaricato di gestirla oppure persone che occupano posizioni apicali. In queste situazioni il conflitto di interessi può compromettere l’indipendenza dell’istruttoria e rendere necessario attivare il diverso percorso previsto dalla procedura aziendale. Il tema richiede una valutazione specifica, che approfondiamo nell’articolo dedicato a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

La procedura dovrebbe disciplinare anche l’eventualità che la segnalazione anonima risulti, dopo i primi controlli, priva di elementi sufficienti per proseguire. Archiviare non significa semplicemente cancellare il messaggio o ignorarlo: è opportuno poter ricostruire perché, sulla base delle informazioni disponibili, non siano risultati possibili o giustificati ulteriori accertamenti. Allo stesso modo, la presenza di affermazioni apparentemente false o aggressive non autorizza l’azienda a qualificare immediatamente la segnalazione come abusiva. Le segnalazioni infondate e la loro corretta gestione richiedono di distinguere la mancata conferma dei fatti da comportamenti consapevolmente illeciti del segnalante.

Quando gli elementi ricevuti sono invece sufficientemente concreti, l’istruttoria può proseguire mantenendo una documentazione ordinata delle verifiche e delle ragioni delle decisioni assunte. Questo è particolarmente utile quando intervengono più funzioni aziendali o professionisti esterni: ciascun soggetto dovrebbe conoscere soltanto le informazioni necessarie al proprio compito, mentre il coordinamento dell’attività deve evitare duplicazioni, accessi non necessari e iniziative autonome che possano compromettere la riservatezza o l’attendibilità degli accertamenti.

Un caso pratico: la segnalazione anonima che indica operazioni aziendali verificabili

Consideriamo, come esempio realistico e anonimizzato, il caso di una società che riceve attraverso il proprio canale interno una segnalazione priva dell’identità dell’autore. Il messaggio attribuisce a un responsabile alcune operazioni ritenute irregolari e indica un periodo determinato, la funzione aziendale interessata e specifici documenti dai quali sarebbe possibile ricostruire quanto accaduto. Il problema iniziale consiste nello stabilire se l’anonimato impedisca di procedere oppure se gli elementi forniti siano sufficienti per effettuare verifiche autonome.

L’attività viene impostata senza tentare di individuare l’autore della segnalazione e senza comunicare indiscriminatamente il contenuto del messaggio alle persone appartenenti al reparto interessato. Vengono prima delimitati i fatti da verificare e individuate le fonti documentali pertinenti, valutando anche chi possa accedervi legittimamente e quali soggetti debbano essere coinvolti nell’istruttoria. L’aspetto che richiede maggiore attenzione è evitare che la necessità di controllare le operazioni indicate determini un accesso generalizzato a comunicazioni o dati personali non pertinenti.

La segnalazione viene quindi trattata come elemento iniziale dell’accertamento e non come prova della responsabilità della persona indicata. Le successive decisioni vengono basate sui riscontri autonomamente acquisiti, documentando il percorso seguito e mantenendo separate le informazioni strettamente necessarie all’istruttoria da quelle prive di relazione con i fatti segnalati. Un’impostazione di questo tipo permette all’impresa di affrontare il contenuto della segnalazione anonima senza attribuirle preventivamente né attendibilità assoluta né irrilevanza per il solo fatto che il segnalante non abbia dichiarato la propria identità.

FAQ sulle segnalazioni anonime nel whistleblowing aziendale

Una segnalazione anonima deve essere sempre presa in considerazione?

Non ogni comunicazione anonima richiede necessariamente un’istruttoria approfondita. Occorre valutarne il contenuto, il grado di circostanziazione e la possibilità di verificare i fatti attraverso elementi oggettivi. Una segnalazione che indica condotte, persone, periodi o documenti identificabili presenta presupposti diversi da un’accusa generica priva di elementi verificabili. L’eventuale archiviazione dovrebbe essere coerente con la procedura adottata dall’azienda e adeguatamente documentata.

Il canale whistleblowing deve necessariamente consentire segnalazioni anonime?

Il D.Lgs. 24/2023 disciplina espressamente le tutele applicabili anche nell’ipotesi in cui una persona che abbia effettuato una segnalazione o denuncia anonima venga successivamente identificata e subisca ritorsioni. Questo dato non equivale, però, a un obbligo generalizzato di configurare qualsiasi canale interno in modo da consentire necessariamente la presentazione anonima. L’azienda deve valutare correttamente la disciplina applicabile, le indicazioni dell’ANAC e le caratteristiche organizzative e tecniche del proprio sistema di segnalazione.

L’azienda può cercare di identificare chi ha inviato una segnalazione anonima?

La ricerca dell’identità del segnalante non dovrebbe diventare lo scopo dell’istruttoria. Se il contenuto permette di verificare autonomamente i fatti, l’attività dovrebbe concentrarsi su tali riscontri. Tentativi di identificazione attraverso log, metadati, sistemi informatici o altre informazioni possono comportare problemi di riservatezza e protezione dei dati e devono essere valutati alla luce della normativa applicabile e delle effettive necessità del caso.

Una segnalazione anonima può essere utilizzata per contestare un fatto a un dipendente?

Occorre distinguere la notizia contenuta nella segnalazione dagli elementi successivamente accertati. La segnalazione anonima può determinare l’avvio di verifiche, ma eventuali iniziative disciplinari devono essere valutate sulla base dei fatti effettivamente riscontrati e delle regole applicabili al rapporto di lavoro. Trattare automaticamente l’accusa anonima come prova del comportamento contestato espone l’azienda a un’impostazione istruttoria particolarmente fragile.

Cosa fare se la segnalazione anonima riguarda un fatto grave e l’azienda non sa come procedere?

Quando la segnalazione coinvolge possibili illeciti rilevanti, vertici aziendali, numerosi dipendenti, documentazione riservata o accertamenti potenzialmente invasivi, può essere opportuno definire prima dell’indagine chi debba gestirla, quali verifiche siano legittime e come preservare la riservatezza. Un intervento professionale nella fase iniziale può servire soprattutto a evitare che attività non coordinate compromettano documenti, dati personali, diritti delle persone coinvolte o la stessa ricostruzione dei fatti.

Assistenza nella gestione delle segnalazioni anonime e del whistleblowing aziendale

Ricevere una segnalazione anonima significa dover prendere decisioni spesso prima di conoscere l’attendibilità delle accuse. Occorre stabilire se il contenuto rientri nella disciplina whistleblowing, quali elementi siano concretamente verificabili, chi possa svolgere l’istruttoria, quali dati possano essere trattati e quando sia possibile archiviare la segnalazione. La risposta dipende dal contenuto ricevuto, dalla struttura dell’impresa, dalla procedura adottata e dalle persone eventualmente coinvolte.

Assistiamo le aziende nella predisposizione e revisione delle procedure whistleblowing, nella gestione delle segnalazioni e nella valutazione delle attività istruttorie, anche quando il segnalante rimane anonimo. Possiamo intervenire anche quando l’impresa intende affidare all’esterno la gestione del canale, così da definire responsabilità, flussi informativi, riservatezza e coordinamento con gli adempimenti in materia di protezione dei dati personali.

Se la vostra azienda ha ricevuto una segnalazione anonima oppure deve organizzare un sistema idoneo a gestire correttamente queste situazioni, potete richiedere una valutazione sul whistleblowing aziendale e sulla gestione esterna delle segnalazioni. Esamineremo la situazione rappresentata per individuare le questioni giuridiche e organizzative che richiedono approfondimento.