Articolo a cura di: Redazione - Studio Legale Calvello

Una segnalazione whistleblowing può contenere informazioni particolarmente delicate: l’identità del dipendente che denuncia un illecito, i dati della persona segnalata, documenti aziendali riservati, comunicazioni interne e informazioni relative a possibili condotte irregolari. Per l’impresa, proteggere questi dati significa rispettare precisi obblighi previsti dal GDPR e dal D.Lgs. 24/2023, evitando che una gestione impropria della segnalazione provochi ulteriori violazioni.

Il problema si presenta già al momento della ricezione della segnalazione e prosegue durante l’istruttoria, la condivisione delle informazioni e la conservazione della documentazione. Un canale whistleblowing tecnicamente funzionante non è necessariamente conforme alla normativa sulla protezione dei dati personali. Occorre verificare chi può accedere alle informazioni, quali misure di sicurezza sono applicate e come vengono disciplinati i rapporti con eventuali fornitori e gestori esterni. Quando emergono carenze organizzative, accessi non autorizzati o dubbi sulla riservatezza, può essere necessario un intervento professionale per valutare le responsabilità dell’azienda e correggere le procedure.

Whistleblowing e GDPR: quali dati devono essere protetti e dove nascono i rischi per l’azienda

Il sistema whistleblowing comporta il trattamento di dati personali appartenenti a soggetti diversi, spesso coinvolti in vicende che richiedono particolare riservatezza. Oltre ai dati identificativi del segnalante, possono essere raccolte informazioni relative alla persona segnalata, ai testimoni, ai dipendenti citati nella documentazione e ad altri soggetti coinvolti nei fatti. Una segnalazione può contenere anche dati relativi alla salute, informazioni disciplinari o dati riguardanti presunti reati, per i quali il GDPR prevede specifiche condizioni di trattamento.

Il Regolamento (UE) 2016/679 si applica alle operazioni effettuate su questi dati, mentre il D.Lgs. 24/2023 disciplina le condizioni di protezione delle persone coinvolte nelle segnalazioni e gli obblighi di riservatezza. Le due normative devono essere applicate congiuntamente. L’articolo 12 del decreto tutela, in particolare, l’identità del segnalante e le informazioni dalle quali essa possa essere ricavata direttamente o indirettamente, prevedendo specifiche condizioni per la loro divulgazione.

La riservatezza non riguarda soltanto il nome del segnalante. In una struttura aziendale di dimensioni contenute, l’identità può essere desunta dal reparto di appartenenza, dalla mansione, dalla conoscenza di determinati documenti o dalla descrizione degli episodi. Anche quando il nominativo viene oscurato, la circolazione incontrollata del contenuto della segnalazione può consentire di individuare chi l’ha presentata.

Per questo motivo, la protezione dei dati whistleblowing deve comprendere l’intero percorso delle informazioni, dalla ricezione alla gestione dell’istruttoria. Occorre stabilire chi può consultare la segnalazione, quali documenti possono essere condivisi, come devono essere trasmesse le informazioni e quali soggetti possono partecipare agli accertamenti. L’accesso deve essere limitato alle persone effettivamente autorizzate e alle informazioni necessarie per le rispettive attività.

Un rischio frequente riguarda l’utilizzo di strumenti aziendali ordinari, come caselle email condivise, cartelle di rete o archivi documentali accessibili a più uffici. Se una segnalazione viene conservata in un ambiente consultabile dal personale amministrativo, dal reparto informatico o da dirigenti non incaricati della gestione, l’azienda può esporre informazioni riservate a soggetti che non hanno titolo per conoscerle.

La stessa attenzione deve essere riservata ai fornitori delle piattaforme digitali. La disponibilità di un software dedicato non esonera l’impresa dal verificare le misure di sicurezza, i privilegi degli amministratori tecnici, la protezione degli allegati e le modalità con cui vengono trattati eventuali metadati. La scelta dello strumento deve essere accompagnata da una valutazione effettiva della sua conformità alle esigenze aziendali.

Quando il sistema è già operativo, è opportuno verificare se le procedure adottate assicurino concretamente la riservatezza richiesta dalla normativa. Questo controllo si collega alla più ampia disciplina degli obblighi e dei rischi del whistleblowing aziendale, ma richiede un esame specifico delle modalità di trattamento dei dati personali.

Come organizzare il trattamento dei dati whistleblowing nel rispetto del GDPR

La conformità privacy del sistema whistleblowing deve essere costruita attraverso decisioni organizzative documentate. Il primo passaggio consiste nell’individuare correttamente i soggetti coinvolti nel trattamento e le rispettive responsabilità. L’articolo 13 del D.Lgs. 24/2023 richiama espressamente l’applicazione della normativa sulla protezione dei dati personali e disciplina anche i rapporti tra i soggetti che istituiscono e gestiscono i canali di segnalazione.

L’impresa deve anzitutto identificare il titolare del trattamento, verificando l’eventuale presenza di situazioni di contitolarità e distinguendo le funzioni del gestore delle segnalazioni da quelle dei fornitori che trattano dati per conto del titolare. Non ogni soggetto esterno coinvolto nel whistleblowing assume automaticamente la qualifica di responsabile del trattamento. La corretta qualificazione dipende dalle attività effettivamente svolte e dall’autonomia con cui vengono determinate finalità e mezzi del trattamento.

Quando un fornitore opera come responsabile del trattamento, il rapporto deve essere disciplinato mediante un accordo conforme all’articolo 28 GDPR. Il contratto deve regolare, tra gli altri aspetti, le istruzioni documentate del titolare, gli obblighi di riservatezza, le misure di sicurezza, il ricorso a eventuali subresponsabili e la gestione dei dati alla cessazione del servizio. Per approfondire la distinzione tra le figure coinvolte, rinviamo alla nostra analisi su titolare, responsabile e autorizzato al trattamento.

Un ulteriore adempimento riguarda la valutazione d’impatto sulla protezione dei dati (DPIA). L’articolo 13, comma 6, del D.Lgs. 24/2023 prevede che i soggetti interessati definiscano il proprio modello di ricevimento e gestione delle segnalazioni individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti dai trattamenti effettuati, sulla base di una valutazione d’impatto ai sensi dell’articolo 35 GDPR.

La DPIA deve considerare le caratteristiche effettive del sistema adottato: tipologia delle segnalazioni, categorie di dati trattati, modalità di accesso, eventuali fornitori esterni, possibilità di identificazione indiretta del segnalante e conseguenze di una divulgazione non autorizzata. Non è sufficiente acquisire una valutazione standard predisposta dal fornitore del software senza verificare che corrisponda all’organizzazione e ai trattamenti concretamente effettuati dall’impresa.

Il titolare deve anche assicurare il rispetto dei principi di minimizzazione e limitazione della conservazione. I dati personali manifestamente non utili al trattamento di una specifica segnalazione non devono essere raccolti oppure, se acquisiti accidentalmente, devono essere cancellati immediatamente secondo quanto previsto dall’articolo 13, comma 2, del D.Lgs. 24/2023. La documentazione deve essere gestita evitando duplicazioni e circolazioni non necessarie.

Sul piano documentale occorre verificare la presenza delle informative privacy previste dagli articoli 13 e 14 GDPR, l’aggiornamento del registro delle attività di trattamento, le istruzioni impartite alle persone autorizzate e le procedure di sicurezza applicabili. Le informazioni destinate agli interessati devono essere predisposte tenendo conto delle particolari limitazioni previste dalla normativa whistleblowing, senza compromettere la riservatezza del segnalante.

La funzione del DPO, quando nominato, è distinta da quella del gestore delle segnalazioni. Il Responsabile della protezione dei dati svolge le attività di consulenza e sorveglianza previste dall’articolo 39 GDPR e deve essere coinvolto nelle questioni riguardanti la protezione dei dati personali. L’eventuale attribuzione di ulteriori incarichi richiede una verifica dei possibili conflitti di interessi e della compatibilità con l’indipendenza della funzione.

Per le aziende che hanno già attivato un canale whistleblowing, la verifica della conformità dovrebbe partire dalla documentazione esistente e proseguire con un controllo delle autorizzazioni, delle impostazioni della piattaforma e delle modalità operative effettivamente utilizzate. Le carenze individuate possono richiedere aggiornamenti contrattuali, modifiche delle procedure o interventi sulle misure tecniche. L’esame deve riguardare il sistema nel suo complesso, perché una documentazione formalmente corretta non può compensare accessi indiscriminati o modalità di gestione incompatibili con gli obblighi di riservatezza.

Accessi non autorizzati, violazioni della riservatezza e responsabilità dell’azienda

La protezione dei dati personali nelle segnalazioni whistleblowing deve essere verificata anche durante la gestione concreta dei casi. Una procedura formalmente corretta può rivelarsi insufficiente quando le informazioni vengono trasmesse a persone non autorizzate, gli allegati sono conservati in archivi condivisi oppure il contenuto della segnalazione viene comunicato a dirigenti coinvolti nei fatti. In queste situazioni, l’impresa deve valutare sia il rispetto degli obblighi di riservatezza previsti dal D.Lgs. 24/2023 sia le conseguenze del trattamento ai sensi del GDPR.

Particolare attenzione richiede la divulgazione dell’identità del segnalante. L’articolo 12 del D.Lgs. 24/2023 stabilisce che l’identità della persona segnalante e qualsiasi altra informazione dalla quale possa essere desunta, direttamente o indirettamente, non possono essere rivelate senza il suo consenso espresso a persone diverse da quelle competenti a ricevere o dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati. La normativa prevede specifiche disposizioni anche per i procedimenti disciplinari e per le ipotesi nelle quali la conoscenza dell’identità risulti indispensabile alla difesa della persona coinvolta.

Il rischio non riguarda esclusivamente la comunicazione volontaria del nominativo. Può verificarsi una violazione della riservatezza quando un responsabile aziendale riceve per errore una segnalazione, un amministratore informatico accede a documenti non necessari per le proprie mansioni oppure un allegato contiene elementi che permettono di identificare il dipendente. Anche la trasmissione di informazioni apparentemente anonime deve essere valutata considerando il contesto aziendale e la possibilità di identificazione indiretta.

Quando si verifica un accesso non autorizzato, una perdita di documentazione o una divulgazione accidentale, occorre accertare se l’evento costituisca una violazione dei dati personali ai sensi dell’articolo 4, punto 12, GDPR. La qualificazione dipende dalle circostanze concrete e dalle conseguenze sulla riservatezza, integrità o disponibilità dei dati. Se si configura un data breach, il titolare deve documentarlo e valutare gli obblighi di notifica al Garante per la protezione dei dati personali e, nei casi previsti, di comunicazione agli interessati.

La notifica all’autorità di controllo, disciplinata dall’articolo 33 GDPR, deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione, salvo che sia improbabile che questa presenti un rischio per i diritti e le libertà delle persone fisiche. La comunicazione agli interessati, prevista dall’articolo 34, dipende invece dalla presenza di un rischio elevato, ferme restando le eccezioni stabilite dalla disposizione. Per gli interventi da effettuare in caso di incidente rinviamo alla nostra guida sul data breach in azienda e sulle prime 72 ore.

Nel whistleblowing, la valutazione del rischio deve considerare anche le possibili conseguenze professionali e personali dell’identificazione del segnalante. La conoscenza della sua identità da parte di soggetti coinvolti nella vicenda può esporlo a pressioni, discriminazioni o altre condotte pregiudizievoli. Questo elemento deve essere esaminato nella valutazione della gravità dell’incidente e nella scelta delle misure di contenimento.

Un altro problema riguarda i diritti della persona segnalata. Il GDPR riconosce agli interessati specifici diritti di accesso, rettifica e, quando ne ricorrono i presupposti, cancellazione dei dati. Il loro esercizio deve però essere coordinato con le disposizioni speciali che tutelano la riservatezza delle segnalazioni. In particolare, l’articolo 2-undecies del Codice Privacy prevede limitazioni all’esercizio di determinati diritti quando dal loro esercizio possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante. Una richiesta di accesso ai dati presentata dalla persona segnalata non comporta automaticamente il diritto di conoscere l’identità di chi ha effettuato la segnalazione.

Le responsabilità possono riguardare anche la conservazione dei dati. L’articolo 14 del D.Lgs. 24/2023 stabilisce che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza. Il termine massimo non autorizza una conservazione indiscriminata di informazioni non pertinenti o di copie diffuse presso uffici che non devono detenerle.

Le violazioni possono determinare interventi dell’ANAC nell’ambito delle competenze attribuitele dal D.Lgs. 24/2023 e, per gli aspetti relativi alla protezione dei dati personali, del Garante Privacy. I rispettivi poteri sanzionatori hanno presupposti differenti e non devono essere confusi. Possono inoltre emergere richieste risarcitorie, da valutare secondo le condizioni previste dalla normativa applicabile. Non ogni irregolarità determina automaticamente una sanzione, ma l’azienda deve essere in grado di dimostrare le misure adottate e le verifiche effettuate.

Quando il sistema whistleblowing è collegato al Modello organizzativo 231, occorre disciplinare anche i flussi informativi verso l’Organismo di Vigilanza. La presenza dell’OdV non giustifica un accesso generalizzato a tutte le segnalazioni e ai relativi dati identificativi. Le comunicazioni devono essere organizzate in funzione delle competenze effettive, delle necessità informative e degli obblighi di riservatezza, evitando duplicazioni documentali e diffusioni non necessarie.

Per le imprese che rilevano carenze nel sistema già attivo, l’intervento deve partire dall’individuazione delle informazioni esposte, delle persone che vi hanno avuto accesso e delle cause organizzative o tecniche dell’anomalia. La successiva revisione delle autorizzazioni, delle procedure e delle misure di sicurezza permette di affrontare il problema concreto, documentando le decisioni assunte e le attività correttive.

Un caso pratico: una segnalazione whistleblowing accessibile a personale non autorizzato

Consideriamo una società con circa 120 dipendenti che utilizza una piattaforma digitale per ricevere le segnalazioni whistleblowing. Durante una verifica interna emerge che alcuni documenti allegati alle segnalazioni vengono automaticamente copiati in una cartella aziendale accessibile anche al personale IT. Tra questi documenti figura una comunicazione dalla quale è possibile identificare il dipendente che ha segnalato presunte irregolarità nella gestione di alcuni fornitori.

Il problema non può essere risolto limitandosi a modificare i permessi della cartella. L’azienda deve ricostruire quali dati siano stati effettivamente accessibili, chi abbia potuto consultarli e se si sia verificata una violazione dei dati personali. Deve inoltre valutare gli eventuali obblighi previsti dagli articoli 33 e 34 GDPR, documentare l’accaduto e verificare se la riservatezza del segnalante sia stata compromessa.

La successiva revisione coinvolge le impostazioni della piattaforma, le autorizzazioni degli amministratori informatici, le istruzioni impartite al gestore delle segnalazioni e la valutazione d’impatto. Se il software è fornito da una società esterna, occorre esaminare anche il contratto relativo al trattamento dei dati e le responsabilità operative del fornitore. L’intervento deve essere proporzionato ai rischi effettivamente accertati e alle caratteristiche del sistema.

FAQ: domande frequenti sulla protezione dei dati nelle segnalazioni whistleblowing

La valutazione d’impatto DPIA è obbligatoria per il whistleblowing?

L’articolo 13, comma 6, del D.Lgs. 24/2023 richiede di individuare misure tecniche e organizzative adeguate ai rischi del trattamento sulla base di una valutazione d’impatto ai sensi dell’articolo 35 GDPR. L’azienda deve quindi effettuare una valutazione riferita al sistema di segnalazione concretamente adottato, considerando modalità di ricezione, accessi, categorie di dati trattati e rischi per le persone coinvolte. Una DPIA standard fornita dal produttore del software non sostituisce automaticamente la valutazione del titolare.

Il responsabile IT o l’amministratore aziendale possono leggere le segnalazioni whistleblowing?

L’accesso alle segnalazioni deve essere riservato ai soggetti competenti a riceverle o a darvi seguito, espressamente autorizzati secondo quanto previsto dal D.Lgs. 24/2023. Il personale IT può svolgere attività tecniche necessarie al funzionamento della piattaforma, ma questo non comporta automaticamente il diritto di conoscere il contenuto delle segnalazioni. L’azienda deve predisporre autorizzazioni differenziate e misure che limitino l’accesso alle informazioni riservate.

Il DPO deve poter accedere a tutte le segnalazioni whistleblowing?

No. Il DPO svolge le funzioni di consulenza e sorveglianza previste dal GDPR, ma la sua nomina non attribuisce automaticamente il diritto di consultare tutte le segnalazioni. Deve ricevere le informazioni necessarie per esercitare le proprie funzioni, nel rispetto della riservatezza e del principio di minimizzazione. Un eventuale incarico aggiuntivo nella gestione delle segnalazioni richiede una specifica valutazione organizzativa e dei possibili conflitti di interessi.

Cosa deve fare l’azienda se viene rivelata l’identità del segnalante?

Occorre verificare immediatamente come sia avvenuta la divulgazione, quali persone abbiano ricevuto le informazioni e quali conseguenze possano derivarne. Se l’evento costituisce una violazione dei dati personali, devono essere valutati gli obblighi previsti dagli articoli 33 e 34 GDPR. È necessario documentare l’accaduto, adottare le misure di contenimento appropriate e verificare anche gli eventuali profili di violazione della riservatezza disciplinati dal D.Lgs. 24/2023.

Una piattaforma whistleblowing dichiarata conforme al GDPR è sufficiente per proteggere l’azienda?

No. Le caratteristiche tecniche della piattaforma costituiscono soltanto una parte del sistema di protezione. La conformità dipende anche dalla valutazione d’impatto, dalla corretta attribuzione dei ruoli privacy, dalle autorizzazioni, dalle istruzioni ai gestori, dalle procedure di conservazione e dalle modalità effettive di utilizzo. L’impresa deve verificare periodicamente che le misure adottate siano coerenti con i rischi del trattamento.

Consulenza legale per la conformità GDPR del sistema whistleblowing aziendale

La gestione delle segnalazioni whistleblowing richiede un coordinamento concreto tra obblighi di riservatezza, protezione dei dati personali e procedure aziendali. Una piattaforma già attiva può presentare carenze nella documentazione privacy, nella valutazione d’impatto, nelle autorizzazioni o nei rapporti con i fornitori esterni. Queste criticità devono essere esaminate prima che determinino accessi impropri, contestazioni o violazioni dei dati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella verifica e nell’adeguamento GDPR dei sistemi whistleblowing, nella valutazione dei rischi privacy, nella revisione delle procedure e nella gestione delle problematiche derivanti da violazioni della riservatezza. L’assistenza può comprendere il coordinamento con il DPO, con i responsabili aziendali e, quando pertinente, con l’Organismo di Vigilanza.

Per richiedere una valutazione del sistema whistleblowing adottato dalla vostra azienda o assistenza su una specifica criticità, potete contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.