La Delibera ANAC n. 344 del 9 settembre 2026 affronta una questione centrale nell’applicazione della disciplina del whistleblowing: la possibilità che l’identità del segnalante venga rivelata non attraverso una comunicazione esplicita dei suoi dati identificativi, ma mediante la diffusione di informazioni contestuali idonee a renderlo riconoscibile.
L’Autorità interpreta l’art. 12 del d.lgs. 10 marzo 2023, n. 24, nel senso che la violazione dell’obbligo di riservatezza può configurarsi anche indipendentemente dalla prova dell’effettiva identificazione del whistleblower da parte di soggetti non autorizzati, essendo sufficiente l’attitudine delle informazioni comunicate a consentire tale identificazione, diretta o indiretta.
La decisione assume particolare rilievo perché distingue la legittima attività di verifica della segnalazione dall’adozione di modalità investigative che, pur funzionali all’accertamento dei fatti, espongano il segnalante a un rischio ingiustificato di riconoscimento e di successive ritorsioni. Il contributo esamina il quadro normativo, la vicenda concreta, la ratio della decisione, le implicazioni organizzative per i gestori dei canali interni e i principali profili critici dell’interpretazione adottata dall’Autorità.
- La vicenda e l’oggetto del procedimento
Con la delibera n. 344 del 9 settembre 2026, il Consiglio dell’ANAC ha irrogato una sanzione di 15.000 euro a ciascuno dei tre membri dell’Organo di gestione delle segnalazioni whistleblowing di una società privata. La sanzione è stata disposta ai sensi dell’art. 21, comma 1, lett. a), del d.lgs. n. 24/2023.
La vicenda trae origine da una segnalazione anonima presentata il 9 dicembre 2024 al canale interno da un dipendente. Riguardava presunte modifiche «fittizie» a un contratto con una società cliente, volte a consentirne la fatturazione entro il 2024.
L’Organo di gestione ha sentito in audizione i soli componenti del ristretto team di lavoro, i cui nominativi comparivano nelle e-mail allegate alla segnalazione. Il primo a essere ascoltato è stato proprio il soggetto segnalato.
Nei giorni successivi il segnalante: è stato escluso dalle attività contrattuali; ha ricevuto una contestazione disciplinare, ed è stato licenziato per giusta causa.
Il licenziamento è stato poi dichiarato nullo in quanto ritorsivo, con sentenza non ancora definitiva.
Il procedimento sanzionatorio era volto ad accertare due profili:
- la mancata gestione: l’eventuale mancato svolgimento delle attività di verifica e analisi della segnalazione, sanzionabile ai sensi dell’art. 21, comma 1, lett. b);
- la riservatezza: la violazione dell’obbligo di riservatezza dell’identità del segnalante (art. 12), sanzionabile ai sensi dell’art. 21, comma 1, lett. a).
- La qualificazione del segnalante: irrilevanza dei motivi
In via preliminare, l’Autorità ha riconosciuto al dipendente la qualifica di whistleblower e ha respinto la tesi difensiva che riconduceva la segnalazione a un «disagio lavorativo».
L’ANAC distingue tra motivo della segnalazione e oggetto della stessa:
- il motivo è irrilevante ai sensi del Considerando 32 della Direttiva (UE) 2019/1937 e dell’art. 16, comma 2, del d.lgs. n. 24/2023;
- l’oggetto, nel caso concreto, verteva su presunte violazioni contabili, tributarie ed etiche, e non su rivendicazioni personali.
Non opera, dunque, la causa di esclusione dell’art. 1, comma 2, lett. a). Né rileva la fondatezza in concreto della segnalazione, essendo sufficiente il «fondato motivo» del segnalante di ritenere vere le informazioni.
- Archiviazione del profilo della “mancata gestione”
L’Autorità ha archiviato la contestazione ex art. 21, comma 1, lett. b). Ha accolto la tesi difensiva secondo cui la norma sanzionatoria non attribuisce poteri di accertamento sul merito dell’istruttoria svolta dal gestore. Estenderla al sindacato sulla correttezza sostanziale delle indagini integrerebbe un’analogia in malam partem.
Gli apprezzamenti dell’ANAC non investono dunque il merito, ma la verifica sull’effettivo compimento delle attività di verifica e analisi. Nel caso di specie queste risultavano provate:
- l’avviso di ricevimento era stato rilasciato entro sette giorni;
- le audizioni erano state svolte;
- erano state compiute verifiche sulla fatturazione;
- il riscontro era stato fornito entro tre mesi.
L’Autorità ha tuttavia stigmatizzato, a fini di orientamento, alcune «carenze procedurali» e alcuni «vizi meramente formali»:
- la scarsa trasparenza sulla composizione dell’Organo;
- la mancata verbalizzazione delle interviste, lesiva del principio di accountability;
- l’omessa menzione nell’esito delle verifiche condotte sul contratto 2023;
- l’audizione informale di un soggetto da parte di un solo componente dell’Organo.
- La violazione dell’obbligo di riservatezza
L’Autorità afferma che «la gestione di una segnalazione whistleblowing è ontologicamente differente rispetto alla gestione delle segnalazioni “ordinarie”». Nel dare diligente seguito alla segnalazione (art. 5, comma 1, lett. c), il gestore deve operare un costante bilanciamento tra due esigenze:
- accertare la fondatezza dei fatti denunciati;
- tutelare la riservatezza del segnalante, del segnalato, del contenuto della segnalazione e delle persone menzionate.
Ne consegue che le garanzie offerte by design dal canale, nel caso concreto una piattaforma crittografata pienamente conforme all’art. 4, non devono essere pregiudicate by default da attività imprudenti dei gestori.
L’art. 12, comma 2, vieta di rivelare, senza consenso espresso, «l’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità».
L’ANAC ne trae un principio di rilievo. La locuzione «può evincersi» consente di ritenere integrato l’illecito «a prescindere dall’effettiva identificazione del segnalante da parte di soggetti terzi». L’indagine si sposta così «sull’attitudine, in astratto, delle informazioni rilevate a causare l’identificazione del segnalante». Non è quindi necessaria una condotta attiva di disvelamento: «è sufficiente che i gestori forniscano le informazioni da cui possa evincersi, direttamente o indirettamente, tale identità».
Nel caso esaminato, la gestione «circoscritta» della segnalazione ha veicolato ai soggetti auditi tre elementi:
- a) l’esistenza di una segnalazione whistleblowing;
- b) il contratto e il cliente oggetto della segnalazione;
- c) la presenza di allegati recanti i loro nominativi.
Tali informazioni si sono combinate con elementi noti a tutti gli intervistati:
- la minore seniority del segnalante;
- il suo ruolo marginale nelle attività;
- i pregressi contrasti con il segnalato.
Richiamando il Considerando 26 del GDPR, la delibera evidenzia il rischio di single out (isolamento) del segnalante e la sua esposizione a processi di inference (deduzione).
Un quadro indiziario ha comunque consentito di ritenere provata anche l’identificazione in concreto. Gli indizi sono: l’estromissione del segnalante dalle attività contrattuali; la frase del Presidente dell’Organo, pronunciata in apertura dell’audizione: «abbiamo ricevuto la tua segnalazione»; la successiva contestazione disciplinare e il licenziamento.
Il «diligente seguito» impone ai gestori perizia, prudenza e adeguatezza. In una segnalazione relativa a un singolo contratto e a pochi soggetti coinvolti, la strategia corretta non era «circoscrivere» l’indagine. Occorreva, al contrario, estenderne almeno apparentemente il perimetro, attraverso opportune strategie di de-identificazione:
- il «falso target»: svolgere le verifiche su una rosa più ampia di pratiche o di soggetti;
- la «mimetizzazione» della segnalazione: presentarla, ad esempio, come un’operazione di compliance auditing programmata o straordinaria.
Le difese respinte. Sono state disattese due argomentazioni difensive:
- la raccomandazione di riservatezza agli intervistati: è stata giudicata qualitativamente inefficace, perché responsabilizza i destinatari di informazioni che non avrebbero dovuto essere fornite a priori;
- il richiamo alle best practice aziendali: le attività vanno calibrate sul contesto concreto, cioè sulla posizione del segnalante e del segnalato, sulla composizione del team e sul rischio di circolazione delle informazioni.
Le condotte censurate. Sono stati ritenuti particolarmente imprudenti:
- l’avere sentito per primo il soggetto segnalato;
- il coinvolgimento del superiore gerarchico del segnalato, privo di utilità istruttoria.
- La quantificazione della sanzione
Entro la cornice edittale da 10.000 a 50.000 euro, l’Autorità ha applicato i criteri dell’art. 11 della L. 689/1981 e il principio di responsabilità personale e concorsuale (artt. 3 e 5 della medesima legge).
| Circostanze | Elementi valutati |
| Aggravanti | gravità della violazione, potenzialmente prodromica ad atti ritorsivi; mancata adozione di iniziative per attenuarne le conseguenze, pur dopo la segnalazione del timore di ritorsioni; ruoli di elevata responsabilità degli autori |
| Attenuanti | natura colposa e non dolosa della condotta; commissione dei fatti prima dell’adozione delle Linee guida ANAC sui canali interni (delibera n. 478/2025) |
Non essendo emersi differenti gradi di responsabilità, la sanzione è stata determinata in 15.000 euro per ciascun componente. Avverso la delibera è ammesso ricorso al TAR Lazio entro 60 giorni.
- Rilievi conclusivi
La delibera consolida un principio operativo di rilievo per tutti i gestori, pubblici e privati: la tutela della riservatezza prevista dall’art. 12 ha natura di tutela anticipata del rischio di identificabilità. Non è necessario che il segnalante venga effettivamente identificato.
La conformità tecnica del canale non basta. È necessario che l’intera istruttoria sia progettata, fin dall’inizio, secondo logiche di minimizzazione e de-identificazione, adeguatamente documentate. Ciò vale in particolare nei contesti in cui la ristrettezza della platea dei soggetti coinvolti rende agevole risalire all’autore della segnalazione.
