Il D.Lgs. 24/2023 obbliga gli enti a trattare dati personali nell’ambito delle segnalazioni whistleblowing, creando una tensione diretta con i diritti degli interessati previsti dal GDPR. Il bilanciamento è possibile, ma richiede una base giuridica solida, misure tecniche proporzionate e una governance privacy documentata. Senza questi elementi, l’ente rischia sanzioni sia dal Garante Privacy sia dall’ANAC.
Punti chiave
- Punto 1 — Il D.Lgs. 24/2023 consente limitazioni ai diritti GDPR solo se necessarie e proporzionate allo scopo.
- Punto 2 — La base giuridica del trattamento va identificata nell’art. 6 GDPR, non nella legittimità generica.
- Punto 3 — Il segnalante, il segnalato e i terzi citati sono tutti interessati con diritti distinti da gestire separatamente.
Chi assiste enti pubblici o aziende private con più di 50 dipendenti deve fare i conti con un nodo concreto: il canale di segnalazione whistleblowing tratta per definizione dati personali di più soggetti — il segnalante, il segnalato, eventuali testimoni — con regimi di tutela differenti e talvolta confliggenti. Non basta adottare una piattaforma tecnologica conforme: serve una governance privacy costruita su misura, con un DPIA aggiornato e procedure che tengano separati i flussi informativi.
L’analisi pubblicata da Agenda Digitale ricorda che il quadro normativo formato da GDPR, Codice Privacy (D.Lgs. 196/2003) e D.Lgs. 24/2023 ammette limitazioni ai diritti degli interessati, ma solo se necessarie, proporzionate e supportate da una solida architettura di compliance.
Il contesto normativo
Il D.Lgs. 24/2023, attuativo della Direttiva UE 2019/1937, impone agli enti sopra soglia di attivare canali di segnalazione interna ed esterna garantendo la riservatezza del segnalante. L’art. 13 del D.Lgs. 24/2023 prevede espressamente che il trattamento dei dati personali avvenga nel rispetto del Regolamento UE 2016/679 e del Codice Privacy. Sul versante GDPR, l’art. 23 consente agli Stati membri di limitare i diritti degli interessati (accesso, rettifica, cancellazione) quando ciò sia necessario per proteggere indagini interne o interessi di terzi. Il Garante Privacy italiano ha già sanzionato enti che non avevano condotto una DPIA preliminare prima di attivare il canale di segnalazione, trattando questa omissione come violazione dell’art. 35 GDPR.
Cosa cambia per lo studio
- Verifica la base giuridica del trattamento: non è sufficiente richiamare genericamente l’obbligo legale. Occorre mappare ogni categoria di dato trattato — identità del segnalante, dati del segnalato, contenuto della segnalazione — e associare a ciascuna la base giuridica specifica ex art. 6 e, se del caso, art. 9 GDPR.
- Redigi o aggiorna la DPIA prima dell’attivazione del canale. Il Garante considera il canale whistleblowing un trattamento ad alto rischio per definizione: la DPIA non è facoltativa.
- Distingui i ruoli privacy: il gestore della piattaforma è tipicamente responsabile del trattamento ex art. 28 GDPR, non titolare autonomo. Il contratto di nomina deve essere sottoscritto prima dell’avvio del servizio.
- Gestisci separatamente le richieste di accesso del segnalato: il diritto di accesso può essere limitato per tutelare il segnalante, ma la limitazione deve essere documentata caso per caso, non applicata in modo automatico e generico.
- Forma il personale che gestisce le segnalazioni: chi riceve e istruisce le segnalazioni deve essere autorizzato al trattamento ex art. 29 GDPR con istruzioni scritte e specifiche, non una delega generica.
Attenzione a
Il rischio più frequente è trattare il canale whistleblowing come un adempimento organizzativo separato dalla compliance privacy. In realtà il registro dei trattamenti ex art. 30 GDPR deve includere il trattamento connesso alle segnalazioni, con indicazione delle misure di sicurezza adottate e dei tempi di conservazione. Conservare i dati oltre il necessario — ad esempio mantenendo le segnalazioni archiviate senza limite dopo la chiusura del procedimento — espone l’ente a contestazioni sia del Garante sia dell’ANAC.
Un secondo errore ricorrente riguarda la comunicazione all’interessato segnalato: l’informativa ex art. 14 GDPR va fornita, ma può essere ritardata o omessa solo se rischia di compromettere la riservatezza del segnalante o l’integrità dell’istruttoria. Questa valutazione deve essere motivata per iscritto e non può diventare una prassi sistematica di omissione.
Domande frequenti
Il segnalato ha diritto di accesso ai dati del canale whistleblowing?
Sì, ma il diritto di accesso ex art. 15 GDPR può essere limitato per tutelare la riservatezza del segnalante, come previsto dall’art. 23 GDPR e dall’art. 13 D.Lgs. 24/2023. La limitazione non è automatica: va valutata caso per caso, motivata per iscritto e proporzionata al rischio concreto di identificazione del segnalante.
La DPIA è obbligatoria per il canale di segnalazione whistleblowing?
Sì. Il Garante Privacy italiano considera il trattamento connesso al canale whistleblowing un trattamento ad alto rischio, con obbligo di DPIA preventiva ex art. 35 GDPR. L’omissione è stata già sanzionata in sede di ispezione. La DPIA va condotta prima dell’attivazione del canale e aggiornata ogni volta che cambiano le finalità o le tecnologie utilizzate.
Per quanto tempo si possono conservare i dati delle segnalazioni whistleblowing?
Il D.Lgs. 24/2023 non fissa un termine unico, ma il principio di limitazione della conservazione ex art. 5 GDPR impone di non trattenere i dati oltre il necessario rispetto alla finalità. La prassi consolidata e le linee guida ANAC indicano un massimo di cinque anni dalla chiusura del procedimento, salvo obblighi di conservazione derivanti da procedimenti giudiziari pendenti.
Fonte di riferimento: AgendaDigitale