Whistleblowing sotto la lente del Garante: perché le imprese devono agire subito

Il Garante per la Protezione dei Dati Personali con il provvedimento n. 797 del 30 dicembre 2025 ha definito il piano delle attività ispettive per il primo semestre 2026. Si tratta di uno dei documenti più attesi dalle organizzazioni, perché indica in quali aree verranno concentrati i controlli e quali aspetti della compliance privacy saranno oggetto di verifiche approfondite.   Tra i diversi temi individuati, spicca un elemento che riguarda da vicino molte aziende: le verifiche sugli applicativi maggiormente diffusi  per l’acquisizione e la gestione delle segnalazioni whistleblowing.    

Perché è importante questa novità

Il Garante quindi pone di nuovo un’attenzione esplicita sui canali di segnalazione interna adottati dalle organizzazioni in base alla normativa sul whistleblowing (Direttiva UE 2019/1937, recepita in Italia con il D.Lgs. 24/2023). Una normativa che, dopo la corsa iniziale all’adeguamento nel 2023, sembrava essere passata in secondo piano, con il rischio che molte imprese abbiano trascurato aggiornamenti e controlli sulla reale conformità dei propri strumenti. La nuova pianificazione ispettiva segna invece un cambio di passo: non più solo controlli sui “classici” trattamenti di dati personali, ma anche sui sistemi interni meno visibili ma ad alto impatto — come quelli che gestiscono le segnalazioni di illeciti, spesso contenenti informazioni delicate, dati sensibili e dati identificativi del segnalante, qualora dallo stesso comunicate.    

 La parola al Team Privacymprese – Su cosa potrebbero concentrarsi i controlli

Secondo la nostra analisi, le verifiche del Garante sui sistemi di whistleblowing punteranno in particolare a valutare se le aziende abbiano adottato misure adeguate a garantire riservatezza e protezione dei dati personali. In concreto, i punti più sensibili potrebbero riguardare:

• Accessi interni e autorizzazioni: chi può visualizzare le segnalazioni? L’Organizzazione ha nominato un Gestore delle Segnalazioni esterno o interno? Sono previste, eventualmente, restrizioni e livelli di autorizzazione corretti?
• Tutela dell’anonimato del segnalante: i canali garantiscono realmente la possibilità di restare anonimi, come richiesto dalla normativa?
• Sicurezza tecnica e organizzativa: quali misure tecniche ed organizzative sono state implementate per evitare accessi non autorizzati ai dati contenuti nelle segnalazioni?
• Informative privacy dedicate: è presente un’informativa privacy  specifica e chiara per i soggetti coinvolti ?
• Valutazione d’impatto (DPIA): è stata condotta un’analisi preventiva dei rischi privacy del sistema di whistleblowing?

     

Cosa devono fare subito le imprese

Alla luce di questa nuovo piano ispettivo del Garante, le aziende obbligate all’implementazione  di quanto previsto dal D.Lgs 24/2023 dovrebbero verificare tempestivamente la conformità dei propri canali di segnalazione. Le azioni prioritarie che il nostro team consiglia sono:

1. Conduzione (o aggiornamento) di una DPIA specifica per i sistemi di whistleblowing adottati.
2. Definizione chiara dei ruoli e delle responsabilità interne nella gestione delle segnalazioni, con nomine e procedure documentate.
3. Aggiornamento delle informative privacy o loro predisposizione qualora non presenti
4. Formazione dedicata ai dipendenti, per garantire che siano a conoscenza della presenza del canale di segnalazione il canale e sappiano come utilizzarlo in sicurezza.
5. Revisione delle misure di sicurezza tecniche e organizzative, con particolare attenzione alla protezione dell’identità del segnalante, laddove condivisa, e delle informazioni contenute nella segnalazione

 

Uno scenario in evoluzione: ANAC e nuove Linee Guida

Non è tutto: oltre ai controlli del Garante, il tema whistleblowing è tornato d’attualità anche grazie alle nuove Linee Guida ANAC approvate il 12 dicembre 2025. Queste linee guida hanno l’obiettivo di chiarire dubbi applicativi e migliorare l’efficacia dei sistemi di segnalazione interna, imponendo alle organizzazioni di adeguare e perfezionare le procedure già predisposte.    

Il nostro commento

Il ritorno di attenzione sul whistleblowing è un segnale forte per le imprese: non basta aver “spuntato la casella” dell’adempimento iniziale nel 2023. I sistemi devono essere sicuri, aggiornati e conformi anche al GDPR in ogni fase: dalla ricezione delle segnalazioni, alla gestione interna, fino all’archiviazione. Chi non ha mai aggiornato la propria documentazione o non ha verificato l’efficacia delle misure di sicurezza dovrebbe farlo subito: il rischio non è solo una sanzione, ma anche un danno reputazionale, considerando la delicatezza delle informazioni trattate.