Whistleblowing: tutelare la riservatezza del segnalante quando si condivide il fascicolo
Un canale di segnalazione interna può essere impeccabile — piattaforma cifrata, accessi separati, possibilità di segnalare senza firmarsi — e tuttavia tradire il segnalante. Il punto debole raramente è lo strumento di raccolta. Emerge dopo, quando il fascicolo inizia a circolare: viene scaricato dal gestore, inoltrato all'ufficio del personale, allegato a una relazione per il vertice o consegnato a uno studio legale. In ogni copia viaggiano nomi, firme email, metadati e dettagli da cui si può intuire chi ha parlato. Questo articolo riassume cosa chiede la normativa italiana ed europea e propone un metodo per preparare i documenti di un'istruttoria in modo che ogni destinatario veda solo ciò che gli serve.
Cosa prevede la legge: l'identità e tutto ciò che permette di risalirvi
La direttiva (UE) 2019/1937 stabilisce all'articolo 16 l'obbligo di riservatezza: l'identità della persona segnalante non può essere rivelata, senza il suo consenso esplicito, a nessuno che non faccia parte del personale autorizzato a ricevere o dare seguito alle segnalazioni. La tutela copre anche qualsiasi altra informazione da cui l'identità possa essere dedotta direttamente o indirettamente. L'articolo 17 vieta di raccogliere dati manifestamente non utili e impone di cancellare senza indugio quelli raccolti per errore.
In Italia la direttiva è recepita dal d.lgs. 10 marzo 2023, n. 24. Per la gestione documentale contano soprattutto:
- Art. 12 (obbligo di riservatezza): l'identità del segnalante e ogni altra informazione da cui possa evincersi non possono essere rivelate, senza il suo consenso espresso, a persone diverse da quelle competenti a ricevere o dare seguito alle segnalazioni. Nel procedimento disciplinare l'identità può essere rivelata solo con il consenso del segnalante e solo se indispensabile per la difesa dell'incolpato.
- Art. 14 (conservazione): segnalazioni e documentazione si conservano per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell'esito finale.
- Codice privacy, art. 2-undecies: limita i diritti dell'interessato, compreso l'accesso, quando il loro esercizio potrebbe pregiudicare la riservatezza dell'identità del segnalante.
- Autorità: l'ANAC gestisce il canale di segnalazione esterna e adotta le linee guida; il Garante privacy si è espresso più volte sulla loro impostazione, insistendo su misure tecniche come la cifratura e sulla valutazione d'impatto.
La conseguenza pratica è netta: non basta oscurare il nome in prima pagina. Bisogna rileggere l'intero fascicolo chiedendosi se una persona che conosce l'organizzazione potrebbe risalire al segnalante da quello che legge.
Da dove esce l'identità in un fascicolo di segnalazione
Un fascicolo tipico contiene il modulo di segnalazione, scambi email con il segnalante, screenshot, fogli di calcolo (presenze, note spese, log di accesso), verbali di audizione e talvolta pagine scansionate con annotazioni a mano. Le fughe più frequenti:
- Identificativi diretti: nome, matricola, email aziendale, interno telefonico, firma in calce a un verbale.
- Intestazioni e firme email: un file .msg o .eml inoltrato conserva mittente, destinatari, ruolo e ufficio.
- Metadati: il campo «Autore» di un Word o di un PDF, le revisioni, i commenti nascosti. Ne parliamo in metadati nascosti in Word e PDF.
- Identificativi indiretti: «l'unica capoturno notturna del magazzino di Bologna», la data di un certificato di malattia, un progetto specifico, una frase che solo chi era alla riunione poteva scrivere.
- Screenshot: utente connesso, foto profilo, nome della postazione nella barra delle applicazioni.
- Finti omissis: rettangoli neri disegnati sopra un PDF che lasciano il testo sottostante selezionabile.
Un destinatario, una versione
La regola più efficace è preparare una versione per ciascun destinatario e registrare chi ha ricevuto cosa. Un esempio indicativo (fittizio) per una segnalazione di molestie:
| Destinatario | Di cosa ha bisogno | Versione consigliata |
|---|---|---|
| Gestore del canale interno | Tutto, per valutare e dirigere l'istruttoria | Originale integrale, accesso ristretto |
| Istruttore o comitato | Fatti, prove, testimoni; non sempre l'identità del segnalante | Pseudonimizzata («Segnalante-1», «Testimone-A»), tabella di corrispondenza custodita a parte |
| Ufficio del personale, se c'è un procedimento disciplinare | Fatti accertati e persona coinvolta | Pseudonimizzata, senza segnalante né terzi estranei |
| Studio legale o revisore | Condotta e documentazione probatoria | Pseudonimizzata o anonimizzata secondo l'incarico |
| Vertice aziendale, relazione annuale | Tendenze e misure adottate | Anonimizzata e aggregata |
| Autorità giudiziaria | Quanto richiesto | Secondo la richiesta, con il supporto dell'ufficio legale |
La pseudonimizzazione è preziosa durante l'istruttoria: sostituire ogni persona con un'etichetta costante mantiene leggibile il racconto e consente di confrontare le dichiarazioni senza esporre nessuno. Un dato pseudonimizzato resta però un dato personale; la differenza è spiegata in anonimizzare o pseudonimizzare.
Metodo per preparare i documenti
Prima che il fascicolo lasci il gestore della segnalazione
- Censire gli identificativi diretti e indiretti di segnalante, persona coinvolta e testimoni.
- Stabilire, per ogni destinatario, chi deve restare riconoscibile (di solito solo la persona coinvolta).
- Pseudonimizzare in modo coerente e conservare la tabella di corrispondenza cifrata e separata dal documento.
- Controllare allegati email, fogli di calcolo (colonne nascoste comprese) e immagini, non solo il testo.
- Rimuovere metadati, commenti e versioni precedenti prima dell'esportazione.
- Verificare il PDF finale provando a selezionare e copiare il testo oscurato.
- Far rileggere da una seconda persona che conosce l'organizzazione e sa cogliere gli indizi indiretti.
- Annotare quale versione è stata consegnata, a chi e per quale finalità.
Due aspetti sfuggono spesso. Il primo è il racconto: «come ho detto alla mia responsabile nella riunione di martedì» identifica più di un nome, quindi alcuni passaggi vanno riformulati, non solo oscurati. Il secondo sono i terzi estranei ai fatti (familiari, clienti, colleghi citati di sfuggita), che per il principio di minimizzazione vanno eliminati. Alla chiusura, anonimizzare il fascicolo invece di conservarlo integro consente di mantenere ciò che serve (tipologie di casi, tempi, misure) nel rispetto del limite dei cinque anni, purché anche le combinazioni di data, sede e ruolo non consentano la reidentificazione.
Il contributo di Anonimatum
Anonimatum consente di produrre queste versioni senza oscurare a mano. La sua pseudonimizzazione sostituisce ogni persona con lo stesso alias in tutto il documento e conserva la tabella di corrispondenza cifrata, reversibile solo da chi la possiede. L'IA proprietaria individua nomi, organizzazioni, date, indirizzi e importi, mentre i pattern rilevano email, telefoni o IBAN; prima di applicare, una persona controlla l'anteprima e può tracciare zone manuali su firme o timbri. Gestisce PDF (anche scansionati), Word, Excel, immagini ed email con allegati, rimuove i metadati e mantiene il formato originale. L'elaborazione avviene su server nell'Unione europea, senza inviare il testo ad API esterne di modelli linguistici; i dettagli sono nella pagina sicurezza. Confronti i piani e inizi subito online.
Domande frequenti
La persona segnalata può conoscere il segnalante con una richiesta di accesso?
No: l'art. 2-undecies del Codice privacy limita i diritti dell'interessato quando potrebbero pregiudicare la riservatezza del segnalante. La copia fornita deve quindi essere priva di elementi che lo rendano riconoscibile.
È sufficiente togliere il nome del segnalante?
No. L'art. 12 del d.lgs. 24/2023 tutela anche ogni informazione da cui l'identità possa evincersi: ruolo, turni, date, firme email, metadati, stile del racconto.
Per quanto si possono conservare le segnalazioni?
Per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell'esito finale (art. 14). Dopo, si può conservare solo una versione realmente anonima.