Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del Consiglio ACFE Swiss Chapter
Nella maggior parte dei casi sì. Un canale whistleblowing tratta dati sensibili relativi ai segnalanti, alle persone coinvolte e ai testimoni, e rientra quindi di norma tra i trattamenti che, secondo il GDPR, possono presentare «un rischio elevato» e richiedono una valutazione d’impatto sulla protezione dei dati (DPIA). In alcuni Paesi la risposta è esplicita: in Italia il D.Lgs. 24/2023 impone la DPIA e in Francia la CNIL inserisce i sistemi di segnalazione tra i trattamenti che la richiedono sempre. Dove manca una norma espressa, i criteri di rischio elevato delle autorità di controllo portano alla stessa conclusione. La DPIA va svolta prima di attivare il canale e aggiornata a ogni modifica.
Questa guida spiega quando è richiesta una DPIA, cosa dovrebbe coprire per un canale di segnalazione e le lacune che emergono più spesso. Per il quadro giuridico più ampio, consulti la nostra guida sulla legge sul whistleblowing nell’UE.
nel canale
Un canale di segnalazione progettato intorno alla riservatezza. Trusty Whistleblowing Le offre una casella di posta anonima bidirezionale, un registro di audit completo, periodi di conservazione configurabili e un accordo sul trattamento dei dati per ogni cliente.
Perché un canale di whistleblowing è una questione di protezione dei dati
Un canale whistleblowing serve a raccogliere informazioni su possibili illeciti. Tali informazioni sono quasi sempre dati personali: riguardano la persona che segnala, la persona accusata e i colleghi o testimoni menzionati nel processo.
Tre caratteristiche rendono questo trattamento sensibile:
- Categorie particolari di dati e dati giudiziari. Le segnalazioni possono rivelare lo stato di salute, l’appartenenza sindacale o la vita sessuale, che sono categorie particolari di dati ai sensi dell’Articolo 9 del GDPR. Molte segnalazioni descrivono possibili reati, il che chiama in causa l’Articolo 10 sui dati relativi a condanne penali e reati.
- Persone che non sanno di essere menzionate. La persona interessata da una segnalazione solitamente lo scopre di solito tardi, o non lo scopre affatto, e ha scarso controllo su ciò che viene registrato sul suo conto.
- Un obbligo legale di riservatezza. L’Articolo 16 della Direttiva (UE) 2019/1937 richiede che l’identità del segnalante non sia divulgata oltre il personale autorizzato a gestire le segnalazioni senza il suo consenso esplicito. Ciò copre anche qualsiasi informazione da cui si potrebbe risalire alla sua identità.
La Direttiva stabilisce inoltre che i dati personali manifestamente non pertinenti a una segnalazione non devono essere raccolti o, se raccolti accidentalmente, devono essere cancellati senza indebito ritardo (Articolo 17). Questi obblighi devono essere integrati nel canale fin dalla progettazione. La DPIA è il documento in cui si dimostra come ciò avvenga.
Quando è richiesta una DPIA
L’Articolo 35(1) del GDPR richiede una DPIA prima di qualsiasi trattamento che possa presentare un rischio elevato per i diritti e le libertà delle persone. L’Articolo 35(3) elenca tre casi in cui è sempre richiesta, incluso il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.
Per tutto il resto, le linee guida sulla DPIA del Gruppo di lavoro Articolo 29 (WP248 rev.01) stabiliscono nove criteri. Come regola generale, un trattamento che ne soddisfa due necessiterà nella maggior parte dei casi di una DPIA. Un canale di whistleblowing ne soddisfa tipicamente almeno due: dati sensibili o aventi carattere altamente personale e interessati vulnerabili, categoria in cui le linee guida includono i dipendenti.
In alcuni Paesi la questione è risolta da norme nazionali. Ogni autorità per la protezione dei dati (DPA) deve pubblicare un elenco dei trattamenti soggetti a DPIA (Articolo 35(4) GDPR). Il nostro controllo degli elenchi e delle relative linee guida ha rilevato:
Paese | Posizione sul whistleblowing | Fonte |
|---|---|---|
Francia | L'elenco della CNIL include i trattamenti per la gestione di avvisi professionali e segnalazioni | CNIL Délibération n° 2018-327 |
Polonia | L'elenco dell'UODO cita come esempio i sistemi per la segnalazione di irregolarità (whistleblowing) | Elenco DPIA UODO |
Italia | Non presente nell'elenco del Garante, ma il decreto whistleblowing richiede che il modello di segnalazione sia basato su una DPIA | D.Lgs. 24/2023, Articolo 13(6) |
Germania | Non presente nell'elenco nazionale, ma le linee guida DSK sul whistleblowing affermano che è necessaria una DPIA a causa del rischio particolarmente elevato | DSK Orientierungshilfe (2018) |
Spagna, Belgio, Paesi Bassi, Irlanda | Non menzionati negli elenchi nazionali, quindi si applicano i criteri generali | Elenchi nazionali DPIA |
Se concludi che una DPIA non è necessaria, documenta il Suo ragionamento. I gruppi che gestiscono un unico canale in più paesi dovrebbero verificare ogni norma nazionale: la nostra guida al whistleblowing per datori di lavoro multinazionali spiega come fare.
accesso chiaro
Tenga le segnalazioni lontane da chi non deve vederle. Trusty offre SSO in ogni piano, autenticazione a due fattori a partire dal piano Standard e permessi basati sui ruoli nel piano Advanced, con un registro di audit completo di ogni attività.
Cosa dovrebbe coprire una DPIA per il whistleblowing
L’Articolo 35(7) del GDPR stabilisce il contenuto minimo: una descrizione sistematica del trattamento e delle sue finalità, una valutazione della necessità e proporzionalità, una valutazione dei rischi per gli interessati e le misure per affrontare tali rischi. Per un canale di segnalazione, analizza questi punti:
- Finalità e base giuridica. Ricezione e gestione delle segnalazioni ai sensi della legge nazionale sul whistleblowing. Per i datori di lavoro obbligati ad avere un canale, si tratta solitamente dell’adempimento di un obbligo legale.
- Categorie di dati. Identità e recapiti se forniti dal segnalante, contenuto della segnalazione, prove, verbali di colloqui e qualsiasi categoria particolare di dati o dati giudiziari.
- Diritti di accesso e ruoli. Definisca i ruoli: il gestore della segnalazione, un sostituto per i conflitti di interesse, gli investigatori. Chiunque altro, inclusi IT e alta direzione, non dovrebbe avere accesso ordinario.
- Periodi di conservazione. Stabilisca un periodo per ogni fase. L’Italia consente la conservazione dei documenti per non più di cinque anni dall’esito finale. La Spagna richiede la cancellazione dei dati dal sistema dopo tre mesi se non è stata avviata alcuna indagine, a meno che non siano conservati per dimostrare il funzionamento del sistema, e stabilisce un limite assoluto di dieci anni. La Sua policy di whistleblowing dovrebbe indicare il periodo scelto.
- Diritti del segnalante e della persona interessata. Come informi le persone ai sensi degli Articoli 13 e 14 del GDPR, quando l’informativa alla persona interessata può essere ritardata e come vengono gestite le richieste di accesso senza rivelare il segnalante.
- Sicurezza. Crittografia, autenticazione, logging, luogo di hosting e come i segnalanti anonimi restano tali.
- Responsabili del trattamento. Se un fornitore di software ospita il canale, agisce come Suo responsabile del trattamento ed è necessario un contratto ai sensi dell’Articolo 28 del GDPR. Il decreto italiano lo richiede espressamente.
Come eseguire una DPIA in pratica
- Mappi il processo. Segua una segnalazione dall’invio alla cancellazione, incluse le segnalazioni orali e gli incontri.
- Coinvolga il DPO tempestivamente. L’Articolo 35(2) del GDPR richiede al titolare del trattamento di consultare il responsabile della protezione dei dati (DPO), ove designato.
- Identifichi i rischi. Ad esempio: il segnalante viene identificato tramite i metadati, un manager accusato in una segnalazione può leggerla, o i dati vengono conservati a tempo indeterminato.
- Scelga le misure. Associa ogni rischio a un controllo e registra chi ne è responsabile.
- Approva e rivedi. La direzione accetta il rischio residuo su parere del DPO. Riveda la DPIA quando cambia fornitore, aggiungi un paese o apri un nuovo canale.
In Italia, le linee guida ANAC 2025 aggiungono due punti utili. Il titolare del trattamento può fare affidamento sul supporto del fornitore di software per la DPIA. Inoltre, l’email ordinaria o la posta elettronica certificata (PEC) sono considerate di per sé non adeguate a proteggere la riservatezza, a meno che non vengano identificate contromisure specifiche e giustificate nella DPIA. Per un quadro più ampio, consulti protezione dei dati e compliance.
Lacune comuni
- Conservazione non definita. “Finché necessario” non è un periodo di conservazione. Stabiliscine uno per ogni fase e si assicuri che il sistema lo applichi.
- Troppe persone con accesso. Caselle email condivise, inbox HR e account amministratore spesso consentono a più persone di vedere le segnalazioni rispetto a quanto permesso dalla norma sul personale autorizzato.
- Mancanza di un accordo con il responsabile. Utilizzare un fornitore senza un contratto ex Articolo 28 è di per sé una lacuna.
- La persona interessata viene dimenticata. Molte DPIA si concentrano sul segnalante. Anche la persona menzionata in una segnalazione ha dei diritti, e la valutazione dovrebbe spiegare come vengono rispettati.
- Scritta una volta, mai rivista. Una DPIA redatta al lancio del canale non rifletterà nuovi paesi, nuovi gestori o un nuovo fornitore.
Come aiuta Trusty Whistleblowing
Trusty Whistleblowing dà una sede concreta ai controlli richiesti da una DPIA. I dati sono ospitati in un data center certificato ISO 27001 in Germania, le connessioni e le comunicazioni sono crittografate e non vengono memorizzati indirizzi IP. I segnalanti possono restare anonimi e continuare il dialogo attraverso una casella di posta sicura.
Ogni piano include SSO, un registro di audit completo e record dei casi a prova di manomissione, con autenticazione a due fattori dal piano Standard e permessi basati sui ruoli nel piano Advanced. I periodi di conservazione sono configurabili, con promemoria per la cancellazione, ed è disponibile un accordo sul trattamento dei dati per ogni cliente.
Cerchi un software di whistleblowing? Trusty configura un canale di segnalazione interno a partire da 49 € al mese.
Questo articolo fornisce informazioni generali, non consulenza legale. Fonti: Regolamento (UE) 2016/679 (GDPR); Direttiva (UE) 2019/1937; Gruppo di lavoro Articolo 29, WP248 rev.01; CNIL, elenco dei trattamenti soggetti a DPIA; Elenco DPIA UODO; Elenco DPIA Garante; D.Lgs. 24/2023; DSK, Orientierungshilfe Whistleblowing-Hotlines; Elenco DPIA AEPD; Ley 2/2023; ANAC, Linee Guida n. 1/2025.
Domande frequenti
In alcuni paesi è richiesta esplicitamente, ad esempio in Italia ai sensi del D.Lgs. 24/2023 e in Francia secondo l'elenco della CNIL. Altrove, un canale di segnalazione solitamente soddisfa almeno due dei criteri di alto rischio dei regolatori, il che nella maggior parte dei casi significa che una DPIA è necessaria.
Spetta al titolare del trattamento, cioè all'organizzazione che gestisce il canale. Deve consultare il proprio responsabile della protezione dei dati (DPO), ove designato, e può richiedere al fornitore del software i dettagli tecnici.
Il GDPR non stabilisce un periodo fisso, quindi decidono la legge nazionale e la Sua DPIA. L'Italia consente fino a cinque anni dall'esito finale. La Spagna stabilisce un limite assoluto di dieci anni e richiede la cancellazione dopo tre mesi se non è stata avviata alcuna indagine.
Sì, in linea di principio, ma può essere limitato per proteggere l'identità del segnalante. Sia la CNIL francese sia la DSK tedesca confermano il diritto consentendo di non rivelare l'identità del segnalante, e la legge italiana lo limita laddove possa pregiudicare la riservatezza del segnalante.
No. L'organizzazione rimane il titolare del trattamento e deve comunque effettuare la DPIA. Il fornitore agisce come responsabile del trattamento ai sensi di un contratto ex Articolo 28 e può fornire le informazioni tecniche necessarie.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.