Gestire una segnalazione intrecchia due dimensioni: protezione dei dati personali (GDPR e indicazioni del Garante) e protezione del segnalante da ritorsioni. Entrambe gravitano intorno al D.Lgs. 24/2023, con guida operativa dalle Linee guida ANAC n. 1 e dal parere del Garante.[1][2][3]
Per l’obbligo di canale: D.Lgs. 24/2023. Per le modalità: ANAC scritto e orale.
Informazioni generali per valutazione di processo e software, non consulenza legale.
Quadro privacy: GDPR e Garante
Dati personali e categorie particolari
Un canale di segnalazione tratta dati personali, potenzialmente categorie particolari (art. 9 GDPR) e dati relativi a condanne penali (art. 10 GDPR). I dati riguardano segnalante, persona indicata e altri coinvolti.
Il Garante richiama i principi generali: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza.[3]
DPIA: obbligo esplicito
I soggetti tenuti al D.Lgs. 24/2023 devono condurre una DPIA (art. 35 GDPR).[3] In sintesi operativa:
- la DPIA è responsabilità dell’ente, anche con supporto del fornitore;
- l’affidabilità dello strumento IT va valutata nella DPIA;
- le misure di sicurezza devono essere adeguate (privacy by design / by default, art. 25 GDPR);
- il fornitore può dare documentazione di supporto, ma la responsabilità resta sull’ente.
Domande utili in acquisto: GDPR e domande al fornitore.
Ruoli GDPR
| Ruolo | Tipicamente |
|---|---|
| Titolare | Ente pubblico o privato che riceve e gestisce le segnalazioni |
| Responsabile (art. 28) | Provider esterno di infrastruttura o gestione del canale |
| Contitolari (art. 26) | Enti che condividono il canale (fascia 50–249) con accordo interno |
| Gruppo | La capogruppo che gestisce il canale può agire come responsabile |
Misure tecniche raccomandate
- cifratura a riposo e in transito;
- accesso limitato a personale espressamente autorizzato;
- non tracciabilità del segnalante se il canale è raggiungibile dalla rete interna;
- autenticazione forte dove appropriata;
- formazione specifica del personale che gestisce le segnalazioni.[3]
Conservazione
La documentazione relativa a segnalazioni interne ed esterne va conservata per il tempo necessario alla gestione e, in ogni caso, non oltre 5 anni dalla comunicazione dell’esito finale; atti di procedimenti derivati possono avere limiti diversi.[1][2] Il software dovrebbe rendere configurabile retention e esportazione; la policy resta dell’organizzazione.
Antiretaliazione e onere della prova
Il D.Lgs. 24/2023 tutela il segnalante da ritorsioni. In sintesi dell’art. 17: una volta dimostrato in via di prima evidenza di aver segnalato e subito un pregiudizio, l’onere passa a chi ha posto in essere l’atto contestato di dimostrare motivi estranei alla segnalazione.[1]
Operativamente questo rafforza la necessità di:
- registrare ricezione e timeline;
- documentare decisioni e accessi;
- separare i ruoli di gestione del caso da potenziali conflitti di interesse;
- non usare canali informali non tracciabili per discussioni sensibili.
Il software non “prova” l’assenza di ritorsione; può solo rendere più chiara la storia del caso.
Anonimato ≠ confidenzialità
La legge impone confidenzialità dell’identità. L’anonimato è una scelta di canale. Approfondimento: Segnalazioni anonime e confidenzialità.
Cosa chiedere al fornitore (checklist breve)
- Chi è titolare / responsabile e come è documentato?
- Come si dimostrano cifratura, ruoli e log di accesso?
- Come si configura la retention e l’esportazione?
- Il follow-up evita email ordinarie?
- Quale supporto alla DPIA viene fornito senza trasferire la responsabilità?
Fonti
[1] D.Lgs. 10 marzo 2023, n. 24 — Normattiva.