AUTORITÀ NAZIONALE ANTICORRUZIONE – Delibera n. 479 del 26 novembre 2025 – Modifica ed integrazione della Delibera n. 311 del 12 luglio 2023 recante “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – Procedure per la presentazione e gestione delle segnalazioni esterne”

AUTORITÀ NAZIONALE ANTICORRUZIONE – Delibera n. 479 del 26 novembre 2025

Modifica ed integrazione della Delibera n. 311 del 12 luglio 2023 recante “Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – Procedure per la presentazione e gestione delle segnalazioni esterne”

Delibera:

Di approvare le modifiche e le integrazioni alla delibera n. 311 del 12 luglio 2023 e ai relativi allegati 2 e 3 come di seguito elencate.

– Al § 2.2 “Le segnalazioni anonime e la loro trattazione”, Parte Prima a pag. 32 il seguente periodo: “I soggetti del settore pubblico e del settore privato considerano le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione. In tali casi quindi le segnalazioni anonime saranno gestite secondo i criteri stabiliti, nei rispettivi ordinamenti, per le segnalazioni ordinarie” è stato modificato come segue:

“I soggetti del settore pubblico e del settore privato possono considerare le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione. In tali casi quindi le segnalazioni anonime saranno gestite secondo i criteri stabiliti, nei rispettivi ordinamenti, per le segnalazioni ordinarie. La soluzione adottata dovrà essere disciplinata nei propri atti/regolamenti interni.”.

– Al § 2.2. nella tabella riassuntiva a pag. 32, il periodo: “I soggetti del settore pubblico e del settore privato considerano le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione”, è stato modificato come segue:

“I soggetti del settore pubblico e del settore privato possono considerare le segnalazioni anonime ricevute attraverso i canali interni alla stregua di segnalazioni ordinarie, laddove ne sia prevista la trattazione”.

– Al § 3.1. la tabella “Indicazioni sui canali interni” a pag. 36 è stata modificata nella parte relativa alla condivisione. In particolare, l’espressione “Gestione condivisa del canale” è stata modificata come segue: “Condivisione del canale”.

– Al § 3.1. nella parte dedicata all’ “Istituzione dei canali di segnalazione” pag. 37 i seguenti periodi:

“La posta elettronica ordinaria e la PEC si ritiene siano strumenti non adeguati a garantire la riservatezza. Qualora si utilizzino canali e tecniche tradizionali, da disciplinare nell’atto organizzativo, è opportuno indicare gli strumenti previsti per garantire la riservatezza richiesta dalla normativa. Ad esempio, a tal fine ed in vista della protocollazione riservata della segnalazione a cura del gestore, è necessario che la segnalazione venga inserita in due buste chiuse: la prima con i dati identificativi del segnalante unitamente alla fotocopia del documento di riconoscimento; la seconda con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” al gestore della segnalazione (ad es. “riservata al RPCT”). La segnalazione è poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore;” sono stati così modificati:

“Il ricorso alla posta elettronica (ordinaria o certificata) deve essere considerato di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante, se non accompagnato da specifiche contromisure opportunamente giustificate quali misure di mitigazione del rischio individuate in sede di definizione della valutazione di impatto del trattamento sulla protezione dei dati. È opportuno indicare nell’atto organizzativo/MOG 231 gli strumenti previsti per garantire la riservatezza richiesta dalla normativa.

Ad esempio, a tal fine ed in vista della protocollazione riservata della segnalazione a cura del gestore, è possibile che la segnalazione venga inserita in due buste chiuse: la prima con i dati identificativi del segnalante; la seconda con la segnalazione, in modo da separare i dati identificativi del segnalante dalla segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “riservata” al gestore della segnalazione. La segnalazione è poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore. Si precisa, tuttavia, che per gli enti sottoposti al rispetto del codice dell’amministrazione digitale, la soluzione prospettata dovrebbe costituire un’estrema ratio, in quanto gli stessi dovrebbero prediligere l’utilizzo di soluzioni alternative, in conformità a quanto previsto nel codice.”.

– Al § 3.1. nella parte dedicata a “I soggetti cui va affidata la gestione delle segnalazioni” a pag. 38 il periodo “Nel settore privato, la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Ciò, fermo restando il rispetto dei requisiti previsti dal legislatore. Tale ruolo, a meri fini esemplificativi, può essere affidato, tra gli altri, agli organi di internal audit, all’Organismo di vigilanza previsto dalla disciplina del d.lgs. n. 231/2001, ai comitati etici” è stato integrato come segue:

“Nel settore privato, la scelta del soggetto cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta. Ciò, fermo restando il rispetto dei requisiti previsti dal legislatore. Tale ruolo, a meri fini esemplificativi, può essere affidato, tra gli altri, agli organi di internal audit, all’Organismo di vigilanza previsto dalla disciplina del d.lgs. n. 231/2001, ai comitati etici. Si precisa che, nell’ipotesi in cui più enti affidino ad uno stesso soggetto (esterno) la gestione delle segnalazioni, è necessario garantire che ciascun ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun ente abbia accesso solo alle segnalazioni di propria competenza. D’altra parte, i canali interni devono essere progettati in modo da consentire un accesso selettivo alle segnalazioni solo da parte del personale autorizzato e rispettare la tutela della riservatezza e la disciplina sul trattamento dei dati personali (cfr. §§ 4.1 e 4.1.3)”.

– Al § 3.1. nella parte dedicata a “Le attività cui è tenuto chi gestisce le segnalazioni” a pag. 39 i seguenti periodi: “In particolare, un corretto seguito implica, in primo luogo, nel rispetto di tempistiche ragionevoli e della riservatezza dei dati, una valutazione sulla sussistenza dei requisiti essenziali della segnalazione per valutarne l’ammissibilità e poter quindi accordare al segnalante le tutele previste. Per la valutazione dei suddetti requisiti, il soggetto che gestisce le segnalazioni può far riferimento agli stessi criteri utilizzati dall’Autorità, come elencati al § 1, Parte Seconda, delle presenti Linee Guida. Ad esempio:

– manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti;

– accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti ovvero segnalazione di illeciti corredata da documentazione non appropriata o inconferente.

Una volta valutata l’ammissibilità della segnalazione, come di whistleblowing, il gestore delle segnalazioni avvia l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi”.

[…] Ciò premesso, occorre evidenziare che, per poter dare corretto “seguito” alla segnalazione, è opportuno anzitutto, come già detto, vagliarne l’ammissibilità”.

sono stati modificati come segue:

“In particolare, un corretto seguito implica, in primo luogo, nel rispetto di tempistiche ragionevoli e della riservatezza dei dati, una verifica dei presupposti soggettivi e oggettivi richiesti dal d.lgs. n. 24/2023 per poter quindi accordare al segnalante le tutele previste. Una volta accertato il rispetto dei suddetti requisiti, il gestore delle segnalazioni avvia l’istruttoria interna sui fatti o sulle condotte segnalate per valutare la sussistenza degli stessi.

[…] Ciò premesso, occorre evidenziare che, per poter dare corretto “seguito” alla segnalazione, è opportuno anzitutto, come già detto, verificare i presupposti soggettivi e oggettivi richiesti dal legislatore.”.

– Al § 3.1. il titolo: “La possibilità per alcuni enti di gestire in modo condiviso le segnalazioni” a pag. 41 è stato modificato in “La condivisione del canale di segnalazione”.

– Al § 3.1. il periodo a pag. 41: “Al fine di ottimizzare e specializzare il lavoro sulle segnalazioni in esame, e anche in una logica di semplificazione degli adempimenti e di contenimento dei costi, il decreto consente ad enti di minori dimensioni di “condividere” il canale di segnalazione interna e la relativa gestione (ad esempio potrebbero essere stipulati accordi/convenzioni per la gestione in forma associata delle segnalazioni whistleblowing). Ciò, naturalmente, senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata” è stato riformulato come segue:

“Al fine di ottimizzare e specializzare il lavoro sulle segnalazioni in esame, e anche in una logica di semplificazione degli adempimenti e di contenimento dei costi, il decreto consente ad enti di minori dimensioni di “condividere” il canale di segnalazione interna nonché le risorse per lo svolgimento delle indagini. Ciò, naturalmente, senza pregiudicare l’obbligo di garantire la riservatezza, di fornire un riscontro e di gestire la violazione segnalata. Resta fermo, infatti, l’obbligo per ciascuna amministrazione/ente di nominare un proprio gestore della segnalazione. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun gestore abbia accesso solo alle segnalazioni relative al proprio ente, anche tenuto conto della attribuzione della relativa responsabilità”.

Alla fine di tale ultimo periodo è stata aggiunta anche la seguente nota n. 65: “Per maggiori approfondimenti sul tema, si rinvia alle Linee Guida whistleblowing sui canali interni adottate da questa Autorità con delibera n. 478 del 26 novembre 2025”.

– Al § 3.1. sempre a pag. 41 il periodo “Si precisa che, nell’ipotesi in cui gli enti affidino ad uno stesso soggetto (esterno) la gestione delle segnalazioni, è necessario garantire che ciascun ente acceda esclusivamente alle segnalazioni di propria spettanza tenuto anche conto della attribuzione della relativa responsabilità. Pertanto, dovranno essere adottate misure tecniche e organizzative per garantire che ciascun ente abbia accesso solo alle segnalazioni di propria competenza”, è stato espunto e inserito con modifiche all’interno della parte I, par. 3.1. “I canali interni”, punto relativo a “I soggetti cui va affidata la gestione delle segnalazioni” pag. 38 (cfr. supra).

– Al § 3.2, nella parte relativa agli “Approfondimenti sui canali e le modalità di presentazione delle segnalazioni – Il canale esterno presso ANAC” a pag. 43 il periodo: “1. [..] Il decreto contempla anche l’ipotesi in cui non sia prevista, nell’ambito del contesto lavorativo, l’attivazione obbligatoria del canale di segnalazione interna. Tale fattispecie, tuttavia, presenta delle difficoltà applicative in quanto, per come è strutturato il decreto, il soggetto è tutelato se l’ente presso cui lavora e/o collabora rientra tra quelli tenuti ad applicare la disciplina in questione. Quindi se il canale non è istituito perché l’ente non è obbligato, il segnalante non è considerato un whistleblower e non può trasmettere di conseguenza segnalazioni ad ANAC” è stato modificato nei termini che seguono:

“1. [..] Il decreto contempla anche l’ipotesi in cui non sia prevista, nell’ambito del contesto lavorativo, l’attivazione obbligatoria del canale di segnalazione interna. In tal caso, la persona segnalante potrà trasmettere la propria segnalazione ad ANAC mediante il canale esterno ai sensi dell’art. 6, co. 1, lett. a) del d.lgs. n. 24/2023”.

– Al medesimo periodo sopra citato sono state inserite due note a piè di pagina, rispettivamente:

“- Nota n. 72 a pag. 43 “Potranno quindi segnalare ad ANAC mediante il canale esterno le persone che operano presso i soggetti del settore privato con media inferiore a 50 dipendenti, che non adottano il MOG 231 e non operano nei settori sensibili di cui all’Allegato al d.lgs. n. 24/2023”;

– Nota n. 73 a pag. 43 “Cfr. anche considerandum n. 51 della direttiva UE 2019/1937”.

– Al § 3.5 “Differenze tra i soggetti pubblici e quelli privati nell’uso dei canali e del tipo di violazioni che possono essere segnalate“ a pag. 46 e 47 sono stati modificati sia lo schema relativo ai soggetti pubblici che quello relativo ai soggetti  privati.

– Al § 4.1.1 nell’”Approfondimenti sulle tutele e misure di sostegno – La tutela della riservatezza del segnalante” a pag. 54 il periodo: “Nell’ambito del settore privato, il decreto dispone che gli enti e le persone con meno di 50 dipendenti, ma che abbiano istituito un modello 231, prevedano in esso sanzioni disciplinari, tra l’altro, nei confronti di coloro che accertano essere responsabili della violazione dell’obbligo di riservatezza nella gestione delle segnalazioni” è stato modificato come segue:

“Nell’ambito del settore privato, il decreto dispone che gli enti – a prescindere dalla media dei lavoratori impiegati – che abbiano istituito un modello 231 prevedano in esso sanzioni disciplinari, tra l’altro, nei confronti di coloro che accertano essere responsabili della violazione dell’obbligo di riservatezza nella gestione delle segnalazioni”.

– L’Allegato 2 recante “Istruzioni sulla trasmissione di segnalazioni” è stata quasi integralmente modificata sia nella parte relativa al procedimento di trasferimento che in quella relativa all’accreditamento di un utente di una Organizzazione esterna, nonché integralmente modificato con riferimento all’accesso alla segnalazione.

– L’Allegato 3 recante “Istruzioni sull’acquisizione di segnalazioni “è stato integralmente modificato con riferimento alla procedura da rispettare per la trasmissione di una segnalazione ad ANAC.

Si precisa che le modifiche illustrate sono state apportate anche alla versione schematica della delibera n. 311/2023 e ai relativi approfondimenti n.n. 10, 11 e 14 allegati alla stessa.

La presente delibera, la versione unitaria e la versione schematizzata della deliberazione ANAC n. 311 del 12 luglio 2023 (con gli approfondimenti) e i relativi allegati, come risultanti dalle modificazioni ed integrazioni apportate con il presente provvedimento, sono pubblicati sul sito istituzionale dell’Autorità.

Della suddetta pubblicazione è dato avviso sulla Gazzetta Ufficiale della Repubblica Italiana.