Whistleblowing e protezione dei dati personali: il Garante esprime un parere favorevole sulle linee guida di Anac in tema di Whistleblowing fornendo alcuni consigli e proposte di integrazione per garantire una più efficace tutela.

 

Che cos’è il Whistleblowing?

Innanzitutto, chiariamo cos’è il Whistleblowing.

È lo strumento disciplinato dall’art. 54 bis del decreto legislativo 30 marzo 2001, n. 165. , (e che la legge Anticorruzione ha previsto, fra le misure di prevenzione della corruzione) attraverso il quale viene data la possibilità a soggetti interni alle organizzazioni, pubbliche e private, di segnalare fattispecie illecite rilevate nel corso dell’attività lavorativa.

L’articolo 54 bis, modificato dalla legge 30 novembre 2017, n. 179,  stabilisce che il pubblico dipendente che segnala all’ANAC o al Responsabile della prevenzione della corruzione e trasparenza, o denuncia all’Autorità giudiziaria ordinaria o a quella contabile illeciti di interesse generale di cui è venuto a conoscenza in ragione del proprio rapporto di lavoro, non può essere sanzionato, discriminato, licenziato trasferito o sottoposto ad altra misura organizzativa avente effetti negativi sulle sue condizioni di lavoro.

A partire dall’8 febbraio 2018, come sappiamo, è operativa la piattaforma informatica sul portale di ANAC che consente di acquisire e gestire le segnalazioni, nel rispetto delle garanzie previste dalla normativa vigente. L’identità del segnalante è segregata e, grazie all’utilizzo di un codice identificativo univoco generato dal sistema, può “interfacciarsi” con l’Autorità in maniera spersonalizzata.

 

Le linee guida di ANAC

Le Linee guida[1] – rivolte ai datori di lavoro in ambito pubblico, ma contenenti anche indicazioni per l’inoltro di segnalazioni da parte di dipendenti di imprese fornitrici di beni o servizi per la PA– oltre a  specificare le misure tecniche di base che le pubbliche amministrazioni, devono adottare,  tenendo conto degli specifici rischi del trattamento e nel rispetto dei principi di privacy-by-design e privacy-by-default, contengono anche integrazioni fornite dal Garante per la privacy, per rafforzare la tutela della speciale riservatezza dell’identità del segnalante e delle informazioni che facilitano l’individuazione di fenomeni corruttivi nella PA.

Tale collaborazione del Garante aveva portato anche a delineare meglio il ruolo dei fornitori di applicativi e servizi informatici utilizzati per l’acquisizione e la gestione delle segnalazioni, nonché a proporre accorgimenti specifici per evitare la tracciabilità del segnalante.

 

…e il parere dell’Autorità Garante

A valle della consultazione pubblica, le nuove Linee guida sono state sottoposte all’attenzione del Garante per la Protezione dei Dati Personali che ha espresso il proprio parere segnalando alcuni miglioramenti che l’ANAC dovrà adottare nella versione definitiva.

In particolare, il Garante ha suggerito:

• il soggetto segnalato, essendo un interessato con riferimento al trattamento dei suoi dati personali, non perde i diritti previsti dall’articolo 15 all’articolo 22 del GDPR; infatti, il Codice privacy, all’art. 2‑undecies prevede che l’esercizio dei diritti possa essere richiesto direttamente al Garante che effettua un bilanciamento tra il diritto invocato dal segnalato e la necessità di riservatezza dei dati identificativi del segnalante;
• occorre specificare meglio – seppure con alcune limitazioni a tutela dell’identità del segnalante – i diritti garantiti dalla normativa privacy anche all’autore del presunto illecito.
• la possibilità di associare la segnalazione all’identità del segnalante deve essere unicamente riservata all’RPCT, cioè il Responsabile della Prevenzione della Corruzione e della Trasparenza (RPCT); tutti gli altri soggetti interessati all’istruttoria non dovrebbero essere posti nelle condizioni di effettuare tale associazione, nemmeno con il consenso dell’RPCT;
• al fine di tutelare più efficacemente l’identità del segnalante, la piattaforma per l’acquisizione e gestione delle segnalazioni non deve inviare alcun messaggio di notifica (es. in caso di variazione dello stato di avanzamento dell’istruttoria, richiesta di integrazione, ecc.) sulla casella di posta elettronica individuale del dipendente/segnalante;
• qualora la piattaforma per l’acquisizione e gestione delle segnalazioni invii messaggi sulla casella di posta elettronica individuale che l’amministrazione o l’ente ha assegnato all’RPCT, all’istruttore o al custode dell’identità, tali messaggi non devono contenere riferimenti all’identità del segnalante o all’oggetto della segnalazione;
• con riferimento alle modalità di “accesso sicuro e protetto all’applicazione per tutti gli utenti”, la procedura informatica deve prevedere l’utilizzo esclusivo di protocolli sicuri di trasporto dei dati (quali, il protocollo https) al fine di garantire una comunicazione sicura sia in termini di riservatezza e integrità dei dati relativi all’identità del segnalante e al contenuto della segnalazione.

 

Conclusioni

Alla luce delle considerazioni espresse dal Garante e vista la particolarità del tema Whistleblowing, viene dato ampio spazio alla tutela dell’identità di chi segnala riservatamente condotte illecite e quella dei presunti autori.

 

[1] “Linee guida in materia di tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza in ragione di un rapporto di lavoro, ai sensi dell’art. 54-bis, del d.lgs. 165/2001”, che si apprestano a sostituire le precedenti “Linee guida in materia di tutela del dipendente pubblico che segnala illeciti” del 28 aprile 2015