Le segnalazioni whistleblowing contengono dati personali del segnalante, delle persone coinvolte e di terzi — spesso anche dati relativi a reati o categorie particolari. Il D.Lgs. 24/2023 richiama espressamente il GDPR: il canale deve nascere conforme alla protezione dei dati, secondo i principi di privacy by design e by default.
Ecco gli adempimenti privacy essenziali per chi istituisce e gestisce il canale.
Ruoli e basi giuridiche
Il titolare del trattamento è l'ente che istituisce il canale. Il fornitore della piattaforma agisce come responsabile ex art. 28 GDPR, con un accordo sul trattamento dei dati. La base giuridica del trattamento è l'obbligo legale (art. 6.1.c GDPR) derivante dal D.Lgs. 24/2023; per i dati particolari e giudiziari operano le condizioni degli artt. 9 e 10.
DPIA e valutazione dei rischi
Il trattamento dei dati delle segnalazioni presenta rischi elevati per i diritti degli interessati (potenziali ritorsioni, danni reputazionali): la valutazione d'impatto ex art. 35 GDPR è richiesta dallo stesso decreto, che impone di definire il modello di gestione previa DPIA. Il Garante privacy è intervenuto più volte sul tema, sanzionando trattamenti non conformi.
La DPIA deve coprire flussi dei dati, accessi, misure di sicurezza (crittografia, segregazione), tempi di conservazione e rischi di re-identificazione del segnalante.
Minimizzazione e conservazione
Valgono regole rigorose:
- Raccogliere solo i dati necessari alla gestione della specifica segnalazione
- Cancellare i dati personali manifestamente non utili al trattamento della segnalazione
- Non tracciare i canali: niente registrazione di IP o metadati che identifichino il segnalante
- Conservare la documentazione solo per il tempo necessario e comunque non oltre 5 anni dalla comunicazione dell'esito finale (art. 14)
I diritti degli interessati e i loro limiti
La persona coinvolta in una segnalazione è a sua volta un interessato, ma i suoi diritti incontrano un limite: gli artt. 15-22 GDPR non possono essere esercitati se dal loro esercizio può derivare un pregiudizio effettivo alla tutela della riservatezza del segnalante (art. 2-undecies del Codice privacy). In pratica, il coinvolto non può usare l'accesso ai dati per scoprire chi lo ha segnalato.
Misure di sicurezza tecniche
Sul piano tecnico, il Garante e ANAC convergono sulle stesse misure: crittografia dei contenuti in transito e a riposo, accessi limitati ai soli gestori con autenticazione robusta, log delle operazioni dei gestori, assenza di tracciamento del segnalante, cancellazione automatica alla scadenza dei termini. EasyWhistleblowing implementa queste misure by design — AES-256, segregazione degli accessi, nessun IP registrato, retention automatica — e fornisce la documentazione a supporto di DPIA e registro dei trattamenti.