Ma il conto più salato potrebbe essere reputazionale. La vicenda di un segnalante licenziato a inizio 2025 mostra complessità e rischi della gestione delle segnalazioni: la reintegra disposta dal giudice, la pervasività dell’istruttoria ANAC, le sanzioni ai gestori e un decalogo di regole operative, fra previsioni del D.lgs. 24/2023, Linee guida ANAC e best practice. E per una svista redazionale della sentenza si potrebbe risalire alla società condannata: quasi un contrappasso, in una vicenda nata dalla violazione dell’obbligo di riservatezza.
Nota a Trib. Milano, Sez. Lavoro, 27 marzo 2026, n. 701 e ANAC, Delibera n. 344 del 9 settembre 2026
1. Premessa
Un dipendente ha segnalato in forma anonima, attraverso il canale interno, presunte irregolarità contrattuali e fiscali nella gestione di una commessa; nel corso dell’istruttoria la sua identità è emersa e, nell’arco di poche settimane, il segnalante è stato prima estromesso dal progetto, poi sottoposto a procedimento disciplinare e infine licenziato per giusta causa. Con la sentenza n. 701 del 27 marzo 2026 il Tribunale di Milano ha dichiarato la nullità del licenziamento in quanto ritorsivo e ha ordinato la reintegrazione del lavoratore.
Come previsto in sede di commento alla pronuncia (A. Brunetti – G. Monteleone, Whistleblowing: licenziamento ritorsivo del segnalante anonimo e tutela reale in una recente sentenza del Tribunale di Milano, www.code4com.it), l’Autorità nazionale anticorruzione (ANAC) con la delibera n. 344 del 9 settembre 2026 ha accertato, a carico dei tre componenti dell’organo che ha gestito la segnalazione, la violazione dell’obbligo di riservatezza dell’identità del segnalante e ha irrogato a ciascuno una sanzione amministrativa pecuniaria di 15.000 euro.
Prima di entrare nel merito è opportuno precisare che, benché la delibera, anonimizzata, non richiami la pronuncia del giudice meneghino, i fatti descritti nei due provvedimenti consentono di fugare ogni dubbio che si tratti della stessa vicenda. Sul medesimo compendio di fatti si sono dunque pronunciati il giudice del lavoro e l’Autorità; il costo delle violazioni del D.lgs. 24/2023 è ricaduto in parte sull’ente, condannato alla reintegrazione e al pagamento delle retribuzioni maturate medio tempore, in parte sulle persone fisiche che hanno gestito la segnalazione.
2. Dalla segnalazione interna al licenziamento
Il segnalante era stato assunto l’11 luglio 2022 con contratto di lavoro subordinato a tempo indeterminato e con la qualifica di Senior Associate, nella service line Financial Risk Management; dal settembre 2022 era assegnato ai progetti di consulenza per un cliente in materia di Sustainable Finance Disclosure Regulation.
Nel corso della definizione del contratto relativo alla commessa «emergevano significative incongruenze tra la durata formale del progetto […] e la sua effettiva esecuzione, nonché tra le risorse formalmente indicate nel contratto e quelle realmente impiegate, in un contesto nel quale risultava determinante l’esigenza del cliente di procedere alla fatturazione entro la chiusura dell’esercizio fiscale» (Trib. Milano 701/2026, p. 2).
Il 9 dicembre 2024 il dipendente presentava, attraverso il canale interno, una segnalazione anonima su presunti profili di irregolarità contrattuale e fiscale nella gestione della commessa, avvalendosi della funzionalità della piattaforma per escludere dalla gestione un componente dell’organo, da lui ritenuto in potenziale conflitto di interessi.
La segnalazione veniva quindi presa in carico dall’organo di gestione delle segnalazioni, che il decreto configura, fra le soluzioni ammesse, come «ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione», in alternativa a una persona o a un soggetto esterno (art. 4, comma 2, D.lgs. 24/2023).
Dal giorno successivo alla ricezione l’organo convocava soltanto i soggetti i cui nominativi comparivano negli scambi di e-mail allegati alla segnalazione. Il 17 dicembre 2024 il dipendente veniva sentito per ultimo e, in quella sede, la sua identità di segnalante risultava nota all’organo; subito dopo l’audizione veniva de facto estromesso dal progetto che coordinava ed escluso dalle comunicazioni operative, senza alcuna comunicazione formale.
Con lettera datata 18 dicembre 2024 e ricevuta il giorno successivo, la società contestava al dipendente il mancato rispetto del limite del 60% di giornate di lavoro agile (c.d. smart working) su base settimanale previsto dall’accordo individuale, indicando le poche date di presenza in sede nei trenta giorni precedenti.
Il 19 dicembre il segnalante rappresentava via e-mail all’organo il timore che la convocazione ricevuta preludesse a una ritorsione, e il presidente dell’organo rispondeva: «ti confermiamo che la nostra istruttoria è condotta nel rispetto delle disposizioni e regole applicabili e che la segnalazione da cui siamo partiti è anonima. Pertanto, escludiamo qualsivoglia azione ritorsiva dipendente dall’istruttoria oggetto della call nell’ambito della quale hai rilasciato la tua testimonianza» (del. 344/2026, p. 5).
Il dipendente giustificava la propria condotta richiamando una prassi di flessibilità condivisa nel gruppo di lavoro e seguita anche da altri colleghi senza rilievi disciplinari; la società riteneva le giustificazioni non esaurienti e il 27 gennaio 2025 intimava il recesso per giusta causa. Il dipendente impugnava il licenziamento davanti al giudice del lavoro.
3. La sentenza del Tribunale di Milano
Con dispositivo letto all’udienza dell’11 febbraio 2026 e sentenza pubblicata il 27 marzo 2026, il Tribunale ha dichiarato la nullità del licenziamento, anche per violazione del D.lgs. 24/2023, e ha condannato la società alla reintegrazione del lavoratore ai sensi dell’art. 2 D.lgs. 4 marzo 2015, n. 23, al pagamento delle retribuzioni maturate dal licenziamento alla reintegrazione, alla restituzione delle somme trattenute sulla retribuzione di gennaio 2025 e alla rifusione delle spese di lite.
3.1. Presunzione legale, inversione dell’onere della prova e nullità del licenziamento ritorsivo
Il Tribunale ha preso le mosse dal divieto di ritorsione e dalla presunzione legale che governa il riparto dell’onere della prova nelle controversie aventi ad oggetto atti ritorsivi successivi alla segnalazione. Ai sensi dell’art. 17, comma 2, D.lgs. 24/2023, nei procedimenti volti ad accertare comportamenti, atti od omissioni vietati «si presume che gli stessi siano stati posti in essere a causa della segnalazione», e l’onere di provare che sono motivati da ragioni estranee grava su chi li ha posti in essere (Trib. Milano 701/2026, p. 8).
In deroga alla regola generale dell’art. 2697 c.c., una volta allegati la segnalazione e il successivo atto sfavorevole, spetta al datore di lavoro dimostrare che la misura si fonda su ragioni autonome e indipendenti; in difetto di tale prova, l’atto si colloca nel perimetro delle ritorsioni vietate.
Il decreto disciplina compiutamente la tutela sul piano civilistico. L’art. 19, comma 3, sancisce la nullità degli atti assunti in violazione dell’art. 17 e, per il licenziamento ritorsivo, rinvia alla tutela reintegratoria dell’art. 18 L. 20 maggio 1970, n. 300 o dell’art. 2 D.lgs. 23/2015, che disciplina il contratto di lavoro a tempo indeterminato a tutele crescenti. Dopo la sentenza n. 1680/2025, il Tribunale di Milano ha riconosciuto per la seconda volta la natura ritorsiva del licenziamento e la conseguente reintegrazione del segnalante, in applicazione degli artt. 17, commi 1 e 2, e 19, comma 3, D.lgs. 24/2023.
Nel pubblico impiego si era collocata nel medesimo solco una sentenza del Tribunale di Bergamo (n. 951/2025) che, pur applicando ratione temporis l’art. 54-bis D.lgs. 30 marzo 2001, n. 165, nel testo modificato dalla L. 30 novembre 2017, n. 179, aveva replicato lo schema del D.lgs. 24/2023: condotte illecite apprese nel contesto lavorativo e segnalate nell’interesse dell’integrità dell’ente, divieto di misure ritorsive, onere a carico dell’amministrazione di provare l’estraneità delle misure rispetto alla segnalazione, nullità degli atti ritorsivi. In quel giudizio è stato riconosciuto alla ricorrente anche il danno morale per violazione dell’art. 2087 c.c., provato per testimoni; il D.lgs. 24/2023 estende ora l’inversione dell’onere della prova al danno lamentato dal segnalante (art. 17, comma 3).
3.2. Contiguità temporale e prova di resistenza dell’atto datoriale
Il giudice ha verificato se la società avesse offerto una spiegazione alternativa credibile e autosufficiente, realmente sganciata dalla segnalazione. Due colleghi del ricorrente, appartenenti allo stesso gruppo di lavoro e non più dipendenti della società, hanno riferito che «nella prassi il limite di tre giorni settimanali di smart working veniva spesso superato senza alcun richiamo o conseguenza disciplinare». La dirigente delle risorse umane, autrice di una deposizione «piuttosto confusa», ha ammesso che nel 2024 erano state avviate campagne per il rispetto dei limiti e che le eventuali sanzioni si erano tradotte in richiami verbali. Il partner responsabile del gruppo, sentito come teste della società, ha sostenuto che le autorizzazioni a lavorare da remoto oltre il 60% dovessero essere richieste e non venissero concesse; il giudice ne ha ritenuto poco attendibile la deposizione, smentita dagli altri due testi, sottolineando che egli aveva approvato il contratto oggetto della segnalazione e non era quindi «estraneo alla vicenda» (Trib. Milano 701/2026, pp. 5-7). Il Tribunale ha concluso che la giusta causa non sussisteva e che «tutte le circostanze sopra evidenziate ed esaminate inducono a ritenere che la contestazione disciplinare avesse carattere meramente pretestuoso» (Trib. Milano 701/2026, p. 8).
La sequenza temporale ha assunto un peso determinante, nei termini del post hoc, propter hoc: per il giudice «la concomitanza temporale tra segnalazione, estromissione del ricorrente dalle attività progettuali, contestazione disciplinare e licenziamento, unitamente all’infondatezza degli addebiti contestati, consente di ritenere che la segnalazione abbia costituito il motivo determinante del recesso» (Trib. Milano 701/2026, p. 9). La contiguità cronologica opera quindi come innesco indiziario, destinato a combinarsi con la tenuta sostanziale dell’atto datoriale e con l’esito dell’onere probatorio: se il datore non prova ragioni estranee e l’atto risulta pretestuoso, la misura trova il suo unico fondamento nell’intento punitivo ed è nulla.
La lettura è coerente con la giurisprudenza di legittimità secondo cui la mera prossimità temporale non basta, se non accompagnata da un serio riscontro sulla legittimità dell’atto e sulla capacità del datore di dimostrarne l’estraneità rispetto alla segnalazione (Cass., Sez. Lavoro, 6 dicembre 2024, n. 31343). Un’altra pronuncia adotta un criterio meno rigido e valorizza il contesto in cui l’atto si colloca: anche quando il fatto contestato «non appare in sé direttamente collegabile alle denunce», sono «il contesto in cui l’addebito disciplinare si inserisce e il dedotto esautoramento di attribuzioni» ad assumere rilevanza (Cass., Sez. Lavoro, 9 maggio 2024, n. 12688). In una lettura non atomistica degli eventi, la contiguità fra segnalazione e atto sfavorevole si risolve nell’inversione dell’onere probatorio: se il datore non riesce a motivare l’atto, questo è considerato propter hoc.
3.3. Il segnalante «inizialmente anonimo»
Come accennato, la segnalazione era anonima e l’identità del segnalante è emersa nel corso dell’istruttoria interna. L’art. 16, comma 4, D.lgs. 24/2023 estende le condizioni di protezione alle segnalazioni anonime, «se la persona segnalante è stata successivamente identificata e ha subito ritorsioni»: l’anonimato iniziale non sterilizza la tutela. La sentenza, che di tale disposizione costituisce la prima applicazione, ha ricostruito l’emersione dell’identità del segnalante nell’audizione interna, considerata «fatto pacifico in causa e dimostrato documentalmente», e ha collocato immediatamente dopo l’avvio della sequenza disciplinare.
4. La segnalazione esterna all’ANAC
Il 20 gennaio 2025, lo stesso giorno in cui l’organo di gestione gli comunicava che la segnalazione interna «non risulta fondata», il segnalante si rivolgeva all’ANAC; una settimana più tardi riceveva la lettera di licenziamento (del. 344/2026, pp. 2, 5). Con l’istanza, integrata nei mesi successivi, il segnalante presentava una segnalazione esterna, fondata sulla condizione dell’art. 6, comma 1, lettera c), D.lgs. 24/2023 – il fondato motivo di ritenere che la segnalazione interna potesse determinare il rischio di ritorsione – e comunicava all’Autorità le ritorsioni subite, ai sensi dell’art. 19, comma 1. Secondo l’assetto previsto dal D.lgs. 24/2023, l’ANAC riceve infatti sia le segnalazioni esterne (artt. 6 e 7) sia le comunicazioni delle ritorsioni (art. 19, comma 1). Il segnalante chiedeva quindi all’Autorità di gestire la segnalazione esterna, di accertare il carattere ritorsivo delle misure subite e la violazione dell’obbligo di riservatezza e di valutare la mancata gestione della segnalazione interna; chiedeva poi di verificare anche l’ostacolo alla segnalazione e la conformità del canale interno agli artt. 4 e 5 del decreto (del. 344/2026, pp. 2-3).
L’accesso al canale esterno è subordinato alle condizioni dell’art. 6 D.lgs. 24/2023 e, negli enti privati, al perimetro oggettivo fissato dall’art. 3, comma 2: le violazioni del Modello 231 possono essere segnalate soltanto attraverso il canale interno, mentre il canale esterno è disponibile, per gli enti che abbiano impiegato una media di almeno 50 lavoratori o che operino nei settori indicati dal decreto, per le violazioni del diritto dell’Unione europea (Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – procedure per la presentazione e gestione delle segnalazioni esterne, approvate con delibera ANAC n. 311 del 12 luglio 2023 e aggiornate con delibera ANAC n. 479 del 26 novembre 2025, p. 46). Il Regolamento ANAC prevede un esame preliminare della sussistenza di almeno una delle condizioni dell’art. 6, in mancanza delle quali la segnalazione esterna è archiviata come improcedibile, e considera inammissibile la segnalazione per manifesta insussistenza dei presupposti, «con particolare riferimento alle persone che svolgono la propria attività lavorativa presso soggetti del settore privato» (art. 8, commi 2 e 4). La condizione della lettera c) ricorre, secondo le Linee guida ANAC, quando il segnalante ha fondato timore di subire una ritorsione in ragione di situazioni ed eventi già verificatisi nel proprio ente, ad esempio perché a conoscenza di «precedenti ritorsioni o violazioni dell’obbligo di riservatezza» (Linee guida 2023 agg. 2025, p. 43). Il contenuto della segnalazione esterna e la relativa gestione restano riservati e distinti dal procedimento sanzionatorio (del. 344/2026, p. 6).
Quanto alle tempistiche, il decreto distingue fra i due canali. Per le segnalazioni esterne l’ANAC fornisce riscontro entro tre mesi o, «se ricorrono giustificate e motivate ragioni, sei mesi» dall’avviso di ricevimento (art. 8, comma 1, lettera f), D.lgs. 24/2023; art. 8, comma 6, del Regolamento ANAC; Linee guida 2023 agg. 2025, p. 76). Per le segnalazioni interne l’art. 5, comma 1, lettera d), prevede il riscontro entro tre mesi, senza contemplare la proroga a sei mesi; le Linee guida chiariscono però che il riscontro «può anche essere meramente interlocutorio», mediante la comunicazione delle attività che si intende intraprendere e dello stato di avanzamento dell’istruttoria, i cui esiti dovranno comunque essere comunicati al segnalante una volta conclusa (Linee guida 2023 agg. 2025, p. 40; Linee guida n. 1/2025 in materia di whistleblowing sui canali interni di segnalazione, approvate con delibera ANAC n. 478 del 26 novembre 2025, p. 25). Il termine di tre mesi scandisce quindi il dialogo con il segnalante, e l’istruttoria interna può proseguire oltre, purché il segnalante ne sia informato. Nel caso esaminato l’organo di gestione aveva comunicato l’esito finale il 20 gennaio 2025, entro il termine di legge (del. 344/2026, p. 5).
5. La delibera dell’ANAC
5.1. Il procedimento sanzionatorio secondo il Regolamento ANAC
Il Regolamento adottato con delibera n. 301 del 12 luglio 2023 disciplina un procedimento distinto per ciascuna delle violazioni sanzionate dall’art. 21 D.lgs. 24/2023 – ritorsioni, ostacolo alla segnalazione, violazione della riservatezza, inidoneità di canali e procedure, mancata verifica e analisi – e individua per ciascuna il destinatario della sanzione: per la violazione della riservatezza è la persona fisica individuata come responsabile, per la mancata verifica e analisi è il gestore delle segnalazioni. I procedimenti condividono una struttura comune: una fase preistruttoria sull’ammissibilità dell’esposto, la contestazione dell’addebito, un’istruttoria in contraddittorio e la decisione del Consiglio dell’Autorità, su proposta dell’Ufficio per la vigilanza sulle segnalazioni dei whistleblowers, il cui dirigente è responsabile dei procedimenti.
Nel caso in esame l’Autorità, considerata la mole delle richieste, ha svolto in modo unitario, per economia procedimentale e in attuazione del principio di buon andamento, la fase preistruttoria relativa a tutti i profili esposti dal whistleblower, disciplinati dagli artt. 9 e ss., 17 e ss., 24 e ss. e 31 e ss. del Regolamento. In questa fase l’Ufficio può convocare in audizione chi possiede informazioni o chiedere integrazioni con un termine non superiore a 30 giorni; l’Autorità ha infatti avuto un contatto diretto con entrambe le parti. Ha chiesto integrazioni e chiarimenti al segnalante il 3 novembre 2025, lo ha sentito in audizione il 20 novembre 2025 su tutti i profili oggetto di contestazione e ne ha valutato le numerose integrazioni spontanee; il 9 gennaio 2026 ha chiesto all’organo di gestione chiarimenti sulle attività di gestione della segnalazione e sulle misure adottate per tutelare l’identità del segnalante, della persona coinvolta e delle persone menzionate. L’organo ha risposto il 30 gennaio 2026 con una nota a firma del presidente della società, nella quale ha fornito per la prima volta la propria versione dei fatti.
Acquisita la documentazione, l’Ufficio deve valutare entro 90 giorni, prorogabili una sola volta di 30 giorni, se archiviare l’esposto o avviare il procedimento. L’11 febbraio 2026, dodici giorni dopo il riscontro dell’organo, l’Autorità ha avviato due procedimenti sanzionatori e ha archiviato l’esposto relativo all’ostacolo alla segnalazione (art. 17 del Regolamento). Il profilo dell’inidoneità del canale interno, per il quale il Regolamento prevede un procedimento semplificato nei confronti dell’organo di indirizzo dell’ente (art. 30), è stato valutato separatamente; con nota del 4 agosto 2026 l’Autorità ha escluso i presupposti per avviarlo, ritenendo il canale pienamente rispondente all’art. 4 del decreto.
Il procedimento per le ritorsioni (art. 21, comma 1, lettera a) è stato avviato e contestualmente sospeso, ai sensi dell’art. 15, comma 3, lettera c), del Regolamento, per la pendenza del giudizio sul carattere ritorsivo dell’esclusione dalle attività contrattuali, della contestazione disciplinare e del licenziamento. La sospensione perdura finché sulla sentenza del Tribunale di Milano non si sia formato il giudicato; solo allora il dirigente dell’Ufficio valuterà se vi siano i presupposti per dare nuovo impulso al procedimento. Nel procedimento davanti all’ANAC l’intento ritorsivo si presume, e l’Autorità considera responsabile della ritorsione chi ha adottato l’atto o al quale è imputabile il comportamento, nonché chi ne ha suggerito o proposto l’adozione; per ciascuno di essi la sanzione è compresa fra 10.000 e 50.000 euro (Linee guida 2023 agg. 2025, pp. 68, 80-81). In caso di sanzione per ritorsioni commesse nel contesto lavorativo di un ente privato, l’Ufficio ne informa l’Ispettorato nazionale del lavoro per i provvedimenti di competenza.
La previsione riprende l’art. 19, comma 1, D.lgs. 24/2023; il comma 2 consente inoltre all’Autorità di avvalersi della collaborazione dell’Ispettorato «al fine di acquisire elementi istruttori indispensabili all’accertamento delle ritorsioni». In assenza di esplicita disclosure, si può ipotizzare che, a fronte delle robuste allegazioni del segnalante e della pronuncia del giudice del lavoro – intervenuta in medias res rispetto all’istruttoria dell’ANAC – l’Autorità abbia ritenuto non necessario avvalersi dell’Ispettorato territorialmente competente. Sulla sentenza del Tribunale meneghino l’ANAC ha precisato che l’arresto non ha valore vincolante e decisivo rispetto alle determinazioni dell’Autorità (del. 344/2026, p. 24).
Quanto al giudicato, la sentenza del Tribunale di Milano, pubblicata il 27 marzo 2026, poteva essere appellata entro trenta giorni dalla notificazione o, in mancanza di notificazione, entro sei mesi dalla pubblicazione, termine che scadeva il 28 settembre 2026. Alla data della delibera il giudicato non poteva quindi essersi formato, se la sentenza non era stata notificata; se invece la notificazione vi era stata, l’assenza del giudicato rilevata dall’Autorità presuppone che la società avesse proposto appello. In quest’ultima ipotesi la sanzione dell’ANAC è sopraggiunta a giudizio d’appello pendente, a pochi mesi dall’impugnazione. La società, del resto, era a conoscenza del procedimento davanti all’Autorità – con possibili sanzioni ex art. 21 – già prima dell’udienza dell’11 febbraio; a fortiori ne avrà tenuto conto ai fini dell’impugnazione.
Il secondo procedimento ha riguardato la violazione dell’obbligo di riservatezza (art. 21, comma 1, lettera a) e la mancata gestione della segnalazione (lettera b). Poiché i procedimenti previsti dagli artt. 24 e ss. e 31 e ss. del Regolamento sono soggetti a una disciplina pressoché identica quanto a termini e garanzie partecipative e difensive, l’Autorità ne ha concentrato l’istruttoria in un’unica sede, in ragione dell’identità delle parti e della stretta connessione fattuale, temporale e finalistica delle condotte.
Nell’atto di avvio ha espressamente collegato i due profili. Il dovere di diligenza impone al gestore di compiere le attività utili ad accertare la fondatezza della segnalazione «ponderando ogni azione con la necessità di riconoscere le tutele in capo al segnalante»; è quindi suscettibile di censura il gestore che, pur non conoscendo inizialmente l’identità del segnalante, gestisca la segnalazione con modalità tali da favorire la circolazione delle informazioni con cui i soggetti coinvolti risalgono all’esistenza della segnalazione e, per la sua natura, all’identità del segnalante.
Secondo il Regolamento n. 301/2023, la comunicazione di avvio deve includere la contestazione dell’addebito, con le disposizioni violate e le sanzioni applicabili, il termine di conclusione del procedimento, non superiore a 180 giorni, il responsabile del procedimento, l’ufficio cui chiedere l’accesso agli atti e la facoltà di presentare memorie e di chiedere un’audizione; è inviata alla persona fisica individuata come presunta responsabile e alla persona segnalante. Nel caso in esame l’atto di avvio ha reso edotti l’esponente e i presunti responsabili della facoltà di presentare memorie e di chiedere un’audizione entro 30 giorni e di accedere agli atti del fascicolo, e ha individuato come presunti responsabili i tre componenti dell’organo di gestione coinvolti concretamente nella gestione; nessun addebito è stato formulato nei confronti del componente che il segnalante aveva escluso attraverso la piattaforma, rimasto estraneo alle attività di gestione.
I destinatari della contestazione possono accedere agli atti, ad eccezione della segnalazione, sottratta all’accesso dall’art. 12, comma 8, D.lgs. 24/2023, presentare memorie entro 30 giorni, prorogabili una sola volta, e chiedere un’audizione entro lo stesso termine; l’Ufficio può chiedere informazioni e documenti a chiunque sia in grado di fornirli, anche tramite il proprio ufficio ispettivo e la Guardia di finanza, e la produzione di documentazione sovrabbondante, disordinata o dilazionata può incidere sulla valutazione del grado di cooperazione del presunto responsabile.
L’istruttoria ha registrato cinque istanze di accesso agli atti, tre dell’esponente e due dei presunti responsabili, i quali hanno contestato, in punto di diritto, che l’esponente potesse presentare memorie e accedere ai documenti, non essendo a loro avviso qualificabile come parte del procedimento; la risposta dell’Autorità sul punto è coperta da omissis (del. 344/2026, p. 9). Il testo del Regolamento depone per la legittimazione dell’esponente: la comunicazione di avvio è inviata anche alla persona segnalante, e le facoltà di accesso, memoria e audizione spettano ai «soggetti destinatari della contestazione dell’addebito contenuta nella comunicazione dell’avvio del procedimento».
I componenti dell’organo sono stati sentiti il 28 maggio 2026, alla presenza dei difensori, e hanno depositato le memorie difensive il 15 giugno 2026. Delle audizioni davanti all’Ufficio è redatto un verbale sottoscritto anche dalle parti, e la registrazione può essere disposta previa informativa ai presenti.
Al termine dell’istruttoria l’Ufficio propone al Consiglio l’archiviazione o la sanzione; il Consiglio può disporre un supplemento istruttorio o convocare le parti, e adotta il provvedimento finale, che nel caso sanzionatorio indica ammontare, termini e modalità di pagamento. Il termine di 180 giorni resta sospeso, fra l’altro, durante le audizioni e fino alla conclusione dei procedimenti di accesso agli atti: la delibera è stata adottata il 9 settembre 2026, 210 giorni dopo l’avvio e circa venti mesi dopo l’istanza del segnalante. La delibera non indica i periodi di sospensione, e il rispetto del termine non è pertanto verificabile; la durata del procedimento sanzionatorio resta comunque distinta dai termini di gestione delle segnalazioni (§ 4).
Il provvedimento è stato pubblicato, senza riferimenti alle parti coinvolte, nella sezione del sito dell’Autorità dedicata al whistleblowing; il Consiglio può disporre la pubblicazione del provvedimento sanzionatorio anche nel sito dell’ente cui appartiene il sanzionato, misura che il dispositivo in esame non prevede.
Tabella 1 – Procedimento davanti all’ANAC: atti e disposizioni del Regolamento applicate
| Data | Atto | Regolamento n. 301/2023 |
| 20 gennaio 2025 | Istanza del segnalante, poi integrata | Esposto (art. 1, lettera l); fase preistruttoria (artt. 9, 17, 24 e 31) |
| 3 novembre 2025 | Richiesta di integrazioni e chiarimenti al segnalante | Richiesta con termine non superiore a 30 giorni (art. 24, comma 4) |
| 20 novembre 2025 | Audizione del segnalante | Audizione di chi possiede informazioni (art. 24, comma 4) |
| 9 gennaio 2026 | Richiesta di chiarimenti all’organo di gestione | Art. 24, comma 4 |
| 30 gennaio 2026 | Riscontro dell’organo, a firma del presidente della società | Valutazione entro 90 giorni, prorogabili di 30 (art. 24, commi 5 e 6) |
| 11 febbraio 2026 | Avvio del procedimento per ritorsioni, contestualmente sospeso; avvio del procedimento per violazione della riservatezza e mancata gestione; archiviazione dell’esposto sull’ostacolo | Contestazione dell’addebito (artt. 10 e 25); sospensione (art. 15, comma 3, lettera c); archiviazione (art. 17) |
| Dopo l’avvio | Istanze di accesso agli atti: tre dell’esponente, due dei presunti responsabili | Accesso, esclusa la segnalazione (art. 26, comma 1, lettera a); sospensione dei termini (art. 29, comma 3, lettera a) |
| 28 maggio 2026 | Audizione dei componenti dell’organo, assistiti dai difensori | Audizione con verbale (art. 27) |
| 15 giugno 2026 | Memorie difensive | Art. 26, comma 1, lettera b) |
| 4 agosto 2026 | Esclusione dei presupposti per il procedimento sull’inidoneità del canale interno | Procedimento semplificato (art. 30) |
| 9 settembre 2026 | Delibera del Consiglio: archiviazione per la mancata gestione; sanzione di 15.000 euro a ciascun componente | Art. 35, comma 3, lettera a); art. 28, comma 3, lettera b) |
| 16 settembre 2026 | Deposito presso la Segreteria del Consiglio | Pubblicazione omissata nel sito dell’Autorità (art. 38, comma 1) |
5.2. Accertamento giudiziale e accertamento amministrativo
Il giudice del lavoro ha accertato la nullità del licenziamento ritorsivo (art. 19, comma 3, D.lgs. 24/2023); l’Autorità ha accertato la violazione dell’art. 12 imputabile alle persone fisiche che hanno gestito la segnalazione. Nella sentenza la conoscenza dell’identità del segnalante da parte del comitato è stata trattata come un fatto pacifico (§ 3.3), e la presunzione dell’art. 17, comma 2, ha consentito di decidere senza ricostruire il modo in cui l’identità era divenuta nota. Per l’Autorità quel modo ha costituito invece l’oggetto stesso dell’accertamento.
La delibera ha ricostruito la vicenda in diciannove punti, dalla segnalazione del 9 dicembre 2024 alla sentenza del Tribunale di Milano. La giornata del 17 dicembre 2024 è stata scandita quasi al minuto: alle 12.00 l’audizione del segnalante, sentito per ultimo; alle 13.25 l’invio, da parte sua, della documentazione relativa al contratto dell’anno precedente; alle 15.41 la convocazione a un incontro con l’ufficio di normativa giuslavoristica; alle 15.55 la notifica, attraverso l’applicativo aziendale, che il contratto oggetto della segnalazione era stato modificato. L’Autorità ha incrociato le e-mail del 13 e del 15 novembre 2024 – con le quali il segnalato aveva prospettato di eliminare le scadenze indicate nella descrizione del progetto e la project manager aveva comunicato di averle eliminate, indicando il 31 dicembre 2024 come data di fine attività, per gestire la fatturazione entro l’anno – con quelle del 17 e del 18 dicembre 2024 e ha esaminato le memorie difensive.
Nell’istruttoria l’Autorità ha utilizzato la registrazione audio dell’audizione del segnalante davanti all’organo di gestione, che il segnalante ha allegato alle proprie integrazioni. L’organo non aveva verbalizzato le interviste e ha sostenuto, nelle memorie, che il segnalante, pur identificato, fosse stato trattato come gli altri soggetti sentiti; ha distinto inoltre la conoscenza formale della sua identità, mai acquisita grazie all’anonimato garantito dalla piattaforma, dalla deduzione logica fondata sugli elementi emersi dall’istruttoria. L’Autorità ha ritenuto che l’audio, «soprattutto in assenza di verbalizzazione delle altre interviste», costituisse il parametro per ricostruire le informazioni fornite dall’organo ai soggetti intervistati. Dalla registrazione è emerso che il presidente dell’organo ha aperto l’audizione, prima che gli altri componenti si collegassero, con le parole «abbiamo ricevuto la tua segnalazione», seguite dal nome del segnalante. Al minuto 3.20 un componente ha presentato il colloquio come riservato e ha riferito che la segnalazione riguardava un incarico per un cliente nel quale l’intervistato era coinvolto; al minuto 4.16 un altro componente ha precisato che la documentazione allegata alla segnalazione conteneva vari nominativi, fra cui il suo; al minuto 25.19 il primo componente ha interrotto il segnalante ricordando che la segnalazione riguardava il contratto.
5.3. Qualificazione della segnalazione e ambito oggettivo negli enti privati
Nel ricostruire i fatti, la delibera ha descritto le condotte segnalate come «presunte attività illecite, lesive di norme e/o principi di natura tributaria e contabile, potenzialmente di rilevanza civile, penale, nonché contrarie alle regole etiche e di condotta cristallizzate nel modello organizzativo della società» (del. 344/2026, pp. 2-3). Nelle considerazioni in diritto ha qualificato la segnalazione come whistleblowing in quanto il dipendente ha segnalato al canale interno «violazioni potenzialmente rientranti nell’ambito oggettivo del d.lgs. n. 24 del 2023» e, in particolare, «illeciti che, astrattamente, potevano ledere l’integrità dell’ente», appresi nel contesto lavorativo (del. 344/2026, p. 12). Neppure la sentenza ha ricostruito il punto: si è limitata ad affermare che «la segnalazione rientra nell’ambito applicativo del D.lgs. n. 24 del 2023» e ha descritto l’oggetto come il «non corretto comportamento contrattuale e fiscale» tenuto nella gestione della commessa (Trib. Milano 701/2026, pp. 8-9).
Negli enti privati l’ambito oggettivo è più ristretto di quello previsto per il settore pubblico. L’art. 3, comma 2, D.lgs. 24/2023 rende segnalabili, negli enti dotati di Modello 231, le condotte illecite rilevanti ai sensi del D.lgs. 8 giugno 2001, n. 231 e le violazioni dei modelli di organizzazione e gestione (art. 2, comma 1, lettera a), n. 2), esclusivamente attraverso il canale interno, e, negli enti che abbiano impiegato una media di almeno 50 lavoratori o che operino nei settori indicati dal decreto, le violazioni del diritto dell’Unione europea (Linee guida 2023 agg. 2025, p. 26; art. 2, comma 1, lettera a), nn. 3-6). Gli illeciti amministrativi, contabili, civili o penali previsti dal n. 1 non rientrano fra le violazioni segnalabili nel settore privato.
La rilevanza tributaria e contabile delle condotte non è dunque sufficiente, di per sé, a qualificare come whistleblowing una segnalazione presentata in un ente privato. L’elemento qualificante è la violazione delle regole etiche e di condotta che il Modello 231 recepisce, i.e. del codice etico quando ne costituisce parte integrante: si tratta di violazioni che, secondo le Linee guida ANAC, «non integrano fattispecie di reato presupposto» e «attengono ad aspetti organizzativi dell’ente che li adotta» (Linee guida 2023 agg. 2025, p. 26). I profili tributari e contabili potrebbero venire in rilievo, nel settore privato, soltanto se le condotte integrassero un reato presupposto della responsabilità dell’ente (artt. 25-ter e 25-quinquiesdecies D.lgs. 231/2001); né la delibera né la sentenza hanno esaminato questo profilo. La stessa delibera, nel respingere l’eccezione difensiva fondata sull’interesse personale, ha descritto l’oggetto della segnalazione come incentrato su «presunte violazioni contabili, tributarie ed etiche» (del. 344/2026, p. 14).
Per gli enti, la definizione dell’ambito oggettivo nella procedura whistleblowing dipende quindi dal contenuto del Modello 231 e del codice etico, che delimitano ciò che il dipendente di un ente privato può segnalare beneficiando delle tutele del decreto. Sul rapporto fra Modello 231, codice etico e segnalazioni whistleblowing, e sul rischio di un’errata qualificazione (c.d. triage) delle segnalazioni, che ricade per intero sull’ente, sia consentito rinviare a A. Brunetti – G. Monteleone, Vademecum Assonime sul whistleblowing: le lacune operative che le aziende non possono ignorare, www.code4com.it.
5.4. Riservatezza dell’identità e prova dell’identificazione
L’accertamento della violazione dell’art. 12 ha preso le mosse dalla strategia istruttoria dichiarata dallo stesso organo di gestione, che aveva deciso di «circoscrivere le domande e le richieste documentali a quanto strettamente necessario ai fini dell’istruttoria della Segnalazione» (del. 344/2026, p. 19). L’organo ha convocato i soli cinque soggetti presenti negli scambi di e-mail allegati, il primo dei quali è stato il segnalato, e agli intervistati ha comunicato l’esistenza di una segnalazione whistleblowing, il cliente e il contratto cui essa si riferiva e la presenza dei loro nominativi negli allegati. In un gruppo di lavoro così ristretto quelle informazioni consentivano a ciascun intervistato di individuare il segnalante, come ha riconosciuto lo stesso organo, scrivendo all’Autorità che il segnalante si era «di fatto reso facilmente riconoscibile», anche in considerazione della «ridotta dimensione del team di lavoro coinvolto» (del. 344/2026, pp. 20-21).
Per l’Autorità l’illecito era integrato già dall’attitudine delle informazioni fornite a rendere identificabile il segnalante (v. infra, § 5.5, regola 6). La delibera ha ritenuto comunque provata per indizi anche l’identificazione in concreto, sulla base di tre elementi: l’esclusione del segnalante dalle comunicazioni sul contratto dopo la segnalazione; la frase con cui il presidente dell’organo ha aperto l’audizione, pronunciata quando i componenti non conoscevano personalmente il segnalante; le misure ritorsive successive, accertate dal giudice con sentenza non definitiva.
La sentenza ha aggiunto un profilo che la delibera non consente di verificare. La dirigente delle risorse umane, sentita come teste, ha dichiarato di far parte del comitato whistleblowing e ha riferito che i controlli sulle presenze del ricorrente erano stati svolti su richiesta del responsabile del gruppo, con il quale aveva concordato come intervenire (Trib. Milano 701/2026, p. 6). La delibera, coperta da omissis, non consente di stabilire se la dirigente fosse fra i componenti che hanno gestito la segnalazione. Le Linee guida sui canali interni escludono che al gestore competa qualsiasi valutazione sulle responsabilità individuali e sui provvedimenti conseguenti all’istruttoria (Linee guida 2025, p. 25). La sovrapposizione, nella stessa persona, della gestione delle segnalazioni e dell’esercizio del potere disciplinare espone l’ente al rischio che le conoscenze acquisite nella prima funzione orientino la seconda, e suggerisce di separare le due funzioni nell’atto organizzativo.
5.5. Il decalogo dell’ANAC per i gestori delle segnalazioni
Oltre ad accertare la violazione, la delibera ha formulato regole sulla gestione delle segnalazioni, anche nel capo archiviato, dove i rilievi sono stati esposti «ai fini di prevenzione e di orientamento per i futuri comportamenti». Le regole muovono da una premessa: la gestione di una segnalazione whistleblowing è «ontologicamente differente» da quella delle segnalazioni ordinarie, perché richiede al gestore un costante bilanciamento fra l’esigenza di accertare i fatti e la riservatezza dell’identità del segnalante, del segnalato, delle persone menzionate e del contenuto della segnalazione.
- Qualificazione della segnalazione e irrilevanza dei motivi. La qualifica di whistleblower richiede che il segnalante rientri nell’ambito soggettivo dell’art. 3 D.lgs. 24/2023 e segnali violazioni potenzialmente rientranti nell’ambito oggettivo degli artt. 1 e 2, apprese nel contesto lavorativo, attraverso il canale previsto e alle condizioni dell’art. 16, comma 1. La fondatezza in concreto della segnalazione non incide sulla qualifica, perché rileva la buona fede del segnalante «in termini di verità putativa»; l’avvio dell’istruttoria, senza archiviazione per manifesta infondatezza, prova la fondatezza in astratto. Il segnalante anonimo successivamente identificato ha diritto alla riservatezza della propria identità. I motivi della segnalazione sono irrilevanti (art. 16, comma 2, D.lgs. 24/2023; considerando 32 della direttiva (UE) 2019/1937): secondo la delibera «esiste una netta distinzione tra motivo della segnalazione (motivo dell’agire) ed interesse nella segnalazione», e la causa di esclusione dell’art. 1, comma 2, lettera a), opera soltanto quando è l’oggetto stesso della segnalazione a vertere su pretese o rivendicazioni personali. L’Autorità ha quindi respinto l’eccezione difensiva fondata sul disagio lavorativo del segnalante, legato alla mancata promozione, richiamando la giurisprudenza secondo cui l’interesse alla legalità può coesistere con interessi personali (TAR Lazio, Sez. I-quater, 24 aprile 2026, n. 7507, su cui si veda A. Brunetti – G. Monteleone, Whistleblowing e ritorsioni nel pubblico impiego: il TAR Lazio protegge il segnalante anche senza condanna penale, www.code4com.it; Trib. Catania n. 1391/2026, su cui si veda A. Brunetti – G. Monteleone, Il dipendente che denuncia i colleghi in Procura è tutelato anche se il GIP archivia: il Tribunale di Catania reintegra il whistleblower, www.code4com.it), e ha dato atto che il disagio lavorativo era stato rappresentato con una distinta segnalazione. Le Linee guida ANAC osservano che «la focalizzazione sulle motivazioni, infatti, potrebbe rappresentare una strategia utilizzata per deflettere l’attenzione dai problemi segnalati e delegittimare, allo stesso tempo, chi segnala» (Linee guida 2023 agg. 2025, p. 65).
- Oggetto del sindacato dell’Autorità. L’Autorità non contesta le decisioni assunte nel merito dal gestore, salvo «abnormi difformità» rispetto alla legge o valutazioni connotate da palese irragionevolezza, né valuta le violazioni contabili, tributarie o etiche derivanti dalle condotte segnalate; accerta che le attività di verifica e analisi necessarie per dare seguito alla segnalazione siano state effettivamente svolte. L’adempimento delle prescrizioni dell’art. 5 D.lgs. 24/2023 – avviso di ricevimento entro sette giorni, interlocuzioni con il segnalante, avvio delle verifiche, riscontro entro tre mesi – costituisce un «indice sintomatico» del corretto svolgimento di quelle attività. L’Autorità ha accolto l’argomento difensivo secondo cui estendere l’art. 21, comma 1, lettera b), al controllo sulla correttezza sostanziale dell’istruttoria integrerebbe un’interpretazione analogica in malam partem di una norma sanzionatoria, e non ha rinvenuto elementi a sostegno della tesi del segnalante su un comportamento «aziendalista» dei componenti, osservando che un’imputazione di quel tipo avrebbe richiesto un compendio probatorio da rimettere all’accertamento della Procura della Repubblica (del. 344/2026, p. 16).
- Organizzazione del gestore: competenze, conflitto di interessi, sostituto e composizione. La complessità del bilanciamento che il gestore è tenuto a operare giustifica l’affidamento della gestione a soggetti dotati di competenze giuridiche, in materia civile, in particolare giuslavoristica, penale, di protezione dei dati personali, di etica pubblica e di conflitto di interessi; nel caso in esame l’Autorità ha espressamente riconosciuto ex ante ai componenti dell’organo le competenze richieste per l’incarico, e la violazione è derivata dalla condotta tenuta nella gestione (del. 344/2026, p. 18). Il conflitto di interessi è stato neutralizzato attraverso la piattaforma: il componente escluso dal segnalante (§ 2) è rimasto estraneo sia all’istruttoria interna sia al procedimento sanzionatorio.
Le Linee guida ANAC sui canali esterni qualificano il conflitto di interessi del gestore come una delle condizioni che consentono la segnalazione esterna, perché in tal caso non può essere assicurato che alla segnalazione sia dato efficace seguito (Linee guida 2023 agg. 2025, pp. 38, 43). Le Linee guida sui canali interni, adottate con la delibera n. 478 del 26 novembre 2025, ne traggono alcune conseguenze organizzative: l’atto organizzativo o il Modello 231 devono disciplinare le ipotesi di conflitto e individuare, prima che il conflitto sorga, un sostituto del gestore; quando il gestore è un organo collegiale e solo un componente versa in conflitto, può essere sufficiente l’obbligo di astensione di quel componente; se anche il sostituto si trova in conflitto, o se l’ente, per carenza di personale, non è in grado di nominarlo, la persona segnalante può rivolgersi direttamente all’ANAC attraverso il canale esterno (Linee guida 2025, p. 17). Il gestore sostituto assolve quindi una duplice funzione: per il segnalante costituisce il destinatario cui rivolgersi quando il gestore ordinario versa in conflitto; per l’ente costituisce la condizione perché la segnalazione resti nel canale interno: se è disponibile un gestore non in conflitto, manca il presupposto della segnalazione esterna fondata sul conflitto, che potrebbe essere dichiarata inammissibile, con il rischio, per il segnalante, di non beneficiare delle tutele del decreto (art. 16, comma 1, lettera b), D.lgs. 24/2023). La composizione effettiva dell’organo deve inoltre essere trasparente. Dopo l’esclusione, l’organo, anziché operare in composizione ridotta, ha incluso il precedente titolare di una funzione aziendale, che affiancava chi gli era subentrato, e in audizione ha presentato la decisione come una «scelta di opportunità»; secondo la delibera avrebbe dovuto garantire maggiore trasparenza sulla circostanza che, in quel periodo, le segnalazioni fossero gestite anche da quel componente (del. 344/2026, pp. 3, 17). Le Linee guida sui canali interni richiedono che anche i componenti delle strutture di supporto al gestore siano individuati, con i rispettivi compiti e responsabilità, nell’atto organizzativo o nel Modello 231 (Linee guida 2025, p. 26).
- Tracciabilità della gestione: audizioni, verbali, verifiche ed esito. Le audizioni devono essere programmate, svolte in composizione collegiale e verbalizzate. Il superiore gerarchico del segnalato è stato invece sentito in modo informale da un solo componente, che ne ha riferito agli altri con una e-mail («ho parlato con Omissis. Non è stato coinvolto nel servizio e non sa nulla»), e l’Autorità ha ritenuto il modo di procedere «del tutto censurabile» per la scarsa trasparenza e l’opacità sulle modalità e sul contenuto del coinvolgimento (del. 344/2026, p. 17). I componenti non hanno verbalizzato le interviste: secondo la delibera la prassi ha leso il principio di accountability, inteso come capacità di «tracciare, dimostrare e provare» le azioni intraprese, perché la formazione della documentazione che prova l’an e il quomodo delle attività è di «assoluta rilevanza» (del. 344/2026, p. 17). La documentazione prodotta ha invece consentito all’organo di dimostrare la programmazione delle interviste e i controlli chiesti all’ufficio competente sulla fatturazione dei contratti, e quindi lo svolgimento delle attività di verifica. L’organo ha verificato anche il contratto dell’anno precedente, indicato oralmente dal segnalante durante l’audizione, ma non ne ha riportato le conclusioni nell’esito comunicato al segnalante, per una «innocua dimenticanza» che la difesa dei gestori ha ricondotto al mancato inserimento dell’integrazione orale nella piattaforma. L’Autorità ha ritenuto l’errore meramente formale e inidoneo a giustificare una sanzione; ha osservato tuttavia che l’omissione incide sulla trasparenza della gestione ed espone le conclusioni del gestore a censure e contestazioni.
- Diligenza e bilanciamento. Il «diligente seguito» delle segnalazioni (art. 5, comma 1, lettera c), D.lgs. 24/2023) costituisce una regola di comportamento del gestore e richiede perizia, intesa come conoscenza delle regole, prudenza, intesa come capacità di valutare e scongiurare i rischi, e adeguatezza, intesa come proporzionalità fra mezzi impiegati e risultati da raggiungere. La gestione non può essere orientata al solo accertamento dei fatti segnalati, senza la dovuta attenzione alle tutele del segnalante. Le Linee guida ANAC richiedono che le audizioni di terze persone siano condotte avendo sempre cura che non sia compromessa la riservatezza del segnalante, del segnalato e delle persone menzionate.
- Riservatezza garantita dal canale e perimetro dell’art. 12. Per l’Autorità «le specifiche del canale che, by design, garantiscono la riservatezza dell’identità del segnalante e degli altri dati contenuti nella segnalazione, non devono essere, in alcun modo, pregiudicate, by default, da attività imprudenti dei gestori delle segnalazioni». Nel caso in esame il canale interno era pienamente conforme all’art. 4 D.lgs. 24/2023, e la riservatezza garantita dalla piattaforma crittografata è stata pregiudicata in concreto dalla gestione «circoscritta» della segnalazione (del. 344/2026, p. 19). La violazione dell’art. 12 non richiede una condotta attiva di rivelazione dell’identità: è sufficiente che il gestore fornisca informazioni da cui l’identità possa evincersi, direttamente o indirettamente, e la locuzione «può evincersi» sposta l’indagine sull’attitudine astratta delle informazioni a consentire l’identificazione, indipendentemente dall’identificazione effettiva (del. 344/2026, pp. 18, 22). L’Autorità ha precisato di non contestare all’organo il disvelamento diretto dell’identità, e di censurare «la messa a disposizione di informazioni che, in ragione del contesto di riferimento, abbiano consentito al destinatario delle stesse di evincere l’identità del segnalante». L’attitudine delle informazioni si valuta secondo il considerando 26 del regolamento (UE) 2016/679, considerando tutti i mezzi di cui i terzi possono ragionevolmente avvalersi, i costi e il tempo necessari e le tecnologie disponibili, e quindi i rischi di isolamento (single out) e di deduzione (inference) dell’identità del segnalante (del. 344/2026, pp. 20-21).
- Valutazione ex ante del rischio di identificazione. Il gestore deve prevedere ed evitare l’identificazione del segnalante, tenendo conto delle circostanze del caso conosciute o conoscibili e adottando, se necessario, comportamenti alternativi; nel caso in esame i componenti hanno fornito colposamente le informazioni da cui poteva evincersi l’identità, senza considerare adeguatamente le conoscenze e i mezzi a disposizione dei terzi. Le attività istruttorie devono essere stabilite all’esito di una valutazione di congruità parametrata al contesto della singola segnalazione, a prescindere dalle prassi in uso; per questa ragione l’Autorità ha respinto l’argomento difensivo fondato sulle best practice acquisite dall’organo nella gestione di numerose segnalazioni. Fra gli elementi di contesto da valutare la delibera ha indicato la posizione del segnalante e del segnalato, l’esposizione al rischio di disvelamento, la composizione del gruppo di lavoro, il rischio di condivisione delle informazioni fra i soggetti sentiti e la loro possibile circolazione impropria. Nel caso in esame aggravavano il rischio, oltre al ristretto numero di soggetti coinvolti, la minore anzianità del segnalante, il suo ruolo marginale nel contratto, l’estraneità alle modifiche contestate e i contrasti con il segnalato, noti a tutti gli intervistati. Le Linee guida ANAC richiedono cautele contro l’indebita circolazione delle informazioni personali anche all’interno dell’ente (Linee guida 2023 agg. 2025, p. 55).
- Perimetro delle verifiche e de-identificazione. La convocazione dei soli soggetti menzionati nella segnalazione, con domande specifiche riferibili a un determinato contratto, è connotata già in astratto da un ingiustificato rischio di disvelamento dell’identità del segnalante e del contenuto della segnalazione. Per l’Autorità, in una segnalazione relativa a un singolo contratto e a pochi soggetti, «la strategia da adottare non sia, in alcun modo, quella di “circoscrivere” l’oggetto dell’indagine, bensì, al contrario, sia necessario estendere, almeno apparentemente, il perimetro degli accertamenti», con strategie di de-identificazione idonee a ingenerare negli intervistati l’idea di un «falso target», estendendo le verifiche a una rosa più ampia di pratiche o di soggetti, o «mimetizzando» la segnalazione in una presunta operazione di compliance auditing programmata o straordinaria. Nelle realtà molto strutturate, ha osservato l’Autorità, queste strategie sono almeno astrattamente più agevoli ed efficaci che negli enti di piccole dimensioni (del. 344/2026, p. 25). L’indicazione appare compatibile con il principio di minimizzazione dei dati (art. 5, paragrafo 1, lettera c), del regolamento (UE) 2016/679), perché l’ampliamento riguarda il novero delle verifiche e lascia invariato il numero delle persone che conoscono la segnalazione e il suo oggetto. Le Linee guida sui canali interni, che per le indagini interne richiamano la norma ISO 37008, applicano lo stesso criterio al coinvolgimento di soggetti terzi nelle verifiche: il gestore trasmette loro soltanto gli esiti degli accertamenti e, se del caso, estratti accuratamente anonimizzati della segnalazione (Linee guida 2025, pp. 24-25).
- Informazioni comunicate agli intervistati e sequenza delle audizioni. L’organo aveva chiesto agli intervistati di mantenere riservata la segnalazione. Per l’Autorità la misura era inefficace, perché si limitava a responsabilizzare i soggetti sentiti rispetto a informazioni che l’organo stesso aveva fornito senza cautela, e ciascun intervistato, pur mantenendo il riserbo con gli altri, poteva dedurre chi fosse il segnalante: «non è sufficiente che una informazione, una volta fornita, sia vincolata alla richiesta di “riservatezza” da parte dei soggetti destinatari della stessa informazione», ed è necessario che le informazioni non siano fornite, a priori, a soggetti che possano trarne l’identità del segnalante (del. 344/2026, pp. 25-26). L’identificazione può operare in entrambe le direzioni: se i componenti dell’organo hanno potuto dedurre l’identità del segnalante combinando le informazioni della segnalazione con quelle degli intervistati, le stesse informazioni consentivano agli intervistati di risalire al segnalante. Per la stessa ragione la delibera ha censurato la scelta di sentire per primo il segnalato, che ha appreso le informazioni da cui poteva risalire al segnalante, e l’audizione del superiore gerarchico del segnalato, priva di utilità istruttoria – valutabile già a priori – e svolta nei confronti di un soggetto a conoscenza dei contrasti fra segnalante e segnalato, con un’ingiustificata circolazione delle informazioni (del. 344/2026, pp. 26-27). Le Linee guida sui canali interni limitano anche la conoscenza dell’identità del segnalante da parte del gestore ai soli casi in cui sia strettamente necessaria ai fini istruttori, con la registrazione dell’accesso e delle ragioni addotte (Linee guida 2025, p. 24).
- Reazione ai segnali di ritorsione e criteri di determinazione della sanzione. Nello stesso giorno in cui al segnalante veniva consegnata la contestazione disciplinare, il presidente dell’organo ha escluso «qualsivoglia azione ritorsiva», rispondendo ai timori espressi dal segnalante (del. 344/2026, p. 5; v. § 2). L’Autorità ha rilevato che i componenti, informati della possibile contestazione disciplinare al termine dell’audizione, non hanno posto in essere «alcun comportamento necessario per comprendere se l’identità del segnalante fosse stata carpita» e se gli atti successivi avessero natura ritorsiva, e ha valutato tale inerzia nella determinazione della sanzione. Gli altri criteri applicati ai sensi dell’art. 11 L. 689/1981 sono stati la particolare gravità della violazione, perché le condotte potevano aver comportato, «almeno in astratto (ma allo stato degli accertamenti anche in concreto)», il compimento di atti ritorsivi; la natura colposa della condotta e la commissione dei fatti prima dell’adozione delle Linee guida n. 478 del 2025, valutate come attenuanti; il ruolo professionale dei componenti, tutti con «ruoli di grande responsabilità», per i quali una sanzione nel minimo non sarebbe stata «effettiva» e realmente afflittiva, ferma la proporzionalità rispetto allo scopo della normativa. Per le segnalazioni gestite dopo la pubblicazione delle Linee guida sui canali interni l’attenuante legata alla loro anteriorità non potrà essere invocata.
5.6. Responsabilità individuali
L’art. 21, comma 1, D.lgs. 24/2023 dispone che l’ANAC applichi le sanzioni «al responsabile», senza qualificarlo, e i documenti attuativi non sono sul punto uniformi. Il Regolamento ANAC (art. 2, comma 1, n. v) e la Parte terza delle Linee guida 2023 agg. 2025 individuano come destinataria della sanzione per la violazione dell’obbligo di riservatezza la «persona fisica individuata come responsabile» (Linee guida 2023 agg. 2025, p. 87); il § 4.1.1 delle stesse Linee guida riferisce invece la sanzione al «titolare del trattamento» (Linee guida 2023 agg. 2025, p. 54), soggetto al quale il § 4.1.3 attribuisce la responsabilità per le violazioni della disciplina sulla protezione dei dati personali, sanzionate dal Garante (Linee guida 2023 agg. 2025, p. 58). La delibera ha seguito la prima impostazione e ha sanzionato le persone fisiche componenti dell’organo, ferme restando le sanzioni che il Garante può applicare all’ente quale titolare del trattamento. Dalle contestazioni e dalle difese, presentate in forma congiunta, non sono emersi gradi diversi di responsabilità, e la sanzione è stata determinata nella stessa misura per i tre componenti (del. 344/2026, pp. 27-28).
I componenti dell’organo, titolari secondo la delibera di «ruoli di grande responsabilità» nell’organizzazione (del. 344/2026, p. 28), sono interni all’ente. Accanto alla sanzione amministrativa, sono quindi esposti al procedimento disciplinare per la violazione del Modello 231 e del protocollo costituito dalla procedura whistleblowing: il sistema disciplinare adottato ai sensi dell’art. 6, comma 2, lettera e), D.lgs. 231/2001 deve prevedere sanzioni nei confronti di chi viola l’obbligo di riservatezza (art. 21, comma 2, D.lgs. 24/2023; Linee guida 2025, p. 38). Ai fini disciplinari l’ente è tenuto a una ricostruzione autonoma degli eventi e delle responsabilità individuali, nel rispetto delle garanzie dell’art. 7 L. 20 maggio 1970, n. 300, e può certamente avvalersi della sentenza e della delibera, che tuttavia lasciano indistinte le singole condotte: la sentenza non si è occupata dei gestori, e la delibera non ha rilevato gradi diversi di responsabilità fra i tre componenti. Il procedimento disciplinare deve invece attribuire a ciascuno la propria condotta: chi ha pronunciato la frase con cui si è aperta l’audizione, chi ha sentito in modo informale il superiore gerarchico del segnalato, chi ha stabilito la sequenza delle audizioni. Il rischio è un bellum omnium contra omnes, nel quale ciascuno addossa la responsabilità agli altri o sostiene di non aver detto o fatto ciò che gli viene attribuito.
Resta da chiedersi quale margine di difesa residui ai gestori, e agli altri soggetti eventualmente coinvolti, a fronte di due censure, una in sede civile e una in sede amministrativa. La sentenza non fa stato nei loro confronti: il giudicato vincola soltanto le parti e i gestori non erano parti del giudizio di lavoro, che peraltro non ha accertato la loro condotta e non risultava definito alla data della delibera (§ 5.1). La delibera è stata invece adottata in contraddittorio con i gestori, che hanno potuto accedere agli atti, depositare memorie ed essere sentiti con l’assistenza dei difensori, e le sue risultanze, a cominciare dalla registrazione dell’audizione, appaiono difficilmente contestabili nel merito; resta ferma la possibilità di impugnarla davanti al giudice amministrativo. Nel procedimento disciplinare la difesa potrà far leva sulla specificità e sulla tempestività della contestazione, e sulla posizione assunta dalla stessa società, che con la nota del 30 gennaio 2026, a firma del presidente, aveva trasmesso all’Autorità la versione dei fatti dell’organo di gestione.
6. Il costo della vicenda
Il costo per l’ente può essere ricostruito sulla base del dispositivo della sentenza e della delibera. La base di calcolo è il «tallone retributivo» di 3.979,02 euro lordi mensili accolto dal giudice (Trib. Milano 701/2026, pp. 4, 10); le ipotesi adottate sono indicate nelle note in calce alla tabella.
Tabella 2 – Costo della vicenda (scenario: reintegrazione dal 2 marzo 2026; voci principali)*
| N. | Cat. | Voce | Calcolo | Euro |
| 1 | A | Indennità risarcitoria (art. 2, comma 2, D.lgs. 23/2015) | 3.979,02 × 13 + 3.979,02 × 3/30 | 52.125,16 |
| 2 | A | Spese di lite rifuse al ricorrente | 7.052,00 + 15% + CPA 4% + IVA 22% | 10.289,71 |
| 3 | B | Contributi previdenziali e assistenziali, quota datore | 52.125,16 × 30,11% | 15.694,89 |
| 4 | B | Contributi, quota del lavoratore non trattenibile | 52.125,16 × 9,76% | 5.087,42 |
| 5 | B | Rivalutazione monetaria e interessi legali | Indice FOI; 2% (2025), 1,6% (2026) | 904,66 |
| 6 | B | Spese legali proprie in primo grado (stima minima) | 7.052,00 + 15% + CPA 4% | 8.434,19 |
| Totale a carico dell’ente (A + B) | 92.536,03 | |||
| 7 | C | Sanzioni ANAC ai componenti dell’organo di gestione | 3 × 15.000,00 | 45.000,00 |
| Totale complessivo (A + B + C) | 137.536,03 |
A: voci derivanti dal dispositivo della sentenza; B: conseguenze di legge e stime; C: sanzioni ANAC a carico dei gestori della segnalazione.
Restano esclusi i costi soltanto potenziali – l’ulteriore sanzione da 10.000 a 50.000 euro per ciascuna persona fisica ritenuta responsabile delle ritorsioni, che può seguire il passaggio in giudicato della sentenza (§ 5.1), e le sanzioni che il Garante per la protezione dei dati personali può applicare all’ente, quale titolare del trattamento (§ 5.6) – e i costi non quantificabili: il tempo dedicato dal management al giudizio del lavoro e al procedimento davanti all’ANAC, protrattosi per circa venti mesi, il procedimento disciplinare nei confronti dei gestori (§ 5.6) e l’esposizione reputazionale (§ 7).
7. Il rischio reputazionale
La delibera è stata pubblicata con gli omissis e la sentenza, reperibile nelle banche dati, è anonimizzata nei nomi delle parti e dei testimoni. Per un verosimile lapsus calami, la sentenza riporta tuttavia per due volte il nome del progetto indicato nella segnalazione, che qui non si riproduce: nella parte in fatto e nella motivazione, dove si legge che «subito dopo la sua audizione, avvenuta in data 17 dicembre 2024, il ricorrente veniva allontanato dal progetto […] che precedentemente coordinava» (Trib. Milano 701/2026, pp. 2, 9). Incrociato con gli altri elementi dei due provvedimenti – l’attività di consulenza in materia di finanza sostenibile, le date, la sequenza degli atti – quel nome rende tutt’altro che difficile risalire alla società condannata e, di riflesso, ai gestori sanzionati e allo stesso whistleblower.
Vi è, in questo epilogo, qualcosa del contrappasso dantesco: una vicenda che aveva nella tutela della riservatezza la propria ragion d’essere approda, per una svista, all’identificabilità delle persone coinvolte. Il costo di quella svista cresce con l’esposizione mediatica dell’ente e si misura nei rapporti con i clienti, nella capacità di attrarre e trattenere talenti (employer branding) e nella credibilità del canale interno presso il personale.
8. Considerazioni conclusive
Il costo della vicenda potrebbe superare di gran lunga le cifre sopra riportate. Ai 92.536,03 euro a carico dell’ente e ai 45.000 euro di sanzioni irrogate ai gestori si aggiungono le voci che il calcolo non comprende e quelle ancora incerte: l’eventuale giudizio d’appello, il procedimento per ritorsioni che l’Autorità potrà riattivare dopo il giudicato, i procedimenti disciplinari nei confronti dei gestori e l’esposizione reputazionale di una società che una svista redazionale potrebbe rendere riconoscibile. La mala gestio di una segnalazione si traduce così in un costo economico, sanzionatorio, organizzativo e reputazionale, che le scelte istruttorie compiute nella prima settimana di gestione – il perimetro delle verifiche, la sequenza delle audizioni, le informazioni comunicate agli intervistati – hanno reso possibile.
Il costo meno visibile si manifesta dopo la reintegrazione. Il segnalante rientra in un’organizzazione nella quale operano il segnalato, suo superiore, i colleghi sentiti dall’organo di gestione, il partner che ha testimoniato a favore della società e la funzione che ha chiesto i controlli sulle sue presenze; ogni successivo atto sfavorevole nei suoi confronti, dall’assegnazione degli incarichi alla valutazione delle prestazioni, si presume ritorsivo, con l’onere per il datore di lavoro di provarne le ragioni estranee. Il gruppo di lavoro deve ricomporsi intorno a una frattura che il giudizio ha reso quasi-pubblica, mentre il personale misura sulla vicenda l’affidabilità del canale interno: un segnalante identificato, estromesso e licenziato rappresenta per i colleghi un forte disincentivo a segnalare.
Avv. Adamo Brunetti
Dott. Giuseppe Monteleone
_____________________
*Note alla Tabella 2
(1) Indennità risarcitoria (art. 2, comma 2, D.lgs. 23/2015). Il tallone si assume corrispondente all’ultima retribuzione di riferimento per il calcolo del trattamento di fine rapporto, comprensiva dei ratei di tredicesima e quattordicesima: se i ratei fossero dovuti in aggiunta, il costo per l’ente salirebbe a 104.838,05 euro. Il periodo di estromissione decorre dal 27 gennaio 2025 al 1° marzo 2026 (13 mensilità e 3 giorni, pari a 13,1 mensilità). La reintegrazione si ipotizza avvenuta lunedì 2 marzo 2026: il dispositivo è stato letto l’11 febbraio 2026 e il lavoratore deve riprendere servizio entro trenta giorni dall’invito del datore di lavoro (art. 2, comma 3, D.lgs. 23/2015); ogni mese di differenza vale 5.565,46 euro fra indennità e contributi. Nessuna detrazione a titolo di aliunde perceptum: il ricorrente si dichiarava disoccupato (Trib. Milano 701/2026, p. 4).
(2) Spese di lite: 7.052,00 euro liquidati dal giudice, oltre al rimborso forfettario del 15%, alla CPA del 4% e all’IVA del 22% (Trib. Milano 701/2026, p. 10).
(3) Contributi previdenziali e assistenziali a carico del datore di lavoro, dovuti per l’intero periodo di estromissione: aliquota del 30,11%, riferita a un’impresa del terziario con più di 200 dipendenti, per un impiegato (IVS 23,81%, CUAF 0,68%, maternità 0,24%, malattia 2,44%, NASpI 1,31%, contributo integrativo L. 845/1978 0,30%, Fondo di garanzia TFR 0,20%, CIGS 0,60%, FIS 0,53%); premio INAIL escluso.
(4) Contributi a carico del lavoratore: aliquota del 9,76% (IVS 9,19%, CIGS 0,30%, FIS 0,27%); la quota non trattenuta tempestivamente resta a carico del datore di lavoro (art. 23, L. 4 aprile 1952, n. 218).
(5) Rivalutazione monetaria secondo l’indice ISTAT FOI e interessi al tasso legale (2% nel 2025, 1,6% dal 1° gennaio 2026), calcolati su tredici rate mensili con saldo al 2 marzo 2026.
(6) Spese legali proprie: stima minima, pari ai compensi liquidati alla controparte, con rimborso forfettario e CPA (IVA esclusa).
(7) Sanzioni ANAC: 15.000 euro per ciascuno dei tre componenti dell’organo di gestione (del. 344/2026, p. 29).
Voci non considerate: contributo NASpI dovuto in caso di licenziamento, contributo unificato rimborsato al ricorrente, spese di difesa nel procedimento davanti all’ANAC, eventuali sanzioni civili sui contributi versati in ritardo e trattamento di fine rapporto maturato nel periodo di estromissione. È esclusa anche la restituzione delle trattenute operate sulla retribuzione di gennaio 2025 (3.434,50 euro), perché riguarda lavoro effettivamente prestato (Trib. Milano 701/2026, p. 10).
