Canali di whistleblowing e attacchi informatici: cosa chiedono le nuove linee guida ANAC alle Pa

Le nuove Linee Guida ANAC sui canali interni di whistleblowing rafforzano l’attenzione su sicurezza informatica e tutela della riservatezza dei segnalanti, chiedendo alle Pubbliche Amministrazioni di adottare soluzioni tecnologiche e organizzative realmente adeguate ai rischi attuali. In un contesto segnato dall’aumento degli attacchi informatici contro la PA, la gestione delle segnalazioni di illeciti diventa un ambito ad alta esposizione, non solo sotto il profilo normativo ma anche sotto quello della cybersecurity.

Whistleblowing nella Pa: perché la sicurezza è diventata centrale

Secondo i dati più recenti dell’Agenzia per la Cybersicurezza Nazionale (ACN), nel primo semestre 2025 gli attacchi informatici rilevati in Italia sono cresciuti di oltre il 50% rispetto all’anno precedente. La Pubblica Amministrazione, in particolare enti locali e amministrazioni territoriali, risulta tra i settori più colpiti.

Alla luce di questo scenario, le Linee Guida ANAC sui canali interni di whistleblowing (Delibera n. 478 del 26 novembre 2025) sottolineano che i sistemi di segnalazione devono essere progettati e gestiti tenendo conto dei rischi effettivi per la sicurezza dei dati e per la protezione dell’identità dei segnalanti.

Non si tratta quindi solo di un adempimento formale, ma di una scelta organizzativa e tecnologica che può incidere direttamente sulla responsabilità dell’Ente.

Il ruolo del RPCT tra compliance e cybersecurity

Le Linee Guida ANAC non introducono nuovi obblighi puntuali per i gestori dei canali, ma chiariscono quali soluzioni sono coerenti con il quadro normativo e quali, invece, possono compromettere la conformità e la sicurezza del sistema.

Al centro di questa valutazione c’è il RPCT (Responsabile della prevenzione della corruzione e della trasparenza), che:

• riceve e gestisce le segnalazioni di illeciti;

• deve dimostrare l’adeguatezza del canale interno;

• è chiamato a garantire riservatezza e sicurezza dei dati trattati.

Secondo ANAC, la valutazione non si esaurisce nell’istituzione formale del canale, ma riguarda l’intero assetto organizzativo e tecnologico che ne determina il funzionamento.

Le indicazioni chiave delle Linee Guida ANAC

L’Autorità richiama in particolare la necessità di:

• adottare canali dedicati, appositamente istituiti per il whistleblowing;

• valutare l’impatto delle soluzioni scelte sulla protezione dei dati personali;

• evitare strumenti che possano consentire, anche indirettamente, l’identificazione del segnalante;

• garantire la tracciabilità delle attività di gestione, a fini di controllo e verifica.

In caso di incidente informatico o di verifica da parte delle Autorità, l’attenzione non sarà rivolta solo all’evento, ma alla difendibilità delle scelte organizzative e tecnologiche adottate.

Perché il whistleblowing è un’area ad alto rischio informativo

I canali di whistleblowing gestiscono informazioni particolarmente delicate, tra cui:

• dati sull’identità del segnalante, anche quando la segnalazione è formalmente anonima;

• contenuti relativi a presunti illeciti;

• riferimenti a dipendenti, dirigenti o vertici dell’Ente.

Una violazione di questi sistemi può avere conseguenze gravi: esposizione del segnalante, responsabilità in materia di privacy e perdita di fiducia nel sistema di prevenzione della corruzione. Per questo motivo, ANAC considera il whistleblowing un ambito a elevata criticità sotto il profilo della sicurezza informatica.

Strumenti non adeguati: email e PEC sotto osservazione

Le Linee Guida ribadiscono un principio già espresso in passato: strumenti generici come email ordinarie o PEC, se non accompagnati da specifiche misure di mitigazione, non garantiscono un livello di tutela adeguato.

Sistemi di posta elettronica tradizionali possono infatti generare log e metadati che consentono, anche indirettamente, di risalire all’identità del segnalante. ANAC richiama inoltre la necessità di evitare forme di tracciabilità degli accessi ai canali interni, anche a livello di infrastruttura di rete.

Il messaggio è chiaro: non tutti gli strumenti digitali sono idonei, per loro natura, alla gestione del whistleblowing in un contesto di crescente esposizione agli attacchi informatici.

Un modello di gestione del whistleblowing pensato per la Pa

Le nuove indicazioni ANAC spingono le amministrazioni a valutare con maggiore attenzione la qualità delle soluzioni adottate. Verificare la coerenza del canale interno con le Linee Guida significa:

• individuare eventuali fragilità del sistema;

• tutelare in modo effettivo la riservatezza dei segnalanti;

• ridurre il rischio di contestazioni in caso di verifiche o incidenti di sicurezza.

In questo quadro si inseriscono piattaforme specializzate per il whistleblowing nella PA, progettate per garantire:

• elevati standard di sicurezza informatica;

• protezione dell’identità del segnalante;

• tracciabilità delle attività di gestione;

• conformità normativa e accessibilità.

Le soluzioni in modalità SaaS, inoltre, consentono aggiornamenti continui in materia di sicurezza e adeguamenti normativi, assicurando continuità operativa e riducendo gli oneri tecnici a carico dell’Ente.

Fonte: lentepubblica.it – https://www.lentepubblica.it