Canali di whistleblowing e attacchi informatici: cosa chiedono le nuove Linee Guida ANAC alle PA

lentepubblica.it

Le nuove Linee Guida ANAC sui canali interni di whistleblowing forniscono indicazioni concrete su come devono essere progettati e gestiti i sistemi di segnalazione nella Pubblica Amministrazione. Sicurezza e tutela della riservatezza dei segnalanti, principi cardine della normativa, assumono un ruolo centrale nella valutazione delle scelte organizzative adottate dagli Enti: vediamo in che modo.

Secondo i dati più recenti disponibili dell’Agenzia per la Cybersicurezza Nazionale, nel primo semestre del 2025 gli attacchi informatici rilevati in Italia sono aumentati di oltre il 50% rispetto allo stesso periodo dell’anno precedente. Nei report ACN, la Pubblica Amministrazione risulta stabilmente tra i settori maggiormente colpiti, e in particolare Enti locali e Amministrazioni territoriali.

Alla luce di questa esposizione, le nuove Linee Guida ANAC sui canali interni di whistleblowing, pubblicate con Delibera n. 478 del 26 novembre 2025, richiamano l’attenzione sull’adeguatezza delle soluzioni adottate per la gestione delle segnalazioni, chiarendo che i canali interni devono essere progettati e gestiti tenendo conto dei rischi effettivi per la sicurezza dei dati e per la riservatezza dei segnalanti.

Il tema non è puramente tecnologico. Quando un canale di whistleblowing non è conforme sotto il profilo della sicurezza applicativa e infrastrutturale, la vulnerabilità del sistema si traduce in una falla di sicurezza, con ripercussioni dirette su chi ha il compito di governarlo.

Soluzioni come la piattaforma Legality Whistleblowing di DigitalPA, progettate tenendo conto delle indicazioni ANAC e degli elevati standard di cybersecurity richiesti alle PA, aiutano le Amministrazioni a trasformare un obbligo normativo in una scelta che tutela l’Ente e i responsabili della gestione del canale, anche in caso di verifica.

Valuta la conformità del tuo Ente con un esperto >>

Il RPCT come garante del canale whistleblowing, tra compliance e cybersecurity

Pur senza introdurre ulteriori obblighi specifici per i gestori, le nuove Linee Guida ANAC n. 1/2025 chiariscono quali soluzioni vengono considerate coerenti con il quadro normativo e quali, invece, possono compromettere sia la compliance normativa che la sicurezza informatica del sistema.

Il documento mette l’accento su un punto spesso sottovalutato nella pratica: la valutazione del canale di whistleblowing non si esaurisce nella verifica della sua istituzione formale, ma prende in esame l’assetto organizzativo e le soluzioni tecnologiche adottate dall’Ente, che ne determinano il funzionamento.

Di conseguenza, il RPCT assume un ruolo di primo piano: in quanto responsabile della presa in carico e della gestione delle segnalazioni di illeciti, è chiamato a dimostrare che il canale di whistleblowing sia stato progettato e gestito in modo adeguato, soprattutto in relazione alla riservatezza e della sicurezza dei dati.

Le Linee Guida richiamano espressamente l’importanza di:

• adottare canali dedicati, appositamente istituiti
• valutare l’impatto delle soluzioni scelte sulla protezione dei dati
• evitare strumenti che possano consentire, anche indirettamente, l’identificazione del segnalante
• garantire la tracciabilità delle attività di gestione, a fini di verifica e controllo

Non è quindi sufficiente attivare un canale interno se manca una valutazione della sua adeguatezza sostanziale. In caso di incidente, segnalazione esterna o verifica da parte delle Autorità, il focus non sarà sull’evento in sé, ma sulla difendibilità delle scelte adottate.

Adottare un software conforme come Legality Whistleblowing consente di dimostrare che l’Ente ha adottato misure proporzionate alla delicatezza dei dati trattati.

Perché il whistleblowing è un’area ad alto rischio informativo

I canali di whistleblowing concentrano flussi di informazioni particolarmente sensibili:

• dati sull’identità del segnalante, anche quando formalmente anonimi
• contenuti relativi a presunti illeciti
• riferimenti a dipendenti, dirigenti o vertici dell’Ente

Una violazione di questi sistemi non è assimilabile a un normale incidente IT. Può infatti compromettere la protezione del segnalante, esporre l’Ente a responsabilità privacy, e in ultima analisi minare la fiducia nell’intero sistema di prevenzione della corruzione.

Strumenti di whistleblowing non adeguati: email ordinarie e posta certificata

Proprio perché il whistleblowing riguarda informazioni ad alta criticità, le Linee Guida ANAC richiamano l’attenzione sull’utilizzo di strumenti non specificamente progettati per questo scopo. Come nelle precedenti Linee Guida, l’Autorità ribadisce che l’uso di canali come email ordinarie o PEC, se non accompagnato da misure specifiche di mitigazione, non garantisce un livello di salvaguardia adeguato a tutelare l’identità del segnalante.

Sistemi di posta elettronica e strumenti generici generano log e metadati che possono consentire, anche indirettamente, di risalire all’autore della segnalazione. Le Linee Guida richiamano inoltre la necessità di evitare forme di tracciabilità degli accessi ai canali interni, anche a livello di infrastruttura di rete.

Queste indicazioni rendono esplicito un principio chiave: non tutti gli strumenti digitali sono per loro natura idonei alla gestione del whistleblowing, soprattutto in un contesto in cui gli incidenti informatici sono in continua crescita.

Un modello di gestione del whistleblowing pensato per la PA

Le Linee Guida ANAC chiedono alle Pubbliche Amministrazioni di prestare maggiore attenzione alla qualità delle scelte adottate nella gestione dei canali di whistleblowing.

Verificare oggi se il canale interno è coerente con le indicazioni ANAC significa individuare eventuali punti di fragilità del sistema, tutelare la riservatezza dei segnalanti ed evitare contestazioni in caso di verifiche o incidenti.

Legality Whistleblowing nasce per rispondere alle esigenze specifiche della Pubblica Amministrazione e assimilate. La piattaforma consente di gestire le segnalazioni attraverso un canale perfettamente a norma – anche in termini di accessibilità (L. Stanca n. 4./2004) – progettato per garantire totale riservatezza, sicurezza dei dati e tracciabilità delle attività.

Il modello SaaS permette inoltre di:

• garantire aggiornamenti continui di sicurezza, funzionalità e adeguamenti normativi, con responsabilità in capo al fornitore
• assicurare continuità operativa senza oneri tecnici a carico dell’Ente
• offrire al RPCT una soluzione sicura in caso di verifiche

Un confronto con un esperto consente di valutare se l’impostazione adottata è sostenibile nel tempo e capace di garantire la protezione dei dati più sensibili, anche lato GDPR: contatta un Consulente DigitalPA per adeguare la tua PA in modo rapido ed efficace agli obblighi di legge.

The post Canali di whistleblowing e attacchi informatici: cosa chiedono le nuove Linee Guida ANAC alle PA appeared first on lentepubblica.it.