Whistleblowing via email o PEC: è conforme? Cosa prevedono ANAC e Garante nel 2026

È possibile utilizzare una normale casella email o una PEC per ricevere le segnalazioni whistleblowing? È una domanda ancora molto frequente tra aziende, enti, Organismi di Vigilanza e professionisti incaricati di organizzare il canale interno previsto dal D.Lgs. 24/2023.

La risposta richiede una precisazione importante: la normativa non stabilisce semplicemente che “l’email è vietata”. Le più recenti indicazioni di ANAC e del Garante per la protezione dei dati personali evidenziano però che la posta elettronica, sia ordinaria sia certificata, presenta criticità significative rispetto alla tutela della riservatezza del segnalante.

In particolare, secondo le indicazioni recepite nelle Linee Guida ANAC n. 1/2025 sui canali interni di segnalazione, il ricorso alla posta elettronica deve essere valutato con particolare attenzione e può richiedere specifiche misure tecniche e organizzative individuate attraverso la valutazione d’impatto sulla protezione dei dati.

Il problema, infatti, non riguarda soltanto il contenuto del messaggio: indirizzi email, log, metadati, sistemi di backup, firewall e strumenti amministrativi possono consentire di ricostruire, anche indirettamente, l’identità della persona che effettua la segnalazione.

Vediamo quindi perché una semplice casella whistleblowing@azienda.it potrebbe non essere sufficiente e quali verifiche dovrebbe effettuare un’organizzazione prima di considerare adeguato il proprio canale.

Cosa richiede il D.Lgs. 24/2023 al canale whistleblowing

Per comprendere il problema occorre partire dal principio fondamentale stabilito dal D.Lgs. 24/2023: il canale interno deve essere progettato e gestito in modo da garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta, delle eventuali persone menzionate nella segnalazione e del contenuto della stessa.

Il decreto prevede inoltre che le segnalazioni possano essere effettuate:

• in forma scritta;
• in forma orale;
• attraverso un incontro diretto, quando richiesto dalla persona segnalante e secondo le modalità previste dall’organizzazione.

La possibilità di ricevere una segnalazione scritta, quindi, non significa automaticamente che qualsiasi strumento utilizzato per trasmettere un testo sia adeguato.

Il mezzo adottato deve essere valutato rispetto alle garanzie che riesce concretamente a offrire.

Per una panoramica completa sugli obblighi è possibile approfondire quando è obbligatorio il canale interno whistleblowing e come deve essere attivato.

Whistleblowing via email: perché può essere problematico

A prima vista una casella dedicata può sembrare una soluzione semplice:

• si crea un indirizzo utilizzato esclusivamente per le segnalazioni;
• si consegnano le credenziali al soggetto incaricato;
• si comunica l’indirizzo ai dipendenti e agli altri soggetti legittimati;
• le segnalazioni vengono archiviate direttamente nella casella.

Dal punto di vista della protezione dei dati, tuttavia, il percorso di un’email è molto più complesso.

Quando una persona invia un messaggio possono essere generati e conservati diversi dati tecnici, tra cui:

• indirizzo email del mittente;
• data e ora dell’invio;
• server coinvolti nella trasmissione;
• indirizzi IP o altri dati di connessione;
• identificativi tecnici del messaggio;
• log di invio e ricezione;
• informazioni conservate dai sistemi antispam e antivirus;
• copie presenti nei sistemi di backup;
• eventuali dati disponibili agli amministratori dei sistemi di posta.

Di conseguenza, anche quando il corpo del messaggio viene protetto, possono rimanere informazioni tecniche capaci di consentire l’identificazione del segnalante.

Il problema è ancora maggiore con l’email aziendale

Un’ipotesi particolarmente delicata si verifica quando il dipendente invia la segnalazione utilizzando l’account email fornito dal proprio datore di lavoro.

In questo caso diversi sistemi dell’organizzazione potrebbero conservare informazioni relative alla comunicazione:

• server di posta aziendali;
• sistemi Microsoft 365 o Google Workspace;
• gateway antispam;
• firewall;
• proxy;
• sistemi SIEM;
• soluzioni EDR o endpoint security;
• sistemi di backup e disaster recovery.

La persona incaricata di gestire il whistleblowing potrebbe quindi essere l’unica autorizzata a leggere il contenuto della segnalazione, mentre altri soggetti potrebbero comunque essere tecnicamente in grado di sapere chi ha inviato un messaggio alla casella whistleblowing, quando lo ha fatto e da quale sistema.

È proprio questo uno degli aspetti sui quali il Garante Privacy ha richiamato l’attenzione.

Cosa ha chiarito il Garante Privacy

Nel parere del 9 ottobre 2025 sugli schemi delle nuove Linee Guida ANAC, il Garante per la protezione dei dati personali ha affrontato espressamente la questione.

L’Autorità ha evidenziato che il ricorso alla posta elettronica, ordinaria o certificata, deve essere considerato di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante quando non sia accompagnato da specifiche contromisure opportunamente giustificate.

La ragione è tecnica: normalmente i sistemi di gestione della posta elettronica producono, raccolgono e conservano log relativi all’invio e alla ricezione dei messaggi.

Questi dati possono rendere possibile risalire, anche indirettamente, all’identità del segnalante, soprattutto quando viene utilizzata una casella messa a disposizione dal datore di lavoro.

Il Garante ha richiamato inoltre un altro aspetto spesso trascurato: la non tracciabilità deve essere valutata anche nel momento in cui il segnalante si collega al canale.

Non è quindi sufficiente verificare esclusivamente la piattaforma o la casella di destinazione. Se il collegamento avviene dalla rete aziendale, occorre considerare anche gli apparati coinvolti nella comunicazione, come firewall e proxy.

Questo tema è strettamente collegato alla corretta gestione dei dati personali nel whistleblowing.

PEC e whistleblowing: la certificazione non risolve il problema

Un equivoco abbastanza diffuso consiste nel considerare la PEC automaticamente più adatta al whistleblowing perché offre maggiori garanzie rispetto alla posta elettronica ordinaria.

La PEC ha caratteristiche molto importanti sotto il profilo della certificazione della trasmissione: permette infatti di documentare l’invio e la consegna di una comunicazione.

Ma queste caratteristiche non coincidono con la necessità di proteggere l’identità del segnalante.

Anzi, proprio la capacità di tracciare e certificare mittente, trasmissione e consegna può risultare poco coerente con un sistema nel quale uno degli obiettivi principali è ridurre la possibilità di ricostruire l’identità di chi segnala attraverso informazioni non necessarie alla gestione della pratica.

Per questo motivo, quando ANAC e Garante fanno riferimento alla posta elettronica, la valutazione riguarda espressamente sia la posta ordinaria sia quella certificata.

Quindi email e PEC sono vietate?

No: parlare semplicemente di divieto sarebbe impreciso.

Il punto corretto è diverso: secondo le indicazioni del Garante, email e PEC sono strumenti che di per sé non garantiscono un livello adeguato di riservatezza per la gestione delle segnalazioni whistleblowing.

Un’organizzazione che intenda comunque utilizzarli deve quindi essere in grado di dimostrare di aver valutato i rischi e di aver adottato specifiche misure di mitigazione.

Queste misure devono essere coerenti con la concreta infrastruttura utilizzata e dovrebbero essere individuate nell’ambito della DPIA, la valutazione d’impatto sulla protezione dei dati.

Non esiste quindi una configurazione standard che possa rendere automaticamente conforme qualsiasi casella email.

Quali misure potrebbero essere necessarie?

La valutazione deve essere effettuata caso per caso. Tra gli elementi tecnici e organizzativi che possono essere presi in considerazione rientrano, ad esempio:

• cifratura adeguata delle comunicazioni;
• eventuale cifratura end-to-end;
• autenticazione a più fattori per l’accesso alla casella;
• limitazione rigorosa degli account autorizzati;
• gestione controllata dei privilegi amministrativi;
• valutazione dei log prodotti dai sistemi email;
• valutazione dei metadati conservati;
• verifica dei sistemi di backup;
• verifica degli accessi degli amministratori di sistema;
• misure per evitare la tracciabilità attraverso firewall e proxy;
• procedure di conservazione e cancellazione;
• formazione delle persone autorizzate;
• documentazione delle misure nella DPIA.

È importante sottolineare che la presenza di una singola misura, ad esempio la 2FA, non rende automaticamente conforme il sistema.

La protezione deve riguardare l’intera catena attraverso la quale passa la segnalazione.

Un esempio pratico: cosa succede con una casella dedicata

Immaginiamo che un’azienda crei:

whistleblowing@azienda.it

La password viene consegnata soltanto al presidente dell’Organismo di Vigilanza.

A prima vista la configurazione sembra sicura: nessun altro dipendente conosce la password.

Ma occorre verificare almeno altre domande:

• l’amministratore Microsoft 365 o Google Workspace può accedere alla casella?
• chi gestisce il server può consultare i log?
• il mittente rimane visibile?
• esistono copie del messaggio nei backup?
• la segnalazione viene inviata dall’account aziendale del dipendente?
• il firewall registra la connessione?
• un amministratore può sapere che il dipendente ha contattato quell’indirizzo?
• gli allegati vengono successivamente scaricati su un computer?
• le comunicazioni successive avvengono sempre tramite email?

È evidente che proteggere soltanto la password della casella non equivale a proteggere l’intero processo whistleblowing.

Il problema delle comunicazioni successive

Un canale whistleblowing non serve soltanto a ricevere la prima segnalazione.

Il D.Lgs. 24/2023 prevede una vera attività di gestione. Il soggetto incaricato può avere necessità di:

• chiedere chiarimenti;
• richiedere nuovi documenti;
• comunicare l’avvenuta ricezione;
• aggiornare la persona segnalante;
• fornire il riscontro finale.

Se tutte queste comunicazioni vengono effettuate attraverso la posta elettronica, il problema dei log e dei metadati si ripresenta ad ogni messaggio.

Una piattaforma dedicata può invece mettere a disposizione un’area di comunicazione riservata attraverso la quale gestore e segnalante possono dialogare senza utilizzare necessariamente un indirizzo email personale o aziendale.

Segnalazioni anonime: con l’email nasce un ulteriore problema

La criticità diventa ancora più evidente quando l’organizzazione intende consentire segnalazioni anonime.

Una persona può certamente creare un indirizzo email che non riporti il proprio nome, ma questo non significa automaticamente che la comunicazione sia anonima dal punto di vista tecnico.

Possono continuare a esistere:

• log di connessione;
• indirizzi IP;
• informazioni sul provider;
• dati relativi al dispositivo;
• metadati contenuti nei documenti allegati.

Inoltre, se la comunicazione successiva avviene attraverso quell’indirizzo, il gestore deve continuare a utilizzare un sistema esterno rispetto al canale di segnalazione.

Una piattaforma progettata specificamente per il whistleblowing può invece consentire l’apertura di una segnalazione anonima e successivamente permettere al segnalante di tornare sulla pratica tramite un codice o un token riservato.

Email o piattaforma whistleblowing: le differenze principali

Per approfondire le caratteristiche da verificare prima di scegliere un sistema è disponibile la nostra checklist dei 15 requisiti di una piattaforma whistleblowing conforme.

Cosa fare se l’azienda utilizza già email o PEC

La presenza di un canale basato su posta elettronica non significa che l’organizzazione debba improvvisamente cancellare le segnalazioni o interrompere la gestione delle pratiche esistenti.

È invece opportuno effettuare una verifica strutturata.

1. Analizzare il sistema attualmente utilizzato

Occorre ricostruire il percorso della segnalazione:

• chi riceve il messaggio;
• dove viene conservato;
• quali log vengono prodotti;
• chi possiede privilegi amministrativi;
• dove vengono conservati gli allegati;
• come vengono effettuate le comunicazioni successive.

2. Riesaminare la DPIA

La valutazione d’impatto dovrebbe descrivere il sistema effettivamente utilizzato e le misure adottate per ridurre i rischi per la persona segnalante e per gli altri soggetti coinvolti.

3. Verificare le nuove Linee Guida ANAC

Le procedure elaborate prima delle Linee Guida n. 1/2025 dovrebbero essere riesaminate alla luce delle indicazioni più recenti relative ai canali interni.

4. Valutare il passaggio a una piattaforma dedicata

Quando la mitigazione dei rischi richiede numerosi interventi sul sistema email, può risultare più semplice adottare uno strumento progettato fin dall’origine per la gestione riservata delle segnalazioni.

5. Aggiornare la documentazione

Un eventuale cambio di piattaforma può comportare l’aggiornamento di:

• procedura whistleblowing;
• informativa privacy;
• DPIA;
• autorizzazioni al trattamento;
• contratti con i responsabili del trattamento;
• informazioni pubblicate sul sito o sulla intranet aziendale.

Una piattaforma dedicata è automaticamente conforme?

No. Anche questo sarebbe un errore.

La conformità non deriva semplicemente dal fatto che il servizio venga commercializzato come “software whistleblowing”.

Occorre comunque verificare:

• modalità di identificazione del segnalante;
• raccolta degli indirizzi IP;
• gestione dei log;
• separazione tra clienti diversi;
• cifratura;
• gestione degli accessi;
• autenticazione;
• ubicazione dei dati;
• sub-responsabili;
• backup;
• tempi di conservazione;
• possibilità di comunicazione riservata;
• gestione della modalità orale.

La piattaforma deve quindi essere inserita all’interno di un processo organizzativo adeguato.

Email e PEC: cinque domande rapide per verificare il proprio canale

Un’azienda che utilizza attualmente la posta elettronica può iniziare ponendosi cinque domande molto semplici:

1. Un amministratore di sistema può sapere chi ha inviato la segnalazione?
2. La segnalazione lascia tracce nei server, firewall, proxy o sistemi di backup?
3. Possiamo dialogare con un segnalante anonimo senza chiedergli un indirizzo email?
4. La DPIA descrive espressamente questi rischi e le relative misure di mitigazione?
5. Possiamo dimostrare perché il sistema scelto garantisce un livello di riservatezza adeguato?

Se una o più risposte non sono chiare, è opportuno riesaminare il canale.

Il ruolo delle Linee Guida ANAC 2025

Le Linee Guida n. 1/2025 rappresentano un passaggio importante perché spostano ulteriormente l’attenzione dalla semplice presenza formale di un canale alla sua effettiva capacità di garantire riservatezza e sicurezza.

Questo significa che non basta poter dimostrare di avere pubblicato un indirizzo email dedicato.

L’organizzazione deve poter spiegare:

• perché ha scelto quel sistema;
• quali rischi sono stati analizzati;
• quali misure sono state adottate;
• chi può accedere alle informazioni;
• come viene protetta l’identità del segnalante;
• come vengono gestite conservazione e cancellazione.

Per una lettura complessiva del quadro normativo è possibile consultare anche la nostra guida completa al whistleblowing aggiornata al 2026.

Domande frequenti

Posso creare semplicemente whistleblowing@azienda.it?

La creazione di una casella dedicata, da sola, non consente di considerare adeguato il canale. È necessario valutare log, metadati, accessi amministrativi, sistemi di backup, modalità di comunicazione e tutte le altre informazioni che potrebbero permettere di identificare il segnalante.

La PEC è più conforme dell’email ordinaria?

Non automaticamente. La PEC garantisce caratteristiche specifiche relative alla certificazione dell’invio e della consegna, ma queste non risolvono il problema della riservatezza dell’identità della persona segnalante. Le indicazioni del Garante riguardano espressamente sia posta ordinaria sia certificata.

La 2FA rende conforme una casella email?

No. L’autenticazione a due fattori migliora la protezione dell’accesso alla casella ma non elimina log, metadati, backup o altre informazioni tecniche prodotte durante l’invio della comunicazione.

Serve una DPIA per il whistleblowing?

La gestione delle segnalazioni comporta trattamenti particolarmente delicati e richiede una valutazione approfondita dei rischi privacy. Nel caso in cui si utilizzi la posta elettronica, le indicazioni del Garante richiamano espressamente la necessità di individuare e giustificare nella valutazione d’impatto le specifiche misure di mitigazione adottate.

Una piattaforma whistleblowing può raccogliere l’indirizzo IP?

La configurazione deve essere valutata attentamente in relazione ai principi di minimizzazione e alla necessità di garantire la non tracciabilità del segnalante. È necessario considerare non soltanto la piattaforma ma anche gli apparati di rete eventualmente coinvolti nella connessione.

Come può comunicare un segnalante anonimo con l’azienda?

Una piattaforma dedicata può assegnare alla segnalazione un codice o un token che consente alla persona di accedere nuovamente alla pratica e dialogare con il gestore senza dover necessariamente comunicare nome, indirizzo email o altri dati identificativi.

Conclusioni

Email e PEC non devono essere considerate automaticamente strumenti adeguati per la gestione del whistleblowing.

Le più recenti indicazioni di ANAC e del Garante Privacy richiedono di valutare attentamente i rischi connessi alla posta elettronica, in particolare per quanto riguarda log, metadati e possibilità di identificazione indiretta della persona segnalante.

Utilizzare una casella dedicata non è quindi sufficiente: l’organizzazione deve essere in grado di dimostrare che l’intero sistema garantisce un livello di sicurezza e riservatezza coerente con il D.Lgs. 24/2023 e con la normativa sulla protezione dei dati personali.

Quando la mitigazione di questi rischi richiede configurazioni tecniche complesse, una piattaforma progettata specificamente per il whistleblowing può rappresentare una soluzione più semplice da governare e più adatta alla gestione strutturata delle segnalazioni.

GuardianVox consente di gestire segnalazioni scritte e vocali, anonime o identificate, mantenendo un canale di comunicazione riservato tra segnalante e gestore e mettendo a disposizione strumenti specifici per l’organizzazione e il monitoraggio delle pratiche.

Prima di scegliere o sostituire il proprio sistema, consigliamo di consultare la checklist dei 15 requisiti da verificare in una piattaforma whistleblowing.

Le informazioni contenute in questo articolo hanno finalità divulgative e informative e non sostituiscono una valutazione legale, privacy o organizzativa riferita alla specifica realtà aziendale.