Il DPO può fare il gestore delle segnalazioni whistleblowing. Ma l’impresa deve motivare dettagliatamente questa scelta. È questo uno dei punti trattati da Assonime nel “vademecum operativo al whistleblowing alla luce delle recenti Linee Guida ANAC”. La guida operativa di Assonime, del 20/4/2026, analizza le linee guida approvate dall’Autorità nazionale anticorruzione (Anac) con le delibere n. 478 e 479 del 26/11/2025, relative all’applicazione del d.lgs. 24/2023. Quest’ultimo decreto, recependo la direttiva UE 2019/1937, disciplina la tutela di chi segnala, in maniera riservata e al riparo da ritorsioni, gli illeciti commessi nelle organizzazioni private e pubbliche.
Le imprese, tenute all’applicazione della normativa, devono istituire canali interni di segnalazione e devono affidarne la gestione a soggetti (interni o esterni) autonomi e specificamente formati. Un profilo affrontato da Assonime è l’individuazione di chi possa ricoprire il ruolo di gestore senza cadere in un conflitto di interessi e senza accumulare troppi incarichi, che si rischia di non portare a termine. In particolare, si è posto il problema se il responsabile della protezione dei dati (DPO), figura centrale nel sistema della privacy, possa essere individuato come gestore delle segnalazioni.
Per gli enti con meno di 50 dipendenti, le linee Guda Anac hanno aperto uno spiraglio al cumulo degli incarichi nello stesso soggetto, ma solo sulla base di una valutazione ad hoc e con adeguata motivazione, se la carenza di personale non renda possibile tenere distinte le due funzioni.
Nel vademecum in commento, Assonime aggiunge una riflessione a riguardo degli enti di grandi dimensioni o a struttura complessa: pur rimanendo preferibile la distinzione di DPO e gestore, Assonime sostiene che la possibilità del cumulo dei due ruoli non è esclusa in assoluto. Anzi, la guida rileva che, proprio per le competenze specifiche in materia di protezione dei dati e riservatezza, il DPO possa essere la figura più adeguata allo svolgimento di tale funzione. Sul punto si deve considerare, però, che non c’è solo da valutare il profilo del cumulo degli incarichi, ma anche quello del conflitto di interessi dal lato “privacy”: l’articolo 38 Gdpr (regolamento UE n. 2016/679) prescrive, infatti, che il DPO non possa assumere altri compiti in conflitto di interessi. In proposito, si rifletta sul fatto che il gestore del canale deve prendere molte decisioni durante le varie fasi del trattamento delle segnalazioni e che tutto ciò comporta il coinvolgimento diretto nel trattamento di dati personali. La questione se questo comprometta l’autonomia lato “privacy” è molto delicata, come dimostrato anche da un’altra circostanza relativa agli enti pubblici, nei quali la gestione del canale di segnalazione è affidata al responsabile della prevenzione della corruzione e della trasparenza (RPCT). Al riguardo, il Garante della privacy ha affermato in maniera certa la sussistenza di un conflitto di interessi nel caso di cumulo dei ruoli di DPO e RPCT negli enti di grandi dimensioni, pur rimanendo possibilista per quelli più piccoli. Non avendo, dunque, una regola fissa, in ogni caso, si tratta di scelte rischiose, che rimangono addossate sulle spalle dell’impresa (piccola o grande), chiamata a spiegare perché ha accentrato i compiti su uno stesso soggetto.
