Email e PEC sono un canale whistleblowing conforme?

La risposta breve: in Italia, no, a meno di contromisure specifiche e motivate. Le Linee guida ANAC sui canali interni di segnalazione (Linee guida n. 1/2025, approvate con delibera n. 478 del 26 novembre 2025) sono esplicite: «il ricorso alla posta elettronica (ordinaria o certificata) deve essere considerato di per sé non adeguato a garantire la riservatezza dell'identità della persona segnalante, se non accompagnato da specifiche contromisure opportunamente giustificate quali misure di mitigazione del rischio individuate in sede di definizione della valutazione di impatto del trattamento sulla protezione dei dati». Altrove in Europa il quadro è più permissivo: né la Direttiva UE né leggi come l'HinSchG tedesco vietano la posta elettronica, purché il canale sia costruito in modo che solo chi gestisce le segnalazioni possa leggerle. Ma anche lì, la maggior parte delle caselle condivise non supera la prova.

Se usate già un indirizzo email o una PEC, questo articolo vi aiuta a capire a che punto siete: cosa chiede la legge, come cambia da Paese a Paese, una verifica da fare sulla vostra casella con una soluzione per ogni lacuna, le lacune che nessuna impostazione risolve e cosa cambia con un canale dedicato.

Cosa chiede la legge a un canale

La Direttiva (Direttiva (UE) 2019/1937) non impone una tecnologia: descrive risultati. Per un canale interno, quelli che contano rispetto alla posta elettronica sono questi:

• Sicuro fin dalla progettazione (art. 9(1)(a)). Il canale deve essere progettato, realizzato e gestito in modo sicuro, così che l'identità del segnalante e dei terzi menzionati resti riservata e il personale non autorizzato non vi abbia accesso. È un criterio che riguarda il sistema, non l'attenzione di chi lo usa. Il D.Lgs. 24/2023 aggiunge che la riservatezza va garantita «anche tramite il ricorso a strumenti di crittografia» (art. 4, comma 1).
• Identità limitata a chi gestisce la segnalazione (art. 16). Senza il consenso espresso del segnalante, la sua identità non può essere rivelata a nessuno oltre al personale autorizzato a ricevere le segnalazioni o a darvi seguito.
• Termini (art. 9(1)(b) e (f)). Avviso di ricevimento entro 7 giorni, riscontro entro 3 mesi. Vedere il termine di 7 giorni/3 mesi per il riscontro, spiegato.
• Una persona designata e imparziale (art. 9(1)(c)). Qualcuno di preciso è responsabile del seguito.
• Documentazione (art. 18). Ogni segnalazione ricevuta viene documentata, con le stesse regole di riservatezza, e non conservata più del necessario.
• Scritta, orale o entrambe (art. 9(2)). La Direttiva consente segnalazioni in forma scritta, orale o in entrambe le forme. In Italia l'ANAC chiede agli enti di garantirle entrambe.
• L'anonimato è una scelta nazionale (art. 6(2)). La Direttiva lascia a ciascuno Stato membro decidere se le aziende debbano accettare segnalazioni anonime.

Paese per Paese

Le guide per Paese approfondiscono ciascuna legge: Italia, Germania, Francia, Spagna, Paesi Bassi, Polonia e Irlanda.

Quando un indirizzo email è una scelta ragionevole

• La vostra organizzazione non è obbligata ad avere un canale. Fuori dall'ambito del D.Lgs. 24/2023, o nel Regno Unito, un indirizzo email ben gestito è meglio di niente.
• Fuori dall'Italia, per segnalazioni identificate in un Paese che non impone l'anonimato, con i controlli qui sotto davvero in atto. Germania, Irlanda e Polonia lo consentono.
• Come canale di raccolta accanto a un vero canale. Alcuni segnalanti scriveranno a qualunque indirizzo trovino. La vostra procedura deve dire cosa succede a queste email (vedi «Lasciare la casella» più sotto).

La posta elettronica ha anche un vantaggio reale rispetto a un modulo web: funziona nei due sensi. Potete dare l'avviso di ricevimento, fare domande e dare riscontro, purché il segnalante accetti di essere contattato a quell'indirizzo.

Verificate la vostra casella

In Italia ogni punto qui sotto è, di fatto, una delle contromisure che la vostra valutazione d'impatto sulla protezione dei dati dovrebbe individuare e giustificare perché l'ANAC consideri adeguata la posta elettronica. Dieci verifiche, nell'ordine in cui una segnalazione circola. Per ciascuna: come verificarla e come colmare la lacuna con gli strumenti che avete già. Per la maggior parte basta mezz'ora con il vostro amministratore di posta. Se non sapete rispondere a una, contatela come un «no».

1. L'indirizzo non serve a nient'altro.

   Verificare: la casella contiene qualcosa di diverso dalle segnalazioni, come richieste al personale, posta dei fornitori o newsletter?

   Correggere: create un nuovo indirizzo riservato alle segnalazioni. Non riusate hr@ né una casella condivisa esistente di cui non conoscete la storia degli accessi.

2. Solo i gestori designati possono aprirla, ciascuno con le proprie credenziali.

   Verificare: elencate tutte le persone con accesso completo, delega o permesso «Invia come» sulla casella. In Microsoft 365 si trova nelle impostazioni di delega della cassetta postale nell'interfaccia di amministrazione di Exchange; in Google Workspace, nella delega della posta dell'account. Chiedete se qualcuno condivide una password.

   Correggere: rimuovete chiunque non sia un gestore designato e date a ciascuno un accesso personale invece di una password condivisa.

3. Nessuna copia esce dalla casella.

   Verificare: cercate inoltri impostati sulla casella, regole della posta in arrivo create dai suoi utenti e regole di flusso della posta o di instradamento a livello di organizzazione che copiano i messaggi altrove (regole di trasporto di Exchange, regole di routing e di conformità di Gmail). Controllate anche il journaling, che invia una copia di ogni messaggio a un archivio.

   Correggere: disattivate inoltri e regole della posta in arrivo, ed escludete l'indirizzo da ogni regola di journaling o di copia.

4. Sapete chi altro può entrare, e lo avete limitato il più possibile.

   Verificare: chi può reimpostare la password della casella può leggerla. Lo stesso vale per chi può lanciare una ricerca eDiscovery o Google Vault, o ripristinare un backup. E i log di invio e ricezione, che l'ANAC cita espressamente, restano sul server di posta. Annotate chi ha questi ruoli.

   Correggere: riducete questi ruoli al minor numero possibile di persone, attivate avvisi sulle reimpostazioni di password e sulle ricerche eDiscovery relative a questa casella, e documentate l'accesso residuo nella valutazione d'impatto. Potete ridurre questo elenco, non eliminarlo. È il motivo principale per cui l'ANAC considera la posta elettronica di per sé non adeguata.

5. Gli avvisi di ricevimento partono dal canale, entro 7 giorni.

   Verificare: chi risponde, da quale indirizzo e in quanto tempo? Una risposta dall'account personale di un gestore porta il suo nome, e la conversazione, in una seconda casella.

   Correggere: rispondete solo dall'indirizzo dedicato. Una risposta automatica che conferma la ricezione e indica quando aspettarsi un riscontro copre l'avviso di ricevimento entro 7 giorni dell'art. 5 del D.Lgs. 24/2023, purché non dica nulla sul contenuto.

6. I termini sono monitorati fuori dalla casella.

   Verificare: per l'ultima segnalazione, sapete dire quando è stato dato l'avviso di ricevimento e quando scade il riscontro?

   Correggere: tenete un registro, per esempio un foglio di calcolo con accesso limitato allo stesso modo, con la data di ricezione, la data dell'avviso e la scadenza del riscontro tre mesi dopo (art. 5). Designate la persona che lo controlla ogni settimana.

7. Ogni segnalazione è documentata e ha una data di cancellazione.

   Verificare: potreste mostrare a un'autorità l'elenco di tutte le segnalazioni ricevute quest'anno e l'esito di ciascuna? Alla scadenza, una segnalazione sparirebbe anche da archivi, backup e criteri di conservazione?

   Correggere: aggiungete al registro l'esito e una data di cancellazione. L'art. 14 del D.Lgs. 24/2023 consente di conservare segnalazioni e documentazione per non oltre cinque anni dalla comunicazione dell'esito finale. Verificate che nessun criterio di conservazione mantenga per anni gli elementi eliminati da questa casella, e cancellate secondo il calendario. Vedi Scegliere una politica di conservazione.

8. I segnalanti conoscono il rischio della casella di lavoro.

   Verificare: la vostra procedura dice che un'email inviata dalla casella aziendale lascia una copia nella posta inviata, su server amministrati dall'azienda? L'ANAC indica proprio questo come fattore che aumenta il rischio.

   Correggere: ditelo, e indicate che si può scrivere da un indirizzo personale. Se accettate segnalazioni anonime, spiegate come farlo per email, sapendo che il peso ricade interamente sul segnalante. Vedi Segnalazione anonima o identificata.

9. Esiste un canale orale.

   Verificare: qualcuno può segnalare senza scrivere nulla, e chiedere un incontro diretto?

   Correggere: in Italia non è facoltativo: le Linee guida ANAC (par. 2.2) chiedono di garantire sia la forma scritta sia quella orale. Pubblicate una linea telefonica o un sistema di messaggistica vocale accanto all'indirizzo, e indicate nella procedura come chiedere un incontro. Vedi Segnalazioni vocali e anonimizzazione.

10. Le segnalazioni sui gestori vanno altrove, e gli accessi sopravvivono alle uscite.

    Verificare: se una segnalazione riguarda qualcuno con accesso alla casella, dove arriva? Quando un gestore lascia l'azienda, chi revoca il suo accesso e controlla che non resti alcun inoltro?

    Correggere: indicate nella vostra procedura un contatto alternativo, per esempio un membro dell'organo amministrativo o un consulente esterno, con un proprio canale. Aggiungete la casella alla checklist delle uscite e ripetete le verifiche da 2 a 4 ogni trimestre.

Quello che nessuna impostazione può correggere

Alcune lacune dipendono da come funziona la posta elettronica, non da come è configurata la vostra casella:

• Qualcuno può sempre entrare. Per quanto limitiate l'accesso, un amministratore può reimpostare la password o cercare nella casella, e i log restano. Il canale è riservato al personale autorizzato per regola, non per progettazione.
• L'anonimato costa fatica al segnalante. Segnalare in forma anonima richiede di creare prima un account separato, e il messaggio porta comunque intestazioni e metadati.
• La copia del segnalante. Una segnalazione inviata dalla casella aziendale lascia sui vostri server una traccia che non potete eliminare senza entrare nella sua casella.
• La documentazione vive fuori dal canale. Registro, termini e traccia delle attività sono un foglio di calcolo separato da aggiornare a mano. Se un'autorità o un giudice chiede cosa è successo e quando, «ecco le email ed ecco il nostro foglio» è una risposta più debole di un registro con data e ora di ogni azione. Vedi audit logging: mantenere un registro difendibile.

Cosa richiede gestire una casella nel tempo

Anche se ogni verifica è superata, in Italia la casella resta adeguata solo finché le contromisure reggono. Tenerle in piedi richiede lavoro continuo:

• una revisione degli accessi ogni trimestre, e dopo ogni uscita o modifica informatica
• un registro aggiornato a mano per ogni segnalazione, confrontato con i termini ogni settimana
• una linea telefonica o messaggistica vocale separata, con i propri limiti di accesso
• cancellazioni secondo il calendario, nella casella, nel registro, negli archivi e nei backup
• una valutazione d'impatto aggiornata che giustifichi ogni accesso che non avete potuto eliminare

Niente di tutto questo è difficile, ma tutto dipende da qualcuno che se ne ricordi.

Perché le aziende passano a Provoxis

Provoxis è costruito per questo compito, quindi la maggior parte delle verifiche qui sopra è già risolta prima che arrivi la vostra prima segnalazione:

Niente revisioni trimestrali degli accessi nel sistema di posta, nessun foglio da tenere allineato, niente da ricostruire quando un gestore se ne va. L'attivazione è in autonomia con una checklist guidata, il prezzo è un canone mensile fisso (vedi prezzi) e c'è una prova gratuita di 30 giorni.

Lasciare la casella

1. Pubblicate il nuovo canale ovunque compariva l'indirizzo email: sito web, procedura, manuale del dipendente e documenti per i fornitori.
2. Mantenete il vecchio indirizzo per un po', con una risposta automatica che rimanda alla nuova pagina di segnalazione. Qualcuno continuerà a usarlo.
3. Per le segnalazioni che arrivano ancora via email, ci sono due strade. Rispondete dall'indirizzo dedicato chiedendo al segnalante di inviare la segnalazione dalla pagina di segnalazione, così riceve un proprio riferimento del caso. Oppure, se preferisce di no, inviate la segnalazione per suo conto, indicando che è arrivata via email, e mandate il riferimento del caso solo a lui, perché possa seguirla da lì.
4. Occupatevi di ciò che resta nella casella. Chiudete i casi aperti dove sono, o trasferiteli allo stesso modo. Cancellate il resto alla scadenza del periodo di conservazione, poi dismettete la casella.

Base giuridica

• Linee guida ANAC n. 1/2025 sui canali interni di segnalazione, delibera n. 478 del 26 novembre 2025 (ANAC) — obbligo di garantire sia la forma scritta sia quella orale (par. 2.2); posta elettronica ordinaria e certificata di per sé non adeguate senza contromisure motivate.
• Art. 4, D.Lgs. 24/2023 — canali interni che garantiscono la riservatezza anche tramite crittografia.
• Art. 5, D.Lgs. 24/2023 — avviso di ricevimento entro 7 giorni e riscontro entro 3 mesi.
• Art. 13, comma 6, D.Lgs. 24/2023 — misure tecniche e organizzative definite sulla base di una valutazione d'impatto sulla protezione dei dati.
• Art. 14, D.Lgs. 24/2023 — conservazione per non oltre cinque anni dalla comunicazione dell'esito finale.
• Art. 6(2), art. 9(1)(a)–(f), art. 9(2), art. 16, art. 18, Direttiva (UE) 2019/1937 — anonimato lasciato agli Stati membri; progettazione sicura e accesso solo al personale autorizzato; termini; persona designata; segnalazione scritta, orale o entrambe; riservatezza dell'identità; documentazione.
• § 16 HinSchG — accesso solo per le persone competenti; segnalazione orale o scritta, e incontro su richiesta. La relazione al disegno di legge (BT-Drs. 20/3442, p. 81) conferma che basta una delle due forme.
• Décret n° 2022-1284, art. 4 e 6 (Légifrance) — segnalazione scritta o orale; integrità, riservatezza e divieto di accesso al personale non autorizzato.
• Ley 2/2023, art. 5.2, 7.2 e 7.3 (BOE) — sistema sicuro; segnalazione scritta e orale; accettazione delle segnalazioni anonime.
• Wet bescherming klokkenluiders, art. 2 (wetten.overheid.nl) — segnalazione scritta e orale, e incontro su richiesta.
• Legge polacca sulla protezione dei segnalanti del 14 giugno 2024, art. 25–27 — contenuto della procedura; segnalazione orale e scritta (anche elettronica); nessun accesso per persone non autorizzate.
• Protected Disclosures Act 2014 (Irlanda), s.5A e s.6A (versione consolidata) — segnalazioni anonime; canali interni sicuri e riservati.