L’analisi normativa e giuridica dell’Avvocato Maurizio Lucca sul diritto all’anonimato del segnalante nel contesto del whistleblowing.

Le segnalazioni (o esposti o denunce, attività del c.d. whistleblower) rivolte all’Amministrazione possono, a volte, dar corso a procedimenti di verifica/controllo/ispezione, con conseguenze su determinati soggetti che possono vedersi inibita l’attività, ovvero rilevati abusi o altro genere di irregolarità (non solo di natura amministrativa).

A fronte di un fatto di questa natura, i destinatari dell’attività di indagine formulano una richiesta di accesso documentale, da ricomprendere tutti gli atti: quelli istruttori ed anche di provenienza del privato (la segnalazione).

L’Amministrazione, in relazione all’apporto procedimentale, può consentire l’accesso pieno alla segnalazione, ritenendo, nel bilanciamento del diritto del richiedente e della riservatezza del segnalante [1], di inibire il disvelamento del nominativo di quest’ultimo, rilevando che:

• l’esposto è una segnalazione che può entrare nel procedimento amministrativo, come atto d’impulso o probatorio [2];
• il segnalante è il sottoscrittore dell’esposto e il nominativo è un dato personale, ossia riferito alla persona.

Il nominativo del segnalante e il diritto all’anonimato

Invero, il nominativo dell’autore di una segnalazione a rigore non costituisce un “atto amministrativo” ma, secondo la definizione contenuta nell’art. 4, comma 1, lett.1) del GDPR (Regolamento UE 679/2016) un “dato personale” [3], che trova protezione giuridica di rango costituzionale nell’art. 8 della Carta dei diritti fondamentali dell’Unione europea (c.d. Carta di Nizza), ratificata in Italia con legge 2 agosto 2008, n. 130, secondo cui «ognuno ha diritto alla protezione dei dati personali che lo riguardano», dati che devono essere trattati «secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge» (c.d. responsabilizzazione/accountability).

Diversa risulta, invece, la disciplina dell’accesso agli “atti amministrativi”, prevista dagli artt. 22 ss. della legge n. 241/1990 che può essere consentito, ricorrendone i presupposti, a chi vi abbia un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l’accesso.

Con riferimento, dunque, all’istanza di accesso ad una “segnalazione”, va distinta l’accessibilità al documento in quanto tale (l’esposto/segnalazione/denuncia) rispetto all’accessibilità ai dati personali (che comprende il nominativo di chi la sottoscrive) eventualmente nella stessa contenuti che, atteso il rango costituzionale della protezione agli stessi concesso dall’ordinamento, non può che trovare la propria disciplina nella specifica disciplina predisposta a livello europeo e nella legge nazionale (nei termini che seguono) [4].

Il caso

La sez. II del TAR Liguria, con la sentenza n. 599 del 23 agosto 2024, fornisce delle soluzioni operative al fine di garantire l’accesso pieno agli esposti, oscurando il nominativo del segnalante.

Nello specifico, un’azienda dedita al commercio all’ingrosso, avendo ricevuto, con esito negativo (assenza di irregolarità), un controllo (ispezione) da parte dell’Autorità sanitaria, chiede di acquisire l’esposto integrale che ha originato l’attività ispettiva, al fine di tutelare la propria onorabilità e reputazione.

L’Amministrazione rigettava l’istanza, ritenendo (c.d. bilanciamento) prevalente l’interesse alla riservatezza del segnalante (il quale si sarebbe opposto) all’interesse dell’istante all’accesso ai documenti richiesti; seguiva, altresì, un ulteriore fase di riesame del diniego presso il difensore civico regionale (con pari esito).

Donde il ricorso.

Merito

Il Giudice adito accoglie il ricorso, differenziando il dato personale, il firmatario della segnalazione, dal contenuto della stessa.

Infatti, annota:

• la disciplina comunitaria di riferimento [5], dal tenore letterale, rileva come gli strumenti di tutela del segnalante non prevedano la esclusione del diritto di accesso alle segnalazioni ma soltanto la «protezione dei dati personali delle persone che segnalano una violazione»;
• i dati personali delle persone devono essere intesi come i dati, quali le generalità, in grado di identificare univocamente le persone segnalanti (effettuando il c.d. disvelamento);
• tale protezione non si estende al contenuto delle segnalazioni, altrimenti si ammetterebbe la tutela della denuncia anonima, inammissibile in un ordinamento democratico.

Fatta questa premessa di inquadramento, si individua la puntuale fonte di riferimento, passando da quella comunitaria sull’accesso (alias trattamento) al dato (finalità) a quella nazionale sul diritto di accesso documentale (e suoi limiti):

• l’art. 86, Trattamento e accesso del pubblico ai documenti ufficiali, del Regolamento 27 aprile 2016, n. 2016/679 UE stabilisce: «I dati personali contenuti in documenti ufficiali in possesso di un’autorità pubblica o di un organismo pubblico o privato per l’esecuzione di un compito svolto nell’interesse pubblico possono essere comunicati da tale autorità o organismo conformemente al diritto dell’Unione o degli Stati membri cui l’autorità pubblica o l’organismo pubblico sono soggetti, al fine di conciliare l’accesso del pubblico ai documenti ufficiali e il diritto alla protezione dei dati personali ai sensi del presente regolamento»;
• a sua volta l’art. 59, Accesso a documenti amministrativi e accesso civico, del d.lgs. 30 giugno 2003, n. 196 stabilisce: «Fatto salvo quanto previsto dall’articolo 60, i presupposti, le modalità, i limiti per l’esercizio del diritto di accesso a documenti amministrativi contenenti dati personali, e la relativa tutela giurisdizionale, restano disciplinati dalla legge 7 agosto 1990, n. 241, e successive modificazioni e dalle altre disposizioni di legge in materia, nonché dai relativi regolamenti di attuazione, anche per ciò che concerne i tipi di dati di cui agli articoli 9 e 10 del regolamento e le operazioni di trattamento eseguibili in esecuzione di una richiesta di accesso. 1-bis. I presupposti, le modalità e i limiti per l’esercizio del diritto di accesso civico restano disciplinati dal decreto legislativo 14 marzo 2013, n. 33»;
• si ricava che la disciplina applicabile è quella della legge n. 241/1090, che deve armonizzarsi (contemperare) con la disciplina comunitaria a tutela del segnalante, adoperando l’accorgimento della c.d. anonimizzazione, mediante l’oscuramento (c.d. mascheramento) delle generalità dell’esponente (un processo di tutela del dato che impedisca l’individuazione della persona fisica firmataria, rientrante tra le misure di sicurezza del trattamento).

Si giunge alla conclusione del pieno diritto all’accesso all’esposto, avendo cura di usare quella cautela (competenza del titolare) capace di impedire l’identificazione del nominativo di colui che ha sottoscritto l’esposto (anche se in altri casi, questa limitazione non è avvenuta) [6], confermando l’orientamento giurisprudenziale di un interesse qualificato ad acquisire la documentazione che ha originato l’ispezione, da parte di colui che ne subisce gli effetti/conseguenze [7].

La sentenza, in parte, si aggiunge ad altri orientamenti che consentono (di contro) l’accesso totale all’esposto, compreso il nominativo del segnalante, osservando un aspetto rilevante che deve essere assegnato all’istruttoria, quando l’esposto ha originato un’attività di controllo/ispezione, dovendo sempre – caso per caso – bilanciare la tutela della riservatezza con il diritto di accesso documentale, per tutelare le opposte ragioni [8], anche sotto il profilo reputazionale [9]: un equilibrato trade off tra l’esigenza di garantire il diritto di difesa al’“segnalato” e l’esigenza di garantire l’anonimato al segnalante/dichiarante.

Note

[1] Il diritto di accesso agli atti va comunque garantito dall’eventuale oscuramento dei dati personali di terzi per esigenze di protezione degli stessi, TAR Liguria, sez. I, 18 marzo 2019, n. 233; Cons. Stato, sez. III, 16 luglio 2018, n. 4312; TAR Emilia – Romagna, sez. I, 7 marzo 2018, n. 211.

[2] Allorquando l’accertamento di un illecito amministrativo sia fondato su autonomi atti di ispezione dell’Autorità amministrativa, l’esposto del privato ha il solo effetto di sollecitare il promovimento d’ufficio del procedimento, senza acquisire efficacia probatoria, con la conseguenza che in tali evenienze, di regola, per il destinatario del provvedimento finale non sussiste la necessità di conoscere gli esposti al fine di difendere i propri interessi giuridici, a meno che non siano rappresentate particolari esigenze; ciò, del resto, corrisponde al fatto che, di fronte al diritto alla riservatezza del terzo, la pretesa di conoscenza dell’esposto da parte del richiedente, se svincolata dalla preordinazione all’esercizio del diritto di difesa, acquista un obiettivo connotato ritorsivo che l’ordinamento non può tutelare: il diniego dell’ostensione del nominativo del segnalante risulta giustificato qualora la conoscenza dell’autore o degli autori dell’esposto non assume rilievo a fini difensivi, ma costituisce la mera soddisfazione di una curiosità, con pericolo di future ritorsioni, Cons. Stato, sez. III, 1° marzo 2021, n. 1717; TAR Piemonte, sez. II, 10 maggio 2012, n. 537; TAR Emilia-Romagna, sez. II, 17 ottobre 2018, n. 772.

[3] La nozione di dato personale: «qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale».

[4] TAR Emilia Romagna, sez. II, 8 febbraio 2022, n. 136.

[5] L’art. 140, Segnalazione di violazioni, del regolamento 15 marzo 2017, n. 625/2017 UE stabilisce: «Gli Stati membri provvedono affinché le autorità competenti dispongano di meccanismi efficaci che consentano la segnalazione di violazioni, potenziali o effettive, del presente regolamento.2.I meccanismi di cui al paragrafo 1 includono almeno: a) procedure per il ricevimento di segnalazioni di violazioni e per il relativo seguito; b) protezione adeguata delle persone che segnalano una violazione da ritorsioni, discriminazioni o altri tipi di trattamento iniquo; e c) protezione dei dati personali delle persone che segnalano una violazione in conformità del diritto dell’Unione e nazionale». In generale, la fonte Comunitaria che tutela il segnalante, c.d. whistleblower, è la Direttiva (Ue) 2019/1937 del Parlamento Europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione, che già nel primo considerando pone al centro la tutela dell’informatore: «i potenziali informatori sono spesso poco inclini a segnalare inquietudini e sospetti nel timore di ritorsioni. In tale contesto, l’importanza di garantire una protezione equilibrata ed efficace degli informatori è sempre più riconosciuta a livello sia unionale che internazionale». La disciplina nazionale di recepimento all’art. 12, Obbligo di riservatezza, del d.lgs. 10 marzo 2023, n. 24, Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali, prevede che «l’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati (si applica la disciplina del regolamento (UE) 679/2016 e d.lgs. n. 196/2003)».

[6] Cfr. TAR Lazio, Roma, sez. II, 12 gennaio 2023, n. 538, dove si ritiene possibile l’accesso all’esposto, oscurando i dati sensibili (ex art. 9 del GDPR, include tali dati nell’ambito del “trattamento di categorie particolari di dati personali”), rilevando, tuttavia, che una volta pervenuto nella sfera di conoscenza dell’Amministrazione (la segnalazione), costituisce un documento che assume rilievo procedimentale come presupposto di un’attività, e, di conseguenza, il denunciante perde consapevolmente la disponibilità sulla propria segnalazione. Quest’ultima, infatti, diventa un elemento del procedimento amministrativo e come tale nella disponibilità dell’Amministrazione: la sua divulgazione, pertanto, non è preclusa da generiche esigenze di tutela della riservatezza, giacché il già menzionato diritto non assume un’estensione tale da includere il diritto all’anonimato di colui che rende una dichiarazione che comunque va ad incidere nella sfera giuridica di terzi.

[7] Il giudice richiama i precedenti secondo i quali nel nostro ordinamento, ispirato a principi democratici di trasparenza e responsabilità, non sono ammesse “denunce segrete”: colui il quale subisce un procedimento di controllo o ispettivo ha un interesse qualificato a conoscere integralmente tutti i documenti amministrativi utilizzati nell’esercizio del potere di vigilanza, a partire dagli atti di iniziativa e di preiniziativa quali, appunto, denunce, segnalazioni o esposti, TAR Toscana, sez. I, 3 luglio 2017, n. 898; TAR Lombardia, Brescia, sez. I, 12 luglio 2016, n. 980; TAR Lazio, Roma, sez. III, 1° giugno 2011, n. 4989; Cons. Stato, sez. V, 19 maggio 2009, n. 3081.

[8] Vedi, M. LUCCA, Pieno accesso ad un verbale di segnalazione, lentepubblica.it, 1° luglio 2024.

[9] Le denunce pervenute alla PA non possono essere sottratte al diritto di accesso, salvo il differimento, il quale (oltre ai casi in cui è normativamente disciplinato, come in materia di procedure di gara, cfr. TAR, Lazio, Roma, sez. II, 18 novembre 2022, n. 15347), dipende da una concreta valutazione caso per caso delle ragioni di tutela di terzi o dell’istruttoria che va, quindi, adeguatamente motivata, TAR Lazio, Roma, sez. II bis, 26 giugno 2023, n. 10723.

Fonte: articolo dell'Avv. Maurizio Lucca - Segretario Generale Enti Locali e Development Manager