Il gestore della segnalazione nei piccoli comuni: un conflitto strutturale che non si può più ignorare

Con le Linee Guida approvate alla fine del 2025, l’Autorità nazionale anticorruzione è tornata sui canali interni di segnalazione e ha messo a fuoco un profilo che nella prima fase di applicazione della disciplina era rimasto in ombra: chi gestisce concretamente la segnalazione, con quale grado di autonomia, e che cosa succede quando quella persona coincide con il vertice dell’ente segnalato.

Il principio affermato è che il gestore opera in autonomia e che l’organo di indirizzo politico-amministrativo non può interferire con l’attività istruttoria. Enunciato così, sembra un’ovvietà. Applicato a un comune di tremila abitanti, è un problema di struttura che nella grande maggioranza dei casi non è stato ancora affrontato.

Come è organizzato oggi un ente locale piccolo

Nella generalità dei comuni di piccole dimensioni il responsabile della prevenzione della corruzione e della trasparenza è il segretario comunale. Non è una scelta discrezionale: è l’assetto che la normativa indica come ordinario, e negli enti privi di dirigenza è spesso l’unico possibile.

Quello stesso segretario è, di regola, anche il vertice amministrativo dell’ente. Sovrintende alla gestione, esprime pareri sugli atti, partecipa alle sedute degli organi collegiali, in molti casi è responsabile di uno o più servizi. E in un numero crescente di enti è in convenzione: divide il proprio tempo fra due, tre, talvolta quattro comuni.

Su questa figura la disciplina del whistleblowing fa convergere la gestione del canale interno: ricezione della segnalazione, avviso di ricevimento nei termini, istruttoria, interlocuzione con il segnalante, riscontro sull’esito entro i mesi previsti, tutela della riservatezza per l’intera durata e conservazione dei dati per il periodo consentito.

Dove il meccanismo si inceppa

Il problema non è il carico di lavoro, per quanto reale. Il problema è che una parte non trascurabile delle segnalazioni che arrivano in un ente locale riguarda proprio l’organizzazione che il gestore dirige, o atti sui quali il gestore stesso ha espresso un parere di regolarità.

Si pensi a una segnalazione su una procedura di affidamento: il segretario che deve istruirla è, con ogni probabilità, la stessa persona che ha vistato la determina. A una segnalazione su un’assunzione: è la stessa persona che ha presieduto o convalidato la procedura. A una segnalazione che coinvolge un amministratore: è la persona che con quell’amministratore lavora quotidianamente e dal cui organo dipende, in ultima analisi, la conferma del proprio incarico.

Non è questione di correttezza individuale. La stragrande maggioranza dei segretari comunali che ho incontrato affronta queste situazioni con scrupolo, e spesso con disagio. È questione di struttura: si sta chiedendo a una persona di istruire in autonomia un procedimento su un’organizzazione di cui è il vertice. Nessun livello di correttezza personale rende quella posizione neutrale, e nessun segnalante ragionevole la percepisce come tale.

L’effetto che si produce, e che non si vede

L’esito non è, quasi mai, una gestione scorretta. È qualcosa di più difficile da misurare: la segnalazione non arriva.

Il dipendente che ha notato qualcosa e sa che dovrà scriverlo al proprio segretario — che è anche il suo superiore, e che potrebbe essere coinvolto — sceglie fra tre strade. Tace. Oppure si rivolge direttamente all’Autorità, saltando il canale interno che l’ente ha faticosamente attivato. Oppure ne parla fuori, con esiti che nessuno controlla.

Un canale interno che nessuno usa produce, agli atti, un dato tranquillizzante: zero segnalazioni. Che viene letto come assenza di problemi, mentre è la misura della sfiducia nel canale. È l’unico indicatore in cui il valore migliore e il valore peggiore coincidono.

Che cosa si può fare, restando dentro le regole

Le soluzioni esistono, non richiedono risorse rilevanti e sono compatibili con l’assetto ordinario.

La prima è distinguere il responsabile della prevenzione dal gestore del canale. La normativa consente di affidare la gestione a un soggetto diverso, anche esterno, purché dotato dei requisiti di autonomia e delle competenze necessarie. Per un comune piccolo è la strada più lineare: il segretario resta responsabile della strategia di prevenzione, la gestione operativa delle segnalazioni va altrove.

La seconda è la gestione associata. Comuni che già condividono servizi in unione o in convenzione possono condividere anche il canale, individuando un gestore unico che rispetto a ciascun ente sia terzo. È una soluzione che riduce i costi e aumenta l’affidabilità percepita, perché chi segnala sa che l’istruttoria non resta dentro le mura del proprio municipio.

La terza è una procedura scritta che disciplini il conflitto invece di ignorarlo: che cosa accade quando la segnalazione riguarda il gestore, o l’organo da cui dipende, o un atto su cui ha già espresso una valutazione. Deve essere previsto prima, perché nel momento in cui la segnalazione arriva è tardi per stabilire chi debba trattarla.

La quarta riguarda gli strumenti. Garantire la riservatezza dell’identità con una casella di posta e una cartella condivisa non è realistico. Non serve un investimento importante, serve uno strumento che separi i dati identificativi dal contenuto e tenga traccia dei termini, che sono perentori e decorrono dalla ricezione.

Il nodo che quasi nessuno affronta: la riservatezza è un obbligo di protezione dei dati

Nella pratica degli enti la disciplina delle segnalazioni viene trattata come un adempimento a sé, affidato al responsabile della prevenzione, mentre la protezione dei dati personali viaggia su un binario separato, affidata al responsabile della protezione dei dati e al titolare. È una separazione comoda e sbagliata.

Una segnalazione contiene, per definizione, dati personali di almeno tre soggetti: chi segnala, chi è segnalato, e le persone eventualmente coinvolte nei fatti. Contiene spesso dati che meritano protezione rafforzata, perché descrivono condotte suscettibili di rilievo disciplinare o penale. E la tutela della riservatezza dell’identità del segnalante non è una buona pratica: è un obbligo la cui violazione produce conseguenze su entrambi i piani, quello sanzionatorio proprio della materia e quello della protezione dei dati.

Da qui alcune conseguenze operative che negli enti piccoli sono spesso disattese. Il trattamento va inserito nel registro delle attività di trattamento, con la propria base giuridica e i propri tempi di conservazione. Chi accede al canale deve essere formalmente autorizzato e istruito, e l’autorizzazione deve essere nominativa, non riferita a un ufficio. Se il canale è fornito da un soggetto esterno — ed è la soluzione più diffusa nei comuni piccoli — quel soggetto è responsabile del trattamento e va nominato con un atto che disciplini anche la sorte dei dati alla cessazione del rapporto.

C’è poi una valutazione che raramente viene fatta e che in molti casi sarebbe dovuta: quella d’impatto. Un canale che raccoglie in forma strutturata segnalazioni su condotte illecite, con dati idonei a rivelare l’identità di chi le compie e di chi le denuncia, ha caratteristiche che rendono l’analisi preventiva tutt’altro che superflua.

Chi progetta il canale guardando solo alla disciplina delle segnalazioni costruisce metà del presidio, e in genere è la metà che non protegge il segnalante nel momento in cui contano davvero: quando qualcuno, dentro l’ente, prova a capire chi ha parlato.

Le verifiche da fare, in un pomeriggio

• Chi è formalmente il gestore del canale interno? Se coincide con il responsabile della prevenzione, è una scelta consapevole o è l’esito di un modello copiato?
• La procedura prevede che cosa accade se la segnalazione riguarda il gestore stesso o l’organo di indirizzo? Se non lo prevede, è la lacuna da colmare per prima.
• Quante segnalazioni sono arrivate dall’attivazione del canale? Se sono zero, la domanda non è «va tutto bene», è «il canale è conosciuto e ritenuto affidabile».
• Il personale sa che il canale esiste, dove si trova e chi lo gestisce? La formazione documentata è essa stessa una misura di prevenzione.
• L’avviso di ricevimento e il riscontro sull’esito sono gestiti con scadenze tracciate, o affidati alla memoria di chi riceve?
• Per quanto tempo vengono conservati i dati, e chi vi accede materialmente? Il tema si intreccia con la protezione dei dati personali, e i due adempimenti vanno letti insieme.

Perché conviene occuparsene adesso

L’inadempimento in questa materia non è privo di conseguenze: l’Autorità dispone di un potere sanzionatorio che colpisce la mancata istituzione del canale e l’adozione di procedure non conformi, con importi che per il bilancio di un comune piccolo non sono trascurabili.

Ma la ragione migliore non è la sanzione. È che questa è una delle poche materie in cui la conformità formale e l’utilità sostanziale possono davvero coincidere. Un canale che funziona fa emergere i problemi quando sono ancora piccoli e correggibili, e risparmia all’ente il momento in cui gli stessi fatti emergono da un’altra parte, in un contesto che l’amministrazione non governa più.

Un ente locale che riceve segnalazioni interne non è un ente in difficoltà. È un ente in cui qualcuno si fida abbastanza da parlare prima.

Il presente contributo ha finalità esclusivamente informativa, dà conto del quadro alla data di pubblicazione e non costituisce parere legale sul caso concreto. L’organizzazione del canale interno va valutata sulla situazione specifica di ciascun ente.

Fonti: decreto legislativo 10 marzo 2023, n. 24; Linee Guida ANAC in materia di canali interni di segnalazione; Piano nazionale anticorruzione 2026-2028; decreto legislativo 18 agosto 2000, n. 267.