Dejan Jasnic · Cofondateur et responsable conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil de l’ACFE Swiss Chapter
Le 26 novembre 2025, l’ANAC, l’autorité nationale anticorruption italienne, a adopté ses premières lignes directrices consacrées aux canaux de signalement internes des lanceurs d’alerte en Italie (Linee Guida n. 1/2025, Delibera n. 478). Elles précisent comment les entités soumises au décret législatif 24/2023 doivent gérer leurs canaux internes. Points clés : le courriel ordinaire et le courriel certifié (PEC) ne suffisent pas à eux seuls, les plateformes chiffrées sont à privilégier, la personne chargée des signalements doit être autonome et formée, et la formation doit toucher l’ensemble du personnel. Les entreprises qui disposent déjà d’un canal n’ont pas à repartir de zéro, mais doivent le vérifier au regard de ces nouvelles lignes directrices.
Cet article explique qui doit disposer d’un canal, ce que disent les lignes directrices, ce qui a changé et propose une liste de contrôle. Pour le contexte sur la manière dont l’Italie a mis en œuvre la directive UE, lisez notre interview sur la directive Whistleblowing en Italie.
les contrôles de l’ANAC
Un canal interne qui ne repose pas sur l’e-mail. Trusty Whistleblowing répond aux exigences du décret législatif 24/2023 avec des connexions chiffrées, une boîte de réception bidirectionnelle anonyme et le suivi automatique des délais de 7 jours et de 3 mois.
Qui doit disposer d’un canal interne en Italie
Le décret législatif 24/2023 du 10 mars 2023 met en œuvre la directive européenne sur les lanceurs d’alerte. Dans le secteur privé, un canal de signalement interne est obligatoire pour :
- les entités ayant employé en moyenne au moins 50 salariés au cours de l’année précédente ;
- les entités des secteurs couverts par les actes de l’UE listés aux parties I.B et II de l’annexe, tels que les services financiers et la lutte contre le blanchiment, même avec moins de 50 salariés ;
- les entités ayant adopté un modèle d’organisation et de gestion au titre du décret législatif 231/2001 (un « modèle 231 »), même avec moins de 50 salariés.
Les règles sont entrées en vigueur le 15 juillet 2023. Les entités privées employant en moyenne jusqu’à 249 salariés avaient jusqu’au 17 décembre 2023 pour mettre en place leur canal interne, et elles peuvent partager un canal et sa gestion. Le texte consolidé en vigueur à compter du 24 janvier 2026 couvre aussi les signalements de violations des mesures restrictives de l’UE (sanctions).
Ce que disent les lignes directrices de l’ANAC sur les canaux internes
Le décret fixe le cadre. Les signalements peuvent être faits par écrit, y compris via des outils informatiques, ou oralement, par ligne téléphonique ou messagerie vocale, ainsi que lors d’un entretien en face à face à la demande de l’auteur du signalement. La gestion doit être confiée à une personne ou un service interne autonome et dédié, doté de personnel spécifiquement formé, ou à un tiers externe. Les représentants des travailleurs doivent être consultés avant l’activation du canal. L’auteur du signalement reçoit un accusé de réception sous sept jours et un retour d’information dans les trois mois suivant l’accusé de réception.
Les Linee Guida n. 1/2025 de l’ANAC ajoutent des précisions pratiques :
- L’e-mail ne suffit pas à lui seul. L’e-mail ordinaire et la PEC sont jugés, à eux seuls, inadaptés pour protéger la confidentialité, car les systèmes de messagerie génèrent des journaux. Ils ne peuvent être utilisés qu’avec des contre-mesures spécifiques et justifiées, identifiées dans l’analyse d’impact relative à la protection des données (AIPD).
- Plateformes avec chiffrement. L’ANAC privilégie les plateformes informatiques qui chiffrent les données au repos et attribuent à l’auteur du signalement un code unique pour assurer le suivi.
- Signalements oraux. Les appels et messages vocaux ne peuvent être enregistrés qu’avec le consentement de l’auteur du signalement. Sinon, une note détaillée est établie. Le procès-verbal d’un entretien non enregistré doit également être signé par l’auteur du signalement.
- Le gestionnaire du signalement (gestore). Interne ou externe, le gestionnaire doit être autonome, impartial, indépendant et spécifiquement formé. Un suppléant doit être désigné à l’avance en cas de conflit d’intérêts. Le délégué à la protection des données ne devrait généralement pas être le gestionnaire, même si les entités de moins de 50 salariés peuvent cumuler les rôles avec justification.
- Signalements anonymes. Même les signalements anonymes doivent être enregistrés et leur documentation conservée.
- Formation. Le gestionnaire a besoin d’une formation spécifique avec des mises à jour périodiques, et la formation du personnel doit concerner l’ensemble des effectifs.
- Consultation syndicale. La consultation des représentants des travailleurs est uniquement informative, et le délai qui leur est accordé n’est pas contraignant.
- Canaux partagés. Les entités privées jusqu’à 249 salariés qui partagent un canal ont besoin d’un contrat et deviennent co-responsables du traitement des données.
Ce qui a changé et quand
Jusqu’à fin 2025, la principale orientation de l’ANAC était la Delibera n. 311 du 12 juillet 2023, centrée sur le canal externe. Deux décisions du 26 novembre 2025, publiées au Journal officiel le 29 décembre 2025, ont changé la donne :
- La Delibera n. 478 a approuvé les lignes directrices sur les canaux internes, après une consultation publique lancée le 7 novembre 2024, en tenant compte de l’avis du Garante, l’autorité italienne de protection des données.
- La Delibera n. 479 a modifié les lignes directrices de 2023, notamment les sections sur les canaux internes, le canal externe de l’ANAC et la confidentialité de l’auteur du signalement.
Nous n’avons trouvé aucun délai de mise en conformité distinct dans les nouvelles lignes directrices. Pour les canaux existants, l’ANAC indique qu’il suffit de vérifier qu’ils sont adéquats au regard des nouvelles lignes directrices. Son plan de supervision pour 2026 précise qu’elle contrôlera la manière dont les entités publiques et privées se sont adaptées, et cite comme problèmes fréquents l’absence de canaux et de procédures ainsi que les atteintes à la confidentialité.
Si votre canal repose encore sur l’e-mail, notre comparaison des logiciels de whistleblowing, de l’e-mail et des hotlines présente les options.
dès la conception
L’identité de l’auteur du signalement reste réservée aux personnes qui doivent la connaître. Les auteurs de signalement peuvent rester anonymes et assurer le suivi via une boîte de réception sécurisée, sans stockage des adresses IP et avec un journal d’audit complet de chaque action.
Le rôle de l’ANAC : le canal externe et les sanctions
L’ANAC gère le canal de signalement externe et peut infliger des amendes administratives au titre de l’article 21 du décret :
Manquement | Sanction |
|---|---|
Représailles, entrave ou tentative d’entrave à un signalement, ou atteinte à la confidentialité | 10 000 € à 50 000 € |
Absence de canaux de signalement, absence de procédures, procédures non conformes aux articles 4 et 5, ou signalements non vérifiés et analysés | 10 000 € à 50 000 € |
Auteur du signalement tenu responsable de diffamation ou de calomnie en raison d’une faute intentionnelle ou d’une négligence grave | 500 € à 2 500 € |
Selon le règlement de sanctions de l’ANAC, les amendes pour canaux manquants ou non conformes sont infligées à l’organe de direction, solidairement avec ses membres, et les amendes pour défaut de vérification des signalements au gestionnaire. L’ANAC utilise ces pouvoirs : dans une décision du 9 septembre 2026, elle a infligé à chaque membre de l’organe de traitement des signalements d’une entreprise privée une amende de 15 000 € pour atteinte à la confidentialité de l’auteur du signalement. Elle a précisé que l’atteinte existe que des tiers aient effectivement identifié ou non l’auteur du signalement.
Liste de contrôle : ce qu’il faut vérifier dans votre canal dès maintenant
- Confirmez si vous êtes dans le champ d’application : effectifs, secteur et existence d’un modèle 231.
- Remplacez les canaux par e-mail ou PEC, ou consignez des contre-mesures justifiées dans votre AIPD.
- Vérifiez que votre plateforme chiffre les données au repos et fournit aux auteurs de signalement un code de suivi.
- Proposez des signalements écrits et oraux ainsi qu’un entretien sur demande, avec enregistrement fondé sur le consentement.
- Désignez un gestionnaire autonome et formé, ainsi qu’un suppléant en cas de conflit d’intérêts, et vérifiez si votre DPO cumule aussi ce rôle.
- Suivez les délais d’accusé de réception de 7 jours et de retour d’information de 3 mois.
- Enregistrez les signalements anonymes et conservez leur documentation.
- Conservez les enregistrements pendant au plus cinq ans à compter de l’issue finale.
- Mettez à jour votre AIPD whistleblowing, exigée par l’article 13(6) du décret.
- Formez le gestionnaire et l’ensemble du personnel, et actualisez la formation périodiquement.
- Si vous exploitez des canaux dans plusieurs pays, alignez-les : voir whistleblowing pour les employeurs multi-pays.
Comment Trusty Whistleblowing aide
Trusty Whistleblowing fournit aux entreprises italiennes un canal interne qui ne dépend pas de l’e-mail. Les auteurs de signalement peuvent rester anonymes et assurer le suivi via une boîte de réception sécurisée bidirectionnelle. Le signalement écrit est inclus dans tous les forfaits, le forfait Advanced ajoute le signalement vocal via navigateur avec distorsion de la voix, et les auteurs de signalement peuvent demander un entretien via la boîte de réception. Les accusés de réception sont automatiques et les délais de 7 jours et de 3 mois sont suivis.
Les données sont hébergées dans un centre de données certifié ISO 27001 en Allemagne, les connexions sont chiffrées et un accord de traitement des données est disponible pour chaque client. Chaque forfait inclut aussi 30 jours de la Compliance App, avec une formation en ligne au whistleblowing pour les employés.
Vous cherchez un logiciel de whistleblowing pour l’Italie ? Trusty met en place un canal de signalement interne à partir de 49 € par mois.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Sources : décret législatif 24/2023 ; décret législatif 24/2023, texte consolidé (Normattiva) ; ANAC, Delibera n. 478/2025 et Linee Guida n. 1/2025 ; ANAC, Delibera n. 479/2025 ; ANAC, Delibera n. 311/2023 ; ANAC, whistleblowing ; Actualités ANAC, 6 octobre 2026.
Questions fréquentes
Il s’agit des orientations de l’Autorité nationale anticorruption italienne sur l’application du décret législatif 24/2023. La Delibera n. 311/2023, modifiée en novembre 2025, couvre le canal externe. Les Linee Guida n. 1/2025, approuvées par la Delibera n. 478 du 26 novembre 2025, couvrent les canaux internes.
Les entités privées ayant employé en moyenne 50 salariés ou plus au cours de l’année précédente, les entités des secteurs listés aux parties I.B et II de l’annexe quelle que soit leur taille, et les entités ayant adopté un modèle 231 quelle que soit leur taille.
Pas à lui seul. L’ANAC considère l’e-mail ordinaire et la PEC, à eux seuls, comme inadaptés pour protéger la confidentialité, sauf si des contre-mesures spécifiques et justifiées sont identifiées dans l’AIPD.
10 000 € à 50 000 € pour les représailles, l’entrave, les atteintes à la confidentialité, l’absence de canaux ou des canaux non conformes, et le défaut de vérification des signalements. Un auteur de signalement tenu responsable de diffamation ou de calomnie peut être sanctionné d’une amende de 500 € à 2 500 €.
L’obligation vient du décret : l’article 13(6) impose aux entités de définir leur modèle de signalement sur la base d’une AIPD. Les lignes directrices de l’ANAC renvoient au document d’AIPD et indiquent que le responsable du traitement peut s’appuyer sur l’appui du prestataire.
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts de la conformité.