Dejan Jasnic · Co-fondatore e Compliance Lead, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter

In Italia il D.Lgs. 10 marzo 2023, n. 24 recepisce la direttiva europea sul whistleblowing e obbliga molte imprese ad attivare un canale whistleblowing: un canale interno attraverso cui lavoratori, collaboratori e altre persone possono segnalare violazioni in modo riservato. Questa guida spiega quali aziende sono obbligate, quali requisiti deve rispettare il canale, chi può gestirlo e quali sanzioni applica l’ANAC.

La base giuridica: D.Lgs. 24/2023 e direttiva (UE) 2019/1937

La direttiva (UE) 2019/1937 impone agli Stati membri di proteggere chi segnala violazioni del diritto dell’Unione e di prevedere canali di segnalazione interna. L’Italia l’ha recepita con il decreto legislativo 10 marzo 2023, n. 24, in vigore dal 30 marzo 2023 e applicabile dal 15 luglio 2023. Il decreto riunisce in un unico testo la disciplina del settore pubblico e di quello privato, prima distribuita tra l’art. 54-bis del D.Lgs. 165/2001, l’art. 6 del D.Lgs. 231/2001 e la legge n. 179/2017.

Le indicazioni operative sono dettate dall’Autorità Nazionale Anticorruzione (ANAC), che ha approvato linee guida sul canale esterno (delibera n. 311 del 12 luglio 2023) e sui canali interni (delibera n. 478 del 26 novembre 2025).

Quali aziende devono attivare un canale whistleblowing?

Il canale whistleblowing è obbligatorio per i soggetti del settore privato che rientrano in almeno una di queste categorie (art. 2, comma 1, lettera q, D.Lgs. 24/2023):

  • imprese che nell’ultimo anno hanno impiegato in media almeno 50 lavoratori subordinati, con contratto a tempo indeterminato o determinato;
  • imprese che rientrano negli atti dell’Unione indicati nelle parti I.B e II dell’allegato, cioè servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente, anche con meno di 50 dipendenti;
  • enti che hanno adottato un modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001, indipendentemente dal numero di dipendenti.

Per le imprese private fino a 249 lavoratori l’obbligo decorre dal 17 dicembre 2023 (art. 24, comma 2); per le altre si applica dal 15 luglio 2023. Le imprese con non più di 249 lavoratori possono condividere il canale interno e la sua gestione (art. 4, comma 4). Maggiori dettagli nel nostro articolo su quali aziende hanno l’obbligo del canale di segnalazione.

Chi può segnalare e che cosa si può segnalare?

Il decreto tutela chi acquisisce informazioni sulle violazioni nel proprio contesto lavorativo (art. 3, comma 3): lavoratori subordinati, lavoratori autonomi e collaboratori, liberi professionisti e consulenti, volontari e tirocinanti, anche non retribuiti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. La protezione vale anche prima dell’inizio del rapporto, durante il periodo di prova e dopo il suo scioglimento (art. 3, comma 4). Si estende inoltre ai facilitatori, ai colleghi e alle persone legate al segnalante da uno stabile legame affettivo o di parentela entro il quarto grado (art. 3, comma 5).

Nelle imprese private il canale riguarda le violazioni del diritto dell’Unione (art. 2, comma 1, lettera a, numeri da 3 a 6). Rientrano, ad esempio, appalti pubblici, servizi finanziari, sicurezza dei prodotti, ambiente, tutela dei consumatori e protezione dei dati. Negli enti dotati di modello 231 riguarda anche le condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 e le violazioni del modello. Se l’ente con modello 231 ha meno di 50 dipendenti, la tutela copre solo queste ultime e solo tramite il canale interno (art. 3, comma 2). Restano escluse le contestazioni di carattere personale che riguardano esclusivamente il proprio rapporto individuale di lavoro (art. 1, comma 2).

Requisiti del canale whistleblowing secondo il D.Lgs. 24/2023

Il decreto fissa requisiti precisi per il canale di segnalazione interna:

  • Modalità di segnalazione: in forma scritta, anche con modalità informatiche, oppure in forma orale tramite linee telefoniche o sistemi di messaggistica vocale; su richiesta del segnalante, anche con un incontro diretto fissato entro un termine ragionevole (art. 4, comma 3).
  • Riservatezza: il canale garantisce, anche con strumenti di crittografia, la riservatezza dell’identità del segnalante, della persona coinvolta e delle persone menzionate, oltre che del contenuto della segnalazione e della documentazione (art. 4, comma 1). Senza il consenso espresso del segnalante, la sua identità non può essere rivelata a persone diverse da quelle competenti (art. 12).
  • Confronto sindacale: il canale si attiva sentite le rappresentanze o le organizzazioni sindacali (art. 4, comma 1).
  • Termini: avviso di ricevimento entro sette giorni dalla ricezione; riscontro entro tre mesi dalla data dell’avviso o, in mancanza, dalla scadenza dei sette giorni (art. 5).
  • Informazioni chiare: le informazioni su canale interno, canale esterno, procedure e presupposti sono esposte nei luoghi di lavoro e pubblicate in una sezione dedicata del sito web, se presente (art. 5, comma 1, lettera e).
  • Conservazione: segnalazioni e documentazione sono conservate per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell’esito finale (art. 14).

Protezione dei dati nel canale whistleblowing

Il canale whistleblowing tratta dati particolarmente delicati. Ogni trattamento deve rispettare il GDPR e il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003). I dati manifestamente inutili per la gestione di una specifica segnalazione non vanno raccolti o, se raccolti per errore, vanno cancellati subito (art. 13, comma 2). L’impresa tratta i dati come titolare e definisce il proprio modello di gestione sulla base di una valutazione d’impatto sulla protezione dei dati (art. 13, commi 4 e 6). Se l’impresa ha nominato un responsabile della protezione dei dati (DPO), è opportuno coinvolgerlo fin dalla scelta del canale. Il DPO aiuta in particolare a definire i profili di accesso e i tempi di conservazione. Approfondisca nella nostra guida sulla DPIA per il whistleblowing.

Come attivare il canale whistleblowing: passo per passo

  1. Verificare l’obbligo: calcoli la media dei lavoratori subordinati dell’ultimo anno e controlli se l’impresa opera in un settore regolato o ha adottato un modello 231.
  2. Individuare il gestore: affidi la gestione a una persona o a un ufficio interno autonomo e formato, oppure a un soggetto esterno con gli stessi requisiti.
  3. Sentire i sindacati: prima dell’attivazione coinvolga le rappresentanze o le organizzazioni sindacali.
  4. Predisporre gli strumenti: scelga una piattaforma informatica con crittografia che accetti segnalazioni scritte e orali e consenta di fissare un incontro diretto su richiesta.
  5. Adottare una procedura: descriva come le segnalazioni vengono ricevute, valutate, documentate e chiuse nei termini di legge. Negli enti con modello 231 il canale va previsto nel modello e il sistema disciplinare deve sanzionare gli illeciti del decreto.
  6. Informare e formare: pubblichi le informazioni sul sito e nei luoghi di lavoro e formi le persone incaricate della gestione.

Chi gestisce il canale: gestore interno o esterno?

La gestione del canale può essere affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato. In alternativa, l’impresa può incaricare un soggetto esterno, anch’esso autonomo e formato (art. 4, comma 2). Un gestore esterno, come uno studio professionale o un fornitore specializzato, offre spesso maggiore indipendenza e competenza. In entrambi i casi l’impresa resta responsabile del corretto funzionamento del canale. Se una segnalazione interna arriva a una persona diversa dal gestore, va trasmessa entro sette giorni al soggetto competente, informandone il segnalante (art. 4, comma 6).

Canale interno e canale esterno dell'ANAC

Il segnalante non può scegliere liberamente il canale esterno: può rivolgersi all’ANAC solo se ricorre almeno una delle condizioni dell’art. 6:

  • il canale interno obbligatorio non è attivo o non è conforme;
  • la segnalazione interna non ha avuto seguito;
  • il segnalante ha fondati motivi di ritenere che una segnalazione interna non avrebbe efficace seguito o lo esporrebbe a ritorsioni;
  • la violazione può costituire un pericolo imminente o palese per il pubblico interesse.

Le segnalazioni esterne si presentano tramite la piattaforma informatica dell’ANAC (art. 7), mentre la divulgazione pubblica è protetta solo in casi ancora più limitati (art. 15). Un canale interno accessibile e affidabile è quindi il modo migliore perché le violazioni emergano e si risolvano prima all’interno dell’impresa.

Divieto di ritorsioni e sanzioni ANAC

Il segnalante non può subire alcuna ritorsione (art. 17). Licenziamento, sospensione, mutamento di funzioni, note di merito negative, misure disciplinari e danni alla reputazione sono solo alcuni esempi. Nei procedimenti sulle ritorsioni si presume che il comportamento lesivo sia conseguenza della segnalazione: l’onere della prova che sia motivato da ragioni estranee spetta a chi lo ha posto in essere. Gli atti ritorsivi sono nulli e il lavoratore licenziato a causa della segnalazione ha diritto alla reintegrazione (art. 19). Le tutele valgono anche per chi ha segnalato in forma anonima ed è stato poi identificato (art. 16, comma 4).

L’ANAC applica al responsabile sanzioni amministrative pecuniarie (art. 21):

  • da 10.000 a 50.000 euro se accerta ritorsioni, se la segnalazione è stata ostacolata o si è tentato di ostacolarla, oppure se è stato violato l’obbligo di riservatezza;
  • da 10.000 a 50.000 euro se non sono stati istituiti canali di segnalazione, se mancano le procedure o non sono conformi agli articoli 4 e 5, oppure se le segnalazioni ricevute non sono state verificate e analizzate;
  • da 500 a 2.500 euro nei confronti del segnalante, nei casi di responsabilità per diffamazione o calunnia previsti dall’art. 16, comma 3, salvo che sia stato condannato, anche in primo grado, per gli stessi reati.

Gli enti con modello 231 devono inoltre prevedere nel proprio sistema disciplinare sanzioni per i responsabili di questi illeciti (art. 21, comma 2).

I vantaggi di un canale whistleblowing

Il canale whistleblowing non è solo un obbligo, ma anche un vantaggio. L’impresa viene a conoscenza dei problemi in anticipo e può verificarli internamente prima che diventino danni o notizie di stampa. Allo stesso tempo rafforza la fiducia di dipendenti, clienti e partner commerciali. Per gli enti dotati di modello 231, un canale ben funzionante è parte integrante del sistema di prevenzione dei reati.

Conclusione

Per le imprese con almeno 50 dipendenti, per quelle dei settori regolati e per gli enti con modello 231 il canale whistleblowing è obbligatorio. Il D.Lgs. 24/2023 stabilisce con precisione come deve funzionare: segnalazioni riservate, termini certi, gestore autonomo, conservazione limitata dei dati e tutela contro le ritorsioni. Con il software per il canale whistleblowing di Trusty può soddisfare questi requisiti senza progetti IT, da 49 EUR al mese.

Letture correlate: Indagini di whistleblowing: doveri e limiti dei manager e Importanza di un canale di whistleblowing crittografato.

Domande frequenti

Il D.Lgs. 10 marzo 2023, n. 24, che recepisce la direttiva (UE) 2019/1937. Obbliga ad attivare un canale di segnalazione interna le imprese private con in media almeno 50 lavoratori subordinati, quelle dei settori regolati dal diritto dell'Unione e gli enti con modello 231.

Il DPO, se nominato, affianca l'impresa nella configurazione del canale nel rispetto del GDPR, ad esempio per la valutazione d'impatto, i profili di accesso e i tempi di conservazione. Le segnalazioni e la relativa documentazione si conservano non oltre cinque anni dalla comunicazione dell'esito finale (art. 14, D.Lgs. 24/2023).

Entrambe le soluzioni sono ammesse: la gestione può essere affidata a una persona o a un ufficio interno autonomo e formato, oppure a un soggetto esterno con gli stessi requisiti (art. 4, comma 2, D.Lgs. 24/2023).

Il canale fa emergere i problemi in anticipo, rafforza la fiducia e la cultura aziendale e aiuta a evitare sanzioni e danni reputazionali. Per gli enti con modello 231 è anche uno strumento del sistema di prevenzione dei reati.

Il gestore rilascia l'avviso di ricevimento entro sette giorni dalla ricezione e fornisce un riscontro entro tre mesi dalla data dell'avviso o, in mancanza, dalla scadenza dei sette giorni (art. 5, D.Lgs. 24/2023).

Da 10.000 a 50.000 euro per ritorsioni, ostacolo alle segnalazioni, violazione della riservatezza, mancata istituzione dei canali o procedure non conformi. Da 500 a 2.500 euro nei confronti del segnalante nei casi di responsabilità per diffamazione o calunnia (art. 21, D.Lgs. 24/2023).

SOFTWARE DI WHISTLEBLOWING
DA 49 EUR AL MESE

Trusty Whistleblowing: un canale di segnalazione conforme alla Direttiva UE sul Whistleblowing, attivo in pochi minuti senza progetti IT. Da 49 EUR al mese, prova gratuita di 7 giorni.

Inizi la Sua prova gratuita →