Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del Consiglio ACFE Swiss Chapter
Sì. Ai sensi della Legge spagnola 2/2023, ogni datore di lavoro privato con almeno 50 dipendenti deve dotarsi di un canale di segnalazione interno, così come tutti gli enti del settore pubblico. Alcuni soggetti privati sono obbligati a prescindere dalle dimensioni: quelli che rientrano nelle norme UE su servizi finanziari, antiriciclaggio, sicurezza dei trasporti e ambiente, oltre a partiti politici, sindacati e organizzazioni datoriali che ricevono fondi pubblici. Il sistema deve accettare segnalazioni scritte o orali, consentire quelle anonime e prevedere un gestore designato, il Responsable del Sistema. Non dotarsene quando è obbligatorio può costituire un’infrazione molto grave, con sanzioni fino a 1 milione di euro per le imprese.
Questa guida spiega chi deve avere un canale di segnalazione, cosa deve fare il canale e chi vigila sull’applicazione della legge. Per una panoramica della legge stessa, consulti il nostro articolo sulla Legge 2/2023: Protezione dei Whistleblower.
Ley 2/2023
Un canale interno a norma senza doverne costruire uno da soli. Trusty Whistleblowing è conforme alla Legge 2/2023, con segnalazioni anonime, una casella di posta bidirezionale e il tracciamento automatico delle scadenze di 7 giorni e 3 mesi.
In sintesi: chi deve avere un canale
- Settore privato: persone fisiche e società con 50 o più lavoratori (Articolo 10.1.a).
- Settori e organizzazioni specifici: indipendentemente dal numero di dipendenti (Articoli 10.1.b e 10.1.c).
- Settore pubblico: tutti gli enti che compongono il settore pubblico (Articolo 13).
I termini sono scaduti. La maggior parte dei soggetti obbligati aveva tempo fino al 13 giugno 2023. Le entità private fino a 249 lavoratori e i comuni con meno di 10.000 abitanti avevano tempo fino al 1° dicembre 2023. Le entità non obbligate possono istituire un sistema su base volontaria.
Aziende obbligate indipendentemente dalle dimensioni
L’articolo 10.1.b riguarda le entità private che rientrano nell’ambito di applicazione degli atti UE elencati nelle parti I.B e II dell’allegato alla Direttiva Whistleblowing, Direttiva (UE) 2019/1937. Questi riguardano:
- servizi, prodotti e mercati finanziari;
- prevenzione del riciclaggio di denaro e del finanziamento del terrorismo;
- sicurezza dei trasporti;
- protezione dell’ambiente.
L’articolo 10.1.c aggiunge partiti politici, sindacati, organizzazioni datoriali e le fondazioni da essi create, qualora ricevano o gestiscano fondi pubblici.
Se non è sicuro che la Sua attività rientri in uno di questi atti UE, chieda una consulenza. In un gruppo, ogni società deve valutare se sia essa stessa obbligata, come indicato nella Raccomandazione 1/2026 dell’AAI.
Cosa deve fare il canale
- Scritto, orale o entrambi. Le segnalazioni possono essere effettuate per iscritto, verbalmente o in entrambi i modi. Su richiesta del segnalante, deve essere tenuto un incontro faccia a faccia entro sette giorni (Articolo 7.2).
- Segnalazioni anonime. I canali interni devono consentire l’invio e il seguito di segnalazioni anonime (Articolo 7.3).
- Riservatezza. Il sistema deve proteggere l’identità del segnalante e di ogni terza parte menzionata in una segnalazione.
- Responsable del Sistema. L’organo di governo nomina il responsabile del sistema che, nel settore privato, dovrebbe essere un alto dirigente. La nomina e l’eventuale revoca devono essere notificate all’AAI, o all’autorità regionale competente, entro dieci giorni lavorativi (Articolo 8.3).
- Scadenze. Conferma di ricezione entro sette giorni di calendario (Articolo 9.2.c). Risposta entro un massimo di tre mesi dalla ricezione, prorogabile fino ad altri tre mesi in casi particolarmente complessi (Articolo 9.2.d).
- Diritti della persona coinvolta. Ha il diritto di essere informata degli atti o delle omissioni che le vengono attribuiti (Articolo 9.2.f).
- Registro. Tenere un registro (libro-registro) delle segnalazioni ricevute. I dati non possono mai essere conservati per più di dieci anni (Articolo 26). I dati devono essere cancellati dal sistema tre mesi dopo la ricezione se non è stata avviata alcuna indagine, a meno che non vengano conservati per dimostrare il funzionamento del sistema (Articolo 32.4).
- Consultazione. L’organo di governo implementa il sistema previa consultazione dei rappresentanti legali dei lavoratori (Articolo 5).
Il nostro protocollo per il canale di whistleblowing e la nostra guida su quali tipi di reclami possono essere presentati coprono la procedura in modo più dettagliato.
tracciate per Lei
Tenga sotto controllo le scadenze di 7 giorni e 3 mesi. Trusty invia conferme automatiche, traccia ogni scadenza e conserva registri dei casi a prova di manomissione, con periodi di conservazione configurabili e promemoria di cancellazione.
Gruppi di società e canali condivisi
- Gruppi. La società capogruppo approva una politica generale sul sistema di segnalazione interna e il gruppo può avere un unico sistema e un unico Responsable del Sistema (Articolo 11).
- Risorse condivise. Le società con un numero di dipendenti compreso tra 50 e 249 possono condividere il sistema e le sue risorse, se lo desiderano (Articolo 12).
- Outsourcing. La gestione del sistema, inclusa la ricezione delle segnalazioni, può essere affidata a una terza parte esterna. La responsabilità resta in capo all’entità obbligata (Articolo 6).
- Settore pubblico. I comuni con meno di 10.000 abitanti possono condividere le risorse (Articolo 14). Gli enti pubblici possono esternalizzare la gestione solo laddove dimostrino che le proprie risorse sono insufficienti (Articolo 15).
Sanzioni
La Legge 2/2023 classifica le infrazioni come molto gravi, gravi o lievi. La mancata adozione di un sistema di segnalazione interna come richiesto dalla legge può costituire un’infrazione molto grave. Per le infrazioni molto gravi, le sanzioni vanno da 600.001 € a 1.000.000 € per le persone giuridiche e da 30.001 € a 300.000 € per le persone fisiche. Le infrazioni gravi e lievi comportano sanzioni inferiori.
Le infrazioni molto gravi possono anche portare a sanzioni accessorie: un richiamo pubblico, il divieto di ricevere sovvenzioni pubbliche o di stipulare contratti pubblici e, per le persone giuridiche, la pubblicazione della sanzione nella Gazzetta Ufficiale dello Stato (BOE).
Chi vigila: l'AAI e le autorità regionali
L’Autorità Indipendente per la Protezione dell’Informante (Autoridad Independiente de Protección del Informante, A.A.I.) è l’autorità nazionale. Il suo statuto è stato approvato con il Regio Decreto 1101/2024 del 29 ottobre. Manuel Villoria Mendieta è stato nominato suo presidente nell’aprile 2025 e l’autorità ha iniziato a operare il 1° settembre 2025.
Da ottobre 2026 l’AAI gestisce un canale esterno che accetta segnalazioni, anche anonime. Ha aperto la sua sede elettronica per le notifiche del Responsable del Sistema nel febbraio 2026 e ha emesso raccomandazioni, tra cui la Raccomandazione 1/2026 sui sistemi di segnalazione interna. Il settore privato rientra nelle sue competenze. La sua pagina delle notizie non riporta finora alcuna sanzione.
Diverse comunità autonome hanno le proprie autorità, come l’Oficina Antifrau de Catalunya, l’Agència Valenciana Antifrau, la cui competenza è limitata al settore pubblico, e l’Oficina Andaluza contra el Fraude y la Corrupción. Nel settembre 2026 l’AAI ha incontrato le autorità regionali di nove comunità per coordinare il loro lavoro. Approfondisci il ruolo dell’Autorità Indipendente per la Protezione dell’Informante.
Come aiuta Trusty Whistleblowing
Trusty Whistleblowing è conforme alla Legge 2/2023 con un canale di segnalazione che accetta segnalazioni anonime o identificate, a scelta dell’organizzazione, e consente ai segnalanti anonimi di continuare il dialogo attraverso una casella di posta sicura. I segnalanti possono richiedere un incontro tramite la casella di posta e il piano Advanced aggiunge la segnalazione vocale basata su browser. Le conferme sono automatiche, le scadenze di 7 giorni e 3 mesi vengono tracciate e i registri dei casi sono a prova di manomissione.
I periodi di conservazione sono configurabili con promemoria di cancellazione, i dati sono ospitati in un data center certificato ISO 27001 in Germania ed è disponibile un accordo sul trattamento dei dati per ogni cliente.
Cerchi un canale di segnalazione per la Sua azienda in Spagna? Trusty configura un canale di segnalazione interna a partire da 49 € al mese.
Questo articolo contiene informazioni generali, non consulenza legale. Fonti: Ley 2/2023, de 20 de febrero (BOE); AEPD, Informe 0060/2023; Agència Valenciana Antifrau, 88 preguntas y respuestas; Real Decreto 1101/2024; Real Decreto 328/2025; Orden PJC/908/2025; Autoridad Independiente de Protección del Informante; Notizie AAI, 22 settembre 2026.
Domande frequenti
Sì, per i datori di lavoro privati con 50 o più dipendenti, per tutti gli enti del settore pubblico e per determinate entità indipendentemente dalle dimensioni, come quelle che rientrano nell'ambito di applicazione delle norme UE sui servizi finanziari, il riciclaggio di denaro, la sicurezza dei trasporti e l'ambiente.
In generale no. Ne ha bisogno se rientra nella norma di settore dell'Articolo 10.1.b, o se è un partito politico, un sindacato, un'organizzazione datoriale o una fondazione correlata che riceve o gestisce fondi pubblici. Anche le aziende più piccole possono istituire un canale su base volontaria.
Sì. L'articolo 6 consente di affidare la gestione del sistema, inclusa la ricezione delle segnalazioni, a una terza parte esterna. La responsabilità resta in capo all'azienda.
Sì. L'articolo 7.3 richiede che i canali interni consentano l'invio e il seguito di segnalazioni anonime.
La mancata adozione di un sistema di segnalazione interna obbligatorio può costituire un'infrazione molto grave, con sanzioni da 600.001 € a 1.000.000 € per le persone giuridiche e da 30.001 € a 300.000 € per le persone fisiche, oltre a possibili sanzioni accessorie.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.