Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del Consiglio ACFE Swiss Chapter
Il 26 novembre 2025 l’ANAC, l’Autorità Nazionale Anticorruzione, ha approvato le prime linee guida dedicate ai canali interni di segnalazione whistleblowing (Linee Guida n. 1/2025, Delibera n. 478). Spiegano come i soggetti tenuti al D.Lgs. 24/2023 devono gestire i propri canali interni. I punti principali: la posta elettronica ordinaria e la PEC da sole non bastano, sono da preferire piattaforme con crittografia, chi gestisce le segnalazioni deve essere autonomo e formato, e la formazione deve raggiungere tutto il personale. Chi ha già un canale non deve ripartire da zero, ma deve verificarlo alla luce delle nuove linee guida.
Questo articolo illustra chi deve dotarsi di un canale, cosa prevedono le linee guida, cosa è cambiato e propone una checklist per la Sua verifica. Per un approfondimento su come l’Italia ha recepito la Direttiva UE, legga la nostra intervista sulla Direttiva Whistleblowing in Italia.
verifiche dell'ANAC
Un canale interno che non si basa sull’e-mail. Trusty Whistleblowing è conforme al D.Lgs. 24/2023, con connessioni crittografate, una casella di posta anonima bidirezionale e il monitoraggio automatico delle scadenze di 7 giorni e 3 mesi.
Chi deve dotarsi di un canale interno in Italia
Il D.Lgs. 24/2023 del 10 marzo 2023 recepisce la Direttiva Whistleblowing dell’UE. Nel settore privato, un canale di segnalazione interna è obbligatorio per:
- i soggetti che hanno impiegato in media almeno 50 lavoratori nell’ultimo anno;
- i soggetti operanti nei settori disciplinati dagli atti UE elencati nelle Parti I.B e II dell’Allegato, come i servizi finanziari e l’antiriciclaggio, anche con meno di 50 lavoratori;
- i soggetti che hanno adottato un modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001 (un “modello 231”), anche con meno di 50 lavoratori.
Le norme sono entrate in vigore il 15 luglio 2023. I soggetti privati con una media fino a 249 dipendenti avevano tempo fino al 17 dicembre 2023 per dotarsi del canale interno, e possono condividere un canale e la sua gestione. Il testo consolidato in vigore dal 24 gennaio 2026 copre anche le segnalazioni di violazioni delle misure restrittive UE (sanzioni).
Cosa prevedono le linee guida ANAC sui canali interni
Il decreto fissa la cornice normativa. Le segnalazioni possono essere fatte per iscritto, anche tramite strumenti informatici, o oralmente, tramite linea telefonica o messaggistica vocale, e in un incontro diretto su richiesta del segnalante. La gestione deve essere affidata a una persona o un ufficio interno autonomo e dedicato con personale specificamente formato, oppure a un soggetto esterno. Le rappresentanze sindacali devono essere consultate prima dell’attivazione del canale. Il segnalante riceve un avviso di ricevimento entro sette giorni e un riscontro entro tre mesi dall’avviso di ricevimento.
Le Linee Guida ANAC n. 1/2025 aggiungono dettagli pratici:
- L’e-mail da sola non basta. L’e-mail ordinaria e la PEC sono considerate di per sé non adeguate a proteggere la riservatezza, perché i sistemi di posta generano log. Possono essere usate solo con contromisure specifiche e motivate individuate nella valutazione d’impatto sulla protezione dei dati (DPIA).
- Piattaforme con crittografia. L’ANAC preferisce piattaforme informatiche che crittografano i dati a riposo e forniscono al segnalante un codice univoco per seguire la segnalazione.
- Segnalazioni orali. Le chiamate e i messaggi vocali possono essere si registri solo con il consenso del segnalante. In caso contrario, viene redatto un verbale dettagliato. Il verbale di un incontro non registrato deve inoltre essere sottoscritto dal segnalante.
- Il gestore della segnalazione. Interno o esterno, il gestore deve essere autonomo, imparziale, indipendente e specificamente formato. Un sostituto deve essere individuato in anticipo per i casi di conflitto di interessi. Il responsabile della protezione dei dati non dovrebbe generalmente coincidere con il gestore, sebbene i soggetti con meno di 50 dipendenti possano cumulare i ruoli con adeguata motivazione.
- Segnalazioni anonime. Anche le segnalazioni anonime devono essere registrate e la relativa documentazione conservata.
- Formazione. Il gestore necessita di una formazione specifica con aggiornamenti periodici, e la formazione del personale deve coinvolgere tutti i dipendenti.
- Consultazione sindacale. La consultazione delle rappresentanze sindacali ha solo valore informativo, e il termine loro concesso non è vincolante.
- Canali condivisi. I soggetti privati con un massimo di 249 dipendenti che condividono un canale necessitano di un contratto e diventano contitolari del trattamento dei dati.
Cosa è cambiato e quando
Fino alla fine del 2025, il principale riferimento dell’ANAC era la Delibera n. 311 del 12 luglio 2023, incentrata sul canale esterno. Due delibere del 26 novembre 2025, pubblicate in Gazzetta Ufficiale il 29 dicembre 2025, hanno cambiato il quadro:
- La Delibera n. 478 ha approvato le linee guida sui canali interni, dopo una consultazione pubblica avviata il 7 novembre 2024, tenendo conto del parere del Garante, l’autorità italiana per la protezione dei dati.
- La Delibera n. 479 ha modificato le linee guida del 2023, incluse le sezioni sui canali interni, sul canale esterno dell’ANAC e sulla riservatezza del segnalante.
Non abbiamo riscontrato una scadenza di compliance separata nelle nuove linee guida. Per i canali già esistenti, l’ANAC afferma che è sufficiente verificarne l’adeguatezza rispetto alle nuove linee guida. Il suo piano di vigilanza per il 2026 prevede che verificherà come i soggetti pubblici e privati si sono adeguati, indicando come criticità ricorrenti l’assenza di canali e procedure e le violazioni della riservatezza.
Se il Suo canale si basa ancora sull’e-mail, il nostro confronto tra software di whistleblowing, e-mail e hotline illustra le opzioni disponibili.
by design
Mantenga l’identità del segnalante accessibile solo a chi ne ha bisogno. I segnalanti possono restare anonimi e seguire l’esito attraverso una casella di posta sicura, senza memorizzazione di indirizzi IP e con un log di controllo completo di ogni azione.
Il ruolo dell'ANAC: il canale esterno e le sanzioni
L’ANAC gestisce il canale di segnalazione esterno e può irrogare sanzioni amministrative ai sensi dell’Articolo 21 del decreto:
Violazione | Sanzione |
|---|---|
Ritorsione, ostacolo o tentato ostacolo a una segnalazione, o violazione della riservatezza | da 10.000 € a 50.000 € |
Assenza di canali di segnalazione, assenza di procedure, procedure non conformi agli Articoli 4 e 5, o segnalazioni non verificate e analizzate | da 10.000 € a 50.000 € |
Segnalante ritenuto responsabile di diffamazione o calunnia per dolo o colpa grave | da 500 € a 2.500 € |
Ai sensi del regolamento sanzionatorio dell’ANAC, le sanzioni per canali mancanti o non conformi sono irrogate all’organo di gestione, in solido con i suoi membri, e le sanzioni per la mancata verifica delle segnalazioni al gestore. L’ANAC esercita questi poteri: in una delibera del 9 settembre 2026 ha sanzionato ciascun membro dell’organo di gestione delle segnalazioni di un’azienda privata con 15.000 € per violazione della riservatezza del segnalante. Ha affermato che la violazione sussiste indipendentemente dal fatto che terzi abbiano effettivamente identificato il segnalante.
Checklist: cosa verificare ora nel Suo canale
- Confermi se rientra nell’ambito di applicazione: numero di dipendenti, settore e presenza di un modello 231.
- Sostituisca i canali e-mail o PEC, oppure documenti contromisure motivate nella Sua DPIA.
- Verifichi che la Sua piattaforma crittografi i dati a riposo e fornisca ai segnalanti un codice per seguire la segnalazione.
- Offra la possibilità di segnalazione scritta e orale e un incontro su richiesta, con registrazione basata sul consenso.
- Nomini un gestore autonomo e formato e un sostituto per i conflitti di interesse, e verifichi se il Suo DPO ricopre anche questo ruolo.
- Monitori le scadenze di 7 giorni per l’avviso di ricevimento e di 3 mesi per il riscontro.
- Registri le segnalazioni anonime e ne conservi la documentazione.
- Conservi i registri per non più di cinque anni dall’esito definitivo.
- Aggiorni la Sua DPIA sul whistleblowing, richiesta dall’Articolo 13, comma 6, del decreto.
- Formi il gestore e tutto il personale, e aggiorni periodicamente la formazione.
- Se gestisce canali in più paesi, li allinei: consulti whistleblowing per datori di lavoro multi-paese.
Come aiuta Trusty Whistleblowing
Trusty Whistleblowing offre alle aziende italiane un canale interno che non dipende dall’e-mail. I segnalanti possono restare anonimi e seguire l’esito attraverso una casella di posta sicura e bidirezionale. La segnalazione scritta è inclusa in ogni piano, il piano Advanced aggiunge la segnalazione vocale via browser con distorsione della voce, e i segnalanti possono richiedere un incontro tramite la casella di posta. Gli avvisi di ricevimento sono automatici e le scadenze di 7 giorni e 3 mesi sono monitorate.
I dati sono ospitati in un data center certificato ISO 27001 in Germania, le connessioni sono crittografate e un accordo sul trattamento dei dati è disponibile per ogni cliente. Ogni piano include inoltre 30 giorni di Compliance App, con formazione online sul whistleblowing per i dipendenti.
Sta cercando un software di whistleblowing per l’Italia? Trusty configura un canale di segnalazione interna a partire da 49 € al mese.
Questo articolo fornisce informazioni generali, non una consulenza legale. Fonti: D.Lgs. 24/2023; D.Lgs. 24/2023, testo consolidato (Normattiva); ANAC, Delibera n. 478/2025 e Linee Guida n. 1/2025; ANAC, Delibera n. 479/2025; ANAC, Delibera n. 311/2023; ANAC, whistleblowing; ANAC, notizia del 6 ottobre 2026.
Domande frequenti
Sono indicazioni dell'Autorità Nazionale Anticorruzione italiana sull'applicazione del D.Lgs. 24/2023. La Delibera n. 311/2023, modificata a novembre 2025, riguarda il canale esterno. Le Linee Guida n. 1/2025, approvate con Delibera n. 478 del 26 novembre 2025, riguardano i canali interni.
I soggetti privati con una media di 50 o più lavoratori nell'ultimo anno, i soggetti operanti nei settori elencati nelle Parti I.B e II dell'Allegato indipendentemente dalle dimensioni, e i soggetti che hanno adottato un modello 231 indipendentemente dalle dimensioni.
Non da sola. L'ANAC considera l'e-mail ordinaria e la PEC di per sé non adeguate a proteggere la riservatezza, a meno che non vengano individuate contromisure specifiche e motivate nella DPIA.
Da 10.000 € a 50.000 € per ritorsione, ostacolo, violazioni della riservatezza, canali mancanti o non conformi e mancata verifica delle segnalazioni. Un segnalante ritenuto responsabile di diffamazione o calunnia può essere sanzionato da 500 € a 2.500 €.
L'obbligo deriva dal decreto: l'Articolo 13, comma 6, richiede ai soggetti di definire il proprio modello di segnalazione sulla base di una DPIA. Le linee guida ANAC fanno riferimento al documento DPIA e affermano che il titolare può avvalersi del supporto del fornitore.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.