Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
La normativa sul whistleblowing nell’UE protegge le persone che segnalano illeciti riscontrati in ambito lavorativo e obbliga i datori di lavoro con 50 o più dipendenti a gestire un canale di segnalazione interno riservato. Le regole derivano dalla Direttiva (UE) 2019/1937, che tutti i 27 Stati membri hanno ormai recepito nel diritto nazionale.
Sembra semplice, ma ogni Paese ha aggiunto le proprie regole specifiche. Questa guida spiega cosa richiede la legge sul whistleblowing, come differiscono le principali leggi nazionali, cosa è cambiato nel 2026 e come garantire la compliance senza dover creare un ufficio legale interno.
meno di 5 minuti
Ha bisogno di un canale di segnalazione conforme alla normativa UE sul whistleblowing? Trusty attiva un canale di segnalazione sicuro e anonimo in meno di cinque minuti.
Cos'è la legge sul whistleblowing?
La legge sul whistleblowing è l’insieme di norme che protegge una persona dalle ritorsioni quando segnala una violazione di legge di cui è venuta a conoscenza attraverso il proprio lavoro. Nell’UE ha un duplice scopo: proteggere chi segnala e imporre alle organizzazioni di fornire un modo sicuro per farlo.
La Direttiva UE sul whistleblowing stabilisce lo standard minimo. Le leggi nazionali, come la Hinweisgeberschutzgesetz in Germania, la Ley 2/2023 in Spagna, il quadro Sapin II in Francia e il Decreto Legislativo 24/2023 in Italia, la applicano localmente e spesso vanno oltre.
Le aziende con 50 o più dipendenti possono configurare il software per il whistleblowing di Trusty in pochi minuti, a partire da 49 € al mese.
Chi protegge la legge sul whistleblowing?
La legge sul whistleblowing protegge chiunque segnali una violazione appresa in un contesto lavorativo, non solo i dipendenti. Ai sensi dell’articolo 4 della direttiva, rientrano nell’ambito di applicazione:
• Dipendenti, funzionari pubblici, lavoratori a tempo parziale e a tempo determinato
• Liberi professionisti, appaltatori, subappaltatori e fornitori
• Azionisti, membri del consiglio di amministrazione, volontari e tirocinanti
• Candidati a un posto di lavoro ed ex lavoratori
• Facilitatori che assistono il segnalante, colleghi o parenti che potrebbero subire ritorsioni
La protezione si applica quando la persona aveva fondati motivi di ritenere che le informazioni fossero vere al momento della segnalazione. Le motivazioni del segnalante non rilevano e un errore in buona fede non fa decadere la protezione.
Cosa costituisce una segnalazione protetta?
Una segnalazione è protetta quando riguarda una violazione di legge in un settore coperto dalla normativa. La direttiva elenca settori del diritto UE, tra cui appalti pubblici, servizi finanziari, riciclaggio di denaro, sicurezza dei prodotti e dei trasporti, protezione dell’ambiente, sicurezza alimentare, salute pubblica, tutela dei consumatori, protezione dei dati e norme sulla concorrenza.
Molti Stati membri hanno ampliato tale elenco. La Germania copre i reati e alcuni illeciti amministrativi, mentre la Francia copre qualsiasi crimine, delitto o minaccia all’interesse generale. Un reclamo puramente personale sul posto di lavoro solitamente non rientra nella legge sul whistleblowing.
Cosa devono fare i datori di lavoro ai sensi della legge sul whistleblowing?
I datori di lavoro con 50 o più dipendenti devono istituire un canale di segnalazione interno e seguire una procedura fissa per ogni segnalazione. Anche gli enti pubblici sono soggetti all’obbligo e alcuni settori, come i servizi finanziari, sono coperti indipendentemente dalle dimensioni.
I doveri fondamentali ai sensi degli articoli 8, 9, 16 e 18 della direttiva sono:
1. Fornire un canale. Le persone devono poter segnalare per iscritto, oralmente o in entrambi i modi. Su richiesta, è necessario offrire anche un incontro di persona entro un termine ragionevole.
2. Garantire la riservatezza delle identità. Il canale deve essere sicuro e il personale non autorizzato a gestire le segnalazioni non deve potervi accedere.
3. Nominare una persona o un team imparziale. Un soggetto indipendente deve ricevere le segnalazioni, dare seguito e restare in contatto con il segnalante.
4. Inviare un avviso di ricevimento entro 7 giorni. Il segnalante deve ricevere l’avviso di ricevimento entro sette giorni.
5. Fornire un riscontro entro 3 mesi. È necessario comunicare al segnalante quali azioni sono state intraprese o pianificate, entro tre mesi dall’avviso di ricevimento.
6. Spiegare il canale esterno. Occorre fornire informazioni chiare su come segnalare all’autorità nazionale competente.
7. Conservare la documentazione. Ogni segnalazione deve essere documentata e conservata solo per il tempo necessario, in linea con il GDPR.
La soglia dei 50 dipendenti si applica per singola azienda o per gruppo?
La soglia si applica a ogni entità giuridica, non al gruppo aziendale nel suo complesso. Le aziende con un numero di lavoratori compreso tra 50 e 249 possono condividere le risorse per la ricezione e l’istruttoria delle segnalazioni, ma ogni entità mantiene il proprio obbligo.
Un canale può essere gestito internamente o fornito da una terza parte esterna. In entrambi i casi, il datore di lavoro resta responsabile della riservatezza, delle scadenze e del seguito dato alla segnalazione.
In cosa differiscono le leggi sul whistleblowing tra i paesi UE?
Le leggi nazionali sul whistleblowing condividono il nucleo della direttiva ma differiscono per ambito di applicazione, segnalazioni anonime, autorità e sanzioni. Un’azienda con entità in diversi paesi deve soddisfare ogni legge locale, non solo il minimo UE.
Paese | Law | In vigore dal | Segnalazioni anonime | Autorità esterna | Sanzioni massime |
|---|---|---|---|---|---|
Germania | Hinweisgeberschutzgesetz (HinSchG) | 2 luglio 2023 | Deve essere gestita, ma non c'è l'obbligo di offrire un canale anonimo | Ufficio federale di giustizia | Fino a 50.000 €; fino a 500.000 € per le imprese in caso di ostacolo alle segnalazioni, ritorsioni o violazione della riservatezza; fino a 20.000 € per l'assenza di un canale interno |
Spagna | Ley 2/2023 | 13 marzo 2023 | Deve essere accettata | Autorità indipendente per la protezione dei segnalanti (AIPI) | Fino a 1.000.000 € per le aziende |
Francia | Sapin II, modificata dalla legge Waserman e dal decreto 2022-1284 | 1 settembre 2022 | Consentita, con tutela se la persona viene successivamente identificata | Défenseur des droits | Fino a 1 anno di reclusione e 15.000 € per aver ostacolato una segnalazione |
Italia | Decreto legislativo 24/2023 | 15 luglio 2023 | Consentita, con tutela se la persona viene successivamente identificata | ANAC | Da 10.000 € a 50.000 € |
Tre differenze pratiche sono fondamentali per i datori di lavoro multinazionali:
• Anonimato. La Spagna impone di accettare segnalazioni anonime. Un sistema che le supporti ovunque è la base più sicura.
• Lingua. I segnalanti hanno bisogno di informazioni e moduli comprensibili, quindi è opportuno offrire il canale in ogni lingua locale.
• Separazione delle entità. Ogni entità giuridica necessita di una propria gestione dei casi e diritti di accesso, anche quando il gruppo condivide un’unica piattaforma.
Questo articolo fornisce informazioni generali, non consulenza legale. Verificare il testo vigente di ogni legge nazionale o consultare un legale locale prima di finalizzare la propria policy.
gruppi multinazionali
Gestisca entità in più paesi UE? Trusty accetta segnalazioni anonime, mantiene la gestione dei casi separata per ogni entità e gestisce tutto su un’unica piattaforma. Oppure prenoti una demo.
Cosa è cambiato nella legge sul whistleblowing nel 2026?
Due cose sono cambiate nel 2026: la direttiva ora copre esplicitamente le segnalazioni relative all’AI Act dell’UE e la Commissione europea sta valutando l’intero quadro normativo.
Le segnalazioni sull’AI Act sono ora protette. Dal 2 agosto 2026, le tutele della direttiva coprono esplicitamente le segnalazioni di violazioni dell’AI Act dell’UE, ai sensi dell’articolo 87 dell’AI Act stesso. Se la Sua organizzazione sviluppa o utilizza sistemi di IA, il modulo di segnalazione e la policy dovrebbero indicare l’IA come argomento segnalabile.
La direttiva è in fase di revisione. La valutazione della direttiva da parte della Commissione dovrebbe concludersi entro il quarto trimestre del 2026. Potrebbe portare a proposte per inasprire o ampliare le regole.
L’attenzione si sposta sull’applicazione delle norme. Tutti i 27 Stati membri hanno approvato le proprie leggi, ma i gruppi di monitoraggio riferiscono che nessuna è pienamente conforme alla direttiva. Si aspetti che le norme nazionali continuino a evolversi e riveda il Suo canale almeno una volta all’anno.
Cosa costituisce ritorsione contro un segnalante?
La ritorsione è qualsiasi atto od omissione, anche solo minacciato, che danneggia una persona perché ha effettuato una segnalazione. La direttiva la vieta in ogni forma, compresi licenziamento, demansionamento, mancata promozione, riduzione dello stipendio, referenze negative, molestie, inserimento in liste nere e risoluzione anticipata di un contratto di fornitura.
L’onere della prova spetta al datore di lavoro. Se un segnalante dimostra di aver segnalato e di aver poi subito un danno, il datore di lavoro deve provare che la misura non aveva nulla a che fare con la segnalazione.
Quali sono le sanzioni per la violazione della legge sul whistleblowing?
Le sanzioni sono stabilite da ogni Stato membro e possono raggiungere 1.000.000 € per le aziende in Spagna. L’articolo 23 della direttiva richiede sanzioni per chiunque:
• Ostacoli o tenti di ostacolare una segnalazione
• Metta in atto ritorsioni contro un segnalante
• Avvii procedimenti vessatori contro un segnalante
• Violi l’obbligo di riservatezza dell’identità del segnalante
Diversi paesi, tra cui Germania e Italia, sanzionano anche i datori di lavoro che non dispongono affatto di un canale interno. Oltre alle multe, i tribunali possono ordinare il reintegro e il risarcimento, e una segnalazione gestita male spesso finisce per diventare pubblica.
Come possono i datori di lavoro adeguarsi rapidamente alla legge sul whistleblowing?
La via più rapida per la compliance è un sistema di whistleblowing dedicato che integri i requisiti legali nel flusso di lavoro. Trusty è una piattaforma di whistleblowing progettata sulla base della Direttiva UE sul whistleblowing, e consente di configurare un canale interno in meno di cinque minuti.
Cosa richiede la legge | Come lo copre Trusty |
|---|---|
Segnalazione scritta e orale | Modulo di segnalazione online e messaggi vocali nel browser con alterazione della voce |
Riservatezza e accesso limitato | Accesso basato sui ruoli, con gestione separata dei casi per ogni entità giuridica |
Contatto con il segnalante, anche in forma anonima | Casella di posta anonima bidirezionale che il segnalante riapre con un codice di accesso |
Conferma di ricezione entro 7 giorni e riscontro entro 3 mesi | Dashboard dei casi che mostra ogni segnalazione e il relativo stato |
Conservazione dei dati | Marca temporale qualificata eIDAS su ogni segnalazione e registro di controllo a prova di manomissione |
Trattamento conforme al GDPR | Hosting in data center certificati ISO/IEC 27001 in Germania |
Informazione e sensibilizzazione | Policy di compliance pronte all'uso e formazione dei dipendenti incluse |
Provi Trusty gratuitamente per 7 giorni su trusty.report, oppure prenoti una breve demo per vedere il canale di segnalazione dal vivo.
Domande frequenti sulla legge sul whistleblowing
Il whistleblowing consiste nel segnalare un illecito di cui si è venuti a conoscenza tramite il proprio lavoro, come frodi, corruzione, violazioni della sicurezza o uso improprio dei dati. La segnalazione può essere rivolta al datore di lavoro, a un'autorità pubblica o, in casi limitati, al pubblico.
Nell'UE, a tutelarLa sono la Direttiva (UE) 2019/1937 e la normativa nazionale che la recepisce. Alcuni esempi sono l'Hinweisgeberschutzgesetz in Germania, la Ley 2/2023 in Spagna, la Sapin II in Francia e il Decreto legislativo 24/2023 in Italia.
Le aziende private con 50 o più dipendenti e gli enti del settore pubblico devono avere un canale di segnalazione interno. Alcuni settori, come quello dei servizi finanziari, devono averne uno indipendentemente dalle dimensioni.
Sì. Un'azienda con sede fuori dall'UE deve adeguarsi per ogni entità giuridica UE che impiega 50 o più dipendenti, secondo la normativa del paese in cui ha sede tale entità.
Sì. Chi segnala in forma anonima e viene successivamente identificato gode della stessa tutela di un segnalante identificato fin dall'inizio. L'obbligo per i datori di lavoro di accettare segnalazioni anonime dipende dal paese: la Spagna, ad esempio, lo prevede.
Il datore di lavoro deve confermare la ricezione della segnalazione entro sette giorni e fornire un riscontro sul seguito dato entro tre mesi da tale conferma.
Sì. Un segnalante può rivolgersi all'autorità nazionale competente senza passare prima dal canale interno, mantenendo comunque piena tutela. I datori di lavoro sono incoraggiati a rendere la segnalazione interna l'opzione più semplice.
Sì. Dal 2 agosto 2026, le segnalazioni di violazioni dell'AI Act dell'UE rientrano esplicitamente nell'ambito della Direttiva UE sul whistleblowing.
Fonti
• Direttiva (UE) 2019/1937 riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione, EUR-Lex
• Whistleblowing e l’AI Act dell’UE, EU Artificial Intelligence Act
• Valutazione UE della Direttiva Whistleblowing in corso, EU Whistleblowing Monitor
• Riepilogo degli aggiornamenti aprile 2026, EU Whistleblowing Monitor
• Trusty, informazioni sul prodotto
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.