Whistleblowing: chi è obbligato e come scegliere la piattaforma (guida 2026)

Dal 17 dicembre 2023 il whistleblowing non riguarda più solo le grandi aziende e la pubblica amministrazione. Il D.Lgs. 24/2023, che recepisce la Direttiva europea 2019/1937, obbliga anche molte PMI ad avere un canale interno per le segnalazioni di illeciti, gestito in modo da proteggere chi segnala. Eppure nelle verifiche dell'ANAC emerge che tante imprese non l'hanno ancora attivato, o l'hanno attivato nel modo sbagliato: una casella email dedicata, un modulo sul sito, una cassetta in corridoio.

In questa guida vediamo chi è obbligato, cosa deve avere un canale conforme, quali scadenze vanno rispettate e come scegliere la piattaforma giusta.

Chi è obbligato ad attivare il canale whistleblowing

Nel settore privato l'obbligo scatta in tre casi:

• aziende che nell'ultimo anno hanno impiegato in media almeno 50 lavoratori subordinati, a tempo indeterminato o determinato;
• aziende che hanno adottato un modello organizzativo 231, anche se hanno meno di 50 dipendenti;
• aziende che operano in settori regolati dalla normativa europea, come servizi e mercati finanziari, prevenzione del riciclaggio, sicurezza dei trasporti e tutela dell'ambiente, a prescindere dal numero di dipendenti.

Le imprese fra 50 e 249 dipendenti possono condividere il canale di segnalazione e la sua gestione, ad esempio all'interno di un gruppo. Resta però in capo a ciascuna la responsabilità di garantire la riservatezza e di dare seguito alle segnalazioni.

Cosa deve avere un canale di segnalazione conforme

La legge non impone un software preciso, ma fissa dei requisiti che nella pratica solo una piattaforma dedicata riesce a rispettare tutti insieme.

Riservatezza dell'identità

L'identità del segnalante, delle persone coinvolte e il contenuto della segnalazione devono essere accessibili solo a chi gestisce il canale. Per questo le Linee guida ANAC escludono espressamente l'email ordinaria e la PEC: passano da server di posta, restano nelle caselle, lasciano tracce che rendono il segnalante riconoscibile. La cifratura dei contenuti e un accesso riservato ai soli gestori sono il modo con cui una piattaforma risolve il problema.

Forma scritta e forma orale

Il segnalante deve poter scegliere se scrivere oppure parlare: con una linea telefonica, un sistema di messaggistica vocale o, se lo chiede, un incontro diretto con chi gestisce le segnalazioni. Un canale solo scritto non basta.

Segnalazioni anonime

Le segnalazioni anonime vanno trattate e conservate, e la persona deve poter essere ricontattata senza svelare chi è. È il motivo per cui le piattaforme serie non chiedono né nome né email, ma rilasciano un codice personale con cui rientrare e dialogare.

Un gestore formato e autonomo

La gestione va affidata a una persona o a un ufficio interno autonomo e formato, oppure a un soggetto esterno. Chi gestisce deve avere competenze specifiche e non trovarsi in conflitto di interessi rispetto ai fatti segnalati.

Le scadenze da rispettare: 7 giorni e 3 mesi

Una volta ricevuta la segnalazione, il decreto fissa due termini precisi:

• entro 7 giorni va rilasciato al segnalante l'avviso di ricevimento;
• entro 3 mesi dall'avviso va dato un riscontro, cioè l'informazione su come si è dato seguito alla segnalazione.

Sembrano tempi larghi, ma chi gestisce il canale lo fa accanto al proprio lavoro, e una segnalazione dimenticata per settimane è esattamente il tipo di gestione non conforme che l'ANAC sanziona. Una piattaforma che avvisa a ogni nuova segnalazione e ricorda le scadenze toglie il problema alla radice.

Cosa si rischia: le sanzioni ANAC

L'ANAC può applicare sanzioni amministrative da 10.000 a 50.000 euro quando il canale non è stato istituito, quando mancano le procedure per gestire le segnalazioni, quando la gestione non è conforme alla legge, e ancora quando si accertano ritorsioni contro il segnalante o la violazione dell'obbligo di riservatezza. Con le Linee guida approvate a fine 2025 l'Autorità ha chiarito ulteriormente ruolo e autonomia del gestore interno, senza periodi transitori.

Whistleblowing e GDPR: due obblighi che si toccano

Una segnalazione contiene quasi sempre dati personali, spesso delicati. Gestire il canale significa quindi anche rispettare il GDPR: informativa specifica per i segnalanti, registrazione del trattamento nel registro, valutazione d'impatto, e la nomina a responsabile del trattamento del fornitore della piattaforma. Per questo conviene affrontare le due cose insieme, e non comprare un software da una parte e fare la privacy dall'altra.

Se il GDPR in azienda è ancora un tema aperto, abbiamo scritto anche perché GDPR e cookie law richiedono attenzione già sul sito.

Come scegliere la piattaforma whistleblowing

Prima di scegliere, conviene farsi alcune domande:

• Dove stanno i dati? Su server in Europa, di chi, con quali backup.
• I contenuti sono cifrati? E chi può leggerli, oltre ai gestori che hai autorizzato tu.
• Si può segnalare anche a voce? Altrimenti il canale orale va organizzato a parte.
• Il segnalante può restare anonimo e ricontattabile? Il codice personale è la soluzione più semplice.
• Chi ti aiuta con procedura, formazione e documenti GDPR? Il software da solo non rende l'azienda conforme.

La piattaforma whistleblowing DOWEB

Noi abbiamo scelto di svilupparla, come facciamo con le altre web app per le aziende: gira sulla nostra infrastruttura proprietaria, su server dedicati in Europa con backup giornalieri. Ogni azienda ha il suo canale con logo e informativa, il segnalante scrive o registra un messaggio vocale, allega documenti, riceve un codice e dialoga con l'azienda senza mai dover dire chi è. I gestori, con ruoli distinti, ricevono un avviso a ogni nuova segnalazione e un promemoria prima delle scadenze.

Accanto al software c'è la parte che il software non fa: procedura interna, formazione del gestore, informative e adeguamento GDPR, curati da una consulente privacy certificata che lavora con il nostro team. Trovi tutto nella pagina GDPR e Whistleblowing, e se il sito lo facciamo noi la parte tecnica della privacy è già inclusa nella realizzazione del sito web.

Non sai se la tua azienda è obbligata, o se il canale che hai oggi è conforme? Scrivici: te lo diciamo gratis, con l'elenco concreto delle cose da sistemare.