Whistleblowing aziendale: obblighi e primi passi per le PMI nel 2026

Se la tua azienda ha mediamente almeno 50 dipendenti, devi attivare un canale di whistleblowing conforme al d.lgs. 24/2023. La prima azione concreta è nominare chi gestirà le segnalazioni, interno o esterno, e predisporre una procedura scritta. Da lì partono informativa privacy e formazione per chi riceve e tratta le segnalazioni.

In breve:

• Per la soglia conta la media dei dipendenti nell’anno solare precedente; chi ha un modello organizzativo 231 deve adeguarsi anche sotto quota 50.
• Il canale esterno dell’ANAC si usa se quello interno manca, non risponde nei termini o il segnalante teme ritorsioni; la divulgazione pubblica richiede condizioni specifiche.
• Chi gestisce le segnalazioni deve inviare conferma entro 7 giorni e fornire un riscontro entro 3 mesi, prorogabili a 6 per motivi giustificati.
• Il Garante ha sanzionato un’azienda ospedaliera e il fornitore per 40.000 € dopo una configurazione non conforme; proteggi i dati con cifratura e accessi limitati.
• Entro 30 giorni, nomina il responsabile e verifica hosting e cifratura; entro 90 giorni, pubblica procedura e informativa e forma gli addetti.

Indice

• Ambito soggettivo e tempistiche operative del d.lgs. 24/2026
• I tipi di canale e come funzionano in pratica
• Tutele, ritorsioni e tempi di risposta da rispettare
• Privacy e sicurezza dei dati: regole pratiche per non incorrere in sanzioni
• Come implementare un canale conforme: checklist operativa
• Checklist rapida per il CdA o il responsabile: 30 e 90 giorni
• Nota dell’autore: il whistleblowing come leva di governance
• HRpro per l’adeguamento al whistleblowing: cosa include
• Domande frequenti
• Fonti

Ambito soggettivo e tempistiche operative del d.lgs. 24/2026

Il d.lgs. 24/2023 recepisce la direttiva UE 2019/1937 e stabilisce che i soggetti privati con una media di almeno 50 lavoratori nell’ultimo anno devono attivare canali interni di segnalazione. Per calcolare la soglia conta la media dei dipendenti nell’anno solare precedente, non lo scatto istantaneo oltre quota 50: un’azienda che oscilla sopra e sotto la soglia deve comunque guardare il dato medio annuo.

Per le imprese fino a 249 dipendenti l’obbligo decorre dal 17 dicembre 2023, salvo un’eccezione importante: chi ha adottato un modello organizzativo ai sensi del d.lgs. 231/2001 deve adeguarsi a prescindere dal numero di dipendenti. La deroga temporale non vale per chi ha già un MOG 231 in vigore.

Le tutele si estendono oltre i dipendenti diretti:

• dipendenti subordinati, con contratto a tempo determinato o indeterminato;
• collaboratori, consulenti, lavoratori autonomi e tirocinanti, anche non retribuiti;
• azionisti e persone con funzioni di amministrazione o controllo;
• candidati in fase di selezione e persone il cui rapporto di lavoro si è già concluso.

I tipi di canale e come funzionano in pratica

Il canale interno è il primo livello previsto dalla normativa: deve essere gestito da una persona o un ufficio dedicato, autonomo e formato, capace di garantire riservatezza sull’identità del segnalante. È la via che la normativa privilegia, perché consente di intercettare le criticità prima che diventino un caso esterno.

1. Canale interno: il segnalante presenta la segnalazione all’ufficio o al responsabile designato, per iscritto, oralmente o tramite incontro diretto su richiesta.
2. Canale esterno (ANAC): diventa accessibile quando il canale interno non è attivo, non ha dato riscontro nei termini o il segnalante teme ritorsioni dirette; ANAC riceve e gestisce le segnalazioni secondo proprie procedure.
3. Divulgazione pubblica: ammessa solo in condizioni specifiche, ad esempio pericolo imminente per l’interesse pubblico o rischio concreto di ritorsione dopo un tentativo infruttuoso con i canali precedenti.
4. Denuncia all’autorità giudiziaria: resta sempre percorribile in parallelo, per i fatti che costituiscono reato.

Le segnalazioni anonime non sono obbligatorie per legge ma vanno comunque gestite se pervengono: se l’identità del segnalante viene successivamente rivelata, si applicano le tutele previste per le segnalazioni firmate.

Tutele, ritorsioni e tempi di risposta da rispettare

La ritorsione è definita come qualunque comportamento, atto o omissione, anche solo tentato o minacciato, che causi o possa causare un danno ingiusto al segnalante a causa della segnalazione. Rientrano nella definizione il demansionamento, il licenziamento, la mancata promozione, le note di demerito ingiustificate o l’isolamento professionale.

Chi gestisce il canale ha obblighi temporali precisi dettati dalle procedure ANAC e può avvalersi di servizi specializzati come quelli offerti da Colosso Agency per la sicurezza trasferte aziendali:

• avviso di ricezione della segnalazione entro 7 giorni dalla data di presentazione;
• riscontro sostanziale entro 3 mesi, prorogabile fino a 6 mesi per giustificati motivi;
• diligenza nel mantenere la riservatezza su identità, contenuto e documentazione della segnalazione per tutta la gestione del caso.

Il Garante per la privacy ha già sanzionato un’azienda ospedaliera e il relativo fornitore con 40.000 euro per una configurazione del canale non conforme: un segnale chiaro che la conformità formale non basta se l’infrastruttura tecnica lascia scoperti i dati del segnalante.

Il mancato adeguamento espone inoltre a sanzioni disciplinari interne per chi ostacola le segnalazioni e a provvedimenti ANAC per le aziende inadempienti sui canali o sulle tutele.

Privacy e sicurezza dei dati: regole pratiche per non incorrere in sanzioni

Il canale di whistleblowing tratta dati personali sensibili per natura: identità del segnalante, del segnalato e dettagli dei fatti contestati. Prima di attivarlo, serve una valutazione d’impatto (DPIA) nei casi in cui il trattamento comporti un rischio elevato, oltre all’aggiornamento del registro dei trattamenti e di un’informativa dedicata ai lavoratori.

Le misure tecniche minime da verificare con il proprio fornitore:

• cifratura dei dati in transito e a riposo;
• controllo degli accessi limitato a chi gestisce effettivamente le segnalazioni;
• log di sistema separati da quelli ordinari, per evitare tracciabilità indiretta dell’identità del segnalante;
• hosting con server localizzati in modo coerente con gli obblighi GDPR.

Gli errori più frequenti contestati dal Garante riguardano proprio configurazioni tecniche superficiali: applicazioni condivise con altri servizi aziendali, hosting non verificato, assenza di log isolati.

Un consiglio: prima di scegliere un fornitore, chiedi evidenza scritta di dove sono ospitati i dati e di come viene isolato il traffico del canale rispetto al resto dei sistemi aziendali.

Come implementare un canale conforme: checklist operativa

Mettere in piedi un canale che regge a un controllo richiede un percorso ordinato, non un acquisto isolato di software.

1. Mappa il rischio: verifica se superi la soglia dei 50 dipendenti in media annua o se hai un MOG 231 che ti obbliga a prescindere dalle dimensioni.
2. Nomina il responsabile della gestione: una persona o un ufficio con autonomia, formazione specifica e accesso limitato ai dati trattati.
3. Scegli la tecnologia valutando tre criteri essenziali: riservatezza tecnica dimostrabile, tracciabilità dei termini di risposta, facilità d’uso per chi segnala.
4. Prepara i documenti: procedura interna scritta, informativa privacy specifica, eventuale DPIA se il trattamento lo richiede.
5. Forma gli addetti: una sessione base per tutti i dipendenti su come e quando segnalare, una sessione avanzata per chi gestisce il canale su riservatezza e termini di risposta.
6. Pianifica un controllo periodico: un audit interno annuale su tempi di risposta, numero di segnalazioni trattate e correttezza della documentazione conservata.

Il modulo whistleblowing di HRpro nasce proprio per coprire i punti 3 e 4 senza dover assemblare strumenti diversi: canale digitale con accessi separati, template di procedura pronti da adattare e tracciamento automatico dei termini di risposta.

Un consiglio: fissa già in fase di configurazione la data del primo audit interno, così il controllo periodico non resta un’intenzione sulla carta.

Checklist rapida per il CdA o il responsabile: 30 e 90 giorni

In riunione, tre verifiche bastano per capire a che punto sei:

• superi la soglia dei 50 dipendenti in media annua, oppure hai un MOG 231 attivo?
• esiste già un responsabile nominato per la gestione del canale?
• il canale attuale, se esiste, ha una DPIA e un’informativa privacy aggiornate?

Nota dell’autore: il whistleblowing come leva di governance

Trattare il whistleblowing come un mero adempimento è l’errore più comune tra le PMI italiane. Un canale ben gestito intercetta criticità operative, conflitti interni e irregolarità prima che degenerino in contenziosi o danni reputazionali: è prevenzione, non burocrazia.

Le aziende che trattano le segnalazioni con serietà costruiscono un clima dove i problemi emergono prima, non dopo. Vale la pena avviare un audit interno rapido già nelle prossime settimane, prima che sia un ispettore a farlo al posto tuo.

— Ufficio

HRpro per l’adeguamento al whistleblowing: cosa include

Mettere in piedi un canale conforme da zero, tra procedura, informativa privacy e formazione, richiede settimane se lo fai con fogli Excel e consulenze sparse. Con il modulo Whistleblowing di HRpro, a 25-45 € al mese, hai un canale digitale già configurato, con accessi separati e tracciamento automatico dei termini di risposta previsti da ANAC.

Il modulo si integra con:

• template di procedura interna pronti da personalizzare;
• informativa privacy e guida alla DPIA per i casi che la richiedono;
• supporto formativo per chi gestisce il canale e per i dipendenti.

Se gestisci già turni, cedolini o presenze su HRpro, aggiungere il modulo whistleblowing richiede solo l’attivazione, senza nuove piattaforme da imparare. Attiva la Hrpro o consulta il piano prezzi completo per capire quale configurazione si adatta alla tua azienda.

Domande frequenti

Quando è obbligatorio il whistleblowing per un’azienda?

Il d.lgs. 24/2023](https://eur-lex.europa.eu/IT/legal-content/summary/protection-of-persons-who-report-breaches-of-eu-law.html) stabilisce che chi ha adottato un modello organizzativo ai sensi del d.lgs. 231/2001 deve adeguarsi a prescindere dal numero di dipendenti, anche sotto quella soglia.

Come funziona il whistleblowing per l’Ispettorato del lavoro?

Le segnalazioni relative a violazioni della normativa sul lavoro possono comunque transitare dai canali aziendali interni o dal canale esterno gestito da ANAC, che resta l’autorità competente per le segnalazioni esterne previste dal decreto. L’Ispettorato interviene nei suoi ambiti di vigilanza ordinaria, non come canale whistleblowing dedicato.

Quali tutele ha un dipendente che segnala un illecito?

Il segnalante è protetto da qualsiasi forma di ritorsione, compresi demansionamento, mancata promozione o isolamento professionale legati alla segnalazione. La riservatezza sulla sua identità va mantenuta per tutta la gestione del caso, dal canale interno fino all’eventuale coinvolgimento di ANAC.

Chi è il responsabile della gestione del canale di whistleblowing?

È la persona o l’ufficio interno designato dall’azienda, con autonomia operativa e accesso limitato ai dati trattati, oppure un soggetto esterno incaricato della gestione. Deve ricevere formazione specifica su riservatezza, termini di risposta e corretta istruttoria delle segnalazioni ricevute.

Fonti

Per chi deve avviare l’adeguamento, conviene partire dal testo normativo e dalle linee guida operative, poi verificare i requisiti privacy prima di scegliere il fornitore tecnico.

• EUR-Lex - Direttiva UE 2019/1937 (sintesi)
• ANAC - Novità del d.lgs. 24/2023 (sintesi e linee guida)
• Garante privacy - whistleblowing e protezione dei dati personali

Raccomandati

• Whistleblowing obbligatorio: da quanti dipendenti?
• Whistleblowing D.Lgs. 24/2023: come adeguarsi senza sanzioni
• Come attivare un canale whistleblowing in azienda
• Whistleblowing: 7 errori da evitare in azienda