Membro FederPrivacy
Un canale di segnalazione che le persone usano davvero.
Sistemi conformi al D.Lgs. 24/2023 e alla Direttiva UE 2019/1937: canale sicuro, procedura scritta, gestore competente e formazione. Non un software installato e dimenticato, ma un impianto che regge una verifica ANAC e che i dipendenti si fidano di utilizzare. Ti seguo io: consulente privacy iscritto a FederPrivacy, Ethical Hacker certificato e CTU del Tribunale di Lodi.
Report personalizzato in 24 ore. Nessun impegno, nessuna carta di credito.
Il whistleblowing è il sistema con cui chi lavora in un'organizzazione può segnalare illeciti in modo riservato, protetto da ritorsioni. In Italia lo disciplina il D.Lgs. 24/2023, che attua la Direttiva UE 2019/1937. L'obbligo di dotarsi di un canale interno riguarda i soggetti privati che hanno impiegato nell'ultimo anno una media di almeno cinquanta lavoratori subordinati, ma non solo loro.
Qui sta l'equivoco più frequente. L'obbligo scatta a prescindere dalla soglia dimensionale anche per gli enti che hanno adottato un Modello 231 e per chi opera in settori specifici, come i servizi e i mercati finanziari, la prevenzione del riciclaggio, la sicurezza dei trasporti e la tutela dell'ambiente. Molte aziende sotto i cinquanta dipendenti si considerano escluse e scoprono di non esserlo nel momento sbagliato, cioè quando arriva una segnalazione o una richiesta di ANAC.
Il primo passo, quindi, non è comprare una piattaforma: è capire con precisione se sei obbligato e a che titolo. Da lì si costruisce un sistema proporzionato, che si integra con la conformità GDPR già in essere invece di duplicarla. Puoi partire dall'analisi gratuita o da 30 minuti di confronto.
Ogni passo ha senso solo dopo il precedente. Saltarne uno è il modo più comune per avere un canale che nessuno usa.
Verifico se la tua organizzazione è obbligata e per quale motivo: soglia dei cinquanta lavoratori subordinati, presenza di un Modello 231, appartenenza a un settore regolamentato. Se non sei obbligato te lo dico, e valutiamo se conviene comunque dotarsene.
Sai se e perche sei obbligatoPiattaforma in cloud con crittografia, dialogo bidirezionale con il segnalante e tracciabilità delle fasi. La legge tutela la riservatezza dell'identità: il canale deve renderla tecnicamente protetta, non solo prometterla in una procedura.
Riservatezza garantita dalla tecnologiaRedigo la procedura interna e definisco chi gestisce le segnalazioni, funzione interna autonoma o soggetto terzo imparziale. Con i termini di legge: avviso di ricevimento entro sette giorni, riscontro entro tre mesi.
Ogni segnalazione ha un percorso definitoUna segnalazione contiene dati personali delicatissimi. Curo informative, nomine del fornitore della piattaforma e tempi di conservazione, che non possono superare i cinque anni dalla comunicazione dell'esito finale. Privacy e whistleblowing vanno progettati insieme.
Un impianto solo, non due che si scontranoFormo chi riceverà le segnalazioni e informo il personale sull'esistenza del canale, come previsto dalla norma. Un sistema che nessuno conosce equivale a non averlo: la comunicazione interna non è un extra, è parte dell'adempimento.
Le persone sanno che esiste e come si usaVerifico periodicamente che il canale sia accessibile e funzionante e aggiorno la procedura quando cambiano le linee guida ANAC, come accaduto con la delibera sui canali interni del novembre 2025. La conformità è un processo, non una data.
Resti conforme anche quando le regole cambianoMolte organizzazioni affrontano il whistleblowing con un approccio minimo: si acquista una piattaforma, si carica una procedura scaricata da un modello, si archivia la pratica. Il risultato è un canale che esiste sulla carta e che nessun dipendente usa mai, perché nessuno si fida di uno strumento di cui non conosce il funzionamento e di cui non sa chi leggerà le segnalazioni.
Il problema è che un sistema inutilizzato non protegge l'azienda. Chi vuole segnalare, e non si fida del canale interno, ha per legge altre strade: la segnalazione esterna ad ANAC e, in determinate condizioni, la divulgazione pubblica. In altre parole, il canale interno non serve a impedire che il problema esca: serve a permetterti di conoscerlo per primo, mentre puoi ancora intervenire.
Visto così, l'adempimento cambia natura. Diventa un sensore interno che intercetta irregolarità prima che diventino danni reputazionali o giudiziari, e un segnale di serieta verso clienti strutturati, banche e partner che sempre più spesso chiedono di dimostrare come gestisci l'integrità. Il valore non è nella piattaforma, è nella fiducia che riesce a generare.
È la convinzione più diffusa e la più rischiosa, perché la soglia dimensionale non è l'unico criterio. Il decreto obbliga anche gli enti privati che hanno adottato un Modello di organizzazione ex D.Lgs. 231/2001, indipendentemente dal numero di lavoratori, e chi opera in settori specifici come mercati finanziari, antiriciclaggio, sicurezza dei trasporti e tutela dell'ambiente. Molte PMI rientrano in una di queste categorie senza saperlo.
Nessuna piattaforma da comprare al buio. Si comincia capendo se e perché sei obbligato.
Guardo la tua organizzazione e la tua presenza digitale per individuare gli obblighi che ti riguardano. Ricevi un report in 24 ore, senza impegno.
30 minuti insieme: verifichiamo il perimetro normativo, la tua situazione attuale e cosa serve davvero, senza vendere ciò che non ti riguarda.
Attiviamo canale, procedura e formazione, con l'informazione al personale. Poi resto il riferimento per la gestione delle segnalazioni e gli aggiornamenti normativi.
Richiedi l'analisi gratuita del sito oppure prenota la consulenza gratuita: in entrambi i casi ricevi in regalo i due libri di Max Valle in PDF. Due manuali operativi pensati per imprenditori e professionisti delle PMI italiane.
Valore 29€ · Gratis
Come applicare l'intelligenza artificiale di Claude nel lavoro quotidiano di un'azienda.
Valore 29€ · Gratis
Tutte le fasi di analisi e correzione di un sito web che non porta clienti.
Le risposte alle domande che mi fanno più spesso sul whistleblowing.
L'obbligo riguarda i soggetti privati che nell'ultimo anno hanno impiegato una media di almeno cinquanta lavoratori subordinati. Vale però a prescindere dalla soglia anche per gli enti che hanno adottato un Modello 231 e per chi opera in settori specifici, tra cui servizi e mercati finanziari, prevenzione del riciclaggio, sicurezza dei trasporti e tutela dell'ambiente. Molte PMI rientrano senza saperlo: la verifica è il primo passo.
Qui serve precisione. Ciò che la legge impone è la riservatezza dell'identità del segnalante, non l'anonimato. Le segnalazioni anonime sono possibili e vanno gestite, ma sono trattate come segnalazioni ordinarie. Una buona piattaforma consente il dialogo con il segnalante proteggendone tecnicamente l'identità. Diffida di chi promette anonimato totale come se fosse la stessa cosa: non lo è.
La piattaforma tecnica può essere operativa in tempi molto rapidi, ma l'adeguamento non è solo tecnologia. Serve redigere la procedura, individuare il gestore delle segnalazioni, informare il personale e, per il canale interno, sentire le rappresentanze sindacali. Nel complesso si parla di settimane, non di ore. Chi promette la conformità in ventiquattr'ore sta vendendo solo il software.
La gestione può essere affidata a una persona o a un ufficio interno autonomo e specificamente formato, oppure a un soggetto terzo esterno e imparziale. La scelta dipende dalla dimensione dell'organizzazione e dai possibili conflitti di interesse: in una PMI, dove tutti si conoscono, un gestore esterno è spesso ciò che rende il canale credibile agli occhi di chi dovrebbe usarlo.
ANAC può applicare sanzioni amministrative da 10.000 a 50.000 euro nei casi di ritorsione, ostacolo alle segnalazioni, violazione dell'obbligo di riservatezza, oppure quando i canali e le procedure non sono stati istituiti o non sono conformi. È previsto anche un regime di responsabilità per il segnalante in caso di accertata diffamazione o calunnia. Nessun consulente può garantirti l'esito di un procedimento.
Strettamente. Una segnalazione contiene dati personali di particolare delicatezza, riferiti sia al segnalante sia alla persona coinvolta. Vanno quindi curati la base giuridica, l'informativa, la nomina a responsabile del fornitore della piattaforma e i tempi di conservazione, che non possono superare i cinque anni dalla comunicazione dell'esito finale. Poiché mi occupo anche di adeguamento GDPR, i due impianti vengono progettati insieme.
Sì, e spesso è il segnale che il sistema non funziona. Chi non si fida del canale interno può rivolgersi direttamente ad ANAC e, in determinate condizioni, ricorrere alla divulgazione pubblica. Un canale credibile e conosciuto ti permette di venire a sapere per primo di un problema, quando puoi ancora gestirlo. Un canale formale e inutilizzato ti lascia scoprire tutto dall'esterno.
Parti dall'analisi gratuita oppure prenota 30 minuti con me: stabiliamo se il D.Lgs. 24/2023 si applica alla tua organizzazione e cosa serve davvero. Senza impegno e senza allarmismi.
Risponde Max Valle in persona. Nessun call center, nessun automatismo.
In seguito all’entrata in vigore del GDPR, lo scorso 25 maggio 2018, i siti web hanno evidentemente dovuto fare i
Se vuoi approfondire l’argomento dell’adeguamento dei tuoi siti al Gdpr, ho scritto uno specifico articolo dal titolo “Come adeguare il
