Gdpr
Hai una lista email per marketing? Potresti non poterla più usare secondo GDPR
Se vuoi approfondire l’argomento dell’adeguamento dei tuoi siti al Gdpr, ho scritto uno specifico articolo dal titolo “Come adeguare il
Whistleblowing · D.Lgs. 24/2023 · PMI ed enti
Whistleblowing D.Lgs. 24/2023: sei obbligato anche sotto i cinquanta dipendenti?
La soglia dei cinquanta lavoratori non è l'unico criterio: l'obbligo scatta anche per chi ha adottato un Modello 231 e per interi settori regolamentati. Verifico il tuo perimetro, e poi costruisco un canale che le persone usano davvero, con procedura, gestore, formazione e privacy che si tengono insieme.
Verifico se sono obbligatoMezz'ora al telefono o in videochiamata, dal calendario in fondo alla pagina. Nessun impegno.
Sul campo dal 1993
2.500+ realtà seguite
CTU Tribunale di Lodi
4,9/5 su Google
Max Valle · la riservatezza è un problema tecnico prima che giuridico
"Non abbiamo cinquanta dipendenti, quindi non ci riguarda"
È la frase che sento più spesso, ed è anche la più rischiosa: la soglia dimensionale non è l'unico criterio. Se invece cerchi solo la piattaforma da attivare entro venerdì, quella la vendono in molti, e costa poco: qui si parla del sistema che ci deve stare intorno.
-
Hai un Modello 231 e ti credi sotto soglia. Per gli enti che lo hanno adottato l'obbligo vale a prescindere dal numero di lavoratori. Molti lo scoprono tardi.
-
Lavori in un settore regolamentato. Mercati e servizi finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell'ambiente: lì la soglia non conta.
-
Il canale ce l'hai e non lo usa nessuno. Piattaforma comprata, procedura scaricata da un modello, pratica archiviata. Nessuno sa chi legge le segnalazioni, quindi nessuno segnala.
-
Hai promesso l'anonimato totale. La legge impone la riservatezza dell'identità, che è un'altra cosa: promettere ciò che non puoi mantenere espone te e il segnalante.
-
Non sai chi gestirebbe una segnalazione domani mattina. Né entro quando va dato l'avviso di ricevimento, né entro quando il riscontro. I termini sono di legge, non di cortesia.
-
La segnalazione contiene i dati più delicati che tratterai mai. E nessuno ha definito base giuridica, informative, nomina del fornitore e tempi di conservazione.
Un canale che nessuno usa non ti protegge: ti fa scoprire tutto dall'esterno
L'approccio minimo è sempre lo stesso: si acquista una piattaforma, si carica una procedura presa da un modello, si archivia la pratica. Il risultato è un canale che esiste solo sulla carta, perché nessun dipendente si fida di uno strumento di cui non conosce il funzionamento e di cui non sa chi leggerà le segnalazioni.
Il punto è che un sistema inutilizzato non ti mette al riparo. Chi vuole segnalare e non si fida del canale interno ha per legge altre strade: la segnalazione esterna ad ANAC e, a determinate condizioni, la divulgazione pubblica. Il canale interno non serve a impedire che il problema esca, serve a permetterti di conoscerlo per primo, mentre puoi ancora intervenire.
Visto così l'adempimento cambia natura. Diventa un sensore interno che intercetta irregolarità prima che diventino danni reputazionali o giudiziari, e un segnale di serietà verso clienti strutturati, banche e partner che sempre più spesso chiedono di dimostrare come gestisci l'integrità. Il valore non è nella piattaforma, è nella fiducia che riesce a generare.
Cosa resta attivo in azienda
Otto cose che compongono un sistema, oltre alla piattaforma
Il software è la parte più semplice e la più veloce da comprare. Tutto il resto è quello che decide se il canale verrà usato e se reggerà a una verifica.
- La verifica scritta del tuo perimetro: se sei obbligato e a quale titolo, oppure perché non lo sei
- Un canale in cloud cifrato con dialogo bidirezionale e tracciabilità delle fasi
- La procedura interna scritta sulla tua organizzazione, non un modello con il nome cambiato
- Il gestore delle segnalazioni individuato: funzione interna autonoma o soggetto terzo imparziale
- I termini di legge presidiati: avviso di ricevimento entro sette giorni, riscontro entro tre mesi
- L'impianto privacy della segnalazione: informative, nomina del fornitore, conservazione entro i cinque anni dall'esito finale
- La formazione di chi riceve e l'informazione al personale, che la norma richiede espressamente
- Il presidio nel tempo: canale verificato e procedura aggiornata quando cambiano le linee guida ANAC
Anche qui ti dico dove finisce il mio ruolo: non sono un avvocato.
Mi occupo dell'impianto organizzativo e tecnico e della conformità privacy. Quando su una
segnalazione delicata serve un parere legale, te lo dico e ti indirizzo.
Sei passaggi, e ognuno ha senso solo dopo il precedente
Saltarne uno è il modo più comune per ritrovarsi con un canale che nessuno usa. Il sistema si innesta sulla conformità GDPR già in essere, invece di duplicarla.
Analisi del perimetro normativo
Verifico se sei obbligato e per quale motivo: soglia dei cinquanta lavoratori subordinati, Modello 231, settore regolamentato. Se non sei obbligato te lo dico, e valutiamo se conviene comunque.
Sai se e perché sei obbligatoCanale interno sicuro
Piattaforma in cloud con crittografia, dialogo bidirezionale con il segnalante e tracciabilità delle fasi. La riservatezza dell'identità va protetta tecnicamente, non promessa in una procedura.
Riservatezza garantita dalla tecnologiaProcedura e gestore
Redigo la procedura interna e definiamo chi gestisce le segnalazioni, funzione interna autonoma o soggetto terzo imparziale, con i termini di legge scritti nero su bianco.
Avviso 7 giorni · riscontro 3 mesiIntegrazione con il GDPR
Informative, nomina del fornitore della piattaforma e tempi di conservazione, che non possono superare i cinque anni dalla comunicazione dell'esito finale.
Un impianto solo, non dueFormazione e informazione
Formo chi riceverà le segnalazioni e informo il personale dell'esistenza del canale, come previsto dalla norma. Un sistema che nessuno conosce equivale a non averlo.
Le persone sanno che esisteMonitoraggio e aggiornamento
Verifico periodicamente che il canale sia accessibile e funzionante e aggiorno la procedura quando cambiano le linee guida ANAC, come è successo con la delibera sui canali interni del novembre 2025.
Conforme anche quando cambiano le regole
Cosa si rischia davvero
La sanzione è il rischio che si vede. Non è il peggiore.
Stabilire se sei obbligato richiede poco tempo e chiude la questione in un senso o nell'altro. Scoprirlo dopo una segnalazione significa doverlo fare di corsa, sotto pressione, con l'autorità che ha già chiesto conto.
- Le sanzioni amministrative di ANAC vanno da 10.000 a 50.000 euro: ritorsioni, ostacolo alle segnalazioni, violazione della riservatezza, oppure canali e procedure non istituiti o non conformi
- L'esposizione peggiore è sul lavoro: in caso di presunta ritorsione l'onere di provare che il provvedimento è estraneo alla segnalazione ricade sul datore, non sul lavoratore
- C'è un regime di responsabilità anche per chi segnala in caso di accertata diffamazione o calunnia: il sistema tutela le segnalazioni in buona fede, non gli usi impropri
- Nessuno può garantirti immunità: l'esito di un procedimento spetta ad ANAC e al giudice. Quello che si costruisce prima è un sistema conforme e dimostrabile, che è ciò che viene valutato
Vuoi inquadrare la materia prima di parlarne? Ho scritto
una guida completa al whistleblowing,
con la cornice normativa e i casi che hanno fatto scuola.
Come si parte, senza comprare una piattaforma al buio
Si comincia dalla domanda che vale più di tutte le altre: se e perché il decreto si applica a te. Il resto viene dopo, e viene proporzionato.
1
Mezz'ora per il perimetro
Verifichiamo insieme obblighi, situazione attuale e cosa serve davvero. Se non sei obbligato lo sai in mezz'ora, e non ti vendo niente.
30 minuti, gratuiti2
Canale, procedura, gestore
Si attiva la piattaforma, si scrive la procedura sulla tua organizzazione e si individua chi gestisce le segnalazioni. Per il canale interno vanno sentite le rappresentanze sindacali.
Settimane, non ore3
Sistema attivo e presidiato
Formazione a chi riceve, informazione a tutto il personale, poi resto il riferimento per la gestione delle segnalazioni e per gli aggiornamenti normativi.
Presidio continuativo
4,9
Recensioni verificate
Chi mi ha affidato le parti delicate della propria organizzazione
Imprenditori e professionisti che hanno lavorato con me, con nome e cognome.
Enti e imprese abituati a rendere conto
Banche, atenei, industria e pubblica amministrazione: realtà dove le procedure di segnalazione esistono da prima che diventassero un obbligo per tutti.
Le sei domande che ricevo prima di attivare un canale
Le prime cinque riguardano la norma. L'ultima riguarda me, ed è giusto che tu la faccia.
L'obbligo riguarda i soggetti privati che nell'ultimo anno hanno impiegato una
media di almeno cinquanta lavoratori subordinati. Vale però a prescindere dalla soglia anche per
gli enti che hanno adottato un Modello 231 e per chi opera in settori specifici, tra cui servizi
e mercati finanziari, prevenzione del riciclaggio, sicurezza dei trasporti e tutela
dell'ambiente. Molte PMI rientrano senza saperlo: la verifica è il primo passo.
Qui serve precisione. Ciò che la legge impone è la riservatezza dell'identità
del segnalante, non l'anonimato. Le segnalazioni anonime sono possibili e vanno gestite, ma sono
trattate come segnalazioni ordinarie. Una buona piattaforma consente il dialogo con il
segnalante proteggendone tecnicamente l'identità. Diffida di chi promette anonimato totale come
se fosse la stessa cosa: non lo è.
La piattaforma tecnica può essere operativa in tempi molto rapidi, ma
l'adeguamento non è solo tecnologia. Serve redigere la procedura, individuare il gestore delle
segnalazioni, informare il personale e, per il canale interno, sentire le rappresentanze
sindacali. Nel complesso si parla di settimane, non di ore: chi promette la conformità in
ventiquattr'ore ti sta vendendo solo il software.
La gestione può essere affidata a una persona o a un ufficio interno autonomo e
specificamente formato, oppure a un soggetto terzo esterno e imparziale. La scelta dipende dalla
dimensione dell'organizzazione e dai possibili conflitti di interesse: in una PMI, dove tutti si
conoscono, un gestore esterno è spesso ciò che rende il canale credibile agli occhi di chi
dovrebbe usarlo.
Sì, e spesso è il segnale che il sistema non funziona. Chi non si fida del
canale interno può rivolgersi direttamente ad ANAC e, a determinate condizioni, ricorrere alla
divulgazione pubblica. Un canale credibile e conosciuto ti permette di sapere per primo di un
problema, quando puoi ancora gestirlo. Un canale formale e inutilizzato ti lascia scoprire tutto
dall'esterno.
È gratuita e senza impegno, nessuna carta di credito. Se dalla verifica risulta
che non sei obbligato, te lo dico e finisce lì: non ho nessun interesse a venderti un canale che
non ti riguarda. E no, non riceverai telefonate non richieste: se vorrai proseguire sarai tu a
dirmelo. Faccio il consulente privacy, sarebbe imbarazzante il contrario.
In omaggio con la consulenza
Alla fine della mezz'ora ti lascio anche due libri
Due manuali in PDF per imprenditori e professionisti delle PMI italiane. Arrivano via email, senza costi e senza impegno.
"Il mio collega si chiama Claude"
Come far entrare l'intelligenza artificiale nel lavoro quotidiano di un'azienda, senza perdere il controllo dei dati.
- Workflow concreti per le attività ripetitive
- Risposte ai clienti, documenti, analisi dati
- Esempi pratici applicabili da subito
"Siti da Incubo"
Tutte le fasi di analisi e correzione di un sito che non porta clienti, conformità compresa.
- Dal sintomo alla cura, con metodo
- Check-list operative pronte all'uso
- Casi reali di siti analizzati e risolti
Il whistleblowing è arrivato dopo la privacy, e sulla privacy si appoggia
Se il registro dei trattamenti, le informative e le nomine dei fornitori non sono ancora in ordine, il canale di segnalazione nasce su fondamenta che non tengono. Nella pagina dell'adeguamento GDPR trovi il percorso completo, che progettiamo insieme a questo.
Prima consulenza gratuita
Verifica se sei obbligato, prima di scoprirlo tardi
Seleziona uno slot libero qui sotto: in mezz'ora stabiliamo se il D.Lgs. 24/2023 si applica alla tua organizzazione e cosa serve davvero. Senza impegno e senza allarmismi, con conferma e link alla videochiamata direttamente da Google Calendar.
Consulenza online di 30 minuti, gratuita e senza impegno. Risponde Max Valle in persona, nessun call center.
Articoli dal blog
Gdpr
Obbligo Green Pass in azienda e GDPR: come non incorrere in sanzioni
Il Governo Italiano attraverso il Decreto Legge del 21 settembre 2021 n. 127, ha posto l’obbligo Green Pass a tutti