Un canale whistleblowing si può ospitare sul sito aziendale, anche WordPress, ma un normale modulo di contatto non basta. Il D.Lgs. 24/2023 chiede che il canale garantisca, anche con strumenti di crittografia, la riservatezza di chi segnala, delle persone coinvolte e del contenuto; le Linee guida ANAC sui canali interni (Delibera 478/2025) indicano le piattaforme informatiche dedicate come lo strumento più idoneo e considerano email ordinaria e PEC di norma non adeguate. In pratica servono cifratura, accessi riservati al gestore, dialogo con il segnalante anche anonimo e regole di conservazione.
- Un modulo che invia una email all'ufficio del personale non garantisce la riservatezza richiesta.
- I requisiti tecnici chiave: cifratura dei contenuti, accesso solo al gestore con autenticazione forte, nessun dato sensibile nelle notifiche, codice per dialogare con chi segnala, log degli accessi, cancellazione entro 5 anni dall'esito.
- Il canale scritto non basta: va previsto anche quello orale, e serve un gestore autonomo e formato.
- Prima di andare online: valutazione d'impatto privacy e una prova completa del flusso.
Perché un modulo di contatto non basta
Un plugin di moduli generico fa tre cose che, per una segnalazione, sono un problema:
- invia il contenuto per email, in chiaro, a una casella che spesso leggono più persone e che resta nei server di posta e nei backup;
- salva i messaggi nel database senza cifratura, visibili a chiunque abbia accesso amministrativo al sito, compreso chi fa manutenzione;
- non prevede un dialogo con chi segnala senza rivelarne l'identità, mentre la legge chiede di dare avviso di ricevimento, chiedere integrazioni e fornire un riscontro.
Chi deve attivare il canale e con quali soglie è spiegato nella guida su quali aziende sono obbligate al whistleblowing. Qui ci concentriamo sulla parte tecnica: cosa deve fare il software e come deve essere gestito il sito che lo ospita.
I requisiti che vengono dalla legge e da ANAC
| Riferimento | Cosa chiede | Conseguenza tecnica |
|---|---|---|
| D.Lgs. 24/2023, art. 4 | Canale che garantisca, anche tramite crittografia, la riservatezza di segnalante, persona coinvolta, persone menzionate, contenuto e documenti; segnalazioni scritte (anche informatiche) e orali | Cifratura di testi e allegati; il canale orale (telefono, messaggio vocale, incontro) va organizzato a parte |
| D.Lgs. 24/2023, art. 5 | Avviso di ricevimento entro 7 giorni, dialogo, riscontro entro 3 mesi | Scadenzario per il gestore e canale di risposta verso chi segnala |
| D.Lgs. 24/2023, art. 12 | L'identità di chi segnala non può essere rivelata senza il suo consenso a persone diverse da quelle autorizzate a gestire le segnalazioni | Ruoli e permessi: solo il gestore vede le segnalazioni |
| D.Lgs. 24/2023, art. 13 | Trattamento dei dati conforme al GDPR, con misure definite sulla base di una valutazione d'impatto | DPIA prima dell'attivazione; nomina a responsabile del trattamento per il fornitore |
| D.Lgs. 24/2023, art. 14 | Conservazione per il tempo necessario e comunque non oltre 5 anni dalla comunicazione dell'esito finale | Politica di cancellazione, compresi allegati e backup |
| Linee guida ANAC, Delibera 478/2025 | Piattaforme informatiche dedicate come strumento più idoneo; email ordinaria e PEC in genere non adeguate | Applicazione dedicata, non una casella di posta |
E le segnalazioni anonime?
Il decreto tutela anche chi ha segnalato in forma anonima ed è stato poi identificato e ha subito ritorsioni (art. 16, comma 4). Per questo il sistema deve poter ricevere una segnalazione senza nome e permettere comunque al gestore di dialogare con chi l'ha inviata: il metodo tipico è un codice personale, rilasciato all'invio, con cui il segnalante torna a leggere risposte e richieste di integrazione.
Dai requisiti alle funzioni: cosa deve fare il software
- Cifratura dei contenuti conservati: testo della segnalazione e allegati non devono essere leggibili da chi accede al database o ai file del sito.
- Accesso riservato al gestore, con utenza personale e autenticazione a due fattori, separata dagli amministratori del sito.
- Notifiche “mute”: l'email al gestore deve dire solo che c'è una nuova segnalazione, senza riportarne il contenuto.
- Codice di ricevuta per il segnalante, per seguire la pratica e rispondere senza identificarsi.
- Stati e scadenze: ricevuta, avviso inviato, in istruttoria, riscontro dato, chiusa; con promemoria per i 7 giorni e i 3 mesi.
- Registro delle attività del gestore (chi ha aperto cosa e quando), utile anche in caso di contestazioni.
- Cancellazione programmata alla scadenza della conservazione, con esportazione preventiva di ciò che va archiviato.
- Informativa e istruzioni chiare sulla pagina del canale: chi può segnalare, cosa, come, con quali tutele.
Errori tipici sui siti WordPress
- Il modulo “segnalazioni” costruito con un plugin di form che salva le voci in chiaro e le manda per email.
- Il plugin di log o di statistiche che registra l'indirizzo IP e la pagina visitata: nel caso di un canale anonimo è un dato da evitare o minimizzare. Lo stesso vale per i log del server web, che vanno configurati e conservati con criterio.
- Script di terze parti sulla pagina del canale (statistiche, chat, pixel pubblicitari): sulla pagina delle segnalazioni non servono e trasmettono dati a terzi.
- Allegati caricati nella Libreria media, raggiungibili con un indirizzo pubblico.
- Troppi amministratori: chiunque sia amministratore del sito potrebbe, con un plugin generico, leggere le segnalazioni.
- Backup del sito non cifrati conservati per anni, che contengono anche le segnalazioni già cancellate.
Il sito che ospita il canale
Il miglior plugin del mondo non protegge un sito trascurato. Il canale eredita la sicurezza del WordPress su cui gira: aggiornamenti puntuali, pochi amministratori con autenticazione a due fattori, HTTPS su tutto il sito, backup cifrati, versione PHP supportata. Sono i punti della nostra checklist di sicurezza WordPress, e su un sito che riceve segnalazioni vanno considerati obbligatori. Valuta anche dove si trovano i server e se ci sono trasferimenti di dati fuori dall'Unione europea, che il GDPR regola in modo specifico.
Se il sito è gestito da un fornitore esterno (hosting, manutenzione), quel fornitore tratta dati personali per conto dell'azienda: va nominato responsabile del trattamento e deve sapere che sul sito c'è un canale riservato.
Il plugin Whistleblowing di EspertiWP
Abbiamo sviluppato il plugin Whistleblowing per WordPress proprio per non dover scegliere tra un modulo inadeguato e una piattaforma esterna scollegata dal sito. Dalla scheda del prodotto: crittografia delle segnalazioni, autenticazione a due fattori per gli amministratori, moduli di segnalazione personalizzabili per tipo di violazione, tracciamento di ogni segnalazione dalla ricezione alla risoluzione, esportazione dei dati e supporto multilingue.
Il software è una parte del canale, non tutto il canale: la nomina del gestore, il canale orale, l'atto organizzativo, la valutazione d'impatto e le informative restano scelte e documenti dell'azienda. Possiamo aiutarti a impostare la parte tecnica e a provarla, e ti mostriamo il plugin in una demo; il preventivo è su richiesta.
Checklist prima di andare online
- Atto organizzativo approvato e rappresentanze sindacali sentite.
- Gestore nominato, formato, con utenza personale e autenticazione a due fattori.
- Valutazione d'impatto (DPIA) e informative pronte; fornitori nominati responsabili del trattamento.
- Pagina del canale pubblicata in una sezione dedicata del sito, senza script di terze parti.
- Canale orale attivo (numero, segreteria o modalità di incontro).
- Prova completa: segnalazione anonima di test, notifica senza contenuto, avviso entro 7 giorni, risposta letta dal segnalante con il codice.
- Verifica che contenuti e allegati non siano leggibili dal database o da un indirizzo pubblico.
- Regola di cancellazione e gestione dei backup decisa e documentata.
Domande frequenti
Posso usare Contact Form 7 o un altro plugin di moduli per il whistleblowing?
Un modulo generico che invia email in chiaro e salva i messaggi senza cifratura non garantisce la riservatezza richiesta dal D.Lgs. 24/2023. Servono cifratura, accessi riservati al gestore e un modo per dialogare con chi segnala.
Il canale deve permettere segnalazioni anonime?
Il decreto tutela anche chi segnala in forma anonima e viene poi identificato e subisce ritorsioni. Per questo è buona pratica che il sistema accetti segnalazioni senza nome e permetta il dialogo con un codice personale.
Per quanto si conservano le segnalazioni?
Per il tempo necessario a gestirle e comunque non oltre 5 anni dalla comunicazione dell'esito finale, come prevede l'art. 14 del D.Lgs. 24/2023. La regola vale anche per allegati e copie di backup.
Basta il plugin per essere in regola?
No: il software copre il canale scritto. Servono anche il canale orale, un gestore autonomo e formato, l'atto organizzativo, la valutazione d'impatto e le informative.
Vuoi vedere il plugin Whistleblowing sul tuo sito?
Ti mostriamo come funziona in una demo e verifichiamo con te i requisiti tecnici del sito che lo ospiterà. Preventivo su richiesta: scrivici a espertiwp@helpwebnet.com o chiamaci al 081 1818 7878.
Richiedi una demoFonti: D.Lgs. 24/2023 (Normattiva) · ANAC – Whistleblowing (Linee guida, Delibera 478/2025) · Reg. (UE) 2016/679 GDPR (EUR-Lex) · WordPress Developer Resources – Hardening WordPress