Nel settore privato devono attivare un canale interno di segnalazione (whistleblowing) le aziende che nell'ultimo anno hanno impiegato in media almeno 50 lavoratori subordinati, e anche sotto questa soglia chi opera nei settori regolati dagli atti UE indicati dal decreto o ha adottato un modello organizzativo 231. Lo prevede il D.Lgs. 24/2023; le regole operative sono precisate dalle Linee guida ANAC, aggiornate per i canali interni con la Delibera n. 478 del 26 novembre 2025.
- Soglia: almeno 50 lavoratori subordinati in media nell'ultimo anno (contratti a tempo indeterminato o determinato).
- Sotto soglia sono obbligati anche i soggetti dei settori UE dell'allegato al decreto e chi ha un modello 231 (in questo caso per le segnalazioni sulle condotte 231).
- Il canale deve garantire riservatezza, permettere segnalazioni scritte e orali, avere un gestore autonomo e formato, rispondere entro 7 giorni (avviso) e 3 mesi (riscontro).
Chi è obbligato nel settore privato
Il D.Lgs. 24/2023 (art. 2) individua i “soggetti del settore privato” con tre criteri alternativi: basta rientrare in uno solo per essere obbligati.
Almeno 50 lavoratori subordinati in media
Sono obbligate le aziende che nell'ultimo anno hanno impiegato la media di almeno cinquanta lavoratori subordinati con contratto a tempo indeterminato o determinato. Attenzione alla formulazione: “almeno 50”, quindi 50 è già dentro, e conta la media dell'anno, non il numero di oggi.
Settori regolati dagli atti UE, anche sotto 50
Sono obbligati, a prescindere dal numero di dipendenti, i soggetti che rientrano nell'ambito degli atti dell'Unione richiamati nelle parti I.B e II dell'allegato al decreto: si tratta in particolare di ambiti come servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell'ambiente. Se la tua azienda opera in questi ambiti, verifica con il consulente legale se rientri.
Enti con modello 231, anche sotto 50
Chi ha adottato un modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001 è obbligato anche con meno di 50 dipendenti. In questo caso, se non raggiunge la soglia dei 50, il canale interno riguarda le segnalazioni sulle condotte rilevanti ai sensi del 231 e sulle violazioni del modello.
| La tua situazione | Canale interno obbligatorio? |
|---|---|
| Media di almeno 50 lavoratori subordinati nell'ultimo anno | Sì |
| Meno di 50, ma settore rientrante negli atti UE delle parti I.B e II dell'allegato | Sì |
| Meno di 50, con modello 231 adottato | Sì, per le segnalazioni sulle condotte 231 |
| Meno di 50, nessun modello 231, settore non regolato | Di regola no, ma resta una buona pratica |
Cosa deve garantire il canale interno
L'art. 4 del decreto chiede che il canale garantisca, anche tramite strumenti di crittografia, la riservatezza dell'identità di chi segnala, della persona coinvolta, di chi è comunque menzionato e del contenuto della segnalazione e dei documenti. In pratica il canale deve:
- permettere segnalazioni in forma scritta, anche con modalità informatiche;
- permettere segnalazioni in forma orale, tramite linee telefoniche o messaggistica vocale e, su richiesta di chi segnala, con un incontro diretto fissato entro un termine ragionevole;
- essere attivato sentite le rappresentanze o le organizzazioni sindacali;
- essere descritto con informazioni chiare su canale, procedure e presupposti, esposte nei luoghi di lavoro e pubblicate in una sezione dedicata del sito internet aziendale (art. 5).
Chi gestisce le segnalazioni e con quali tempi
La gestione va affidata a una persona o a un ufficio interno autonomo dedicato, con personale formato, oppure a un soggetto esterno anch'esso autonomo e formato. Chi gestisce il canale deve (art. 5):
- Dare avviso di ricevimento a chi segnala entro 7 giorni dalla ricezione.
- Mantenere il dialogo con chi segnala e chiedere integrazioni se necessario.
- Dare seguito alla segnalazione con le verifiche del caso.
- Fornire riscontro entro 3 mesi dall'avviso di ricevimento (o, se manca l'avviso, dalla scadenza dei 7 giorni).
Le segnalazioni e la documentazione si conservano per il tempo necessario a gestirle e comunque non oltre 5 anni dalla comunicazione dell'esito finale (art. 14).
Le Linee guida ANAC sui canali interni
Con la Delibera n. 478 del 26 novembre 2025 l'ANAC ha approvato le Linee guida in materia di whistleblowing sui canali interni di segnalazione; con la Delibera n. 479 della stessa data ha aggiornato le Linee guida sui canali esterni (Delibera n. 311 del 12 luglio 2023). Le indicazioni più rilevanti per un'azienda:
- le piattaforme informatiche dedicate sono indicate come lo strumento più idoneo a garantire elevati standard di sicurezza e riservatezza;
- la semplice email, ordinaria o PEC, è considerata in genere non adeguata a garantire la riservatezza, perché metadati e registri possono rivelare l'identità di chi segnala;
- il gestore deve avere effettiva autonomia, cioè imparzialità e indipendenza rispetto alle strutture coinvolte, e una formazione adeguata; vanno regolate in anticipo incompatibilità e sostituzioni;
- il canale va istituito con un atto organizzativo, dopo il coinvolgimento delle rappresentanze sindacali.
Sanzioni ANAC
L'ANAC è l'autorità che vigila e sanziona. L'art. 21 del decreto prevede sanzioni amministrative pecuniarie:
| Violazione | Sanzione |
|---|---|
| Ritorsioni, ostacolo alla segnalazione, violazione dell'obbligo di riservatezza | Da 10.000 a 50.000 euro |
| Canali non istituiti, procedure non adottate o non conformi, mancata verifica e analisi delle segnalazioni | Da 10.000 a 50.000 euro |
| Segnalante di cui sia accertata la responsabilità civile per diffamazione o calunnia, per dolo o colpa grave (art. 16, c. 3) | Da 500 a 2.500 euro |
Le aziende private devono inoltre prevedere nel sistema disciplinare sanzioni per i responsabili di questi illeciti.
Privacy: valutazione d'impatto e informative
Il trattamento dei dati delle segnalazioni rientra nel GDPR. L'art. 13 del decreto chiede di definire il modello di ricevimento e gestione con misure tecniche e organizzative adeguate, sulla base di una valutazione d'impatto sulla protezione dei dati, e di fornire le informative a chi segnala e alle persone coinvolte. Se il canale è gestito da un fornitore esterno o da una piattaforma, il fornitore va nominato responsabile del trattamento. Per informative e documenti privacy del sito puoi vedere i nostri servizi privacy e cookie policy.
Come attivarlo sul sito WordPress aziendale
Il sito aziendale è il posto naturale dove pubblicare le informazioni sul canale (è anche un obbligo, se hai un sito) e, con gli strumenti giusti, dove ricevere le segnalazioni scritte. Un normale modulo di contatto non basta: invia email in chiaro e conserva i messaggi nel database senza protezioni particolari.
Per questo abbiamo sviluppato il plugin Whistleblowing per WordPress. Dalla scheda del prodotto: crittografia delle segnalazioni, autenticazione a due fattori per gli amministratori, moduli di segnalazione personalizzabili per tipo di illecito, tracciamento di ogni segnalazione dalla ricezione alla chiusura, esportazione dei report e supporto multilingue. Il canale orale (telefono o incontro diretto) e la nomina del gestore restano scelte organizzative dell'azienda, che possiamo aiutarti a impostare. Ti mostriamo il plugin in una demo e il preventivo è su richiesta.
Il whistleblowing è uno degli adempimenti che riguardano le PMI; per una panoramica sugli obblighi di sicurezza informatica vedi la guida del gruppo su NIS2 e PMI.
Domande frequenti
La mia azienda ha 30 dipendenti: devo avere il whistleblowing?
Di regola no, salvo che operi nei settori regolati dagli atti UE indicati nell'allegato al D.Lgs. 24/2023 o abbia adottato un modello organizzativo 231.
Come si calcolano i 50 dipendenti?
Conta la media dei lavoratori subordinati, a tempo indeterminato o determinato, impiegati nell'ultimo anno: con una media di almeno 50 l'obbligo scatta.
Basta una casella email per le segnalazioni?
In genere no: il canale deve garantire la riservatezza di chi segnala e del contenuto, anche con la crittografia, e le Linee guida ANAC considerano email ordinaria e PEC di norma non adeguate.
Entro quanto si risponde al segnalante?
Avviso di ricevimento entro 7 giorni e riscontro entro 3 mesi dalla data dell'avviso.
Chi controlla e sanziona?
L'ANAC, che può applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro, ad esempio se i canali non sono stati istituiti o non sono conformi.
Plugin Whistleblowing per WordPress
Ti mostriamo come funziona sul tuo sito e ti aiutiamo a impostare il canale interno. Preventivo su richiesta. Scrivici a espertiwp@helpwebnet.com o chiamaci al 081 1818 7878.
Richiedi una demoFonti: D.Lgs. 24/2023 (Normattiva) · Direttiva (UE) 2019/1937 (EUR-Lex) · ANAC – Whistleblowing (Delibere 478/2025, 479/2025, 311/2023) · ANAC – Linee guida Delibera 311/2023 · Reg. (UE) 2016/679 GDPR (EUR-Lex)