Whistleblowing: Guida Completa a Processo, Tutele e Obblighi (D.lgs. 24/2023)

Il panorama della trasparenza aziendale in Italia ha subito una trasformazione radicale con l’entrata in vigore del D.lgs. 24/2023. Il whistleblowing, ovvero la segnalazione di illeciti commessi all’interno di un contesto lavorativo, non è più solo un atto di integrità individuale, ma un pilastro fondamentale della compliance normativa. In un mercato globale che premia l’etica e la sostenibilità, implementare un processo di whistleblowing efficace permette alle aziende di prevenire rischi reputazionali e finanziari, garantendo al contempo una protezione assoluta a chi decide di denunciare irregolarità. Questa guida esplora come le nuove regole tutelano il segnalante e quali passi devono compiere le imprese per risultare conformi.

Il Quadro Normativo del Whistleblowing in Italia: Dal D.lgs. 24/2023 ad Oggi

L’attuale disciplina italiana è il risultato del recepimento della Direttiva UE 2019/1937, confluita nel Testo integrale del D.lgs. 24/2023 in Gazzetta Ufficiale 1. Questo decreto ha armonizzato le tutele per i settori pubblico e privato, superando la frammentazione normativa precedente e ponendo l’Italia all’avanguardia nella protezione dei diritti dei lavoratori che segnalano violazioni del diritto nazionale o dell’Unione Europea.

Le novità introdotte per le aziende private

Rispetto alla precedente Legge 190/2012, che si focalizzava prevalentemente sul settore pubblico, il nuovo processo whistleblowing Italia estende gli obblighi a una platea molto più ampia di soggetti privati. Non si tratta più solo di prevenire la corruzione, ma di monitorare un ventaglio esteso di illeciti che includono violazioni in materia di appalti pubblici, servizi finanziari, sicurezza dei prodotti, tutela ambientale e protezione dei dati personali. L’adeguamento non è facoltativo: la legge impone strutture tecniche e organizzative specifiche per gestire il flusso delle informazioni in totale sicurezza.

Chi è il Whistleblower e quali Tutele riceve

La figura del whistleblower oggi comprende chiunque entri in contatto con l’azienda: dipendenti, ex dipendenti, candidati a una posizione lavorativa, collaboratori, tirocinanti e azionisti. Le garanzie legali whistleblower sono state potenziate per eliminare la vulnerabilità whistleblower che spesso scoraggiava le denunce in passato. La protezione è attiva non solo per il segnalante, ma anche per i cosiddetti “facilitatori” — persone che assistono il segnalante nel processo di segnalazione operando nello stesso contesto lavorativo ⁴.

Protezione dalle ritorsioni e inversione dell’onere della prova

Uno dei punti cardine della normativa riguarda i rischi segnalazione illeciti legati a possibili vendette aziendali. La legge vieta espressamente licenziamenti, demansionamenti, trasferimenti o qualsiasi altra misura ritorsiva. Secondo la Guida pratica per i segnalanti (Transparency International) ⁴, in caso di presunta ritorsione opera l’inversione dell’onere della prova: spetta al datore di lavoro dimostrare che la misura adottata (ad esempio un licenziamento) sia motivata da ragioni oggettive e totalmente estranee alla segnalazione effettuata.

La tutela dei Facilitatori e dei parenti

La legge protezione whistleblower estende le tutele oltre il singolo individuo. Sono protetti anche i colleghi di lavoro che hanno un rapporto abituale con il segnalante e i parenti entro il quarto grado che operano nel medesimo contesto lavorativo. Questa estensione mira a prevenire ritorsioni indirette che potrebbero colpire la sfera affettiva o sociale del segnalante, creando un ambiente realmente sicuro per la denuncia di illeciti.

Obblighi per le Aziende: Chi deve adeguarsi e come

Secondo le Linee guida ANAC sul whistleblowing 2, l’obbligo di istituire canali di segnalazione riguarda tutte le aziende del settore pubblico e le aziende private che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati. Per le aziende che operano in settori sensibili (come i servizi finanziari), l’obbligo scatta indipendentemente dal numero di dipendenti. La segnalazione illeciti deve poter avvenire in forma scritta, orale o attraverso incontri diretti, garantendo sempre la massima riservatezza.

Regole per i Gruppi Societari e condivisione dei canali

Le recenti Delibere ANAC, inclusa la n. 478 del 26 novembre 2025, hanno chiarito la gestione dei canali per i gruppi di imprese 2. Se un gruppo ha una media superiore a 249 lavoratori subordinati, non è consentita la condivisione di un unico canale interno: ogni società controllata deve dotarsi di un proprio canale autonomo. È permessa l’esternalizzazione della gestione a terzi specializzati, a patto che le utenze siano segregate e che ogni società rimanga l’unico titolare del trattamento dei propri dati personali.

Canali di Segnalazione: Interno vs Esterno (ANAC)

Il segnalante deve prioritariamente utilizzare i canali segnalazione whistleblower interni all’azienda. Tuttavia, è possibile ricorrere al canale esterno gestito dall’ANAC qualora il canale interno non sia attivo, non sia conforme, o se il segnalante ha fondati motivi di ritenere che la segnalazione interna possa dar luogo a ritorsioni o non avere seguito. Per garantire procedure whistleblowing sicure, la scelta tecnologica del canale è determinante.

Perché la PEC e l’email standard non sono conformi

Molte aziende commettono l’errore di considerare la PEC o l’email tradizionale come strumenti idonei. Tuttavia, secondo le Indicazioni del Garante Privacy per il whistleblowing e il parere n. 581 del 9 ottobre 2025 ³, questi strumenti non sono adeguati. La posta elettronica genera metadati e log di sistema che rendono tecnicamente possibile risalire all’identità del segnalante, violando l’obbligo di riservatezza. È necessaria una separazione tecnica tra l’identità del soggetto e il contenuto della segnalazione, adottando misure di sicurezza “privacy by design”.

Privacy e Conformità Tecnica: La DPIA nel Whistleblowing

La gestione della privacy è l’aspetto più critico per evitare la mancanza tutele segnalanti. Ogni sistema di whistleblowing deve essere preceduto da una Valutazione di Impatto sulla Protezione dei Dati (DPIA). Questo documento tecnico analizza i rischi per i diritti e le libertà degli interessati e definisce le misure per mitigarli, garantendo che il trattamento dei dati sia conforme al GDPR.

Come redigere una DPIA specifica per il whistleblowing

La redazione della DPIA deve includere una descrizione sistematica dei trattamenti, la valutazione della necessità e proporzionalità dei dati raccolti e la gestione dei tempi di conservazione. Una DPIA corretta assicura che solo il personale autorizzato e specificamente formato possa accedere alle segnalazioni, proteggendo l’azienda da pesanti sanzioni del Garante Privacy.

Misure di sicurezza minime e crittografia end-to-end

Per implementare garanzie legali whistleblower reali, le piattaforme software devono utilizzare protocolli di crittografia end-to-end. Questo assicura che il contenuto della segnalazione sia leggibile solo dal ricevente autorizzato. L’adozione di standard ISO/IEC per la sicurezza delle informazioni è caldamente raccomandata per certificare la robustezza del sistema contro accessi non autorizzati o data breach.

Procedura Operativa: Come Effettuare una Segnalazione Sicura

Sapere come fare una segnalazione whistleblower in modo corretto è essenziale per attivare le tutele. Il processo inizia con l’invio della segnalazione tramite la piattaforma aziendale. Entro 7 giorni, l’azienda deve rilasciare un avviso di ricevimento al segnalante. Successivamente, l’ente incaricato della gestione deve mantenere i contatti con il segnalante e fornire un riscontro sull’esito della segnalazione entro 3 mesi dalla data dell’avviso di ricevimento ⁴.

Checklist per il segnalante prima dell’invio

Per rendere la segnalazione efficace e ridurre i rischi, il segnalante dovrebbe seguire questi passaggi:

• Descrivere i fatti in modo oggettivo, indicando tempi, luoghi e persone coinvolte.
• Allegare documenti o prove, se disponibili, evitando di acquisirli in modo illegale.
• Verificare che la piattaforma utilizzata garantisca l’anonimato tecnico.
• Monitorare eventuali ritorsioni indirette, come cambiamenti improvvisi nei turni di lavoro o esclusione da percorsi formativi, per poterli denunciare tempestivamente.

Il whistleblowing non deve essere percepito solo come un adempimento burocratico, ma come un’opportunità per costruire un’azienda più sana e competitiva. La protezione dei segnalanti è il presupposto necessario per far emergere illeciti che altrimenti resterebbero sommersi, danneggiando l’intera collettività. Investire in canali sicuri e in una cultura della legalità trasforma la compliance in un valore etico condiviso.

Scarica la nostra checklist di conformità per aziende o consulta la guida ANAC per iniziare il processo di segnalazione in sicurezza.

Le informazioni contenute in questo articolo hanno scopo puramente informativo e non sostituiscono il parere di un legale o di un consulente compliance specializzato.