Whistleblowing nelle PMI: chi è obbligato e cosa serve davvero

Dal 17 dicembre 2023 l’obbligo di avere un canale interno di segnalazione vale anche per le imprese private più piccole tra quelle coinvolte. La norma è il D.Lgs. 24/2023, che ha recepito la direttiva europea sul whistleblowing. A fine 2025 l’ANAC ha pubblicato nuove Linee guida dedicate proprio ai canali interni. Ecco cosa conta per una PMI.

Chi è obbligato

Nel settore privato l’obbligo scatta in tre casi (art. 2, comma 1, lettera q):

• l’impresa ha impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati, a tempo indeterminato o determinato;
• opera negli ambiti coperti dagli atti europei richiamati nelle parti I.B e II dell’allegato al decreto: servizi, prodotti e mercati finanziari, prevenzione del riciclaggio, alcuni atti sulla sicurezza dei trasporti (aviazione civile, navi e lavoro marittimo) e la sicurezza delle operazioni in mare nel settore degli idrocarburi. In questo caso conta anche sotto i 50 dipendenti;
• rientra nel D.Lgs. 231/2001 e ha adottato un modello di organizzazione e gestione (MOG 231), anche con meno di 50 dipendenti.

Nell’ultimo caso, sotto la soglia dei 50, le segnalazioni protette riguardano le condotte rilevanti per il D.Lgs. 231/2001 e le violazioni del modello, e passano solo dal canale interno (art. 3, comma 2). Il modello 231 deve comunque prevedere il canale (art. 4, comma 1).

Le imprese con una media fino a 249 dipendenti possono condividere il canale e la sua gestione con altre (art. 4, comma 4). Per ANAC la condivisione va regolata da un accordo che fissi compiti e responsabilità di ciascuno.

Cosa deve avere il canale interno

• Riservatezza. Il canale protegge l’identità di chi segnala, delle persone coinvolte e di quelle citate, oltre al contenuto e ai documenti. La legge indica anche la crittografia tra gli strumenti (art. 4, comma 1).
• Forma scritta e orale. Si deve poter segnalare per iscritto e a voce: linee telefoniche, messaggi vocali e, su richiesta, un incontro diretto in tempi ragionevoli (art. 4, comma 3). ANAC chiede di garantire entrambe le modalità.
• Un gestore autonomo e formato. Una persona o un ufficio interno autonomo e dedicato, oppure un soggetto esterno, in entrambi i casi con personale formato (art. 4, comma 2). ANAC intende l’autonomia come imparzialità e indipendenza.
• Il confronto con i sindacati. Il canale si attiva dopo aver sentito le rappresentanze o le organizzazioni sindacali (art. 4, comma 1). Dove non ci sono rappresentanze, ANAC indica di informare le organizzazioni territoriali delle associazioni più rappresentative.
• Informazioni chiare. Canale, procedure e presupposti vanno spiegati, esposti nei luoghi di lavoro e pubblicati sul sito, se c’è (art. 5, comma 1).
• Una valutazione d’impatto privacy. Le misure tecniche e organizzative si scelgono sulla base di una DPIA, e il rapporto con i fornitori che trattano i dati va regolato per contratto (art. 13, comma 6).

Email e PEC: perché ANAC le scarta

Le Linee guida n. 1/2025 (delibera n. 478 del 26 novembre 2025) sono il riferimento più recente. Tre indicazioni pratiche.

1. Meglio una piattaforma informatica: può cifrare i dati conservati e mantenere il dialogo con chi segnala tramite un codice noto solo a lui.
2. La posta elettronica, ordinaria o certificata, è considerata di per sé non adeguata a proteggere l’identità di chi segnala, salvo contromisure specifiche giustificate nella DPIA. I sistemi di posta conservano i registri di invio e ricezione, e il rischio cresce se si usa la casella aziendale.
3. Se il canale si raggiunge dalla rete aziendale, chi segnala non deve essere tracciabile nemmeno negli apparati di rete, come firewall o proxy.

Il terzo punto riguarda l’informatica dell’azienda, non solo il fornitore del canale.

I tempi

Chi gestisce il canale deve (art. 5, comma 1):

• dare l’avviso di ricevimento entro 7 giorni dalla ricezione;
• mantenere il dialogo con chi segnala e dare un seguito diligente;
• fornire un riscontro entro 3 mesi dall’avviso di ricevimento. Se l’avviso manca, i 3 mesi partono dalla scadenza dei 7 giorni.

Per ANAC l’avviso di ricevimento non richiede di valutare il merito: dice solo che la segnalazione è arrivata ed è stata presa in carico. Segnalazioni e documenti si conservano per il tempo necessario, e comunque non oltre cinque anni dalla comunicazione dell’esito finale (art. 14).

Le segnalazioni anonime

Qui la legge lascia margine all’ente. Il decreto tutela chi ha segnalato in forma anonima se in seguito viene identificato e subisce ritorsioni (art. 16, comma 4). ANAC indica che l’ente può trattare le segnalazioni anonime come segnalazioni ordinarie, se lo prevede, ma deve comunque registrarle e conservarne la documentazione. Se accettarle, e come gestirle, va scritto nella procedura.

Le sanzioni

L’ANAC può applicare sanzioni amministrative (art. 21):

• da 10.000 a 50.000 euro per ritorsioni, per una segnalazione ostacolata o per la violazione della riservatezza;
• da 10.000 a 50.000 euro se il canale non esiste, se mancano le procedure o non sono conformi, o se le segnalazioni non vengono verificate e analizzate;
• da 500 a 2.500 euro a carico di chi segnala, quando ne è accertata la responsabilità civile per diffamazione o calunnia con dolo o colpa grave, salvo condanna penale per gli stessi fatti (art. 16, comma 3).

Per ANAC, nelle imprese private il responsabile della mancata istituzione del canale è l’organo di indirizzo. Chi ha un modello 231 deve inoltre prevedere sanzioni nel proprio sistema disciplinare.

In Wellbe

Il modulo whistleblowing di Wellbe attiva per l’azienda un portale web raggiungibile da un link. Chi segnala sceglie tra forma anonima e confidenziale, scrive o registra un messaggio vocale e riceve un codice, mostrato una sola volta, per seguire la pratica e rispondere al gestore. Testo, messaggi e voce sono cifrati e li leggono solo le persone designate dall’azienda. I termini di 7 giorni e 3 mesi restano in capo al gestore: la piattaforma registra stati e conversazione, ma non invia promemoria. Consultazione sindacale, informazioni ai lavoratori, DPIA e formazione del gestore restano compiti dell’azienda.