Guida
Normativa whistleblowing per le PMI: obblighi, canale interno e sanzioni
In Italia la normativa whistleblowing è il d.lgs. 10 marzo 2023, n. 24, che obbliga le imprese con almeno 50 dipendenti in media, quelle con modello 231 e quelle di alcuni settori ad attivare un canale interno per le segnalazioni di illeciti, gestirle in tempi certi e proteggere chi segnala. Questa guida spiega chi è obbligato, come deve funzionare il canale e cosa rischia chi non lo attiva.
Whistleblowing: la normativa che lo regola e chi può segnalare
Il whistleblowing è la segnalazione, da parte di chi lavora o collabora con un'organizzazione, di violazioni di legge di cui è venuto a conoscenza nel contesto lavorativo. In Italia la legge sul whistleblowing è il d.lgs. 10 marzo 2023, n. 24, che ha recepito la direttiva (UE) 2019/1937 e ha unificato le regole per settore pubblico e privato.
Possono segnalare i dipendenti e, oltre a loro, lavoratori autonomi, collaboratori, liberi professionisti e consulenti, volontari e tirocinanti, soci e persone con funzioni di amministrazione o controllo, anche durante la selezione, il periodo di prova o dopo la fine del rapporto.
Il whistleblowing non serve per i problemi personali di lavoro. Restano escluse le contestazioni e rivendicazioni legate a un interesse personale del segnalante che riguardano solo il suo rapporto individuale di lavoro: per quelle valgono i canali ordinari, dall'ufficio del personale al sindacato.
Normativa whistleblowing: quali PMI sono obbligate
Per il whistleblowing l'obbligo di attivare un canale interno dipende da tre criteri: numero di dipendenti, adozione di un modello 231 e settore di attività. Le PMI fino a 249 lavoratori sono obbligate dal 17 dicembre 2023.
| Situazione dell'impresa | Canale interno obbligatorio | Cosa si può segnalare, in sintesi |
|---|---|---|
| Media di almeno 50 lavoratori subordinati nell'ultimo anno | Sì | Violazioni del diritto dell'Unione europea nei settori indicati dal decreto |
| Meno di 50 lavoratori, con modello 231 | Sì | Condotte rilevanti ai sensi del d.lgs. 231/2001 e violazioni del modello |
| Settori regolati (servizi e mercati finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell'ambiente) | Sì, anche sotto i 50 lavoratori | Violazioni nei settori di riferimento |
| Meno di 50 lavoratori, senza modello 231, fuori dai settori regolati | No | Il canale si può attivare volontariamente |
Per il whistleblowing i 50 dipendenti, cioè lavoratori subordinati, si contano sulla media dell'ultimo anno e comprendono i contratti a tempo indeterminato e a tempo determinato. Chi supera la soglia durante l'anno deve monitorare la media per capire quando scatta l'obbligo.
Whistleblowing e canali di segnalazione: come deve essere il canale interno
Il canale di segnalazione interno è lo strumento con cui l'impresa riceve e gestisce le segnalazioni. L'art. 4 del d.lgs. 24/2023 fissa i requisiti principali.
- Riservatezza: il canale deve tutelare l'identità di chi segnala, della persona coinvolta e di quelle menzionate, oltre al contenuto della segnalazione e ai documenti, anche con strumenti di crittografia.
- Forme della segnalazione: per iscritto, anche con piattaforme informatiche, oppure in forma orale con linee telefoniche o messaggistica vocale; su richiesta, con un incontro diretto in tempi ragionevoli.
- Gestore: una persona o un ufficio interno autonomo e dedicato, con personale formato, oppure un soggetto esterno autonomo e formato.
- Sindacati: il canale va attivato sentite le rappresentanze o le organizzazioni sindacali.
- Condivisione: le imprese con una media fino a 249 lavoratori possono condividere il canale e la sua gestione, una soluzione utile per gruppi di PMI o reti di imprese.
Le indicazioni operative dell'Autorità nazionale anticorruzione sui canali interni sono nelle linee guida approvate con la delibera n. 478 del 26 novembre 2025, pubblicate nella sezione whistleblowing dell'ANAC.
Normativa whistleblowing e privacy: valutazione d'impatto e conservazione
Il canale tratta dati personali, spesso delicati. Il decreto chiede di definire il modello di gestione sulla base di una valutazione d'impatto sulla protezione dei dati e di conservare le segnalazioni per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell'esito finale (artt. 13 e 14).
I tempi di gestione di una segnalazione secondo la normativa whistleblowing
Chi gestisce il canale interno deve rispettare tempi precisi, fissati dall'art. 5 del d.lgs. 24/2023.
- Entro 7 giorni dal ricevimento: avviso di ricevimento alla persona che ha segnalato.
- Durante l'istruttoria: mantiene i contatti con il segnalante, può chiedere integrazioni e dà un seguito diligente.
- Entro 3 mesi dall'avviso di ricevimento (o dalla scadenza dei 7 giorni, se l'avviso non è stato dato): riscontro sulla segnalazione.
L'impresa deve inoltre mettere a disposizione informazioni chiare su canale, procedure e presupposti per segnalare, sia internamente sia all'esterno. Le informazioni vanno esposte nei luoghi di lavoro, rese accessibili a chi non li frequenta e pubblicate in una sezione dedicata del sito, se l'impresa ne ha uno.
Canale esterno ANAC e tutele per chi segnala
Oltre al canale interno esiste il canale esterno gestito dall'ANAC, accessibile dalla piattaforma per le segnalazioni. Il segnalante può usarlo solo in alcuni casi previsti dall'art. 6: per esempio se nell'impresa il canale interno non è attivo o non è conforme, se la segnalazione interna non ha avuto seguito, se ha fondati motivi di temere ritorsioni o se la violazione rappresenta un pericolo imminente per il pubblico interesse.
La persona che segnala è protetta in due modi. La sua identità non può essere rivelata senza il suo consenso a persone diverse da quelle autorizzate a gestire la segnalazione (art. 12). Inoltre sono vietate le ritorsioni (art. 17): licenziamento, demansionamento, trasferimento, note di merito negative, mancato rinnovo e altre misure adottate a causa della segnalazione sono nulle.
Le sanzioni ANAC sul whistleblowing per le PMI
L'art. 21 del d.lgs. 24/2023 attribuisce all'ANAC il potere di applicare sanzioni amministrative pecuniarie.
| Violazione | Sanzione |
|---|---|
| Ritorsioni, ostacolo o tentato ostacolo alla segnalazione, violazione della riservatezza | Da 10.000 a 50.000 euro |
| Mancata istituzione dei canali, mancata adozione di procedure o procedure non conformi, mancata verifica e analisi delle segnalazioni | Da 10.000 a 50.000 euro |
| Perdita delle tutele del segnalante nei casi previsti dalla legge, salvo condanna per diffamazione o calunnia | Da 500 a 2.500 euro |
Whistleblowing e 231: le imprese con modello 231 devono anche prevedere nel sistema disciplinare sanzioni per chi viola le regole sul whistleblowing.
Checklist sulla normativa whistleblowing per una PMI
Per una PMI obbligata, attivare il whistleblowing richiede sei passaggi.
- Verifica se rientri negli obblighi: media dei dipendenti, modello 231, settore.
- Scegli il canale: piattaforma informatica, linea vocale, incontri, eventualmente condivisi con altre imprese fino a 249 lavoratori.
- Individua il gestore, interno e autonomo oppure esterno, e assicurane la formazione.
- Sentite le rappresentanze sindacali, adotta una procedura scritta: puoi impostarla come una policy aziendale dell'impresa.
- Fai la valutazione d'impatto privacy e aggiorna le informative.
- Pubblica le informazioni sul canale nei luoghi di lavoro e sul sito.
Come può aiutarti Next-OS
Next-OS risponde alle domande sul decreto whistleblowing, il d.lgs. 24/2023, citando articoli e linee guida, ti aiuta a capire se la tua impresa rientra negli obblighi e prepara dai tuoi modelli la bozza della procedura interna e dell'informativa, da far rivedere al consulente e all'organismo di vigilanza se c'è un modello 231. La gestione delle segnalazioni resta al gestore che hai nominato.
Per gli altri temi normativi che riguardano le imprese, vedi la guida su AI Act e formazione obbligatoria o torna alla pagina sull'AI per le PMI.
Domande frequenti
Una PMI con 30 dipendenti deve attivare il whistleblowing?
Dipende. Sotto la media di 50 lavoratori l'obbligo scatta solo se l'impresa ha adottato un modello organizzativo ai sensi del d.lgs. 231/2001 o se opera in uno dei settori regolati indicati dal decreto, come servizi finanziari, antiriciclaggio, sicurezza dei trasporti e tutela dell'ambiente. Negli altri casi l'impresa non è obbligata, ma può attivare un canale volontariamente.
Per la normativa whistleblowing il canale può essere una casella email?
La legge chiede che il canale tuteli la riservatezza di chi segnala, delle persone coinvolte e del contenuto, anche con strumenti di crittografia. Una casella email condivisa difficilmente soddisfa questi requisiti, perché più persone vi accedono e i messaggi restano in chiaro. Le soluzioni più usate sono piattaforme informatiche dedicate; le indicazioni operative sono nelle linee guida ANAC sui canali interni.
Chi deve gestire le segnalazioni in una piccola azienda?
Una persona o un ufficio interno autonomo e dedicato, con personale specificamente formato, oppure un soggetto esterno anch'esso autonomo e formato. Nelle PMI capita spesso di affidare la gestione a un professionista esterno. Le imprese con una media fino a 249 lavoratori possono anche condividere il canale e la sua gestione con altre imprese.
Fonti
Procedure di whistleblowing, dalla norma alla bozza
Prova gratuita di 7 giorni, senza alcun pagamento iniziale. La disattivi quando vuoi.