Un tuo collaboratore si accorge di qualcosa che non torna: una fattura gonfiata, una gara d’appalto pilotata, una procedura di sicurezza aggirata “perché tanto non controlla nessuno”. Ha davanti due strade. Far finta di niente — e diventare complice di un problema che prima o poi esploderà. Oppure parlarne. Ma con chi? E soprattutto: può farlo senza rischiare il posto, la reputazione, i rapporti con i colleghi?
La risposta a questa domanda, oggi, non dipende più dalla buona volontà dell’azienda. È diventata un obbligo di legge. Si chiama whistleblowing, e se la tua impresa non ha ancora attivato un canale conforme il rischio non è solo etico: è una sanzione fino a 50.000 euro. Vediamo con calma di cosa si tratta, chi è obbligato e come mettersi in regola davvero — non solo sulla carta.
Cos’è il whistleblowing, in parole semplici
Dimentica l’immagine hollywoodiana della “gola profonda”. Il whistleblowing (letteralmente “soffiare nel fischietto”) è semplicemente questo: un canale sicuro attraverso cui chi lavora per un’organizzazione può segnalare illeciti di cui è venuto a conoscenza — corruzione, frodi, violazioni ambientali o di sicurezza, irregolarità negli appalti — senza subire ritorsioni.
Il principio è semplice: chi segnala in buona fede un problema serio non è un delatore, è una risorsa che permette all’azienda di correggere il tiro prima che il danno diventi ingestibile. Per questo la legge lo protegge e, in molti casi, obbliga le organizzazioni a dotarsi di un canale dedicato.
La norma di riferimento in Italia è il D.Lgs 24/2023, che ha recepito la Direttiva UE 2019/1937. Ed è più ampia di quanto molti imprenditori pensino.
La tua azienda è obbligata? (probabilmente sì)
Ecco il punto che sorprende di più: l’obbligo non riguarda solo le grandi aziende. Devi attivare un canale di segnalazione interno se rientri anche solo in una di queste categorie:
- Aziende private con una media di almeno 50 lavoratori subordinati nell’ultimo anno. L’obbligo è pienamente in vigore: dal 15 luglio 2023 per chi supera i 250 dipendenti, dal 17 dicembre 2023 per la fascia 50–249.
- Enti che adottano un Modello Organizzativo 231 (D.Lgs 231/2001), a prescindere dal numero di dipendenti. Se hai il Modello 231 sei obbligato anche con 10 persone.
- Aziende che operano in settori regolamentati — servizi, prodotti e mercati finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell’ambiente — indipendentemente dalle dimensioni.
- Pubbliche amministrazioni ed enti pubblici.
Tradotto: se hai superato i 50 dipendenti, o se hai adottato un Modello 231, l’obbligo ti riguarda già oggi. Non è un adempimento “che forse arriverà”: è legge in vigore, e l’ANAC ha già iniziato a vigilare.
Cosa devi fare, concretamente
Non basta appendere una cassetta delle lettere in corridoio o aprire una casella email generica. Il D.Lgs 24/2023 chiede un canale con requisiti precisi:
- Riservatezza garantita su tre fronti: l’identità di chi segnala, quella della persona coinvolta e il contenuto della segnalazione.
- Modalità scritta e orale: il segnalante deve poter scegliere (portale, voce e, su richiesta, un incontro diretto).
- Un gestore autonomo e formato: una persona, un ufficio o un soggetto esterno, indipendente e imparziale, incaricato di ricevere e istruire le segnalazioni.
- Tempi certi: avviso di ricevimento al segnalante entro 7 giorni, riscontro sull’esito entro 3 mesi.
- Divieto assoluto di ritorsioni (art. 17): niente licenziamenti, demansionamenti, trasferimenti o “vendette” verso chi ha segnalato.
Accanto al canale interno esistono anche il canale esterno gestito dall’ANAC e, in casi specifici, la divulgazione pubblica. Ma è l’azienda a dover offrire per prima un canale interno affidabile: è lì che si gioca la conformità — e la fiducia di chi lavora con te.
La novità del 2025: le nuove Linee Guida ANAC
Se pensavi di aver chiuso la pratica nel 2023, c’è un aggiornamento importante da conoscere. Con la Delibera n. 478 del 26 novembre 2025, l’ANAC ha pubblicato le nuove Linee Guida sui canali interni di segnalazione, che alzano l’asticella su come il canale va gestito tecnicamente. In sintesi:
- Piattaforma informatica cifrata fortemente raccomandata. L’uso della semplice email o PEC è ammesso solo con misure aggiuntive (valutazione d’impatto e cifratura), perché la posta lascia tracce e metadati che possono svelare l’identità del segnalante.
- DPIA obbligatoria: prima di attivare il canale serve una valutazione d’impatto sulla protezione dei dati (art. 35 GDPR).
- Ruoli GDPR chiari: se affidi la gestione a un fornitore esterno, questo va nominato Responsabile del trattamento (art. 28 GDPR).
- Conservazione limitata: le segnalazioni si conservano per il tempo necessario e comunque non oltre 5 anni dalla comunicazione dell’esito.
- Consultazione sindacale preventiva e formazione di gestore e personale sulle procedure.
Il messaggio dell’ANAC è chiaro: non basta “avere un canale”, deve essere un canale tecnicamente sicuro e documentato. Ed è qui che le soluzioni improvvisate mostrano la corda.
Perché una mail dedicata non basta (ed è un rischio)
La tentazione, per molte PMI, è la scorciatoia: “apriamo un indirizzo segnalazioni@ e siamo a posto”. Non è così, e può ritorcersi contro.
Una casella email non garantisce l’anonimato: registra l’indirizzo del mittente, l’orario, spesso l’IP; e chiunque abbia accesso alla posta può leggere. Non traccia chi ha visto cosa, non gestisce le scadenze dei 7 giorni e dei 3 mesi, non protegge da una fuga di dati. Se l’identità del segnalante trapela per colpa di un canale mal progettato, l’azienda rischia una sanzione proprio per violazione della riservatezza — oltre a distruggere la fiducia che rende utile il canale stesso.
Serve uno strumento nato apposta: cifrato, anonimo per davvero, con ruoli e tempi sotto controllo. Riservatezza, cifratura e controllo degli accessi sono esattamente il nostro mestiere di cybersecurity.
Quanto rischi: le sanzioni ANAC
Le cifre non sono simboliche. L’ANAC può comminare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro nei casi di:
- mancata istituzione del canale di segnalazione o procedure non conformi;
- mancata verifica ed esame delle segnalazioni ricevute;
- atti di ritorsione contro il segnalante;
- violazione dell’obbligo di riservatezza.
A questo si aggiunge il rischio più insidioso: quello reputazionale e, per gli enti con Modello 231, l’indebolimento dell’intero impianto di compliance. Con l’aumento delle ispezioni, “vediamo se ci controllano” è una scommessa che non conviene fare.
La soluzione Mediaform: la Piattaforma Whistleblowing
Da Genova, dal 2001, aiutiamo imprese ed enti a stare in regola con la tecnologia — senza complicazioni. Per il whistleblowing abbiamo una piattaforma dedicata, conforme al D.Lgs 24/2023 e alle Linee Guida ANAC, basata su GlobaLeaks: il framework open source più diffuso, adottato dalla maggior parte delle Pubbliche Amministrazioni italiane. Cosa significa per te:
- Anonimato reale, non di facciata. Il sistema non registra l’IP, non chiede email né registrazione: il segnalante dialoga con il gestore tramite un codice univoco. Anonimo a livello tecnico, non solo sulla carta.
- Cifratura end-to-end dei contenuti e accesso ai soli gestori autorizzati, con audit log di ogni accesso — pronto per un’eventuale ispezione ANAC.
- Workflow conforme: presa in carico, istruttoria, riscontro, con alert automatici sulle scadenze dei 7 giorni e dei 3 mesi. Le scadenze non te le dimentichi.
- Multicanale: portale web, app mobile, telefono dedicato, incontro diretto verbalizzato. Tutto confluisce in un’unica pipeline di gestione.
- Monitoraggio delle ritorsioni a tutela del segnalante (art. 17) e reportistica aggregata utile per il Modello 231 e la direzione.
- SaaS in cloud, hosting in Italia ed Europa, conforme GDPR: nessun software da installare o aggiornare, ci pensiamo noi. E a un prezzo accessibile.
E c’è di più: possiamo affiancarti come gestore esterno del canale, curare la DPIA richiesta dalle Linee Guida e formare il tuo personale con i nostri percorsi di formazione su compliance e sicurezza. Non ti lasciamo solo un software: ti mettiamo in regola, e ti ci teniamo.
Domande frequenti
Ho meno di 50 dipendenti: sono davvero obbligato?
Dipende. Sotto i 50 dipendenti non scatta l’obbligo “per dimensione”, ma scatta comunque se hai adottato un Modello 231 o se operi in un settore regolamentato (finanziario, antiriciclaggio, trasporti, ambiente). In quei casi l’obbligo prescinde dal numero di persone.
Basta una casella email dedicata alle segnalazioni?
No. Le Linee Guida ANAC 2025 raccomandano una piattaforma cifrata; l’email è ammessa solo con misure aggiuntive, perché non garantisce anonimato e riservatezza e lascia metadati che possono identificare il segnalante.
L’anonimato è garantito anche tecnicamente?
Con la nostra piattaforma sì: nessuna registrazione dell’IP, nessuna email, comunicazione tramite un codice univoco generato al momento della segnalazione. L’anonimato è reale a livello tecnico, non solo dichiarato.
Chi gestisce le segnalazioni?
Puoi nominare un gestore interno autonomo e formato, oppure affidarti a un gestore esterno indipendente — ruolo che possiamo ricoprire noi, nel rispetto delle Linee Guida ANAC.
Quanto tempo serve per attivare il canale?
La piattaforma è pronta all’uso e la configuriamo sul tuo contesto organizzativo in tempi rapidi. Il primo passo è una call per definire insieme ruoli, flussi ed esigenze.
Mettiti in regola (davvero)
Il whistleblowing non è un modulo da archiviare per far contento un ispettore: è uno strumento che protegge la tua azienda dai problemi prima che esplodano. Ma funziona solo se il canale è sicuro, conforme e affidabile.
Verifichiamo insieme se sei obbligato e come metterti in regola, senza impegno.
- Scopri la Piattaforma Whistleblowing Mediaform
- Scrivici a assistenza@media-form.it
- Chiamaci o scrivici su WhatsApp allo 010 893 3172
Mediaform, da Genova dal 2001: software su misura, cybersecurity, reti e formazione.