Come scegliere un software whistleblowing

Perché una piattaforma e non email o PEC

Il D.Lgs. 24/2023 chiede un canale che garantisca la riservatezza del segnalante, delle persone coinvolte e del contenuto della segnalazione, anche con la crittografia. Per ANAC le piattaforme informatiche sono il canale scritto da preferire, mentre email ordinaria e PEC, di regola, non sono adeguate: lasciano tracce nei server di posta, rivelano il mittente e non permettono di dialogare con chi vuole restare anonimo.

I requisiti di legge

Un software whistleblowing deve permettere all'ente di rispettare questi obblighi:

• segnalazioni scritte e orali, oltre alla possibilità di chiedere un incontro diretto;
• riservatezza dell'identità e del contenuto, con dati cifrati e accessi limitati a chi gestisce la segnalazione;
• avviso di ricevimento entro 7 giorni e riscontro entro 3 mesi, con un modo per non perdere le scadenze;
• dialogo con il segnalante, per chiedere integrazioni anche quando è anonimo;
• conservazione per non oltre 5 anni dalla comunicazione dell'esito, e cancellazione sicura;
• gli elementi per la DPIA e un fornitore che operi come responsabile del trattamento ai sensi dell'art. 28 GDPR.

Cosa serve a chi segnala

• poter segnalare senza registrarsi e senza lasciare dati personali;
• un codice per seguire la segnalazione e leggere le risposte del gestore;
• la voce alterata nelle segnalazioni vocali e i metadati rimossi dagli allegati, che possono rivelare autore, dispositivo e posizione;
• una pagina chiara, da smartphone e da computer, nelle lingue del personale e dei fornitori;
• la procedura e l'informativa privacy dell'ente a portata di mano.

Cosa serve a chi gestisce

• una dashboard con le scadenze di legge di ogni segnalazione;
• ruoli separati per amministratori, gestori interni e soggetti esterni come l'OdV o un consulente, e un sostituto in caso di conflitto di interessi;
• note private e un registro delle operazioni esportabile, per dimostrare come è stata gestita ogni segnalazione;
• avvisi via email che non riportano il contenuto delle segnalazioni;
• per i gruppi, più società da un unico accesso, ognuna con la propria pagina.

Sicurezza e protezione dei dati

Chiedi al fornitore, e fattelo scrivere nel contratto:

• dove sono i server e se i dati escono dallo Spazio Economico Europeo;
• quali dati sono cifrati, con quale algoritmo, e dove sono custodite le chiavi;
• frequenza, durata e sede dei backup, e i tempi di ripristino garantiti (RTO e RPO);
• certificazioni, come ISO/IEC 27001, e penetration test periodici;
• entro quanto comunica una violazione dei dati e l'elenco dei sub-responsabili;
• come restituisce e cancella i dati alla fine del contratto.

Come confrontare i costi

Il canone mensile dice poco. Per confrontare due offerte guarda il costo nell'arco di tre anni:

• costi una tantum di attivazione, configurazione o adeguamento;
• fasce per numero di dipendenti, che fanno salire il prezzo quando l'azienda cresce;
• moduli a pagamento, ad esempio per il canale vocale, le lingue, il dominio personalizzato o le società del gruppo;
• aumenti dopo il primo anno e durata minima del contratto;
• cosa comprendono assistenza e aggiornamenti.

Software gratuito o open source?

Esistono software whistleblowing open source, come GlobaLeaks, che si possono installare senza pagare una licenza. La licenza però è solo una parte del costo: server, installazione, aggiornamenti di sicurezza, backup, monitoraggio e assistenza restano a carico dell'ente o di un fornitore che li gestisca. Anche le versioni gratuite dei servizi in cloud vanno lette con attenzione: spesso limitano il numero di segnalazioni o di utenti, o escludono il canale vocale.

Per una piccola organizzazione, un servizio gestito con un canone annuale contenuto costa spesso meno del tempo necessario a mantenere in sicurezza un'installazione propria.

Le domande da fare al fornitore

1. Il prezzo cambia con il numero di dipendenti o dopo il primo anno?
2. Ci sono costi di attivazione o moduli a pagamento?
3. Le segnalazioni vocali alterano la voce?
4. Il segnalante anonimo può dialogare con il gestore?
5. Quali dati sono cifrati, e dove sono i server e i backup?
6. Firmate la nomina a responsabile del trattamento e fornite le misure di sicurezza per la DPIA?
7. L'OdV o un consulente esterno possono avere un accesso separato?
8. Posso provarlo prima di acquistarlo?

Le risposte di SegnalaChi

SegnalaChi costa 49 € + IVA al mese, fatturati annualmente, per qualsiasi numero di dipendenti, senza costi di attivazione né moduli a pagamento, e il prezzo non cambia dopo il primo anno. Le segnalazioni vocali alterano la voce, il segnalante anonimo dialoga con il gestore in chat, i dati delle segnalazioni sono cifrati e i server e i backup sono in Italia, nei datacenter Aruba. One AM è certificata ISO/IEC 27001, firma la nomina a responsabile del trattamento e fornisce le misure di sicurezza per la DPIA.

Leggi tutte le funzionalità, i prezzi o provalo gratis per 7 giorni.

Fonti

• Decreto legislativo 10 marzo 2023, n. 24, artt. 4, 5, 12 e 14.
• ANAC, Linee guida n. 1/2025 sui canali interni di segnalazione.

Questa pagina ha finalità informative e non costituisce consulenza legale. Per valutare gli obblighi della tua organizzazione rivolgiti al tuo consulente o al tuo Organismo di Vigilanza.