Cos'è il D.Lgs. 24/2023
Il decreto legislativo 10 marzo 2023, n. 24 recepisce in Italia la Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell'Unione e delle disposizioni normative nazionali. Ha riunito in un'unica disciplina le regole sul whistleblowing, che prima erano divise tra settore pubblico (art. 54-bis del d.lgs. 165/2001, introdotto dalla legge 190/2012) e settore privato (legge 179/2017 e d.lgs. 231/2001), abrogandole o modificandole.
Le disposizioni sono efficaci dal 15 luglio 2023. Per i soggetti privati che nell'ultimo anno hanno impiegato in media fino a 249 lavoratori, l'obbligo di attivare il canale interno è scattato dal 17 dicembre 2023.
A completare il quadro ci sono le indicazioni di ANAC: le Linee guida approvate con la delibera n. 311 del 12 luglio 2023, aggiornate dalla delibera n. 479 del 26 novembre 2025, e le Linee guida n. 1/2025 sui canali interni di segnalazione, approvate con la delibera n. 478 del 26 novembre 2025.
Chi è obbligato
Devono attivare un canale interno di segnalazione:
- i soggetti del settore pubblico: amministrazioni pubbliche, enti pubblici economici, organismi di diritto pubblico, società in controllo pubblico e in house, concessionari di pubblico servizio;
- i soggetti privati che nell'ultimo anno hanno impiegato in media almeno 50 lavoratori subordinati, con contratto a tempo indeterminato o determinato;
- i soggetti privati che operano nei settori regolati dagli atti dell'Unione europea richiamati dal decreto (ad esempio servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti, tutela dell'ambiente), anche con meno di 50 dipendenti;
- i soggetti privati che hanno adottato un modello di organizzazione e gestione ai sensi del d.lgs. 231/2001, anche con meno di 50 dipendenti.
Tra i soggetti privati rientrano anche fondazioni, associazioni ed enti del Terzo settore: per la soglia dei 50 contano i lavoratori subordinati, non i volontari.
Per gli enti con meno di 50 dipendenti obbligati solo perché dotati di modello 231, le segnalazioni riguardano le condotte rilevanti ai sensi del d.lgs. 231/2001 e le violazioni del modello, e possono essere effettuate solo tramite il canale interno.
Chi è tutelato
La tutela non riguarda solo i dipendenti. Possono segnalare, e sono protetti, anche lavoratori autonomi, collaboratori, liberi professionisti e consulenti, volontari e tirocinanti (anche non retribuiti), azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche di fatto.
La protezione vale anche prima dell'inizio del rapporto (ad esempio durante la selezione), durante il periodo di prova e dopo la sua conclusione. Si estende inoltre ai facilitatori, alle persone dello stesso contesto lavorativo legate al segnalante da un rapporto affettivo o di parentela entro il quarto grado, ai colleghi con cui ha un rapporto abituale e agli enti di sua proprietà.
Cosa si può segnalare
Si segnalano comportamenti, atti od omissioni che ledono l'interesse pubblico o l'integrità dell'amministrazione o dell'ente, di cui il segnalante sia venuto a conoscenza nel contesto lavorativo. Tra questi:
- illeciti amministrativi, contabili, civili o penali;
- condotte rilevanti ai sensi del d.lgs. 231/2001 e violazioni dei modelli 231;
- illeciti nei settori regolati dal diritto dell'Unione, come appalti pubblici, servizi finanziari, riciclaggio, sicurezza dei prodotti e dei trasporti, ambiente, sicurezza degli alimenti, salute pubblica, tutela dei consumatori, privacy e sicurezza delle reti;
- atti che ledono gli interessi finanziari dell'Unione o il mercato interno, comprese le violazioni in materia di concorrenza e aiuti di Stato.
Non rientrano nel whistleblowing le contestazioni, rivendicazioni o richieste di carattere personale che riguardano esclusivamente il proprio rapporto di lavoro o i rapporti con i superiori.
I canali di segnalazione
Il decreto prevede quattro strade, in quest'ordine di priorità:
- Canale interno, attivato dall'ente: è il canale da utilizzare per primo.
- Canale esterno gestito da ANAC, utilizzabile solo in casi specifici: per esempio se il canale interno non è attivo o non è conforme, se la segnalazione interna non ha avuto seguito, se il segnalante ha fondati motivi di ritenere che non avrebbe seguito o che lo esporrebbe a ritorsioni, o se la violazione può costituire un pericolo imminente o palese per il pubblico interesse.
- Divulgazione pubblica, tramite stampa o mezzi di diffusione, alle condizioni previste dal decreto.
- Denuncia all'autorità giudiziaria o contabile.
Un canale interno efficace è quindi anche il modo migliore per l'ente di venire a conoscenza dei problemi per primo e di gestirli al proprio interno.
Come deve essere il canale interno
Il canale interno deve garantire la riservatezza dell'identità del segnalante, della persona coinvolta e delle persone comunque menzionate, oltre che del contenuto della segnalazione e della documentazione, anche con il ricorso a strumenti di crittografia. Deve permettere di segnalare:
- in forma scritta, preferibilmente con una piattaforma informatica;
- in forma orale, tramite linee telefoniche o sistemi di messaggistica vocale;
- su richiesta del segnalante, con un incontro diretto fissato entro un termine ragionevole.
Le Linee guida ANAC n. 1/2025 chiariscono che la posta elettronica ordinaria e la PEC, di regola, non sono strumenti adeguati a garantire la riservatezza richiesta, salvo contromisure individuate nella valutazione d'impatto sulla protezione dei dati (DPIA), che il decreto richiede comunque per definire il modello di gestione delle segnalazioni.
Prima di attivare il canale l'ente deve sentire le rappresentanze o le organizzazioni sindacali. Secondo ANAC il coinvolgimento è obbligatorio, anche se il loro parere non è vincolante, e va ripetuto quando il canale viene modificato.
Le informazioni sul canale, sulle procedure e sui presupposti per segnalare devono essere chiare, esposte nei luoghi di lavoro, accessibili anche a chi non li frequenta (collaboratori, fornitori, candidati) e pubblicate in una sezione dedicata del sito web.
I soggetti privati con una media fino a 249 lavoratori possono condividere il canale interno e la sua gestione. Nei gruppi societari ANAC ammette un canale condiviso, a condizione che sia chiaro chi tratta ciascuna segnalazione, che i dipendenti delle controllate possano accedervi e che ogni società resti responsabile dei propri obblighi.
Il gestore delle segnalazioni
La gestione del canale va affidata a una persona o a un ufficio interno autonomo, dedicato e con personale specificamente formato, oppure a un soggetto esterno con le stesse caratteristiche. ANAC chiede di prevedere chi lo sostituisce in caso di conflitto di interessi o di assenza prolungata.
L'Organismo di Vigilanza 231 può svolgere il ruolo di gestore se ha autonomia, indipendenza e competenze adeguate; nelle realtà più complesse ANAC suggerisce un gestore distinto, con flussi informativi verso l'OdV. Gli organi di indirizzo possono monitorare il funzionamento generale del sistema, ma non supervisionare la gestione delle singole segnalazioni.
Nel settore pubblico la scelta è già fatta dalla legge: gli enti tenuti a nominare il Responsabile della prevenzione della corruzione e della trasparenza (RPCT) affidano a lui la gestione del canale interno (art. 4, comma 5, del D.Lgs. 24/2023).
Scadenze e conservazione
- Entro 7 giorni dalla ricezione il gestore rilascia al segnalante un avviso di ricevimento.
- Entro 3 mesi dalla data dell'avviso di ricevimento (o, in mancanza, dalla scadenza dei 7 giorni) fornisce un riscontro sul seguito dato alla segnalazione.
- Nel frattempo mantiene le interlocuzioni con il segnalante e può chiedergli integrazioni.
- Segnalazioni e documentazione si conservano per il tempo necessario al loro trattamento e comunque non oltre 5 anni dalla comunicazione dell'esito finale della procedura.
Riservatezza e divieto di ritorsioni
L'identità del segnalante, e qualsiasi informazione da cui possa essere dedotta, non può essere rivelata senza il suo consenso espresso a persone diverse da quelle competenti a gestire la segnalazione. Nel procedimento disciplinare, se la contestazione si fonda in tutto o in parte sulla segnalazione e conoscere l'identità è indispensabile per la difesa, la segnalazione è utilizzabile solo con il consenso del segnalante.
Sono vietate le ritorsioni: licenziamenti, demansionamenti, trasferimenti, discriminazioni e ogni altro comportamento sfavorevole conseguente alla segnalazione. Gli atti ritorsivi sono nulli e, in caso di contenzioso, spetta all'ente dimostrare che la misura non è collegata alla segnalazione. Le tutele si applicano se, al momento della segnalazione, il segnalante aveva fondato motivo di ritenere vere le informazioni e ha rispettato le procedure previste.
Le segnalazioni anonime, se circostanziate, possono essere trattate secondo quanto previsto dagli atti organizzativi dell'ente; se il segnalante viene successivamente identificato e subisce ritorsioni, beneficia delle tutele del decreto.
Le sanzioni
ANAC può applicare sanzioni amministrative pecuniarie:
- da 10.000 a 50.000 € quando accerta ritorsioni, ostacoli alla segnalazione o violazioni dell'obbligo di riservatezza;
- da 10.000 a 50.000 € quando non sono stati istituiti i canali di segnalazione, non sono state adottate procedure per effettuarle e gestirle o le procedure non sono conformi, oppure quando non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute;
- da 500 a 2.500 € al segnalante, quando ne è accertata la responsabilità civile per diffamazione o calunnia nei casi di dolo o colpa grave, salvo che sia già stato condannato in sede penale.
Gli enti con modello 231 devono inoltre prevedere nel proprio sistema disciplinare sanzioni per chi viola le regole sul whistleblowing.
Come mettersi in regola: la checklist
- Verificare se l'ente rientra tra i soggetti obbligati.
- Individuare il gestore delle segnalazioni, interno o esterno, formarlo e prevederne il sostituto.
- Scegliere il canale interno: piattaforma informatica per le segnalazioni scritte, canale orale e possibilità di incontro diretto.
- Sentire le rappresentanze o le organizzazioni sindacali prima dell'attivazione.
- Adottare la procedura (atto organizzativo) e, se presente, aggiornare il modello 231 e il sistema disciplinare.
- Svolgere la DPIA, aggiornare le informative privacy e regolare il rapporto con il fornitore della piattaforma.
- Pubblicare le informazioni sul canale nel sito web e nei luoghi di lavoro.
- Formare e informare il personale.
- Gestire le segnalazioni rispettando i termini di 7 giorni e 3 mesi e conservarle per non oltre 5 anni dall'esito.
Come aiuta SegnalaChi
SegnalaChi è una piattaforma informatica per il canale interno di segnalazione, pronta da attivare:
- segnalazioni scritte e vocali, con voce alterata, anche in forma anonima e senza registrazione;
- metadati rimossi automaticamente dagli allegati;
- chat riservata tra segnalante e gestore e richiesta dell'identità solo se necessaria;
- conferma di ricezione con un clic e scadenze di 7 giorni e 3 mesi sempre visibili in dashboard;
- ruoli separati per amministratori, operatori interni e operatori esterni (ad esempio l'OdV o un consulente);
- registro delle operazioni esportabile, utile per dimostrare la corretta gestione;
- pagina dedicata su dominio aziendale in italiano, inglese e tedesco, con la procedura e l'informativa dell'ente;
- gestione di più società dallo stesso account, per i gruppi.
Scopri tutte le funzionalità o leggi le domande frequenti.
Fonti
- Decreto legislativo 10 marzo 2023, n. 24, in attuazione della Direttiva (UE) 2019/1937.
- ANAC, delibera n. 311 del 12 luglio 2023 - Linee guida in materia di protezione delle persone che segnalano violazioni, come modificate dalla delibera n. 479 del 26 novembre 2025 (pagina whistleblowing di ANAC).
- ANAC, delibera n. 478 del 26 novembre 2025 - Linee guida n. 1/2025 sui canali interni di segnalazione.
Questa guida ha finalità informative e non costituisce consulenza legale. Per valutare gli obblighi della tua organizzazione rivolgiti al tuo consulente o al tuo Organismo di Vigilanza.