Whistleblowing e compliance aziendale: guida completa a canali interni, governance, privacy e D.Lgs. 24/2023

1. Che cos'è il whistleblowing e perché è un presidio di compliance

Il whistleblowing è il sistema con cui una persona che ha saputo di una violazione nel proprio contesto di lavoro la segnala attraverso un canale che ne protegge l'identità e che obbliga l'ente a prenderla in carico. In Italia lo disciplina il D.Lgs. 24/2023, che tutela chi segnala violazioni di norme nazionali o europee lesive dell'interesse pubblico o dell'integrità dell'ente. Il termine non coincide con la denuncia anonima, né con qualsiasi lamentela interna.

Una definizione che regge alla prova dei fatti

Il decreto non definisce il «whistleblowing»: disciplina la protezione delle persone che segnalano violazioni. Segnalazione è la comunicazione, scritta od orale, di informazioni sulle violazioni, compresi i fondati sospetti; persona segnalante è chi le ha acquisite nel proprio contesto lavorativo. Nell'uso divulgativo, secondo la voce di Wikipedia, il whistleblower è chi segnala in pubblico o in privato illeciti o frodi, di solito nell'ambito del lavoro (Wikipedia, voce «Whistleblower», CC BY-SA 4.0, consultata il 29/10/2026). Nel 2016 l'Accademia della Crusca ha proposto «allertatore civico» come equivalente italiano. Per obblighi e soglie serve il decreto (sezione 3).

Una segnalazione può essere aperta, riservata (l'identità è nota a chi la riceve e condivisa solo se serve) o anonima: è la distinzione della ISO 37002:2021, standard volontario. Per il decreto la riservatezza è un obbligo del canale; l'anonimato è una scelta dell'ente. Dettagli nella sezione 9.

Whistleblowing, reclamo, non conformità, questione personale

Il decreto esclude le contestazioni e le rivendicazioni di interesse personale che riguardano esclusivamente i rapporti individuali di lavoro, anche con i superiori gerarchici.

Le ultime due righe e la scelta di chi se ne occupa sono un modello di lavoro di EcosAgile, non uno standard pubblicato: il decreto fissa solo il confine con le rivendicazioni personali.

La stessa vicenda può avere due nature: un cliente che reclama per una fattura può aver portato alla luce, senza saperlo, un illecito dell'ente. Una segnalazione arrivata a un soggetto non competente va trasmessa al competente entro 7 giorni, con notizia al segnalante. I tempi sono nella sezione 8; il confine con il mobbing, che non sempre rientra nel decreto, è nella sezione 4.

A che cosa serve, e perché è compliance

Il canale serve a far emergere gli illeciti prima che diventino contestazioni, a proteggere l'integrità dell'ente e a poter dimostrare a chi governa e controlla come l'ente ha risposto. Per questo è un presidio di compliance: intercetta rischi che i controlli ordinari non vedono, lascia traccia della presa in carico e protegge chi segnala dalle ritorsioni. Per gli enti con modello organizzativo i canali interni sono contenuto obbligatorio del modello (sezione 11). Sui dati personali: sezione 10.

La posizione che sosteniamo: il canale è un presidio di controllo con un responsabile, non una casella di posta. Il suo valore si misura da ciò che accade alle segnalazioni, non da quante ne arrivano. Il decreto sanziona anche la mancata attività di verifica e analisi delle segnalazioni, oltre alla mancata istituzione del canale. Un anno senza segnalazioni non prova che manchino gli illeciti: come criterio di lavoro, invita a verificare accessibilità e fiducia (sezione 15).

2. Quadro normativo 2026: D.Lgs. 24/2023, ANAC, GDPR e Modello 231

Al 29/10/2026 il riferimento italiano è il D.Lgs. 24/2023, che recepisce la Direttiva (UE) 2019/1937. Le Linee Guida ANAC n. 1/2025, approvate con la Delibera 478 del 26/11/2025, dettagliano i canali interni; la Delibera 479, della stessa data, modifica le Linee Guida 311/2023 sul canale esterno e incide anche su segnalazioni anonime, email e PEC, gestore e condivisione del canale. Si affiancano GDPR, Codice privacy e, per gli enti che lo adottano, il D.Lgs. 231/2001.

Ultima verifica normativa: 29/10/2026, su testi di Gazzetta Ufficiale, Normattiva, ANAC e Garante. La sezione descrive le norme e non è consulenza legale.

Che cosa è legge e che cosa è indirizzo

Gli obblighi e le sanzioni stanno nel decreto. Le Linee Guida ANAC sono atti di indirizzo dell'Autorità, che nel testo si richiama al proprio «generale potere di indirizzo»; il grado di vincolatività giuridica non è dichiarato. Nelle Linee Guida lette il punto non è trattato in modo esplicito e la lettura va confermata con il proprio consulente. Come buona pratica, chi si discosta dalle Linee Guida mette per iscritto il perché. Le Linee Guida 478 integrano la Delibera 311/2023 senza sostituirla; la 311, modificata dalla 479, resta in vigore nella versione consolidata.

L'ultima colonna è un modello di lavoro di EcosAgile, non un testo ufficiale.

Delibere 478 e 479: che cosa cambia rispetto al 2023

Chi ha costruito la procedura sul materiale del 2023 rilegga tre punti. Segnalazioni anonime: gli enti «possono» ora considerarle ordinarie, ma devono disciplinare la scelta nei propri atti. Email e PEC: di per sé non adeguate, salvo contromisure giustificate in sede di valutazione d'impatto. La condivisione del canale: ogni ente nomina comunque il proprio gestore. I commenti anteriori al 26/11/2025 su questi punti sono superati. Dettagli nelle sezioni 6, 9 e 12.

GDPR, Codice privacy e Garante

L'art. 13 del decreto richiama GDPR e Codice privacy, con informative a segnalanti e persone coinvolte; l'art. 2-undecies del Codice limita i diritti dell'interessato a tutela dell'identità del segnalante. Il piano ispettivo del Garante per gennaio-luglio 2026 prevedeva verifiche sugli applicativi per le segnalazioni. Dettaglio, DPIA compresa, nella sezione 10.

Sanzioni dell'art. 21 in sintesi

Da 10.000 a 50.000 euro, applicate da ANAC, per ritorsioni, ostacolo alla segnalazione e violazione della riservatezza; stessa forbice per mancata istituzione dei canali, procedure non conformi agli artt. 4 e 5 e mancata verifica e analisi delle segnalazioni. Da 500 a 2.500 euro nei casi dell'art. 16, co. 3 (responsabilità del segnalante), salvo condanna anche in primo grado per diffamazione o calunnia. Per la sanzione sul canale risponde l'organo di indirizzo, in solido con i suoi componenti.

La Delibera 344/2026 riguarda un canale tecnicamente conforme e comunque sanzionato: 15.000 euro a ciascuno dei tre componenti dell'organo di gestione, per violazione dell'art. 12. La riservatezza copre ogni informazione da cui l'identità può evincersi, anche indirettamente; i fatti erano anteriori alle Linee Guida 478 e la condotta è stata giudicata colposa.

Approfondimento con l'esperto: il capitolo «Delibere 478 e 479 e quadro normativo» (00:00) del webinar EcosAgile del 2026 inquadra le due delibere e il ruolo di ANAC come autorità di applicazione, sanzione e controllo (capitoli indicati dalla redazione della pagina). Chi presenta è un fornitore di software e non fa consulenza legale: fa fede il testo delle delibere. Vedi il webinar Whistleblowing e linee guida ANAC: che cosa chiedono le delibere 478 e 479 sui canali di segnalazione.

3. Chi deve attivare un canale interno di whistleblowing

Deve attivare un canale interno il soggetto privato che nell'ultimo anno ha avuto una media di almeno 50 lavoratori subordinati. La soglia però non esaurisce l'obbligo: valgono anche, sotto i 50, i privati che rientrano nei settori degli atti UE richiamati dall'allegato al decreto e quelli che hanno adottato un modello organizzativo 231. Il decreto impone un canale conforme e una procedura, non l'acquisto di uno specifico software.

I casi, uno per uno

La sintesi per righe è un modello di lavoro di EcosAgile, non un testo ufficiale. Per gli enti pubblici valgono regole proprie (gestione al RPCT), fuori dal perimetro di questa guida.

Per i gruppi la soglia si calcola sulla singola impresa, non sul gruppo (sezione 12). Chi segnala e che cosa si può segnalare nei diversi casi è nella sezione 4.

I settori sensibili

Sono i settori coperti dagli atti dell'Unione elencati nell'allegato al decreto. Secondo la sintesi pubblicata da ANAC rientrano, tra gli altri, servizi, prodotti e mercati finanziari, prevenzione del riciclaggio, sicurezza dei trasporti e tutela dell'ambiente. Il riferimento è l'art. 2, co. 1, lett. q, n. 2; l'art. 3, co. 2, riguarda invece le violazioni segnalabili. Un ente sotto soglia che opera in uno di questi settori verifica l'allegato, non l'impressione di essere un ente piccolo.

Come si legge la soglia dei 50

La norma parla di media «nell'ultimo anno». ANAC precisa che si considera l'ultimo anno solare precedente a quello in corso, con il valore medio degli addetti ricavato dai dati INPS risultanti dalle visure camerali; per le imprese nuove, l'anno in corso o l'ultima visura. Al 29/10/2026 si guarda quindi al 2025. Come contare part-time, somministrati e collaboratori le fonti consultate non lo dicono: la lettura va confermata con il proprio consulente. Lo stesso vale per il rapporto tra il criterio ANAC e il testo del decreto.

Esempio con dati di fantasia: un'azienda ha 47 addetti oggi, ma nel 2025 la media è stata di 53. Secondo il criterio indicato da ANAC l'anno di riferimento sarebbe il 2025, quindi l'azienda risulterebbe sopra soglia anche se oggi è scesa sotto i 50: la lettura va confermata con il proprio consulente.

Le scadenze del 2023 sono storia

Dal 15/07/2023 il decreto ha effetto e dal 17/12/2023 l'obbligo è operativo anche per i privati fino a 249 lavoratori. Non esiste oggi una scadenza di adeguamento aperta: un ente obbligato che non ha un canale conforme è sanzionabile con 10.000-50.000 euro (art. 21, co. 1, lett. b; sezione 2). I testi che parlano ancora di adempimenti «entro il 17 dicembre 2023» descrivono una situazione passata.

Nessun obbligo di comprare un software

L'art. 4, co. 3 ammette la segnalazione scritta, anche con modalità informatiche, e la segnalazione orale. Le Linee Guida 478 considerano preferibile la forma informatica e osservano che le piattaforme permettono cifratura e interlocuzione riservata tramite un codice; ammettono, senza piattaforma, la protocollazione riservata in doppia busta, che per gli enti soggetti al CAD è però un'«estrema ratio». La nostra lettura: la piattaforma è la via più lineare per ottenere insieme riservatezza e dialogo con chi segnala, ma resta una scelta dell'ente, da motivare nell'atto organizzativo. Come valutare un fornitore è nella sezione 16; la posta elettronica è trattata nella sezione 6.

4. Chi può segnalare e che cosa può essere segnalato

Può segnalare chi ha conosciuto la violazione nel proprio contesto lavorativo: non solo i dipendenti in forza, ma anche autonomi, collaboratori, consulenti, tirocinanti, azionisti e lavoratori dei fornitori, e in certi casi candidati ed ex lavoratori. Si segnalano violazioni di norme nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'ente. Restano fuori le rivendicazioni di interesse personale che riguardano soltanto il proprio rapporto di lavoro.

Chi è tutelato

L'elenco dell'art. 3 del D.Lgs. 24/2023 va ben oltre la parola «dipendenti».

La tabella è un modello di lavoro di EcosAgile che riordina l'art. 3: fa fede il testo del decreto.

Il facilitatore assiste il segnalante in modo riservato, nello stesso contesto lavorativo; designarlo è una scelta del segnalante. Non va confuso con l'Ente del Terzo settore, e il sindacalista che assiste con la sigla sindacale non lo è. I clienti non compaiono come categoria nell'elenco dell'art. 3 co. 3: l'accoglierle è una scelta dell'ente, fuori dal decreto, e se e quanto valgano per loro le tutele del decreto va confermato con il proprio consulente.

Che cosa si può segnalare

L'art. 2 co. 1 lett. a parla di illeciti amministrativi, contabili, civili e penali; di condotte rilevanti ai sensi del D.Lgs. 231/2001 o di violazioni dei modelli 231; di illeciti di derivazione europea in materia, tra l'altro, di appalti, antiriciclaggio, ambiente, sicurezza dei prodotti, salute pubblica, consumatori, privacy e concorrenza. Bastano i fondati sospetti. Dal 24/01/2026 rientrano anche le violazioni delle misure restrittive UE.

Per i privati l'ambito dipende dal tipo di ente (art. 3 co. 2). Per chi ha almeno 50 lavoratori e per i settori sensibili la norma richiama le violazioni europee dei punti da 3 a 6; l'ente con Modello 231 sotto soglia riceve nel canale interno le condotte 231 e le violazioni del modello. Chi è obbligato lo spiega la sezione 3; il confine esatto per il proprio ente va confermato con il consulente.

Che cosa resta fuori: reclami, mobbing, conflitti personali

Sono escluse le contestazioni di interesse personale legate esclusivamente ai rapporti individuali di lavoro, anche con i superiori gerarchici, i casi già disciplinati in modo obbligatorio da atti di settore e la sicurezza nazionale. Restano ferme le norme su informazioni classificate, segreto forense e medico.

Un collega che lamenta i turni assegnati dal responsabile porta una questione personale; se racconta di fatture false emesse per coprire un ammanco, porta un illecito. Il mobbing sta nel mezzo: non è whistleblowing per definizione, lo diventa se dietro c'è una violazione dell'art. 2, e può comparire come ritorsione (sezione 9). Il reclamo ordinario è trattato nella sezione 1; i presupposti li verifica il gestore prima dell'istruttoria (sezione 8).

Dove vadano le segnalazioni fuori perimetro, verso HR o verso i reclami, lo sceglie l'ente e lo scrive nell'atto organizzativo. La riservatezza non si perde per strada: il Garante, nel parere n. 581 del 09/10/2025 sugli schemi delle linee guida, ha richiamato la ragionevole aspettativa di tutela di chi ha creduto di essere protetto.

Segnalazioni anonime

Il decreto non le disciplina. L'ente può trattarle come ordinarie e lo scrive nell'atto interno; in ogni caso le registra e le conserva, perché il segnalante poi identificato che subisce ritorsioni è tutelato (art. 16 co. 4). Anonimato e riservatezza sono distinti nella sezione 9.

5. Canale interno, canale esterno ANAC e divulgazione pubblica

Il D.Lgs. 24/2023 prevede tre vie: il canale interno dell'ente, il canale esterno gestito da ANAC e la divulgazione pubblica. Il segnalante non sceglie a piacere. Il canale esterno si usa solo nei casi indicati dall'art. 6 co. 1, la divulgazione pubblica solo se ricorre una delle condizioni dell'art. 15. L'ente deve spiegare a chi lavora con lui quando si passa da una via all'altra.

La tabella è un modello di lavoro di EcosAgile che riassume gli artt. 4, 6, 7 e 15: fa fede il testo del decreto.

Quando si può usare il canale esterno ANAC

L'art. 6 co. 1 consente la segnalazione esterna solo se ricorre almeno uno di questi casi:

1. il canale interno non è previsto come obbligatorio, o non è attivo, o non è conforme;
2. una segnalazione interna è già stata fatta e non ha avuto seguito;
3. ci sono fondati motivi di ritenere che la segnalazione interna non avrebbe seguito, o che esporrebbe a ritorsione;
4. c'è un pericolo imminente o palese per il pubblico interesse.

La Delibera ANAC 479/2025 aggiunge che chi opera in un ente privato sotto i 50 dipendenti, senza Modello 231 e fuori dai settori sensibili può comunque segnalare ad ANAC. Quali tutele spettino a quel segnalante è un punto da confermare con il proprio consulente. Per le scadenze di ANAC (avviso entro 7 giorni, riscontro entro 3 mesi o, per giustificate ragioni, 6) vale l'art. 8; quelle dell'ente sono nella sezione 8. Pagina ANAC: anticorruzione.it/-/whistleblowing.

Divulgazione pubblica: condizioni e cautele

L'art. 15 prevede la protezione se, in alternativa: la segnalazione interna e quella esterna (o solo quella esterna) non hanno avuto riscontro nei termini; c'è un pericolo imminente o palese per il pubblico interesse; c'è rischio di ritorsione o è probabile uno scarso seguito della segnalazione esterna, per esempio perché le prove potrebbero essere occultate o perché c'è collusione tra chi riceve e chi ha commesso la violazione. Resta il segreto giornalistico sulla fonte.

La protezione è legata a queste condizioni: chi si rivolge alla stampa fuori da esse non ha la stessa certezza di tutela. L'informazione dell'ente può riportare le condizioni e rinviare al testo di legge; il singolo caso lo valuta un professionista.

Che cosa pubblicare sul sito e nei luoghi di lavoro

L'art. 5 co. 1 lett. e chiede informazioni chiare su canale, procedure e presupposti, sia per le segnalazioni interne sia per quelle esterne. Vanno esposte nei luoghi di lavoro, rese accessibili anche a chi non li frequenta e pubblicate in una sezione dedicata del sito, se l'ente ne ha uno. Secondo ANAC atto organizzativo o Modello 231 vanno diffusi anche a fornitori, consulenti, collaboratori e partner.

La pagina del sito dovrebbe contenere almeno:

• a chi è rivolto il canale, esterni compresi;
• come accedere al canale interno e con quali modalità (scritta, orale, incontro su richiesta);
• chi lo gestisce, anche solo come ruolo;
• le garanzie di riservatezza e il rinvio all'informativa privacy;
• quando si può usare il canale esterno e il link ad ANAC;
• le condizioni della divulgazione pubblica;
• il divieto di ritorsioni e il fatto che le ritorsioni si comunicano solo all'ANAC (art. 19).

L'elenco è una proposta di lavoro di EcosAgile, non un modello pubblicato da ANAC.

6. Come deve essere progettato il canale interno

Il canale interno deve garantire la riservatezza. L'art. 4 co. 3 prevede la segnalazione in forma scritta, anche informatica, oppure orale, e su richiesta del segnalante un incontro diretto entro un termine ragionevole; le Linee Guida ANAC 478/2025 chiedono all'ente di garantire sia lo scritto sia l'orale. Non c'è un obbligo di comprare un software: il decreto impone un canale interno conforme, e ANAC considera preferibili le piattaforme informatiche per lo scritto. Senza piattaforma resta la protocollazione riservata in doppia busta, indicata da ANAC come estrema ratio per gli enti soggetti al CAD.

Scritto, orale, incontro diretto

ANAC chiede di garantire entrambe le forme: un canale solo scritto non basta. Modalità di ricevimento e processo di gestione vanno poi indicati nell'atto organizzativo.

La colonna sull'atto è un modello di lavoro di EcosAgile; le prime due colonne riportano norma e linee guida.

Accessibilità per esterni e fornitori

Il canale deve essere facilmente accessibile a tutti gli aventi diritto, consulenti compresi, e le informazioni vanno rese raggiungibili anche da chi non frequenta i luoghi di lavoro. Un consulente o il dipendente di un fornitore non ha le credenziali dell'ente: un canale raggiungibile solo dalla intranet li lascerebbe fuori. È una scelta di progetto. Chi può segnalare: sezione 4; la pagina informativa: sezione 5.

Riservatezza e seguito

L'art. 4 co. 1 chiede di tutelare identità del segnalante, della persona coinvolta e di quella menzionata, oltre a contenuto e documentazione, anche con la crittografia. Se si accede dalla rete interna va garantita la non tracciabilità del segnalante, sulla piattaforma e su firewall e proxy; una segnalazione arrivata per errore su un altro mezzo va comunque protetta. Anche l'interlocuzione per le integrazioni (art. 5 co. 1 lett. b) deve avvenire senza esporre l'identità. Misure tecniche: sezione 13; fasi di gestione: sezione 8.

Email e PEC

ANAC considera la posta elettronica, ordinaria o certificata, di per sé non adeguata a garantire la riservatezza dell'identità del segnalante, se non accompagnata da specifiche contromisure giustificate in sede di valutazione d'impatto (DPIA). Il motivo è tecnico: i sistemi di posta generano e conservano log di invio e ricezione, con rischio maggiore sulla casella aziendale. La formula non dice né «vietata» né «ammessa»: chi sceglie la posta deve poter mostrare quali contromisure ha adottato e perché. Sulla DPIA, sezione 10.

Approfondimento con l'esperto: il webinar EcosAgile del 2026 dedica un capitolo a DPIA e posta elettronica (26:23) e uno a segnalazione orale, incontro e gruppi (40:04); sono capitoli indicati dalla redazione della pagina, non verificati sul video. Su email e PEC fa fede il testo ANAC, come ricorda la pagina.

In EcosAgile: il canale è un software cloud del modulo Compliance con due ingressi: un link pubblico, senza credenziali, per chi non è dipendente (clienti, fornitori, consulenti) e un ingresso per i dipendenti. La segnalazione scritta si compila in due passaggi, con informativa privacy, consenso e protezione anti-bot; si indicano causale, oggetto e descrizione, gli allegati sono opzionali e c'è un interruttore «Anonimo». All'invio il segnalante riceve un KeyCode, il codice con cui si vede lo stato e comunicare in modo riservato con l'azienda, anche se anonimo. L'allegato audio è opzionale, con distorsione del suono, ed è riservato alle segnalazioni non anonime: non va letto come canale orale conforme alle linee guida. Gestori, atto organizzativo, DPIA, incontri fuori piattaforma e formazione restano all'ente.

7. Governance: gestore del canale, autonomia e conflitti di interesse

Il gestore del canale è la persona o l'ufficio, interno o esterno, che riceve le segnalazioni e dà loro seguito. Il decreto lo vuole autonomo e con personale specificamente formato (art. 4, comma 2, D.Lgs. 24/2023); per ANAC l'autonomia significa imparzialità e indipendenza. Nei privati nessun ruolo è gestore per definizione: contano i requisiti, la formazione e, come indica ANAC, un sostituto individuato in anticipo per assenze e conflitti.

Requisiti del gestore

Le Linee guida ANAC n. 1/2025 (Delibera 478 del 26/11/2025, p. 14-15), indicazioni dell'Autorità e non legge, chiedono un gestore imparziale, indipendente, formato e a conoscenza dell'ente; è preferibile una competenza giuridica, etica e di privacy. Il gestore istruisce: non accerta responsabilità individuali e non decide sanzioni. Gli organi di indirizzo non supervisionano le singole pratiche e non hanno l'ultima parola sull'istruttoria. Per la formazione vedi la sezione 15.

Gestore interno o esterno

Un gestore interno (ANAC cita come esempi internal audit, OdV e comitati etici) conosce l'ente. Uno esterno richiede contratto, poteri adeguati e un atto organizzativo che lo richiami. Esternalizzare non sposta la responsabilità: il committente resta sanzionabile se sceglie un gestore non idoneo. Per i ruoli privacy (art. 28 GDPR) vedi la sezione 10.

Sostituti e continuità

ANAC indica di individuare nell'atto, a monte, un sostituto con gli stessi requisiti per conflitto o assenza prolungata, che nella nota 24 è un'assenza oltre i 7 giorni. Sono i 7 giorni dell'avviso di ricevimento (sezione 8): un periodo di ferie non coperto mette a rischio quel termine. Se anche il sostituto è in conflitto, o un ente piccolo non riesce a nominarlo, il segnalante può rivolgersi ad ANAC.

Conflitto di interesse e astensione

C'è conflitto quando il gestore è coinvolto nei fatti segnalati o ha un interesse nella vicenda, e l'atto organizzativo deve disciplinarlo. Modello di lavoro: astensione scritta, pratica al sostituto, revoca dell'accesso al gestore in conflitto. Il caso difficile è la segnalazione che riguarda il gestore o il suo superiore: la procedura scritta dice subito chi la prende.

DPO, OdV e altri ruoli

Negli enti grandi o complessi, per quanto possibile, il DPO non coincide con il gestore; sotto i 50 dipendenti, con una valutazione motivata, possono essere la stessa persona. Il DPO sorveglia il trattamento: se è anche gestore, controlla un processo che conduce lui. L'OdV figura tra gli esempi di gestore, senza obbligo né divieto; se non lo è, l'atto ne regola il raccordo e l'OdV non accede alle segnalazioni. Vedi la sezione 11; la lettura va confermata con il proprio consulente.

I limiti di HR e IT sono un modello di lavoro di EcosAgile, non uno standard pubblicato.

Atto organizzativo, organo di indirizzo e sindacati

I canali si definiscono in un atto organizzativo o nel modello 231, adottato dall'organo di indirizzo: compiti e poteri del gestore, modalità di ricevimento, processo. L'organo risponde delle sanzioni dell'art. 21 sul canale, in solido con i componenti. Prima di attivare il canale, e a ogni modifica sostanziale, vanno «sentite» le rappresentanze sindacali (art. 4, comma 1): informativa preventiva a RSA/RSU o, in mancanza, alle organizzazioni territoriali più rappresentative. Il parere non è vincolante, ma senza informativa la procedura non è conforme e l'ente è sanzionabile.

Approfondimento con l'esperto: il webinar EcosAgile del 2026 dedica al gestore i capitoli «Gestore e continuità» (06:39) e «Conflitti di interesse e comitato» (10:55), indicati dalla redazione della pagina: Whistleblowing e linee guida ANAC: che cosa chiedono le delibere 478 e 479 sui canali di segnalazione.

8. Come si gestisce una segnalazione: presa in carico, istruttoria e tempi

Il gestore invia l'avviso di ricevimento entro 7 giorni dalla ricezione, verifica i presupposti, chiede integrazioni, svolge l'istruttoria e dà riscontro entro 3 mesi dall'avviso o, se manca, dalla scadenza dei 7 giorni (art. 5, comma 1, D.Lgs. 24/2023). Per ANAC i 3 mesi non sono perentori, ma l'esito va comunque comunicato. Il riscontro può essere interlocutorio e non coincide con la chiusura dell'istruttoria.

Fasi tratte da decreto e ANAC; convenzione di calcolo e tempi non fissati dalla legge sono un modello di lavoro di EcosAgile.

Ricezione e avviso di ricevimento

I 7 giorni partono dalla ricezione (art. 5 co. 1 lett. a); l'avviso ha per ANAC valore informativo e non valuta il contenuto. Il decreto dice «giorni» senza precisare quali: come scelta di procedura si propone di contarli di calendario, e di scriverlo nella procedura. Per il canale interno l'art. 5 non prevede eccezioni all'avviso; quelle dell'art. 8 valgono per ANAC.

Verifica dei presupposti e integrazioni

Dopo la Delibera 479/2025 ANAC non parla più di «ammissibilità»: il gestore verifica che chi segnala sia legittimato e che la violazione rientri nel decreto. Che cosa fare se i presupposti mancano lo decide la procedura dell'ente, da scrivere nell'atto organizzativo e da far verificare con il proprio consulente.

Istruttoria

Il decreto chiede un «diligente seguito» e non ne fissa la durata. Strutture interne o specialisti si coinvolgono senza inoltrare la segnalazione: passano solo esiti o estratti anonimizzati. All'identità si accede solo se strettamente necessario, registrando accesso e ragioni. La riservatezza copre ogni informazione da cui l'identità può evincersi anche indirettamente: con la Delibera 344 del 09/09/2026 ANAC ha sanzionato con 15.000 euro ciascuno i tre componenti di un organo gestore, pur con un canale tecnicamente conforme. Vedi la sezione 9.

Riscontro entro 3 mesi

Il riscontro comunica il seguito dato o previsto, anche solo come aggiornamento sullo stato. Il termine non è perentorio ma ha conseguenze: senza seguito il segnalante può rivolgersi ad ANAC, e non svolgere verifica e analisi è sanzionabile (art. 6, comma 1, lett. b; art. 21, comma 1, lett. b). Vedi la sezione 5.

Esempio con dati di fantasia: segnalazione del 10/02/2027, avviso al più tardi il 17/02/2027. Con avviso il 12/02/2027 il riscontro scade il 12/05/2027; senza avviso, il 17/05/2027.

Esito, registro delle azioni e conservazione

L'esito finale va comunque comunicato, e da lì decorre la conservazione (sezione 10). «Audit trail» non compare né nel decreto né nelle Linee guida, che chiedono di registrare gli accessi all'identità con le ragioni e le segnalazioni anonime. Il modello di lavoro EcosAgile è un registro delle azioni sul caso (chi, cosa, quando, perché) senza dati identificativi del segnalante né identificatori di rete.

In EcosAgile: all'invio il segnalante riceve un KeyCode, il codice con cui si vede lo stato e comunicare con l'azienda, anche se anonimo. Il gestore, che non può modificare il contenuto della segnalazione, imposta priorità, responsabile, azioni e note interne e dà il riscontro con uno stato (Attiva, In lavorazione, Sospesa, Chiusa, Respinta). I promemoria al responsabile della causale (con il referente in copia) a 5, 25 e 30 giorni non contengono informazioni sulla segnalazione; il termine del sollecito è impostabile (standard 90 giorni) e non coincide con i 3 mesi di legge, che l'ente presidia nella propria procedura.

Approfondimento con l'esperto: il webinar EcosAgile del 2026 mostra in demo l'accesso del segnalante (27:48) e la gestione (32:36); capitoli indicati dalla redazione della pagina. Per i termini vale il decreto: Whistleblowing e linee guida ANAC: che cosa chiedono le delibere 478 e 479 sui canali di segnalazione.

9. Riservatezza, anonimato e protezione del whistleblower

Riservatezza e anonimato sono cose diverse. La riservatezza è un obbligo del canale: l'identità di chi segnala, e ogni informazione da cui si può risalire a lui, non si rivela a chi non è autorizzato senza consenso espresso (art. 12 co. 2 D.Lgs. 24/2023). L'anonimato è una scelta dell'ente. La protezione è il divieto di ritorsione, alle condizioni dell'art. 16.

Fonti al 29/10/2026. Descrive le norme, non è consulenza legale.

Riservatezza dell'identità

Il canale deve garantirla anche per persona coinvolta e persone menzionate (art. 4 co. 1). Nel procedimento disciplinare l'identità si rivela solo con consenso espresso, se indispensabile alla difesa (art. 12 co. 5-6). La violazione è sanzionata da ANAC con 10.000-50.000 euro (art. 21 co. 1 lett. a).

Il rischio concreto è l'identificazione per deduzione. Con la delibera n. 344 del 9/09/2026 ANAC ha sanzionato con 15.000 euro ciascuno tre componenti di un organo di gestione che avevano violato l'art. 12, pur con un canale tecnicamente conforme.

Anonimato e riservatezza a confronto

Il decreto non disciplina le anonime, salvo l'art. 16 co. 4. L'ente «può» trattarle come ordinarie e scrive la scelta nell'atto interno; le registra comunque.

Sintesi: modello di lavoro di EcosAgile, non uno standard pubblicato.

In EcosAgile: all'invio il segnalante riceve un KeyCode, il codice con cui si vede lo stato e comunicare con l'azienda in modo riservato, anche se anonimo. In modalità anonima il sistema è configurato per non memorizzare elementi tecnici identificativi nei log applicativi e nelle notifiche, senza promettere un anonimato assoluto. Chi segnala dal link pubblico, senza credenziali, non riceve email di avviso dal sistema; per l'uso da area dipendenti i manuali descrivono notifiche verso il segnalante.

Divieto di ritorsione

È ritorsione ogni atto od omissione, anche solo tentato o minacciato, in ragione della segnalazione, che può causare un danno ingiusto (art. 2 co. 1 lett. m). L'elenco dell'art. 17 co. 4 è esemplificativo:

• licenziamento, sospensione, retrocessione;
• mutamento di funzioni, luogo, stipendio, orario, mancato rinnovo del contratto a termine;
• referenze negative, misure disciplinari, molestie, ostracismo;
• conclusione anticipata o annullamento del contratto di fornitura.

La norma presume che gli atti siano conseguenza della segnalazione: dimostrare ragioni estranee tocca a chi li ha adottati (art. 17 co. 2-3). Gli atti sono nulli e il licenziato ha diritto alla reintegrazione (art. 19 co. 3). Le ritorsioni si comunicano solo ad ANAC (art. 19).

Facilitatori e persone collegate

La protezione copre anche il facilitatore, le persone dello stesso contesto lavorativo legate da affetto stabile o parentela entro il quarto grado, i colleghi con rapporto abituale e gli enti del segnalante (art. 3 co. 5). Per ANAC il facilitatore non è l'ente del Terzo settore e nessuno è obbligato a designarlo.

Segnalazioni in malafede

I motivi della segnalazione sono irrilevanti (art. 16 co. 2); conta il fondato motivo di ritenere veri i fatti (art. 16 co. 1). La tutela cade, con sanzione disciplinare, solo se è accertata, anche in primo grado, la responsabilità penale per diffamazione o calunnia, o civile per gli stessi fatti con dolo o colpa grave (art. 16 co. 3). Il solo sospetto non basta: il caso concreto va valutato con il proprio consulente.

Mobbing e demansionamento

Sono escluse le contestazioni di interesse personale che riguardano esclusivamente i rapporti individuali di lavoro (art. 1 co. 2 lett. a): il mobbing non diventa whistleblowing perché arriva nel canale. Ma mutamento di funzioni, retrocessione e ostracismo sono nell'elenco dell'art. 17 co. 4: se derivano da una segnalazione, sono ritorsioni, e il nesso si accerta caso per caso. Il confine con i reclami è in sezione 4.

10. Privacy, GDPR e DPIA nel whistleblowing

Nel whistleblowing la privacy fa parte del disegno del canale. Il titolare è l'ente: applica minimizzazione, accessi autorizzati, sicurezza, informativa e una conservazione limitata, al massimo cinque anni dall'esito finale. L'art. 13 co. 6 D.Lgs. 24/2023 prevede che il modello di gestione delle segnalazioni sia definito sulla base di una valutazione d'impatto sulla protezione dei dati (DPIA). La DPIA spetta al titolare, che può avvalersi della documentazione del fornitore.

Fonti al 29/10/2026. Non è consulenza legale.

Il ciclo dei dati

Tabella: modello di lavoro di EcosAgile, non uno standard pubblicato.

Ruoli e base giuridica

Titolari sono i soggetti tenuti ad attivare il canale (art. 13 co. 4). Nel parere n. 581 del 9/10/2025, reso sullo schema delle Linee Guida ANAC, il Garante riconosce come base giuridica l'obbligo di legge e i compiti di interesse pubblico (art. 6 par. 1 lett. c ed e GDPR); il trattamento può includere dati particolari e su condanne e reati (artt. 9 e 10). Il consenso dell'art. 12 co. 2 serve a rivelare l'identità a chi non è autorizzato. Il fornitore della piattaforma è responsabile del trattamento (art. 28 GDPR), e può esserlo il gestore esterno. Tra enti fino a 249 lavoratori che condividono il canale vale la contitolarità (art. 13 co. 5; art. 26 GDPR); nei gruppi l'art. 28, con la capogruppo responsabile (sezione 12).

Minimizzazione, accessi e metadati

I dati manifestamente non utili non si raccolgono, o si cancellano subito (art. 13 co. 2). All'identità si accede solo se strettamente necessario, con registrazione dell'accesso; a terzi si passano esiti ed estratti anonimizzati. I metadati della posta sono il motivo per cui ANAC giudica email e PEC di per sé non adeguate, salvo contromisure giustificate in DPIA (sezione 6).

In EcosAgile: nel primo passaggio del form compaiono l'informativa privacy e il consenso al trattamento; l'indirizzo dell'informativa è un campo obbligatorio dell'impostazione. I dati sono gestiti in Italia, i contenuti cifrati a livello di database, gli allegati ripuliti in automatico da proprietà e metadati senza alterare il documento. Il manuale indica l'eliminazione dei dati dopo cinque anni dall'esito finale comunicato. Il registro dei trattamenti GDPR si tiene nel modulo Compliance.

DPIA: quando e come

ANAC ricorda che l'art. 13 co. 6 prevede una valutazione d'impatto preventiva, da fare in progettazione del canale, prima di iniziare il trattamento (Delibera 311/2023, versione consolidata, p.61 nota 112); nella Relazione illustrativa parla di «vincolo». Nel parere sullo schema il Garante riporta che spetta agli enti obbligati, come titolari, farla, anche con la documentazione del fornitore. Perimetro e contenuto vanno concordati con il DPO; per gli enti sotto soglia con modello 231 la lettura va confermata con il proprio consulente. Contenuti di lavoro:

• flusso dei dati, da ricezione a cancellazione;
• categorie di dati, anche particolari e giudiziari;
• rischi per segnalante, segnalato, menzionati;
• misure scelte, anche per la posta;
• ruoli dei fornitori e osservazioni del DPO.

Elenco: modello di lavoro di EcosAgile.

In EcosAgile: la DPIA è dell'ente titolare; il fornitore può mettere a disposizione documentazione a supporto. Il Whistleblowing Kit offre modelli e checklist per la verifica, senza sostituire le responsabilità del titolare.

Conservazione

Segnalazioni e documentazione si conservano per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell'esito finale; al più tardi allora si cancellano. Cinque anni è un massimo e decorre dall'esito, non dalla segnalazione. Su backup e copie le fonti tacciono: la procedura deve dire quando spariscono.

Il segnalato e l'informativa

Le informative degli artt. 13 e 14 GDPR vanno a segnalanti e persone coinvolte (art. 13 co. 4). ANAC indica un'informativa generale pubblicata in anticipo e una al segnalato solo se si avvia un procedimento nei suoi confronti (Delibera 311, p.61). I diritti degli artt. 15-22 si possono ritardare, limitare o escludere se ne deriva un pregiudizio effettivo e concreto alla riservatezza del segnalante, con comunicazione motivata (art. 13 co. 3; art. 2-undecies Codice privacy). Il coordinamento con gli obblighi informativi va validato con il DPO o un legale.

11. Whistleblowing e Modello 231

Dal 15/07/2023 l'art. 6, co. 2-bis, del D.Lgs. 231/2001 prevede che il modello organizzativo contenga tre elementi: i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare. ANAC raccomanda un solo canale per le segnalazioni del D.Lgs. 24/2023 e per quelle rilevanti ai fini 231, ma non lo impone. Il modello resta facoltativo; chi lo adotta rientra nel decreto 24 anche sotto i 50 lavoratori.

Che cosa va aggiornato nel modello

Sono i tre aspetti che ANAC chiede di adeguare: canale, divieto di ritorsione, sistema disciplinare. Un modello non adeguato, per l'Autorità, non ha efficacia esimente. Dal 24/01/2026 c'è un aggiornamento in più: il D.Lgs. 211/2025 ha inserito nel D.Lgs. 231/2001 l'art. 25-octies.2 sulle misure restrittive dell'Unione europea e ha esteso a quelle misure anche l'art. 1 del decreto 24. Chi rivede la mappa dei reati rivede anche il perimetro delle segnalazioni.

Un canale o due

Con il canale unico, le segnalazioni del decreto 24 e quelle 231 entrano dallo stesso ingresso, ferme restando le informazioni strutturate verso l'OdV. È una raccomandazione: la scelta resta all'ente, che la scrive nell'atto organizzativo o nel modello. Una segnalazione arrivata al destinatario sbagliato va comunque trasmessa al competente entro 7 giorni (art. 4, co. 6). Nel canale unico entrano anche segnalazioni che non toccano il 231: se l'OdV non è il gestore, non vi accede.

Sistema disciplinare

L'art. 21, co. 2, chiede agli enti con modello 231 di prevedere sanzioni disciplinari per chi risulta responsabile degli illeciti del co. 1: ritorsioni, ostacolo alla segnalazione, violazione della riservatezza, mancata verifica e analisi. Per la riservatezza la Delibera 479/2025 precisa che valgono a prescindere dalla media dei lavoratori. Resta il caso dell'art. 16, co. 3: segnalante con responsabilità accertata, anche in primo grado, per diffamazione o calunnia, o civile per dolo o colpa grave, con proporzionalità e gradualità.

Gestore e OdV

L'OdV può essere designato gestore se ha autonomia, formazione, conoscenza dell'ente e regole sui conflitti; non è un obbligo, e le fonti non lo escludono. Se non lo è, il raccordo si disciplina nell'atto o nel modello.

Sintesi della redazione delle posizioni lette al 29/10/2026; fa fede il testo delle fonti e il caso concreto va valutato con il proprio consulente.

Nei piccoli enti l'organo dirigente, o nelle società di capitali il collegio sindacale, può svolgere le funzioni dell'OdV (art. 6, co. 4 e 4-bis). Se possa essere anche gestore del canale va confermato con il proprio consulente: nelle fonti lette il caso non è affrontato. La matrice dei ruoli è nella sezione sul gestore.

Il perimetro 231 sotto i 50 lavoratori

Un ente con modello 231 e meno di 50 lavoratori gestisce segnalazioni interne solo sulle condotte 231 e sulle violazioni del modello. Se nell'ultimo anno ha raggiunto la media di 50, il perimetro si allarga alle violazioni di diritto UE, alle segnalazioni esterne e alla divulgazione pubblica. Adottare il modello decide quindi anche l'ampiezza del canale. Le soglie sono nella sezione su chi deve attivare il canale.

Approfondimento con l'esperto: nel webinar EcosAgile del 2026 il capitolo «Documentazione, 231, segnalazioni abusive» (19:01); nel webinar EcosAgile del 2024 il capitolo «Non conformità e canale unico» (34:34). Capitoli indicati dalla redazione della pagina; non sostituiscono le norme né un parere legale.

12. Gruppi di imprese, multi-company e canali condivisi

Un gruppo non ha diritto a un canale unico: la soglia dimensionale si calcola per singola impresa. Le società con media fino a 249 lavoratori possono condividere canale e gestione oppure affidarli a un terzo; in un gruppo con imprese sopra 249 la condivisione non è ammessa e resta l'affidamento a un soggetto esterno, anche la capogruppo. Ogni società tenuta mantiene il proprio canale, il proprio gestore e la propria responsabilità.

Che cosa dice l'art. 4, co. 4, e perché non basta

Il decreto consente la condivisione del canale e della relativa gestione ai privati con media non superiore a 249 lavoratori. Non parla di gruppi: li ha trattati ANAC, applicando la soglia a ciascuna impresa. La Commissione europea, nella relazione COM(2024) 269 del 03/07/2024, osserva che la condivisione di risorse è prevista dalla Direttiva solo per i privati tra 50 e 249 lavoratori e che estenderla ai gruppi contrasta con l'accessibilità e la prossimità dei canali.

Gli scenari, in sintesi

Sintesi di lavoro di EcosAgile delle indicazioni ANAC (Linee Guida n. 1/2025, Delibera 478, e Delibera 479): non è uno standard pubblicato, e fa fede il testo ANAC. Le Linee Guida sono atti di indirizzo dell'Autorità.

Art. 28 nei gruppi, art. 26 tra enti che condividono

Sono due regimi diversi e si confondono spesso. Tra enti che condividono il canale l'art. 13, co. 5, impone un accordo interno sulle responsabilità e li considera contitolari. Nei gruppi ANAC applica l'art. 28 del GDPR: la capogruppo che gestisce il canale per le società è responsabile del trattamento, e l'art. 13, co. 5 non si applica. Il Garante, nel parere n. 581 del 09/10/2025 reso sugli schemi, aveva chiesto di eliminare l'ambiguità su questo punto.

Gestori, sostituti, sanzioni

Anche con servizi comuni ogni ente nomina un proprio gestore. Se più enti usano lo stesso gestore esterno, ciascuno accede soltanto alle proprie segnalazioni, con misure tecniche e organizzative. Il sostituto, per conflitto di interessi o assenza prolungata, va individuato in anticipo nell'atto organizzativo. Affidare la gestione a un terzo non scarica la responsabilità: il committente resta sanzionabile se sceglie un gestore non idoneo.

Casi che le fonti non chiariscono

Esempio con dati di fantasia: un gruppo di tre società con 120, 90 e 310 lavoratori medi. La terza ha un canale proprio e non può condividerlo. Per le prime due le Linee Guida distinguono i gruppi con tutte le società fino a 249 da quelli sopra: il caso misto non è affrontato in modo esplicito.

Nelle Linee Guida lette il caso non è trattato in modo esplicito. Una lettura prudente, da confermare con il proprio consulente, è l'affidamento a un terzo, che può essere la capogruppo, con contratto e accessi separati. Resta aperta anche la situazione di un dipendente italiano che segnala a un canale di gruppo estero non conforme all'art. 4: quali tutele valgano va verificato caso per caso.

In EcosAgile: la nuova segnalazione ha il campo Società, a tendina con le sole società abilitate al canale; il gestore riceve le notifiche delle segnalazioni di sua competenza, anche per società o causale; sono previsti referenti e responsabili per società e causale, e accessi selettivi per causale, società e gruppi di visibilità. Nomina dei gestori e dei sostituti, scelta tra condivisione e affidamento e ruoli privacy restano all'ente.

Approfondimento con l'esperto: nel webinar EcosAgile del 2026 il capitolo «Dimensioni e canali condivisi» (21:42) discute come la media annua dei dipendenti incida sul canale condiviso, e il capitolo «Segnalazione orale, incontro, gruppi» (40:04) tocca responsabilità e sostituti per società. I capitoli sono indicati dalla redazione della pagina; la pagina stessa avverte che fa fede il testo delle delibere.

13. Requisiti tecnici e sicurezza di una piattaforma whistleblowing

Il D.Lgs. 24/2023 non elenca requisiti tecnici: chiede un canale che garantisca, anche con la crittografia, la riservatezza di segnalante, persona coinvolta, persone menzionate, contenuto e documentazione (art. 4, co. 1). ANAC considera preferibili le piattaforme informatiche, perché consentono la cifratura a riposo e un dialogo riservato tramite un codice noto solo al segnalante. Da qui discendono requisiti che si possono verificare: accessi separati, non tracciabilità, pulizia degli allegati, registro degli accessi all'identità, continuità del servizio.

Il decreto impone un canale interno conforme, non uno specifico software. I requisiti sotto dicono che cosa il fornitore deve saper dimostrare; il resto (gestori, atto organizzativo, rete interna) è dell'ente.

Sicurezza del canale e autenticazione non sono la stessa cosa

Una piattaforma può avere un secondo fattore per i gestori e, nello stesso tempo, registrare indirizzo e browser di chi segnala. Pesa di più la seconda cosa. Nel 2022 il Garante ha sanzionato un'azienda ospedaliera e la società fornitrice, tra l'altro, per log di navigazione che permettevano di identificare gli utenti (Newsletter n. 488 dell'11/05/2022).

La stessa logica vale dentro l'ente. Se si accede dalla rete aziendale, ANAC chiede di garantire la non tracciabilità del segnalante sulla piattaforma e anche su firewall e proxy (Linee guida n. 1/2025, Delibera 478, pp. 11-12). Nessun fornitore può farlo al posto dell'IT dell'ente. Proposta di lavoro: far provare all'IT, prima dell'attivazione, che una segnalazione di prova inviata dalla rete interna non lasci tracce riconducibili alla persona.

Allegati e metadati

Un file caricato porta con sé proprietà e metadati. Una piattaforma ben fatta li ripulisce, senza toccare il contenuto del documento. Il limite va detto a chi segnala: se il nome di una persona è scritto nel testo del file, la pulizia dei metadati non lo toglie.

Identità, registro e log

ANAC vuole che l'accesso all'identità del segnalante avvenga solo se strettamente necessario, eventualmente tramite un custode dell'identità (figura facoltativa), e che il sistema registri l'accesso e le ragioni (pp. 22-25 delle Linee guida 478). Vuole anche che i log tecnici non rendano identificabile chi segnala. Le due richieste si conciliano decidendo che cosa si registra: le azioni sul caso (chi, che cosa, quando, perché) sì, gli identificatori del segnalante e di rete no. «Audit trail» non è un termine di legge.

La tabella è un modello di lavoro di EcosAgile, non uno standard pubblicato. «Proposta» indica un requisito che nessuna norma o linea guida letta al 29/10/2026 pone in questi termini.

In EcosAgile: il software è in cloud, nel modulo Compliance. I dati sono gestiti in Italia, in un data center classificato Tier IV, con protocolli SSL/TLS e cifratura dei contenuti di segnalazioni e allegati a livello di database (non end-to-end). L'autenticazione a più fattori è disponibile per i gestori; il produttore dichiara penetration test periodici e le certificazioni ISO 9001 e ISO 27001. In modalità anonima il sistema è configurato per non memorizzare elementi tecnici identificativi nei log applicativi e nelle notifiche; gli allegati hanno una pulizia automatica di proprietà e metadati, senza alterare il contenuto. Sono dichiarazioni del produttore: le evidenze si chiedono come a ogni fornitore.

In EcosAgile: l'allegato audio è opzionale, previsto per le sole segnalazioni non anonime e con distorsione del suono. Non è un canale orale conforme: scritto, orale e incontro diretto si progettano come nella sezione sul canale interno.

14. Come integrare il whistleblowing nel sistema di compliance

Il whistleblowing si integra nel sistema di compliance collegandolo ai presidi con cui condivide dati, ruoli e prove: privacy, Modello 231 e codice etico, reclami e non conformità, rapporti con fornitori e appalti, eventuali standard anticorruzione. Le segnalazioni restano riservate: il gestore non le gira alle altre funzioni, a cui trasmette solo esiti ed estratti anonimizzati. Si integrano quindi i processi e le prove, non i contenuti.

La mappa dei presidi

Mappa di lavoro di EcosAgile: non è uno standard pubblicato. Fonti normative lette al 29/10/2026. Per gli enti pubblici la gestione del canale spetta al RPCT e il whistleblowing rientra tra le misure di prevenzione della corruzione.

Privacy e documentazione

Il canale è un trattamento di dati personali e va tenuto allineato alla documentazione privacy dell'ente: informative, nomina del fornitore come responsabile, DPIA, registro dei trattamenti. Per reclami e violazioni di dati personali l'ente può tenere registri propri: il canale non li sostituisce, e il raccordo con una segnalazione si decide nella procedura. Termini e obblighi di notifica di una violazione al Garante seguono il GDPR e vanno verificati sul testo.

In EcosAgile: il modulo Compliance, che ospita anche il canale whistleblowing, comprende il registro dei trattamenti GDPR, con schede per titolare e per responsabile ed esportazione, e i documenti GDPR.

In EcosAgile: il registro reclami raccoglie data, natura, funzione interessata, azioni correttive, responsabile e risoluzione prevista, con stati Emesso, In lavorazione e Completato. Il registro delle violazioni dei dati (Data Breach) conserva date, categorie di dati e misure adottate e registra la notifica al Garante, senza inviarla. Il collegamento fra una segnalazione e questi registri si definisce nella procedura dell'ente.

Fornitori, appalti e anticorruzione

Chi qualifica i fornitori deve sapere che i loro lavoratori e collaboratori possono segnalare e sono tutelati, e che la conclusione anticipata di un contratto di fornitura può costituire ritorsione. Il modello organizzativo o l'atto va reso noto anche a fornitori, consulenti e partner, con una sezione dedicata del sito. Gli illeciti in materia di appalti pubblici rientrano nell'ambito delle violazioni segnalabili. Sulle clausole di gara le fonti lette non indicano disposizioni specifiche del D.Lgs. 36/2023.

Prove da conservare

Il Garante aveva inserito nel piano ispettivo di gennaio-luglio 2026 la prosecuzione delle verifiche sugli applicativi di whistleblowing. Come proposta di lavoro, conviene avere un fascicolo con atto organizzativo, comunicazione ai sindacati, nomine, formazione, DPIA, contratti, test del canale e indicatori. Salute e sicurezza sul lavoro è un tema trattato nella guida Salute e sicurezza sul lavoro e medicina del lavoro e resta fuori da questa pagina. Per i temi vicini: la guida sulla trasparenza retributiva e quella sulla digitalizzazione dei processi HR.

Approfondimento con l'esperto: nel webinar EcosAgile del 2026 il capitolo «Cosa verificare in azienda» (43:11) elenca nomine, sostituti, formazione, DPIA e atto organizzativo; nel webinar EcosAgile del 2024 i capitoli «GDPR: registro dei trattamenti» (03:50) e «Data breach» (05:30) mostrano i registri. I capitoli sono indicati dalla redazione della pagina.

15. KPI, reporting, formazione e miglioramento continuo

I KPI di un canale di segnalazione servono all'organo di indirizzo per sapere se il canale funziona, non per seguire i singoli casi. Si misurano i tempi di avviso e di riscontro, l'anzianità delle pratiche, gli ambiti, gli esiti, la formazione e le prove tecniche, con report aggregati che non espongono dati personali. Zero segnalazioni non dimostrano che tutto vada bene: il set comprende indicatori che hanno senso anche senza casi.

Nessuna fonte ufficiale letta al 29/10/2026 fissa un elenco di KPI per i canali interni. ANAC chiede all'organo di indirizzo un monitoraggio generale sul funzionamento della procedura, senza poteri di supervisione sulla gestione, e non indica indicatori. I dieci della tabella sono un modello di lavoro. Vengono dalla legge solo i limiti: 7 giorni per l'avviso, 3 mesi per il riscontro, 5 anni di conservazione al massimo. Si contano giorni di calendario: il decreto dice «giorni» e «mesi» senza altro, e la scelta prudente va scritta nella procedura.

Dieci indicatori con formula

Formule, owner, frequenze e soglie sono un modello di lavoro di EcosAgile, non uno standard pubblicato. Fanno eccezione i soli limiti di legge citati nel testo.

Sul termine di 3 mesi (non perentorio, con l'esito da comunicare comunque) si veda la sezione sulla gestione della segnalazione.

Aggregare senza esporre dati personali

Né ANAC né il Garante fissano una soglia minima di aggregazione. Le regole seguenti sono una proposta di lavoro, da scrivere nella procedura.

• I KPI si calcolano da date, stati, categorie ed esiti, mai dal testo delle segnalazioni.
• Ogni cella sotto 5 casi si mostra come «< 5».
• Con meno di 10 segnalazioni nel periodo, il report mostra solo i KPI di processo e il totale.
• Nessun incrocio per sede, reparto o ruolo se il gruppo ha meno di 5 persone; nessun campo libero.
• Un aggregato con numeri piccoli può comunque far risalire alle persone: resta sotto controllo degli accessi.

Esempio con dati di fantasia: in un semestre un ente riceve 6 segnalazioni e 5 hanno l'avviso entro 7 giorni. K2 è 5/6, circa 83%. Al consiglio di amministrazione vanno questo valore e il totale, non la ripartizione per ambito, che con 6 casi renderebbe riconoscibili le pratiche. Per la pratica fuori termine si analizza la causa.

Formazione del gestore e del personale

L'art. 4, co. 2 richiede personale specificamente formato. ANAC chiede una formazione specifica e periodica per i gestori (decreto, privacy, procedure, conflitti di interesse, comportamenti) e, per tutto il personale, una formazione su chi è il whistleblower, che cosa e come si segnala, quali tutele esistono. Non fissa una cadenza; nel contesto del Modello 231 la partecipazione ai corsi è obbligatoria. Documentabile significa programma, data, presenti e attestato.

Il motivo pratico si vede nei numeri di ANAC: nel 2025, su 1.931 fascicoli in materia di whistleblowing sul canale esterno, 460 sono stati archiviati o sono da archiviare per improcedibilità, e l'Autorità li legge come bisogno di formazione (Relazione annuale 2026, presentata il 21/04/2026). Il dato non misura i canali interni.

Audit periodico e miglioramento continuo

Una volta l'anno, proposta di lavoro, si rivedono procedura e atto organizzativo, nomine e sostituti, DPIA e informative, canali e sito, formazione, raccordo con il Modello 231. I test del K9 usano segnalazioni fittizie, marcate e cancellate dopo la prova, per non mescolarsi alle statistiche. L'esito di ogni audit entra in un fascicolo di conformità da mostrare a chi lo chiede.

In EcosAgile: la pagina Analisi ha tre indicatori (eventi totali, evento dell'ultimo mese, eventi aperti), grafici per mese e per priorità e filtri per periodo, priorità, stato e causale, senza contenuti riservati. Non include KPI sui tempi: K1-K4 li calcola l'ente. Il responsabile della causale riceve promemoria a 5, 25 e 30 giorni, che non contengono informazioni sulla segnalazione.

In EcosAgile: il Whistleblowing Kit raccoglie modelli e checklist per la verifica documentale, organizzativa, privacy e applicativa; non sostituisce le responsabilità del titolare del canale.

16. Come scegliere un software whistleblowing

Un software whistleblowing si sceglie dopo aver deciso chi gestisce le segnalazioni, con quali poteri e con quali tempi, e si valuta su ciò che il fornitore sa dimostrare, non su ciò che dichiara. Il decreto non impone di comprare una piattaforma: impone un canale interno conforme, e ANAC considera preferibili le piattaforme informatiche. La griglia di questa sezione raccoglie venti criteri indipendenti dal fornitore, ciascuno con la prova da chiedere.

Prima la procedura, poi lo strumento

Una piattaforma raccoglie e custodisce le segnalazioni; non nomina il gestore, non scrive l'atto organizzativo, non fa la DPIA (si vedano governance e gestore e privacy e DPIA). Chi non adotta una piattaforma ha l'alternativa indicata da ANAC, la protocollazione riservata a doppia busta; per email e PEC vale quanto detto nella sezione sul canale interno.

Come usare la griglia

Non tutti i criteri pesano uguale. Posizione di lavoro: i criteri 1, 2, 3 e 6 sono eliminatori, perché nessun prezzo compensa un canale che può esporre l'identità di chi segnala. Gli altri si pesano sulla struttura dell'ente: più società o gruppo (8 e 20), segnalazioni orali (4), gestore con sostituto (7 e 9), report per l'organo di indirizzo (19). La prova dell'ultima colonna si chiede in un ambiente di prova, non su slide.

La griglia è un modello di lavoro di EcosAgile, non uno standard pubblicato; i riferimenti ad ANAC sono alle Linee guida n. 1/2025 (Delibera 478 del 26/11/2025), testo al 29/10/2026. Dove la «Base» dice «proposta», il criterio non è posto in questi termini da una norma o linea guida letta.

Domande da fare al fornitore

• Chi, tra il vostro personale, può leggere contenuti e identità, e come viene autorizzato e controllato?
• Potete decifrare i dati? Come sono gestite le chiavi?
• Che cosa resta nei log di applicazione, web server, WAF e CDN di chi segnala?
• Dove sono i data center, quali sub-responsabili intervengono, da quali paesi si presta assistenza?
• Quando è stato fatto l'ultimo penetration test, da chi, e che cosa potete mostrare?
• Che cosa succede ai dati, backup compresi, a fine contratto e alla scadenza della conservazione?
• Quali documenti ci date per la DPIA e per il registro dei trattamenti?
• Qual è il costo complessivo: attivazione, canone, assistenza, moduli aggiuntivi, uscita?

La prova prima della firma

Proposta di lavoro: chiedere un ambiente di prova e fare, con DPO e IT presenti, un percorso completo con dati fittizi: segnalazione da rete esterna e da rete interna, una anonima con dialogo successivo, richiesta motivata dell'identità, riassegnazione al sostituto, report aggregato, esportazione dei dati. Il verbale della prova entra nel fascicolo di conformità e può essere il primo test registrato nel K9 (sezione 15).

In EcosAgile: il software è in cloud, nel modulo Compliance, con un ingresso senza credenziali per chi non è dipendente e uno per i dipendenti. Il segnalante riceve un KeyCode per seguire lo stato e comunicare in modo riservato; in modalità anonima il sistema è configurato per non memorizzare elementi tecnici identificativi nei log applicativi e nelle notifiche. Gli accessi sono differenziati per causale, società e gruppi di visibilità, con autenticazione a più fattori disponibile per i gestori. La DPIA resta dell'ente titolare; il fornitore può fornire documentazione a supporto. Per vedere il prodotto alla prova della griglia: whistleblowing.ecosagile.com.

17. Domande frequenti