Whistleblowing in azienda: obblighi, segnalazioni e tutela del segnalante

Il whistleblowing non è una casella email da aggiungere alla privacy policy. Il d.lgs. n. 24/2023 ha costruito un sistema articolato di canali, riservatezza, gestione delle segnalazioni e tutela contro le ritorsioni. Per le imprese il punto decisivo è capire se rientrano nell’ambito di applicazione e se il canale interno è davvero idoneo.

Quali soggetti privati rientrano nella disciplina

L’ambito privato comprende, secondo i criteri del decreto, soggetti che hanno impiegato nell’ultimo anno una media di almeno cinquanta lavoratori subordinati, soggetti operanti in specifici settori regolati dal diritto dell’Unione e soggetti che adottano modelli di organizzazione e gestione ai sensi del d.lgs. 231/2001, secondo le condizioni previste dalla norma. La verifica deve essere effettuata sulla struttura concreta dell’ente.

Il canale interno deve essere riservato

L’identità del segnalante e le informazioni dalle quali può essere desunta devono essere protette. Il canale può essere gestito internamente da una persona o ufficio autonomo dedicato oppure affidato a un soggetto esterno con adeguate competenze e garanzie.

Non basta ricevere la segnalazione

La procedura deve prevedere presa in carico, interlocuzione con il segnalante, verifica dei fatti e riscontro entro i termini previsti. È necessario definire ruoli, accessi, conservazione e criteri di escalation, evitando sovrapposizioni con HR, privacy e organismo di vigilanza.

Segnalazioni esterne e ANAC

Il decreto prevede anche un canale esterno gestito da ANAC, utilizzabile nelle condizioni stabilite dalla legge. L’esistenza del canale esterno non esonera l’impresa dagli obblighi relativi al proprio canale interno quando applicabili.

Divieto di ritorsioni

La tutela del segnalante riguarda atti o comportamenti ritorsivi collegati alla segnalazione. Per l’organizzazione è fondamentale documentare in modo autonomo e trasparente eventuali decisioni successive sul rapporto di lavoro, così da poter dimostrare le ragioni effettive delle scelte adottate.

Checklist aziendale

• Verifica dell’applicabilità del d.lgs. 24/2023.
• Scelta del gestore del canale e verifica della sua autonomia.
• Procedura scritta e informativa facilmente accessibile.
• Canale scritto e, quando richiesto, modalità orale.
• Misure di riservatezza e gestione degli accessi.
• Coordinamento con GDPR, HR e Modello 231.
• Formazione dei soggetti che ricevono e gestiscono le segnalazioni.

Errori da evitare

• Usare una casella email ordinaria accessibile a più persone.
• Affidare il canale a chi può trovarsi in conflitto di interessi.
• Trattare la segnalazione come un normale reclamo HR.
• Conservare dati e documenti senza regole di accesso e cancellazione.
• Non informare lavoratori e soggetti interessati sul funzionamento del canale.

Riferimenti normativi essenziali

La disciplina italiana di riferimento è il d.lgs. 10 marzo 2023, n. 24, attuativo della direttiva (UE) 2019/1937. Per le imprese che adottano un Modello 231, il sistema di whistleblowing deve essere coordinato con il d.lgs. n. 231/2001 e con l’assetto di controllo interno.

Domande frequenti

Tutte le aziende con meno di 50 dipendenti sono escluse?

No. Il decreto prevede ulteriori criteri di applicazione, tra cui determinati settori e l’adozione del Modello 231 nelle condizioni previste dalla norma.

Si può usare una semplice email?

Lo strumento scelto deve garantire i requisiti di riservatezza e gestione previsti. Una casella ordinaria non è automaticamente adeguata.

Il segnalante è sempre anonimo?

Riservatezza dell’identità e anonimato non sono la stessa cosa. Il sistema deve proteggere l’identità del segnalante secondo la disciplina applicabile; le segnalazioni anonime hanno un trattamento specifico.