La disciplina delle segnalazioni di illeciti — il whistleblowing — è stata riscritta dal decreto legislativo 24/2023, che recepisce la direttiva (UE) 2019/1937. La novità più rilevante è l’estensione degli obblighi a una vasta platea di imprese private, prima largamente escluse. Conviene capire chi è tenuto a dotarsi di un canale di segnalazione, come va costruito e quali tutele spettano a chi segnala.
Che cos’è il whistleblowing
Il whistleblowing è la segnalazione di violazioni di disposizioni normative di cui un soggetto sia venuto a conoscenza nel proprio contesto lavorativo. L’obiettivo è duplice: far emergere illeciti che resterebbero altrimenti nascosti e proteggere chi li segnala da ritorsioni. Non è uno strumento per le liti private del lavoratore, ma un presidio di legalità dell’organizzazione.
Chi è obbligato
Il decreto individua diversi destinatari. Nel settore privato sono tenuti a istituire canali di segnalazione, in sintesi:
- le imprese che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati;
- a prescindere dalla soglia dimensionale, le imprese che operano in settori regolati (servizi finanziari, prevenzione del riciclaggio e del terrorismo, sicurezza dei trasporti e dell’ambiente);
- le imprese che adottano un modello di organizzazione e gestione 231, anche se sotto i 50 dipendenti.
Sono inoltre destinatari i soggetti del settore pubblico.
Il canale di segnalazione interno
Il cuore dell’adempimento è il canale interno: uno strumento che garantisca la riservatezza dell’identità del segnalante, della persona coinvolta e del contenuto. La gestione va affidata a una persona o a un ufficio dedicato, oppure a un soggetto esterno, dotati di autonomia. Il canale deve consentire segnalazioni in forma scritta e orale, con tempi definiti per il riscontro.
Le Linee guida ANAC n. 1/2025
Sui canali interni è intervenuta l’ANAC con le Linee guida n. 1/2025 (delibera n. 478 del 26 novembre 2025), a efficacia immediata. I punti fermi: il canale deve garantire la riservatezza dell’identità con strumenti idonei, anche crittografici — una casella e-mail o PEC ordinaria non è considerata idonea; il gestore deve possedere requisiti di autonomia, imparzialità e formazione; prima dell’attivazione del canale vanno consultate le rappresentanze sindacali; vanno previste modalità specifiche per le segnalazioni orali e gli incontri diretti. Chi ha attivato il canale prima delle Linee guida deve verificarne ora la conformità ai nuovi requisiti.
Canale esterno e divulgazione pubblica
Accanto a quello interno, esiste un canale esterno gestito dall’ANAC, attivabile in presenza di determinate condizioni (canale interno assente o inattivo, timore di ritorsioni, pericolo imminente). In casi residuali e a condizioni rigorose è ammessa anche la divulgazione pubblica. È un sistema a cerchi concentrici, che privilegia la soluzione interna.
Le tutele del segnalante
Il decreto vieta ogni forma di ritorsione contro chi segnala (licenziamento, demansionamento, trasferimento e simili) e prevede la nullità degli atti ritorsivi, oltre a misure di sostegno e alla protezione della riservatezza. La tutela si estende, a certe condizioni, anche a colleghi, familiari e facilitatori. Le tutele operano se la segnalazione è fatta in buona fede e secondo le procedure previste.
Le scadenze
Gli obblighi sono già operativi: per le imprese private con almeno 250 dipendenti (e per il settore pubblico) decorrono dal 15 luglio 2023; per quelle con un numero di dipendenti tra 50 e 249, dal 17 dicembre 2023. Le imprese che rientrano nei criteri e non si sono ancora adeguate sono in ritardo.
Cosa fare, in concreto
Adeguarsi significa: adottare una procedura di segnalazione, attivare il canale riservato, redigere l’informativa e formare il personale, coordinando il tutto con il modello 231 (ove presente) e con il GDPR, dato che le segnalazioni trattano dati personali.
Cosa dice la giurisprudenza
Che la tutela del segnalante non sia teorica lo dimostra l’attività sanzionatoria dell’ANAC, autorità competente sulle ritorsioni. Con la delibera n. 380 del 30 luglio 2024 l’Autorità ha accertato la natura ritorsiva dei provvedimenti adottati nei confronti di un dirigente che aveva segnalato illeciti — misure di riorganizzazione e valutazioni di performance ingiustificatamente basse — irrogando al responsabile una sanzione amministrativa di 10.000 euro — il minimo edittale: per le ritorsioni l’art. 21 del D.Lgs. 24/2023 prevede una sanzione da 10.000 a 50.000 euro. Il segnale per le imprese è duplice: le ritorsioni sono nulle e direttamente sanzionabili, e l’assenza o l’inadeguatezza del canale interno espone l’organizzazione a responsabilità proprie. Il whistleblowing va dunque gestito come un presidio reale, non come un adempimento di facciata.
Domande frequenti
La mia azienda da 60 dipendenti deve attivare il canale? Sì: la soglia dei 50 dipendenti fa scattare l’obbligo del canale interno.
Vale anche sotto i 50 dipendenti? In alcuni casi sì: per chi opera in settori regolati o adotta un modello 231 l’obbligo prescinde dalla soglia.
Chi segnala è protetto? Sì: il decreto vieta le ritorsioni, ne sancisce la nullità e tutela la riservatezza dell’identità del segnalante.
Costruire un sistema di whistleblowing conforme — canale, procedura, informativa e raccordo con 231 e privacy — è un adempimento tecnico ma alla portata, se impostato bene. Offriamo supporto nella consulenza in materia di compliance.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.