Whistleblowing: guida completa alla normativa italiana, agli obblighi e alla gestione delle segnalazioni

Aggiornato al 7 settembre 2026

Il whistleblowing in Italia è disciplinato principalmente dal D.Lgs. 24/2023 e riguarda aziende, enti e organizzazioni che, al ricorrere delle condizioni previste dalla normativa, devono predisporre un sistema capace di ricevere e gestire segnalazioni garantendo riservatezza, corretto trattamento dei dati e tutela delle persone coinvolte.

Il whistleblowing non coincide quindi con una semplice casella e-mail o con un modulo online. È un processo organizzativo composto da un canale di segnalazione, un gestore autonomo e formato, procedure interne, misure di sicurezza, adempimenti privacy e regole precise per la gestione delle comunicazioni e delle scadenze.

Questa guida GuardianVox, aggiornata al 2026, raccoglie in modo operativo i principali obblighi previsti dal D.Lgs. 24/2023, le indicazioni delle Linee Guida ANAC n. 1/2025 e gli aspetti che un’organizzazione dovrebbe verificare quando attiva o aggiorna il proprio canale interno.

In sintesi: la conformità non dipende soltanto dal software utilizzato. Tecnologia, procedura, privacy, ruoli e gestione concreta delle segnalazioni devono funzionare insieme.

Indice della guida

1. Che cos’è il whistleblowing
2. Normativa italiana ed europea
3. Chi deve attivare il canale
4. Chi può effettuare una segnalazione
5. Cosa può essere segnalato
6. Come funziona una segnalazione
7. Chi gestisce il canale
8. Segnalazione anonima o nominativa
9. Privacy e GDPR
10. Tempi di gestione
11. Whistleblowing, Modello 231 e OdV
12. Come scegliere il canale e la piattaforma
13. Checklist operativa GuardianVox
14. Domande frequenti

Che cos’è il whistleblowing?

Il termine whistleblowing indica la segnalazione di comportamenti, atti od omissioni che possono ledere l’interesse pubblico o l’integrità di un’amministrazione pubblica o di un ente privato e di cui la persona segnalante sia venuta a conoscenza nell’ambito del proprio contesto lavorativo.

Il soggetto che effettua la segnalazione viene comunemente definito whistleblower.

Il sistema deve permettere all’organizzazione di:

• ricevere le segnalazioni attraverso modalità adeguatamente protette;
• salvaguardare la riservatezza dell’identità del segnalante;
• proteggere anche le altre persone coinvolte o menzionate;
• limitare l’accesso alle sole persone autorizzate;
• comunicare con il segnalante durante la gestione della pratica;
• documentare le attività effettuate;
• rispettare le scadenze previste dalla normativa;
• prevenire e contrastare eventuali ritorsioni.

L’obiettivo non è creare uno strumento generico per reclami o contestazioni personali, ma permettere di far emergere violazioni rilevanti e di gestirle attraverso un processo definito.

La normativa italiana ed europea sul whistleblowing

Il quadro europeo deriva dalla Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione.

In Italia la direttiva è stata recepita con il Decreto Legislativo 10 marzo 2023, n. 24.

Il decreto disciplina, tra gli altri aspetti:

• chi può effettuare una segnalazione;
• quali soggetti devono istituire il canale interno;
• quali violazioni rientrano nel campo di applicazione;
• le modalità di presentazione delle segnalazioni;
• le attività del gestore;
• la riservatezza delle informazioni;
• il divieto di ritorsione;
• il canale esterno gestito da ANAC;
• le condizioni per la divulgazione pubblica;
• le sanzioni applicabili.

Il quadro applicativo è stato ulteriormente sviluppato dalle Linee Guida ANAC n. 1/2025 sui canali interni di segnalazione, approvate con Delibera n. 478 del 26 novembre 2025.

Per le imprese è utile anche il nostro approfondimento sulla Guida Confindustria 2026 e sulle indicazioni operative per la gestione del canale interno.

Chi è obbligato ad attivare un canale whistleblowing?

Per verificare l’obbligo non è sufficiente considerare soltanto il numero dei dipendenti. Devono essere valutati anche il settore di attività, la natura dell’organizzazione e l’eventuale adozione di un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001.

Abbiamo dedicato un approfondimento specifico al canale interno whistleblowing, ai soggetti obbligati e alle modalità di attivazione.

La tua organizzazione rientra tra i soggetti obbligati?

GuardianVox mette a disposizione un test gratuito composto da sei domande per ottenere una prima valutazione orientativa.

Verifica gratuitamente la conformità whistleblowing della tua organizzazione

Il risultato ha finalità orientativa e non sostituisce l’analisi normativa riferita alla specifica organizzazione.

Chi può effettuare una segnalazione?

Le tutele previste dal D.Lgs. 24/2023 non riguardano esclusivamente i lavoratori subordinati.

Quando ricorrono i presupposti previsti dalla normativa, tra i potenziali segnalanti possono rientrare:

• dipendenti pubblici e privati;
• lavoratori autonomi;
• collaboratori e consulenti;
• liberi professionisti;
• volontari e tirocinanti;
• azionisti;
• persone con funzioni di amministrazione, direzione, controllo o vigilanza;
• persone il cui rapporto di lavoro non sia ancora iniziato, quando le informazioni siano state acquisite durante il processo di selezione;
• ex lavoratori che abbiano conosciuto i fatti durante il rapporto;
• soggetti che operano presso fornitori, appaltatori e partner dell’organizzazione nei casi previsti dalla disciplina.

Le informazioni devono essere state acquisite nel contesto lavorativo o professionale rilevante ai fini della normativa.

Cosa può essere segnalato?

La disciplina riguarda le violazioni comprese nel campo di applicazione del D.Lgs. 24/2023.

A seconda della natura dell’organizzazione e del relativo perimetro normativo, possono assumere rilevanza, ad esempio:

• illeciti amministrativi, contabili, civili o penali rientranti nel campo previsto dalla disciplina;
• violazioni del Modello 231;
• condotte corruttive o fraudolente;
• violazioni in specifici settori disciplinati dal diritto dell’Unione;
• violazioni relative alla protezione dei dati personali e alla sicurezza delle reti e dei sistemi informativi, nei casi previsti;
• condotte che ledono gli interessi finanziari dell’Unione europea;
• atti od omissioni riguardanti il mercato interno nei casi contemplati dalla normativa;
• comportamenti ritorsivi collegati a una segnalazione protetta.

Non rientrano invece automaticamente nel whistleblowing le contestazioni esclusivamente personali relative al rapporto individuale di lavoro, i normali reclami commerciali o le richieste di assistenza che non riguardino violazioni comprese nel campo di applicazione della disciplina.

La qualificazione deve essere effettuata sulla base del contenuto concreto della comunicazione.

Come funziona una segnalazione whistleblowing?

Un processo correttamente organizzato può essere rappresentato attraverso questo flusso operativo:

Errore frequente: considerare il whistleblowing concluso nel momento in cui viene ricevuta la segnalazione. Il vero adempimento riguarda l’intero ciclo di gestione, dalla ricezione alla chiusura della pratica.

Chi può gestire il canale whistleblowing?

Il canale deve essere affidato a una persona o a un ufficio interno autonomo e specificamente formato oppure, secondo quanto previsto dalla normativa e dall’organizzazione adottata, a un soggetto esterno dotato di adeguata autonomia e competenza.

Nella scelta del gestore dovrebbero essere verificati almeno:

• autonomia;
• imparzialità;
• assenza di conflitti di interesse;
• formazione specifica;
• capacità di gestire l’istruttoria;
• conoscenza degli obblighi di riservatezza e protezione dei dati;
• continuità nella gestione delle pratiche.

L’adozione di un software non sostituisce il gestore: la tecnologia supporta ricezione, comunicazione, scadenze e documentazione, mentre le valutazioni sui fatti restano affidate alle persone competenti.

Segnalazione anonima o nominativa?

Una segnalazione nominativa permette di conoscere l’identità della persona segnalante, che deve essere protetta secondo le regole previste dalla normativa.

Una segnalazione anonima non contiene invece informazioni che consentano di identificare immediatamente l’autore.

Dal punto di vista operativo, una delle criticità delle segnalazioni anonime è la possibilità di mantenere un’interlocuzione successiva. Una piattaforma dedicata può assegnare al segnalante un codice o un token che gli permette di consultare la pratica e comunicare con il gestore senza dover necessariamente comunicare un indirizzo e-mail o la propria identità.

Whistleblowing, privacy e GDPR

Una segnalazione può contenere dati personali riferiti al segnalante, alla persona coinvolta, ai testimoni e ad altri soggetti menzionati. Possono inoltre essere presenti documenti, fotografie, e-mail, registrazioni e informazioni interne particolarmente delicate.

L’organizzazione deve pertanto definire:

• ruoli e responsabilità privacy;
• soggetti autorizzati ad accedere alle pratiche;
• informative sul trattamento dei dati;
• rapporti con eventuali fornitori e responsabili del trattamento;
• misure tecniche e organizzative di sicurezza;
• tempi di conservazione;
• modalità di cancellazione dei dati non necessari;
• gestione degli allegati e delle comunicazioni;
• valutazione dei rischi derivanti dal sistema utilizzato.

Il Garante per la protezione dei dati personali ha dedicato particolare attenzione alle caratteristiche dei canali informatici, ai log, alla tracciabilità e ai rischi collegati all’utilizzo della posta elettronica.

Per approfondire consulta la guida dedicata a whistleblowing, privacy e protezione dei dati personali.

Email e PEC sono sufficienti?

Una normale casella e-mail o PEC non dovrebbe essere considerata automaticamente adeguata soltanto perché accessibile a un numero limitato di persone.

Devono essere valutati anche:

• metadati della comunicazione;
• log generati dai sistemi;
• accessi degli amministratori;
• backup;
• inoltri;
• sistemi antispam;
• eventuali proxy e firewall aziendali;
• possibilità di comunicare successivamente con un segnalante anonimo.

Abbiamo analizzato il tema in modo specifico nell’articolo Whistleblowing via email o PEC: è conforme? Cosa prevedono ANAC e Garante.

Quali sono i tempi di gestione della segnalazione?

Tra i termini principali previsti dal D.Lgs. 24/2023 rientrano:

• 7 giorni dalla presentazione della segnalazione per l’avviso di ricevimento;
• 3 mesi per fornire il riscontro, calcolati dalla data dell’avviso di ricevimento oppure, in mancanza dell’avviso, dalla scadenza del termine di sette giorni dalla presentazione.

Una gestione efficace deve quindi consentire di:

• registrare la data di ricezione;
• monitorare le scadenze;
• documentare le richieste di integrazione;
• mantenere lo storico delle comunicazioni;
• dimostrare il seguito dato alla segnalazione.

Whistleblowing, Modello 231 e Organismo di Vigilanza

Il whistleblowing e il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001 sono collegati, ma non coincidono.

Il canale può far emergere violazioni del Modello, criticità nei processi sensibili e altre informazioni rilevanti per il sistema di controllo dell’ente.

L’Organismo di Vigilanza non coincide però automaticamente con il gestore del canale. Occorre valutare concretamente autonomia, competenze, organizzazione e possibili conflitti di interesse.

Quando l’OdV non gestisce direttamente le segnalazioni è comunque possibile prevedere flussi informativi coerenti con il Modello 231, salvaguardando la riservatezza prevista dalla disciplina.

Per approfondire questo aspetto consulta l’articolo dedicato a responsabilità 231 ed efficacia concreta del Modello Organizzativo.

Come viene tutelata la persona segnalata?

La protezione del whistleblower non elimina i diritti della persona coinvolta nella segnalazione.

La ricezione di una segnalazione non equivale all’accertamento della responsabilità. L’organizzazione deve gestire le verifiche con imparzialità, evitare diffusioni non necessarie delle informazioni e coordinare tutela della riservatezza, esigenze istruttorie e diritto di difesa.

Abbiamo approfondito il tema nell’articolo Il segnalato deve essere informato subito? Riservatezza, prove e diritto di difesa.

Consultazione sindacale e attivazione del canale

L’attivazione o la modifica del canale richiede anche di verificare gli adempimenti relativi all’informazione e alla consultazione delle rappresentanze o organizzazioni sindacali secondo quanto previsto dalla disciplina applicabile.

Per questo aspetto consulta l’approfondimento sulla consultazione sindacale e le Linee Guida ANAC sul whistleblowing.

Come scegliere una piattaforma whistleblowing

La normativa non rende automaticamente conforme un prodotto soltanto perché viene commercializzato come software whistleblowing.

Nella valutazione di una piattaforma è opportuno verificare almeno:

• protezione dell’identità del segnalante;
• modalità di gestione delle segnalazioni anonime e identificate;
• accessi differenziati per ruolo;
• autenticazione degli utenti autorizzati;
• protezione delle comunicazioni;
• gestione degli allegati;
• possibilità di interlocuzione riservata con il segnalante;
• gestione della modalità orale;
• controllo delle scadenze;
• tracciabilità delle attività di gestione;
• ubicazione e protezione dei dati;
• backup e continuità operativa;
• tempi di conservazione e cancellazione;
• rapporti privacy con il fornitore;
• supporto nella configurazione del processo.

Per una valutazione più approfondita consulta la nostra checklist dei 15 requisiti da verificare prima di scegliere una piattaforma whistleblowing.

Checklist operativa GuardianVox: 12 controlli prima di attivare il canale

Prima di considerare completata l’attivazione del whistleblowing, suggeriamo di verificare almeno questi dodici punti:

1. Campo di applicazione: è stato verificato formalmente se l’organizzazione rientra nel D.Lgs. 24/2023?
2. Gestore: è stato individuato un soggetto autonomo, competente e formato?
3. Conflitto di interessi: esiste una procedura alternativa quando il gestore è coinvolto nella segnalazione?
4. Procedura: esiste un documento interno che disciplina l’intero processo?
5. Canale scritto: è disponibile una modalità adeguatamente protetta?
6. Canale orale: è stata predisposta la modalità richiesta dalla normativa?
7. Interlocuzione: il gestore può dialogare con il segnalante senza compromettere la riservatezza?
8. Privacy: informative, ruoli e rapporti con i fornitori sono stati definiti?
9. Sicurezza: accessi, autenticazione, log e allegati sono stati valutati?
10. Scadenze: il sistema permette di controllare i termini dei 7 giorni e dei 3 mesi?
11. Conservazione: sono stati stabiliti criteri e tempi di retention?
12. Informazione e formazione: potenziali segnalanti e gestori conoscono correttamente il funzionamento del canale?

Questa checklist non sostituisce una valutazione legale o privacy, ma permette di individuare rapidamente i principali elementi organizzativi che meritano un controllo.

Gli errori più frequenti

Nell’attivazione di un canale whistleblowing è utile evitare alcuni errori ricorrenti:

• considerare sufficiente una normale casella e-mail;
• acquistare un software senza predisporre una procedura;
• condividere credenziali tra più gestori;
• attribuire accessi indiscriminati agli amministratori;
• scaricare segnalazioni e allegati in cartelle locali non protette;
• non disciplinare i conflitti di interesse;
• dimenticare le modalità orali di segnalazione;
• non monitorare le scadenze;
• conservare indefinitamente le pratiche;
• non aggiornare procedure, informative e formazione quando cambia il canale.

Domande frequenti sul whistleblowing

Tutte le aziende sono obbligate ad avere un canale whistleblowing?

No. L’applicabilità deve essere verificata considerando dimensioni, settore, natura dell’organizzazione ed eventuale Modello 231.

Le aziende sotto i 50 dipendenti sono sempre escluse?

No. In determinate situazioni l’obbligo può riguardare anche organizzazioni con meno di 50 lavoratori. È quindi necessario verificare il settore e le altre condizioni previste dalla normativa.

Email e PEC sono sufficienti per il whistleblowing?

Non automaticamente. Devono essere valutati anche log, metadati, accessi amministrativi, backup e capacità del sistema di garantire concretamente la riservatezza. Il Garante Privacy ha richiamato specificamente le criticità connesse alla posta elettronica.

La segnalazione può essere anonima?

Le segnalazioni anonime possono essere gestite secondo il sistema organizzativo adottato e, quando risultano sufficientemente circostanziate, possono contenere informazioni rilevanti da approfondire. È particolarmente utile che il canale permetta di mantenere una comunicazione successiva senza necessariamente identificare il segnalante.

Chi può gestire il canale whistleblowing?

La gestione deve essere affidata a un soggetto interno o esterno che possieda i requisiti richiesti in termini di autonomia e competenza e che riceva una formazione adeguata. La scelta deve tenere conto anche dei possibili conflitti di interesse.

Per quanto tempo vengono conservate le segnalazioni?

Il D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della normativa sulla protezione dei dati.

Approfondimenti GuardianVox

Per analizzare separatamente gli aspetti più importanti della gestione del canale puoi consultare:

• Canale interno whistleblowing: quando è obbligatorio e come attivarlo
• Whistleblowing e privacy: quali dati vengono trattati e come proteggerli
• Whistleblowing e tutela della persona segnalata
• Guida Confindustria 2026 sul whistleblowing
• Piattaforma whistleblowing conforme: 15 requisiti da verificare
• Whistleblowing via email o PEC: è conforme?

Conclusioni

Il whistleblowing non dovrebbe essere affrontato come un semplice adempimento formale. Un canale correttamente organizzato consente di ricevere informazioni rilevanti, proteggere le persone coinvolte, documentare il processo e intervenire in modo tempestivo sulle criticità che emergono.

Per ottenere questo risultato è necessario coordinare normativa, organizzazione, privacy, sicurezza informatica, formazione e tecnologia.

GuardianVox è una piattaforma sviluppata per supportare aziende, enti e professionisti nella gestione digitale delle segnalazioni, mantenendo distinto il ruolo dello strumento tecnologico dalle valutazioni giuridiche e organizzative affidate ai soggetti competenti.

Vuoi iniziare verificando la situazione della tua organizzazione?

Fai il test gratuito di conformità whistleblowing oppure visita GuardianVox per approfondire le funzionalità della piattaforma.

Le informazioni contenute in questa guida hanno finalità divulgative e informative e non sostituiscono una consulenza legale, privacy o organizzativa riferita alla specifica situazione dell’azienda o dell’ente.