Piattaforma whistleblowing conforme: 15 requisiti da verificare nel 2026

Scegliere una piattaforma whistleblowing conforme non significa limitarsi ad acquistare un software per ricevere segnalazioni. Il sistema adottato deve proteggere l’identità del segnalante, garantire la riservatezza delle persone coinvolte, consentire una gestione corretta delle comunicazioni e supportare l’organizzazione nel rispetto delle procedure e delle scadenze previste dalla normativa.

Il quadro di riferimento è rappresentato principalmente dal D.Lgs. 24/2023, dal Regolamento europeo sulla protezione dei dati personali e dalle Linee Guida ANAC n. 1/2025 sui canali interni di segnalazione, approvate con Delibera n. 478 del 26 novembre 2025.

Le nuove indicazioni confermano che il whistleblowing non può essere gestito come una semplice casella di posta elettronica o come un archivio documentale. Il canale deve essere inserito in un sistema organizzativo nel quale tecnologia, procedure, responsabilità, sicurezza informatica e formazione operano in maniera coordinata.

Prima di valutare le caratteristiche tecniche del software, è quindi necessario comprendere quando è obbligatorio attivare un canale interno whistleblowing e come deve essere organizzato.

In sintesi: non esiste un software che renda automaticamente conforme un’azienda. Una buona piattaforma fornisce però gli strumenti necessari per costruire un canale sicuro, riservato, tracciabile e coerente con gli obblighi normativi.

Cosa significa “piattaforma whistleblowing conforme”

Quando si parla di piattaforma whistleblowing conforme bisogna distinguere almeno quattro livelli.

Conformità normativa: il canale deve permettere di rispettare le disposizioni del D.Lgs. 24/2023.
Conformità privacy: il trattamento dei dati deve rispettare il GDPR e il Codice Privacy.
Sicurezza tecnica: il sistema deve ridurre il rischio di accessi non autorizzati, perdita di dati o identificazione del segnalante.
Conformità organizzativa: l’azienda deve individuare il gestore, definire le procedure, formare gli incaricati e documentare le attività svolte.

La piattaforma costituisce quindi una componente essenziale del sistema, ma deve essere configurata e utilizzata correttamente. Anche il software più evoluto può risultare insufficiente se gli utenti condividono le credenziali, se le segnalazioni vengono esportate senza protezione oppure se possono accedervi persone non autorizzate.

Allo stesso modo, una procedura aziendale formalmente corretta non può compensare le carenze di uno strumento che espone l’identità del segnalante, registra dati non necessari o non consente di gestire le comunicazioni in maniera riservata.

Email e PEC possono essere utilizzate per il whistleblowing?

Uno degli errori più frequenti consiste nell’attivare il canale interno attraverso un normale indirizzo email o una casella PEC dedicata.

Il problema non riguarda soltanto il contenuto dei messaggi. I sistemi di posta elettronica generano e conservano normalmente metadati, indirizzi del mittente, log di accesso, informazioni sui dispositivi e dati relativi alla trasmissione. Questi elementi potrebbero consentire di risalire direttamente o indirettamente all’identità della persona che effettua la segnalazione.

Nel proprio parere sulle Linee Guida ANAC relative ai canali interni, il Garante per la protezione dei dati personali ha evidenziato che la posta elettronica ordinaria o certificata è, di per sé, inadeguata a garantire la riservatezza del segnalante, salvo l’adozione di specifiche contromisure individuate e giustificate nell’ambito della valutazione d’impatto.

Una piattaforma dedicata permette invece di adottare misure più rigorose, come la cifratura delle informazioni, la separazione degli accessi, l’utilizzo di codici o token e la comunicazione riservata tra il gestore e il segnalante.

I 15 requisiti da verificare prima di scegliere il software

Non tutte le caratteristiche riportate nelle offerte commerciali corrispondono a obblighi espressamente indicati dalla legge. Alcune rappresentano requisiti normativi, altre sono misure tecniche e organizzative necessarie per dimostrare che il sistema è adeguato ai rischi.

La seguente checklist può essere utilizzata per confrontare diverse piattaforme oppure per verificare il software già adottato dall’organizzazione.

Protezione dell’identità del segnalante
Il sistema deve impedire che l’identità della persona segnalante venga conosciuta da soggetti diversi da quelli autorizzati a ricevere o gestire la segnalazione. La protezione deve riguardare non soltanto il nome, ma anche tutte le informazioni dalle quali l’identità potrebbe essere ricavata indirettamente.
Riservatezza delle persone coinvolte
La tutela non riguarda esclusivamente il segnalante. Devono essere protetti anche la persona segnalata, gli eventuali facilitatori, i testimoni e gli altri soggetti menzionati. Per comprendere meglio questo equilibrio è possibile approfondire quando e con quali garanzie può essere informata la persona segnalata.
Separazione tra identità e contenuto della segnalazione
Quando la segnalazione è nominativa, è opportuno che i dati identificativi siano separati dal contenuto e resi disponibili soltanto quando realmente necessario. In questo modo si riduce il rischio che chi svolge una prima valutazione possa conoscere informazioni personali non indispensabili.
Accessi profilati per ruolo
Ogni utente deve poter visualizzare esclusivamente le informazioni necessarie allo svolgimento del proprio incarico. Amministratori, gestori del canale, componenti dell’Organismo di Vigilanza e altri eventuali soggetti non dovrebbero disporre automaticamente degli stessi permessi.
Autenticazione forte e protezione degli account
La disponibilità dell’autenticazione a due fattori rappresenta un’importante misura di sicurezza per gli account che possono accedere alle segnalazioni. Una password compromessa non dovrebbe essere sufficiente per consultare contenuti particolarmente riservati.
Cifratura dei dati
È necessario verificare come vengono protetti i dati durante la trasmissione e durante la conservazione. Non basta la presenza del lucchetto HTTPS: il fornitore dovrebbe spiegare quali informazioni vengono cifrate, dove sono custodite le chiavi e quali soggetti possono tecnicamente accedere ai contenuti.
Non tracciabilità del segnalante
La piattaforma non dovrebbe raccogliere dati tecnici non necessari che possano identificare il segnalante. L’organizzazione deve valutare anche eventuali log prodotti dalla rete aziendale, dai firewall, dai proxy o dagli altri sistemi coinvolti nel collegamento al canale.
Segnalazioni scritte e modalità orale
Il D.Lgs. 24/2023 prevede la possibilità di presentare segnalazioni in forma scritta e orale. L’organizzazione deve quindi verificare se la piattaforma consente di inviare messaggi vocali oppure se la modalità orale viene garantita attraverso un diverso sistema conforme e riservato.
Comunicazione bidirezionale riservata
Il gestore deve poter chiedere chiarimenti, acquisire documenti e aggiornare il segnalante senza costringerlo a utilizzare l’email personale o aziendale. Questo requisito è particolarmente importante quando la segnalazione è anonima.
Gestione delle scadenze
La piattaforma dovrebbe aiutare il gestore a rispettare i termini previsti dalla normativa, compreso l’avviso di ricevimento entro sette giorni e il riscontro entro tre mesi. Avvisi, promemoria e dashboard riducono il rischio che una segnalazione rimanga senza seguito.
Gestione sicura degli allegati
Documenti, immagini, registrazioni e altri file possono contenere dati personali o informazioni riservate. Occorre verificare come vengono caricati, conservati, analizzati, scaricati e cancellati, oltre alla presenza di controlli contro file potenzialmente dannosi.
Tracciabilità delle attività del gestore
Il sistema dovrebbe documentare le principali operazioni compiute dagli utenti autorizzati: accessi, assegnazioni, cambi di stato, risposte e attività istruttorie. La tracciabilità deve riguardare la gestione della pratica senza trasformarsi in uno strumento di identificazione del segnalante.
Conservazione e cancellazione dei dati
Le segnalazioni e la relativa documentazione devono essere conservate soltanto per il tempo necessario alla loro gestione e, comunque, non oltre il limite previsto dalla normativa. La piattaforma dovrebbe consentire di applicare tempi di conservazione, cancellazioni controllate e procedure documentabili.
Separazione tra aziende e organizzazioni
Nei software SaaS utilizzati da più clienti, i dati di ciascuna organizzazione devono essere rigorosamente separati. Un utente appartenente a un’azienda non deve poter visualizzare ticket, allegati, utenti o configurazioni riferibili a un’altra realtà, neppure modificando manualmente un indirizzo web o un identificativo.
Garanzie del fornitore e conformità GDPR
Il fornitore deve indicare dove sono conservati i dati, quali subfornitori utilizza, quali misure di sicurezza applica e come gestisce backup, incidenti e continuità del servizio. Quando tratta dati per conto del cliente, deve inoltre essere disciplinato il rapporto ai sensi dell’art. 28 GDPR.

Privacy, DPIA e responsabilità del titolare del trattamento

L’adozione di una piattaforma esterna non trasferisce automaticamente al fornitore tutte le responsabilità privacy.

L’azienda o l’ente che istituisce il canale rimane normalmente titolare del trattamento e deve definire finalità, modalità di gestione, tempi di conservazione, soggetti autorizzati e misure di sicurezza. Il fornitore della piattaforma può assumere il ruolo di responsabile del trattamento, sulla base di un contratto che disciplini puntualmente le attività svolte.

Prima dell’attivazione è inoltre necessario valutare i rischi per i diritti e le libertà delle persone interessate. Questa analisi deve considerare la particolare delicatezza delle informazioni trattate, la possibilità di ritorsioni, l’eventuale identificazione indiretta del segnalante e le conseguenze di un accesso non autorizzato.

Per approfondire questi aspetti è disponibile la guida dedicata a whistleblowing, dati personali e misure di protezione.

Le domande da rivolgere al fornitore

Prima di sottoscrivere un contratto è consigliabile chiedere risposte documentate, evitando di basarsi esclusivamente su espressioni generiche come “sistema sicuro”, “GDPR compliant” o “anonimato garantito”.

Domanda	Cosa verificare
Dove sono conservati i dati?	Paese, infrastruttura, provider cloud ed eventuali trasferimenti fuori dallo Spazio economico europeo.
Chi può accedere alle segnalazioni?	Permessi degli utenti, accessi del personale tecnico e procedure utilizzate per l’assistenza.
È disponibile la 2FA?	Autenticazione a due fattori per gestori, amministratori e altri utenti autorizzati.
Come viene protetta l’identità?	Separazione dei dati identificativi, cifratura e limitazione degli accessi.
Il segnalante può restare anonimo?	Assenza di raccolta non necessaria di indirizzi IP, metadati o informazioni sul dispositivo.
Come viene garantita la modalità orale?	Messaggistica vocale, registrazione protetta o integrazione con un diverso canale conforme.
È possibile dialogare senza email?	Codice identificativo, token o area riservata per la comunicazione bidirezionale.
Esiste uno storico delle attività?	Operazioni registrate, soggetti autorizzati e protezione dei log.
Come vengono gestiti backup e incidenti?	Continuità operativa, ripristino dei dati, comunicazione delle violazioni e tempi di intervento.
Viene fornito il DPA?	Nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR ed elenco dei sub-responsabili.

Gli errori che possono rendere inefficace il canale

Un sistema whistleblowing può presentare criticità anche quando la piattaforma utilizzata appare completa. Tra gli errori più comuni rientrano:

utilizzare account condivisi tra più gestori;
inoltrare le segnalazioni attraverso normali email;
scaricare gli allegati su computer o cartelle accessibili ad altri utenti;
attribuire all’amministratore aziendale permessi indiscriminati;
non controllare le scadenze previste dalla normativa;
conservare le pratiche senza limiti temporali;
non formare i soggetti incaricati della gestione;
non aggiornare la procedura dopo la sostituzione del software;
non documentare le valutazioni privacy e di sicurezza;
non coinvolgere le rappresentanze sindacali quando richiesto.

La scelta o la sostituzione della piattaforma può infatti comportare anche la necessità di aggiornare la procedura interna e di rinnovare la consultazione delle rappresentanze o delle organizzazioni sindacali.

Come GuardianVox supporta la gestione delle segnalazioni

GuardianVox è una piattaforma SaaS sviluppata per la gestione dei canali di whistleblowing, delle segnalazioni relative alla parità di genere e dei flussi destinati all’Organismo di Vigilanza.

La piattaforma mette a disposizione funzionalità dedicate alla ricezione e alla gestione delle segnalazioni, tra cui:

segnalazioni scritte e vocali;
possibilità di presentare segnalazioni anonime o identificate;
comunicazione bidirezionale protetta tramite token;
autenticazione a due fattori per gli utenti autorizzati;
accessi e notifiche differenziati in base al ruolo;
gestione delle scadenze previste dalla normativa;
dashboard per il monitoraggio delle pratiche;
report e documentazione delle attività svolte;
supporto nella configurazione iniziale del canale.

L’obiettivo non è soltanto mettere a disposizione un modulo per l’invio delle segnalazioni, ma accompagnare l’organizzazione nella creazione di un processo più ordinato, riservato e documentabile.

Come verificare se il canale aziendale è adeguato

La verifica dovrebbe partire da alcune domande semplici:

la nostra organizzazione rientra tra i soggetti obbligati?
il canale consente segnalazioni scritte e orali?
l’identità del segnalante è realmente protetta?
gli accessi sono limitati ai soli soggetti autorizzati?
il gestore riesce a rispettare e documentare le scadenze?
sono stati predisposti procedura, informative e documenti privacy?
la piattaforma è stata valutata nella DPIA?
gli incaricati hanno ricevuto una formazione adeguata?

Per una prima valutazione è possibile effettuare gratuitamente il test di conformità whistleblowing GuardianVox. Il questionario consente di verificare in pochi passaggi se l’organizzazione potrebbe essere soggetta agli obblighi del D.Lgs. 24/2023 e se il canale adottato presenta elementi da approfondire.

Domande frequenti sulla scelta della piattaforma

La piattaforma rende automaticamente conforme l’azienda?

No. Il software è uno degli elementi del sistema. L’organizzazione deve anche individuare il gestore, adottare la procedura, predisporre la documentazione privacy, formare gli incaricati e garantire un seguito effettivo alle segnalazioni.

L’autenticazione a due fattori è obbligatoria?

Il D.Lgs. 24/2023 non indica espressamente una specifica tecnologia di autenticazione. La 2FA rappresenta tuttavia una misura di sicurezza particolarmente importante per proteggere gli account che possono accedere a dati riservati.

La piattaforma deve accettare anche segnalazioni anonime?

La possibilità di presentare una segnalazione anonima costituisce una scelta organizzativa molto utile e può aumentare la fiducia nel canale. Anche le segnalazioni anonime adeguatamente circostanziate dovrebbero essere valutate e gestite secondo le procedure definite dall’organizzazione.

È sufficiente pubblicare il link alla piattaforma sul sito?

No. Le persone interessate devono ricevere informazioni chiare sulle modalità di utilizzo del canale, sulle violazioni segnalabili, sul soggetto che gestisce le comunicazioni e sulle tutele previste dalla normativa.

Per quanto tempo possono essere conservate le segnalazioni?

Le segnalazioni e la relativa documentazione devono essere conservate per il tempo necessario alla loro gestione e, comunque, non oltre cinque anni dalla comunicazione dell’esito finale, nel rispetto dei principi di necessità e proporzionalità.

È possibile sostituire una piattaforma già attiva?

Sì, ma il passaggio deve essere pianificato con attenzione. Occorre valutare la migrazione delle pratiche, la cancellazione dei dati dal precedente fornitore, l’aggiornamento della documentazione privacy, la revisione della procedura e l’eventuale nuova consultazione sindacale.

Conclusioni

La scelta di una piattaforma whistleblowing conforme non dovrebbe essere basata soltanto sul prezzo o sulla presenza di un modulo online. È necessario verificare in che modo il sistema protegge il segnalante, limita gli accessi, gestisce le comunicazioni, conserva le informazioni e supporta il lavoro del soggetto incaricato.

Una valutazione corretta deve considerare contemporaneamente normativa, privacy, sicurezza informatica e organizzazione aziendale. La piattaforma deve integrarsi con le procedure interne e permettere all’organizzazione di dimostrare che le segnalazioni vengono trattate in modo riservato, tempestivo e documentato.

Vuoi verificare concretamente le funzionalità di un canale dedicato? Puoi attivare gratuitamente la demo di GuardianVox e valutare il funzionamento della piattaforma in un ambiente riservato, senza carta di credito e senza impegno.

Le informazioni contenute nell’articolo hanno finalità divulgative e non sostituiscono una valutazione legale, privacy o organizzativa riferita alla situazione specifica dell’azienda o dell’ente.