Whistleblowing:
cosa devono fare le aziende con almeno 50 dipendenti.

“Abbiamo superato i 50 dipendenti: per il whistleblowing basta comprare un software?”

No. Il software aiuta, ma la legge chiede anche una procedura, un gestore, un passaggio con i sindacati e alcuni documenti privacy. Qui trovi chi è obbligato, cosa fare, in che tempi, cosa si rischia e una lista di controllo per metterti in regola.

Cos’è il whistleblowing e cosa si può segnalare.

Il whistleblowing è la segnalazione di illeciti scoperti sul lavoro da chi lavora nell’impresa o con l’impresa: dipendenti, collaboratori, consulenti, tirocinanti, soci, amministratori e chi lavora per i fornitori. Lo regola il decreto legislativo 10 marzo 2023, n. 24 (D.Lgs. 24/2023). La legge obbliga alcune aziende ad avere un canale di segnalazione interno (strumenti, persone e regole per gestire le segnalazioni) e protegge chi segnala dalle ritorsioni. Chiede riservatezza, non anonimato: chi segnala può farsi conoscere dal gestore, che però non può rivelarne l’identità.

Nelle aziende con almeno 50 dipendenti si segnalano le violazioni di norme europee in settori precisi, come appalti pubblici, servizi finanziari, ambiente, sicurezza dei prodotti, privacy e concorrenza. Dal 24 gennaio 2026 si aggiungono le violazioni delle sanzioni internazionali dell’Unione europea (le “misure restrittive”). Con il modello 231, cioè il modello organizzativo per prevenire i reati dell’impresa, valgono anche quei reati e le violazioni del modello. Restano fuori le lamentele personali sul proprio rapporto di lavoro.

Chi è obbligato: la soglia dei 50 dipendenti e gli altri casi.

Per le imprese fino a 249 dipendenti l’obbligo vale dal 17 dicembre 2023. I casi li elenca l’art. 2 del decreto.

Come si conta la media dei 50 dipendenti.

• Contano i dipendenti a tempo indeterminato e a tempo determinato.
• Si guarda l’anno solare precedente: nel 2026 conta la media del 2025. Un’impresa appena nata guarda l’anno in corso.
• Per ANAC il dato da usare è il valore medio degli addetti (dati INPS) riportato nella visura camerale.
• Si conta società per società, non sul gruppo.

Esempio: un’azienda di logistica oggi ha 47 dipendenti, ma per gli stagionali estivi la visura riporta una media di 53 addetti nel 2025. Nel 2026 è obbligata. Con molti part-time, somministrati o contratti a chiamata, fai verificare il conteggio.

Cosa devi fare in pratica: il canale di segnalazione interno.

Il canale deve rispettare la legge (art. 4 del decreto) e le linee guida ANAC sui canali interni del novembre 2025. Servono sei cose.

1. 01Segnalazioni scritte e orali.
   Per lo scritto ANAC preferisce una piattaforma con cifratura. Per l’orale bastano una linea telefonica o una segreteria vocale, più un incontro su richiesta.
2. 02Un gestore delle segnalazioni autonomo e formato.
   Una persona o un ufficio interno, oppure un professionista o una società esterna. Il consiglio di amministrazione non deve poter dirigere come gestisce i casi. Prevedi un sostituto per conflitti di interessi e assenze.
3. 03Il passaggio con i sindacati.
   Prima di approvare la procedura informi le rappresentanze sindacali aziendali (RSA o RSU) o, se mancano, le sedi territoriali dei sindacati più rappresentativi. Non serve un accordo, ma senza questo passaggio, per ANAC, la procedura non è conforme.
4. 04Una procedura whistleblowing scritta, approvata dall’organo amministrativo.
   Chi riceve, con quali strumenti, come si verifica, in che tempi, per quanto si conserva. Con il modello 231 va richiamata nel modello.
5. 05Informazioni chiare su come e a chi segnalare, anche all’ANAC: in bacheca, accessibili a consulenti e fornitori e in una sezione del sito.
6. 06Formazione del gestore e informazione al personale.

Nei gruppi, le società con in media fino a 249 dipendenti possono condividere il canale. Le più grandi possono affidarne la gestione a un soggetto esterno, che per ANAC può essere anche la capogruppo.

I tempi da rispettare.

Per ANAC i tre mesi non sono un termine perentorio: se le verifiche durano di più puoi andare oltre, ma l’esito va comunicato.

Riservatezza e privacy: dove nascono le sanzioni.

L’identità di chi segnala, e ogni informazione da cui si possa capire chi è, non può arrivare senza il suo consenso a chi non gestisce la segnalazione. Non basta evitare il nome. A settembre 2026 ANAC ha multato di 15.000 euro ciascun membro dell’organo di gestione di una società privata. Nelle verifiche aveva fatto ai colleghi domande che rendevano riconoscibile chi aveva segnalato.

Prima di attivare il canale servono anche:

• la valutazione d’impatto sulla protezione dei dati (DPIA), chiesta espressamente dalla legge (art. 13 del decreto);
• le informative per chi segnala e per le persone coinvolte;
• la nomina a responsabile del trattamento del fornitore o del gestore esterno;
• un accordo di contitolarità, se condividi il canale con altre società.

Per questi documenti puoi farti affiancare da un avvocato esperto di dati e privacy.

Quando il dipendente può segnalare all’ANAC.

Chi segnala può rivolgersi direttamente all’ANAC solo in quattro casi (art. 6 del decreto):

• il canale interno manca o non è conforme;
• la segnalazione interna non ha avuto seguito;
• ci sono fondati motivi per temere che resti senza seguito o porti a ritorsioni;
• la violazione è un pericolo imminente o palese per l’interesse pubblico.

Il primo caso dipende solo da te: un canale fatto male porta le segnalazioni, e i controlli, all’ANAC.

Divieto di ritorsioni: cosa non puoi fare dopo una segnalazione.

Chi segnala non può subire ritorsioni: licenziamento, demansionamento, trasferimento, mancato rinnovo del contratto a termine, note di merito negative, isolamento. La tutela copre anche i colleghi che lo aiutano e i parenti che lavorano con lui.

Il punto più delicato è la prova (art. 17 del decreto). Se il segnalante subisce una misura negativa, si presume che sia una ritorsione: tocca all’azienda dimostrare il contrario. Gli atti ritorsivi sono nulli e chi è licenziato per una segnalazione ha diritto al reintegro.

Esempio: un’azienda contesta dei ritardi a un dipendente due mesi dopo una sua segnalazione. Se i ritardi erano documentati da prima e trattati come quelli degli altri, può difendersi. Se emergono solo dopo, il rischio è alto. Prima di decidere, senti un avvocato esperto di diritto del lavoro.

Sanzioni: quanto rischia l’azienda.

Le applica l’ANAC (art. 21 del decreto) e, secondo le sue linee guida, le paga la persona individuata come responsabile.

Con il modello 231 il sistema disciplinare deve punire anche queste violazioni. Per ANAC un modello non aggiornato perde la sua funzione di difesa.

Lista di controllo per metterti in regola.

1. 01Verifica l’obbligo: media dei dipendenti in visura, settore, modello 231.
2. 02Scegli gli strumenti: piattaforma con cifratura, canale orale, incontro su richiesta.
3. 03Nomina il gestore e il suo sostituto.
4. 04Fai la valutazione d’impatto privacy.
5. 05Prepara informative, nomina del fornitore e autorizzazioni a chi tratta i dati.
6. 06Scrivi la procedura: ricezione, verifiche, tempi, conservazione, conflitti di interessi.
7. 07Informa i sindacati prima dell’approvazione, con un termine per le osservazioni.
8. 08Fai approvare la procedura e aggiorna il modello 231, se c’è.
9. 09Pubblica le informazioni in bacheca e sul sito, compreso il canale ANAC.
10. 10Forma il gestore e informa il personale.
11. 11Aggiorna il codice disciplinare (obbligatorio con il modello 231).
12. 12Tieni un registro delle scadenze: 7 giorni, 3 mesi, 5 anni.

Errori comuni.

1. 01Usare solo una casella email o la PEC, che per ANAC non proteggono abbastanza l’identità di chi segnala.
2. 02Dimenticare il canale orale.
3. 03Saltare i sindacati: la procedura diventa non conforme.
4. 04Scegliere un gestore non indipendente, come chi decide anche i provvedimenti disciplinari.
5. 05Fare verifiche che svelano chi ha segnalato. Bastano domande troppo mirate.
6. 06Contare i dipendenti di oggi invece della media dell’anno precedente.

Quando serve un avvocato.

In un’azienda semplice, buona parte del lavoro si imposta con un fornitore serio e una procedura ben adattata. Serve un avvocato quando:

• non è chiaro se sei obbligato;
• fai parte di un gruppo;
• devi coordinare procedura, modello 231 e privacy;
• arriva una segnalazione sui vertici o che può portare a un licenziamento.

Devi attivare o rivedere il canale di segnalazione? Con Iusful lo segue un avvocato esperto di diritto societario e privacy, che scegli tu. Ci racconti la situazione in venti minuti e ricevi un preventivo scritto in 48 ore, con tempi e costi chiari prima di partire. Parla con un esperto

Se assetti societari, privacy e lavoro ti tornano spesso sul tavolo, ha più senso averli presidiati tutto l’anno: guarda i piani.

Domande frequenti.