Whistleblowing obbligatorio: chi è obbligato e sanzioni

Cos'è il whistleblowing

Il whistleblowing è la segnalazione di illeciti di cui una persona viene a conoscenza nel proprio contesto di lavoro. La disciplina italiana è nel decreto legislativo 10 marzo 2023, n. 24, che ha recepito la direttiva europea 2019/1937.

La legge protegge chi segnala: la sua identità resta riservata e sono vietate le ritorsioni, come licenziamenti, demansionamenti o trasferimenti punitivi. Alle imprese obbligate chiede di organizzare un canale sicuro per ricevere e gestire le segnalazioni.

Chi è obbligato

Il decreto individua tre gruppi di imprese private.

Gruppo	Chi	Cosa si può segnalare
1. Imprese con almeno 50 dipendenti	media di almeno 50 lavoratori subordinati, a tempo indeterminato o determinato, nell'ultimo anno	violazioni del diritto dell'Unione europea indicate dal decreto (appalti, servizi finanziari, ambiente, tutela dei consumatori, privacy, concorrenza e altri settori)
2. Imprese dei settori regolati	imprese che rientrano nelle norme europee elencate nell'allegato al decreto, per esempio servizi e prodotti finanziari, prevenzione del riciclaggio, sicurezza dei trasporti, ambiente	come il gruppo 1, a prescindere dal numero di dipendenti
3. Imprese con modello 231	imprese che hanno adottato un modello di organizzazione e gestione ai sensi del d.lgs. 231/2001	se hanno meno di 50 dipendenti, solo i reati presupposto 231 e le violazioni del modello, con il solo canale interno; dai 50 dipendenti in su, anche le violazioni del diritto europeo

Un'impresa con meno di 50 dipendenti, senza modello 231 e fuori dai settori regolati non è obbligata. Può comunque scegliere di attivare un canale, per esempio per prepararsi a gare o a rapporti con clienti che lo richiedono.

Per calcolare la soglia conta la media dei lavoratori subordinati dell'ultimo anno, sia a tempo indeterminato sia a tempo determinato.

Da quando vale l'obbligo

Le nuove regole si applicano dal 15 luglio 2023. Per le imprese con una media fino a 249 dipendenti l'obbligo di attivare il canale interno è scattato il 17 dicembre 2023.

Non ci sono quindi proroghe in corso: l'obbligo vale per tutte le imprese dei tre gruppi. Un'impresa che supera i 50 dipendenti nel corso del tempo diventa obbligata quando la media dell'ultimo anno raggiunge la soglia.

Cosa deve fare l'impresa

Gli adempimenti principali sono cinque.

Attivare un canale interno di segnalazione, scritto (anche con una piattaforma informatica) e orale (telefono, messaggistica vocale o incontro diretto su richiesta). Il canale deve garantire la riservatezza, anche con la crittografia.
Sentire prima le rappresentanze sindacali previste dalla legge.
Affidare la gestione a una persona o a un ufficio interno autonomo e formato, oppure a un soggetto esterno autonomo e formato.
Rispettare i tempi di gestione: avviso di ricevimento entro 7 giorni e riscontro alla persona segnalante entro 3 mesi.
Informare in modo chiaro su canale, procedure e presupposti per segnalare, anche sul sito dell'impresa se ne ha uno.

Le imprese fino a 249 dipendenti possono condividere il canale interno e la sua gestione con altre imprese, per esempio all'interno di un gruppo.

L'ANAC ha ribadito che la posta elettronica, ordinaria o certificata, non è di per sé adeguata a proteggere l'identità di chi segnala, se non è accompagnata da contromisure specifiche. Per questo si usano di solito piattaforme dedicate. Le Linee guida ANAC n. 1/2025 sui canali interni danno indicazioni operative.

Per le imprese con modello 231, il canale deve essere previsto nel modello e il sistema disciplinare deve punire chi viola le tutele.

Chi può segnalare e che cosa

Possono segnalare non solo i dipendenti, ma anche collaboratori, lavoratori autonomi e consulenti, fornitori, volontari e tirocinanti, soci e amministratori. La tutela vale anche per chi è ancora in fase di selezione, in prova o ha già lasciato l'impresa.

Oltre al canale interno esistono il canale esterno gestito dall'ANAC, la divulgazione pubblica e la denuncia all'autorità giudiziaria, ciascuno con presupposti precisi. Il canale interno resta la via principale: quando funziona bene, permette all'impresa di affrontare il problema per prima.

Le sanzioni

L'ANAC applica sanzioni amministrative a chi è responsabile delle violazioni.

Violazione	Sanzione
Canale di segnalazione non attivato, procedure mancanti o non conformi, segnalazioni non verificate	da 10.000 a 50.000 euro
Ritorsioni, segnalazione ostacolata, violazione della riservatezza	da 10.000 a 50.000 euro
Segnalazione diffamatoria o calunniosa: accertata responsabilità civile del segnalante per dolo o colpa grave, se non c'è già una condanna penale	da 500 a 2.500 euro

A queste si aggiungono le conseguenze civili delle ritorsioni, che sono nulle, e, per le imprese con modello 231, il rischio che un canale inadeguato renda il modello meno difendibile.

Esempi pratici

Impresa	Dipendenti (media ultimo anno)	Modello 231	Settore regolato	Obbligata?
Srl metalmeccanica	62	no	no	sì, gruppo 1
Srl di servizi	22	sì	no	sì, gruppo 3: canale interno per le violazioni 231
Società di intermediazione finanziaria	12	no	sì	sì, gruppo 2
Negozio al dettaglio	30	no	no	no, può attivare il canale volontariamente

La srl metalmeccanica con 62 dipendenti, se non ha ancora un canale, rischia una sanzione da 10.000 a 50.000 euro. È con questo rischio che va confrontato il costo di una piattaforma e di un gestore esterno.

Errori da evitare

Usare la casella email aziendale come canale. Senza contromisure specifiche non garantisce la riservatezza.
Affidare il canale a chi non è autonomo. Il gestore non può essere, per esempio, il titolare o un responsabile coinvolto nelle decisioni sul personale.
Saltare il confronto con i sindacati. Va fatto prima di attivare il canale.
Attivare il canale e dimenticarlo. Avviso entro 7 giorni e riscontro entro 3 mesi sono obblighi di legge.
Non dire a nessuno che il canale esiste. Le informazioni devono essere chiare e facili da trovare.
Pensare che il modello 231 basti da solo. Deve prevedere il canale e un sistema disciplinare collegato.

Riferimenti normativi e di prassi

D.lgs. 10 marzo 2023, n. 24: art. 2, comma 1, lett. q) (soggetti del settore privato); art. 3, comma 2 (ambito di applicazione); art. 4 (canali interni); art. 5 (gestione del canale); art. 21 (sanzioni); art. 24 (decorrenza).
Direttiva (UE) 2019/1937.
D.lgs. 8 giugno 2001, n. 231, art. 6 (modelli di organizzazione e gestione).
ANAC, Linee guida n. 1/2025 sui canali interni di segnalazione (delibera n. 478 del 26 novembre 2025) e delibera n. 479 del 26 novembre 2025, che modifica le Linee guida del 2023 sulle segnalazioni esterne (delibera n. 311 del 12 luglio 2023).

Domande frequenti

Il whistleblowing è obbligatorio per tutte le aziende?

No. È obbligatorio per le imprese private con una media di almeno 50 dipendenti nell'ultimo anno, per quelle dei settori regolati dall'Unione europea elencati nel decreto, a prescindere dalle dimensioni, e per quelle che hanno adottato un modello 231. Le altre imprese possono attivare un canale su base volontaria.

Un'azienda con meno di 50 dipendenti deve avere il whistleblowing?

Solo se ha adottato un modello 231 o se opera in un settore regolato, come i servizi finanziari o la prevenzione del riciclaggio. Con il modello 231 e meno di 50 dipendenti, il canale interno serve per le segnalazioni di reati 231 e violazioni del modello.

Cosa rischia un'impresa che non attiva il canale?

L'ANAC può applicare una sanzione amministrativa da 10.000 a 50.000 euro, che si applica anche quando le procedure non sono conformi o le segnalazioni non vengono verificate. Le stesse sanzioni valgono per ritorsioni e violazioni della riservatezza.

Si può affidare il canale a un soggetto esterno?

Sì. La legge consente di affidare la gestione a un soggetto esterno, purché autonomo e con personale formato. È una soluzione frequente nelle PMI, perché evita conflitti di interesse interni e garantisce competenze nella gestione delle segnalazioni e nei tempi di risposta.

Basta una casella email dedicata?

Di norma no. Secondo l'ANAC la posta elettronica, ordinaria o certificata, non è di per sé adeguata a garantire la riservatezza di chi segnala, se non è accompagnata da contromisure specifiche. Le piattaforme dedicate, con crittografia e accesso riservato, sono la soluzione più diffusa.

Whistleblowing: quali imprese private sono obbligate