Pubblicata il Lettura: 8 minutiDi Claudio Marfia, co-fondatore di Riverloop
In breve. Il D.Lgs. 24/2023 obbliga ad avere un canale interno di segnalazione le imprese private con almeno 50 dipendenti in media nell'ultimo anno, quelle dei settori regolati dal diritto europeo a prescindere dalle dimensioni e quelle che hanno adottato un Modello 231. Il canale deve garantire riservatezza, rilasciare un avviso di ricevimento entro 7 giorni e un riscontro entro 3 mesi. L'ANAC sanziona da 10.000 a 50.000 euro.
La disciplina italiana del whistleblowing, che recepisce la Direttiva europea 2019/1937, è pienamente applicabile alle imprese private dal 17 dicembre 2023. Molte piccole e medie imprese non sanno di rientrarvi, o credono che basti una casella email. Questa guida spiega chi è obbligato, cosa serve davvero e come si fa, con l'esempio del canale che abbiamo attivato noi.
Chi è obbligato nel settore privato
Devono istituire il canale interno i soggetti del settore privato che:
- hanno impiegato nell'ultimo anno una media di almeno 50 lavoratori subordinati, a tempo determinato o indeterminato;
- operano nei settori indicati dagli atti europei richiamati dal decreto (servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del terrorismo, sicurezza dei trasporti, tutela dell'ambiente), anche con meno di 50 dipendenti;
- hanno adottato un Modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001, anche sotto i 50 dipendenti: in questo caso il canale interno è obbligatorio e le segnalazioni possono riguardare le violazioni del Modello e i reati presupposto.
Le imprese sotto la soglia e senza Modello 231 non sono obbligate, ma possono attivare il canale volontariamente: è una scelta che pesa nei rapporti con clienti pubblici, banche e grandi committenti che chiedono requisiti di compliance ai fornitori.
Cosa deve avere il canale interno
- Riservatezza garantita, anche con strumenti di crittografia, dell'identità del segnalante, delle persone coinvolte, del contenuto e degli allegati.
- Forma scritta e orale: piattaforma o modulo, più la possibilità di un incontro diretto su richiesta del segnalante entro un termine ragionevole.
- Gestione da parte di un soggetto autonomo, interno o esterno, dedicato e formato.
- Informazioni chiare su canale, procedure e presupposti, esposte nei luoghi di lavoro e pubblicate sul sito, accessibili anche a chi non frequenta l'azienda (fornitori, collaboratori).
- Registro e conservazione delle segnalazioni per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell'esito.
- Trattamento dei dati conforme al GDPR, con informativa specifica e valutazione d'impatto.
Una semplice casella email aziendale non basta: è leggibile dall'amministratore di sistema, non separa i ruoli e non garantisce l'anonimato.
Chi gestisce le segnalazioni
Il gestore può essere una persona o un ufficio interno autonomo e formato, oppure un soggetto esterno. Nelle società con Modello 231 è di norma l'Organismo di Vigilanza, che ha già i requisiti di autonomia e indipendenza. Chi gestisce il canale non deve avere conflitti di interesse con le aree segnalate e deve essere l'unico ad accedere alle segnalazioni. Il gestore va nominato per iscritto e formato sul decreto e sulle Linee guida ANAC.
Tempi e tutele
- Avviso di ricevimento al segnalante entro 7 giorni.
- Riscontro sull'esito o sullo stato dell'istruttoria entro 3 mesi.
- Divieto di ritorsioni e nullità degli atti ritorsivi; onere della prova a carico del datore di lavoro.
- Tutela estesa a facilitatori, colleghi, familiari ed enti collegati al segnalante.
- Il segnalante che non ottiene riscontro può rivolgersi al canale esterno dell'ANAC.
Sanzioni ANAC
| Violazione | Sanzione |
|---|---|
| Ritorsioni, ostacolo alla segnalazione, violazione della riservatezza | da 10.000 a 50.000 euro |
| Canale non istituito, procedure non conformi, segnalazione non verificata | da 10.000 a 50.000 euro |
| Segnalante condannato per diffamazione o calunnia (anche in primo grado) | da 500 a 2.500 euro |
Adeguarsi in otto passi
- Verifica se rientri nell'obbligo (dipendenti medi, settore, Modello 231).
- Nomina per iscritto il gestore del canale e formalo.
- Scrivi la procedura: ambito, modalità, tempi, riservatezza, conservazione.
- Scegli lo strumento: piattaforma dedicata con anonimato e crittografia, accessibile anche dall'esterno.
- Redigi l'informativa privacy dedicata e la valutazione d'impatto sul trattamento.
- Informa i lavoratori: affissione nei luoghi di lavoro, pubblicazione sul sito, consultazione delle rappresentanze sindacali se presenti.
- Aggiorna il Modello 231, se lo hai, e il sistema disciplinare.
- Tieni il registro delle segnalazioni e verifica il canale almeno una volta l'anno.
Un esempio: il canale di Riverloop
Riverloop S.r.l.s. ha meno di 50 dipendenti ma ha adottato un Modello 231, quindi rientra nell'obbligo. Il canale è pubblicato nella pagina Whistleblowing del sito: modulo con anonimato per impostazione predefinita, senza registrazione dell'indirizzo IP nella segnalazione, codice pratica rilasciato a ogni invio, ricevuta automatica per chi lascia un recapito, trasmissione cifrata alla sola casella dell'Organismo di Vigilanza (Alessandro Colombo), possibilità di incontro diretto. L'informativa in pagina segue la struttura delle Linee guida ANAC, e i reclami sulla qualità dei servizi hanno un modulo separato per non confondere i due canali.
Lo stesso tipo di canale, integrato nel sito o nel gestionale dell'azienda, lo realizziamo per i clienti che devono adeguarsi: parliamone dalla pagina Contattaci.