Ashio whistleblowing software

Oct 1, 2026

Whistleblowing: quanto tempo ho per segnalare una violazione del GDPR?

Whistleblowing: quanto tempo ho per segnalare una violazione del GDPR?

Hai scoperto una violazione di dati e il calendario inizia a correre: 72 ore per il Garante, scadenze precise per il canale interno e il rischio concreto di sanzioni se sbagli i tempi. In Italia, whistleblowing GDPR entro quando segnalare non è una scelta discrezionale: è un incrocio di obblighi determinato dal Regolamento UE 2016/679 (articoli 33 e 34), dal D.Lgs. 196/2003 come aggiornato dal D.Lgs. 101/2018 e dal D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937. Se la violazione mette a rischio persone fisiche, il titolare deve notificare il Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne ha avuto conoscenza, comunicare l'accaduto agli interessati quando il rischio è elevato e, parallelamente, garantire un canale di segnalazione interna che rispetti i tempi del D.Lgs. 24/2023. Questa guida mette in fila numeri, scadenze e prove documentali, così sai esattamente cosa fare ora, entro 24 ore, entro 72 ore e entro 30 giorni. Per un quadro d'insieme sulle regole italiane ed europee puoi consultare la pagina dedicata su GDPR e whistleblowing in Italia.

Indice

Punti chiave

  • La notifica al Garante della protezione dei dati personali scade 72 ore dall'avvenuta conoscenza della violazione (art. 33 GDPR), con possibilità di notifica "a fasi" se le informazioni complete non sono ancora disponibili.
  • La comunicazione agli interessati (art. 34 GDPR) è obbligatoria solo quando la violazione presenta un rischio elevato per i loro diritti e le loro libertà, e va fatta "senza ingiustificato ritardo".
  • Il D.Lgs. 24/2023 prevede un canale interno con conferma di ricezione entro 7 giorni e riscontro al segnalante entro 3 mesi, termine che può essere esteso fino a 6 mesi nei casi complessi.
  • Un registro delle violazioni datato e coerente è la prova decisiva in caso di ispezione: traccia orari, decisori, contenuti delle notifiche e giustificativi di eventuali ritardi.

Entro quanti giorni posso (o devo) segnalare una violazione GDPR in Italia?

Per le violazioni dei dati personali il termine ordinario è 72 ore dal momento in cui il titolare ne ha avuto conoscenza (art. 33, par. 1, GDPR); la notifica al Garante per la protezione dei dati personali è obbligatoria quando la violazione è "suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche" e va presentata per via telematica attraverso il portale dedicato del Garante. Se le informazioni complete non sono ancora disponibili, è ammessa una notifica iniziale "a fasi" seguita da integrazioni documentate: meglio una notifica incompleta nei tempi che una completa in ritardo.

Parallelamente alla notifica, il titolare deve valutare se la violazione comporta un rischio "elevato" e, in tal caso, comunicarla senza ingiustificato ritardo agli interessati, usando un linguaggio chiaro e descrivendo natura, conseguenze probabili e misure di mitigazione (art. 34 GDPR). Sono previste esenzioni quando i dati erano protetti da misure tecniche e organizzative adeguate (crittografia, pseudonimizzazione) o quando la comunicazione richiederebbe sforzi sproporzionati, purché si agisca con un comunicato pubblico equivalente.

Sul fronte whistleblowing, il D.Lgs. 24/2023 ha introdotto per i canali interni un diverso calendario, calibrato non sul data breach ma sulla segnalazione di violazioni del diritto dell'Unione: conferma di ricezione al segnalante entro 7 giorni, riscontro sull'esito entro 3 mesi (prorogabili fino a 6 mesi per violazioni di particolare complessità). Se l'azienda non ha ancora istituito un canale idoneo, l'ANAC può irrogare sanzioni amministrative e, nei casi più gravi, il Garante può aprire un autonomo procedimento.

In sintesi, la domanda "whistleblowing tempi segnalazione" ha due risposte che convivono: 72 ore per la notifica del data breach al Garante, 7 giorni + 3 mesi per il riscontro al segnalante interno. Confonderli è l'errore più frequente nelle PMI, anche perché i due obblighi spesso decorrono dallo stesso evento.

Cosa succede se scopro la violazione di venerdì sera o in ferie?

Il termine delle 72 ore non si sospende nel weekend o nei giorni festivi: decorre dalla "conoscenza" effettiva da parte del titolare o del responsabile, ed è indifferente che il DPO sia in ferie. Per questo le organizzazioni che gestiscono dati personali su larga scala designano un gruppo di reperibilità (spesso coincidente con il CSIRT aziendale o con il CERT interno) con delega formale alla notifica. Una procedura scritta, approvata prima dell'incidente, è ciò che distingue un'organizzazione compliance-ready da una che improvvisa nel panico.

La notifica "tardiva" è sempre sanzionata?

No, ma deve essere giustificata. L'art. 33, par. 1, GDPR prevede esplicitamente che la notifica possa avvenire "in più fasi senza ingiustificato ritardo". La giurisprudenza e le linee guida dell'EDPB (European Data Protection Board) convergono su un principio: ciò che viene valutato non è solo il ritardo in sé, ma la diligenza del titolare, cioè la capacità di dimostrare log, decisioni e tentativi di notifica entro la scadenza.

Qual è la differenza tra notifica al Garante, comunicazione agli interessati e segnalazione whistleblowing?

I tre adempimenti hanno natura, base normativa e destinatari diversi, e spesso vengono confusi anche da chi si occupa di compliance da anni. La notifica al Garante è l'adempimento degli artt. 33 GDPR e 26 del D.Lgs. 101/2018: il titolare comunica l'evento all'autorità di controllo, descrive categorie di interessati e di dati coinvolti, stima le conseguenze e indica le misure adottate o proposte. La comunicazione agli interessati (art. 34 GDPR) è invece un obbligo verso le persone fisiche i cui dati sono stati coinvolti, e si attiva solo quando la violazione presenta un rischio "elevato" per i loro diritti.

La segnalazione whistleblowing, disciplinata in Italia dal D.Lgs. 24/2023, ha un perimetro più ampio: riguarda violazioni del diritto dell'Unione europea in settori specifici (appalti pubblici, servizi finanziari, sicurezza dei prodotti, ambiente, privacy, reti e sistemi informativi, tra gli altri). Non è una notifica di data breach: è un canale attraverso cui dipendenti, collaboratori, azionisti, ma anche fornitori e clienti, possono segnalare comportamenti illeciti. Le due discipline si toccano quando la violazione segnalata riguarda proprio la protezione dei dati personali: in quel caso l'azienda riceve una segnalazione whistleblowing e, se i fatti configurano un data breach, apre anche il conto delle 72 ore.

Una buona regola pratica: la notifica al Garante e la comunicazione agli interessati sono obblighi del titolare verso l'esterno; la segnalazione whistleblowing è un diritto del segnalante verso l'interno dell'ente. Hanno tempi diversi, moduli diversi, autorità diverse (Garante per la privacy, ANAC per le segnalazioni whistleblowing) e sanzioni diverse. Tenerli separati in mappa è il primo passo per non perderne uno.

Quando la segnalazione whistleblowing fa scattare anche la notifica GDPR?

Quando il fatto segnalato integra una violazione di dati personali ai sensi dell'art. 4, n. 12, GDPR: perdita di riservatezza, integrità o disponibilità di dati personali. In quel caso il titolare che riceve la segnalazione deve contestualmente (a) gestire la pratica whistleblowing nei tempi del D.Lgs. 24/2023 e (b) valutare se notificare il Garante entro 72 ore. Le due attività vanno documentate con evidenze separate ma coerenti, perché l'ANAC e il Garante possono incrociare i fascicoli in caso di ispezione.

Cosa si intende per violazione del diritto dell'Unione rilevante ai fini del D.Lgs. 24/2023?

L'art. 2 del D.Lgs. 24/2023 elenca gli atti e le aree che costituiscono "violazioni del diritto dell'Unione" rilevanti ai fini della disciplina whistleblowing: appalti pubblici, servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei prodotti, sicurezza dei trasporti, tutela dell'ambiente, radioprotezione e sicurezza nucleare, sicurezza degli alimenti, salute pubblica, protezione dei consumatori, tutela della vita privata e dei dati personali, sicurezza delle reti e dei sistemi informativi. La lista non è tassativa in senso stretto: il legislatore italiano ha incluso anche atti della normativa nazionale che ledono interessi finanziari dello Stato, reati fiscali, reati di responsabilità amministrativa degli enti ex D.Lgs. 231/2001, e violazioni della normativa in materia di concorrenza e aiuti di Stato.

La "violazione del diritto dell'Unione" non coincide automaticamente con un illecito penale o amministrativo: copre anche condotte che ledono l'interesse pubblico, l'integrità della pubblica amministrazione o il corretto funzionamento del mercato interno. Le linee guida dell'ANAC (Delibera n. 311/2023) chiariscono che la segnalazione deve essere "circostanziata", cioè basata su elementi di fatto verificabili, e che le segnalazioni generiche o basate su meri sospetti non rientrano nell'ambito di applicazione della tutela rafforzata.

In concreto, per una PMI italiana che tratta dati personali, gli ambiti più rilevanti sono protezione dei dati, sicurezza delle reti (es. attacchi ransomware con esfiltrazione), reati finanziari e violazioni della normativa 231. Una buona policy interna definisce esempi e controesempi per aiutare i dipendenti a inquadrare le situazioni, evitando sia l'effetto "tutto è segnalabile" sia l'effetto opposto "nulla è rilevante".

La violazione del D.Lgs. 24/2023 include anche i reati tributari?

Sì, dal 17 luglio 2023, data di entrata in vigore del D.Lgs. 24/2023, l'art. 2, co. 1, lett. a) include tra le violazioni rilevanti gli "illeciti civili e amministrativi" che ledono interessi finanziari pubblici, e il legislatore ha successivamente precisato (con la L. 24/2024 di conversione del D.L. 13/2024) che l'ambito si estende anche a talune fattispecie di reati tributari, seppure con limiti soggettivi precisi. Per le PMI è essenziale aggiornare la mappatura dei rischi alla luce di queste novità, perché una violazione tributaria rilevante non gestita può aprire due filoni paralleli: quello whistleblowing interno e quello dell'Agenzia delle Entrate.

Come documentare i tempi della segnalazione per dimostrare la compliance in caso di ispezione?

La documentazione è la prova regina in caso di accertamento: il Garante, l'ANAC e la Guardia di Finanza valutano la qualità dei registri, non la buona fede dichiarata. Una buona tenuta documentale poggia su quattro pilastri: (1) un registro dei data breach con timestamp, descrizione dell'evento, categorie di dati e interessati coinvolti, misure adottate e stato; (2) un registro delle segnalazioni whistleblowing distinte per pratica, con data di ricezione, conferma al segnalante, decisioni intermedie e riscontro finale; (3) i log tecnici dei sistemi (SIEM, EDR, firewall, e-mail gateway) con conservazione coerente con la normativa; (4) le decisioni documentate del titolare o del Comitato privacy, con motivazione di scelte e ritardi.

Le linee guida WP250 (Gruppo di lavoro art. 29) e le successive decisioni dell'EDPB raccomandano una narrativa continua: cosa è successo, quando è stato scoperto, chi ha fatto cosa, con quali strumenti, entro quali termini, con quali esiti. Una buona traccia non è un modulo prestampato ma una catena di eventi ricostruibile a posteriori da un soggetto esterno, anche a distanza di anni.

In sede di ispezione, l'autorità chiederà in particolare: la data esatta di "conoscenza" della violazione, la prova della notifica al Garante (o delle ragioni di un ritardo), la coerenza tra la notifica GDPR e l'eventuale segnalazione whistleblowing, le evidenze delle misure tecniche (crittografia, segmentazione di rete, backup) e organizzative (formazione, policy, BCP/DRP) adottate prima dell'evento. Le organizzazioni che mantengono un registro immutabile e firmato elettronicamente partono con un vantaggio probatorio decisivo.

Quali evidenze tecniche conservare a supporto della notifica?

Hash dei file, dump di rete, log di accesso, screenshot di configurazioni errate, output di script di analisi forense, e-mail di alert: tutto ciò che attesta lo stato dei sistemi al momento dell'evento e nei giorni successivi. Le linee guida ENISA sulla gestione degli incidenti raccomandano di conservare le evidenze per almeno un anno dalla chiusura della pratica, termine innalabile in caso di contenzioso o indagine penale. In ambito whistleblowing, il D.Lgs. 24/2023 prevede che i dati personali del segnalante e del segnalato siano conservati per il tempo necessario al trattamento della segnalazione e comunque non oltre 5 anni dalla comunicazione dell'esito finale.

Quali sanzioni rischio se ritardo la notifica oltre le 72 ore o se non la documento?

Le sanzioni si muovono su due binari paralleli e cumulabili. Sul piano GDPR, l'art. Sul piano whistleblowing, l'art. 21 del D.Lgs. 24/2023 prevede sanzioni amministrative da 10.000 a 50.000 euro per gli enti privati che non istituiscono il canale o che non garantiscono la riservatezza dell'identità del segnalante. L'ANAC applica le sanzioni whistleblowing; il Garante quelle privacy; l'azione di una autorità non esclude l'altra.

Il rischio non è solo pecuniario. Una violazione mal gestita produce danno reputazionale (specie se la notizia filtra prima della comunicazione ufficiale), perdita di fiducia di clienti e partner, obblighi di risarcimento civile verso gli interessati ex art. 82 GDPR, e potenziali profili di responsabilità penale per gli amministratori (art. 24 D.Lgs. 231/2001 nei reati presupposto che includano frodi o violazioni della normativa sui dati). Inoltre, le sanzioni ANAC vengono pubblicate sul sito dell'Autorità, con effetti reputazionali duraturi.

La quantificazione della sanzione GDPR dipende da alcuni parametri noti: gravità della violazione, natura dei dati coinvolti (particolari ex art. 9, giudiziari ex art. 10, di minori), numero di interessati, durata della violazione, cooperazione con l'autorità, misure tecniche preesistenti. Una notifica puntuale, completa e seguita da un piano di remediation riduce l'importo della sanzione anche in caso di violazione grave. Una notifica tardiva ma accompagnata da giustificazioni documentate può limitare l'aumento; un'assenza totale di notifica, invece, è quasi sempre aggravante.

Qual è la differenza tra sanzione GDPR e sanzione whistleblowing?

La sanzione GDPR colpisce la violazione di dati personali (data breach) e arriva fino al 4% del fatturato globale; la sanzione whistleblowing colpisce l'inosservanza degli obblighi del canale (mancata istituzione, mancata tutela della riservatezza, ritardo nel riscontro al segnalante) ed è di importo fisso, con tetto a 50.000 euro. In caso di violazione ampia, le due sanzioni possono sommarsi, ma vengono applicate da autorità diverse con procedimenti distinti.

Workflow operativo: cosa fare ora, entro 24h, entro 72h e entro 30 giorni

Workflow operativo: cosa fare ora, entro 24h, entro 72h e entro 30 giorni Un workflow chiaro è la differenza tra un incidente che si gestisce e un incidente che diventa una crisi. Di seguito la sequenza operativa ragionata per una PMI italiana, calibrata sui tempi di legge e sulle best practice ENISA.

Ora (T0): scoperta e contenimento. Appena si sospetta un data breach, il team IT isola i sistemi coinvolti, preserva le evidenze (snapshot, log, dump di memoria), attiva il piano di risposta e informa il DPO e il legale rappresentante. Se l'evento è confermato, parte il cronometro delle 72 ore.

Entro 24 ore (T+24h): prima notifica interna e prime evidenze. Il DPO (o il responsabile designato) predispone la notifica al Garante con le informazioni disponibili: natura della violazione, categorie di dati e di interessati, numero (anche approssimativo) di persone coinvolte, conseguenze probabili, misure adottate. Viene informato il Comitato privacy e, se previsto, l'ANAC per il canale whistleblowing. Si attiva la comunicazione interna al personale, con istruzioni su cosa dire e cosa non dire all'esterno.

Entro 72 ore (T+72h): notifica formale al Garante. La notifica viene inoltrata tramite il portale del Garante per la protezione dei dati personali, con tutte le informazioni richieste dall'art. 33, par. 3, GDPR. Se mancano dettagli, si notifica ciò che è noto e si documenta la necessità di integrazioni successive. Contemporaneamente si valuta se la violazione comporta rischio elevato per gli interessati e, in tal caso, si avvia la comunicazione ex art. 34 GDPR.

Entro 7 giorni (T+7gg): conferma al segnalante whistleblowing. Se l'evento è emerso da una segnalazione whistleblowing, il gestore del canale invia conferma di ricezione al segnalante, in linea con l'art. 5 del D.Lgs. 24/2023.

Entro 30 giorni (T+30gg): riscontro al segnalante e remediation. Il riscontro al segnalante whistleblowing deve intervenire entro 3 mesi, ma è buona prassi accelerare per i casi meno complessi. Contestualmente, l'organizzazione attua le misure correttive: patch di sicurezza, revisione dei processi, formazione, aggiornamento delle policy, e tiene traccia di tutto in un registro immutabile.

Questo schema è una bussola, non un obbligo: ogni incidente ha la sua firma e le sue priorità. La regola aurea è che il workflow deve essere scritto prima dell'incidente, non dopo.

Esempio pratico: furto di laptop aziendale con dati non cifrati

Lunedì mattina un dipendente segnala il furto del portatile aziendale avvenuto venerdì sera. Il laptop contiene un database clienti in chiaro. Il T0 coincide con la segnalazione del dipendente (lunedì mattina, ore 9). Il team IT verifica la mancanza di cifratura disco (T+3 ore), isola l'account aziendale (T+4 ore), apre la pratica di data breach (T+5 ore). Il DPO notifica il Garante lunedì pomeriggio (T+8 ore), ben dentro le 72 ore, e valuta se comunicare ai clienti: trattandosi di database in chiaro, il rischio è elevato e si attiva la comunicazione ex art. 34 GDPR entro martedì. Le evidenze del furto (denuncia, ricevuta, log di accesso da remoto) vengono allegate. La pratica si chiude in 25 giorni con un nuovo inventario dei dispositivi e una policy di cifratura obbligatoria.

Come un canale interno conforme (art. 12 D.Lgs. 24/2023) dimezza il rischio di sforare i tempi

Un canale interno ben progettato non è solo un obbligo normativo: è un moltiplicatore di velocità e di qualità nella gestione degli incidenti. Quando un dipendente, un fornitore o un cliente può segnalare un sospetto data breach in modo riservato e tracciato, l'organizzazione guadagna ore preziose sulla decorrenza del termine delle 72 ore, perché la conoscenza "formale" della violazione scatta al momento della ricezione della segnalazione, non a quello del danno manifestato.

L'art. 12 del D.Lgs. 24/2023 richiede che il canale sia: gestito da una persona o un ufficio autonomo e dedicato, idoneo a garantire la riservatezza dell'identità del segnalante e di tutti i soggetti menzionati, progettato per impedire accessi non autorizzati, e in grado di documentare integralmente la lavorazione. Nelle PMI queste funzioni sono spesso concentrate nel DPO, nel responsabile compliance o in un Comitato trasversale. La scelta del mezzo tecnico è meno importante del processo: conta che il canale sia (a) raggiungibile, (b) anonimo o riservato, (c) tracciato, (d) presidiato da qualcuno con delega a intervenire.

Un canale che rispetta questi tre parametri riduce drasticamente il rischio di contestazione in caso di ispezione, perché dimostra che l'organizzazione ha strutturato un processo e lo ha eseguito con diligenza.

Per le organizzazioni che non dispongono di risorse interne dedicate, esistono soluzioni software pensate per gestire l'intero ciclo della segnalazione: ricezione, presa in carico, comunicazione con il segnalante, scadenze, registro immutabile. Ashio è una di queste: una piattaforma pensata per aziende italiane ed europee che vogliono un canale di whistleblowing conforme al D.Lgs. 24/2023 e al GDPR by design, senza costruire un'infrastruttura da zero. Per chi invece ha un team IT strutturato e vuole tenere tutto in casa, è altrettanto legittimo costruire un canale su misura, purché rispetti i requisiti di autonomia, riservatezza e tracciabilità richiesti dalla legge.

Quale canale è adatto a una PMI con meno di 50 dipendenti?

Per le micro e piccole imprese, il D.Lgs. 24/2023 consente di condividere il canale tra più aziende o di avvalersi di soggetti esterni (inclusi i canali delle associazioni di categoria). L'opzione "canale condiviso" riduce i costi ma richiede un accordo scritto che definisca responsabilità, flussi e misure di sicurezza. L'opzione "canale interno dedicato" è più costosa ma offre maggiore controllo e tempi di reazione più rapidi. La scelta dipende dal volume atteso di segnalazioni, dalla complessità dei processi aziendali e dal settore di attività (enti regolati hanno spesso obblighi specifici).

Come si misura l'efficacia del canale nel tempo?

Attraverso audit interni periodici, test di penetrazione del canale, simulazioni di segnalazione e revisione della reportistica. Le linee guida ANAC suggeriscono di pubblicare nella relazione annuale (per i soggetti obbligati) il numero di segnalazioni ricevute, gli esiti e le misure adottate, in forma anonima e aggregata. Un canale che non viene testato è un canale che può non funzionare quando serve.

Domande frequenti

La notifica al Garante scade esattamente a 72 ore o c'è tolleranza?

Il termine delle 72 ore è rigido: l'art. 33 GDPR prevede esplicitamente che la notifica avvenga "ove possibile, non oltre 72 ore". La prassi del Garante riconosce una tolleranza limitata solo in presenza di ragioni oggettive documentate (ferie del DPO, indisponibilità prolungata dei sistemi, calamità), purché la notifica avvenga "senza ingiustificato ritardo" e venga fornita prova delle circostanze. La regola operativa è: notificare ciò che si sa entro 72 ore, anche in via preliminare, e integrare successivamente.

Devo comunicare la violazione anche se i dati erano cifrati?

No, l'art. 34, par. 3, lett. a), GDPR esonera dalla comunicazione agli interessati quando il titolare ha adottato misure tecniche e organizzative adeguate a proteggere i dati (in particolare la cifratura) che rendono i dati incomprensibili a chiunque non sia autorizzato. La notifica al Garante è comunque dovuta, ma con le informazioni ridotte al minimo. La cifratura deve essere "effettiva" (chiavi non compromesse, algoritmo robusto) per beneficiare dell'esenzione.

Cosa rispondo al segnalante entro 7 giorni se l'indagine è ancora aperta?

L'art. 5, co. 1, lett. e), del D.Lgs. 24/2023 richiede una "comunicazione di ricezione" della segnalazione entro 7 giorni, non già una risposta di merito. La comunicazione di ricezione è una conferma formale, che può limitarsi ad attestare l'avvenuta presa in carico e indicare il riferimento della pratica. Il riscontro di merito arriverà entro 3 mesi (o 6 nei casi complessi) e potrà descrivere lo stato dell'istruttoria, l'esito o i prossimi passi.

Il canale whistleblowing può essere lo stesso del canale privacy?

Sì, ma solo se il canale è progettato per gestire entrambi i flussi con le rispettive garanzie. In pratica, conviene separarli per evitare confusione: il canale whistleblowing è disciplinato dal D.Lgs. 24/2023 (riservatezza dell'identità del segnalante, divieto di ritorsioni), il canale privacy (es. richieste di esercizio dei diritti ex artt. 15–22 GDPR) ha tempi e modalità diverse. Una soluzione unificata è possibile solo se il sistema gestisce correttamente entrambi i regimi, con tracciamenti separati.

Se ritardo la notifica al Garante per attendere l'esito delle indagini interne, è sanzionabile?

Sì, è una delle cause più frequenti di sanzione. Le linee guida EDPB e la prassi del Garante sono chiare: la notifica entro 72 ore è un obbligo autonomo, non subordinato ai risultati dell'indagine. Si notifica ciò che è noto, si dichiara che sono in corso approfondimenti, e si integra successivamente. Aspettare "per avere il quadro completo" è una violazione autonoma che si aggiunge a quella originaria.

Fonti