Ashio whistleblowing software

Sep 27, 2026

Whistleblowing negli enti pubblici italiani nel 2026: cosa cambia con il D.Lgs. 24/2023 e come attivare il canale

Whistleblowing negli enti pubblici italiani nel 2026: cosa cambia con il D.Lgs. 24/2023 e come attivare il canale

Il D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937, ha introdotto per le pubbliche amministrazioni regole specifiche e più stringenti rispetto al settore privato. Se gestisci un Comune, un'azienda sanitaria locale, una società partecipata o un ente di diritto pubblico con almeno 50 dipendenti, il quadro normativo italiano sul whistleblowing enti pubblici D.Lgs. 24/2023 ti impone di attivare un canale interno, garantire anonimato reale, inoltrare le segnalazioni rilevanti ad ANAC e dimostrare tutto questo in caso di ispezione. Questa guida pratica attraversa i sei punti che un RPCT o un responsabile compliance deve padroneggiare prima di aprire il canale: chi è obbligato, cosa chiede la legge, come deve essere strutturato il canale, quando coinvolgere ANAC, come formare il personale e quali passi operativi completare nei primi 90 giorni.

Indice

Punti chiave

  • Il D.Lgs. 24/2023 si applica a tutte le amministrazioni pubbliche ex D.Lgs. 165/2001 e alle società a controllo o partecipazione pubblica, senza distinzioni dimensionali: sotto i 50 dipendenti si applica un regime semplificato, ma l'obbligo del canale resta.
  • Il canale interno deve essere gestito da una persona o un ufficio autonomo, garantire la riservatezza dell'identità del segnalante e vietare ogni forma di ritorsione, con conferma di ricezione entro sette giorni dalla segnalazione.
  • Le segnalazioni che riguardano illeciti amministrativi, contabili, civili o penali devono essere inoltrate ad ANAC entro i termini previsti, con conservazione dei dati per cinque anni dalla chiusura del procedimento.
  • La formazione dei dipendenti pubblici e l'accessibilità multilingue del canale sono obblighi espliciti, non opzioni.
  • Una checklist operativa in 90 giorni — dalla nomina del gestore alla prima segnalazione test — è lo strumento più efficace per arrivare in tempo all'attivazione richiesta dal legislatore.

Quali enti pubblici sono soggetti al D.Lgs. 24/2023: soglie, esclusioni e società partecipate

Tutte le amministrazioni pubbliche indicate nell'articolo 1, comma 2, del D.Lgs. 30 marzo 2001, n. 165 — Comuni, Province, Regioni, Ministeri, ASL, università, enti pubblici di ricerca, autorità indipendenti — sono soggette al decreto senza alcuna soglia dimensionale. Le società a controllo pubblico, le società in house e gli altri enti di diritto pubblico rientrano nella disciplina solo se hanno almeno 50 dipendenti. Le società partecipate con meno di 50 dipendenti non sono obbligate ad attivare un canale interno proprio, ma quando operano come appaltatori o subappaltatori di un ente soggetto restano vincolate agli obblighi di segnalazione previsti dal codice dei contratti pubblici: un'estensione concreta della platea che spesso sorprende chi deve mappare il perimetro. La distinzione tra soglie dimensionali, tipologie di ente e regimi speciali è il primo passo per evitare di sottovalutare l'obbligo o di estenderlo oltre quanto richiesto dalla norma, con il rischio concreto di sanzioni da parte di ANAC.

Quali enti sono esclusi dal decreto?

Restano esclusi i soggetti che già dispongono di regimi speciali di segnalazione — Forze armate, magistratura, servizi di intelligence — e i soggetti privati con meno di 50 dipendenti, per i quali il legislatore ha previsto un regime semplificato che però non tocca la pubblica amministrazione. Per gli enti pubblici non esiste una soglia minima: anche il Comune più piccolo è obbligato, e la mancata predisposizione del canale è essa stessa una violazione sanzionabile da ANAC. L'esclusione riguarda solo apparati che rispondono a logiche di sicurezza nazionale e ordine pubblico, non enti che erogano servizi ai cittadini.

Come si qualificano le società partecipate?

Una società mista con partecipazione pubblica inferiore alla metà del capitale può essere obbligata se l'ente pubblico esercita un'influenza dominante sugli appalti, sulle nomine o sui bilanci: in questo caso la qualificazione come "società a controllo pubblico" segue l'effettività del controllo, non la percentuale formale. Sul piano pratico, le partecipate che gestiscono servizi pubblici locali — trasporti, rifiuti, acqua — sono quasi sempre soggette, e la verifica va fatta caso per caso sulla base degli statuti e dei patti parasociali. Anche la natura dell'attività svolta rileva: se la società gestisce fondi pubblici o è parte di filiere di appalto pubblico, l'obbligo scatta indipendentemente dalla quota di partecipazione.

Cosa chiede la legge: segnalazioni interne, esterne ad ANAC, obbligo di riservatezza e divieto di ritorsioni

La legge richiede l'attivazione di un canale interno scritto, gestito da una persona o da un ufficio autonomo, che garantisca la riservatezza dell'identità del segnalante, del facilitatore e delle persone coinvolte, e che confermi la ricezione della segnalazione entro sette giorni dall'invio. Il canale esterno gestito da ANAC è sempre disponibile per il segnalante, ma non sostituisce quello interno: l'obiettivo del legislatore è favorire la risoluzione del problema all'interno dell'ente prima di arrivare all'autorità nazionale, con un'architettura a imbuto che privilegia la via interna quando è efficace. L'obbligo di riservatezza copre l'identità del segnalante e ogni informazione da cui possa desumersi, e la sua violazione è sanzionata penalmente. Le ritorsioni — dal licenziamento alla sospensione, dalla retrocessione alle molestie — sono vietate e invertite nell'onere della prova: spetta al datore di lavoro dimostrare che la misura adottata non è ritorsiva. Sul fronte della Direttiva UE sui whistleblower, il quadro europeo fornisce la cornice comune che il legislatore italiano ha poi articolato nel decreto nazionale, con una distinzione importante tra illeciti del settore pubblico e violazioni del diritto UE che va rispettata anche nella tassonomia delle segnalazioni.

Quali sanzioni sono previste per gli enti inadempienti?

ANAC può applicare sanzioni amministrative pecuniarie per la mancata attivazione del canale interno o per il mancato rispetto delle procedure, secondo quanto previsto dalla normativa vigente, mentre le ritorsioni accertate espongono l'ente a responsabilità disciplinare, civile e, nei casi più gravi, penale. Per le società partecipate, le sanzioni ricadono sugli amministratori che non hanno vigilato, con effetti anche sulla responsabilità per danno erariale davanti alla Corte dei conti. L'inadempimento procedurale — ad esempio la conferma tardiva o la mancata conservazione dei registri — è sanzionabile anche quando non segue una segnalazione effettiva, perché l'obbligo sussiste a prescindere dall'esito.

Il segreto d'ufficio prevale sulla segnalazione?

No. L'articolo 12 del D.Lgs. 24/2023 stabilisce che la segnalazione e la documentazione allegata sono sottratte al diritto di accesso documentale e al diritto di accesso civico generalizzato, e il segreto d'ufficio non può essere opposto per impedire la trasmissione della segnalazione all'autorità giudiziaria o ad ANAC. La riservatezza è la regola, la trasparenza è l'eccezione, e questa inversione è il cuore operativo del decreto per chi deve gestire il canale. Ne consegue che anche atti riservati dell'ente possono essere allegati alla segnalazione senza che ciò comporti una violazione degli obblighi interni di segretezza.

Come deve essere strutturato il canale interno: crittografia, anonimato reale, gestione documentale, audit trail

Il canale deve consentire l'invio scritto e orale della segnalazione, garantire la riservatezza dell'identità del segnalante, della persona segnalata e di tutti i soggetti coinvolti, e mantenere una traccia documentale di ogni interazione — ricezione, conferma, istruttoria, decisione — che sia immutabile e producibile in caso di audit. Sul piano tecnico, la crittografia end-to-end è oggi lo standard di riferimento: le segnalazioni e i messaggi devono essere cifrati nel browser del segnalante prima di raggiungere il server, in modo che nemmeno il fornitore del software possa leggerne il contenuto, con una chiave per segnalazione generata lato client e mai visibile all'operatore, come illustrato nella pagina sulla segnalazione anonima. La segnalazione anonima vera, distinta dalla semplice segnalazione riservata, è quella che non raccoglie né IP, né cookie, né fingerprint del browser: solo così il canale regge sotto esame e il gestore può dimostrare che davvero non sa chi ha scritto. La tenuta di queste garanzie è ciò che distingue un canale realmente conforme da un modulo generico pubblicato sul sito istituzionale.

Quali elementi rendono il canale davvero conforme?

Servono almeno quattro componenti: un modulo strutturato con campi per il fatto segnalato, le circostanze e i soggetti coinvolti; un sistema di autenticazione forte per i gestori, basato su ruoli e non su account personali; un registro delle attività immutabile, con marca temporale e firma digitale di ogni operazione; un modulo di comunicazione bidirezionale sicura con il segnalante, per chiarimenti e follow-up senza dover uscire dal canale. La protezione dei dati by design e by default richiesta dal GDPR si integra qui: il canale deve essere progettato per raccogliere solo i dati necessari, conservarli per il tempo strettamente richiesto dalla legge e cancellarli automaticamente alla scadenza. L'integrazione tra questi quattro elementi è ciò che consente al gestore di chiudere un'istruttoria senza dover uscire dal canale e senza dover conservare email o documenti paralleli.

Perché l'audit trail è decisivo?

Perché ANAC, la magistratura contabile e i revisori chiedono la prova del processo, non la prova del risultato: serve dimostrare che ogni segnalazione è stata ricevuta, confermata entro sette giorni, istruita e chiusa con motivazione, anche quando l'esito è archiviazione. Un registro attività immutabile, esportabile in formati standard e firmato digitalmente è la risposta a questa esigenza, e la sua assenza è la prima causa di contestazione durante le ispezioni. La capacità di produrre questo registro in tempi rapidi, senza ricostruzioni manuali, è ciò che distingue un canale pronto per l'audit da un canale solo formalmente attivo.

Quali segnalazioni devono essere inoltrate ad ANAC e in quali tempistiche

Le segnalazioni che riguardano illeciti amministrativi, contabili, civili o penali rilevanti per ANAC — appalti, corruzione, conflitto d'interessi, gestione del personale nella PA — devono essere trasmesse all'autorità nazionale attraverso il canale esterno, mentre le segnalazioni di mero disagio organizzativo o di relazioni sindacali restano nella gestione interna dell'ente. Il canale interno per le segnalazioni va attivato subito dopo la ricezione, con valutazione della fondatezza e inoltro ad ANAC entro i termini procedurali indicati dalla stessa autorità — di norma entro trenta giorni dalla chiusura dell'istruttoria interna, salvo urgenze. Per le segnalazioni che riguardano reati o danni erariali, l'inoltro alla Procura della Repubblica o alla Procura presso la Corte dei conti segue regole distinte e non sostituisce il rapporto con ANAC. La corretta classificazione della segnalazione al momento della ricezione è la variabile che più incide sui tempi di inoltro e sulla tenuta del procedimento.

Quando ANAC è competente in via esclusiva?

ANAC è competente per le violazioni del codice dei contratti pubblici, per gli illeciti nella gestione dei fondi pubblici e per i conflitti d'interessi dei funzionari pubblici: in questi ambiti il canale interno deve limitarsi a dare corso alla segnalazione e a trasmetterla all'autorità, senza sostituirsi ad essa. La distinzione tra segnalazione interna, segnalazione ad ANAC e denuncia all'autorità giudiziaria è una mappa che ogni gestore del canale deve avere chiara, perché indirizzare male una segnalazione è essa stessa una violazione procedurale. Anche la scelta del momento dell'inoltro è rilevante: un invio troppo anticipato può esporre l'istruttoria interna, un invio troppo tardivo può configurare un'omissione.

Quali dati si conservano e per quanto tempo?

Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data di comunicazione dell'esito finale, in linea con quanto previsto dal Garante per la protezione dei dati personali per i trattamenti di whistleblowing. Decorso il termine, i dati devono essere cancellati o anonimizzati in modo irreversibile, e la conservazione oltre i cinque anni è sanzionabile come trattamento illecito ai sensi del GDPR. La base giuridica del trattamento è individuata dalla stessa norma di recepimento, e l'informativa privacy deve richiamarla in modo esplicito per evitare contestazioni del DPO o del Garante.

Come formare i dipendenti pubblici: comunicazione interna, accessibilità del canale e lingua

La formazione non è un'opzione: l'articolo 5 del D.Lgs. 24/2023 richiede che i soggetti obbligati informino i propri dipendenti sulle modalità di segnalazione, sui diritti del segnalante e sulle tutele contro le ritorsioni, con un piano di comunicazione che comprenda intranet, codice di comportamento, formazione obbligatoria e accesso fisico al canale per chi non usa abitualmente gli strumenti digitali. L'accessibilità del canale è il nodo spesso sottovalutato: un sistema che richiede autenticazione SPID o CIE esclude di fatto i collaboratori esterni, i fornitori abituali e i cittadini che vogliono segnalare disservizi — categorie che il decreto, con un'interpretazione estensiva, ricomprende tra i segnalanti meritevoli di tutela. Sul piano linguistico, la pubblica amministrazione è chiamata a rendere il canale comprensibile anche a chi non parla italiano come prima lingua: la predisposizione di interfacce multilingue è oggi un obbligo di fatto, non un vezzo, soprattutto per Comuni e ASL con utenza multiculturale. La combinazione tra formazione iniziale, promemoria periodici e accessibilità tecnica è ciò che trasforma il canale da adempimento formale a strumento effettivamente utilizzato.

Quali canali di comunicazione usare per la formazione?

La combinazione più efficace è informativa istituzionale via email al momento dell'assunzione, sessioni formative obbligatorie in modalità e-learning da completare entro sei mesi dall'attivazione, e reminder periodici inseriti nei piani della formazione continua del personale. Per i dirigenti e i responsabili di ufficio è raccomandabile una sessione dedicata con simulazioni di casi, perché la prima segnalazione reale arriva spesso in una forma ambigua e la capacità di classificarla correttamente fa la differenza tra un procedimento chiuso e un contenzioso. Anche la formazione dei nuovi assunti va replicata a ogni inserimento, perché la sola formazione iniziale non copre il turn-over tipico degli enti pubblici.

Come si gestisce la lingua del canale?

Il canale dovrebbe offrire almeno la lingua italiana e, in funzione del territorio, le lingue delle comunità linguistiche presenti — inglese, francese, arabo, cinese, rumeno nelle aree a maggiore immigrazione. La traduzione automatica integrata, validata da un revisore umano per i messaggi chiave, è la soluzione più pragmatica: costa meno di una redazione manuale continua e risponde comunque all'obbligo di accessibilità effettiva. L'aggiornamento delle lingue va fatto almeno una volta all'anno, per recepire cambiamenti nelle comunità di riferimento e per correggere traduzioni imprecise che potrebbero compromettere la chiarezza delle informazioni.

Checklist operativa di attivazione in 90 giorni per l'ente pubblico

Checklist operativa di attivazione in 90 giorni per l'ente pubblico I primi trenta giorni servono alla mappatura: identificare il gestore del canale — di norma il RPCT, ma anche un ufficio legale o un comitato etico se la struttura lo consente — redigere l'atto formale di nomina, definire la procedura scritta con tempi, responsabilità e flussi di inoltro, e scegliere la piattaforma tecnologica con criteri documentati. Dal trentesimo al sessantesimo giorno si passa alla configurazione: apertura del canale, test interni con segnalazioni simulate, redazione dei materiali formativi, aggiornamento del codice di comportamento e pubblicazione delle informazioni sul sito istituzionale nella sezione "Amministrazione trasparente". Dal sessantesimo al novantesimo giorno si conclude con la formazione: erogazione delle sessioni informative al personale, comunicazione ai sindacati, comunicazione ai fornitori e ai collaboratori, e pubblicazione di un'informativa sintetica nella carta dei servizi. Al termine dei novanta giorni, il canale è formalmente attivo e il primo segnale di operatività è la registrazione di una segnalazione test, generata internamente per validare l'intero flusso. Il rispetto di questa scansione temporale consente di arrivare all'attivazione con margine per gestire le prime segnalazioni reali senza improvisazioni.

Quali atti formali servono prima dell'apertura?

Servono almeno tre atti: la determina o delibera di nomina del gestore con l'indicazione dei suoi compiti, il regolamento operativo del canale — con tempi, modalità di ricezione, criteri di valutazione della fondatezza e flussi di inoltro — e l'informativa privacy redatta con il DPO dell'ente, che illustri base giuridica, tempi di conservazione e diritti dell'interessato. Questi tre documenti costituiscono il dossier minimo da presentare in caso di audit ANAC. L'assenza anche di uno solo di essi è sufficiente a configurare un'inadempienza procedurale, a prescindere dal fatto che il canale sia tecnicamente attivo.

Quali sono gli errori più frequenti nei primi 90 giorni?

L'errore più comune è trattare la procedura come un adempimento formale e non come uno strumento di prevenzione: canale aperto, ma nessuno sa che esiste. Il secondo errore è affidare la gestione a una figura già oberata — di norma il segretario comunale o il direttore amministrativo — senza alleggerirne il carico: in assenza di tempo dedicato, le conferme entro sette giorni slittano e la prima segnalazione seria diventa un contenzioso. Il terzo errore è usare un canale tecnologico che raccoglie IP e metadati, vanificando l'anonimato del segnalante: una raccolta occulta di dati identificativi, anche per finalità di sicurezza, espone l'ente a una segnalazione parallela al Garante per la protezione dei dati personali. Un quarto errore, meno visibile ma ugualmente rilevante, è non aggiornare il codice di comportamento e la sezione "Amministrazione trasparente" con il link al canale, lasciando di fatto invisibile lo strumento ai potenziali segnalanti.

Quanto costa davvero gestire un canale conforme?

Il costo di gestione si compone di tre voci: il tempo-persona del gestore, stimabile in due-tre giornate al mese per un ente di medie dimensioni tra i cento e i cinquecento dipendenti; il costo della piattaforma tecnologica, che varia in funzione delle garanzie di anonimato e della qualità dell'audit trail; il costo della formazione, che per un piano biennale completo varia in funzione delle modalità prescelte e della dimensione dell'ente. La scelta tra costruire il canale in casa — con un modulo sul sito istituzionale e una casella email dedicata — o affidarsi a una piattaforma specializzata si giudica sul risultato in caso di ispezione: un canale artigianale che non produce audit trail immutabile costa meno ogni anno, ma costa molto di più il giorno in cui ANAC chiede i registri e l'ente non ha nulla da mostrare. Sul piano operativo, una piattaforma conforme alleggerisce il gestore dalla conferma manuale dei sette giorni, dalla produzione dei registri per l'audit e dalla gestione della corrispondenza cifrata con il segnalante, lasciando al responsabile la parte che davvero richiede giudizio umano — classificare la segnalazione, istruire il caso, decidere l'esito. Ashio è progettato per questo lavoro di routine: crittografia end-to-end, anonimato reale senza raccolta di IP né cookie, hosting in data center certificati in Europa, registro attività pronto per l'audit e conformità by design al GDPR, con un piano unico a prezzo fisso per organizzazione che include comunicazione bidirezionale sicura, gestione strutturata dei casi, monitoraggio delle scadenze e supporto multilingue — una soluzione adatta a enti pubblici di dimensioni medio-piccole; per esigenze di enti molto grandi è disponibile un piano di implementazione personalizzata.

Domande frequenti

Le società partecipate con meno di 50 dipendenti devono attivare il canale interno?

No, ma sono obbligate a farlo quando operano come appaltatori o concessionari di un ente soggetto, perché in quel caso la disciplina del codice dei contratti pubblici estende loro gli obblighi di segnalazione. La verifica va fatta caso per caso, incrociando il tipo di rapporto contrattuale con la governance societaria.

La segnalazione anonima è diversa da quella riservata?

Sì: la segnalazione anonima non raccoglie alcun dato identificativo del segnalante — né IP, né email, né cookie — mentre la segnalazione riservata raccoglie l'identità ma la protegge con il divieto di disclosure. La prima è più forte dal punto di vista della tutela del segnalante, ma pone al gestore il problema di non poter chiedere chiarimenti: per questo i sistemi migliori offrono comunicazione bidirezionale cifrata senza richiedere l'identità, come descritto nella pagina sulla segnalazione anonima.

Entro quanti giorni deve essere confermata una segnalazione?

Entro sette giorni dalla ricezione, come previsto dall'articolo 5 del D.Lgs. 24/2023. Il mancato rispetto di questa scadenza non è solo un ritardo procedurale, è una violazione sanzionabile da ANAC: per questo la conferma automatica generata dalla piattaforma è una tutela importante sia per il segnalante sia per l'ente.

Si può usare un canale basato su email o su un modulo sul sito istituzionale?

Tecnicamente sì, ma non è una soluzione conforme sul piano dell'anonimato e dell'audit trail: un'email lascia tracce nei log del server di posta e un modulo web raccoglie almeno l'indirizzo IP del mittente. Per chi vuole davvero rispettare lo spirito del decreto, serve una piattaforma che cifri i contenuti lato client e non registri metadati identificativi.

Il gestore del canale può essere lo stesso RPCT?

Sì, è la soluzione più frequente negli enti di piccole e medie dimensioni, e non è vietata dalla legge purché il RPCT operi con autonomia e non sia coinvolto nei fatti segnalati. Negli enti più grandi, o dove il RPCT è chiamato in causa come segnalato, è opportuno designare un gestore distinto o un comitato etico.

Fonti