Whistle Blowing

Chi è obbligato ad attivare un canale di whistleblowing

Dal 2023 il canale interno di segnalazione non è più una buona pratica: è un obbligo. Il D.Lgs. 24/2023, che recepisce la Direttiva (UE) 2019/1937, lo impone a:

• aziende private con più di 50 dipendenti in media nell’ultimo anno;
• organizzazioni dotate di Modello 231, indipendentemente dalle dimensioni;
• aziende che operano in settori sensibili, anche sotto i 50 dipendenti;
• tutte le pubbliche amministrazioni indicate dall’art. 1 comma 2 del D.Lgs. 165/2001;
• società a controllo pubblico, concessionari di pubblico servizio ed enti pubblici economici.

La tutela non riguarda più soltanto il lavoratore dipendente. Si estende a stagisti, tirocinanti, collaboratori, facilitatori, azionisti e a chi ha funzioni di amministrazione, direzione o controllo. I termini per adeguarsi sono scaduti da tempo e dal 2025 ANAC ha intensificato i controlli sull’effettiva attivazione dei canali.

Come funziona per chi segnala

Ogni organizzazione riceve un indirizzo dedicato nella forma nomeazienda.whistleblowing.dev. Chi vuole segnalare vi accede da smartphone, tablet o computer: non deve installare nulla, non servono credenziali aziendali e non passa dalla rete dell’azienda.

Il modulo chiede un indirizzo email oppure un numero di cellulare, verificati con un codice OTP. Servono al sistema per due cose: impedire segnalazioni false o duplicate, e recapitare al segnalante gli aggiornamenti sulla pratica. Il gestore non li vede. Chi riceve la segnalazione legge il contenuto, non l’identità di chi l’ha inviata.

È la differenza tra una segnalazione riservata e una segnalazione realmente anonima — e qui è anonima.

Come funziona per chi gestisce le segnalazioni

Il gestore dispone di una dashboard che mostra in tempo reale le segnalazioni ricevute e quelle ancora da trattare. Chi segue più aziende o più sedi le vede tutte con un unico accesso.

Il sistema avvisa automaticamente gestore e segnalante a ogni nuova segnalazione e a ogni avanzamento, e invia promemoria quando si avvicinano i termini previsti dalla legge. È il punto in cui la gestione manuale, via email o via carta, fallisce più spesso: non perché manchi la volontà, ma perché le scadenze si perdono.

Sicurezza, riservatezza e tracciabilità

La piattaforma è interamente in cloud e resta separata dai sistemi dell’azienda oggetto della segnalazione: chi potrebbe essere coinvolto non ha accesso all’infrastruttura che custodisce le prove. È una differenza sostanziale rispetto a una casella di posta interna o a un gestionale aziendale.

I dati sono cifrati e ospitati nei nostri datacenter in Italia, certificati TIER 4 e conformi al GDPR. Il software è stato sottoposto a Valutazione d’Impatto sulla Protezione dei Dati (DPIA), come la normativa richiede.

Ogni segnalazione viene protocollata da un sistema che ne garantisce l’immodificabilità, insieme alle risposte inviate dal gestore: né le une né le altre possono essere alterate dopo l’invio. L’accesso al contenuto è riservato al segnalante e al gestore, e a nessun altro.

Manxx è certificata ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018 per la sicurezza delle informazioni e la protezione dei dati personali in cloud.

Se non hai chi gestisce le segnalazioni

L’obbligo non è solo tecnologico: serve una figura che riceva le segnalazioni, le istruisca e risponda nei termini. Non tutte le organizzazioni ce l’hanno, e affidarla a chi potrebbe esserne oggetto non è una soluzione.

Manxx mette a disposizione i propri esperti per un servizio chiavi in mano: attivazione del canale, gestione delle segnalazioni e rispetto delle scadenze.

Domande frequenti