22 luglio 2026·5 min di lettura

Decreto whistleblowing (D.lgs 24/2023): obblighi, termini e sanzioni per le aziende

Il Decreto legislativo 24/2023, in vigore dal 30 marzo 2023, obbliga le aziende a predisporre un canale di segnalazione interno e attua la direttiva UE 2019/1937. Questa guida spiega chi è obbligato, quali termini rispettare, le sanzioni ANAC e come gestire il canale, anche in esternalizzazione.

Chi deve adottare il whistleblowing?

Le aziende private con almeno 50 dipendenti e, a prescindere dalla dimensione, gli enti che hanno adottato un Modello 231 (D.lgs. 231/2001) o che operano in settori regolati. Per le aziende con 250 o più dipendenti l’obbligo è scattato il 15 luglio 2023; per quelle da 50 a 249 dipendenti dal 17 dicembre 2023.

Il legame con il Modello 231

Chi ha adottato il Modello organizzativo 231 deve integrare il canale di whistleblowing indipendentemente dal numero di dipendenti, e l’organismo di vigilanza è chiamato a sovrintendere alla gestione delle segnalazioni. In pratica, whistleblowing e Modello 231 vanno trattati come un unico sistema di compliance.

I termini: 7 giorni e 3 mesi

L’art. 5 prevede un avviso di ricevimento entro 7 giorni dalla segnalazione e un riscontro sulle attività intraprese entro 3 mesi. La riservatezza dell’identità del segnalante va garantita per tutto il procedimento (art. 12).

Le sanzioni ANAC (art. 21)

L’ANAC applica sanzioni da 10.000 a 50.000 € per ritorsioni, ostacolo alle segnalazioni o violazione della riservatezza, nonché per la mancata istituzione dei canali o l’omessa verifica delle segnalazioni. Per le segnalazioni infondate effettuate con dolo o colpa grave la sanzione va da 500 a 2.500 €.

Segnalazioni anonime, conservazione ed esternalizzazione

Le segnalazioni anonime sono ammesse se sufficientemente circostanziate (art. 12)
I dati vanno conservati per un massimo di 5 anni (art. 14)
Il canale può essere affidato a un fornitore esterno

Cosa distingue Whistlechannel

Dopo la sentenza Schrems II, i dati ospitati presso un fornitore statunitense restano esposti al CLOUD Act e alla FISA 702 anche se archiviati in un data center europeo. Whistlechannel è ospitato esclusivamente a Stoccolma, senza sub-responsabili statunitensi, senza registrazione degli indirizzi IP e con crittografia AES-256. Il canale chiavi in mano è disponibile in 24 lingue dell’UE, si attiva in self-service in pochi minuti e ha prezzi trasparenti a partire da 99 SEK/mese — senza chiamate commerciali.

Domande frequenti

Quali aziende devono adottare il whistleblowing?

Le aziende private con almeno 50 dipendenti e, a prescindere dalla dimensione, gli enti dotati di un Modello 231. Per le aziende da 50 a 249 dipendenti l’obbligo si applica dal 17 dicembre 2023.

Cosa comporta l’obbligo per chi ha un Modello 231?

Chi ha adottato il Modello organizzativo 231 deve integrare il canale di whistleblowing indipendentemente dal numero di dipendenti, e l’organismo di vigilanza sovrintende alla gestione delle segnalazioni.

Quali termini si applicano dopo una segnalazione?

Un avviso di ricevimento entro 7 giorni e un riscontro sulle attività intraprese entro 3 mesi (art. 5). La riservatezza dell’identità del segnalante va garantita per tutto il procedimento.

Quali sanzioni può applicare l’ANAC?

In base all’art. 21 del D.lgs. 24/2023, da 10.000 a 50.000 € per ritorsioni, ostacolo alle segnalazioni, violazione della riservatezza o mancata istituzione dei canali; da 500 a 2.500 € per segnalazioni infondate fatte con dolo o colpa grave.

Dove sono conservati i dati delle segnalazioni?

Con Whistlechannel, esclusivamente a Stoccolma (UE), senza sub-responsabili statunitensi e senza log dell’IP — conforme al GDPR e alla sentenza Schrems II. I dati sono conservati per un massimo di 5 anni.

Scopri i tuoi obblighi di compliance →