Software whistleblowing: come scegliere una piattaforma conforme al D.lgs 24/2023 e al GDPR

Su una scheda prodotto le piattaforme di segnalazione si assomigliano tutte. Ciò che conta per la compliance è dove risiedono i dati, come è garantito l’anonimato e se lo strumento copre davvero gli obblighi del D.lgs. 24/2023. Ecco i criteri di scelta.

I criteri di scelta

• Hosting nell’UE, senza sub-responsabili statunitensi
• Conformità al GDPR — idealmente senza clausole contrattuali standard, perché i dati non lasciano l’UE
• Copertura del D.lgs. 24/2023 — canale riservato, avviso entro 7 giorni, riscontro entro 3 mesi, tutela dalle ritorsioni
• Anonimato tecnico — nessuna registrazione dell’IP, crittografia forte, dialogo pseudonimo a due vie
• Lingue — quelle effettivamente parlate dai dipendenti
• Prezzi trasparenti — pubblicati, senza costi di attivazione né vincoli
• Attivazione in self-service — operativa in pochi minuti

Perché l’hosting decide tutto (Schrems II)

Dopo la sentenza Schrems II, i dati ospitati presso un fornitore statunitense restano esposti al CLOUD Act e alla FISA 702, anche se archiviati in un data center europeo. Solo un hosting nell’UE senza sub-responsabili statunitensi elimina questo rischio. Chiedete quindi esplicitamente la sede e l’elenco dei sub-responsabili.

Software o canale esternalizzato?

Il decreto ammette l’affidamento del canale a un fornitore esterno. Alcuni vendono solo software; un canale chiavi in mano gestisce anche l’istruttoria delle segnalazioni. Per gli enti con Modello 231, il canale va inoltre integrato con l’organismo di vigilanza.

Whistlechannel rispetto ai criteri

Whistlechannel è ospitato esclusivamente a Stoccolma, senza sub-responsabili statunitensi, senza registrazione degli indirizzi IP e con crittografia AES-256. Copre gli obblighi del decreto, è disponibile in 24 lingue dell’UE e ha prezzi trasparenti a partire da 99 SEK/mese — in self-service, senza chiamate commerciali.