Software whistleblowing: come scegliere una piattaforma

Un software whistleblowing va scelto partendo da ciò che il D.lgs. 24/2023 chiede al canale interno: riservatezza di segnalante, persone coinvolte e contenuto, anche con la crittografia (art. 4, comma 1), segnalazioni scritte e orali (art. 4, comma 3), termini di 7 giorni e 3 mesi (art. 5), conservazione non oltre cinque anni (art. 14). Il resto viene dopo.

Cosa deve fare per legge una piattaforma whistleblowing

La legge non parla di software: chiede un canale con certe caratteristiche, e la piattaforma è il modo di realizzarlo. Ogni criterio di scelta, quindi, si può ricondurre a un articolo.

Per ogni criterio: cosa chiede la norma, dove lo chiede, cosa domandare al fornitore.

1. Riservatezza, anche con la crittografia (art. 4, comma 1). Il canale deve tutelare l'identità di segnalante, persona coinvolta e persone menzionate, il contenuto e i documenti, «anche tramite il ricorso a strumenti di crittografia». Domanda: chi può leggere il contenuto? Il fornitore, o chi amministra i server, ha le chiavi per decifrarlo?
2. Forma scritta e orale (art. 4, comma 3). Per scritto, anche con modalità informatiche, o a voce, con linee telefoniche o sistemi di messaggistica vocale. Domanda: si può segnalare a voce dalla piattaforma, e come viene documentata la segnalazione orale?
3. Avviso entro 7 giorni, riscontro entro 3 mesi (art. 5, comma 1, lettere a e d). Domanda: le scadenze si calcolano da sole su ogni pratica? Chi riceve i promemoria?
4. Dialogo con il segnalante (art. 5, comma 1, lettera b). Il gestore mantiene le interlocuzioni e può chiedere integrazioni. Domanda: un segnalante anonimo può leggere le risposte e aggiungere documenti?
5. Identità solo a chi è competente (art. 12, comma 2). Senza consenso espresso, l'identità non si rivela a persone diverse da quelle competenti a ricevere o dare seguito alle segnalazioni. Domanda: chi gestisce vede l'identità di default? Se serve rivelarla, resta traccia?
6. Dati minimi (art. 13, comma 2). I dati manifestamente non utili non si raccolgono o, se raccolti per errore, si cancellano subito. Domanda: la piattaforma registra indirizzi IP, dati del browser, log di accesso?
7. Conservazione limitata (art. 14, comma 1). Il tempo necessario, e non oltre cinque anni dalla comunicazione dell'esito finale. Domanda: la conservazione si imposta, e la cancellazione alla scadenza è automatica, allegati compresi?
8. Sicurezza adeguata al rischio (art. 32, paragrafo 1, GDPR). Tra le misure: cifratura, riservatezza e integrità dei sistemi, ripristino tempestivo dopo un incidente, verifiche periodiche. Domanda: dove stanno i dati? Ogni quanto si fanno i backup, e si prova il ripristino?
9. Contratto con il fornitore (art. 13, comma 6, D.lgs. 24/2023 e art. 28 GDPR). Il rapporto con i fornitori esterni che trattano dati per conto dell'organizzazione va disciplinato come responsabile del trattamento. Domanda: il DPA art. 28 è pronto? Chi sono i sub-responsabili?

Dove il decreto non dice nulla (lingue, marchio, integrazioni con altri sistemi), il criterio è organizzativo e non normativo. Va pesato dopo, non al posto dei nove punti qui sopra.

Per i dettagli applicativi sul canale interno, l'ANAC ha approvato le Linee guida n. 1/2025 con la delibera n. 478 del 26 novembre 2025, annunciate nella Gazzetta Ufficiale, Serie generale, n. 300 del 29 dicembre 2025. Questo articolo resta sul testo del decreto: le linee guida vanno lette per intero da chi scrive la procedura.

Piattaforme sicure per le segnalazioni: cosa verificare davvero

Una piattaforma è adatta se protegge la riservatezza anche da chi gestisce l'infrastruttura, non solo da chi la usa. L'art. 12, comma 2, consente di rivelare l'identità del segnalante, e qualsiasi informazione da cui si possa ricavare, solo alle persone competenti a ricevere o dare seguito alle segnalazioni, espressamente autorizzate. Chi amministra i server, del cliente o del fornitore, non ha per questo il compito di ricevere le segnalazioni o di darvi seguito: la piattaforma non dovrebbe mostrargli i contenuti.

Quattro verifiche tecniche, in quest'ordine:

1. Dove avviene la cifratura. Se il testo viene cifrato sul dispositivo di chi scrive, il server riceve solo testo cifrato; se è cifrato solo sul server, chi lo amministra può avere accesso alle chiavi. L'art. 4, comma 1, cita espressamente la crittografia come strumento per la riservatezza.
2. Quali dati tecnici restano. Indirizzi IP, impronte del browser e log di accesso possono identificare il segnalante senza che il nome compaia. L'art. 13, comma 2, chiede di non raccogliere i dati manifestamente non utili alla segnalazione.
3. Come si rientra nella segnalazione. Le interlocuzioni e le richieste di integrazioni dell'art. 5, comma 1, lettera b), con un segnalante anonimo sono possibili solo se ha un modo per rientrare: un codice o una credenziale che non lo identifichi.
4. Come si ripristina dopo un guasto. L'art. 32, paragrafo 1, lettere c) e d), GDPR chiede la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati e una procedura per testare regolarmente l'efficacia delle misure. Va chiesto con quale frequenza si prova il ripristino dei backup.

Le segnalazioni orali hanno una regola in più. Se arrivano da una linea o da un sistema di messaggistica vocale registrato, si documentano, previo consenso del segnalante, con registrazione su un dispositivo idoneo o con trascrizione integrale, che il segnalante può verificare, rettificare o confermare (art. 14, comma 2). La piattaforma deve rendere possibile questo passaggio, non solo ricevere un file audio.

Cosa resta a carico dell'organizzazione, con qualsiasi software

Nessun software adempie da solo. Il decreto mette in capo all'organizzazione obblighi che nessuna piattaforma può svolgere al suo posto:

• sentire le rappresentanze o le organizzazioni sindacali prima di attivare il canale (art. 4, comma 1);
• affidare la gestione a una persona o a un ufficio interno autonomo, con personale formato, o a un soggetto esterno con gli stessi requisiti (art. 4, comma 2); nei soggetti pubblici tenuti a nominarlo, all'RPCT (art. 4, comma 5);
• dare diligente seguito alle segnalazioni (art. 5, comma 1, lettera c);
• pubblicare informazioni chiare su canali, procedure e presupposti, esposte nei luoghi di lavoro e, se c'è un sito, in una sua sezione dedicata (art. 5, comma 1, lettera e);
• fornire le informative degli artt. 13 e 14 GDPR a segnalanti e persone coinvolte (art. 13, comma 4);
• definire il modello di ricevimento e gestione delle segnalazioni sulla base di una valutazione d'impatto sulla protezione dei dati (art. 13, comma 6).

Le organizzazioni che condividono il canale, cioè i comuni non capoluogo e i privati con una media fino a 249 lavoratori subordinati (art. 4, comma 4), devono anche stabilire con un accordo interno le rispettive responsabilità sulla protezione dei dati, ai sensi dell'art. 26 GDPR (art. 13, comma 5). Se la piattaforma serve più società, va chiesto se ognuna ha un canale, gestori e dati separati.

Un esempio inventato mostra perché il canale conta più dell'interfaccia. In un'azienda di esempio con 140 dipendenti, una segnalazione arriva per errore alla casella dell'ufficio personale anziché al gestore. L'art. 4, comma 6, impone di trasmetterla al soggetto competente entro 7 giorni, avvisando il segnalante. Intanto la segnalazione è passata per un sistema dove l'hanno potuta leggere persone non autorizzate: un rischio che va considerato nella valutazione d'impatto, non risolto dopo.

Software whistleblowing gratuito o open source: cosa cambia

Cambia il costo della licenza, non gli obblighi. Con un software gratuito o open source restano all'organizzazione tutti gli adempimenti elencati sopra, più quelli tecnici che un servizio gestito di solito include: ospitare l'applicazione, aggiornarla, fare e provare i backup, tenere sotto controllo i log. Sono le misure dell'art. 32 GDPR, e chi le svolge deve poterle dimostrare.

Due domande aiutano a decidere:

1. Chi ospita il software? Se lo ospita un terzo, quel terzo è responsabile del trattamento e serve il contratto dell'art. 28, paragrafo 3, GDPR: trattamento solo su istruzione documentata, riservatezza del personale, misure dell'art. 32, regole sui sub-responsabili, cancellazione o restituzione dei dati a fine servizio, informazioni e audit.
2. Chi amministra il server può leggere le segnalazioni? Se il software gira sui server dell'organizzazione e il personale IT può accedere ai contenuti, va verificato come questo si concilia con l'art. 12, comma 2.

Non c'è una risposta valida per tutti: dipende da risorse, competenze interne e rischi, e la scelta va motivata nella valutazione d'impatto con il proprio DPO.

Come risponde WhistleVault ai criteri

WhistleVault cifra ogni segnalazione nel browser di chi scrive: il server conserva solo testo cifrato, non registra indirizzi IP e non ha le chiavi per leggere. Il segnalante può scrivere o usare la voce, riceve un codice di 20 cifre generato sul dispositivo e con quello rientra, legge le risposte e aggiunge documenti. Ogni pratica porta le scadenze di avviso e riscontro con i promemoria. L'identità, se il segnalante la indica, viene cifrata a parte e si rivela solo con l'autorizzazione del custode, e resta traccia della richiesta.

Ogni organizzazione ha istanza e database dedicati, su server in Unione europea, con backup cifrati ogni notte e un test di ripristino ogni mese. La conservazione si configura per canale, con cancellazione automatica di dati e allegati alla scadenza. Il dettaglio è nella sezione sicurezza, l'elenco obbligo per obbligo in conformità, e i contenuti dell'accordo art. 28 nella pagina del DPA.

Cosa verificare, in quest'ordine

1. Il perimetro: quali violazioni e quali canali riguardano l'organizzazione (art. 3, commi 1 e 2), con il proprio legale o DPO.
2. Chi gestirà il canale (art. 4, commi 2 e 5): la piattaforma va scelta anche in base a chi la userà.
3. La valutazione d'impatto (art. 13, comma 6): i rischi che emergono diventano i requisiti da chiedere al fornitore.
4. I nove criteri, uno per uno, con le risposte del fornitore per iscritto.
5. Il contratto art. 28 GDPR e l'elenco dei sub-responsabili, prima della firma.
6. Il confronto con le rappresentanze sindacali (art. 4, comma 1), prima di attivare il canale.
7. Le informazioni pubbliche su canali e procedure (art. 5, comma 1, lettera e) e le informative privacy (art. 13, comma 4), pronte per il giorno dell'attivazione.