Whistleblowing: cos'è, come funziona e a cosa serve

Il whistleblowing è la segnalazione di violazioni di norme nazionali o europee che ledono l'interesse pubblico o l'integrità di un'organizzazione, fatta da chi ne è venuto a conoscenza nel proprio contesto di lavoro. In Italia lo disciplina il D.lgs. 24/2023, che recepisce la direttiva (UE) 2019/1937 e protegge chi segnala dalle ritorsioni (artt. 1 e 17).

Cosa si intende per whistleblowing

Nella legge la parola whistleblowing non compare: il D.lgs. 24/2023 parla di «segnalazione», cioè «la comunicazione scritta od orale di informazioni sulle violazioni» (art. 2, comma 1, lettera c). Le informazioni comprendono anche i «fondati sospetti» su violazioni commesse o che, sulla base di elementi concreti, potrebbero essere commesse (art. 2, comma 1, lettera b). Il termine inglese viene da whistle (fischietto) e to blow (soffiare): letteralmente, «soffiare nel fischietto».

L'oggetto del decreto è la protezione di chi segnala (art. 1, comma 1). Nel testo vigente lo stesso comma comprende anche chi segnala violazioni delle misure restrittive dell'Unione europea previste dal capo I-bis, titolo I, libro II del codice penale e dall'art. 12, comma 1-bis, D.lgs. 286/1998: il periodo è stato aggiunto dall'art. 7 del D.lgs. 211/2025.

Le definizioni che servono per leggere il resto della norma sono tutte nell'art. 2, comma 1:

• Segnalazione interna (lett. d e art. 4): comunicazione presentata tramite il canale dell'organizzazione.
• Segnalazione esterna (lett. e e art. 7): comunicazione presentata tramite il canale dell'ANAC.
• Divulgazione pubblica (lett. f): rendere le informazioni di pubblico dominio tramite stampa, mezzi elettronici o altri mezzi in grado di raggiungere un numero elevato di persone.
• Persona segnalante (lett. g): la persona fisica che segnala informazioni acquisite nel proprio contesto lavorativo.
• Facilitatore (lett. h): chi assiste il segnalante, opera nello stesso contesto lavorativo e la cui assistenza resta riservata.
• Ritorsione (lett. m): qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, causato dalla segnalazione, che provoca o può provocare un danno ingiusto.
• Seguito (lett. n): l'azione di chi gestisce il canale per valutare i fatti, l'esito delle indagini e le misure adottate.
• Riscontro (lett. o): la comunicazione al segnalante sul seguito dato o che si intende dare.

Chi può segnalare

Può segnalare chiunque abbia un rapporto di lavoro o di collaborazione con l'organizzazione, non solo i dipendenti. L'art. 3, comma 3, elenca:

1. i dipendenti delle amministrazioni pubbliche, delle autorità indipendenti, degli enti pubblici economici, delle società in house e a controllo pubblico, degli organismi di diritto pubblico e dei concessionari di pubblico servizio (lettere a e b);
2. i lavoratori subordinati del settore privato (lettera c);
3. i lavoratori autonomi e i collaboratori (lettera d);
4. i lavoratori e i collaboratori dei fornitori di beni, servizi e opere (lettera e);
5. i liberi professionisti e i consulenti (lettera f);
6. i volontari e i tirocinanti, retribuiti e non (lettera g);
7. gli azionisti e chi ha funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche di mero fatto (lettera h).

La tutela vale anche prima e dopo il rapporto: durante la selezione o le fasi precontrattuali, durante il periodo di prova, e dopo lo scioglimento se le informazioni sono state acquisite mentre il rapporto era in corso (art. 3, comma 4). Le misure di protezione si estendono a facilitatori, parenti entro il quarto grado o persone con un legame affettivo stabile nello stesso contesto lavorativo, colleghi con un rapporto abituale e corrente, ed enti di proprietà del segnalante o per cui lavora (art. 3, comma 5).

La direttiva fissa un perimetro minimo analogo per tutti gli Stati membri (art. 4 della direttiva (UE) 2019/1937).

Cosa si può segnalare

Si possono segnalare violazioni che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato, elencate in sei categorie all'art. 2, comma 1, lettera a):

1. illeciti amministrativi, contabili, civili o penali;
2. condotte illecite rilevanti per il D.lgs. 231/2001 o violazioni dei modelli di organizzazione e gestione;
3. illeciti negli atti dell'Unione europea o nazionali dell'allegato, in settori come appalti pubblici, servizi finanziari e antiriciclaggio, sicurezza dei prodotti e dei trasporti, ambiente, salute pubblica, protezione dei consumatori, protezione dei dati e sicurezza delle reti;
4. atti od omissioni che ledono gli interessi finanziari dell'Unione (art. 325 TFUE);
5. atti od omissioni riguardanti il mercato interno, comprese concorrenza, aiuti di Stato e imposta sulle società;
6. atti o comportamenti che vanificano l'oggetto o la finalità delle norme europee dei numeri 3, 4 e 5.

Non tutte le categorie valgono per tutti. È il punto che le guide generaliste di solito saltano: l'art. 3, commi 1 e 2, collega il tipo di organizzazione alle violazioni segnalabili e ai canali utilizzabili.

• Settore pubblico (art. 2, comma 1, lettera p): tutte le violazioni, numeri 1-6, con canale interno, esterno, divulgazione pubblica e denuncia (art. 3, comma 1).
• Privato con una media di almeno 50 lavoratori subordinati nell'ultimo anno, o nei settori delle parti I.B e II dell'allegato (lettera q, numeri 1 e 2): violazioni del diritto UE, numeri 3-6, con tutti i canali (art. 3, comma 2, lettera a).
• Privato con modello 231, sotto i 50 lavoratori e fuori da quei settori (lettera q, numero 3): solo condotte 231, numero 2, e solo con il canale interno (art. 3, comma 2, lettera b).
• Privato con modello 231 e una media di almeno 50 lavoratori: condotte 231 con il canale interno, e anche violazioni del diritto UE, numeri 3-6, con tutti i canali (art. 3, comma 2, lettera b).

Restano fuori, per l'art. 1, comma 2: le contestazioni di interesse personale che riguardano solo il proprio rapporto di lavoro o i rapporti con i superiori (lettera a); le violazioni già regolate in via obbligatoria dagli atti della parte II dell'allegato (lettera b); la sicurezza nazionale e gli appalti di difesa, salvo che rientrino nel diritto derivato dell'Unione (lettera c).

Stabilire in quale caso rientra una specifica organizzazione dipende da dati che solo l'organizzazione ha (numero di lavoratori, settore, presenza del modello 231): è una valutazione da fare con il proprio legale o DPO.

Come funziona una segnalazione whistleblowing

La legge prevede quattro strade. Il canale interno è quello ordinario; il canale esterno dell'ANAC e la divulgazione pubblica si possono usare solo alle condizioni degli artt. 6 e 15. Accanto a questi c'è la denuncia all'autorità giudiziaria o contabile (art. 3, comma 1).

1. Canale interno (art. 4). Lo attiva l'organizzazione, sentite le rappresentanze o le organizzazioni sindacali, e deve tutelare la riservatezza dell'identità del segnalante, della persona coinvolta e delle persone menzionate, «anche tramite il ricorso a strumenti di crittografia» (comma 1). Si segnala per scritto, anche con modalità informatiche, oppure a voce, per telefono, messaggio vocale o incontro diretto su richiesta (comma 3).
2. Canale esterno (artt. 6 e 7). Lo gestisce l'ANAC. Si usa se il canale interno non è obbligatorio, non è attivo o non è conforme; se la segnalazione interna non ha avuto seguito; se ci sono fondati motivi di ritenere che non avrebbe efficace seguito o esporrebbe a ritorsioni; se la violazione può costituire un pericolo imminente o palese per il pubblico interesse (art. 6, comma 1, lettere a-d).
3. Divulgazione pubblica (art. 15). È protetta se le segnalazioni interna ed esterna, o la sola esterna, non hanno avuto riscontro nei termini; se c'è un pericolo imminente o palese per il pubblico interesse; se la segnalazione esterna rischia ritorsioni o di non avere seguito, per esempio perché le prove possono essere distrutte (comma 1, lettere a-c).

Il canale interno lo gestisce una persona o un ufficio interno autonomo, con personale formato, oppure un soggetto esterno con gli stessi requisiti (art. 4, comma 2). Nei soggetti pubblici tenuti a nominare il responsabile della prevenzione della corruzione e della trasparenza (RPCT), la gestione spetta a quest'ultimo (art. 4, comma 5). I comuni non capoluogo e i privati con una media fino a 249 lavoratori subordinati possono condividere canale e gestione (art. 4, comma 4).

Chi gestisce il canale ha due scadenze (art. 5, comma 1):

1. avviso di ricevimento al segnalante entro 7 giorni dalla ricezione (lettera a);
2. riscontro entro 3 mesi dalla data dell'avviso o, se l'avviso manca, dalla scadenza dei 7 giorni dalla presentazione (lettera d).

Un esempio inventato. In un'azienda di esempio con 120 dipendenti e un modello 231, un'addetta agli acquisti nota fatture di un fornitore pagate due volte e lo segnala il 3 marzo dal canale interno. Il gestore deve inviarle l'avviso di ricevimento entro il 10 marzo; se lo invia il 6 marzo, il riscontro va dato entro il 6 giugno. Nel frattempo il gestore può chiederle integrazioni (art. 5, comma 1, lettera b).

Su una piattaforma come WhistleVault questi passaggi hanno un corrispettivo concreto: il testo viene cifrato sul dispositivo del segnalante prima di partire, il segnalante riceve un codice di 20 cifre generato sul dispositivo con cui rientra, legge le risposte e aggiunge documenti, e ogni pratica porta le sue scadenze e i promemoria. Il percorso completo è nella sezione come funziona.

A cosa serve il whistleblowing: riservatezza e tutele

Serve a portare le violazioni a chi può darvi seguito, proteggendo chi le segnala (art. 1, comma 1). La protezione si regge su tre regole del decreto.

Riservatezza (art. 12). L'identità del segnalante, e ogni informazione da cui si possa ricavare, non può essere rivelata senza il suo consenso espresso a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni (comma 2). La segnalazione è sottratta all'accesso documentale e all'accesso civico (comma 8). Le stesse garanzie valgono per le persone coinvolte e menzionate, fino alla conclusione dei procedimenti (comma 7).

Condizioni di protezione (art. 16). Il segnalante è protetto se, al momento della segnalazione, aveva fondato motivo di ritenere vere le informazioni e rientranti nell'ambito del decreto, e se ha usato i canali previsti (comma 1). I motivi personali che lo hanno spinto sono irrilevanti (comma 2). La protezione cade se è accertata, anche con sentenza di primo grado, la sua responsabilità penale per diffamazione o calunnia, o quella civile per dolo o colpa grave (comma 3). Vale anche per le segnalazioni anonime, se il segnalante viene poi identificato e subisce ritorsioni (comma 4).

Divieto di ritorsione (art. 17). Le persone dell'art. 3 non possono subire ritorsioni (comma 1). Nei procedimenti si presume che il comportamento sfavorevole sia dovuto alla segnalazione, e tocca a chi lo ha messo in atto provare il contrario (comma 2). Il comma 4 elenca esempi: licenziamento, retrocessione o mancata promozione, cambio di mansioni o di sede, note di merito negative, misure disciplinari, molestie e ostracismo, mancato rinnovo di un contratto a termine.

Da quando si applica e cosa ha sostituito

Il D.lgs. 24/2023 ha effetto dal 15 luglio 2023 (art. 24, comma 1). Per i privati con una media fino a 249 lavoratori subordinati, l'obbligo di istituire il canale interno decorre dal 17 dicembre 2023 (art. 24, comma 2). La direttiva chiedeva il recepimento entro il 17 dicembre 2021 e dava tempo fino al 17 dicembre 2023, per il canale interno, ai privati con più di 50 e meno di 250 lavoratori (art. 26, paragrafi 1 e 2, direttiva (UE) 2019/1937).

Alle segnalazioni fatte fino al 14 luglio 2023 continuano ad applicarsi le regole precedenti: l'art. 54-bis del D.lgs. 165/2001, l'art. 6, commi 2-bis, 2-ter e 2-quater, del D.lgs. 231/2001 e l'art. 3 della L. 179/2017 (art. 24, comma 1). L'art. 23 del D.lgs. 24/2023 ha abrogato l'art. 54-bis, i commi 2-ter e 2-quater e l'art. 3 della L. 179/2017. Il comma 2-bis dell'art. 6 del D.lgs. 231/2001, nel testo sostituito dall'art. 24, comma 5, ora richiede che i modelli 231 prevedano i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare.

Domande frequenti

Cosa significa whistleblowing? Letteralmente «soffiare nel fischietto»: l'immagine di chi dà l'allarme. In italiano normativo si dice «segnalazione di violazioni».

Un reclamo sul proprio capo è whistleblowing? No, se riguarda solo il proprio rapporto di lavoro o i rapporti con i superiori: l'art. 1, comma 2, lettera a), lo esclude espressamente.

Una segnalazione anonima è protetta? Il decreto estende le condizioni di protezione alle segnalazioni anonime quando il segnalante viene identificato in seguito e subisce ritorsioni (art. 16, comma 4).

Dove nasce la disciplina attuale? Dalla direttiva (UE) 2019/1937, che fissa norme minime comuni di protezione per chi segnala violazioni del diritto dell'Unione (art. 1 della direttiva). L'Italia l'ha recepita con il D.lgs. 24/2023, estendendola anche a violazioni del diritto nazionale.

Cosa verificare, in quest'ordine

1. La categoria dell'organizzazione: settore pubblico (art. 2, comma 1, lettera p) o privato, e in quale numero della lettera q). Con il proprio legale o DPO.
2. Violazioni e canali che ne derivano: il caso corrispondente dell'art. 3, commi 1 e 2.
3. Il canale interno: attivato sentite le rappresentanze sindacali, con riservatezza di segnalante, persone coinvolte e contenuto, in forma scritta e orale (art. 4, commi 1 e 3).
4. Il gestore: persona, ufficio o soggetto esterno autonomo e formato (art. 4, comma 2), o RPCT nel pubblico (art. 4, comma 5).
5. I termini: avviso entro 7 giorni e riscontro entro 3 mesi, con qualcuno che li presidia (art. 5, comma 1, lettere a e d).
6. Le informazioni pubbliche: canale, procedure e presupposti esposti nei luoghi di lavoro e, se c'è un sito, in una sezione dedicata (art. 5, comma 1, lettera e).
7. Il modello 231, se adottato: che preveda canali, divieto di ritorsione e sistema disciplinare (art. 6, comma 2-bis, D.lgs. 231/2001).

L'elenco che collega questi obblighi, compresi i punti 3 e 5, a come li gestisce WhistleVault è nella sezione conformità.